Europäischer Gerichtshof Schlussanträge des Generalanwalts vom 27.01.2022 – C-817/19

SCHLUSSANTRÄGE DES GENERALANWALTS GIOVANNI PITRUZZELLA vom 27. Januar 2022 ( Rechtssache C‑817/19 Ligue des droits humains gegen Ministerrat (Vorabentscheidungsersuchen der Cour constitutionnelle [Verfassungsgerichtshof, Belgien]) „Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verarbeitung von Fluggastdatensätzen (PNR-Daten) – Verordnung (EU) 2016/679 – Anwendungsbereich – Richtlinie (EU) 2016/681 – Gültigkeit – Charta der Grundrechte der Europäischen Union – Art. 7, 8 und 52 Abs. 1“ I. Einleitung

1 Mit dem vorliegenden Vorabentscheidungsersuchen legt der Verfassungsgerichtshof (Belgien) dem Gerichtshof eine Reihe von zehn Fragen nach der Auslegung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: DSGVO) (

2 Die Fragen, über die der Gerichtshof in der vorliegenden Rechtssache zu entscheiden haben wird, fügen sich in den Rahmen eines der Hauptdilemmata des zeitgenössischen liberal-demokratischen Konstitutionalismus ein: Wie ist das Verhältnis zwischen Individuum und Gemeinwesen im Zeitalter der Daten zu bestimmen, in dem digitale Technologien die Erhebung, Vorratsspeicherung, Verarbeitung und Auswertung großer Mengen personenbezogener Daten für prädiktive Zwecke ermöglicht haben? Algorithmen, die Analyse von Big Data und künstliche Intelligenz, von denen staatliche Stellen Gebrauch machen, können dazu dienen, die Grundinteressen der Gesellschaft mit einer Effizienz zu fördern und zu schützen, die früher unvorstellbar war: Vom Schutz der öffentlichen Gesundheit zur ökologischen Nachhaltigkeit, von der Bekämpfung des Terrorismus zur Vorbeugung von Kriminalität, insbesondere schwerer Kriminalität. Gleichzeitig können die unterschiedslose Erhebung personenbezogener Daten und die Nutzung digitaler Technologien durch die öffentliche Gewalt ein digitales Panoptikum schaffen, d. h. eine Staatsmacht, die alles sieht, ohne gesehen zu werden. Eine allwissende Macht, die das Verhalten des Einzelnen kontrollieren und vorhersehen und die gebotenen Maßnahmen ergreifen kann – bis zu dem von Steven Spielberg im Film Minority Report erdachten paradoxen Ergebnis, dem Täter eines Delikts, das noch nicht begangen worden ist, vorbeugend die Freiheit zu entziehen. Wie man weiß, hat die Gesellschaft in bestimmten Ländern Vorrang vor dem Individuum und ermöglicht die Verwendung personenbezogener Daten die rechtmäßige Durchführung einer wirksamen Massenüberwachung, mit der die als grundlegend angesehenen öffentlichen Interessen geschützt werden sollen. Umgekehrt stellt der europäische – nationale und supranationale – Konstitutionalismus mit der zentralen Stellung, die dem Individuum und seinen Freiheiten eingeräumt wird, eine große Hürde für den Aufbau einer Gesellschaft der Massenüberwachung dar, vor allem nach der Anerkennung der Grundrechte auf Schutz des Privatlebens und auf Schutz personenbezogener Daten. In welchem Ausmaß kann diese Hürde jedoch errichtet werden, ohne bestimmte Grundinteressen der Gesellschaft – wie etwa die vorstehend beispielhaft angeführten Interessen –, die durchaus verfassungsrechtliche Bezüge haben können, ernsthaft zu beeinträchtigen? Das ist der Kern der Frage nach dem Verhältnis zwischen Individuum und Gemeinwesen in der digitalen Gesellschaft. Eine Frage, die zum einen die Suche nach der heiklen Balance zwischen den Interessen des Gemeinwesens und den Rechten des Einzelnen – wobei von der absoluten Bedeutung ausgegangen wird, die diese im europäischen Verfassungserbe haben – sowie deren Umsetzung und zum anderen das Treffen von Vorkehrungen gegen Missbrauch erforderlich macht. Auch hier befinden wir uns im Bereich der zeitgenössischen Version eines klassischen Themas des Konstitutionalismus, da Menschen, wie Le Fédéraliste lapidar festgestellt hat, keine Engel sind und es deshalb rechtlicher Mechanismen bedarf, um die öffentliche Gewalt zu begrenzen und zu kontrollieren.

3 Das sind die Fragen allgemeiner Natur, die sich in den Kontext der vorliegenden Schlussanträge einfügen, wobei sich diese auf die Auslegung des Unionsrechts im Licht der früheren Rechtsprechung des Gerichtshofs unter Verwendung etablierter Techniken beschränken müssen, zu denen die Technik der unionsrechtskonformen Auslegung gehört. Eine Technik, auf die in den vorliegenden Schlussanträgen oft zurückgegriffen werden soll, wenn das rechtlich möglich erscheint – mit dem Ziel, die aus verfassungsrechtlicher Sicht notwendige Balance zwischen den öffentlichen Zwecken, die dem System für die Übermittlung, Erhebung und Verarbeitung von Fluggastdatensätzen (im Folgenden: PNR-Daten) zugrunde liegen, und den in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) niedergelegten Rechte zu finden. II. Rechtlicher Rahmen A. Unionsrecht 1. Charta

4 Art. 7 der Charta lautet: „Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.“

5 In Art. 8 der Charta heißt es: „(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.“

6 Gemäß Art. 52 Abs. 1 der Charta muss „[j]ede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten … gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen“. 2. DSGVO

7 Art. 2 Abs. 2 Buchst. d der DSGVO schließt die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ vom Anwendungsbereich dieser Verordnung aus.

8 In Art. 23 Abs. 1 Buchst. d der DSGVO heißt es: „Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt: … d) die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“. 3. PNR-Richtlinie

9 Ich werde im Folgenden nur einen kurzen Überblick über die Funktionsweise des mit der PNR-Richtlinie geschaffenen Systems geben. Weitere Einzelheiten zum Inhalt der Bestimmungen der PNR-Richtlinie, die für die auf die Vorlagefragen zu gebende Antwort relevant ist, sollen im Verlauf der rechtlichen Würdigung geliefert werden.

10 Gemäß ihrem Art. 1 wird mit der PNR-Richtlinie, die auf der Grundlage von Art. 82 Abs. 1 Buchst. d AEUV und Art. 87 Abs. 2 Buchst. a AEUV erlassen worden ist, auf der Ebene der Europäischen Union ein System für die Übermittlung von PNR-Daten zu Fluggästen von Drittstaatsflügen (

11 Gemäß Art. 3 Nr. 5 dieser Richtlinie bezeichnet der Ausdruck „Fluggastdatensatz“ oder „PNR-Daten“ einen „Datensatz mit den für die Reise notwendigen Angaben zu jedem einzelnen Fluggast, die die Bearbeitung und Überprüfung der von einer Person oder in ihrem Namen getätigten Reservierungen für jede Reise durch die buchenden und beteiligten Fluggesellschaften ermöglichen, unabhängig davon, ob er in Buchungssystemen, Abfertigungssystemen (Departure Control Systems) zum Einchecken von Passagieren auf Flüge[] oder gleichwertigen Systemen, die die gleichen Funktionen bieten, enthalten ist“.

12 In Anhang I der PNR-Richtlinie (im Folgenden: Anhang I) sind die von Fluggesellschaften erhobenen PNR-Daten aufgeführt, die im Sinne und nach den Modalitäten von Art. 8 dieser Richtlinie übermittelt werden.

13 Anhang II der PNR-Richtlinie (im Folgenden: Anhang II) enthält eine Liste der strafbaren Handlungen, die „schwere Kriminalität“ im Sinne von Art. 3 Nr. 9 dieser Richtlinie darstellen.

14 Art. 2 der PNR-Richtlinie sieht für die Mitgliedstaaten die Möglichkeit vor, zu entscheiden, diese Richtlinie auch auf „Flüge innerhalb der Europäischen Union (EU-Flüge)“ (

15 Gemäß Art. 4 Abs. 1 der PNR-Richtlinie errichtet oder benennt [j]eder Mitgliedstaat … eine für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten und schwerer Kriminalität zuständige Behörde oder eine Abteilung einer solchen Behörde, die als seine PNR-Zentralstelle handelt“. Nach Abs. 2 Buchst. a dieses Artikels ist die PNR-Zentralstelle u. a. verantwortlich für die Erhebung der PNR-Daten bei Fluggesellschaften, für die Speicherung und Verarbeitung dieser Daten sowie die Übermittlung dieser Daten oder der Ergebnisse ihrer Verarbeitung an die zuständigen Behörden nach Art. 7 der PNR-Richtlinie. Gemäß Art. 7 Abs. 2 sind diese Behörden „diejenigen Behörden, die für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten oder schwerer Kriminalität zuständig sind“ (

16 In Art. 6 Abs. 1 Satz 2 der PNR-Richtlinie heißt es: „Wenn die von Fluggesellschaften übermittelten PNR-Daten andere als die in Anhang I genannten Daten beinhalten, werden diese Daten von der PNR-Zentralstelle unmittelbar nach ihrem Eingang dauerhaft gelöscht.“ Abs. 2 dieses Artikels hat folgenden Wortlaut: „(2) Die PNR-Zentralstelle verarbeitet PNR-Daten ausschließlich zu folgenden Zwecken: a) Überprüfung von Fluggästen vor ihrer planmäßigen Ankunft in einem Mitgliedstaat oder vor ihrem Abflug von einem Mitgliedstaat, um diejenigen Personen zu ermitteln, die von den zuständigen Behörden gemäß Artikel 7 und gegebenenfalls – im Einklang mit Artikel 10 – von Europol genauer überprüft werden müssen, da sie möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind; b) im Einzelfall Beantwortung von auf einer hinreichenden Grundlage gebührend begründeten Anfragen zuständiger Behörden hinsichtlich der Zurverfügungstellung und Verarbeitung von PNR-Daten in besonderen Fällen zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität[] und der Zurverfügungstellung der Ergebnisse dieser Verarbeitung an die zuständigen Behörden oder gegebenenfalls an Europol, und c) Analyse von PNR-Daten zwecks Aktualisierung der Kriterien oder Aufstellung neuer Kriterien zur Verwendung in gemäß Absatz 3 Buchstabe b durchgeführten Überprüfungen, die der Ermittlung von Personen gelten, die möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind“.

17 Art. 12 der PNR-Richtlinie enthält Bestimmungen über die Speicherung von PNR-Daten.

18 Art. 5 der PNR-Richtlinie sieht vor, dass die PNR-Zentralstelle einen Datenschutzbeauftragten ernennt, der für die Überwachung der Verarbeitung der PNR-Daten und die Umsetzung der maßgeblichen Sicherheitsvorkehrungen zuständig ist. Außerdem ist jeder Mitgliedstaat gemäß Art. 15 dieser Richtlinie verpflichtet, die nationale Kontrollstelle gemäß Art. 25 des Rahmenbeschlusses 2008/977/JI ( 4. Weitere einschlägige Rechtsakte der Union

19 Der rechtliche Rahmen der vorliegenden Rechtssache wird durch die API-Richtlinie und die Polizei-Richtlinie vervollständigt. Aus Gründen der Lesbarkeit der vorliegenden Schlussanträge soll der Inhalt der einschlägigen Bestimmungen dieser Rechtsakte nur insoweit dargelegt werden, als sich das für die Behandlung der sie betreffenden Fragen oder ganz allgemein für die Zwecke der rechtlichen Würdigung als erforderlich erweist. B. Belgisches Recht

20 Nach Art. 22 der belgischen Verfassung hat „[j]eder … ein Recht auf Achtung vor seinem Privat- und Familienleben, außer in den Fällen und unter den Bedingungen, die durch Gesetz festgelegt sind“.

21 Gemäß seinem Art. 2 werden mit dem PNR-Gesetz die API-Richtlinie und die PNR-Richtlinie sowie teilweise die Richtlinie 2010/65/EU (

22 Nach seinem Art. 3 § 1 bestimmt das PNR-Gesetz „die Verpflichtungen der Beförderungsunternehmen und Reiseunternehmen in Bezug auf die Übermittlung von Daten zu Passagieren, die in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet oder durch das nationale Hoheitsgebiet befördert werden“. Gemäß Art. 4 Nrn. 1 und 2 dieses Gesetzes versteht man unter „Beförderungsunternehmen“„eine natürliche oder juristische Person, die gewerblich die Beförderung von Personen auf dem Luft‑, See‑, Eisenbahn- oder Landweg durchführt“, und unter „Reiseunternehmen“„einen Reiseveranstalter oder ‑vermittler im Sinne des Gesetzes vom 16. Februar 1994 zur Regelung des Reiseveranstaltungsvertrags und des Reisevermittlungsvertrags“.

23 Art. 8 des PNR-Gesetzes sieht vor: „§ l. Die Passagierdaten werden zu folgenden Zwecken verarbeitet: 1. Ermittlung und Verfolgung, einschließlich Vollstreckung von Strafen oder freiheitsbeschränkenden Maßnahmen, in Bezug auf die in Artikel 90ter § 2 … Nr. 7, 8, 11, 14, 17 bis [19] … und § 3 des Strafprozessgesetzbuches erwähnten Straftaten, 2. Ermittlung und Verfolgung, einschließlich Vollstreckung von Strafen oder freiheitsbeschränkenden Maßnahmen, in Bezug auf die in Artikel 196, was die Fälschung authentischer und öffentlicher Urkunden betrifft, 198, 199, 199bis, 207, 213, 375 und 505 des Strafgesetzbuches erwähnten Straftaten, 3. Verhinderung schwerer Störungen der öffentlichen Sicherheit im Rahmen der gewalttätigen Radikalisierung durch Beobachtung der Phänomene und Gruppierungen gemäß Artikel 44/5 § 1 Nr. 2 und 3 und § 2 des Gesetzes vom 5. August 1992 über das Polizeiamt, 4. Beaufsichtigung der in den Artikeln 7 Nr. 1 und 3/1 und 11 § 1 Nr. 1 bis 3 und 5 des Grundlagengesetzes vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste[ ( 5. Ermittlung und Verfolgung der Straftaten, erwähnt in Artikel 220 § 2 des allgemeinen Gesetzes vom 18. Juli 1977 über Zölle und Akzisen, in Artikel 45 Absatz 3 des Gesetzes vom 22. Dezember 2009 über die allgemeine Akzisenregelung … § 2. Die Passagierdaten werden unter den in Kapitel 11 erwähnten Bedingungen ebenfalls verarbeitet, um die Personenkontrolle an den Außengrenzen zu verbessern und die illegale Einwanderung zu bekämpfen.“

24 Art. 9 des PNR-Gesetzes enthält eine Liste der Daten, die übermittelt werden. Diese Daten entsprechen den in Anhang I aufgeführten Daten.

25 Art. 18 des PNR-Gesetzes lautet: „Passagierdaten werden höchstens fünf Jahre ab ihrer Speicherung in der Passagierdatenbank aufbewahrt. Am Ende dieser Frist werden sie vernichtet.“

26 Art. 19 dieses Gesetzes sieht vor: „Nach Ablauf einer sechsmonatigen Frist ab der Speicherung der Passagierdaten in der Passagierdatenbank werden alle Passagierdaten durch Unkenntlichmachung [von] Datenelemente[n] … depersonalisiert[.]“

27 Art. 24 des PNR-Gesetzes bestimmt: „§ 1. Die Passagierdaten werden im Hinblick auf die Durchführung einer Vorabüberprüfung der Passagiere vor ihrer Ankunft im nationalen Hoheitsgebiet, ihrer Abreise aus dem nationalen Hoheitsgebiet oder ihrer Durchreise durch das nationale Hoheitsgebiet verarbeitet, um diejenigen Personen zu ermitteln, die genauer überprüft werden müssen. § 2. Im Rahmen der Zwecke, die in Artikel 8 § 1 Nr. 1, 4 und 5 erwähnt sind oder sich auf Bedrohungen beziehen, die in den Artikeln 8 Nr. 1 Buchstabe a), b), c), d), f), g) und 11 § 2 des Grundlagengesetzes vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste aufgeführt sind, beruht die Vorabüberprüfung der Passagiere auf einem Treffer aus einer Korrelation zwischen den Passagierdaten und: 1. den Datenbanken, die von den zuständigen Diensten verwaltet werden oder die ihnen im Rahmen ihrer Aufträge unmittelbar zur Verfügung stehen oder zugänglich sind, oder Personenlisten, die von den zuständigen Diensten im Rahmen ihrer Aufträge erstellt werden, 2. den Überprüfungskriterien, die von der PNR-Zentralstelle im Voraus festgelegt sind und in Artikel 25 erwähnt sind. § 3. Im Rahmen der in Artikel 8 § 1 Nr. 3 erwähnten Zwecke beruht die Vorabüberprüfung der Passagiere auf einem Treffer aus einer Korrelation zwischen den Passagierdaten und den in § 2 Nr. 1 erwähnten Datenbanken. …“

28 Art. 25 des PNR-Gesetzes übernimmt den Inhalt von Art. 6 Abs. 4 der PNR-Richtlinie.

29 Kapitel 11 des PNR-Gesetzes enthält Vorschriften über die Verarbeitung der Passagierdaten im Hinblick auf eine Verbesserung der Grenzkontrolle und die Bekämpfung der illegalen Einwanderung. Diese Vorschriften stellen die Umsetzung der API-Richtlinie in belgisches Recht dar.

30 Art. 44 des PNR-Gesetzes sieht vor, dass die PNR-Zentralstelle einen Datenschutzbeauftragten innerhalb des Föderalen Öffentlichen Dienstes Inneres bestimmt. Die Kontrolle hinsichtlich der Anwendung der Bestimmungen des PNR-Gesetzes wird vom Ausschuss für den Schutz des Privatlebens ausgeübt.

31 Mit Art. 51 des PNR-Gesetzes wird das Grundlagengesetz vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste durch Einfügung eines Art. 16/3 mit folgendem Wortlaut abgeändert: „§ 1. Die Nachrichten- und Sicherheitsdienste können im Interesse der Ausübung ihrer Aufträge und ordnungsgemäß begründet beschließen, auf die in Artikel 7 des [PNR-Gesetzes] erwähnten Passagierdaten zuzugreifen. § 2. Der in § 1 erwähnte Beschluss wird von einem Dienstleiter gefasst und der in Kapitel 7 des vorerwähnten Gesetzes erwähnten PNR-Zentralstelle schriftlich übermittelt. Der Beschluss wird zusammen mit seiner Begründung dem Ständigen Ausschuss N notifiziert. Der Ständige Ausschuss N verbietet den Nachrichten- und Sicherheitsdiensten, die gesammelten Daten unter Bedingungen zu benutzen, die die gesetzlichen Bedingungen nicht einhalten. Der Beschluss kann eine Gesamtheit von Daten in Bezug auf eine spezifische nachrichtendienstliche Untersuchung betreffen. In diesem Fall wird dem Ständigen Ausschuss N einmal pro Monat die Liste der Abfragen der Passagierdaten übermittelt.“ C. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof

32 Mit einer an den Verfassungsgerichtshof gerichteten Klageschrift vom 24. Juli 2017 erhob die LDH Klage auf vollständige oder teilweise Nichtigerklärung des PNR-Gesetzes. Zur Stützung ihrer Klage machte sie zwei Klagegründe geltend.

33 Mit ihrem ersten Klagegrund eines Verstoßes gegen Art. 22 der belgischen Verfassung in Verbindung mit Art. 23 der DSGVO, den Art. 7, 8 und 52 Abs. 1 der Charta sowie Art. 8 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) vertritt die LDH die Ansicht, das angefochtene Gesetz verstoße hinsichtlich seines Anwendungsbereichs und der genannten Datenkategorien, der mit ihm eingeführten Datenverarbeitungen, seiner Zwecke sowie der Aufbewahrungsdauer der Daten gegen den Grundsatz der Verhältnismäßigkeit. Sie trägt insbesondere vor, dass die Definition der PNR-Daten zu weit sei und zur Preisgabe sensibler Daten führen könne und dass die in diesem Gesetz enthaltene Definition des Begriffs „Passagier“ eine systematische und nicht zielgerichtete Verarbeitung der Daten aller betroffenen Fluggäste ermögliche. Außerdem würden im PNR-Gesetz weder die Art und die Modalitäten der Pre-Screening-Methode der Passagierdatenbanken noch die Kriterien festgelegt, die als „Indikatoren für die Bedrohung“ dienten. Schließlich überschreite das PNR-Gesetz die Grenzen des absolut Notwendigen in dem Sinne, dass es Zwecke der Verarbeitung von PNR-Daten verfolge, die über die in der PNR-Richtlinie zugelassenen Zwecke hinausgingen; auch sei die Aufbewahrungsdauer von fünf Jahren für PNR-Daten unverhältnismäßig. Mit ihrem hilfsweise vorgebrachten zweiten Klagegrund, mit dem ein Verstoß gegen Art. 22 der belgischen Verfassung in Verbindung mit Art. 3 Abs. 2 EUV und Art. 45 der Charta geltend gemacht wird, greift die LDH die Bestimmungen von Kapitel 11 des PNR-Gesetzes an, mit denen die API-Richtlinie umgesetzt wird.

34 Der Ministerrat des Königreichs Belgien wendet sich als Streithelfer vor dem Verfassungsgerichtshof gegen die Klage der LDH und bestreitet sowohl die Zulässigkeit als auch die Begründetheit der beiden zu ihrer Stützung vorgebrachten Klagegründe.

35 Der Verfassungsgerichtshof stellt seinerseits folgende Erwägungen an.

36 In Bezug auf den ersten Klagegrund fragt er sich zunächst, ob die Definition der PNR-Daten in Anhang I hinreichend klar und präzise ist. Die Beschreibung bestimmter Daten habe beispielhaften und nicht erschöpfenden Charakter. Sodann habe die Definition des Begriffs „Fluggast“ in Art. 3 Nr. 4 der PNR-Richtlinie die Erhebung, Übermittlung, Verarbeitung und Speicherung der PNR-Daten jeder beförderten oder zu befördernden und in der Passagierliste eingetragenen Person zur Folge, unabhängig davon, ob ein begründeter Verdacht bestehe, dass die betreffende Person eine Straftat begangen habe oder in naher Zukunft begehen werde oder für eine Straftat verurteilt worden sei. Bezüglich der Verarbeitungen der PNR-Daten weist er darauf hin, dass diese systematisch Gegenstand einer Vorabüberprüfung seien, bei der die PNR-Daten aller Fluggäste mit Datenbanken oder im Voraus festgelegten Kriterien abgeglichen würden, um Übereinstimmungen festzustellen. Gleichwohl stellt der Verfassungsgerichtshof klar, dass die Kriterien zwar spezifisch, zuverlässig und nicht diskriminierend sein müssten, es ihm aber technisch unmöglich erscheine, die im Voraus festgelegten Kriterien für die Bestimmung von Risikoprofilen weiter zu definieren. In Bezug auf die Frist für die Speicherung der PNR-Daten gemäß Art. 12 Abs. 1 der PNR-Richtlinie, wonach diese Daten für einen Zeitraum von fünf Jahren vorgehalten werden können, vertritt das vorlegende Gericht die Auffassung, die PNR-Daten würden aufbewahrt, ohne die Frage zu berücksichtigen, ob die betreffenden Fluggäste im Rahmen der Vorabüberprüfung eine Gefahr für die öffentliche Sicherheit darstellen könnten oder nicht. Unter diesen Umständen fragt sich das vorlegende Gericht, ob in Anbetracht der u. a. aus dem Urteil vom 21. Dezember 2016, Tele2 Sverige und Watson u. a. (

37 In diesem Kontext hat der Verfassungsgerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Ist Art. 23 der [DSGVO] in Verbindung mit Art. 2 Abs. 2 Buchst. d dieser Verordnung so auszulegen, dass er auf einzelstaatliche Rechtsvorschriften wie das [PNR-Gesetz], mit dem die [PNR-Richtlinie] sowie die [API-Richtlinie] und die Richtlinie 2010/65 umgesetzt werden, anwendbar ist? 2. Ist Anhang I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] in dem Sinne vereinbar, dass die darin aufgeführten Daten sehr weitgehend sind – insbesondere die in Nr. 18 [dieses Anhangs I] erwähnten Daten, die über die in Art. 3 Abs. 2 der [API-Richtlinie] erwähnten Daten hinausgehen – insofern sie zusammengenommen sensible Daten offenlegen könnten und so über das „absolut Notwendige“ hinausgehen könnten? 3. Sind die Nrn. 12 und 18 des Anhangs I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern unter Berücksichtigung des Wortes „einschließlich“ die dort aufgeführten Daten in beispielhafter und nicht erschöpfender Weise genannt werden, was somit gegen die Anforderung der Präzision und Klarheit der Regeln, die einen Eingriff in das Recht auf Achtung des Privatlebens und das Recht auf Schutz personenbezogener Daten nach sich ziehen, verstoßen könnte? 4. Sind Art. 3 Nr. 4 der [PNR-Richtlinie] und Anhang I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern das System zur allgemeinen Erhebung, Übermittlung und Verarbeitung von Passagierdaten, das mit diesen Bestimmungen eingeführt wird, auf jede Person abzielt, die das betreffende Beförderungsmittel benutzt, unabhängig von einem objektiven Anhaltspunkt für die Annahme, dass von dieser Person eine Gefahr für die öffentliche Sicherheit ausgehen könnte? 5. Ist Art. 6 der [PNR-Richtlinie] in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der [Charta] dahin auszulegen, dass er einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das als Verarbeitungszweck der PNR-Daten die Beaufsichtigung der erwähnten Aktivitäten durch die Nachrichten- und Sicherheitsdienste zulässt und so diesen Zweck in die Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität aufnimmt? 6. Ist Art. 6 der [PNR-Richtlinie] mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern die in ihm geregelte Vorabüberprüfung durch eine Korrelation mit Datenbanken und im Voraus festgelegten Kriterien systematisch und allgemein auf die Passagierdaten angewandt wird, unabhängig von einem objektiven Anhaltspunkt für die Annahme, dass von diesen Fluggästen eine Gefahr für die öffentliche Sicherheit ausgehen könnte? 7. Kann der in Art. 12 Abs. 3 der [PNR-Richtlinie] erwähnte Ausdruck „andere nationale Behörde, die … zuständig ist“ dahin ausgelegt werden, dass er sich auf die PNR-Zentralstelle bezieht, die durch das [PNR-Gesetz] geschaffen wurde und die somit den Zugriff auf die PNR-Daten nach einer sechsmonatigen Frist im Rahmen von gezielten Recherchen gestatten dürfte? 8. Ist Art. 12 der [PNR-Richtlinie] in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der [Charta] dahin auszulegen, dass er einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das eine allgemeine Aufbewahrungsdauer für die Daten von fünf Jahren vorsieht, ohne eine Unterscheidung danach vorzunehmen, ob sich im Rahmen der Vorabüberprüfung herausstellt, dass die betroffenen Fluggäste ein Risiko für die öffentliche Sicherheit darstellen können oder nicht? 9. a) Ist die [API-Richtlinie] mit Art. 3 Abs. 2 [EUV] und mit Art. 45 der [Charta] vereinbar, insofern die Pflichten, die sie einführt, für Flüge innerhalb der … Union gelten? b) Ist die [API-Richtlinie] in Verbindung mit Art. 3 Abs. 2 [EUV] und mit Art. 45 der [Charta] dahin auszulegen, dass sie einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das zum Zwecke der Bekämpfung der illegalen Einwanderung und der Verbesserung der Grenzkontrollen ein System zur Erhebung und Verarbeitung der Daten „zu den in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet oder durch das nationale Hoheitsgebiet“ beförderten Passagieren gestattet, was indirekt eine Wiedereinführung von Kontrollen an den Binnengrenzen bedeuten könnte? 10. Könnte der Verfassungsgerichtshof, falls er auf der Grundlage der Antworten auf die vorstehenden Vorabentscheidungsfragen zu dem Schluss gelangen sollte, dass das angefochtene Gesetz, mit dem insbesondere die [PNR-Richtlinie] umgesetzt wird, gegen eine oder mehrere der Verpflichtungen verstößt, die sich aus den in diesen Fragen genannten Bestimmungen ergeben, die Folgen des [PNR-Gesetzes] vorläufig aufrechterhalten, um eine Rechtsunsicherheit zu vermeiden und es zu ermöglichen, dass die zuvor gesammelten und auf Vorrat gespeicherten Daten noch für die durch [dieses] Gesetz angestrebten Ziele benutzt werden können?

