Der undurchsichtige Weg der Fluggastdaten

Die Übergabe von Fluggastdaten (Passenger Name Records, PNR) an das US-amerikanische Department for Homeland Security (DHS) ist für Reisende aus Europa alles andere als transparent. Das neue, bis zuletzt heftig umstrittene Abkommen zur Weitergabe der Fluggastdaten zu Reisen in die USA an das DHS ist am 1. August in Kraft getreten. Weitergeleitet als PNR werden 19 Datenfelder.

Nicht aber die Fluggesellschaften selbst übertragen die Daten, sondern die von ihnen genutzten großen Computerreservierungssysteme (CRS). Die CRS-Provider (Sabre, Worldspan, Galileo in den USA und Amadeus für viele europäische Fluggesellschaften) seien nicht vom PNR-Abkommen erfasst, warnt Edward Hasbrouck, einer der Organisatoren des Identity Project und "Berufsnomade", der jüngst KLM Royal Dutch Airlines zur Einsicht in über ihn bei KLM gespeicherte PNR-Daten aufgefordert hat.

"In den meisten Fällen," kommentierte Hasbrouck auf Anfrage von heise online, "reisen Daten um das PNR-Abkommen herum, und zwar über die CRS." Den genauen Weg der Daten nachzuverfolgen, habe er nicht geschafft, KLM habe ihm nur einen Teil eines PNR-Eintrages gesandt. Rekonstruieren lasse sich daraus immerhin, dass die für den von ihm nachgefragten Flug gespeicherten Fluggastdaten bei Amadeus, Sabre und Worldspan vorliegen würden. Hasbrouck geht davon aus, dass der Weg nicht von der Fluggesellschaft zum DHS führe, sondern im Fall der KLM von der niederländischen Linie zu Amadeus und von dort über Worldspan zum DHS.

Die Antwort der KLM auf Hasbroucks Anfrage zeigt, wie verschlungen die Datenreise ist. Unbestritten ist die Übergabe der Daten von den CRS-Anbietern aus. heise online liegt dazu auch eine Bestätigung von Amadeus in Madrid vor. Bei dem von vielen europäischen Fluglinien genutzten CRS wurde auch das neue Push-System für die Datenübergabe entwickelt und wartet seit Anfang 2006 nur darauf, eingesetzt zu werden. Bislang haben die US-Behörden direkten Zugriff auf die Daten im Amadeus-System.

Amadeus beziehungsweise KLM waren aber nicht die ersten für die Datenverarbeitung verantwortlichen Stellen (Data Controller). Da Hasbrouck seinen Flug San Francisco – Amsterdam mit KLM beim US-Anbieter Mill Run Tours buchte, seien dieser beziehungsweise die Partner-Airline Northwest die ersten Reservierungsdatennehmer, erklärte der Datenschutzbeauftragte der KLM, Klaas Bruin, gegenüber Hasbrouck.

Im Gespräch mit heise online verwies Bruin darauf, dass die Fluggesellschaften selbst nur über eingeschränkte PNR-Datensätze verfügten, wenn der Reisestart in der Verantwortung einer Partnerlinie liege oder es sich um einen Zubringer handele. "Wir sind dann auch nicht verpflichtet, mehr Daten für die Weitergabe nach dem PNR-Abkommen zu sammeln", sagte Bruin. So steht es auch im Vorspann des PNR-Abkommens. An das Customs Border Protection Office beim US-amerikanischen DHS übergebe man dann via Amadeus die vorhandenen, eingeschränkten PNR-Daten.

