Fluggastdaten (PNR) – Übermittlung an das Bundeskriminalamt (FlugDaG, RL (EU) 2016/681) – 20 Datenkategorien, Depersonalisierung nach 6 Monaten, Löschung nach 5 Jahren

Kurzantwort

Wer von Deutschland aus ins Ausland fliegt oder aus dem Ausland in Deutschland landet, dessen Buchungsdaten gehen automatisch an das Bundeskriminalamt. Grundlage ist das Fluggastdatengesetz (FlugDaG) vom 6. Juni 2017, das die Richtlinie (EU) 2016/681 umsetzt. Eine gesonderte Benachrichtigung über die Übermittlung gibt es nicht; zustimmen muss der Fluggast nicht, widersprechen kann er nicht. Auskunft über den gespeicherten Datensatz kann er beim Bundeskriminalamt beantragen.

Übermittelt werden nach § 2 Abs. 2 FlugDaG zwanzig Datenkategorien – Name, Buchungscode, Anschrift und Kontaktdaten, sämtliche Zahlungsinformationen einschließlich Rechnungsanschrift, Reiseverlauf, Gepäckangaben, Sitzplatznummer, Vielflieger-Eintrag und die vollständige Änderungshistorie der Buchung. Die Übermittlung erfolgt zweimal je Flug: 48 bis 24 Stunden vor der planmäßigen Abflugzeit und unmittelbar nach dem Schließen der Flugzeugtür (§ 2 Abs. 5 FlugDaG).

Das Bundeskriminalamt gleicht die Daten mit Fahndungsbeständen und mit selbst erstellten Mustern ab (§ 4 FlugDaG). Nach sechs Monaten werden die identifizierenden Angaben unkenntlich gemacht (Depersonalisierung, § 5 Abs. 1 FlugDaG); die Wiederherstellung steht danach unter Richtervorbehalt (§ 5 Abs. 2 FlugDaG). Gelöscht wird erst nach fünf Jahren (§ 13 Abs. 1 FlugDaG).

Genau diese fünfjährige, unterschiedslose Speicherung hat der EuGH am 21. Juni 2022 in der Rechtssache C-817/19 für unionsrechtswidrig erklärt, soweit keine objektiven Anhaltspunkte für einen Zusammenhang mit Terrorismus oder schwerer Kriminalität vorliegen. Er hat außerdem die Erstreckung auf EU-Innenflüge an eine reale und aktuelle oder vorhersehbare terroristische Bedrohung geknüpft. Das FlugDaG ist bis August 2026 nicht an dieses Urteil angepasst worden; ein entsprechender Gesetzentwurf des Bundesinnenministeriums ist nicht in Kraft getreten.

Kernfakten

Welche Flüge erfasst sind – und wo deutsches und europäisches Recht auseinandergehen

Die Richtlinie unterscheidet in Art. 3 zwei Flugarten. Ein Drittstaatsflug verbindet einen Mitgliedstaat mit einem Drittstaat, ein EU-Flug zwei Mitgliedstaaten ohne Zwischenlandung in einem Drittstaat. Verpflichtend ist nach Art. 1 Abs. 1 Buchst. a nur der Drittstaatsflug. Für EU-Flüge eröffnet Art. 2 lediglich eine Option: Der Mitgliedstaat kann die Anwendung beschließen, muss dies der Kommission schriftlich mitteilen und darf die Erstreckung auf ausgewählte Verbindungen beschränken.

Das FlugDaG macht von dieser Trennung keinen Gebrauch. § 2 Abs. 3 FlugDaG erfasst alle nicht-militärischen Linien-, Charter- und Taxiflüge, die

1. von der Bundesrepublik Deutschland aus starten und in einem anderen Staat landen oder
2. von einem anderen Staat aus starten und in Deutschland landen oder zwischenlanden.

Von „einem anderen Staat" ist die Rede – ohne jede Unterscheidung zwischen EU und Drittstaat. Der Flug Berlin–Mallorca wird damit genauso erfasst wie der Flug Frankfurt–Dubai. Nicht erfasst ist allein der rein innerdeutsche Flug, etwa Hamburg–München.

Die praktische Folge: Ein Familienurlaub innerhalb der EU erzeugt denselben Datensatz beim Bundeskriminalamt wie eine Fernreise. Genau an diesem Punkt setzt das Urteil C-817/19 an.