38 Die LDH, die belgische, die tschechische, die dänische, die deutsche, die estnische, die irische, die spanische, die französische, die zyprische, die lettische, die niederländische, die österreichische, die polnische und die finnische Regierung sowie das Europäische Parlament, der Rat der Europäischen Union und die Europäische Kommission haben gemäß Art. 23 der Satzung des Gerichtshofs der Europäischen Union schriftliche Erklärungen eingereicht. Nach Art. 24 der Satzung des Gerichtshofs der Europäischen Union sind die Kommission, der Europäische Datenschutzbeauftragte (EDSB) und die Agentur der Europäischen Union für Grundrechte (FRA) aufgefordert worden, schriftlich auf Fragen des Gerichtshofs zu antworten. Eine mündliche Verhandlung hat am 13. Juli 2021 stattgefunden. III. Würdigung A. Zur ersten Vorlagefrage

39 Mit seiner ersten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob Art. 2 Abs. 2 Buchst. d der DSGVO dahin auszulegen ist, dass diese Verordnung, insbesondere ihr Art. 23 Abs. 1, wonach durch Rechtsvorschriften der Union oder der Mitgliedstaaten die Pflichten und Rechte gemäß der Verordnung im Wege von Gesetzgebungsmaßnahmen aus abschließend aufgeführten Gründen beschränkt werden können, für Datenverarbeitungen auf der Grundlage nationaler Rechtsvorschriften wie des PNR-Gesetzes gilt, mit dem die PNR-Richtlinie sowie die API-Richtlinie und die Richtlinie 2010/65 in innerstaatliches Recht umgesetzt werden.

40 Art. 2 Abs. 2 der DSGVO sieht Ausnahmen vom Anwendungsbereich dieser Verordnung vor, der in deren Art. 2 Abs. 1 (

41 Art. 2 Abs. 2 Buchst. d der DSGVO enthält u. a. eine Ausschlussklausel, wonach diese Verordnung auf die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ keine Anwendung findet. Diese Ausschlussklausel beruht auf einem subjektiven und objektiven Doppelkriterium. So sind vom Anwendungsbereich der Verordnung Datenverarbeitungen erstens durch die „zuständigen Behörden“ und zweitens zu den in dieser Vorschrift aufgeführten Zwecken ausgeschlossen. Daher sind die verschiedenen vom PNR-Gesetz erfassten Arten von Datenverarbeitungen anhand dieses Doppelkriteriums zu prüfen.

42 Was als Erstes Datenverarbeitungen durch (Luft‑, Eisenbahn‑, Land- und See‑) Beförderungsunternehmen oder durch Reiseunternehmen zur Erbringung von Dienstleistungen oder zu kommerziellen Zwecken angeht, so werden diese, sofern im PNR-Gesetz genannt, weiterhin durch die DSGVO geregelt, da weder der subjektive noch der objektive Teil des in Art. 2 Abs. 2 Buchst. d dieser Verordnung enthaltenen Ausschlusskriteriums erfüllt ist.

43 Was als Zweites die Übermittlung von PNR-Daten durch Beförderungsunternehmen oder Reiseunternehmen an die PNR-Zentralstelle betrifft, die als solche eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 der DSGVO darstellt (

44 Zum einen wird diese Übermittlung nämlich nicht von einer „zuständigen Behörde“ im Sinne von Art. 3 Nr. 7 der Polizei-Richtlinie, auf die in Ermangelung einer Definition dieses Begriffs in der DSGVO entsprechend Bezug zu nehmen ist, vorgenommen (

45 Zum anderen wird die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen vorgenommen, um eine gesetzlich vorgeschriebene Verpflichtung zu erfüllen, mit dem Ziel, die Verfolgung der in Art. 2 Abs. 2 Buchst. d der DSGVO aufgeführten Zwecke zu ermöglichen.

46 Aus dem Wortlaut dieser Vorschrift geht nach meinem Dafürhalten jedoch eindeutig hervor, dass nur Verarbeitungen, die sowohl den subjektiven Teil als auch den objektiven Teil des in ihr genannten Ausschlusskriteriums erfüllen, nicht in den Anwendungsbereich der DSGVO fallen. Die den Beförderungsunternehmen und den Reiseunternehmen durch das PNR-Gesetz auferlegte Verpflichtung zur Übermittlung von PNR-Daten an die PNR-Zentralstelle fällt daher unter diese Verordnung.

47 Hinsichtlich der Bestimmungen des PNR-Gesetzes zur Umsetzung der PNR-Richtlinie wird die vorstehende Schlussfolgerung durch Art. 21 Abs. 2 dieser Richtlinie untermauert, der vorsieht, dass die Richtlinie „nicht die Anwendbarkeit der Richtlinie 95/46/EG[ (

48 Die Schlussfolgerung in Nr. 46 der vorliegenden Schlussanträge wird durch den 19. Erwägungsgrund der DSGVO und den elften Erwägungsgrund der Polizei-Richtlinie, auf die u. a. die deutsche, die irische und die französische Regierung in ihrem Vorbringen verweisen, die PNR-Richtlinie sei eine lex specialis, nicht in Frage gestellt. Daran ist zwar richtig, dass mit der PNR-Richtlinie für die in ihr genannten Verarbeitungen personenbezogener Daten ein gegenüber der DSGVO eigenständiger Rahmen zum Datenschutz geschaffen wird. Dieser spezifische Rahmen gilt jedoch nur für Verarbeitungen von PNR-Daten durch „zuständige Behörden“ im Sinne von Art. 3 Nr. 7 der Polizei-Richtlinie, zu denen insbesondere die PNR-Zentralstellen gehören, während die Übermittlung von PNR-Daten an die PNR-Zentralstellen in Anwendung u. a. der in Art. 21 Abs. 2 der PNR-Richtlinie vorgesehenen „Vorbehaltsklausel“ dem mit der DSGVO geschaffenen allgemeinen Rahmen unterworfen bleibt.

49 Zur Stützung ihrer Auffassung, wonach die DSGVO nicht für die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen an die PNR-Zentralstellen gelte, verweisen die belgische, die irische, die französische und die zyprische Regierung auf das Urteil vom 30. Mai 2006, Parlament/Rat und Kommission (Zweck der Übermittlung sowie die Tatsache berücksichtigt, dass diese „in einem von staatlichen Stellen geschaffenen Rahmen statt[fand]“, obwohl die Daten von privaten Wirtschaftsteilnehmern erhoben und übermittelt wurden (

50 Insoweit genügt die Feststellung, dass das Urteil Parlament/Rat, wie der Gerichtshof im Urteil vom 6. Oktober 2020, La Quadrature du Net u. a. (

51 Darüber hinaus hat der Gerichtshof die Argumentation, der er in den Urteilen Tele2 Sverige und vom 2. Oktober 2018, Ministerio Fiscal (

52 Aus den bereits dargelegten Gründen bin ich davon überzeugt, dass sich die Schlussfolgerung, wonach die Übermittlung von PNR-Daten durch die Beförderungsunternehmen und die Reiseunternehmen an die PNR-Zentralstellen unter die DSGVO fällt, bereits klar aus dem Wortlaut von Art. 2 Abs. 2 Buchst. d der DSGVO ergibt, der sich nur auf Verarbeitungen durch „zuständige Behörden“ bezieht, ohne dass es erforderlich ist, auf die in Art. 23 Abs. 1 dieser Verordnung enthaltene Beschränkungsklausel Bezug zu nehmen (

53 Da die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen in den Anwendungsbereich der DSGVO fällt, stellen nationale Rechtsvorschriften wie das PNR-Gesetz, das diese Unternehmen zur Vornahme einer solchen Übermittlung verpflichtet, eine „Gesetzgebungsmaßnahme“ gemäß Art. 23 Abs. 1 Buchst. d der DSGVO dar und müssen daher die darin vorgesehenen Voraussetzungen erfüllen (

54 Was als Drittes Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die zuständigen nationalen Behörden angeht, hängt die Anwendbarkeit der DSGVO, wie aus den vorstehenden Ausführungen hervorgeht, von den Zwecken ab, die mit diesen Verarbeitungen verfolgt werden.

55 So sind erstens Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die zuständigen nationalen Behörden zu den in Art. 8 § 1 Nrn. 1 bis 3 und 5 des PNR-Gesetzes aufgeführten Zwecken (

56 Gleiches gilt zweitens für Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die Sicherheits- und Nachrichtendienste im Rahmen der Beaufsichtigung der in den Bestimmungen des Grundlagengesetzes über die Nachrichten- und Sicherheitsdienste erwähnten Aktivitäten, die in Art. 8 § 1 Nr. 4 des PNR-Gesetzes aufgeführt sind, soweit sie die in Art. 2 Abs. 2 Buchst. d der DSGVO genannten Zwecke erfüllen, was das vorlegende Gericht zu beurteilen hat.

57 Die belgische Regierung trägt vor, Verarbeitungen gemäß Art. 8 § 1 Nr. 4 des PNR-Gesetzes würden in jedem Fall von den Ausschlussklauseln in Art. 2 Abs. 2 Buchst. a der DSGVO und in Art. 2 Abs. 3 Buchst. a der Polizei-Richtlinie erfasst, da die Tätigkeiten der Sicherheits- und Nachrichtendienste nicht in den Anwendungsbereich des Unionsrechts fielen.

58 Obwohl der Gerichtshof nicht zur Auslegung dieser Vorschriften befragt wird, stelle ich insoweit zunächst fest, dass, wie der Gerichtshof bereits entschieden hat, eine nationale Regelung, die privaten Wirtschaftsteilnehmern Verarbeitungspflichten auferlegt, selbst dann unter die Bestimmungen des Unionsrechts im Bereich des Schutzes personenbezogener Daten fällt, wenn sie den Schutz der nationalen Sicherheit betrifft (

59 Sodann weise ich darauf hin, dass die DSGVO nach ihrem 16. Erwägungsgrund zwar nicht für „die nationale Sicherheit betreffende Tätigkeiten“ gilt und, wie der 14. Erwägungsgrund der Polizei-Richtlinie klarstellt, „die nationale Sicherheit betreffende Tätigkeiten [und] Tätigkeiten von Agenturen oder Stellen, die mit Fragen der nationalen Sicherheit befasst sind, … nicht als Tätigkeiten betrachtet werden [sollten], die in den Anwendungsbereich dieser Richtlinie fallen“, die Kriterien, auf deren Grundlage eine Verarbeitung personenbezogener Daten durch eine öffentliche Behörde, Stelle oder Agentur eines Mitgliedstaats in den Anwendungsbereich eines der beiden Unionsrechtsakte zur Regelung des Schutzes der betreffenden Personen bei solchen Verarbeitungen fällt oder außerhalb des Anwendungsbereichs des Unionsrechts liegt, aber einer Logik folgen, die sowohl mit den dieser Behörde, Stelle oder Agentur zugewiesenen Funktionen als auch mit den Zwecken der Verarbeitung zusammenhängt. Deshalb hat der Gerichtshof entschieden, dass Art. 2 Abs. 2 Buchst. a der DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung „so zu verstehen ist, dass damit vom Anwendungsbereich dieser Verordnung allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt“ (

60 Drittens ist in Übereinstimmung mit allen Verfahrensbeteiligten, die Erklärungen abgegeben haben, mit Ausnahme der französischen Regierung davon auszugehen, dass Verarbeitungen von PNR-Daten durch die zuständigen belgischen Behörden zu den in Art. 8 § 2 des PNR-Gesetzes genannten Zwecken, nämlich „um die Personenkontrolle an den Außengrenzen zu verbessern und die illegale Einwanderung zu bekämpfen“ (

61 Nach alledem schlage ich dem Gerichtshof vor, auf die erste Vorlagefrage zu antworten, dass Art. 23 der DSGVO in Verbindung mit Art. 2 Abs. 2 Buchst. d dieser Verordnung dahin auszulegen ist, dass er – für nationale Rechtsvorschriften zur Umsetzung der PNR-Richtlinie gilt, soweit diese Rechtsvorschriften Verarbeitungen von PNR-Daten durch Beförderungsunternehmen und andere Wirtschaftsteilnehmer, einschließlich der in Art. 8 der Richtlinie vorgesehenen Übermittlung von PNR-Daten an die PNR-Zentralstellen, regeln; – nicht für nationale Rechtsvorschriften zur Umsetzung der PNR-Richtlinie gilt, soweit diese Rechtsvorschriften Datenverarbeitungen durch die zuständigen nationalen Behörden, einschließlich der PNR-Zentralstellen und gegebenenfalls der Sicherheits- und Nachrichtendienste des betreffenden Mitgliedstaats, zu den in Art. 1 Abs. 2 der Richtlinie vorgesehenen Zwecken regeln; – für nationale Rechtsvorschriften zur Verbesserung der Personenkontrolle an den Außengrenzen und zur Bekämpfung der illegalen Einwanderung gilt, mit denen die API-Richtlinie und die Richtlinie 2010/65 umgesetzt werden. B. Zur zweiten, zur dritten, zur vierten, zur sechsten und zur achten Vorlagefrage

62 Mit seiner zweiten, seiner dritten, seiner vierten und seiner sechsten Vorlagefrage befragt der Verfassungsgerichtshof den Gerichtshof zur Gültigkeit der PNR-Richtlinie in Bezug auf die Art. 7, 8 und 52 Abs. 1 der Charta. Obwohl sie wie eine Auslegungsfrage abgefasst ist, zielt auch die achte Vorlagefrage im Wesentlichen darauf ab, den Gerichtshof zu veranlassen, sich zur Gültigkeit dieser Richtlinie zu äußern.

63 Mit den Fragen, die sich auf die verschiedenen Elemente des durch die PNR-Richtlinie geschaffenen Systems zur Verarbeitung von PNR-Daten beziehen, wird für jedes einzelne dieser Elemente um Beurteilung der Frage ersucht, ob es die Voraussetzungen erfüllt, von denen die Rechtmäßigkeit der Beschränkungen für die Ausübung der in den Art. 7 und 8 der Charta niedergelegten Grundrechte abhängt. So betreffen die zweite und die dritte Vorlagefrage den Katalog der PNR-Daten in Anhang I, die vierte Frage die Definition des Begriffs „Fluggast“ in Art. 3 Nr. 4 der PNR-Richtlinie, die sechste Frage die Verwendung der PNR-Daten für die Vorabüberprüfung gemäß Art. 6 dieser Richtlinie und die achte Frage die in Art. 12 Abs. 1 der Richtlinie vorgesehene Frist für die Speicherung der PNR-Daten. 1. Zu den in den Art. 7 und 8 der Charta niedergelegten Grundrechten

64 Art. 7 der Charta garantiert jeder Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Kommunikation. Art. 8 Abs. 1 der Charta räumt jeder Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten ein. Nach ständiger Rechtsprechung sind diese Rechte, die sich auf jede Information erstrecken, die eine bestimmte oder bestimmbare natürliche Person betrifft, eng miteinander verknüpft, da der Zugriff auf personenbezogene Daten einer natürlichen Person zum Zweck ihrer Speicherung oder Verwendung das Recht dieser Person auf Achtung des Privatlebens berührt (

65 Die in den Art. 7 und 8 der Charta niedergelegten Rechte können jedoch keine uneingeschränkte Geltung beanspruchen, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen werden (

66 Jede Einschränkung des Rechts auf Schutz personenbezogener Daten und des Rechts auf Privatsphäre muss außerdem die Vorgaben von Art. 52 Abs. 1 der Charta beachten. So muss eine solche Einschränkung gesetzlich vorgesehen sein, den Wesensgehalt dieser Rechte achten und unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

67 Bei der Beurteilung einer die genannten Rechte einschränkenden Maßnahme muss auch berücksichtigt werden, welche Bedeutung den in den Art. 3, 4, 6 und 7 der Charta verankerten Rechten und den Zielen des Schutzes der nationalen Sicherheit und der Bekämpfung schwerer Kriminalität als Beitrag zum Schutz der Rechte und Freiheiten anderer zukommt (

68 Darüber hinaus soll mit Art. 52 Abs. 3 der Charta die notwendige Kohärenz zwischen den in der Charta enthaltenen Rechten und den entsprechenden durch die EMRK garantierten Rechten, die als Mindestschutzstandard zu berücksichtigen sind, gewährleistet werden (

69 Im Licht der vorstehend aufgeführten Grundsätze sind die Gültigkeitsfragen des Verfassungsgerichtshofs zu prüfen. 2. Zum Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte

70 Der Gerichtshof hat bereits entschieden, dass Bestimmungen, die die Übermittlung personenbezogener Daten natürlicher Personen an einen Dritten, etwa eine Behörde, vorschreiben oder gestatten, bei fehlender Einwilligung dieser natürlichen Personen unabhängig von der späteren Verwendung der in Rede stehenden Daten als Eingriff in ihr Privatleben und damit – unbeschadet ihrer etwaigen Rechtfertigung – als Einschränkung des durch Art. 7 der Charta garantierten Grundrechts einzustufen sind (

71 Der Gerichtshof hat ebenfalls bereits entschieden, dass PNR-Daten wie die in Anhang I aufgezählten Informationen über bestimmte natürliche Personen, und zwar die betroffenen Fluggäste, enthalten und dass daher die verschiedenen Verarbeitungen, die mit den PNR-Daten vorgenommen werden können, das Grundrecht auf Achtung des Privatlebens, das in Art. 7 der Charta garantiert ist, berühren. Diese Verarbeitungen fallen zudem unter Art. 8 der Charta und müssen deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen (

72 Daher stellen nach der PNR-Richtlinie zulässige Verarbeitungen von PNR-Daten, insbesondere – was für die Zwecke der vorliegenden Rechtssache von Interesse ist – die Übermittlung dieser Daten durch die Fluggesellschaften an die PNR-Zentralstellen, ihre Verwendung durch die PNR-Zentralstellen, ihre spätere Übermittlung an zuständige nationale Behörden im Sinne von Art. 7 der PNR-Richtlinie und ihre Aufbewahrung, lauter Eingriffe in die durch die Art. 7 und 8 der Charta garantierten Grundrechte dar.

73 Zur Schwere dieser Eingriffe ist erstens zu bemerken, dass die PNR-Richtlinie eine systematische und kontinuierliche Übermittlung der PNR-Daten aller Fluggäste im Sinne von Art. 3 Nr. 4 dieser Richtlinie auf einem „Drittstaatsflug“ im Sinne von deren Art. 3 Nr. 2 an die PNR-Zentralstellen vorsieht. Eine solche Übermittlung impliziert einen allgemeinen Zugang der PNR-Zentralstellen zu allen gemeldeten PNR-Daten (

74 Zweitens können die Mitgliedstaaten gemäß Art. 2 Abs. 1 der PNR-Richtlinie entscheiden, diese auf „EU-Flüge“ im Sinne von deren Art. 3 Nr. 3 anzuwenden. Ich stelle insoweit zum einen fest, dass die PNR-Richtlinie nicht lediglich die Befugnis der Mitgliedstaaten vorsieht, sie auf EU-Flüge auszuweiten, sondern auch die formellen und materiellen Voraussetzungen für die Ausübung dieser Befugnis festlegt (

75 Unter diesen Umständen bin ich entgegen dem Vorbringen mancher Regierungen, die im vorliegenden Verfahren Erklärungen abgegeben haben, der Ansicht, dass die PNR-Richtlinie, obwohl ihre Anwendung auf EU-Flüge von einer Entscheidung der Mitgliedstaaten abhängt, die Rechtsgrundlage für Eingriffe in die Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Zusammenhang mit der Übermittlung, Verarbeitung und Aufbewahrung der PNR-Daten zu diesen Flügen bildet, wenn eine solche Entscheidung getroffen wird.

76 Abgesehen vom Königreich Dänemark, das der PNR-Richtlinie nicht unterliegt (

77 Drittens sind, was die zu übermittelnden PNR-Daten angeht, in Anhang I 19 Rubriken aufgeführt, die sich auf biografische Angaben (

78 Viertens sind die von Fluggesellschaften übermittelten Daten gemäß Art. 6 der PNR-Richtlinie dazu bestimmt, von den PNR-Zentralstellen durch automatisierte Verfahren analysiert zu werden, und zwar systematisch, d. h. unabhängig von der Frage, ob es den geringsten Hinweis darauf gibt, dass die betreffenden Personen möglicherweise an terroristischen Straftaten oder schwerer Kriminalität beteiligt sind. Insbesondere können die Daten im Rahmen der in Art. 6 Abs. 2 Buchst. a dieser Richtlinie vorgesehenen Vorabüberprüfung von Fluggästen gemäß Abs. 3 durch Abgleich mit „maßgeblichen“ Datenbanken überprüft (Art. 6 Abs. 3 Buchst. a) und anhand im Voraus festgelegter Kriterien abgeglichen (Art. 6 Abs. 3 Buchst. b) werden. Durch die erste Art der Verarbeitung können weitere Informationen über das Privatleben der betreffenden Fluggäste erlangt werden (klares Profil dieser Personen erstellt werden. Daher spiegelt der von mehreren Regierungen erhobene Einwand, wonach die PNR-Richtlinie lediglich Zugang zu einem vergleichsweise kleinen Bestand personenbezogener Daten gestatte, das potenzielle Ausmaß der mit dieser Richtlinie verbundenen Eingriffe in die durch die Art. 7 und 8 der Charta geschützten Grundrechte unter dem Gesichtspunkt des Umfangs der Daten, zu denen sie den Zugang gestatten könnte, nicht angemessen wider. Bezüglich der in Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie vorgesehenen zweiten Art der Datenverarbeitung sei darauf hingewiesen, dass jeder auf im Voraus festgelegten Kriterien beruhende Analysetyp, wie der Gerichtshof in den Rn. 169 und 172 des Gutachtens 1/15 hervorgehoben hat, eine gewisse Fehlerquote, insbesondere eine Reihe „falsch positiver“ Ergebnisse, aufweist. Laut dem Zahlenmaterial im Arbeitspapier der Kommissionsdienststellen (

79 Fünftens werden die PNR-Daten gemäß Art. 12 Abs. 1 der PNR-Richtlinie für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen bzw. von dem er abgegangen ist, in einer bei dieser PNR-Zentralstelle angesiedelten Datenbank vorgehalten. Die PNR-Richtlinie ermöglicht es daher, während eines besonders langen Zeitraums über Informationen über das Privatleben der Fluggäste zu verfügen (

80 Schließlich sieht die PNR-Richtlinie in allgemeinerer Hinsicht Maßnahmen vor, mit denen zusammen betrachtet auf Unionsebene ein Überwachungssystem geschaffen werden soll, das „nicht zielgerichtet“, d. h. nicht durch einen auf einer bestimmten Person oder mehreren bestimmten Personen lastenden Verdacht ausgelöst, „massiv“, da es sich auf die personenbezogenen Daten einer großen Zahl von Individuen auswirkt (

81 Nach alledem muss der mit der PNR-Richtlinie verbundene Eingriff in die durch die Art. 7 und 8 der Charta geschützten Grundrechte meiner Ansicht nach zumindest als „schwer“ eingestuft werden.

82 Zwar könnte, wie insbesondere die Kommission vorträgt, die Gesamtheit der Garantien und Schutzvorkehrungen, die in der PNR-Richtlinie vorgesehen ist, um insbesondere eine missbräuchliche Verwendung der PNR-Daten zu verhindern, die Intensität oder Schwere dieser Eingriffe verringern. Gleichwohl weist jedes System, das den Zugang zu personenbezogenen Daten und deren Verarbeitung durch öffentliche Stellen vorsieht, unter dem Blickwinkel des Schutzes der in Mitleidenschaft gezogenen Grundrechte bereits aufgrund seiner objektiven Merkmale einen gewissen Schweregrad auf. Diesen Schweregrad gilt es nach meinem Dafürhalten zu bestimmen, bevor im Rahmen der Prüfung der Verhältnismäßigkeit der Eingriffe bewertet wird, ob die systemseitig vorgesehenen Garantien hinreichend und angemessen sind. Meines Erachtens ist der Gerichtshof bisher jedenfalls so vorgegangen.