Zusätzlich habe man aber auch die APIS-Daten (Advanced Passenger Information System) zu übergeben, also die im Ausweis des Reisenden verzeichneten Daten – die APIS-Daten sind als ein Element in den zu übergebenden PNR aufgeführt. "Es wird oft übersehen, dass PNR und APIS-Daten zwei verschiedene Dinge sind", erklärte Bruin. PNR und APIS-Daten seien anders bei US-Fluggesellschaften, sie würden über unterschiedliche Systeme übertragen und das schon seit deutlich längerer Zeit als die PNR-Daten. "Erst diese Daten erlauben eine eindeutige Identifizierung einer Person", sagt Bruin. Abgesehen von Überbuchungen und nicht angetretenen Reisen machten etwa unterschiedliche Schreibweisen für Namen die Identifizierung nicht leicht. Auch die Zusammenführung der Daten sei schwierig.

Bruin betonte, die europäischen Fluggesellschaften seien sich einig, dass die Weitergabe von Daten der Reisenden vor den Flügen künftig einfach direkt zwischen den Kunden und dem DHS abgewickelt werden sollte. Ohnehin planen die USA ganz offensichtlich, die direkte Datenabfrage, die derzeit für die nicht von der Visumspflicht befreiten EU-Mitgliedsländer über ein Online-Formular realisiert wird, auf alle EU-Mitgliedsstaaten auszudehnen. Das im Reiseverkehr mit Australien genutzte Verfahren sieht vor, dass Bürger sich zwei Tage vor Abflug registrieren. Bruin meint, damit würde die Zweckentfremdung der PNR-Daten unnötig werden. Nur leider sei in den US-Plänen nicht davon die Rede, dann auf die PNR-Datenweitergabe zu verzichten. Aus Sicht der europäischen Fluglinien könnte die PNR-Datenweitergabe dann wieder ein Fall für den europäischen Gerichtshof werden.

Aus Hasbroucks Sicht ist die direkte Weitergabe der PNR-Daten an die US-Behörden aber ohnehin nur die Spitze des Eisbergs. Sobald die Daten bei einem Unternehmen in den USA angelangt seien, etwa bei einem nicht-europäisches CRS, hätten die US-Behörden leichtes Spiel. KLM kann sich seiner Ansicht nach auch nicht darauf berufen, im Fall der Buchung in den USA nicht selbst für die Datenverarbeitung verantwortlich zu sein. Auch wenn über US-Vertragspartner gebucht werde, bedürfe die eigentliche Reservierung doch einer Bestätigung von KLM.

Im Übrigen stellt sich Hasbrouck auf den Standpunkt, dass KLM entweder die Verantwortung für die Datenverarbeitung bei den Partnerunternehmen übernehmen müsse, immerhin handelten sie als vertraglich an KLM gebundene Partner. "Oder KLM muss einräumen, dass man Daten an Dritte weitergegeben hat, die unabhängig sind und über deren Datenschutzniveau man keine Auskunft geben kann." Wäre es den Unternehmen ernst mit dem Datenschutz, meinte Hasbrouck, sei mehr Transparenz eigentlich in deren Interesse. Reisenden würde dann klar werden, dass mit der Buchung bei einer EU-Fluglinie, die ein CRS in den USA nutzt, der Nutzung der Daten durch die US-Behörden Tür und Tor geöffnet sei. Auch Amadeus hat eine Tochter in den USA. Eine Verarbeitung der Daten von EU-Kunden findet dort nach Angaben von Amadeus nicht statt.

Siehe zum Abkommen über den Transfer der Passenger Name Records auch:

• Heikle Hilfestellung zur Weitergabe von Fluggastdaten
• EU-Ratsvertreter verabschieden Fluggastdaten-Abkommen mit den USA
• EU-Parlament bemängelt Abkommen zum Fluggastdatentransfer
• EU bei Fluggastdaten "über den Tisch gezogen"
• EU-Diplomaten segnen Flugdaten-Abkommen mit den USA ab
• Schäuble verteidigt Einigung bei Fluggastdaten-Transfer in die USA
• EU und USA erzielen Vereinbarungen über Flugpassagier- und Finanzdaten
• Speicherdauer der Flugpassagierdaten soll deutlich ausgeweitet werden
• US-Minister bestreitet Datenhunger der USA

(Monika Ermert) / (jk)