Was übermittelt wird: der Katalog des § 2 Abs. 2 FlugDaG

Die zwanzig Nummern des § 2 Abs. 2 FlugDaG:

Anhang I der Richtlinie zählt dagegen nur 19 Rubriken. In beiden Katalogen ist die letzte Nummer eine Auffangposition für die Änderungshistorie – Nr. 20 im FlugDaG, Nr. 19 im Anhang I. Der deutsche Katalog ist feiner untergliedert: Die Rubrik „Name(n)" des Anhangs I verteilt er auf Nr. 1 und Nr. 9. Vollständig deckungsgleich ist er aber nicht – § 2 Abs. 2 Nr. 1 FlugDaG nennt zusätzlich „Geburtsname" und „Doktorgrad", die Anhang I nicht ausdrücklich aufführt. Die häufig zu lesende Angabe „19 Datenkategorien" trifft also die Richtlinie, nicht das deutsche Gesetz.

Wichtig ist, was der Katalog nicht verlangt: Nach Art. 8 Abs. 1 der Richtlinie übermitteln Fluggesellschaften die Daten nur, „soweit sie solche Daten im Rahmen ihrer normalen Geschäftstätigkeit bereits erhoben haben". Eine Pflicht, zusätzliche Daten beim Fluggast zu erheben, entsteht nicht. Wer kein Vielflieger-Konto und keine hinterlegte Telefonnummer hat, dessen Datensatz ist entsprechend dünner.

Der EuGH hat den Katalog in C-817/19 zudem eng ausgelegt – und zwar an fünf Stellen, nicht nur an den beiden meistzitierten:

• Rubrik 5 (Anschrift und Kontaktangaben): nach Rn. 131 nur die Daten des Fluggasts selbst, nicht die Dritter.
• Rubrik 6 (Zahlungsinformationen): nach Rn. 132 lediglich Informationen über die Modalitäten der Zahlung und die Abrechnung des Flugscheins – keine sonstigen Angaben ohne unmittelbaren Flugbezug.
• Rubrik 8 (Vielflieger-Eintrag): nach Rn. 133 nur Status und Vielfliegernummer, keine Transaktionsdaten.
• Rubrik 12 („Allgemeine Hinweise"): nach Rn. 134 bis 136 genügt die Überschrift selbst den Anforderungen an Klarheit und Genauigkeit nicht; erfasst sind nur die in der Rubrik ausdrücklich in Klammern aufgezählten Angaben.
• Rubrik 18 (API-Daten): nach Rn. 139 beschränkt auf die dort und in Art. 3 Abs. 2 der API-Richtlinie ausdrücklich genannten Angaben.

Erst unter diesen Bedingungen – Rn. 140 verweist ausdrücklich auf „die in den Rn. 130 bis 139 dargelegten Erwägungen" – ist Anhang I „insgesamt hinreichend klar und präzise".

Wann übermittelt wird

§ 2 Abs. 5 FlugDaG kennt zwei Regelzeitpunkte:

• Nr. 1: 48 bis 24 Stunden vor der planmäßigen Abflugzeit. Das ist ein Zeitfenster, kein Stichtag – die Airline wählt den Moment innerhalb dieser 24 Stunden.
• Nr. 2: unmittelbar nach Abfertigungsschluss – im Gesetzeswortlaut: nachdem sich die Fluggäste an Bord begeben haben „und sobald keine Fluggäste mehr an Bord kommen oder von Bord gehen können". Das ist der Türschluss, nicht die Landung. Diese zweite Übermittlung darf sich nach § 2 Abs. 5 Satz 3 auf eine Aktualisierung der ersten beschränken.

Lag zum ersten Zeitpunkt noch kein Datensatz vor – etwa bei einer Last-Minute-Buchung –, verlangt § 2 Abs. 5 Satz 2 eine Nachmeldung spätestens zwei Stunden vor der geplanten Abflugzeit, allerdings nur, „sofern diese Daten dem Luftfahrtunternehmen bis zu diesem Zeitpunkt vorliegen".