83 Um mit der Charta vereinbar zu sein, müssen die mit der PNR-Richtlinie verbundenen Eingriffe in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten die Voraussetzungen erfüllen, die in den Nrn. 65 und 66 der vorliegenden Schlussanträge aufgeführt sind, was innerhalb der vom vorlegenden Gericht gezogenen Grenzen im Folgenden untersucht werden soll. 3. Zur Rechtfertigung des sich aus der PNR-Richtlinie ergebenden Eingriffs

84 Während sich die dritte Vorlagefrage auf die Einhaltung der in Art. 52 Abs. 1 Satz 1 der Charta genannten Voraussetzung bezieht, wonach jeder Eingriff in ein Grundrecht „gesetzlich vorgesehen“ sein muss, wird der Gerichtshof mit der zweiten, der vierten, der sechsten und der achten Vorlagefrage u. a. zur Einhaltung des Grundsatzes der Verhältnismäßigkeit befragt, auf den Satz 2 dieser Vorschrift abstellt. a) Zur Einhaltung des Erfordernisses, wonach jede Einschränkung der Ausübung eines in der Charta vorgesehenen Grundrechts gesetzlich vorgesehen sein muss

85 Nach gefestigter Rechtsprechung des Gerichtshofs (klar und präzise festlegen muss. Da sich der zweite Teil des Ausdrucks „gesetzlich vorgesehen“ im Sinne von sowohl Art. 52 Abs. 1 der Charta als auch deren Art. 8 Abs. 2 und Art. 8 EMRK auf die „Qualität des Gesetzes“ und damit auf die Zugänglichkeit und Vorhersehbarkeit der fraglichen Maßnahme bezieht (

86 Mit der Annahme der PNR-Richtlinie hat der Unionsgesetzgeber die in den Art. 7 und 8 der Charta niedergelegten Rechte selbst eingeschränkt. Daher können die nach der Richtlinie zulässigen Eingriffe in diese Rechte trotz des Ermessensspielraums, über den die Mitgliedstaaten zum Zeitpunkt ihrer Umsetzung in nationales Recht verfügten, nicht als Folge einer Entscheidung der Mitgliedstaaten angesehen werden (

87 Mit seiner dritten Vorlagefrage fragt das vorlegende Gericht zwar speziell nach der Einhaltung der Verpflichtung in Bezug auf Anhang I Nrn. 12 und 18; bei der Prüfung der zweiten, der vierten und der sechsten Vorlagefrage, mit denen dieses Gericht an der Erforderlichkeit der mit der PNR-Richtlinie verbundenen Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte zweifelt, wird aber auch zu der Frage Stellung genommen werden müssen, ob die beanstandeten Bestimmungen der PNR-Richtlinie hinreichend klar und präzise sind.

88 Obwohl sich diese Würdigung, wie ich in Nr. 85 der vorliegenden Schlussanträge dargelegt habe, auf die Rechtmäßigkeit des Eingriffs im Sinne von Art. 52 Abs. 1 Satz 1 der Charta bezieht, werde ich darauf – entsprechend dem Ansatz, dem sowohl der Gerichtshof als auch der EGMR in Rechtssachen folgt, in denen es um Maßnahmen geht, die die Verarbeitung personenbezogener Daten zum Gegenstand haben – erst im Rahmen der Prüfung der Verhältnismäßigkeit des Eingriffs eingehen, auf die Satz 2 abstellt ( b) Zur Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta niedergelegten Rechte

89 Gemäß Art. 52 Abs. 1 Satz 1 der Charta muss jede Einschränkung der Ausübung der Grundrechte nicht nur auf einer hinreichend genauen Rechtsgrundlage beruhen, sondern auch den Wesensgehalt dieser Rechte achten.

90 Wie ich in Nr. 66 der vorliegenden Schlussanträge dargelegt habe, ist dieses Erfordernis – das sich in den Verfassungen verschiedener Mitgliedstaaten wiederfindet (

91 Insbesondere aus dem Urteil vom 6. Oktober 2015, Schrems (automatisch dessen Nichtigkeit oder Ungültigkeit nach sich zieht, ohne dass es erforderlich ist, eine Abwägung der auf dem Spiel stehenden Interessen vorzunehmen. Der Gerichtshof erkennt daher an, dass jedes Grundrecht einen „harten Kern“ hat, der dem Einzelnen einen Freiheitsbereich frei von staatlichen Eingriffen garantiert und der nicht eingeschränkt werden kann (

92 Allerdings ist die Bestimmung dessen, was der „Wesensgehalt“ eines Grundrechts, das in seiner Ausübung eingeschränkt werden könnte, und daher unantastbar ist, ein äußerst komplexer Vorgang. Auch wenn dieser Begriff, um seine Funktion zu erfüllen, in Anbetracht der wesentlichen Merkmale des in Rede stehenden Grundrechts, der subjektiven und objektiven Ziele, die er schützen will, und ganz allgemein seiner Funktion in einer demokratischen Gesellschaft, die sich auf die Achtung der Menschenwürde gründet, absolut definiert werden können sollte (

93 Was insbesondere das Grundrecht auf Achtung des Privatlebens angeht, so ist nicht nur zu berücksichtigen, welche Bedeutung es für die geistige und körperliche Gesundheit jedes Menschen, sein Wohlbefinden, seine Autonomie, seine persönliche Entfaltung, seine Fähigkeit, soziale Beziehungen aufzubauen und zu pflegen, sowie dafür hat, dass er über eine Privatsphäre verfügt, in der er seine persönliche Innerlichkeit entwickeln kann, sondern auch, welche Rolle dieses Recht für den Schutz anderer Rechte und Freiheiten wie insbesondere der Gedanken‑, der Gewissens‑, der Religions‑, der Ausdrucks- und der Informationsfreiheit, deren uneingeschränkter Genuss die Wahrung einer Intimsphäre voraussetzt, spielt. Ganz allgemein ist der Funktion Rechnung zu tragen, die die Achtung des Rechts auf Privatleben in einer demokratischen Gesellschaft erfüllt (Intensität als auch das Ausmaß des Eingriffs betrachtet, was zu der Annahme führt, dass eine solche Beeinträchtigung eher quantitativ als qualitativ definiert wird. So hat der Gerichtshof zum einen im Urteil Digital Rights im Wesentlichen die Auffassung vertreten, dass die durch die Richtlinie 2006/24/EG (

94 Was das Grundrecht auf Schutz personenbezogener Daten betrifft, so scheint der Gerichtshof die Ansicht zu vertreten, dass der Wesensgehalt dieses Rechts gewahrt ist, wenn die Maßnahme, die den Eingriff begründet, die Zwecke der Verarbeitung begrenzt und Regeln vorsieht, mit denen die Sicherheit der betreffenden Daten, insbesondere gegen zufällige oder unrechtmäßige Zerstörung sowie zufälligen Verlust oder zufällige Änderung, gewährleistet wird (

95 In der vorliegenden Rechtssache hat das vorlegende Gericht das Erfordernis der Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta niedergelegten Rechte zwar nicht ausdrücklich erwähnt, die Frage der Einhaltung dieses Erfordernisses liegt nach meinem Dafürhalten aber der vierten und der sechsten Vorlagefrage zugrunde. Deshalb schlage ich dem Gerichtshof vor, darauf einzugehen.

96 In Rn. 150 des Gutachtens 1/15 hat der Gerichtshof insoweit zwar anerkannt, dass PNR-Daten „unter Umständen sehr genaue Informationen über das Privatleben einer Person liefern können“ (

97 Abgesehen von dem Umstand, dass die PNR-Daten, auf die sich der Entwurf eines PNR-Abkommens Kanada–EU bezieht, an einen Drittstaat übermittelt und von den Behörden dieses Drittstaats in dessen Hoheitsgebiet weiterverarbeitet werden mussten, stimmen die sich aus dem Abkommensentwurf ergebenden Eingriffe in das Grundrecht auf Achtung des Privatlebens und die in der PNR-Richtlinie vorgesehenen Eingriffe ihrem Wesen nach weitgehend überein. Dies gilt insbesondere für die genannten PNR-Daten, den systematischen und allgemeinen Charakter der Übermittlung und Verarbeitung dieser Daten, die Automatisierung der Verarbeitung sowie die Vorratsspeicherung der Daten. Was die beiden Rechtssachen hingegen unterscheidet, ist sozusagen die „geografische Abdeckung“ dieser Eingriffe. Wie ich in Nr. 77 der vorliegenden Schlussanträge ausgeführt habe, sind die in der vorliegenden Rechtssache in Rede stehenden Datenverarbeitungen nämlich nicht auf Flugverbindungen mit einem einzigen Drittland beschränkt, wie es im Gutachten 1/15 der Fall war, sondern beziehen sich auf nahezu sämtliche Flüge in die Union und aus der Union sowie innerhalb der Union. Folglich müssen nach der PNR-Richtlinie – verglichen mit dem Entwurf eines PNR-Abkommens Kanada–EU – deutlich mehr Daten zu Fluggästen, die sich mit dem Flugzeug innerhalb und außerhalb der Union fortbewegen, systematisch verarbeitet werden. Außerdem ist ihre Verarbeitung angesichts der Zunahme der Menge verarbeiteter Daten und der Häufigkeit ihrer Erhebung vermutlich geeignet, sowohl genauere als auch umfassendere Informationen über das Privatleben der betreffenden Personen (Reisegewohnheiten, persönliche Beziehungen, finanzielle Situationen, usw.) zu liefern.

98 Gleichwohl beziehen sich diese Informationen, wie im Gutachten 1/15 der Fall, isoliert betrachtet nur auf bestimmte Aspekte des Privatlebens im Zusammenhang mit Flugreisen. Unter Berücksichtigung der Notwendigkeit, den Begriff „Wesensgehalt“ der Grundrechte eng auszulegen, damit er seine Funktion eines Bollwerks gegen Angriffe auf die eigentliche Substanz dieser Rechte behält, bin ich jedoch der Ansicht, dass die Schlussfolgerung, zu der der Gerichtshof in Rn. 150 des Gutachtens 1/15 gelangt ist, auf die vorliegende Rechtssache übertragen werden kann.

99 Im Gutachten 1/15 hat der Gerichtshof auch eine Beeinträchtigung des Wesensgehalts des Rechts auf Schutz personenbezogener Daten ausgeschlossen ( c) Zur Einhaltung des Erfordernisses, wonach der Eingriff einer dem Gemeinwohl dienenden Zielsetzung entsprechen muss

100 Mit der PNR-Richtlinie soll u. a. für die innere Sicherheit der Union gesorgt und das Leben und die Sicherheit von Personen durch Übermittlung von PNR-Daten an die zuständigen Behörden der Mitgliedstaaten zur Verwendung im Rahmen der Bekämpfung des Terrorismus und schwerer Kriminalität geschützt werden (

101 Genauer gesagt geht aus Art. 1 Abs. 2 der PNR-Richtlinie in Verbindung mit deren Erwägungsgründen 6 und 7 sowie dem Vorschlag der Kommission, der zum Erlass dieser Richtlinie geführt hat (im Folgenden: Vorschlag für eine PNR-Richtlinie) (

102 Aus der Rechtsprechung des Gerichtshofs geht hervor, dass das Ziel des Schutzes der öffentlichen Sicherheit, das u. a. die Verhütung, Ermittlung, Feststellung und Verfolgung sowohl von terroristischen Straftaten als auch von Straftaten umfasst, die der schweren Kriminalität zuzuordnen sind, eine dem Gemeinwohl dienende Zielsetzung der Union im Sinne von Art. 52 Abs. 1 der Charta darstellt, die auch schwere Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte rechtfertigen kann (

103 Der Gerichtshof hat darüber hinaus anerkannt, dass die Ziele der Wahrung der öffentlichen Sicherheit und der Bekämpfung schwerer Kriminalität zum Schutz der Rechte und Freiheiten anderer beitragen (

104 Schließlich ist der Gerichtshof davon ausgegangen, dass die Bedeutung des Ziels des Schutzes der nationalen Sicherheit die der Ziele, die Kriminalität im Allgemeinen, auch schwere Kriminalität, zu bekämpfen und die öffentliche Sicherheit zu schützen, übersteigt und dass es daher geeignet ist, Maßnahmen zu rechtfertigen, die schwerere Grundrechtseingriffe enthalten als solche, die mit den übrigen Zielen gerechtfertigt werden könnten ( d) Zur Wahrung des Grundsatzes der Verhältnismäßigkeit

105 Nach Art. 52 Abs. 1 Satz 2 der Charta dürfen Einschränkungen der Ausübung eines in der Charta anerkannten Grundrechts unter Wahrung des Grundsatzes der Verhältnismäßigkeit nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

106 Insoweit ist darauf hinzuweisen, dass der Grundsatz der Verhältnismäßigkeit nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass die Handlungen der Unionsorgane geeignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist (

107 Nach ständiger Rechtsprechung des Gerichtshofs verlangt der Schutz des Grundrechts auf Achtung des Privatlebens auf Unionsebene, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken. Außerdem kann eine dem Gemeinwohl dienende Zielsetzung nicht verfolgt werden, ohne den Umstand zu berücksichtigen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der fraglichen Rechte vorgenommen wird (

108 Aus der Rechtsprechung des Gerichtshofs geht hervor, dass die PNR-Richtlinie als Rechtsgrundlage, mit der die in den Nrn. 70 bis 83 der vorliegenden Schlussanträge beschriebenen Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte verbunden sind, um dem Erfordernis der Verhältnismäßigkeit zu genügen, klare und präzise Regeln für die Tragweite und die Anwendung der Maßnahmen, die solche Eingriffe enthalten, vorsehen und Mindesterfordernisse aufstellen muss, so dass die Personen, deren Daten übermittelt wurden, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer personenbezogenen Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen (

109 Was den Umfang der gerichtlichen Überprüfung der Einhaltung der sich aus dem Grundsatz der Verhältnismäßigkeit ergebenden Erfordernisse anbelangt, so ist der Gestaltungsspielraum des Unionsgesetzgebers angesichts der besonderen Bedeutung des Schutzes personenbezogener Daten für das Grundrecht auf Achtung des Privatlebens und des mit der PNR-Richtlinie verbundenen Eingriffs in dieses Recht eingeschränkt, so dass die Kontrolle strikt sein muss ( 1) Zur Eignung der in der PNR-Richtlinie vorgesehenen Verarbeitungen von PNR-Daten für die Verwirklichung des verfolgten Ziels

110 Wie der Gerichtshof in Rn. 153 des Gutachtens 1/15 in Bezug auf den Entwurf eines PNR-Abkommens Kanada–EU festgestellt hat, kann davon ausgegangen werden, dass die Übermittlung der PNR-Daten an Kanada und ihre anschließende Verarbeitung geeignet sind, die Verwirklichung des Ziels des Schutzes der öffentlichen Sicherheit zu gewährleisten. Diese Eignung, die sowohl auf Unionsebene als auch auf globaler Ebene seit langem anerkannt ist (

111 Allerdings muss die Wirksamkeit des mit der Richtlinie geschaffenen Systems zur Verarbeitung von PNR-Daten durch eine Beurteilung der Ergebnisse seiner Anwendung konkret bewertet werden ( 2) Zur absoluten Notwendigkeit des Eingriffs

112 Obwohl der Verfassungsgerichtshof nicht ausdrücklich daran gezweifelt hat, dass die PNR-Richtlinie klare, präzise und auf das absolut Notwendige beschränkte Regeln für die Abgrenzung der Zwecke der Verarbeitungen von PNR-Daten enthält ( i) Zur Abgrenzung der Zwecke der Verarbeitung von PNR-Daten

113 Eine klare Abgrenzung der Zwecke, für die der Zugang zu personenbezogenen Daten und ihre anschließende Verwendung durch die zuständigen Behörden zulässig sind, stellt eine grundlegende Anforderung an jedes System zur Verarbeitung von Daten insbesondere zu Strafverfolgungszwecken dar. Diese Anforderung muss darüber hinaus erfüllt sein, damit der Gerichtshof die Verhältnismäßigkeit der in Rede stehenden Maßnahmen beurteilen kann, indem er die in seiner Rechtsprechung entwickelte Prüfung des Verhältnisses zwischen der Schwere des Eingriffs und der verfolgten Zielsetzung anwendet (

114 Der Gerichtshof hat u. a. im Urteil Digital Rights, in dem er die Richtlinie 2006/24 für ungültig erklärt hat, hervorgehoben, welche Bedeutung eine klare Abgrenzung der Zwecke von Maßnahmen hat, die mit Einschränkungen der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten verbunden sind. In Rn. 60 dieses Urteils hat der Gerichtshof festgestellt, dass die Richtlinie 2006/24 „kein objektives Kriterium vorsieht, das es ermöglicht, den Zugang der zuständigen nationalen Behörden zu den Daten und deren spätere Nutzung zwecks Verhütung, Feststellung oder strafrechtlicher Verfolgung auf Straftaten zu beschränken, die im Hinblick auf das Ausmaß und die Schwere des Eingriffs in die in Art. 7 und Art. 8 der Charta verankerten Grundrechte als hinreichend schwer angesehen werden können, um einen solchen Eingriff zu rechtfertigen“, und sie im Gegenteil „in ihrem Art. 1 Abs. 1 lediglich allgemein auf die von jedem Mitgliedstaat in seinem nationalen Recht bestimmten schweren Straftaten Bezug [nimmt]“.

115 Art. 1 Abs. 2 der PNR-Richtlinie stellt ein allgemeines Kriterium zur Abgrenzung der Zwecke auf, wonach „[d]ie nach Maßgabe dieser Richtlinie erhobenen PNR-Daten … ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität … verarbeitet werden [dürfen]“. Im Gegensatz zur Richtlinie 2006/24 beschränkt sich die PNR-Richtlinie jedoch nicht auf das Aufstellen eines solchen Kriteriums, sondern definiert selbst in ihrem Art. 3 Nrn. 8 und 9 sowohl den Begriff „terroristische Straftaten“ als auch den Begriff „schwere Kriminalität“, Ersteren unter Verweis auf die Art. 1 bis 4 des Rahmenbeschlusses 2002/475/JI des Rates vom 13. Juni 2002 zur Terrorismusbekämpfung (ABl. 2002, L 164, S. 3) (ersetzt durch die Richtlinie [EU] 2017/541) (

116 Auch wenn sich die Handlungen, die gemäß Art. 3 Nr. 8 der PNR-Richtlinie als terroristische Straftaten eingestuft werden können, durch den Verweis auf die einschlägigen Bestimmungen der Richtlinie 2017/541 hinreichend klar und präzise kennzeichnen lassen und ihre Schwere für die Zwecke der Abwägung zwischen dem mit der PNR-Richtlinie verfolgten Ziel des Schutzes der öffentlichen Sicherheit und der Schwere des mit dieser Richtlinie verbundenen Eingriffs in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte beurteilt werden kann, gilt das nicht ohne Weiteres für alle in Anhang II aufgeführten strafbaren Handlungen.

117 In Rn. 177 des Gutachtens 1/15 hat der Gerichtshof die Auffassung vertreten, dass der Entwurf eines PNR-Abkommens Kanada–EU klar und präzise den Schweregrad von Straftaten, auf die sich der Begriff „grenzübergreifende schwere Kriminalität“ bezieht, definiert, indem er verlangt, dass diese Straftaten „mit einer Freiheitsstrafe im Höchstmaß von mindestens vier Jahren oder mit einer schwereren Strafe geahndet“ werden, auf „die Straftaten nach kanadischem Recht“ Bezug nimmt und „die verschiedenen Fälle [aufführt], in denen eine Straftat als grenzübergreifend gilt“.

118 Im Vergleich zu der vom Gerichtshof im Gutachten 1/15 untersuchten Regelung berücksichtigt die PNR-Richtlinie bei der Definition der in Bezug genommenen strafbaren Handlungen erstens nicht deren grenzübergreifenden Charakter, sieht zweitens einen erschöpfenden Katalog strafbarer Handlungen vor, die ihrem Wesen nach als der schweren Kriminalität zugehörig angesehen werden, sofern sie die in Art. 3 Nr. 9 der Richtlinie vorgesehene Mindesthöchststrafe erreichen, und senkt drittens grundsätzlich die Erheblichkeitsschwelle, indem sie ein auf der Dauer der Höchststrafe beruhendes Kriterium wählt und diese Schwelle auf drei Jahre festsetzt.

119 Was erstens das Fehlen eines auf dem grenzübergreifenden Charakter beruhenden Abgrenzungskriteriums angeht, so trifft es zwar zu, dass auf strafbare Handlungen, die ihrem Wesen nach zumindest potenziell eine objektive Verbindung zu Flugreisen und daher zu den nach der PNR-Richtlinie erhobenen und verarbeiteten Datenkategorien unterhalten könnten, hätte abgezielt werden können, wenn der sachliche Anwendungsbereich dieser Richtlinie allein auf „grenzübergreifende“ schwere Kriminalität begrenzt worden wäre (

120 Was zweitens das Kriterium zur Festlegung der Erheblichkeitsschwelle für die in Bezug genommenen Straftaten betrifft, die, um eine Ex-ante-Beurteilung dieser Schwere zu ermöglichen, dahin ausgelegt werden muss, dass sie sich auf die Höchstdauer der gesetzlich vorgesehenen Freiheitsstrafe oder freiheitsentziehenden Maßregel der Sicherung und nicht auf die Dauer bezieht, die in einem bestimmten Fall konkret drohen könnte, so ist dieses Kriterium, obwohl es auf der Mindesthöchststrafe und nicht auf dem Mindestmaß der Mindeststrafe beruht, als solches nicht ungeeignet, einen hinreichenden Schweregrad zu identifizieren, der den mit dem in der PNR-Richtlinie vorgesehenen Datenverarbeitungen verbundenen Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte rechtfertigen könnte. Aus meiner Sicht ist es jedoch wie ein Kriterium zur Identifizierung eines „Mindestschweregrads“ auszulegen. Daher verbietet ein solches Kriterium den Mitgliedstaaten zwar, in Anhang II aufgeführte Straftaten, für die ihr nationales Strafrecht eine Freiheitsstrafe oder freiheitsentziehende Maßregel der Sicherung mit einer Höchstdauer von weniger als drei Jahren vorsieht, als „schwere Kriminalität“ anzusehen, verpflichtet sie jedoch nicht dazu, für alle Straftaten, die in Anhang II aufgenommen werden könnten und mit einer Strafe bedroht sind, die die in Art. 3 Nr. 9 der PNR-Richtlinie vorgesehene Schwelle erreicht, automatisch eine solche Einstufung vorzunehmen, wenn diese unter Berücksichtigung der Besonderheiten ihres Strafrechtssystems zu einer Anwendung der in der PNR-Richtlinie vorgesehenen Regelung für Zwecke der Verhütung, Aufdeckung, Ermittlung oder Verfolgung gemeinschaftlich begangener Straftaten führt, die den mit dieser Richtlinie verfolgten Zwecken zuwiderläuft.

121 Drittens ist zum Katalog von Anhang II zunächst zu bemerken, dass der Umstand, dass die PNR-Richtlinie die strafbaren Handlungen, die unter die Definition der „schweren Kriminalität“ fallen, abschließend aufführt, eine grundlegende förmliche und substanzielle Garantie darstellt, damit die Rechtmäßigkeit des mit der PNR-Richtlinie geschaffenen Systems und die Rechtssicherheit der Fluggäste gewährleistet sind. Festzustellen ist jedoch, dass der Katalog sowohl strafbare Handlungen, die ihrem Wesen nach einen unbestreitbar hohen Schweregrad aufweisen – wie beispielsweise Menschenhandel, sexuelle Ausbeutung von Kindern und Kinderpornografie, illegalen Handel mit Waffen oder nuklearen bzw. radioaktiven Substanzen, Flugzeug- und Schiffsentführung, Verbrechen, die in die Zuständigkeit des Internationalen Strafgerichtshofs fallen, vorsätzliche Tötung, Vergewaltigung sowie Entführung, Freiheitsberaubung und Geiselnahme (

122 Auch hinsichtlich der hinreichenden Klarheit und Präzision der Rubriken in Anhang II ist das Niveau sehr variabel. So haben, obwohl die in diesem Anhang enthaltene Liste als erschöpfend angesehen werden muss, mehrere ihrer Rubriken „offenen“ Charakter (

123 Zum einen liefern die in den Bereichen von Art. 83 Abs. 1 AEUV erlassenen und in Fn. 123 der vorliegenden Schlussanträge erwähnten Harmonisierungsrichtlinien insoweit relevante Anhaltspunkte, mit denen sich zumindest einige der schweren Straftaten identifizieren lassen, die in die entsprechenden Rubriken von Anhang II fallen könnten. So definiert u. a. die Richtlinie 2013/40 in ihren Art. 3 bis 8 verschiedene Straftaten, die dem in Anhang II Nr. 9 genannten Begriff der „Computerkriminalität“ zuzuordnen sind, wobei sie in jedem einzelnen Fall dafür Sorge trägt, Handlungen auszuschließen, die „leichte Fälle“ darstellen (

124 Zum anderen kann dem Unionsgesetzgeber, worauf die Kommission zu Recht hingewiesen hat, ohne eine vollständige Harmonisierung des materiellen Strafrechts nicht vorgeworfen werden, die in Anhang II aufgeführten strafbaren Handlungen nicht weiter präzisiert zu haben. So verlangt die Umsetzung des Katalogs der strafbaren Handlungen von Anhang II in innerstaatliches Recht – anders als es weiter unten in den vorliegenden Schlussanträgen in Bezug auf die in Anhang I enthaltene Liste der PNR-Daten festgestellt werden wird – notwendigerweise von den Mitgliedstaaten, dass sie die Straftaten, die aufgeführt werden könnten, nach Maßgabe der Besonderheiten ihrer nationalen Strafrechtssysteme definieren. Dieser Vorgang hat jedoch unter voller Achtung des Kriteriums zu erfolgen, wonach jeder Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte auf das absolut Notwendige beschränkt werden muss. So können die Mitgliedstaaten nach meinem Dafürhalten beispielsweise vorsehen, dass die Verwendung von PNR-Daten bei bestimmten Straftaten wie z. B. den in Anhang II Nrn. 7, 16, 17, 18 und 25 aufgeführten strafbaren Handlungen auf Fälle beschränkt wird, in denen diese Straftaten grenzübergreifenden Charakter aufweisen, im Rahmen einer kriminellen Vereinigung begangen werden oder bestimmte erschwerende Umstände umfassen. Die Gerichte der Mitgliedstaaten werden die nationalen Vorschriften, mit denen der besagte Katalog in innerstaatliches Recht umgesetzt wird, unter der Kontrolle des Gerichtshofs im Einklang sowohl mit der PNR-Richtlinie als auch mit der Charta auszulegen haben, so dass die Verarbeitung von PNR-Daten bei jeder Rubrik auf strafbare Handlungen, die den von dieser Richtlinie geforderten hohen Schweregrad erreichen, und auf strafbare Handlungen beschränkt bleibt, für die eine solche Verarbeitung maßgeblich ist (

125 Vorbehaltlich der Ausführungen in den Nrn. 120 und 124 der vorliegenden Schlussanträge bin ich der Ansicht, dass Art. 3 Nr. 9 der PNR-Richtlinie und der in deren Anhang II enthaltene Straftatenkatalog den Erfordernissen der Klarheit und Präzision genügen und nicht über die Grenzen des absolut Notwendigen hinausgehen.