Hinzu tritt die Ad-hoc-Übermittlung nach § 2 Abs. 6 FlugDaG. Sie hat zwei Voraussetzungen: Es müssen im Einzelfall tatsächliche Anhaltspunkte dafür vorliegen, dass die Begehung einer Straftat nach § 4 Abs. 1 unmittelbar bevorsteht, und die Übermittlung muss zur Erfüllung der in § 6 Abs. 1 Satz 1 und Abs. 2 Satz 1 genannten Aufgaben erforderlich sein. Dann muss die Airline auf Ersuchen unverzüglich übermitteln.

Übermittelt wird nach der „Push"-Methode (Art. 8 Abs. 1 der Richtlinie): Die Airline schickt die Daten aktiv, die Behörde greift nicht selbst auf das Buchungssystem zu. Der Begriff „Push" steht allerdings nicht im FlugDaG. § 2 Abs. 7 FlugDaG regelt stattdessen technisch: elektronische Übermittlung nach den Protokollen und Datenformaten, die die Kommission nach Art. 16 Abs. 3 der Richtlinie festgelegt hat; bei technischem Ausfall auf anderem geeignetem Weg mit angemessenem Sicherheitsniveau, abgestimmt mit dem BKA.

Was das Bundeskriminalamt mit den Daten macht

§ 4 Abs. 2 FlugDaG erlaubt den vorzeitigen Abgleich vor Ankunft oder Abflug – zum einen mit Datenbeständen, die der Fahndung nach Personen oder Sachen dienen, zum anderen mit Mustern. Der Musterabgleich ist der eigentlich eingriffsintensive Teil: Es geht nicht um bekannte Verdächtige, sondern um Reiseverhalten, das einem Risikoprofil ähnelt.

Das Gesetz zieht dafür drei Grenzen:

1. Individuelle Überprüfung jedes Treffers. § 4 Abs. 2 FlugDaG verlangt, dass Treffer individuell überprüft werden; Art. 6 Abs. 5 der Richtlinie verlangt ausdrücklich eine Überprüfung „auf andere, nicht-automatisierte Art". Ein Trefferalarm allein darf keine Maßnahme auslösen.
2. Ausgewogene, zielgerichtete Muster. Nach § 4 Abs. 3 FlugDaG müssen Muster belastende und entlastende Kriterien enthalten und so kombiniert werden, dass möglichst wenige Personen erfasst werden. Art. 6 Abs. 4 der Richtlinie verlangt, dass die Kriterien „zielgerichtet, verhältnismäßig und bestimmt" sind.
3. Verbotene Kriterien. Ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung, Gewerkschaftsmitgliedschaft, Gesundheitszustand, Sexualleben und sexuelle Orientierung dürfen „unter keinen Umständen" Grundlage der Kriterien sein.

Die Muster sind unter Beteiligung des behördlichen Datenschutzbeauftragten zu erstellen und mindestens alle sechs Monate zu überprüfen; die oder der BfDI kontrolliert Erstellung und Verwendung mindestens alle zwei Jahre und berichtet der Bundesregierung im Zweijahresrhythmus (§ 4 Abs. 3 FlugDaG).

Der EuGH hat dem in Rn. 194 eine weitere Grenze hinzugefügt, die im deutschen Gesetzestext fehlt: Das Erfordernis vorab festgelegter Kriterien steht dem Einsatz selbstlernender Systeme („machine learning") entgegen, die ohne menschliche Einwirkung und Kontrolle den Bewertungsprozess, die Kriterien oder deren Gewichtung ändern können. Begründung nach Rn. 195: Ein solches System wäre nicht mehr nachvollziehbar und würde den wirksamen Rechtsbehelf nach Art. 47 der Grundrechtecharta gefährden.

Sechs Monate, dann fünf Jahre – die zwei Fristen

Die beiden Fristen stehen im FlugDaG in verschiedenen Paragraphen, was ihre Verwechslung begünstigt.

§ 5 Abs. 1 FlugDaG – Depersonalisierung nach sechs Monaten. Nach Ablauf von sechs Monaten ab Übermittlung werden sechs Datengruppen unkenntlich gemacht: die Namensangaben (§ 2 Abs. 2 Nr. 1, 9 und 19), Anschrift und Kontaktangaben (Nr. 5), die Zahlungsinformationen einschließlich Rechnungsanschrift (Nr. 10), der Vielflieger-Eintrag (Nr. 12), die allgemeinen Hinweise (Nr. 16) und die API-Daten (Nr. 8).

Bei zwei dieser Gruppen ist die Maskierung allerdings nicht vollständig: § 5 Abs. 1 Nr. 3 erfasst nur solche Zahlungsinformationen und Nr. 5 nur solche allgemeinen Hinweise, „die zur Feststellung der Identität des Fluggastes … beitragen könnten". Was diesen Bezug nicht hat, bleibt lesbar. Der übrige Datensatz – Reiseverlauf, Sitzplatz, Gepäck, Buchungshistorie – bleibt ohnehin unverändert erhalten. Depersonalisierung ist keine Löschung, sondern Maskierung; die Zuordnung bleibt technisch rückholbar.

§ 5 Abs. 2 FlugDaG – Wiederherstellung nur mit Richterbeschluss. Die Aufhebung der Maskierung setzt voraus, dass sie zur Verhütung oder Verfolgung einer Straftat nach § 4 Abs. 1 im Rahmen eines Einzelabgleichs nach § 4 Abs. 5 erforderlich ist, und sie steht unter Richtervorbehalt: Antrag durch die Leitung der Fluggastdatenzentralstelle, Entscheidung durch das Amtsgericht am Sitz des Bundeskriminalamtes im Verfahren nach dem FamFG (§ 17 FlugDaG). Bei Gefahr im Verzug kann die Präsidentin oder der Präsident des BKA anordnen; die gerichtliche Entscheidung ist unverzüglich nachzuholen.

Nach Tenor Nr. 4 und Rn. 244 bis 247 des Urteils C-817/19 darf die PNR-Zentralstelle nicht zugleich die nach Art. 12 Abs. 3 Buchst. b genehmigende Behörde sein; eine bloß nachträgliche Kontrolle genügt nach Rn. 246 nicht, weil sie das Ziel der vorherigen Kontrolle nicht erreicht. Im Regelfall wahrt das deutsche Recht diese Trennung, weil ein Gericht entscheidet. Für den Eilfall ist das offen: § 5 Abs. 2 Satz 2 FlugDaG lässt die Anordnung durch die Präsidentin oder den Präsidenten des Bundeskriminalamtes zu – also durch die Leitung derselben Behörde, die nach § 1 Abs. 1 FlugDaG die Fluggastdatenzentralstelle ist – und verweist die gerichtliche Entscheidung auf einen Zeitpunkt danach.

§ 13 Abs. 1 FlugDaG – Löschung nach fünf Jahren. Erst nach Ablauf von fünf Jahren ab Übermittlung werden die Daten gelöscht. Daneben stehen zwei Sofortlöschungspflichten: § 13 Abs. 2 für Daten, die keine Fluggastdaten sind, und § 13 Abs. 3 für besondere Kategorien personenbezogener Daten – beide „unverzüglich nach Eingang". Protokolldaten werden nach § 14 Abs. 3 FlugDaG fünf Jahre aufbewahrt.

Das Urteil C-817/19 und die offene Umsetzungslücke

Der EuGH hat am 21. Juni 2022 in der Rechtssache C-817/19 (Ligue des droits humains) als Große Kammer entschieden (ECLI:EU:C:2022:491, Vorlage der belgischen Cour constitutionnelle). Das Ergebnis in einem Satz: Die Richtlinie bleibt gültig, aber nur, weil und soweit sie im Licht der Art. 7, 8 und 21 sowie des Art. 52 Abs. 1 der Grundrechtecharta einschränkend ausgelegt wird (Tenor Nr. 2, Rn. 228).

Für das deutsche Recht sind vier Aussagen einschlägig:

1. EU-Innenflüge (Tenor Nr. 7, Rn. 167 bis 175). Ein nationales System, das alle EU-Flüge erfasst, ohne dass der Mitgliedstaat mit einer „realen und aktuellen oder vorhersehbaren terroristischen Bedrohung" konfrontiert ist, verstößt gegen Unionsrecht. Liegt eine solche Bedrohung vor, ist die Erstreckung zeitlich zu begrenzen und einer wirksamen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle mit bindender Entscheidung zu unterwerfen (Rn. 172). Fehlt die Bedrohung, kommt allenfalls eine Auswahl in Betracht – bestimmte Verbindungen, Reisemuster oder Flughäfen (Rn. 173 f.).