126 Es ist jedoch einzuräumen, dass die in Nr. 124 der vorliegenden Schlussanträge dargestellte Lösung nicht vollkommen zufriedenstellend ist. Zum einen belässt sie den Mitgliedstaaten nämlich einen beträchtlichen Ermessensspielraum, so dass der sachliche Anwendungsbereich der Verarbeitung von PNR-Daten von einem Mitgliedstaat zum anderen erheblich variieren kann, wodurch das vom Unionsgesetzgeber verfolgte Harmonisierungsziel beeinträchtigt wird (ex post über die nationalen Umsetzungsmaßnahmen als ex ante über die PNR-Richtlinie selbst ausgeübt wird. Es wäre daher wünschenswert, wenn der Gerichtshof, sollte er beschließen, wie ich es ihm zu tun vorschlage, Art. 3 Nr. 9 der PNR-Richtlinie und den in deren Anhang II enthaltenen Straftatenkatalog als im Einklang mit den Art. 7, 8 und 52 Abs. 1 der Charta stehend anzusehen, den Unionsgesetzgeber darauf hinweist, dass eine solche Beurteilung nur vorläufig ist und der Unionsgesetzgeber im Licht der Umsetzung dieser Vorschrift und dieses Katalogs durch die Mitgliedstaaten sowie auf der Grundlage der in Art. 20 der PNR-Richtlinie genannten statistischen Daten überprüfen muss, ob es erforderlich ist, i) die in besagtem Katalog aufgeführten Kategorien strafbarer Handlungen durch eine Eingrenzung ihrer Tragweite weiter zu präzisieren, ii) Straftaten aus ihm zu streichen, für die sich die Verarbeitung von PNR-Daten als unverhältnismäßig, d. h. irrelevant oder unwirksam, erweist, und iii) die Schwelle der Erheblichkeit bei den in Art. 3 Nr. 9 der PNR-Richtlinie aufgeführten strafbaren Handlungen anzuheben ( ii) Zu den Kategorien von PNR-Daten, auf die sich die PNR-Richtlinie bezieht (zweite und dritte Vorlagefrage)

127 Die PNR-Richtlinie sieht die Übermittlung von 19 Kategorien von PNR-Daten, die von den Fluggesellschaften für Buchungszwecke erhoben werden, an die PNR-Zentralstellen vor. Diese Kategorien, die in Anhang I aufgeführt sind, entsprechen denen, die in den Buchungssystemen der Fluggesellschaften erscheinen, und denen, die in Anhang I der von der Internationalen Zivilluftfahrt-Organisation (ICAO) im Jahr 2010 angenommenen Leitlinien zu Fluggastdatensätzen (

128 Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht erfahren, ob Anhang I im Hinblick auf die Art. 7, 8 und 52 Abs. 1 der Charta gültig ist, wenn zum einen der Umfang der in diesem Anhang aufgeführten personenbezogenen Daten – insbesondere der in dessen Nr. 18 genannten API-Daten, soweit sie über die in Art. 3 Abs. 2 der API-Richtlinie aufgeführten Daten hinausgehen – und zum anderen der Umstand berücksichtigt wird, dass diese Daten zusammengenommen möglicherweise sensible Daten offenlegen und so die Grenzen des „absolut Notwendigen“ überschreiten. Mit seiner dritten Vorlagefrage – die sich, wie ich bereits hervorgehoben habe, auf die Einhaltung der ersten der drei in Art. 52 Abs. 1 der Charta genannten Voraussetzungen bezieht, wonach jeder Eingriff in ein Grundrecht „gesetzlich vorgesehen“ sein muss – befragt der Verfassungsgerichtshof den Gerichtshof hingegen zur Gültigkeit von Anhang I Nrn. 12 und 18 unter besonderer Berücksichtigung des „offenen“ Charakters dieser Nummern.

129 Da die im Rahmen der zweiten Vorlagefrage durchzuführende Prüfung die Prüfung der Frage voraussetzt, ob die in Anhang I aufgeführten Kategorien personenbezogener Daten hinreichend klar und präzise sind, werde ich zunächst auf die dritte Vorlagefrage eingehen. – Zur hinreichenden Klarheit und Präzision von Anhang I Nrn. 12 und 18 (dritte Vorlagefrage)

130 Einleitend ist zu bemerken, dass das Ausmaß und die Schwere des Eingriffs in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte, der mit einer Maßnahme zur Einführung von Einschränkungen der Ausübung dieser Rechte verbunden ist, vor allem vom Umfang und von der Art der personenbezogenen Daten abhängen, die Gegenstand der Verarbeitung sind. Die Identifizierung dieser Daten stellt somit einen wichtigen Arbeitsschritt dar, der für jede Rechtsgrundlage, mit der eine solche Maßnahme eingeführt wird, zwingend auf möglichst klare und präzise Weise vorgenommen werden muss.

131 Dieses Erfordernis ist in Bezug auf die Verarbeitung von PNR-Daten durch das Gutachten 1/15 anerkannt worden. Der Gerichtshof hat sich in diesem Gutachten zu den Rubriken im Anhang des Entwurfs eines PNR-Abkommens Kanada–EU, in dem die PNR-Daten aufgeführt sind, auf die sich das geplante Abkommen bezieht, geäußert und u. a. die Auffassung vertreten, dass allgemeine Kategorien von Informationen, die den Umfang der zu übermittelnden Daten nicht hinreichend bestimmen, sowie beispielhafte Datenlisten, die keinerlei Einschränkung hinsichtlich der Art und des Umfangs der Informationen festlegen, die in der betreffenden Rubrik enthalten sein könnten, die Voraussetzungen der Klarheit und Präzision nicht erfüllen.

132 Im Licht dieser Grundsätze ist die dritte Vorlagefrage zu prüfen.

133 Anhang I Nr. 12 hat folgenden Wortlaut: „Allgemeine Hinweise (einschließlich aller verfügbaren Angaben zu unbegleiteten Minderjährigen unter 18 Jahren, wie beispielsweise Name und Geschlecht des Minderjährigen, Alter, Sprache(n), Name und Kontaktdaten der Begleitperson beim Abflug und Angabe, in welcher Beziehung diese Person zu dem Minderjährigen steht, Name und Kontaktdaten der abholenden Person und Angabe, in welcher Beziehung diese Person zu dem Minderjährigen steht, begleitender Flughafenmitarbeiter bei Abflug und Ankunft)“.

134 Soweit sie sich auf „allgemeine Hinweise“ bezieht, handelt es sich bei dieser Nummer – wie bei Rubrik 17 des Anhangs des Entwurfs eines PNR-Abkommens Kanada–EU – um eine sogenannte „free text“-Rubrik, mit der über die in den übrigen Nummern von Anhang I ausdrücklich angeführten Informationen hinaus jede Information einbezogen werden soll, die von den Fluggesellschaften im Rahmen ihrer Dienstleistungstätigkeit erhoben wird. Festzustellen ist jedoch, wie es der Gerichtshof in Rn. 160 des Gutachtens 1/15 getan hat, dass eine derartige Rubrik „keine Angaben über Art und Umfang der zu übermittelnden Informationen [enthält] und … selbst Informationen umfassen [könnte], die keinerlei Bezug zum Zweck der Übermittlung der PNR-Daten haben“. Da die im Wortlaut von Anhang I Nr. 12 enthaltene Erläuterung in Klammern, die sich auf Informationen über unbegleitete Minderjährige bezieht, lediglich beispielhaft erfolgt, wie aus der Verwendung des Wortes „einschließlich“ hervorgeht, begrenzt sie Art und Umfang der Informationen, die von ihr erfasst werden können, nicht (

135 Anhang I Nr. 12 ist mithin nicht hinreichend klar und präzise abgegrenzt.

136 Während die Kommission und das Parlament diese Schlussfolgerung zu teilen scheinen, treten ihr die Mitgliedstaaten, die Erklärungen zur dritten Vorlagefrage abgegeben haben, und der Rat entgegen, und zwar auf der Grundlage von Argumentationen, die sich weitgehend überschneiden.

137 Als Erstes soll mit einer ersten Reihe von Argumenten allgemein in Frage gestellt werden, dass die Schlussfolgerungen, zu denen der Gerichtshof im Gutachten 1/15 gelangt ist, auf die vorliegende Rechtssache übertragen werden können.

138 Auch wenn ich mir des unterschiedlichen Kontexts der beiden Rechtssachen bewusst bin, beschränke ich mich hier insoweit auf die Feststellung, dass die Schlussfolgerung, zu der der Gerichtshof in Rn. 160 des Gutachtens 1/15 in Bezug auf Rubrik 17 des Anhangs des Entwurfs eines PNR-Abkommens Kanada–EU gelangt ist, auf einer rein semantischen und strukturellen Auslegung dieser Rubrik beruhte. Eine solche Auslegung ist ohne Weiteres auf Anhang I Nr. 12 übertragbar, dessen Wortlaut hinsichtlich des nicht beispielhaften Teils mit dem Wortlaut der besagten Rubrik identisch ist und eine ähnliche Struktur aufweist. Darüber hinaus fügen sich die beiden in Rede stehenden Vorschriften, wie nachstehend ausgeführt werden soll, in den gleichen multilateralen Regelungskontext ein, der u. a. aus den ICAO-Leitlinien besteht, auf die sich der Gerichtshof in Rn. 156 des Gutachtens 1/15 im Übrigen ausdrücklich bezogen hat. Unter diesen Umständen steht nicht nur nichts einer Auslegung von Anhang I Nr. 12 entgegen, wie sie der Gerichtshof in Rn. 160 des Gutachtens 1/15 in Bezug auf Rubrik 17 des Anhangs des Entwurfs eines PNR-Abkommens Kanada–EU vorgenommen hat, sondern rechtfertigt vor allem nichts ihre Aufgabe.

139 Als Zweites hebt ein Großteil der Mitgliedstaaten hervor, dass die verschiedenen Nummern von Anhang I, einschließlich Nr. 12, den Rubriken von Anhang I der ICAO-Leitlinien entsprächen, die den Fluggesellschaften gut bekannt seien und denen sie ohne Weiteres einen präzisen Inhalt zuweisen könnten. Nr. 12 entspreche insbesondere den letzten beiden Rubriken des besagten Anhangs, die mit „Allgemeine Eintragungen“ bzw. „Freitext/Codefelder in OSI [Other Supplementary Information], SSR [Special Service Request], SSI [Special Service Information], Eintragungen/Historien“ überschrieben seien und sich auf „zusätzliche Angaben“ bzw. „Angaben über geforderte Dienstleistungen“ bezögen (

140 Hierzu weise ich zunächst darauf hin, dass die Übereinstimmung zwischen den Rubriken von Anhang I des Entwurfs eines PNR-Abkommens Kanada–EU einerseits und den Rubriken von Anhang I der ICAO-Leitlinien andererseits den Gerichtshof nicht daran gehindert hat, im Gutachten 1/15 festzustellen, dass einige der in Anhang I des Entwurfs eines Abkommens enthaltenen Rubriken nicht die Anforderungen der Klarheit und Präzision erfüllen, denen eine Maßnahme zur Einschränkung der Ausübung von Grundrechten genügen muss. Sodann lassen sich Art und Umfang der Informationen, die von Anhang I Nr. 12 erfasst werden könnten, anders als einige Mitgliedstaaten offenbar meinen, mit einem – im Übrigen nicht ausdrücklichen (

141 Als Drittes tragen einige Regierungen vor, es sei Sache der Mitgliedstaaten, im Wege innerstaatlicher gesetzgeberischer Maßnahmen und unter Beachtung der durch die Art. 7, 8 und 52 Abs. 1 der Charta auferlegten Grenzen zu präzisieren, welche Informationen in Anhang I Nr. 12 enthalten sein könnten. Es gehöre nämlich zum Wesen einer Richtlinie, den Mitgliedstaaten einen Ermessensspielraum hinsichtlich der notwendigen Mittel zur Umsetzung der Richtlinienbestimmungen zu belassen.

142 Wie ich bereits in Nr. 86 der vorliegenden Schlussanträge dargelegt habe, bin ich insoweit der Ansicht, dass es, wenn Maßnahmen, die mit Eingriffen in die in der Charta niedergelegten Grundrechte verbunden sind, ihren Ursprung in einem Gesetzgebungsakt der Union haben, dem Unionsgesetzgeber obliegt, unter Achtung der vorerwähnten Kriterien der Klarheit und Präzision sowie unter Wahrung des Grundsatzes der Verhältnismäßigkeit die genaue Tragweite dieser Eingriffe festzulegen. Ist das vom Unionsgesetzgeber gewählte Instrument eine Richtlinie, kann den Mitgliedstaaten bei der Umsetzung dieser Richtlinie in ihre nationalen Rechtsordnungen nach meinem Dafürhalten folglich nicht die Bestimmung wesentlicher Elemente zur Festlegung der Tragweite des Eingriffs wie beispielsweise – was Einschränkungen der in den Art. 7 und 8 der Charta niedergelegten Grundrechte anbelangt – Art und Umfang der verarbeiteten personenbezogenen Daten übertragen werden.

143 Als Viertes weisen einige Mitgliedstaaten darauf hin, dass Anhang I Nr. 12 so zu verstehen sei, dass sich diese Nummer lediglich auf Informationen beziehe, die mit der Beförderungsleistung zusammenhingen. So ausgelegt, sei die Nummer mit den Art. 7, 8 und 52 Abs. 1 der Charta vereinbar.

144 Auch dieses Argument überzeugt mich nicht. Denn zunächst sind Informationen, die von einer Rubrik „Allgemeine Hinweise“ sowie unter den Codes OSI, SSI und SSR erfasst werden können, sehr heterogener Natur (medizinische Betreuung, Spezialverpflegung oder Ernährungspräferenzen, jedwede Unterstützungsanfragen, Informationen über allein reisende Minderjährige, usw.) (

145 Als Fünftes haben manche Mitgliedstaaten unterstrichen, dass die Angaben, die in Anhang I Nr. 12 aufgeführt sein sollten, den Fluggesellschaften von den ordnungsgemäß über die spätere Übermittlung dieser Daten an die öffentlichen Stellen informierten Fluggästen selbst freiwillig gemacht würden. Diesem Argument scheint der Gedanke zugrunde zu liegen, dass es eine Art stillschweigender Einwilligung des betreffenden Fluggasts in die Weiterleitung der den Fluggesellschaften mitgeteilten Daten an die öffentlichen Stellen gebe.

146 Der Gerichtshof hat insoweit bereits klargestellt, dass von einer „Einwilligung“ keine Rede sein kann, wenn sich die betreffende Person der Verarbeitung ihrer personenbezogenen Daten nicht frei widersetzen kann (

147 Schließlich macht die Mehrzahl der Mitgliedstaaten geltend, die in der PNR-Richtlinie vorgesehenen Datenverarbeitungen seien mit zahlreichen Schutzvorkehrungen versehen, zu denen – was die Übermittlung von Daten an die PNR-Zentralstellen angehe – deren Verpflichtung gehöre, nicht in Anhang I enthaltene Daten und Daten, aus denen die rassische oder ethnische Herkunft einer Person, ihre politischen Meinungen, ihre religiösen oder weltanschaulichen Überzeugungen, ihre Mitgliedschaft in einer Gewerkschaft, ihr Gesundheitszustand, ihr Sexualleben oder ihre sexuelle Orientierung hervorgehen könnten, zu löschen.

148 Dazu ist zunächst zu sagen, dass die Beurteilung der hinreichenden Klarheit und Präzision von Regeln zur Festlegung des Umfangs und der Art der Daten, die Gegenstand einer Übermittlung an die öffentlichen Stellen sein können, soweit sie gewährleisten soll, dass eine Maßnahme, die mit Eingriffen in die in den Art. 7 und 8 der Charta niedergelegten Rechte verbunden ist, die Grundsätze der Gesetzmäßigkeit und der Rechtssicherheit wahrt, vorgenommen werden muss, ohne den Schutzvorkehrungen Rechnung zu tragen, die mit den Verarbeitungen einhergehen, denen die Daten von den öffentlichen Stellen unterworfen werden sollen, da diese Schutzvorkehrungen erst bei der Prüfung der Verhältnismäßigkeit der in Rede stehenden Maßnahme berücksichtigt werden. Im Übrigen hat der Gerichtshof die Rubriken des Entwurfs eines PNR-Abkommens Kanada–EU in den Rn. 155 bis 163 des Gutachtens 1/15 auf diese Weise beurteilt. Zudem sollte auf die Notwendigkeit, die verschiedenen Phasen der Prüfung einer mit Grundrechtseingriffen verbundenen Maßnahme deutlich voneinander abzugrenzen, da eine Verquickung zwischen den verschiedenen Phasen nach meinem Dafürhalten stets auf Kosten eines effektiven Grundrechtsschutzes geht, ganz allgemein besonderes Augenmerk gelegt werden.

149 Abgesehen davon beschränke ich mich hier auf die Feststellung, dass die den PNR-Zentralstellen gemäß Art. 6 Abs. 1 der PNR-Richtlinie obliegende Verpflichtung, andere als die in Anhang I genannten Daten zu löschen, nur Sinn macht, wenn dieser Anhang einen klaren und geschlossenen Katalog zu übermittelnder Daten enthält. Gleiches gilt für die den PNR-Zentralstellen gemäß Art. 13 Abs. 4 der PNR-Richtlinie obliegende Verpflichtung, sogenannte „sensible“ Daten (

150 Nach alledem bin ich, wie ich in Nr. 135 der vorliegenden Schlussanträge vorweggenommen habe, der Ansicht, dass Anhang I Nr. 12 hinsichtlich des Teils, in dem „allgemeine Hinweise“ zu den Daten gezählt werden, die die Fluggesellschaften den PNR-Zentralstellen gemäß der PNR-Richtlinie zu übermitteln haben, den sich aus Art. 52 Abs. 1 der Charta in der Auslegung durch den Gerichtshof ergebenden Erfordernissen der Klarheit und Präzision nicht genügt (

151 In ihren schriftlichen Erklärungen haben die Kommission und das Parlament dem Gerichtshof vorgeschlagen, eher auf eine „richtlinienkonforme Auslegung“ von Anhang I Nr. 12 zurückzugreifen und diese Nummer dahin zu verstehen, dass sie sich nur auf die darin ausdrücklich in Klammern erwähnten Angaben zu Minderjährigen bezieht. Ich gebe zu, dass ich mit der Auffassung, wonach eine solche Lesart die Grenzen einer einfachen richtlinienkonformen Auslegung respektiere, gewisse Schwierigkeiten habe. Es trifft zwar zu, dass ein Unionsrechtsakt nach einem allgemeinen Auslegungsgrundsatz so weit wie möglich in einer seine Gültigkeit nicht in Frage stellenden Weise und im Einklang mit dem gesamten Primärrecht und insbesondere mit den Bestimmungen der Charta auszulegen ist (

152 Anhang I Nr. 12 kann nach meinem Dafürhalten nicht so ausgelegt werden, wie die Kommission und das Parlament vorschlagen, wenn diese Nummer nicht „contra legem“ ausgelegt werden soll. Sie bezieht sich nämlich, wie ich oben dargelegt habe, auf eine große Kategorie unterschiedlichster Arten von Daten, die nicht im Voraus bestimmbar sind und verglichen mit den Daten zu Minderjährigen nur eine Unterkategorie darstellen. Eine Auslegung der Nummer dahin gehend, dass sie sich nur auf diese Unterkategorie bezieht, liefe nicht nur darauf hinaus, einen Teil ihres Wortlauts außer Acht zu lassen, sondern würde auch dessen logische Ordnung untergraben. Ein derartiges Vorgehen, das im Wesentlichen darin besteht, den Teil des Wortlauts von Anhang I Nr. 12 zu entfernen, der als nicht im Einklang mit den Erfordernissen der Klarheit und Präzision stehend angesehen würde, ist nach meinem Dafürhalten nur bei einer teilweisen Nichtigerklärung möglich.

153 Der verbleibende Teil von Anhang I Nr. 12, in dem eine Reihe von Daten zu unbegleiteten Minderjährigen aufgeführt ist, genügt meiner Ansicht nach den Erfordernissen der Klarheit und Präzision, sofern er dahin ausgelegt wird, dass er nur Angaben zu unbegleiteten Minderjährigen umfasst, die unmittelbar mit dem Flug zusammenhängen und in dieser Nummer ausdrücklich genannt sind.

154 Anhang I Nr. 18 hat folgenden Wortlaut: „Etwaige erhobene erweiterte Fluggastdaten (API-Daten) (einschließlich Art, Nummer, Ausstellungsland und Ablaufdatum von Identitätsdokumenten, Staatsangehörigkeit, Familienname, Vorname, Geschlecht, Geburtsdatum, Fluggesellschaft, Flugnummer, Tag des Abflugs, Tag der Ankunft, Flughafen des Abflugs, Flughafen der Ankunft, Uhrzeit des Abflugs und Uhrzeit der Ankunft)“.

155 Diese Nummer weist eine Struktur auf, die derjenigen von Anhang I Nr. 12 ähnlich ist. Auch in ihr wird eine allgemeine Datenkategorie erwähnt, nämlich erweitere Fluggastdaten (Advance Passenger Information – API), gefolgt von – in Klammern – einer Liste mit Daten, die als in diese allgemeine Kategorie fallend angesehen werden, wobei die Liste lediglich eine nicht abschließende Aufzählung enthält, wie die Verwendung des Wortes „einschließlich“ belegt.

156 Im Gegensatz zu Anhang I Nr. 12 verweist Anhang I Nr. 18 jedoch auf eine Kategorie von Daten, die sowohl hinsichtlich ihrer Art als auch hinsichtlich ihres Umfangs besser identifizierbar sind. Aus dem vierten Erwägungsgrund der PNR-Richtlinie geht nämlich hervor, dass die Richtlinie, wenn sie sich auf diese Datenkategorie bezieht, auf Informationen abstellt, die von den Fluggesellschaften gemäß der API-Richtlinie, auf die der Erwägungsgrund ausdrücklich verweist, als Mittel zur Verbesserung der Grenzkontrollen und zur Bekämpfung der illegalen Einwanderung vorab an die zuständigen nationalen Behörden übermittelt werden. Diese Daten sind aufgeführt in Art. 3 Abs. 2 der letztgenannten Richtlinie.

157 Aus dem neunten Erwägungsgrund (

158 Somit wird mit Anhang I Nr. 18, ausgelegt im Licht der Erwägungsgründe 4 und 9 der PNR-Richtlinie, grundsätzlich zumindest die Art der Daten, auf die sich diese Nummer bezieht, hinreichend klar und präzise bezeichnet.

159 Zu ihrem Umfang ist zum einen festzustellen, dass auch Art. 3 Abs. 2 der API-Richtlinie „offen“ gefasst ist, da der darin enthaltenen Datenliste die Wendung „zu diesen Daten zählen“ vorausgeht (

160 Damit Anhang I Nr. 18 den Erfordernissen der Klarheit und Präzision genügt, die für Rechtsgrundlagen gelten, die Eingriffe in die Art. 7 und 8 der Charta enthalten, ist diese Nummer daher dahin auszulegen, dass sie nur die in ihr und in Art. 3 Abs. 2 der API-Richtlinie ausdrücklich genannten API-Daten erfasst, die von den Fluggesellschaften im Rahmen ihrer normalen Geschäftstätigkeit erhoben worden sind (

161 An dieser Stelle soll ein kurzer Überblick über die anderen Nummern von Anhang I gegeben werden, die unter Berücksichtigung ihres Wortlauts ebenfalls einen „offenen“ Charakter aufweisen oder nicht präzise genug sind, obwohl das vorlegende Gericht den Gerichtshof nicht ausdrücklich dazu befragt hat (

162 Was zunächst Anhang I Nr. 5 betrifft, so ist zwar davon auszugehen, dass sich diese Nummer, in der von „Anschrift und Kontaktangaben (Telefonnummer, E‑Mail-Adresse)“ die Rede ist, nur auf die in Klammern ausdrücklich erwähnten Kontaktangaben bezieht und somit erschöpfenden Charakter hat; in ihr wird jedoch nicht klargestellt, wie es bei der entsprechenden Rubrik des Entwurfs eines PNR-Abkommens Kanada–EU der Fall war (

163 Was sodann Anhang I Nr. 6 betreffend „[a]lle Arten von Zahlungsinformationen einschließlich Rechnungsanschrift“ angeht, so muss diese Nummer, um die Anforderungen an Klarheit und Präzision zu erfüllen, analog zu den vom Gerichtshof in Rn. 159 des Gutachtens 1/15 getroffenen Feststellungen zur entsprechenden Rubrik des Anhangs des Entwurfs eines PNR-Abkommens Kanada–EU dahin ausgelegt werden, dass sie „lediglich Informationen über die Modalitäten der Zahlung und die Abrechnung des Flugtickets betrifft, nicht aber andere Informationen, die keinen direkten Bezug zum Flug aufweisen“. Diese Informationen dürfen daher beispielsweise keine Informationen über die Modalitäten der Bezahlung anderer Leistungen umfassen, die nicht unmittelbar mit dem Flug verknüpft sind, wie die Miete eines Fahrzeugs bei der Ankunft (

164 Nr. 8, die den „Vielflieger-Eintrag“ betrifft, wird durch die ICAO-Normen als sich auf die Kontonummer oder den Vielfliegerstatus beziehend definiert (

165 Anhang I Nr. 10 („Reisestatus des Fluggasts mit Angaben über Reisebestätigungen, Eincheckstatus, nicht angetretene Flüge [No show] und Fluggäste mit Flugschein, aber ohne Reservierung [Go show]“) und Nr. 13 („Flugscheindaten einschließlich Flugscheinnummer, Ausstellungsdatum, einfacher Flug [One-way], automatische Tarifanzeige [Automated Ticket Fare Quote fields]“) beziehen sich trotz ihres offenen Wortlauts nur auf sehr präzise und eindeutig bestimmbare Informationen, die unmittelbar mit dem Flug zusammenhängen. Dies gilt auch für Anhang I Nr. 14 („Sitzplatznummer und sonstige Sitzplatzinformationen“) und Nr. 16 („Vollständige Gepäckangaben“). – Zum Umfang der in Anhang I aufgeführten Daten (zweite Vorlagefrage)

166 Zu den Elementen, die der Gerichtshof bei der Beurteilung der Verhältnismäßigkeit einer Maßnahme berücksichtigt, die mit Eingriffen in die in den Art. 7 und 8 der Charta niedergelegten Rechte verbunden ist, gehört, dass die verarbeiteten personenbezogenen Daten angemessen, erheblich und nicht übermäßig sind (Grundsatz der „Datenminimierung“) (

167 Aus dem 15. Erwägungsgrund der PNR-Richtlinie ergibt sich, dass die Liste mit den PNR-Daten, die für die PNR-Zentralstellen bestimmt sind, erstellt und inhaltlich so zusammengesetzt worden ist, dass sie durch die Anwendung „hoher Standards“, die mit der Charta, dem Übereinkommen Nr. 108 und der EMRK im Einklang stehen, sowohl den legitimen Bedürfnissen der Behörden im Zusammenhang mit der Bekämpfung des Terrorismus und schwerer Kriminalität gerecht wird als auch die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten schützt. Derselbe Erwägungsgrund stellt klar, dass die PNR-Daten u. a. nur jene Details über den Buchungsvorgang und die Reiseroute von Fluggästen beinhalten sollten, mit deren Hilfe die zuständigen Stellen diejenigen Fluggäste ermitteln können, die eine Bedrohung für die innere Sicherheit darstellen.