2. Speicherung über sechs Monate hinaus (Tenor Nr. 5, Rn. 257 f.). Eine allgemeine Speicherfrist von fünf Jahren, die unterschiedslos für alle Fluggäste gilt, ist unzulässig, soweit weder die Vorabüberprüfung noch spätere Überprüfungen noch ein sonstiger Umstand objektive Anhaltspunkte für eine Gefahr mit zumindest mittelbarem objektivem Zusammenhang zur Reise geliefert haben. Wörtlich Rn. 258: „Die kontinuierliche Speicherung der PNR-Daten sämtlicher Fluggäste nach dem ursprünglichen Zeitraum von sechs Monaten beschränkt sich somit nicht auf das absolut Notwendige."

3. Zweckbindung (Tenor Nr. 3). Eine Verarbeitung zu anderen als den in Art. 1 Abs. 2 genannten Zwecken ist unzulässig. Dazu gehört ausdrücklich die Grenzkontrolle und die Bekämpfung illegaler Einwanderung (Tenor Nr. 7, zweiter Gedankenstrich).

4. Kein maschinelles Lernen (Rn. 194 f.) – siehe oben.

Der Stand der Umsetzung in Deutschland. Das FlugDaG ist seit 2017 zweimal geändert worden – einmal durch das Ursprungsgesetz selbst (§ 14, mit Wirkung vom 25.05.2018) und einmal durch Art. 2 Abs. 3 des Gesetzes vom 20. März 2026 (BGBl. 2026 I Nr. 95), in Kraft seit dem 2. April 2026.

Die Änderung von 2026 betrifft ausschließlich zwei Punkte des § 4 Abs. 1. Der eine ist eine Angleichung: Nr. 5 verweist jetzt auf Art. 12 der Terrorismusrichtlinie (EU) 2017/541 statt auf den früheren Rahmenbeschluss. Der andere hat materielle Wirkung: In Nr. 2 wird „§ 129a Absatz 2 Nummer 1 bis 5" durch „1 bis 6" ersetzt, weil dasselbe Gesetz in § 129a Abs. 2 StGB eine neue Nummer 6 einfügt. Der Anlasstatenkatalog des FlugDaG wird dadurch erweitert. Das Urteil C-817/19 setzt die Änderung nicht um.

Damit steht in § 2 Abs. 3 FlugDaG weiterhin die unterschiedslose Erfassung aller grenzüberschreitenden Flüge und in § 13 Abs. 1 weiterhin die unterschiedslose Fünfjahresfrist. Ein Referentenentwurf des Bundesinnenministeriums zur Änderung der Vorschriften über die Verarbeitung von Fluggastdaten „zur Umsetzung des Urteils des Gerichtshofs der Europäischen Union vom 21. Juni 2022 in der Rechtssache C-817/19" existiert seit 2024, ist bis zum Stand dieser Seite aber nicht in Kraft getreten.

Für den einzelnen Fluggast folgt daraus kein Automatismus. Die Richtlinie ist gültig; unionsrechtswidrig ist nach dem Urteil das nationale Recht, soweit es über die zulässige Auslegung hinausgeht. Ob sich ein Betroffener gegenüber dem Bundeskriminalamt unmittelbar auf Tenor Nr. 5 berufen und die vorzeitige Löschung verlangen kann, ist ungeklärt – § 13 Abs. 1 FlugDaG ordnet die Löschung positiv erst nach fünf Jahren an, und deutsche Rechtsprechung dazu ist nicht auffindbar. Festhalten lässt sich nur: Nach Tenor Nr. 8 dürfen nationale Gerichte die Wirkungen einer festgestellten Rechtswidrigkeit nicht zeitlich beschränken.

Rechte der Fluggäste

Das FlugDaG enthält keine eigenen Betroffenenrechte. Die Begriffe „Auskunft" und „Berichtigung" kommen im Gesetzestext nicht vor. Zu unterscheiden davon sind die objektiv-rechtlichen Löschungspflichten der Behörde, die § 13 FlugDaG („Löschung von Daten") und § 14 Abs. 3 FlugDaG sehr wohl selbst regeln – sie bestehen von Amts wegen, nicht auf Antrag. Der Zugang zu den Betroffenenrechten läuft dagegen über § 16 FlugDaG: Das Bundeskriminalamtgesetz findet entsprechende Anwendung, soweit das FlugDaG keine spezielleren Regelungen enthält. Über diesen Verweis gelten die Betroffenenrechte des BKAG und des dritten Teils des Bundesdatenschutzgesetzes.

In der Praxis bedeutet das:

• Auskunft ist beim Bundeskriminalamt zu beantragen, nicht bei der Fluggesellschaft. Die Airline ist nur Übermittlerin; sie kann weder mitteilen, ob ein Treffer ausgelöst wurde, noch Daten beim BKA löschen.
• Beschwerde ist an die oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu richten. Nach § 11 FlugDaG nimmt der BfDI die Aufgaben der nationalen Kontrollstelle für den Datenschutz wahr.
• Eine eigene Datenschutzbeauftragte hat die Fluggastdatenzentralstelle nicht: Nach § 12 Abs. 1 FlugDaG nimmt deren Aufgaben die oder der Datenschutzbeauftragte des Bundeskriminalamtes wahr. Diese Person kann Angelegenheiten dem BfDI vorlegen.
• Widerspruch gegen die Übermittlung als solche gibt es nicht. Sie ist gesetzliche Pflicht der Airline, nicht Folge einer Einwilligung.

Ein häufiges Missverständnis betrifft die anwendbare Datenschutzordnung. Art. 13 Abs. 1 und 2 der Richtlinie verweisen dem Wortlaut nach auf die Art. 17 bis 22 des Rahmenbeschlusses 2008/977/JI – Abs. 1 auf die Art. 17 bis 20, Abs. 2 auf die Art. 21 und 22 –, Abs. 3 auf die alte Richtlinie 95/46/EG; Art. 15 Abs. 1 der Richtlinie nimmt zusätzlich auf Art. 25 des Rahmenbeschlusses Bezug. Der Rahmenbeschluss ist jedoch durch Art. 59 Abs. 1 und 2 der Richtlinie (EU) 2016/680 mit Wirkung vom 6. Mai 2018 aufgehoben worden, wobei Verweise auf ihn als Verweise auf die neue Richtlinie gelten. Maßgeblich ist heute also die JI-Richtlinie (EU) 2016/680, nicht die DSGVO – deren Art. 2 Abs. 2 Buchst. d nimmt die Verarbeitung zu Strafverfolgungszwecken aus. Für die Verarbeitung durch die Fluggesellschaft vor der Übermittlung bleibt es dagegen bei der DSGVO.

Sanktionen gegen Fluggesellschaften

§ 18 FlugDaG stellt zwei Verstöße unter Bußgeld: die Übermittlung nach § 2 Abs. 5 Satz 1 und die Nachmeldung nach § 2 Abs. 5 Satz 2. Erfasst ist jeweils, wer die Daten „nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig" übermittelt – Formfehler und Verspätung sind also eigenständige Tatbestandsvarianten neben dem völligen Unterlassen. Das entspricht Art. 14 der Richtlinie, der Geldbußen ausdrücklich auch für die Verwendung eines falschen Formats verlangt.

In einem Punkt ist der Tatbestand enger als die Übermittlungspflicht: Er erfasst nur die Daten nach § 2 Abs. 2 Nr. 1 bis 8, also die ersten acht der zwanzig Kategorien. Vorsatz und Fahrlässigkeit genügen gleichermaßen.

Der Rahmen beträgt nach § 18 Abs. 2 FlugDaG bis zu fünfzigtausend Euro. Zuständige Verwaltungsbehörde nach § 36 Abs. 1 Nr. 1 OWiG ist das Bundesverwaltungsamt (§ 18 Abs. 3 FlugDaG) – dieselbe Behörde, die nach § 1 Abs. 3 FlugDaG die technische Verarbeitung für das BKA besorgt. § 18 ist erst am 25. Mai 2018 in Kraft getreten, zusammen mit den §§ 7 bis 10.

Art. 14 der Richtlinie verlangt Sanktionen, die „wirksam, angemessen und abschreckend" sind, und nennt Geldbußen gegen Fluggesellschaften ausdrücklich.