168 Was als Erstes die Angemessenheit und Erheblichkeit der PNR-Daten in Anhang I angeht, so beziehen sich die verschiedenen Nummern dieses Anhangs, einschließlich der Nrn. 5, 6, 8 und 18, wie ich sie auszulegen vorschlage (

169 Was als Zweites den Umfang der in Anhang I aufgeführten PNR-Daten betrifft, so erscheinen diese Daten, einschließlich derjenigen in den Nrn. 5, 6, 8, 12 und 18, wie ich sie in den Nrn. 134 bis 164 der vorliegenden Schlussanträge auszulegen vorschlage, unter Berücksichtigung der Bedeutung des mit der PNR-Richtlinie verfolgten Ziels der öffentlichen Sicherheit einerseits und der Eignung des mit dieser Richtlinie geschaffenen Systems für die Verfolgung eines solchen Ziels andererseits nicht übermäßig.

170 Insbesondere in Bezug auf die API-Daten, hinsichtlich derer das vorlegende Gericht vor allem Bedenken hat, stelle ich fest, dass diesen Daten, die biografischer Natur sind und die zurückgelegte Strecke betreffen, in der Regel nur wenige Informationen über das Privatleben der betreffenden Fluggäste entnommen werden können. Darüber hinaus stellt Anhang I Nr. 18 zwar auf Informationen ab, die nicht zu den in Art. 3 Abs. 2 der API-Richtlinie ausdrücklich erwähnten Informationen gehören; diese Informationen über die Identität des Fluggasts (das Geschlecht), das verwendete Reisedokument (Ausstellungsland und Ablaufdatum von Identitätsdokumenten) oder aber den gewählten Flug (Fluggesellschaft, Flugnummer, Tag sowie Flughafen des Abflugs und der Ankunft) überschneiden sich allerdings teilweise oder können PNR-Daten entnommen werden, die in anderen Nummern von Anhang I, beispielsweise den Nrn. 3, 7 und 13, aufgeführt sind. Soweit sich die Informationen auf biografische Daten oder die verwendeten Reisedokumente beziehen, können sie den Strafverfolgungsbehörden außerdem dabei helfen, die Identität einer Person zu überprüfen, und minimieren auf diese Weise, wie im neunten Erwägungsgrund der PNR-Richtlinie festgestellt wird, die Gefahr, dass ungerechtfertigte Überprüfungen und Ermittlungen zu unschuldigen Personen durchgeführt werden. Schließlich kann die bloße Tatsache, dass Anhang I Nr. 18 mehr Daten als in Art. 3 Abs. 2 der API-Richtlinie vorgesehen aufführt, nicht automatisch zu der Feststellung führen, dass diese Daten übermäßig sind, da die API-Richtlinie und die PNR-Richtlinie unterschiedliche Ziele verfolgen.

171 Die in Anhang I Nr. 12 aufgeführten Daten zu unbegleiteten Minderjährigen beziehen sich wiederum auf eine gefährdete Personengruppe, die besonderen Schutz, auch in Bezug auf die Achtung ihres Privatlebens und den Schutz ihrer personenbezogenen Daten, genießt (

172 Auch wenn die personenbezogenen Daten, die die Fluggesellschaften den PNR-Zentralstellen gemäß der PNR-Richtlinie zu übermitteln haben, nach meinem Dafürhalten den Erfordernissen der Zweckentsprechung und der Erheblichkeit genügen und ihr Umfang das für das Funktionieren des mit dieser Richtlinie geschaffenen Systems absolut notwendige Maß nicht übersteigt, betrifft eine solche Übermittlung für jeden betroffenen Fluggast gleichwohl eine signifikante Anzahl personenbezogener Daten unterschiedlichster Art und in absoluten Werten eine extrem hohe Zahl derartiger Daten. Unter diesen Umständen ist es unbedingt erforderlich, dass die Übermittlung mit ausreichenden Garantien versehen wird, die einerseits dafür sorgen, dass nur die ausdrücklich erwähnten Daten übermittelt werden, und andererseits die Sicherheit und Vertraulichkeit der übermittelten Daten gewährleisten.

173 In diesem Zusammenhang ist zum einen zu bemerken, dass der Unionsgesetzgeber zunächst eine Reihe von Garantien vorgesehen hat, mit denen sich die Kategorien der von den Strafverfolgungsbehörden zugänglich gemachten PNR-Daten begrenzen lassen und sichergestellt werden kann, dass der Zugang auf Daten beschränkt bleibt, deren Verarbeitung als für die Verwirklichung der mit der PNR-Richtlinie verfolgten Ziele notwendig erachtet wird. So werden in dieser Richtlinie erstens – vorbehaltlich der im Rahmen der Beantwortung der dritten Vorlagefrage angestellten Erwägungen – abschließend und präzise die Daten aufgeführt, die an die PNR-Zentralstellen übermittelt werden dürfen. Zweitens wird in der PNR-Richtlinie ausdrücklich darauf hingewiesen, dass nur Daten, die in dieser sich aus einer Abwägung der im 15. Erwägungsgrund der Richtlinie erwähnten verschiedenen Interessen und Erfordernisse ergebenden Liste enthalten sind, an die PNR-Zentralstellen übermittelt werden dürfen (Art. 6 Abs. 1 der PNR-Richtlinie). Drittens werden, wenn die übermittelten PNR-Daten andere als die in Anhang I genannten Daten beinhalten, diese Daten von der PNR-Zentralstelle „unmittelbar nach ihrem Eingang dauerhaft gelöscht“ (Art. 6 Abs. 1 der PNR-Richtlinie). Viertens sieht die Richtlinie vor, dass die in Anhang I aufgeführten PNR-Daten nur übermittelt werden dürfen, soweit sie von den Fluggesellschaften im Rahmen ihrer normalen Geschäftstätigkeit bereits erhoben worden sind (Art. 8 Abs. 1 und achter Erwägungsgrund der PNR-Richtlinie), was bedeutet, dass die PNR-Zentralstellen nicht automatisch auf alle in Anhang I enthaltenen Daten zugreifen können, sondern nur auf die Daten im Buchungssystem des betreffenden Wirtschaftsteilnehmers. Fünftens schreibt Art. 8 Abs. 1 der PNR-Richtlinie den Fluggesellschaften vor, bei der Übermittlung der PNR-Daten an die PNR-Zentralstellen die „Push-Methode“ zu verwenden. Diese Methode, die in den ICAO-Leitlinien empfohlen wird (

174 Zum anderen sieht die PNR-Richtlinie eine Reihe von Garantien vor, mit denen die Sicherheit der PNR-Daten gewährleistet werden soll. Ich verweise insoweit auf Art. 13 Abs. 2 dieser Richtlinie, wonach die Art. 28 und 29 der Polizei-Richtlinie, die sich auf die Vertraulichkeit der Verarbeitung und die Datensicherheit beziehen, auf jede Verarbeitung personenbezogener Daten nach der PNR-Richtlinie Anwendung finden, sowie auf Abs. 3 desselben Artikels, in dem in Bezug auf die Verarbeitung von PNR-Daten durch Fluggesellschaften auf die Pflichten hingewiesen wird, die diesen nach der DSGVO, insbesondere hinsichtlich der zum Schutz der Sicherheit und Vertraulichkeit der Daten zu treffenden geeigneten technischen und organisatorischen Maßnahmen, obliegen (

175 Schließlich ist hervorzuheben, dass die PNR-Richtlinie in ihren Erwägungsgründen 29 und 37 das Recht von Fluggästen anerkennt, u. a. über die Erhebung der PNR-Daten „korrekt und auf leicht zugängliche und verständliche Weise informiert“ zu werden, und die Mitgliedstaaten auffordert, die Achtung dieses Rechts sicherzustellen. Auch wenn dessen Anerkennung im Text der PNR-Richtlinie nicht in einer verbindlichen Bestimmung zum Ausdruck kommt, erinnere ich daran, dass die Bestimmungen der DSGVO, wie ich bei der Prüfung der ersten Vorlagefrage ausgeführt habe, auf die Übermittlung von PNR-Daten an die PNR-Zentralstellen Anwendung finden. Die Fluggesellschaften sind daher im Rahmen dieser Übermittlung verpflichtet, u. a. den Art. 13 und 14 der DSGVO nachzukommen, die das Recht auf Information von Personen vorsehen, die von einer Verarbeitung personenbezogener Daten betroffen sind. Die Mitgliedstaaten sollten das Informationsrecht von Fluggästen, wie es in den Erwägungsgründen 29 und 37 der PNR-Richtlinie anerkannt wird, im Rahmen der Umsetzung dieser Richtlinie zwar ausdrücklich vorsehen, dürfen den Anwendungsbereich der Art. 13 und 14 der DSGVO jedoch auf keinen Fall nach Art. 23 Abs. 1 dieser Verordnung beschränken, da das dem Geist der Richtlinie zuwiderliefe. Um wirksam zu sein, muss sich ein solches Recht auch auf die Kategorien von PNR-Daten beziehen, die Gegenstand einer Übermittlung sind.

176 Nach alledem vertrete ich die Ansicht, dass die PNR-Daten, deren Verarbeitung die PNR-Richtlinie vorsieht, in Anbetracht der mit dieser Richtlinie verfolgten Zwecke und vorbehaltlich der im Rahmen der dritten Vorlagefrage vorgeschlagenen Einschränkungen und vorgenommenen Klarstellungen erheblich, angemessen und nicht übermäßig sind und ihr Umfang das für die Verwirklichung dieser Zwecke absolut notwendige Maß nicht übersteigt. – Zu den sensiblen Daten

177 Die PNR-Richtlinie verbietet allgemein jede Verarbeitung „sensibler Daten“ (

178 Auch wenn diese Richtlinie keine Definition des Begriffs „sensible Daten“ enthält, geht aus ihrem Art. 13 Abs. 4 hervor, dass sie zumindest „PNR-Daten [einschließt], die die rassische oder ethnische Herkunft einer Person, ihre politischen Meinungen, ihre religiösen oder weltanschaulichen Überzeugungen, ihre Mitgliedschaft in einer Gewerkschaft, ihren Gesundheitszustand oder ihr Sexualleben oder ihre sexuelle Orientierung erkennen lassen“ (

179 Das mit der PNR-Richtlinie aufgestellte allgemeine Verbot der Verarbeitung sensibler Daten schließt auch ihre Erhebung ein. Daher beruhen die in Anhang I enthaltenen 19 Rubriken, worauf im 15. Erwägungsgrund dieser Richtlinie ausdrücklich hingewiesen wird, nicht auf den in deren Art. 13 Abs. 4 genannten PNR-Daten.

180 Auch wenn keine der Rubriken ausdrücklich auf solche Daten abstellt, könnten diese gleichwohl u. a. unter die in Anhang I Nr. 12 aufgeführte Rubrik „Allgemeine Hinweise“ fallen, bei der es sich um ein „offenes Feld“ handelt, das, wie ich im Rahmen der Prüfung der dritten Vorlagefrage bereits festgestellt habe, eine unbestimmte Zahl von Informationen unterschiedlichster Art umfassen kann. Es besteht nämlich, wie der Gerichtshof im Übrigen in Rn. 164 des Gutachtens 1/15 bemerkt hat, eine konkrete Gefahr, dass aus Informationen, die unter die besagte Rubrik fallen und sich beispielsweise auf Ernährungsgewohnheiten, Unterstützungsanfragen, Preispauschalen zugunsten bestimmter Personengruppen oder Kategorien von Organisationen beziehen, unmittelbar sensible Daten im Sinne von Art. 13 Abs. 4 der PNR-Richtlinie u. a. zu den religiösen Überzeugungen der betreffenden Fluggäste, ihrem Gesundheitszustand oder ihrer Mitgliedschaft in einer Gewerkschaft oder einer politischen Partei hervorgehen.

181 Da diese Daten nach der PNR-Richtlinie keinesfalls verarbeitet werden dürfen, übersteigt ihre Übermittlung durch die Fluggesellschaften nicht nur offensichtlich das absolut notwendige Maß, sondern hat auch keinerlei Nutzen. Der Tatsache, dass die PNR-Zentralstellen gemäß Art. 13 Abs. 4 Satz 2 der PNR-Richtlinie in jedem Fall verpflichtet sind, PNR-Daten, aus denen eine der in Satz 1 dieses Absatzes aufgezählten Informationen hervorgeht, umgehend zu löschen, lässt sich insoweit nicht entnehmen, dass eine Datenübermittlung gestattet oder gerechtfertigt wäre (

182 Da Informationen, die unter „free text“-Rubriken wie beispielsweise die Rubrik „Allgemeine Hinweise“ in Anhang I Nr. 12 fallen, in denen sensible Daten gemäß Art. 13 Abs. 4 der PNR-Richtlinie enthalten sein könnten, von den Fluggästen nur fakultativ mitgeteilt werden, ist es, wie Generalanwalt Mengozzi in Nr. 222 seiner Schlussanträge im Gutachten 1/15 (

183 Im Rahmen der Prüfung der dritten Vorlagefrage bin ich zu dem Schluss gelangt, dass Anhang I Nr. 12 in Bezug auf die Rubrik „Allgemeine Hinweise“ den sich aus Art. 52 Abs. 1 Satz 1 der Charta ergebenden Erfordernissen der Klarheit und Präzision nicht genügt. Aus den soeben dargelegten Gründen bin ich der Ansicht, dass die Aufnahme dieser Rubrik in die Kategorien von Daten, die systematisch an die PNR-Zentralstellen übermittelt werden, ohne dass eine Klarstellung hinsichtlich der Informationen erfolgt, auf die sie sich beziehen kann, ebenso wenig dem in Art. 52 Abs. 1 Satz 2 der Charta vorgesehenen Kriterium der Erforderlichkeit in der Auslegung durch den Gerichtshof genügt (

184 Abgesehen davon reicht es nicht aus, die sogenannten „free text“-Rubriken von der Liste der den staatlichen Behörden im Rahmen eines Systems zur Verarbeitung von PNR-Daten zu übermittelnden PNR-Daten zu entfernen, um die Gefahr zu bannen, dass sensible Daten diesen Behörden gleichwohl zur Verfügung gestellt werden. Solche Daten lassen sich nämlich nicht nur unmittelbar aus Informationen ableiten, die unter derartige Rubriken fallen, sondern können auch mittelbar aus Informationen hervorgehen oder aufgrund von Informationen vermutet werden, die in „verschlüsselten“ Rubriken enthalten sind. So kann der Name des Fluggasts, um ein Beispiel zu geben, Hinweise auf die ethnische Herkunft oder die Religionszugehörigkeit des betreffenden Fluggasts liefern oder zumindest zur Aufstellung von Hypothesen einladen. Gleiches gilt für die Staatsangehörigkeit. Diese Daten eignen sich grundsätzlich weder dazu, von der Liste der zu übermittelnden PNR-Daten entfernt zu werden, noch dazu, von den empfangsberechtigten Behörden gelöscht zu werden. Um der Gefahr vorzubeugen, dass zahlreiche Personen, die jedoch keiner Straftat verdächtig sind, auf der Grundlage geschützter Merkmale stigmatisiert werden, ist es daher wichtig, dass ein System zur Verarbeitung von PNR-Daten ausreichende Garantien vorhält, mit denen sich auf jeder Stufe der Verarbeitung der erhobenen Daten ausschließen lässt, dass solche Merkmale direkt oder indirekt berücksichtigt werden können, beispielsweise indem bei der automatisierten Analyse Selektoren angewandt werden, die auf diesen Merkmalen beruhen. Darauf werde ich im weiteren Verlauf meiner Prüfung zurückkommen.

185 Nach alledem vertrete ich vorbehaltlich der Schlussfolgerung, zu der ich oben in Nr. 183 gelangt bin, die Ansicht, dass die PNR-Richtlinie im Stadium der Übermittlung der PNR-Daten an die PNR-Zentralstellen ausreichende Garantien zum Schutz sensibler Daten vorsieht. iii) Zum Begriff „Fluggast“ (vierte Vorlagefrage)

186 Mit seiner vierten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof erfahren, ob das mit der PNR-Richtlinie geschaffene System, insofern es die allgemeine Übermittlung und Verarbeitung von PNR-Daten jeder Person, die dem Begriff „Fluggast“ im Sinne von Art. 3 Nr. 4 dieser Richtlinie entspricht, unabhängig von einem objektiven Anhaltspunkt für die Annahme gestattet, dass von der betreffenden Person eine Gefahr für die öffentliche Sicherheit ausgehen könnte, mit den Art. 7, 8 und 52 Abs. 1 der Charta vereinbar ist. Es fragt sich insbesondere, ob die Rechtsprechung des Gerichtshofs im Bereich der Vorratsspeicherung und des Zugangs zu Daten in der elektronischen Kommunikation auf das mit der PNR-Richtlinie eingeführte System zur Verarbeitung personenbezogener Daten übertragen werden kann.

187 In dieser Rechtsprechung hat der Gerichtshof, soweit für das vorliegende Verfahren von Belang, festgestellt, dass eine Regelung, die zur Bekämpfung schwerer Kriminalität für den Zugang der Strafverfolgungsbehörden eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrsdaten zu elektronischen Kommunikationen und von Standortdaten (automatisierte Analyse aller Verkehrs- und Standortdaten mittels einer von den Betreibern elektronischer Kommunikationsdienste auf Ersuchen der zuständigen nationalen Behörden in Anwendung der von diesen festgelegten Parametern vorgenommenen Filterung vorsah (

188 Darüber hinaus ist der Gerichtshof in der vorstehend angeführten Rechtsprechung zwar nicht so weit gegangen, das Vorliegen einer Beeinträchtigung des Wesensgehalts des Rechts auf Achtung des Privatlebens wie im Urteil Schrems I ausdrücklich festzustellen, hat aber gleichwohl die Auffassung vertreten, dass die in Rede stehenden Maßnahmen mit einem so schwerwiegenden Eingriff verbunden waren, dass sie – außer im seltenen Fall spezifischer Bedrohungen der nationalen Sicherheit eines Mitgliedstaats – schlicht und ergreifend nicht als auf das absolut Notwendige beschränkt und damit im Einklang mit der Charta stehend angesehen werden konnten (

189 Ich habe bereits hervorgehoben, dass eine Regelung wie die in der PNR-Richtlinie vorgesehene mit den Maßnahmen von der Art derjenigen, die der Gerichtshof in der in den vorstehenden Nummern der vorliegenden Schlussanträge in Erinnerung gerufenen Rechtsprechung untersucht hat, eine Reihe gemeinsamer Elemente teilt, die ihr einen besonders einschneidenden Charakter verleihen. So wird mit dieser Richtlinie ein allgemeines und unterschiedsloses System zur Erhebung und automatisierten Analyse der personenbezogenen Daten eines erheblichen Teils der Bevölkerung eingeführt, das pauschal für sämtliche Personen, die dem Begriff „Fluggast“ in Art. 3 Nr. 4 der Richtlinie entsprechen, und damit auch für Personen gilt, bei denen keinerlei Anhaltspunkt dafür vorliegt, dass ihr Verhalten in einem auch nur mittelbaren oder entfernten Zusammenhang mit terroristischen oder der schweren Kriminalität zuzuordnenden Aktivitäten stehen könnte. Daher stellt sich das vorlegende Gericht die Frage, ob diese Rechtsprechung auf ein System zur Verarbeitung von PNR-Daten wie das mit der PNR-Richtlinie geschaffene übertragen werden kann.

190 Bei der Prüfung des persönlichen Anwendungsbereichs des Entwurfs eines PNR-Abkommens Kanada–EU in den Rn. 186 bis 189 des Gutachtens 1/15 hat es der Gerichtshof insoweit vermieden, eine Parallele zwischen Maßnahmen zur Vorratsspeicherung sowie zum allgemeinen und unterschiedslosen Zugang zum Inhalt elektronischer Kommunikationen, zu Verkehrs- und zu Standortdaten einerseits und der Übermittlung von PNR-Daten und ihrer automatisierten Verarbeitung im Rahmen einer Vorabüberprüfung von Fluggästen, um die es in diesem Abkommen geht, andererseits, zu ziehen. Zum Zeitpunkt der Erstellung des Gutachtens gab es jedoch bereits eine gefestigte – nur wenige Monate zuvor durch das vom vorlegenden Gericht in Bezug genommene Urteil Tele2 Sverige bestätigte – Rechtsprechung, in der die besagten Maßnahmen – außer in spezifischen und vereinzelten Fällen (

191 In den genannten Randnummern des Gutachtens 1/15 hat der Gerichtshof ausdrücklich die Auffassung vertreten, dass das PNR-Abkommen Kanada–EU nicht über die Grenzen des absolut Notwendigen hinausgeht, soweit es zwecks Vorabüberprüfung die Übermittlung der PNR-Daten sämtlicher Fluggäste an Kanada und die automatisierte Verarbeitung dieser Daten gestattet, obwohl eine solche Übermittlung und eine solche Verarbeitung „unabhängig davon [erfolgen sollen], ob objektive Anhaltspunkte dafür vorliegen, dass von den Fluggästen eine Gefahr für die öffentliche Sicherheit in Kanada ausgeht“ (

192 Daher hat sich der Gerichtshof zumindest in Bezug auf die allgemeine und unterschiedslose Übermittlung von PNR-Daten von dem strengeren Ansatz gelöst, der im Bereich der Vorratsspeicherung und des Zugangs zu Metadaten gewählt worden war.

193 Auch wenn er in seiner Argumentation, wie u. a. aus den Rn. 152 und 188 des Gutachtens 1/15 hervorgeht, die Feststellung, wonach die automatisierte Verarbeitung von PNR-Daten die Sicherheitskontrollen, insbesondere an den Grenzen, erleichtert, einerseits, und die Tatsache, dass Fluggäste, die in das Hoheitsgebiet eines Vertragsstaats des Abkommens von Chicago einreisen möchten, nach dem Abkommen verpflichtet sind, sich den Kontrollen zu unterziehen und die Voraussetzungen dieses Staates für die Ein- oder Ausreise, einschließlich der Überprüfung ihrer PNR-Daten, zu erfüllen, unbestreitbar berücksichtigt hat, sprechen meiner Ansicht nach andere Gründe, darunter erstens die Art der verarbeiteten Daten, für unterschiedliche Ansätze.

194 Der Gerichtshof hat mehrmals betont, dass nicht nur der Inhalt der elektronischen Kommunikationen, sondern auch die Metadaten Informationen „über eine Vielzahl von Aspekten des Privatlebens der Betroffenen“ enthalten können, „einschließlich sensibler Informationen wie sexuelle Orientierung, politische Meinungen, religiöse, philosophische, gesellschaftliche oder andere Überzeugungen sowie den Gesundheitszustand“, dass aus der Gesamtheit dieser Daten „sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten gespeichert wurden, gezogen werden [können], etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen dieser Personen und das soziale Umfeld, in dem sie verkehren“, und dass die Daten die Erstellung „eines Profils der Betroffenen [ermöglichen], das im Hinblick auf das Recht auf Achtung des Privatlebens eine ebenso sensible Information darstellt wie der Inhalt der Kommunikationen selbst“ (

195 Dagegen hat der Gerichtshof, worauf ich in den Nrn. 77 und 98 der vorliegenden Schlussanträge hingewiesen habe, im Gutachten 1/15 zwar anerkannt, dass die PNR-Daten unter Umständen sehr genaue Informationen über das Privatleben einer Person liefern können (

196 Zweitens unterscheiden sich PNR-Daten nicht nur hinsichtlich ihrer Art von Verkehrs- und Standortdaten; auch die Anzahl und die Vielfalt der Informationen, die aus diesen unterschiedlichen Datenkategorien hervorgehen könnten, unterscheiden sich, da in PNR-Daten sowohl in quantitativer als auch in qualitativer Hinsicht weniger Informationen enthalten sind. Dies hängt nicht nur von der Tatsache, dass Systeme zur allgemeinen und unterschiedslosen Verarbeitung von Daten zu elektronischen Kommunikationen fast die gesamte Zielbevölkerung betreffen können, während Systeme zur Verarbeitung von PNR-Daten für einen begrenzteren, wenn auch zahlenmäßig bedeutenden Personenkreis gelten, sondern auch von der Häufigkeit der Nutzung und der Vielzahl der elektronischen Kommunikationsmittel ab. Darüber hinaus sieht die PNR-Richtlinie die Erhebung und Verarbeitung einer begrenzten und erschöpfend festgelegten Anzahl von PNR-Daten unter Ausschluss von Daten vor, die unter die in Art. 13 Abs. 4 dieser Richtlinie aufgeführten Kategorien fallen, so dass sich wenn nicht die Menge, so zumindest die Sensibilität der Informationen über das Privatleben der betreffenden Personen, die sich daraus ergeben können, teilweise im Voraus beurteilen lässt (

197 Drittens ist jede Verarbeitung von Metadaten elektronischer Kommunikationen nicht nur geeignet, die Intimsphäre des Lebens nahezu der gesamten Bevölkerung zu berühren, sondern beeinträchtigt auch die Ausübung anderer Freiheiten, durch die der Einzelne am sozialen und demokratischen Leben eines Landes teilhat (

198 Viertens besteht – hauptsächlich aufgrund der Anzahl und Vielfalt der sensiblen Informationen, die dem Inhalt der elektronischen Kommunikationen sowie den Verkehrs- und Standortdaten entnommen werden können – ein signifikant höheres Risiko von Willkür im Zusammenhang mit der Verarbeitung dieser Daten als bei Systemen zur Verarbeitung von PNR-Daten.

199 Vor diesem Hintergrund bin ich der Ansicht, dass der vom Gerichtshof im Bereich der elektronischen Kommunikation gewählte strengere Ansatz als solcher nicht auf Systeme zur Verarbeitung von PNR-Daten übertragbar ist. Im Gutachten 1/15 hat sich der Gerichtshof im Kontext eines internationalen Übereinkommens über die Einführung eines solchen Systems zum Schutz der Sicherheit eines Drittlandes bereits – zumindest implizit – in diesem Sinne geäußert. Die gleiche Position ist nach meinem Dafürhalten erst recht in Bezug auf die PNR-Richtlinie gerechtfertigt, deren Ziel der Schutz der inneren Sicherheit der Union ist.