PNR, API, EES und ETIAS – vier Systeme, die verwechselt werden

Die Abgrenzung ist für Reisende wichtig, weil sie oft umgekehrt verstanden wird: EES und ETIAS gehen deutsche Staatsangehörige nichts an – sie sind keine Drittstaatsangehörigen. PNR betrifft sie dagegen bei jedem grenzüberschreitenden Flug. Das System mit der geringsten öffentlichen Aufmerksamkeit ist damit dasjenige mit der größten Reichweite.

Zum Verhältnis von PNR und API hat der EuGH in Tenor Nr. 6 von C-817/19 klargestellt, dass die API-Richtlinie 2004/82/EG nicht für EU-Innenflüge gilt.

Ausblick: die API-Verordnungen (EU) 2025/12 und 2025/13

Am 19. Dezember 2024 hat der Unionsgesetzgeber zwei Verordnungen erlassen, beide veröffentlicht im Amtsblatt vom 8. Januar 2025:

• Verordnung (EU) 2025/12 über die Erhebung und Übermittlung vorab übermittelter Fluggastdaten zur Verbesserung und Erleichterung der Kontrollen an den Außengrenzen. Ihr Art. 40 hebt die Richtlinie 2004/82/EG auf – allerdings erst mit dem Geltungsbeginn der Verordnung.
• Verordnung (EU) 2025/13 über dieselben Daten zu Zwecken der Verhütung, Aufdeckung, Ermittlung und Verfolgung terroristischer Straftaten und schwerer Kriminalität.

Die Verordnung (EU) 2025/13 ändert die PNR-Richtlinie nicht. Sie versteht sich ausdrücklich als Ergänzung der Richtlinie (EU) 2016/681 „in der Auslegung des Gerichtshofs der Europäischen Union" und übernimmt deren Begriffsbestimmungen sowie deren Anhang I – allerdings nach Art. 3 mit Ausnahme von dessen Nummer 18, also der API-Daten, die die Verordnung eigenständig regelt.

Entscheidend für die Praxis ist der Geltungsbeginn – und der steht noch nicht fest. Beide Verordnungen knüpfen ihn nicht an ein Kalenderdatum, sondern an den von der Kommission zu bestimmenden Zeitpunkt der Inbetriebnahme des Routers: bei der VO (EU) 2025/12 zwei Jahre danach, bei der VO (EU) 2025/13 zwei Jahre für API-Daten und vier Jahre für sonstige PNR-Daten. Einzelne Vorbereitungsartikel gelten bereits seit dem 28. Januar 2025. Ein Kommissionsrechtsakt, der den Router-Zeitpunkt festlegt, war zum Stand dieser Seite nicht auffindbar. Angaben zu einem konkreten Startdatum sind deshalb nicht belastbar.