200 Abgesehen davon ist zu bemerken, wie es Generalanwalt Mengozzi in Nr. 216 seiner Schlussanträge im Gutachten 1/15 getan hat (

201 Darüber hinaus ist hervorzuheben, dass die Kommission die strategische Bedeutung der Verarbeitung von PNR-Daten als wesentliches Instrument der gemeinsamen Reaktion der Union auf Terrorismus und schwere Kriminalität und als wichtiger Bestandteil der Sicherheitsunion mehrfach herausgestellt hat (

202 In diesem Kontext erlaubt es die Verabschiedung eines auf Unionsebene harmonisierten Systems zur Verarbeitung von PNR-Daten sowohl in Bezug auf Drittstaatsflüge als auch – für Staaten, die von Art. 2 der PNR-Richtlinie Gebrauch gemacht haben – in Bezug auf EU-Flüge, zu gewährleisten, dass die Verarbeitung dieser Daten unter Wahrung des in der Richtlinie festgelegten hohen Schutzniveaus für die in den Art. 7 und 8 der Charta niedergelegten Rechte erfolgt, und stellt ein Referenzrechtssystem für die Aushandlung internationaler Übereinkommen über die Verarbeitung und Übermittlung von PNR-Daten bereit (

203 Wenn es zutrifft, dass das mit der PNR-Richtlinie geschaffene System unterschiedslos alle Fluggäste erfasst, wie u. a. das Parlament in seinen schriftlichen Erklärungen zu Recht unterstrichen und auch der Sicherheitsrat der Vereinten Nationen in der Resolution 2396 (2017), in der auf die konkrete Gefahr einer Verwendung der zivilen Luftfahrt zu terroristischen Zwecken sowohl als Beförderungsmittel als auch als Ziel hingewiesen wird, herausgestellt hat (

204 Schließlich ist hervorzuheben, dass, wie das Parlament, der Rat und mehrere Mitgliedstaaten, die schriftliche Erklärungen eingereicht haben, geltend gemacht haben, Fluggäste bei Einreise in die oder Ausreise aus der Union verpflichtet sind, sich Sicherheitskontrollen zu unterziehen (

205 Was abschließend insbesondere die Ausweitung des Systems der PNR-Richtlinie auf EU-Flüge angeht, so ist, auch wenn sich Auswirkungen auf die u. a. in Art. 45 der Charta verankerte Freizügigkeit der Unionsbürger nicht von vornherein ausschließen lassen, der mit der PNR-Richtlinie verbundene Eingriff in das Privatleben zwar schwer, hat nach meinem Dafürhalten als solcher aber keine abschreckende Wirkung auf die Ausübung dieser Freiheit, da die Verarbeitung von PNR-Daten von der Öffentlichkeit sogar als eine für die Gewährleistung der Sicherheit des Luftverkehrs notwendige Maßnahme wahrgenommen werden kann (

206 Um der in den Nrn. 107 und 108 der vorliegenden Schlussanträge wiedergegebenen Rechtsprechung Rechnung zu tragen, darf sich die PNR-Richtlinie jedoch nicht darauf beschränken, dass der Zugang zu den PNR-Daten sämtlicher Fluggäste und die automatisierte Verarbeitung dieser Daten dem verfolgten Zweck zu entsprechen haben, sondern muss auch klar und präzise die materiellen und prozeduralen Voraussetzungen für diesen Zugang und diese Verarbeitung sowie für die spätere Verwendung der Daten vorsehen (

207 Bevor ich mit der Prüfung fortfahre, möchte ich die grundlegende Bedeutung unterstreichen, die der Kontrolle durch die in Art. 15 der PNR-Richtlinie genannte unabhängige Stelle im Rahmen des mit dieser Richtlinie geschaffenen Garantiesystems zukommt. Danach unterliegt jede Datenverarbeitung gemäß der Richtlinie der Kontrolle durch eine unabhängige Kontrollstelle, die befugt ist, die Rechtmäßigkeit dieser Verarbeitung zu prüfen, Ermittlungen, Inspektionen und Audits durchzuführen sowie Beschwerden betroffener Personen zu behandeln. Eine solche Kontrolle durch eine externe Stelle, die für die Verteidigung von Interessen zuständig ist, die mit den Interessen der Verarbeiter von PNR-Daten in Konflikt geraten könnten, und der die Rolle zufällt, die Einhaltung sämtlicher Einschränkungen und Schutzvorkehrungen im Zusammenhang mit diesen Verarbeitungen zu gewährleisten, stellt eine in Art. 8 Abs. 3 der Charta ausdrücklich genannte wesentliche Garantie dar, die in Bezug auf den Schutz der betroffenen Grundrechte sogar eine höhere Wirksamkeit hat als das System der Rechtsbehelfe, die Einzelpersonen zur Verfügung stehen. Nach meinem Dafürhalten ist es daher von grundlegender Bedeutung, dass der Gerichtshof den Umfang der in Art. 15 der PNR-Richtlinie vorgesehenen Kontrollbefugnisse weit auslegt und die Mitgliedstaaten ihrer nationalen Kontrollstelle diese Befugnisse bei der Umsetzung der Richtlinie in innerstaatliches Recht vollumfänglich zuerkennen, indem sie sie mit den materiellen und personellen Mitteln ausstatten, die für die Erfüllung ihres Auftrags erforderlich sind.

208 Nach alledem überschreitet die PNR-Richtlinie meiner Ansicht nach nicht die Grenzen des absolut Notwendigen, soweit sie die Übermittlung und automatisierte Verarbeitung der Daten jeder Person gestattet, die dem Begriff „Fluggast“ im Sinne von Art. 3 Nr. 4 dieser Richtlinie entspricht. iv) Zu der Frage, ob die Vorabüberprüfung von Fluggästen hinreichend klar und präzise und auf das absolut Notwendige beschränkt ist (sechste Vorlagefrage)

209 Mit seiner sechsten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob die in Art. 6 der PNR-Richtlinie genannte Vorabüberprüfung mit den Art. 7, 8 und 52 Abs. 1 der Charta vereinbar ist. Obwohl der Wortlaut dieser Frage auf den mit der Vorabüberprüfung verbundenen systematischen und allgemeinen Charakter der automatisierten Verarbeitung der PNR-Daten aller Fluggäste abstellt, geht aus den Gründen der Vorlageentscheidung hervor, dass der Verfassungsgerichtshof den Gerichtshof um eine umfassendere Beurteilung der Frage ersucht, ob die Erfordernisse der Gesetzmäßigkeit und der Verhältnismäßigkeit im Kontext einer solchen Verarbeitung eingehalten werden. Ich werde diese Beurteilung im Folgenden vornehmen, gleichzeitig aber auf die Analyse verweisen, die anlässlich der Prüfung der vierten Vorlagefrage hinsichtlich der fehlenden Zielgerichtetheit der automatisierten Verarbeitung durchgeführt worden ist.

210 Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie sieht vor, dass die PNR-Zentralstellen vor der planmäßigen Ankunft von Fluggästen in einem Mitgliedstaat oder vor ihrem Abflug von einem Mitgliedstaat eine Vorabüberprüfung dieser Fluggäste vornehmen. Mit der Überprüfung sollen diejenigen Personen ermittelt werden, die von den zuständigen Behörden genauer überprüft werden müssen, „da sie möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind“. Nach Art. 6 Abs. 6 der PNR-Richtlinie übermittelt die PNR-Zentralstelle eines Mitgliedstaats die PNR-Daten der im Rahmen dieser Überprüfung ermittelten Personen oder die Ergebnisse der Verarbeitung dieser Daten „zur weiteren Überprüfung“ an die zuständigen Behörden gemäß Art. 7 desselben Mitgliedstaats.

211 Gemäß Art. 6 Abs. 3 der PNR-Richtlinie werden die Vorabüberprüfungen nach Abs. 2 Buchst. a dieses Artikels durchgeführt, indem die PNR-Daten mit „maßgeblichen“ Datenbanken (Art. 6 Abs. 3 Buchst. a) oder anhand im Voraus festgelegter Kriterien (Art. 6 Abs. 3 Buchst. b) abgeglichen werden.

212 Bevor ich mit der Prüfung dieser beiden Arten von Datenverarbeitungen beginne, stelle ich fest, dass sich aus dem Wortlaut des vorerwähnten Art. 6 Abs. 3 nicht eindeutig ergibt, ob die Mitgliedstaaten vorsehen müssen, dass die Vorabüberprüfung von Fluggästen erfolgt, indem systematisch und in allen Fällen sowohl die eine als auch die andere automatisierte Analyse durchgeführt wird, oder ob sie, wie die Verwendung des Verbs „dürfen“ und der disjunktiven Konjunktion „oder“ zu untermauern scheint, ermächtigt sind, ihre Systeme so auszugestalten, dass beispielsweise die in Art. 6 Abs. 3 Buchst. b vorgesehene Prüfung bestimmten Fällen vorbehalten wird. Nach dem Vorschlag für eine PNR-Richtlinie wurde diese Prüfung lediglich im Rahmen der Bekämpfung schwerer grenzüberschreitender Kriminalität vorgenommen (

213 Wie die Kommission bin ich der Ansicht, dass die Mitgliedstaaten, wie u. a. aus der Systematik der PNR-Richtlinie hervorgeht, aus Gründen, die auch mit dem Erfordernis zusammenhängen, eine möglichst einheitliche Anwendung des Systems zur Verarbeitung von PNR-Daten der Union sicherzustellen, verpflichtet sind, beide Arten automatisierter Verarbeitungen vorzusehen. Dies bedeutet jedoch nicht, dass die Mitgliedstaaten nicht befugt – und, um zu gewährleisten, dass die mit der gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie vorgenommenen Vorabüberprüfung verbundene Datenverarbeitung auf das absolut Notwendige beschränkt ist, sogar verpflichtet – sind, die Analyse gemäß Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie nach Maßgabe ihrer Ergebnisse in Sachen Wirksamkeit für die einzelnen in dieser Richtlinie genannten strafbaren Handlungen zu begrenzen und sie gegebenenfalls lediglich bestimmten strafbaren Handlungen vorzubehalten. Dafür spricht der siebte Erwägungsgrund der PNR-Richtlinie, in dem es heißt: „Damit die Verarbeitung von PNR-Daten … auf das Erforderliche beschränkt bleibt, sollten die Aufstellung und Anwendung von Prüfkriterien auf terroristische Straftaten und schwere Kriminalität, für die die Anwendung solcher Kriterien maßgeblich ist, beschränkt werden.“ – Zum Abgleich mit Datenbanken im Sinne von Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie

214 Im ersten Teil der Vorabüberprüfung, die die PNR-Zentralstellen gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie vornehmen, werden die PNR-Daten nach Abs. 3 Buchst. a dieses Artikels mit Datenbanken abgeglichen („data matching“), um etwaige Treffer („hits“) zu ermitteln. Diese Hits müssen nach Art. 6 Abs. 5 der PNR-Richtlinie von den PNR-Zentralstellen überprüft und gegebenenfalls als „Match“ gekennzeichnet werden, bevor sie an die zuständigen Behörden übermittelt werden.

215 Wie der Gerichtshof in Rn. 172 des Gutachtens 1/15 anerkannt hat, hängt der Umfang des Eingriffs derartiger automatisierter Analysen in die in den Art. 7 und 8 der Charta niedergelegten Rechte im Wesentlichen von den Datenbanken ab, auf denen diese Analysen beruhen. Es ist daher von größter Bedeutung, dass die Bestimmungen, die solche Datenverarbeitungen vorsehen, hinreichend klar und präzise angeben, mit welchen Datenbanken die zu verarbeitenden Daten abgeglichen werden dürfen.

216 Gemäß Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie gleichen die PNR-Zentralstellen die PNR-Daten mit „maßgeblichen Datenbanken“ (

217 Abgesehen von dieser Klarstellung wird der Begriff „maßgebliche Datenbanken“ nicht weiter erläutert. Es wird insbesondere nicht angegeben, ob die für den Abgleich der PNR-Daten verwendeten Datenbanken, um als „maßgeblich“ angesehen werden zu können, von Strafverfolgungsbehörden oder ganz allgemein von Behörden verwaltet werden müssen oder ob sie ihnen nur direkt oder indirekt zugänglich sein müssen. Auch die Art der Daten, die solche Datenbanken enthalten können, und ihr Verhältnis zu den mit der PNR-Richtlinie verfolgten Zielen werden nicht präzisiert (

218 Daher hat der Gerichtshof Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie und insbesondere den Begriff „maßgebliche Datenbanken“ in Anwendung des in Nr. 151 der vorliegenden Schlussanträge in Erinnerung gerufenen allgemeinen Auslegungsgrundsatzes soweit wie möglich im Einklang mit den sich aus der Charta ergebenden Erfordernissen der Klarheit und Präzision auszulegen. Da diese Vorschrift einen Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte vorsieht, muss sie außerdem eng und unter Berücksichtigung des Erfordernisses, ein hohes Schutzniveau für diese Grundrechte zu gewährleisten, das u. a. im 15. Erwägungsgrund der PNR-Richtlinie aufgestellt wird, ausgelegt werden. Ferner ist sie im Licht des in Art. 1 Abs. 2 der PNR-Richtlinie aufgestellten Grundsatzes der Zweckbindung bei der Verarbeitung von PNR-Daten auszulegen.

219 Unter Berücksichtigung der vorstehenden Kriterien ist der Begriff „maßgebliche Datenbanken“ meiner Ansicht nach dahin auszulegen, dass er sich nur auf nationale Datenbanken, die von den zuständigen Behörden gemäß Art. 7 Abs. 1 der PNR-Richtlinie verwaltet werden, sowie auf Datenbanken der Union und internationale Datenbanken bezieht, die von diesen Behörden im Rahmen ihres Auftrags direkt betrieben werden. Die Datenbanken müssen außerdem in einem unmittelbaren und engen Zusammenhang mit den von der PNR-Richtlinie verfolgten Zwecken der Bekämpfung von Terrorismus und schwerer Kriminalität stehen, was voraussetzt, dass sie zu diesen Zwecken entwickelt worden sind. So ausgelegt, bezieht sich der Begriff hauptsächlich, wenn nicht ausschließlich auf die in Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie ausdrücklich erwähnten Datenbanken betreffend Personen oder Gegenstände, nach denen gefahndet wird oder die Gegenstand einer Ausschreibung sind.

220 Vom Begriff „maßgebliche Datenbanken“ sind generell Datenbanken ausgeschlossen, die von den Nachrichtendiensten der Mitgliedstaaten verwaltet oder betrieben werden, es sei denn, sie erfüllen in jeder Hinsicht die Voraussetzung eines engen Zusammenhangs mit den von der PNR-Richtlinie verfolgten Zielen und der fragliche Mitgliedstaat erkennt seinen Nachrichtendiensten spezifische Befugnisse im Strafverfolgungsbereich zu (

221 Die oben vorgeschlagene Auslegung steht im Einklang mit den vom Gerichtshof in Rn. 172 des Gutachtens 1/15 formulierten Empfehlungen.

222 Auch so ausgelegt lässt sich mit Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie jedoch nicht hinreichend präzise feststellen, welche Datenbanken von den Mitgliedstaaten im Rahmen des Abgleichs mit den PNR-Daten verwendet werden, so dass nicht davon ausgegangen werden kann, dass er die sich aus Art. 52 Abs. 1 der Charta in der Auslegung durch den Gerichtshof ergebenden Anforderungen erfüllt. Die Vorschrift ist daher dahin auszulegen, dass sie die Mitgliedstaaten dazu verpflichtet, im Rahmen der Umsetzung der PNR-Richtlinie in nationales Recht eine Liste mit den entsprechenden Datenbanken zu veröffentlichen und auf dem neuesten Stand zu halten. Es wäre darüber hinaus wünschenswert, dass auf Unionsebene eine Liste mit „maßgeblichen“ Datenbanken im Sinne von Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie, die von der Union in Zusammenarbeit mit den Mitgliedstaaten verwaltet werden, und internationalen Datenbanken erstellt wird, um die diesbezügliche Praxis der Mitgliedstaaten zu vereinheitlichen. – Zum Abgleich der PNR-Daten anhand im Voraus festgelegter Kriterien

223 Der zweite Teil der Vorabüberprüfung gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie besteht in einer automatisierten Analyse anhand im Voraus festgelegter Kriterien. Im Rahmen dieser Analyse werden die PNR-Daten – hauptsächlich zu prädiktiven Zwecken – durch die Anwendung von Algorithmen verarbeitet, die es ermöglichen sollen, Fluggäste zu „ermitteln“, die an terroristischen Straftaten oder an schwerer Kriminalität beteiligt sein könnten. Dabei nimmt die PNR-Zentralstelle im Wesentlichen ein Profiling vor (

224 Ich stelle insoweit erstens fest, dass die im Voraus festgelegten Kriterien, anhand deren die in Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie vorgesehene Vorabüberprüfung durchgeführt wird, gemäß Art. 6 Abs. 4 Satz 2 dieser Richtlinie „zielgerichtet, verhältnismäßig und bestimmt“ sein müssen. Das erste Erfordernis bezieht sich auf das Ziel der in Abs. 2 Buchst. a des Artikels vorgesehenen Vorabüberprüfung, nämlich die Ermittlung derjenigen Personen, die von den zuständigen Behörden genauer überprüft werden müssen, und trägt daher der vom Gerichtshof im Gutachten 1/15 hervorgehobenen Notwendigkeit Rechnung, dass es mit den verwendeten Kriterien gelingt, Personen zu „identifizieren“, gegen die ein „begründeter Verdacht“ der Beteiligung an terroristischen Straftaten oder schwerer Kriminalität bestehen könnte (

225 Nach Art. 6 Abs. 4 Satz 2 müssen die in Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie genannten im Voraus festgelegten Kriterien außerdem „bestimmt“ (

226 Schließlich geht sowohl aus der Präambel und den Bestimmungen der PNR-Richtlinie als auch aus den vom Gerichtshof im Gutachten 1/15 aufgestellten Erfordernissen hervor, dass die in Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie genannten im Voraus festgelegten Kriterien ferner „zuverlässig“ (

227 Zweitens verbietet die PNR-Richtlinie ausdrücklich diskriminierendes Profiling. So sieht Art. 6 Abs. 4 Satz 1 dieser Richtlinie vor, dass die Vorabüberprüfung anhand im Voraus festgelegter Kriterien gemäß Abs. 3 Buchst. b „in nichtdiskriminierender Weise“ erfolgt. Insoweit ist klarzustellen, dass, auch wenn es in Art. 6 Abs. 4 Satz 3 heißt, dass „[d]ie rassische oder ethnische Herkunft, die politischen Meinungen, die religiösen oder weltanschaulichen Überzeugungen, die Mitgliedschaft in einer Gewerkschaft, der Gesundheitszustand, das Sexualleben oder die sexuelle Orientierung einer Person … unter keinen Umständen als Grundlage“ für diese Kriterien dienen dürfen, das allgemeine Verbot diskriminierender Profilerstellung so zu verstehen ist, dass es alle in Art. 21 der Charta erwähnten Diskriminierungsgründe und sogar solche umfasst, die nicht ausdrücklich erwähnt werden (

228 Drittens geht sowohl aus dem Wortlaut von Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie als auch aus dem in dieser Richtlinie vorgesehenen System von Garantien, die mit der automatisierten Verarbeitung von PNR-Daten einhergehen, hervor, dass die Funktionsweise der Algorithmen, die im Rahmen der in Art. 6 Abs. 3 Buchst. b vorgesehenen Analyse verwendet werden, transparent und das Ergebnis ihrer Anwendung nachvollziehbar sein muss. Dieses Transparenzerfordernis bedeutet natürlich nicht, dass die verwendeten „Profile“ veröffentlicht werden müssen. Es verlangt jedoch, dass die Erkennbarkeit der algorithmischen Entscheidungsfindung gewährleistet ist. Zum einen schließt das Erfordernis, wonach die Kriterien, anhand deren die Analyse zu erfolgen hat, „im Voraus festgelegt“ werden müssen, nämlich aus, dass sich die Kriterien ohne menschlichen Eingriff ändern lassen, und steht daher der Nutzung von KI-Technologien, die auch als „machine learning“ ( – Zu den Garantien, die mit der automatisierten Verarbeitung von PNR-Daten einhergehen

229 Ich habe bereits einige der Garantien erwähnt, die mit der automatisierten Verarbeitung von PNR-Daten im Rahmen der Vorabüberprüfung gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie einhergehen und die vom Gerichtshof im Gutachten 1/15 aufgestellten Anforderungen erfüllen, nämlich das Verbot der Verarbeitung auf der Grundlage im Voraus festgelegter diskriminierender Kriterien (Art. 6 Abs. 4 Satz 1 und 4 der PNR-Richtlinie; Gutachten 1/15, Rn. 172), die regelmäßige Aktualisierung der im Voraus festgelegten Kriterien, anhand deren die in Art. 6 Abs. 3 Buchst. b dieser Richtlinie genannte Vorabüberprüfung vorgenommen werden muss (Art. 6 Abs. 4 Satz 3 der PNR-Richtlinie; Gutachten 1/15, Rn. 174), die Überprüfung jedes einzelnen Treffers bei der automatisierten Verarbeitung von PNR-Daten mit nicht automatisierten Mitteln (Art. 6 Abs. 5 und 6 der PNR-Richtlinie; Gutachten 1/15, Rn. 173) und die Kontrolle der Rechtmäßigkeit dieser Verarbeitung durch den Datenschutzbeauftragten und die nationale Kontrollstelle (Art. 6 Abs. 7 und Art. 15 Abs. 3 Buchst. b der PNR-Richtlinie). In diesem Zusammenhang ist es äußerst wichtig, dass sich die Kontrolle durch eine unabhängige Stelle wie die in Art. 15 der PNR-Richtlinie genannte Stelle zum einen auf jeden Aspekt der automatisierten Verarbeitung von PNR-Daten, einschließlich der Ermittlung der für den Abgleich im Sinne von Art. 6 Abs. 3 Buchst. a der Richtlinie verwendeten Datenbanken und der Erarbeitung der bei der Analyse gemäß deren Art. 6 Abs. 3 Buchst. b angewandten im Voraus festgelegten Kriterien, beziehen und zum anderen sowohl ex ante als auch ex post ausgeübt werden kann.

230 Hervorzuheben ist, dass die oben genannten Garantien analyseübergreifend als auf beide in Art. 6 Abs. 3 der PNR-Richtlinie erwähnten Analysearten anwendbar verstanden werden sollten, auch wenn das aus dem Wortlaut nicht hervorgeht. So gilt, auch wenn in Art. 6 Abs. 4 Satz 1 der PNR-Richtlinie auf das Erfordernis der Wahrung des Grundsatzes der Nichtdiskriminierung nur in Bezug auf die anhand im Voraus festgelegter Kriterien vorgenommene Vorabüberprüfung hingewiesen wird, dieses Erfordernis in jeder Phase des Prozesses der Verarbeitung von PNR-Daten und somit auch dann, wenn die Daten im Rahmen der Vorabüberprüfung im Sinne von Art. 6 Abs. 3 Buchst. a der Richtlinie mit maßgeblichen Datenbanken abgeglichen werden. Gleiches gilt für das Erfordernis, wonach die im Rahmen der Analyse nach Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie verwendeten im Voraus festgelegten Kriterien zuverlässig sein und aktualisiert werden müssen, das so zu verstehen ist, dass es sich auch auf Daten in den Datenbanken bezieht, die für den in Art. 6 Abs. 3 Buchst. a dieser Richtlinie vorgesehenen Abgleich verwendet werden. Ich stelle insoweit ganz allgemein fest, dass alle Garantien, die für die in der Polizei-Richtlinie vorgesehenen automatisierten Verarbeitungen personenbezogener Daten gelten, auch im Rahmen der PNR-Richtlinie anwendbar sind, da davon auszugehen ist, dass automatisierte Analysen, die im Rahmen der letztgenannten Richtlinie durchgeführt werden, in den Anwendungsbereich der Polizei-Richtlinie fallen.

231 Zu den oben in Nr. 229 aufgeführten Garantien gesellt sich die in Art. 7 Abs. 6 der PNR-Richtlinie vorgesehene Garantie, die zum einen das Verbot, Entscheidungsprozesse ausschließlich auf die Ergebnisse der automatisierten Verarbeitung der PNR-Daten zu stützen, und zum anderen das Verbot der Diskriminierung bei der Verarbeitung und Nutzung dieser Daten ergänzt. So sieht diese Vorschrift vor, dass „[d]ie zuständigen Behörden … Entscheidungen, aus denen sich eine nachteilige Rechtsfolge oder ein sonstiger schwerwiegender Nachteil für die betroffene Person ergibt, unter keinen Umständen allein auf der Grundlage der automatisierten Verarbeitung der PNR-Daten [treffen]“ und dass solche Entscheidungen „[e]benso wenig … aufgrund der rassischen oder ethnischen Herkunft, der politischen Meinungen, der religiösen oder weltanschaulichen Überzeugungen, der Mitgliedschaft in einer Gewerkschaft, des Gesundheitszustands, des Sexuallebens oder der sexuellen Orientierung einer Person getroffen [werden]“. Wie ich in Nr. 227 der vorliegenden Schlussanträge in Bezug auf Art. 6 Abs. 4 Satz 4 der PNR-Richtlinie ausgeführt habe, ist dieser Katalog von Diskriminierungsgründen durch Hinzufügung der in Art. 21 der Charta enthaltenen und der nicht ausdrücklich erwähnten Gründe zu ergänzen.

232 In Bezug auf die Sicherheit der PNR-Daten sieht Art. 6 Abs. 8 der PNR-Richtlinie vor, dass die Speicherung, Verarbeitung und Auswertung dieser Daten durch die PNR-Zentralstelle ausschließlich an einem gesicherten Ort bzw. gesicherten Orten im Hoheitsgebiet der Mitgliedstaaten erfolgt. – Ergebnis zur sechsten Vorlagefrage

233 Nach alledem bin ich vorbehaltlich der u. a. in den Nrn. 213, 219, 220, 222, 227, 228, 230 und 231 der vorliegenden Schlussanträge vorgeschlagenen Auslegungen der Ansicht, dass die automatisierte Verarbeitung von PNR-Daten im Rahmen der Vorabüberprüfung gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie den Erfordernissen der Klarheit und Präzision genügt und auf das absolut Notwendige beschränkt ist. v) Zur Aufbewahrung von PNR-Daten (achte Vorlagefrage)

234 Mit seiner achten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob Art. 12 der PNR-Richtlinie in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der Charta dahin auszulegen ist, dass er einzelstaatlichen Rechtsvorschriften entgegensteht, die eine allgemeine Aufbewahrungsdauer für PNR-Daten von fünf Jahren vorsehen, ohne eine Unterscheidung danach vorzunehmen, ob sich im Rahmen der Vorabüberprüfung herausstellt, dass die betroffenen Fluggäste ein Risiko für die öffentliche Sicherheit darstellen können oder nicht.

235 Art. 12 Abs. 1 der PNR-Richtlinie sieht vor, dass die PNR-Daten „für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen beziehungsweise von dem er abgegangen ist“, in einer Datenbank vorgehalten werden. Nach Art. 12 Abs. 2 werden die PNR-Daten nach Ablauf einer „anfänglichen Speicherfrist“ (

236 Aus dem Vorstehenden geht hervor, dass die PNR-Richtlinie die Aufbewahrung von PNR-Daten, einschließlich der Dauer dieser Aufbewahrung, selbst regelt und auf fünf Jahre festsetzt (

237 Es ist ein allgemeiner Grundsatz auf dem Gebiet des Schutzes personenbezogener Daten, dass diese Daten nicht in einer Form gespeichert werden dürfen, die die direkte oder indirekte Identifizierung der betroffenen Personen über einen längeren Zeitraum ermöglicht, als er für die Zwecke, für die sie verarbeitet werden, erforderlich ist (

238 Im Gutachten 1/15 hat der Gerichtshof in Bezug auf die bei der Einreise nach Kanada erhobenen Daten die Auffassung vertreten, dass der erforderliche Zusammenhang zwischen den PNR-Daten und dem mit dem Entwurf eines PNR-Abkommens Kanada–EU verfolgten Ziel für alle Fluggäste feststand, solange sie sich im Hoheitsgebiet dieses Drittlands befanden (

239 Übertragen auf den Kontext der PNR-Richtlinie, würden die vom Gerichtshof im Gutachten 1/15 aufgestellten Grundsätze bedeuten, dass die bei der Einreise in die Union erhobenen PNR-Daten zu Drittstaatsflügen und die bei der Einreise in den betreffenden Mitgliedstaat erhobenen PNR-Daten zu EU-Flügen nach ihrer Vorabanalyse im Sinne von Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie nur gespeichert werden dürfen, solange sich die betreffenden Fluggäste im Unionsgebiet oder im Hoheitsgebiet dieses Mitgliedstaats aufhalten. Die bei der Ausreise aus der Union erhobenen PNR-Daten zu Drittstaatsflügen und die bei der Ausreise aus dem betreffenden Mitgliedstaat erhobenen PNR-Daten zu EU-Flügen dürften nach der Vorabanalyse grundsätzlich nur im Fall von Fluggästen gespeichert werden, bei denen es objektive Anhaltspunkte dafür gibt, dass von ihnen eine Gefahr im Zusammenhang mit der Bekämpfung des Terrorismus und schwerer Kriminalität ausgehen könnte (

240 Die Regierungen und Organe, die Erklärungen vor dem Gerichtshof abgegeben haben, treten einer Übertragung der im Gutachten 1/15 auf dem Gebiet der Speicherung von PNR-Daten aufgestellten Grundsätze auf die vorliegende Rechtssache grundsätzlich entgegen. Insoweit ist zwar nicht ausgeschlossen, dass die Tatsache, dass der Gerichtshof auf ein Kriterium im Zusammenhang mit dem Aufenthalt der betreffenden Person im kanadischen Hoheitsgebiet zurückgegriffen hat, möglicherweise durch den Umstand beeinflusst worden ist, dass er es mit einer Speicherung personenbezogener Daten im Hoheitsgebiet eines Drittlands zu tun hatte. Es ist auch möglich, dass die Anwendung eines solchen Kriteriums im Kontext der PNR-Richtlinie konkret in einem Eingriff in die Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten zum Ausdruck kommen kann, der für bestimmte Personengruppen, insbesondere solche, die ihren ständigen Wohnsitz in der Union haben und sich innerhalb dieser fortbewegen oder nach einem Aufenthalt im Ausland zurückkehren, potenziell einschneidender ist. Und schließlich trifft es zu, dass dieses Kriterium, zumindest für EU-Flüge, schwierig in die Praxis umzusetzen sein könnte, wie einige Mitgliedstaaten und der Rat hervorgehoben haben.

241 Auch wenn der Wunsch besteht, das Kriterium, auf das der Gerichtshof im Gutachten 1/15 zurückgegriffen hat, auszuschließen, verstößt eine Speicherung sämtlicher PNR-Daten aller Fluggäste – unabhängig vom Ergebnis der in Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie genannten Vorabüberprüfung und ohne dass nach Maßgabe der Gefahr im Bereich des Terrorismus oder schwerer Kriminalität auf der Grundlage objektiver und überprüfbarer Kriterien unterschieden wird – gleichwohl gegen die in Nr. 237 der vorliegenden Schlussanträge in Erinnerung gerufene ständige Rechtsprechung des Gerichtshofs, die dieser in seinem Gutachten zur Anwendung gelangen lassen wollte. Mit den in den Nrn. 201 bis 203 der vorliegenden Schlussanträge im Rahmen der Prüfung der vierten Vorlagefrage dargelegten Erwägungen lassen sich aus meiner Sicht zwar die allgemeine und unterschiedslose Übermittlung von PNR-Daten sowie deren automatisierte Verarbeitung im Rahmen der in Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie vorgesehenen Vorabüberprüfung rechtfertigen, sie allein können nach meinem Dafürhalten – selbst nach einer solchen Überprüfung – aber keine allgemeine und unterschiedslose Speicherung dieser Daten rechtfertigen.

242 Ich stelle darüber hinaus fest, dass die gleiche Aufbewahrungsfrist von fünf Jahren sowohl für die Bekämpfung des Terrorismus oder für die Bekämpfung schwerer Kriminalität als auch – im Rahmen des letztgenannten Zwecks – ausnahmslos für alle in Anhang II aufgeführten strafbaren Handlungen angewandt wird. Wie aus den in Nr. 121 der vorliegenden Schlussanträge angestellten Überlegungen hervorgeht, ist diese Liste ausgesprochen lang und umfasst Straftaten unterschiedlicher Typologie und Schwere. Insoweit ist festzuhalten, dass die Rechtfertigung im Zusammenhang mit der Dauer und der Komplexität der Ermittlungen, die von fast allen Mitgliedstaaten und Organen vorgebracht worden ist, die im vorliegenden Verfahren Erklärungen abgegeben haben, konkret nur für terroristische Straftaten und einige strafbare Handlungen mit eindeutig grenzüberschreitendem Charakter wie beispielsweise Menschenhandel oder Handel mit Drogen sowie ganz allgemein für bestimmte Formen organisierter Kriminalität angeführt wird. Ich weise ferner darauf hin, dass der Gerichtshof im Gutachten 1/15 eine ähnliche Rechtfertigung nur in Bezug auf die Speicherung der PNR-Daten von Fluggästen akzeptiert hat, bei denen eine objektive Gefahr im Zusammenhang mit der Bekämpfung des Terrorismus und grenzübergreifender schwerer Kriminalität besteht und eine Datenspeicherung von fünf Jahren als nicht über das absolut Notwendige hinausgehend angesehen worden ist (

243 Richtig ist zwar, dass die PNR-Richtlinie, wie der Rat, das Parlament und die Kommission sowie alle Regierungen, die Erklärungen zur achten Vorlagefrage abgegeben haben, hervorheben, spezifische Garantien sowohl für die Speicherung von PNR-Daten, die nach einer anfänglichen Frist von sechs Monaten teilweise unkenntlich gemacht werden, als auch für ihre Nutzung während der Aufbewahrungsdauer, die strengen Bedingungen unterliegt, vorsieht. Ich stelle jedoch erstens zum einen fest, dass auch der Entwurf eines PNR-Abkommens Kanada–EU ein System der Anonymisierung von PNR-Daten durch Unkenntlichmachung vorsah (

244 Zum Argument der Kommission, wonach die PNR-Daten aller Fluggäste gespeichert werden müssten, um den PNR-Zentralstellen die Erfüllung des in Art. 6 Abs. 2 Buchst. c der PNR-Richtlinie genannten Auftrags, die Kriterien zu aktualisieren oder neue Kriterien zur Verwendung in gemäß Art. 6 Abs. 3 Buchst. b durchgeführten Überprüfungen aufzustellen, ist zu sagen, dass die Präzisierung dieser Kriterien zwar teilweise von ihrem Abgleich mit „normalen“ Verhaltensweisen abhängt, wie die Kommission geltend macht, ihre Erarbeitung aber gleichwohl auf der Grundlage „krimineller“ Verhaltensweisen zu erfolgen hat. Ein solches Argument, das im Übrigen nur von einer begrenzten Zahl von Mitgliedstaaten vorgebracht wird, kann nach meinem Dafürhalten nicht die entscheidende Bedeutung haben, die ihm die Kommission beizulegen scheint, und für sich allein eine allgemeine Vorratsspeicherung von PNR-Daten sämtlicher Fluggäste in nicht anonymisierter Form rechtfertigen.

245 Unter Berücksichtigung der vorstehenden Erwägungen ist, um eine Auslegung von Art. 12 Abs. 1 der PNR-Richtlinie zu gewährleisten, die mit den Art. 7, 8 und 52 Abs. 1 der Charta im Einklang steht, diese Vorschrift nach meinem Dafürhalten dahin auszulegen, dass das Vorhalten der von den Fluggesellschaften an die PNR-Zentralstelle übermittelten PNR-Daten in einer Datenbank für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen bzw. von dem er abgegangen ist, nach Durchführung der Vorabüberprüfung gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie nur insoweit zulässig ist, als auf der Grundlage objektiver Kriterien ein Zusammenhang zwischen diesen Daten und der Bekämpfung des Terrorismus oder schwerer Kriminalität festgestellt wird. Eine allgemeine und unterschiedslose Vorratsspeicherung von PNR-Daten in nicht anonymisierter Form lässt sich entsprechend den vom Gerichtshof in seiner Rechtsprechung getroffenen Feststellungen nur bei einer schwerwiegenden Gefahr für die Sicherheit der Mitgliedstaaten rechtfertigen, die sich als tatsächlich und gegenwärtig oder vorhersehbar erweist und beispielsweise mit terroristischen Handlungen zusammenhängt, sofern die Dauer der Vorratsspeicherung auf das absolut Notwendige beschränkt wird.

246 Die Begrenzung der in Art. 12 Abs. 1 der PNR-Richtlinie vorgesehenen Vorratsdatenspeicherung kann beispielsweise auf einer Risikobewertung oder auf der Erfahrung der zuständigen nationalen Behörden beruhen und sich auf bestimmte Flugverbindungen, festgelegte Reiseschemata, Agenturen, über die Buchungen vorgenommen werden, oder aber auf bestimmte Personenkategorien oder geografische Gebiete beziehen, die auf der Grundlage objektiver und nicht diskriminierender Kriterien ermittelt worden sind, wie der Gerichtshof in seiner Rechtsprechung auf dem Gebiet der Vorratsspeicherung von Metadaten elektronischer Kommunikationen entschieden hat (

247 Zum Abschluss der achten Vorlagefrage möchte ich den Vorschriften über den Zugang zu PNR-Daten und ihre Nutzung nach Durchführung der in Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie genannten Vorabüberprüfung und vor ihrer Anonymisierung nach Ablauf der in Art. 12 Abs. 2 der PNR-Richtlinie vorgesehenen anfänglichen Speicherfrist von sechs Monaten einige Überlegungen widmen.

248 Aus einer Auslegung von Art. 6 Abs. 2 Buchst. b in Verbindung mit Art. 12 Abs. 3 der PNR-Richtlinie geht hervor, dass den zuständigen Behörden während dieser anfänglichen Frist nicht anonymisierte PNR-Daten oder die Ergebnisse ihrer Verarbeitung nach der erstgenannten Vorschrift zur Verfügung gestellt werden können, ohne dass die in den Buchst. a und b der letztgenannten Vorschrift festgelegten Voraussetzungen erfüllt sind (

249 Nach einer ständigen Rechtsprechung, die der Gerichtshof im Gutachten 1/15 in Erinnerung gerufen hat, darf sich eine Unionsregelung nicht darauf beschränken, dass der Zugang zu rechtmäßig gespeicherten personenbezogenen Daten durch eine Behörde einem der in der Regelung genannten Zweck zu entsprechen hat, sondern muss auch die materiell- und verfahrensrechtlichen Voraussetzungen für die Verwendung der Daten festlegen (

250 Das mit der PNR-Richtlinie während der ersten sechs Monate der Speicherung von PNR-Daten geschaffene System, das nach der in Art. 6 Abs. 2 Buchst. a dieser Richtlinie genannten Vorabüberprüfung eine potenziell wiederholte Übermittlung und Verarbeitung von PNR-Daten ohne angemessene Verfahrensgarantien sowie ohne hinreichend klare und präzise materiell-rechtliche Regeln gestattet, die den Gegenstand und die Modalitäten der verschiedenen Eingriffe definieren, genügt nicht den Anforderungen, die der Gerichtshof im Gutachten 1/15 aufgestellt hat. Es scheint auch nicht dem Erfordernis einer auf das absolut Notwendige beschränkten Verwendung der PNR-Daten zu genügen.

251 Ich schlage dem Gerichtshof daher vor, Art. 6 Abs. 2 Buchst. b der PNR-Richtlinie in einer Weise auszulegen, dass Datenverarbeitungen nach dieser Vorschrift, die während der in Art. 12 Abs. 2 der Richtlinie vorgesehenen anfänglichen Frist von sechs Monaten erfolgen, den Anforderungen genügen, die der Gerichtshof im Gutachten 1/15 festgelegt hat.

252 Was die erste Voraussetzung materiell-rechtlicher Natur angeht, von der der Gerichtshof die weitere Nutzung der PNR-Daten abhängig gemacht hat, so können die Begriffe „berechtigter Grund“ im Sinne von Art. 12 Abs. 3 Buchst. a der PNR-Richtlinie und „hinreichende Grundlage“ gemäß deren Art. 6 Abs. 2 Buchst. b dieser Richtlinie meiner Ansicht nach ohne Weiteres dahin ausgelegt werden, dass in Anfragen der darin genannten zuständigen Behörden „objektive Anhaltspunkte dafür [angeführt werden müssen], dass die PNR-Daten eines oder mehrerer Fluggäste einen wirksamen Beitrag zur Bekämpfung terroristischer Straftaten oder … schwerer Kriminalität leisten könnten“ (

253 Was die zweite Voraussetzung verfahrensrechtlicher Natur betrifft, so ist Art. 6 Abs. 2 Buchst. b der PNR-Richtlinie in Verbindung mit deren Art. 12 Abs. 3 im Licht der Art. 7, 8 und 52 Abs. 1 der Charta nach meinem Dafürhalten dahin auszulegen, dass das in Art. 12 Abs. 3 Buchst. b dieser Richtlinie vorgesehene Erfordernis der vorherigen Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsstelle für jede Verarbeitung von PNR-Daten gemäß Art. 6 Abs. 2 Buchst. b gilt. 4. Ergebnisse zur zweiten, zur dritten, zur vierten, zur sechsten und zur achten Vorlagefrage

254 Nach alledem schlage ich dem Gerichtshof vor, Anhang I Nr. 12 insoweit für ungültig zu erklären, als in dieser Nummer „allgemeine Hinweise“ zu den Kategorien von PNR-Daten gezählt werden, die die Fluggesellschaften den PNR-Zentralstellen gemäß Art. 8 der PNR-Richtlinie zu übermitteln haben, und festzustellen, dass die Prüfung der zweiten, der dritten, der vierten, der sechsten und der achten Vorlagefrage vorbehaltlich der in den Nrn. 153, 160, 161 bis 164, 219, 228, 239 und 251 der vorliegenden Schlussanträge vorgeschlagenen Auslegungen dieser Richtlinie keine weiteren Anhaltspunkte ergeben hat, die geeignet sind, die Gültigkeit der Richtlinie zu beeinträchtigen.

255 Im Licht der Antwort, die ich auf die Vorlagefragen nach der Gültigkeit der PNR-Richtlinie zu geben vorschlage, kann dem u. a. vom Rat gestellten Antrag auf Aufrechterhaltung der Wirkungen dieser Richtlinie für den Fall, dass der Gerichtshof beschließen sollte, die Richtlinie insgesamt vollständig oder teilweise für ungültig zu erklären, unabhängig von anderen Erwägungen nicht stattgegeben werden. C. Zur fünften Vorlagefrage

256 Mit seiner fünften Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof erfahren, ob Art. 6 der PNR-Richtlinie in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der Charta dahin auszulegen ist, dass er einzelstaatlichen Rechtsvorschriften entgegensteht, die als Verarbeitungszweck der PNR-Daten die Beaufsichtigung bestimmter Aktivitäten der Nachrichten- und Sicherheitsdienste zulassen. Aus der Vorlageentscheidung geht hervor, dass es sich bei diesen Aktivitäten um die Tätigkeiten der Staatssicherheit sowie des Allgemeinen Nachrichten- und Sicherheitsdiensts im Rahmen ihres Auftrags im Zusammenhang mit dem Schutz der nationalen Sicherheit handelt.

257 Wie ich in den Nrn. 113 und 114 der vorliegenden Schlussanträge ausgeführt habe, ist die Abgrenzung der Zwecke der Verarbeitung personenbezogener Daten eine wesentliche Garantie, die es zu beachten gilt, damit Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte nicht über das hinausgehen, was im Sinne der Rechtsprechung des Gerichtshofs notwendig ist. Ich habe ebenfalls bereits klargestellt, dass es, was in der PNR-Richtlinie vorgesehene Eingriffe in diese Grundrechte angeht, Sache des Unionsgesetzgebers war, klare und präzise Regeln für die Tragweite und die Anwendung der solche Eingriffe enthaltenden Maßnahmen vorzusehen, damit die u. a. in Art. 52 Abs. 1 der Charta verankerten Grundsätze der Gesetzmäßigkeit und der Verhältnismäßigkeit gewahrt werden.

258 In Art. 1 Abs. 2 der PNR-Richtlinie heißt es, dass die nach deren Maßgabe erhobenen PNR-Daten „ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität gemäß Artikel 6 Absatz 2 Buchstaben a, b und c verarbeitet werden [dürfen]“. Nach dieser Vorschrift verarbeiten die PNR-Zentralstellen PNR-Daten ausschließlich mit dem Ziel, eine Vorabüberprüfung von Fluggästen vorzunehmen (Art. 6 Abs. 2 Buchst. a), punktuelle Anfragen zuständiger Behörden zu beantworten (Art. 6 Abs. 2 Buchst. b) und die Kriterien zu aktualisieren oder neue Kriterien zur Verwendung in gemäß Art. 6 Abs. 3 Buchst. b vorgenommenen Überprüfungen aufzustellen (Art. 6 Abs. 2 Buchst. c). In allen drei Fällen wird ausdrücklich auf die in Art. 1 Abs. 2 der PNR-Richtlinie angegebenen Ziele im Bereich der Bekämpfung von Terrorismus und schwerer Kriminalität hingewiesen.

259 Darüber hinaus stellt Art. 7 Abs. 4 der PNR-Richtlinie klar, dass nicht nur die in deren Art. 6 vorgesehene Verarbeitung von PNR-Daten, sondern auch die Weiterverarbeitung dieser Daten und der Verarbeitungsergebnisse durch die zuständigen Behörden der Mitgliedstaaten „ausschließlich [auf den] bestimmten Zweck der Verhütung, Aufdeckung, Ermittlung oder Verfolgung terroristischer Straftaten oder schwerer Kriminalität“ beschränkt werden müssen.

260 Der erschöpfende Charakter der Abgrenzung der mit der PNR-Richtlinie verfolgten Ziele geht eindeutig aus dem Wortlaut von Art. 1 Abs. 2 dieser Richtlinie hervor und wird außer durch deren Art. 6 Abs. 2 und Art. 7 Abs. 4, die bereits erwähnt worden sind, durch mehrere Artikel und Erwägungsgründe der Richtlinie untermauert, die jeden Verfahrensschritt beim Zugang, bei der Verarbeitung, bei der Speicherung und beim Teilen von PNR-Daten systematisch ausschließlich mit diesen spezifischen Zielen verknüpfen (

261 Sowohl aus dem Wortlaut von Art. 1 Abs. 2 der PNR-Richtlinie als auch aus seiner Auslegung im Licht der Grundsätze der Gesetzmäßigkeit und der Verhältnismäßigkeit, nach denen die Zwecke der Maßnahmen, die Eingriffe in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten enthalten, abschließend eingegrenzt werden müssen, ergibt sich, dass jede Ausweitung der Zwecke der Verarbeitung von PNR-Daten über die in dieser Vorschrift ausdrücklich erwähnten Sicherheitsziele hinaus gegen die PNR-Richtlinie verstößt.

262 Das Verbot einer Ausdehnung der mit der Richtlinie verfolgten Ziele gilt nach meinem Dafürhalten ganz besonders für die Tätigkeiten der Sicherheits- und Nachrichtendienste der Mitgliedstaaten, auch wegen des Mangels an Transparenz, der ihren Modus operandi kennzeichnet. Insoweit stimme ich mit der Kommission überein, nämlich dass diese Dienste in der Regel keinen direkten Zugang zu PNR-Daten haben sollten. In diesem Kontext halte ich bereits den Umstand an sich für fragwürdig, dass von den Sicherheitsdiensten abgeordnete Beamte zu den Mitgliedern der nationalen PNR-Zentralstellen zählen können, wie bei der belgischen PNR-Zentralstelle der Fall (

263 Auf der Grundlage der vorstehenden Erwägungen ist meiner Ansicht nach auf die fünfte Vorlagefrage zu antworten, dass die PNR-Richtlinie, insbesondere ihr Art. 1 Abs. 2 und ihr Art. 6, dahin auszulegen ist, dass sie einzelstaatlichen Rechtsvorschriften entgegensteht, die als Verarbeitungszweck der PNR-Daten die Beaufsichtigung bestimmter Aktivitäten der Nachrichten- und Sicherheitsdienste zulassen, soweit die nationale PNR-Zentralstelle im Rahmen eines solchen Zwecks gehalten wäre, die Daten zu verarbeiten und/oder sie oder die Ergebnisse ihrer Verarbeitung zu anderen als den in Art. 1 Abs. 2 dieser Richtlinie erschöpfend aufgeführten Zwecken an die erwähnten Dienste zu übermitteln, was das nationale Gericht zu prüfen hat. D. Zur siebten Vorlagefrage

264 Mit seiner siebten Frage möchte das vorlegende Gericht vom Gerichtshof wissen, ob Art. 12 Abs. 3 Buchst. b der PNR-Richtlinie dahin auszulegen ist, dass die PNR-Zentralstelle eine „zuständige nationale Behörde“ im Sinne dieser Vorschrift darstellt, die nach Ablauf der anfänglichen Frist von sechs Monaten ab Übermittlung der PNR-Daten deren vollständige Offenlegung gestatten kann.

265 Art. 12 Abs. 2 der PNR-Richtlinie sieht vor, dass die PNR-Daten nach Ablauf einer Frist von sechs Monaten durch Unkenntlichmachung bestimmter Elemente, mit denen die Identität des Fluggasts, auf den sie sich beziehen, unmittelbar festgestellt werden könnte, depersonalisiert werden. Nach Fristablauf ist die Offenlegung der vollständigen PNR-Daten nur unter den in Art. 12 Abs. 3 vorgesehenen Voraussetzungen und insbesondere dann zulässig, wenn die Offenlegung zuvor genehmigt wird durch eine „Justizbehörde“ (Art. 12 Abs. 3 Buchst. b Ziff. i) oder eine „andere nationale Behörde, die nach nationalem Recht dafür zuständig ist zu überprüfen, ob die Bedingungen für die Offenlegung erfüllt sind, vorbehaltlich der Unterrichtung des Datenschutzbeauftragten der PNR-Zentralstelle und einer Ex-Post-Überprüfung durch diesen Datenschutzbeauftragten“ (Art. 12 Abs. 3 Buchst. b Ziff. ii).

266 Die meisten Regierungen, die im vorliegenden Verfahren schriftliche Erklärungen vorgelegt haben, haben sich nicht zur siebten Vorlagefrage geäußert. Die tschechische Regierung vertritt wie die Kommission die Auffassung, Art. 12 Abs. 3 der PNR-Richtlinie dürfe nicht dahin ausgelegt werden, dass die PNR-Zentralstelle eine „zuständige nationale Behörde“ darstellen könne. Die belgische (

267 Ich für meinen Teil stelle erstens fest, dass der Unionsgesetzgeber, wie aus dem Wortlaut von Art. 12 Abs. 3 Buchst. b der PNR-Richtlinie, insbesondere aus der Verwendung der Konjunktion „oder“, die die beiden Fallkonstellationen in den Ziff. i und ii dieser Vorschrift miteinander verbindet, hervorgeht, die Kontrolle durch die nationale Behörde nach Ziff. ii und die Kontrolle durch die Justizbehörde nach Ziff. i auf eine Stufe stellen wollte. Folglich muss die besagte nationale Behörde ein solches Maß an Unabhängigkeit und Unparteilichkeit aufweisen, dass die von ihr ausgeübte Kontrolle als eine Alternative anzusehen ist, die mit der Kontrolle, die von einer Justizbehörde vorgenommen werden kann, vergleichbar ist (

268 Zweitens ergibt sich aus den vorbereitenden Arbeiten zur PNR-Richtlinie, dass der Unionsgesetzgeber zum einen dem Vorschlag der Kommission, den Leiter der PNR-Zentralstelle mit der Aufgabe zu betrauen, die Offenlegung der vollständigen PNR-Daten zu genehmigen (

269 Drittens geht aus der Systematik der PNR-Richtlinie, wie die Kommission zu Recht festgestellt hat, hervor, dass die Daseinsberechtigung des in Art. 12 Abs. 3 der PNR-Richtlinie vorgesehenen Genehmigungsverfahrens darin liegt, eine unparteiische Drittpartei mit der Aufgabe zu betrauen, in jedem Einzelfall eine Abwägung der Rechte der betroffenen Personen mit dem Strafverfolgungszweck vorzunehmen, der mit dieser Richtlinie verfolgt wird.

270 Viertens ergibt sich aus der Rechtsprechung des Gerichtshofs, dass eine Stelle, die mit der Durchführung der vorherigen Kontrolle betraut ist, der es bedarf, um den Zugang der zuständigen nationalen Behörden zu rechtmäßig gespeicherten personenbezogenen Daten zu genehmigen, über alle Befugnisse verfügen und alle Garantien aufweisen muss, die erforderlich sind, um zu gewährleisten, dass die verschiedenen einander gegenüberstehenden Interessen und Rechte in Einklang gebracht werden. Der Gerichtshof hat darüber hinaus klargestellt, dass diese Stelle über eine Stellung verfügen muss, die es ihr erlaubt, bei der Wahrnehmung ihrer Aufgaben objektiv und unparteiisch vorzugehen, ohne jede Einflussnahme von außen (

271 Festzustellen ist, dass die PNR-Zentralstelle nicht alle Garantien der Unabhängigkeit und Unparteilichkeit aufweist, denen die mit der Wahrnehmung der in Art. 12 Abs. 3 der PNR-Richtlinie vorgesehenen vorherigen Kontrolle betraute Behörde genügen muss. Die PNR-Zentralstellen sind nämlich unmittelbar mit den für die Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität zuständigen Behörden verbunden. Nach Art. 4 Abs. 1 der PNR-Richtlinie ist die PNR-Zentralstelle selbst eine solche Behörde oder eine Abteilung einer solchen Behörde. Darüber hinaus sieht Art. 4 Abs. 3 vor, dass das Personal der PNR-Zentralstelle aus Mitarbeitern zuständiger Behörden bestehen kann, die zu diesem Zweck abgeordnet wurden. Das ist u. a. bei der belgischen PNR-Zentralstelle der Fall, deren Mitglieder gemäß Art. 14 des PNR-Gesetzes u. a. von den Polizeidiensten, der Staatssicherheit, dem Allgemeinen Nachrichten- und Sicherheitsdienst sowie der Generalverwaltung Zoll und Akzisen entsandt werden.

272 Zwar müssen die Mitglieder der PNR-Zentralstelle allgemein Gewähr für Integrität, Befähigung, Transparenz und Unabhängigkeit bieten und haben die Mitgliedstaaten gegebenenfalls dafür Sorge zu tragen, dass diese Garantien unter Berücksichtigung der Verbindungen zu ihren Mitgliedskörperschaften konkret gewahrt werden können, damit insbesondere gewährleistet ist, dass die zuständigen Behörden, in deren Aufbau die Mitglieder originär eingefügt sind, einen direkten Zugang zur PNR-Datenbank haben und nicht nur zu den Ergebnissen der von den PNR-Zentralstellen vorgenommenen Eingaben. Gleichwohl haben die Mitglieder der PNR-Zentralstellen, die von zuständigen Behörden im Sinne von Art. 7 Abs. 2 der PNR-Richtlinie entsandt werden, während des Zeitraums ihrer Entsendung weiterhin unweigerlich eine Bindung zu ihren ursprünglichen Diensten, da sie ihr Statut behalten, auch wenn sie der funktionellen und hierarchischen Amtsgewalt des leitenden Beamten der PNR-Zentralstelle unterstellt werden.

273 Die Schlussfolgerung, wonach die PNR-Zentralstelle keine nationale Behörde im Sinne von Art. 12 Abs. 3 Buchst. b Ziff. ii der PNR-Richtlinie ist, wird darüber hinaus durch den Umstand untermauert, dass der Datenschutzbeauftragte der betreffenden PNR-Zentralstelle nach dieser Vorschrift über den Offenlegungsantrag „unterrichtet“ werden muss und eine „Ex-Post-Überprüfung“ vornimmt. Wäre die PNR-Zentralstelle nämlich als „andere nationale Behörde“ befugt, einem Offenlegungsantrag gemäß Art. 12 Abs. 3 der PNR-Richtlinie stattzugeben, würde der Datenschutzbeauftragte, der nach Art. 5 Abs. 1 dieser Richtlinie u. a. für die Umsetzung der maßgeblichen Sicherheitsvorkehrungen bei der Verarbeitung der PNR-Daten zuständig ist, zum Zeitpunkt der Stellung des Zugangsantrags unterrichtet, so dass seine Kontrolle notwendigerweise ex ante erfolgen würde (

274 Im Licht der vorstehenden Erwägungen schlage ich dem Gerichtshof vor, auf die siebte Vorlagefrage zu antworten, dass Art. 12 Abs. 3 Buchst. b der PNR-Richtlinie dahin auszulegen ist, dass die PNR-Zentralstelle keine „andere zuständige nationale Behörde“ im Sinne dieser Vorschrift darstellt. E. Zur neunten Vorlagefrage

275 Mit seiner neunten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof zum einen erfahren, ob die API-Richtlinie mit Art. 3 Abs. 2 EUV und mit Art. 45 der Charta vereinbar ist, insofern sie für Flüge innerhalb der Union gilt, und zum anderen, ob diese Richtlinie in Verbindung mit Art. 3 Abs. 2 EUV und mit Art. 45 der Charta dahin auszulegen ist, dass sie einzelstaatlichen Rechtsvorschriften entgegensteht, die zum Zwecke der Bekämpfung der illegalen Einwanderung und der Verbesserung der Grenzkontrollen ein System zur Erhebung und Verarbeitung der Daten zu den beförderten Passagieren gestatten, das indirekt eine Wiedereinführung von Kontrollen an den Binnengrenzen bedeuten könnte.

276 Aus der Vorlageentscheidung geht hervor, dass sich die Vorlagefrage in den Rahmen der Prüfung des zweiten Klagegrundes einfügt, den die LDH hilfsweise vorgebracht hat. Dieser Klagegrund, mit dem ein Verstoß gegen Art. 22 der belgischen Verfassung in Verbindung mit Art. 3 Abs. 2 EUV und mit Art. 45 der Charta geltend gemacht wird, richtet sich gegen Art. 3 § 1, Art. 8 § 2 und Kapitel 11, insbesondere dessen Art. 28 bis 31, des PNR-Gesetzes. Während der erstgenannte Artikel allgemein den Gegenstand dieses Gesetzes festlegt, indem er klarstellt, dass es „die Verpflichtungen der Beförderungsunternehmen und Reiseunternehmen in Bezug auf die Übermittlung von Daten zu Passagieren, die in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet oder durch das nationale Hoheitsgebiet befördert werden[, bestimmt]“, sieht Art. 8 § 2 des Gesetzes vor, dass „[d]ie Passagierdaten … unter den in [dessen] Kapitel 11 erwähnten Bedingungen ebenfalls verarbeitet [werden], um die Personenkontrolle an den Außengrenzen zu verbessern und die illegale Einwanderung zu bekämpfen“. Im Rahmen dieses Zwecks werden den mit der Grenzkontrolle beauftragten Polizeidiensten und dem Ausländeramt (Belgien) nach Art. 29 § 1 des PNR-Gesetzes nur die in dessen Art. 9 § 1 Nr. 18 erwähnten „Passagierdaten“ (nämlich die in Anhang I Nr. 18 der PNR-Richtlinie genannten API-Daten) in Bezug auf drei Kategorien von Passagieren übermittelt. Dabei handelt es sich um „Passagiere, die beabsichtigen, über die Außengrenzen Belgiens ins Hoheitsgebiet zu kommen, oder bereits über die Außengrenzen Belgiens ins Hoheitsgebiet gekommen sind“, „Passagiere, die beabsichtigen, das Hoheitsgebiet über die Außengrenzen Belgiens zu verlassen, oder die das Hoheitsgebiet bereits über die Außengrenzen Belgiens verlassen haben“, und „Passagiere, die beabsichtigen, sich in einer in Belgien gelegenen internationalen Transitzone aufzuhalten, sich dort aufhalten oder sich dort aufgehalten haben“ (

277 Der erste Teil der neunten Vorlagefrage beruht auf einer falschen Annahme und bedarf nach meinem Dafürhalten keiner Antwort des Gerichtshofs. Aus Art. 3 Abs. 1 der API-Richtlinie in Verbindung mit deren Art. 2 Buchst. b und d geht nämlich eindeutig hervor, dass diese Richtlinie die Fluggesellschaften verpflichtet, den mit der Durchführung der Personenkontrollen an den Außengrenzen beauftragten Behörden die API-Daten nur in Bezug auf Flüge zu übermitteln, mit denen beförderte Personen zu einem für die Überschreitung der Außengrenzen der Mitgliedstaaten zu Drittstaaten zugelassenen Übergang verbracht werden. Desgleichen sieht Art. 6 Abs. 1 der Richtlinie nur die Verarbeitung der API-Daten zu diesen Flügen vor. Im Übrigen haben die Mitgliedstaaten nach der PNR-Richtlinie zwar die Möglichkeit, die Verpflichtung zur Übermittlung erhobener API-Daten auch auf Fluggesellschaften auszudehnen, die EU-Flüge durchführen, diese Ausdehnung muss aber die API-Richtlinie unberührt lassen (

278 Würde der erste Teil der neunten Vorlagefrage, wie die Kommission hilfsweise vorschlägt, dahin gehend umformuliert, dass er sich nicht auf die Vereinbarkeit der API-Richtlinie mit den Bestimmungen des Vertrags und der Charta, sondern auf die Frage bezieht, ob die PNR-Richtlinie, insbesondere ihr Art. 2, mit diesen Bestimmungen vereinbar ist, würde das nicht nur eine Änderung des Rechtsakts, in Bezug auf den das vorlegende Gericht um eine Beurteilung der Gültigkeit ersucht hat, sondern auch ein Verlassen des rechtlichen Rahmens bedeuten, in den sich die Vorlagefrage einfügt. Denn wie ich erläutert habe, wird mit den Bestimmungen von Kapitel 11 des PNR-Gesetzes, gegen die sich der zweite Klagegrund richtet, die API-Richtlinie und nicht die PNR-Richtlinie umgesetzt.

279 Für den Fall, dass der Gerichtshof eine solche Umformulierung vornimmt, beschränke ich mich auf einige Überlegungen, die sich insbesondere auf die Frage beziehen, ob die Vorabüberprüfung der PNR-Daten der Fluggäste von EU-Flügen, zu deren Durchführung die Mitgliedstaaten entsprechend der Befugnis berechtigt sind, über die sie im Sinne von Art. 2 der PNR-Richtlinie verfügen, der Durchführung von „Grenzübertrittskontrollen“ im Sinne von Art. 23 Buchst. a des Schengener Grenzkodex gleichgestellt werden dürfen (dürfen“, oder darin, „diese Personen daran [zu] hindern …, sich den [Kontrollen] zu entziehen“, die der Gerichtshof als Ziele der „Grenzübertrittskontrollen“ gemäß dem Schengener Grenzkodex anerkannt hat (

280 Der zweite Teil der neunten Vorlagefrage ist meiner Ansicht nach – der Kommission folgend – so zu verstehen, dass er sich auf die Überschreitung der Binnengrenzen bezieht und mit ihm Klarstellungen vom Gerichtshof begehrt werden, die es dem vorlegenden Gericht ermöglichen, die Vereinbarkeit der Bestimmungen von Kapitel 11 des PNR-Gesetzes mit der Abschaffung der Kontrollen an den Binnengrenzen der Mitgliedstaaten im Schengen-Raum zu beurteilen.

281 Unter Berücksichtigung der spärlichen Informationen, über die der Gerichtshof verfügt, beschränke ich mich insoweit auf die Feststellung, dass die Bestimmungen von Kapitel 11 des PNR-Gesetzes nur mit dem Unionsrecht, insbesondere mit Art. 67 Abs. 2 AEUV, vereinbar sein können, wenn sie dahin ausgelegt werden, dass sie sich lediglich auf die Übermittlung und Verarbeitung der API-Daten von Fluggästen beziehen, die die Außengrenzen Belgiens zu Drittstaaten überschreiten.

282 Sollte der Gerichtshof beschließen, den zweiten Teil der neunten Vorlagefrage dahin gehend umzuformulieren, dass er sich auf die Auslegung der PNR-Richtlinie in Verbindung mit den Bestimmungen von Kapitel 11 des PNR-Gesetzes bezieht, beschränke ich mich auf die Feststellung, dass die in den Art. 28 und 29 dieses Gesetzes vorgesehene Verarbeitung von API-Daten das vom belgischen Gesetzgeber zur Umsetzung der PNR-Richtlinie geschaffene System überlagert. So handelt es sich erstens bei den API-Daten, die Gegenstand der Verarbeitung sind, um die in Anhang I Nr. 12 der PNR-Richtlinie aufgeführten und nicht lediglich um die Daten, die in der Liste in Art. 3 Abs. 2 der API-Richtlinie enthalten sind. Zweitens werden den mit der Grenzkontrolle beauftragten Polizeidiensten und dem Ausländeramt diese Daten nach Art. 29 § 1 des PNR-Gesetzes von der PNR-Zentralstelle – die nur für die Erhebung und Verarbeitung im Rahmen der mit der PNR-Richtlinie verfolgten Zwecke zuständig ist – und nicht, wie in der API-Richtlinie vorgesehen, unmittelbar von den Fluggesellschaften übermittelt. Darüber hinaus betrifft die Übermittlung auch Daten von Fluggästen, die beabsichtigen, das belgische Hoheitsgebiet zu verlassen, oder die das belgische Hoheitsgebiet bereits verlassen haben, und erfolgt nicht nur an die mit den Grenzkontrollen beauftragten Behörden, sondern auch an das Ausländeramt, das für die Steuerung der zugewanderten Bevölkerung und die Bekämpfung der illegalen Einwanderung zuständig ist. Drittens ist das Ausländeramt gemäß Art. 29 § 4 Abs. 2 des PNR-Gesetzes anscheinend befugt, Anträge auf Zugang zu API-Daten sogar nach Verarbeitung dieser Daten anlässlich des Grenzübertritts der betreffenden Fluggäste an die PNR-Zentralstelle zu richten. In diesem Sinne wird das Ausländeramt de facto einer zuständigen Behörde gemäß Art. 7 der PNR-Richtlinie gleichgestellt, obwohl sie anderer Natur und auch nicht auf der Liste mit zuständigen Behörden aufgeführt ist, die Belgien der Kommission übermittelt hat. Eine solche Vermengung der in der API- und in der PNR-Richtlinie vorgesehenen Systeme kann nach meinem Dafürhalten nicht hingenommen werden, da sie gegen den in Art. 1 Abs. 2 der PNR-Richtlinie verankerten Grundsatz der Zweckbindung verstößt (

283 Nach alledem schlage ich dem Gerichtshof vor, auf die neunte Vorlagefrage zu antworten, dass Art. 3 Abs. 1 der API-Richtlinie, wonach die Mitgliedstaaten die erforderlichen Schritte unternehmen, um die Fluggesellschaften zu verpflichten, auf Anfrage der mit der Durchführung der Personenkontrollen an den Außengrenzen beauftragten Behörden bei Abschluss des Check-in die Angaben über die in Abs. 2 in Verbindung mit Art. 2 Buchst. b und d dieser Richtlinie genannten Personen zu übermitteln, nur Personen betrifft, die zu einer für das Überschreiten der Außengrenzen der Mitgliedstaaten zu Drittstaaten zugelassenen Grenzübergangsstelle befördert werden. Einzelstaatliche Rechtsvorschriften, die diese Verpflichtung mit dem alleinigen Ziel der Verbesserung der Grenzkontrollen und der Bekämpfung der illegalen Einwanderung auf die Daten von Personen ausdehnen würden, die mit dem Flugzeug oder mit anderen Verkehrsmitteln die Binnengrenzen des betreffenden Mitgliedstaats überschreiten, würden gegen Art. 67 Abs. 2 AEUV und Art. 22 des Schengener Grenzkodex verstoßen. F. Zur zehnten Vorlagefrage

284 Mit seiner zehnten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob es, falls es zu dem Schluss gelangen sollte, dass das PNR-Gesetz gegen die Art. 7, 8 und 52 Abs. 1 der Charta verstößt, die Folgen dieses Gesetzes vorläufig aufrechterhalten könnte, um eine Rechtsunsicherheit zu vermeiden und es zu ermöglichen, dass die zuvor gesammelten und auf Vorrat gespeicherten Daten noch für die durch das PNR-Gesetz angestrebten Ziele benutzt werden können.

285 Im Urteil La Quadrature du Net betreffend die Speicherung von Metadaten elektronischer Kommunikationen, das nach Einreichung des vorliegenden Vorabentscheidungsersuchens verkündet worden ist, hat der Gerichtshof auf eine gleichlautende Frage geantwortet. In diesem Urteil hat der Gerichtshof zunächst seine Rechtsprechung in Erinnerung gerufen, wonach der Vorrang und die einheitliche Anwendung des Unionsrechts beeinträchtigt würden, wenn nationale Gerichte befugt wären, nationalen Bestimmungen, sei es auch nur vorübergehend, Vorrang vor dem Unionsrecht einzuräumen, gegen das sie verstoßen. Sodann hat er darauf hingewiesen, dass, wie er im Urteil vom 29. Juli 2019, Inter-Environnement Wallonie und Bond Beter Leefmilieu Vlaanderen (

286 Soweit sowohl das vorlegende Gericht als auch die belgische Regierung sowie die Kommission und der Rat Bedenken hinsichtlich der Frage haben, ob das Unionsrecht einer Verwertung von Auskünften oder Beweisen im Rahmen eines Strafverfahrens entgegensteht, die unter Verwendung unionsrechtswidrig erhobener, verarbeiteter und/oder auf Vorrat gespeicherter PNR-Daten erlangt worden sind, weise ich darauf hin, dass es, wie der Gerichtshof in Rn. 222 des Urteils La Quadrature du Net klargestellt hat, beim gegenwärtigen Stand des Unionsrechts grundsätzlich allein Sache des nationalen Rechts ist, die Vorschriften für die Zulässigkeit und die Würdigung der durch eine solche unionsrechtswidrige Vorratsdatenspeicherung erlangten Informationen und Beweise im Rahmen eines Strafverfahrens gegen Personen, die im Verdacht stehen, schwere Straftaten begangen zu haben, festzulegen, vorbehaltlich der Wahrung des Äquivalenz- und des Effektivitätsgrundsatzes. In Bezug auf Letzteren hat der Gerichtshof entschieden, dass der Effektivitätsgrundsatz ein nationales Strafgericht dazu verpflichtet, Informationen und Beweise, die durch eine mit dem Unionsrecht unvereinbare allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten erlangt wurden, im Rahmen eines Strafverfahrens gegen Personen, die im Verdacht stehen, Straftaten begangen zu haben, auszuschließen, wenn diese Personen nicht in der Lage sind, sachgerecht zu diesen Informationen und Beweisen Stellung zu nehmen, die einem Bereich entstammen, in dem das Gericht nicht über Sachkenntnis verfügt, und geeignet sind, die Würdigung der Tatsachen maßgeblich zu beeinflussen. Auch diese Grundsätze sind sinngemäß auf die Umstände des Ausgangsverfahrens übertragbar. IV. Ergebnis

287 Nach alledem schlage ich dem Gerichtshof vor, auf die Vorlagefragen des Verfassungsgerichtshofs (Belgien) wie folgt zu antworten: 1. Art. 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 2 Abs. 2 Buchst. d dieser Verordnung ist dahin auszulegen, dass er – für nationale Rechtsvorschriften zur Umsetzung der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität gilt, soweit diese Rechtsvorschriften Verarbeitungen von PNR-Daten durch Fluggesellschaften und andere Wirtschaftsteilnehmer, einschließlich der in Art. 8 der Richtlinie vorgesehenen Übermittlung von PNR-Daten an die in deren Art. 4 genannten PNR-Zentralstellen, regeln; – nicht für nationale Rechtsvorschriften zur Umsetzung der Richtlinie 2016/681 gilt, soweit diese Rechtsvorschriften Datenverarbeitungen durch die zuständigen nationalen Behörden, einschließlich der PNR-Zentralstellen und gegebenenfalls der Sicherheits- und Nachrichtendienste des betreffenden Mitgliedstaats, zu den in Art. 1 Abs. 2 der Richtlinie vorgesehenen Zwecken regeln; – für nationale Rechtsvorschriften zur Verbesserung der Personenkontrollen an den Außengrenzen und zur Bekämpfung der illegalen Einwanderung gilt, mit denen die Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln, sowie die Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG umgesetzt werden. 2. Anhang I Nr. 12 der Richtlinie 2016/681 ist ungültig, soweit in dieser Nummer „allgemeine Hinweise“ zu den Datenkategorien gezählt werden, die die Fluggesellschaften den PNR-Zentralstellen gemäß Art. 8 der Richtlinie zu übermitteln haben. 3. Die Prüfung der zweiten, der dritten, der vierten, der sechsten und der achten Frage hat keine weiteren Anhaltspunkte ergeben, die geeignet sind, die Gültigkeit der Richtlinie 2016/681 zu beeinträchtigen. 4. Anhang I Nr. 12 der Richtlinie 2016/681 ist hinsichtlich des Teils, der nicht für ungültig erklärt wird, dahin auszulegen, dass diese Nummer nur Angaben zu Minderjährigen umfasst, die darin ausdrücklich erwähnt werden und unmittelbar mit dem Flug zusammenhängen. 5. Anhang I Nr. 18 der Richtlinie 2016/681 ist dahin auszulegen, dass diese Nummer nur darin sowie in Art. 3 Abs. 2 der Richtlinie 2004/82 ausdrücklich aufgeführte Vorabinformationen über Fluggäste umfasst, die von den Fluggesellschaften im Rahmen ihrer normalen Geschäftstätigkeit erhoben worden sind. 6. Der in Art. 6 Abs. 3 Buchst. a der Richtlinie 2016/681 genannte Begriff „maßgebliche Datenbanken“ ist dahin auszulegen, dass er sich nur auf nationale Datenbanken, die von den zuständigen Behörden gemäß Art. 7 Abs. 1 dieser Richtlinie verwaltet werden, sowie auf Datenbanken der Union und internationale Datenbanken bezieht, die von den zuständigen Behörden im Rahmen ihres Auftrags direkt betrieben werden. Die Datenbanken müssen in einem direkten und engen Zusammenhang mit den von der Richtlinie verfolgten Zwecken der Bekämpfung von Terrorismus und schwerer Kriminalität stehen, was voraussetzt, dass sie zu diesen Zwecken entwickelt worden sind. Im Rahmen der Umsetzung der Richtlinie 2016/681 in ihr nationales Recht sind die Mitgliedstaaten verpflichtet, eine Liste mit den entsprechenden Datenbanken zu veröffentlichen und auf dem neuesten Stand zu halten. 7. Art. 6 Abs. 3 Buchst. b der Richtlinie 2016/681 ist dahin auszulegen, dass er im Rahmen der darin vorgesehenen automatisierten Verarbeitung einer Verwendung algorithmischer Systeme entgegensteht, die ohne menschlichen Eingriff zu einer Änderung der im Voraus festgelegten Kriterien führen können, auf deren Grundlage diese Verarbeitung erfolgt ist und mit denen sich die Gründe, die zu einem Treffer bei der Verarbeitung geführt haben, nicht klar und transparent ermitteln lassen. 8. Art. 12 Abs. 1 der Richtlinie 2016/681 ist im Einklang mit den Art. 7, 8 und 52 Abs. 1 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass das Vorhalten der von den Fluggesellschaften an die PNR-Zentralstelle übermittelten PNR-Daten in einer Datenbank für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen bzw. von dem er abgegangen ist, nach Durchführung der Vorabüberprüfung gemäß Art. 6 Abs. 2 Buchst. a der PNR-Richtlinie nur insoweit zulässig ist, als auf der Grundlage objektiver Kriterien ein Zusammenhang zwischen diesen Daten und der Bekämpfung des Terrorismus oder schwerer Kriminalität festgestellt wird. Eine allgemeine und unterschiedslose Vorratsspeicherung von PNR-Daten in nicht anonymisierter Form lässt sich nur bei einer schwerwiegenden Gefahr für die Sicherheit der Mitgliedstaaten rechtfertigen, die sich als tatsächlich und gegenwärtig oder vorhersehbar erweist und beispielsweise mit terroristischen Handlungen zusammenhängt, sofern die Dauer der Vorratsspeicherung auf das absolut Notwendige beschränkt wird. 9. Art. 6 Abs. 2 Buchst. b der Richtlinie 2016/681 ist dahin auszulegen, dass eine Zurverfügungstellung von PNR-Daten oder der Ergebnisse der Datenverarbeitung nach dieser Vorschrift, die während der in Art. 12 Abs. 2 der Richtlinie vorgesehenen anfänglichen Frist von sechs Monaten erfolgt, die in Art. 12 Abs. 3 Buchst. b genannten Bedingungen erfüllen muss. 10. Die Richtlinie 2016/681, insbesondere ihr Art. 1 Abs. 2 und ihr Art. 6, ist dahin auszulegen, dass sie einzelstaatlichen Rechtsvorschriften entgegensteht, die als Verarbeitungszweck der PNR-Daten die Beaufsichtigung bestimmter Aktivitäten der Nachrichten- und Sicherheitsdienste zulassen, soweit die nationale PNR-Zentralstelle im Rahmen eines solchen Zwecks gehalten wäre, die Daten zu verarbeiten und/oder sie oder die Ergebnisse ihrer Verarbeitung zu anderen als den in Art. 1 Abs. 2 dieser Richtlinie erschöpfend aufgeführten Zwecken an die erwähnten Dienste zu übermitteln, was das nationale Gericht zu prüfen hat. 11. Art. 12 Abs. 3 Buchst. b der Richtlinie 2016/681 ist dahin auszulegen, dass die PNR-Zentralstelle keine „andere zuständige nationale Behörde“ im Sinne dieser Vorschrift darstellt. 12. Art. 3 Abs. 1 der Richtlinie 2004/82, wonach die Mitgliedstaaten die erforderlichen Schritte unternehmen, um die Fluggesellschaften zu verpflichten, auf Anfrage der mit der Durchführung der Personenkontrollen an den Außengrenzen beauftragten Behörden bei Abschluss des Check-in die Angaben über die in Abs. 2 in Verbindung mit Art. 2 Buchst. b und d dieser Richtlinie genannten Personen zu übermitteln, betrifft nur Personen, die zu einer für das Überschreiten der Außengrenzen der Mitgliedstaaten zu Drittstaaten zugelassenen Grenzübergangsstelle befördert werden. Einzelstaatliche Rechtsvorschriften, die diese Verpflichtung mit dem alleinigen Ziel der Verbesserung der Grenzkontrollen und der Bekämpfung der illegalen Einwanderung auf die Daten von Personen ausdehnen würden, die mit dem Flugzeug oder mit anderen Verkehrsmitteln die Binnengrenzen des betreffenden Mitgliedstaats überschreiten, würden gegen Art. 67 Abs. 2 AEUV und Art. 22 der Verordnung (EU) 2016/399 des Europäischen Parlaments und des Rates vom 9. März 2016 über einen Unionskodex für das Überschreiten der Grenzen durch Personen (Schengener Grenzkodex) verstoßen. 13. Ein nationales Gericht kann eine Bestimmung seines nationalen Rechts, die es ermächtigt, die zeitliche Wirkung einer ihm nach diesem Recht obliegenden Feststellung der Rechtswidrigkeit zu beschränken, nicht auf einzelstaatliche Rechtsvorschriften anwenden, die Luft‑, Land- und Seebeförderungs- sowie Reiseunternehmen im Hinblick auf die Bekämpfung von Terrorismus und schwerer Kriminalität zu einer Übermittlung von PNR-Daten verpflichten und eine mit den Art. 7, 8 und 52 Abs. 1 der Charta der Grundrechte unvereinbare allgemeine und unterschiedslose Verarbeitung und Vorratsspeicherung dieser Daten vorsehen. Nach dem Effektivitätsgrundsatz ist ein nationales Strafgericht verpflichtet, Informationen und Beweise, die gemäß solchen mit dem Unionsrecht unvereinbaren Rechtsvorschriften erlangt wurden, im Rahmen eines Strafverfahrens gegen Personen, die im Verdacht stehen, terroristische Handlungen oder schwere Straftaten begangen zu haben, auszuschließen, wenn diese Personen nicht in der Lage sind, sachgerecht zu diesen Informationen und Beweisen Stellung zu nehmen, die einem Bereich entstammen, in dem das Gericht nicht über Sachkenntnis verfügt, und geeignet sind, die Würdigung der Tatsachen maßgeblich zu beeinflussen.