Häufige Fehler

• „Meine Fluggastdaten werden nur bei Flügen außerhalb der EU übermittelt." Nach dem deutschen Gesetz nicht. § 2 Abs. 3 FlugDaG spricht von „einem anderen Staat" und erfasst damit auch Berlin–Mallorca. Nur der rein innerdeutsche Flug bleibt außen vor. Ob diese Reichweite mit C-817/19 vereinbar ist, ist die offene Frage dieser Seite.
• „Es sind 19 Datenkategorien." Das trifft Anhang I der Richtlinie. § 2 Abs. 2 FlugDaG zählt 20 Nummern. Die jeweils letzte Nummer ist in beiden Katalogen die Änderungshistorie.
• „Nach sechs Monaten sind die Daten weg." Nein. Nach sechs Monaten werden sie depersonalisiert, also maskiert (§ 5 Abs. 1 FlugDaG). Gelöscht wird erst nach fünf Jahren (§ 13 Abs. 1 FlugDaG). Die Maskierung kann mit richterlicher Anordnung aufgehoben werden.
• „Der EuGH hat die PNR-Richtlinie gekippt." Nein. Er hat sie in Tenor Nr. 2 für gültig erklärt – unter der Voraussetzung einschränkender Auslegung. Beanstandet wurde die Ausgestaltung des nationalen Rechts.
• „Deutschland hat das Urteil längst umgesetzt." Nein. Das FlugDaG ist seit 2017 zweimal geändert worden: 2018 in § 14 durch das Ursprungsgesetz selbst und 2026 in zwei Punkten des § 4 Abs. 1. Der Entwurf zur Umsetzung von C-817/19 ist nicht in Kraft.
• „Ich kann der Übermittlung widersprechen." Nein. Es handelt sich um eine gesetzliche Pflicht der Fluggesellschaft, nicht um eine Einwilligung. Es gibt weder Widerspruchs- noch Opt-out-Recht.
• „Auskunft bekomme ich bei der Airline." Nein. Die Airline übermittelt nur. Auskunft über den beim BKA gespeicherten Datensatz ist beim Bundeskriminalamt zu beantragen; Aufsichtsbehörde ist die oder der BfDI (§ 11 FlugDaG).
• „Für PNR gilt die DSGVO." Für die Verarbeitung durch die Behörde nicht – Art. 2 Abs. 2 Buchst. d DSGVO nimmt Strafverfolgungszwecke aus; maßgeblich ist die Richtlinie (EU) 2016/680. Für die Verarbeitung durch die Fluggesellschaft vor der Übermittlung gilt dagegen sehr wohl die DSGVO.
• „Das BKA sieht meine Kreditkartennummer nicht." § 2 Abs. 2 Nr. 10 FlugDaG nennt „alle Arten von Zahlungsinformationen einschließlich Rechnungsanschrift". Zwei Einschränkungen relativieren das: Nach Rn. 132 des Urteils C-817/19 ist die entsprechende Rubrik 6 des Anhangs I auf Informationen über die Modalitäten der Zahlung und die Abrechnung des Flugscheins beschränkt auszulegen, und nach sechs Monaten sind die identifizierenden Zahlungsangaben nach § 5 Abs. 1 Nr. 3 FlugDaG zu maskieren.
• „Als deutscher Urlauber betrifft mich das neue EU-Grenzsystem." EES und ETIAS betreffen ausschließlich Drittstaatsangehörige. PNR betrifft Unionsbürger genauso wie alle anderen.
• „§ 18 FlugDaG hilft mir, wenn die Airline zu viele Daten übermittelt." Nein. § 18 sanktioniert die unterbliebene, formwidrige oder verspätete Übermittlung, nicht die übermäßige – und zwar mit einer Geldbuße zugunsten der Staatskasse, nicht des Fluggasts. Das FlugDaG selbst enthält keinen zivilrechtlichen Anspruch. Schadensersatz kann sich aber aus den allgemeinen datenschutzrechtlichen Vorschriften ergeben: Art. 13 Abs. 1 der Richtlinie verlangt ausdrücklich Rechte auf „Schadenersatz und Rechtsbehelfe", und für die Verarbeitung durch die Fluggesellschaft gilt nach Tenor Nr. 1 des Urteils C-817/19 die DSGVO.

Quellen

• Fluggastdatengesetz (FlugDaG), Gesamtausgabe, gesetze-im-internet.de: https://www.gesetze-im-internet.de/flugdag/BJNR148410017.html A
• Fluggastdatengesetz (FlugDaG), amtliche PDF-Fassung: https://www.gesetze-im-internet.de/flugdag/FlugDaG.pdf A
• Gesetz zur Umsetzung der Richtlinie (EU) 2016/681, BGBl. I 2017 S. 1484 (Art. 1 = FlugDaG, Art. 3 Inkrafttreten)
• Gesetz zur Umsetzung der Richtlinie (EU) 2017/541 zur Terrorismusbekämpfung und zur Anpassung des Strafrahmens bei geheimdienstlicher Agententätigkeit vom 20.03.2026, BGBl. 2026 I Nr. 95 (Art. 1 Nr. 10 ändert § 129a Abs. 2 StGB, Art. 2 Abs. 3 ändert § 4 Abs. 1 FlugDaG): https://www.recht.bund.de/bgbl/1/2026/95/regelungstext.pdf?__blob=publicationFile&v=1 D
• Richtlinie (EU) 2016/681 über die Verwendung von Fluggastdatensätzen (PNR-Daten), ABl. L 119 vom 04.05.2016, S. 132, CELEX 32016L0681: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016L0681 A
• Richtlinie (EU) 2016/681, ELI: http://data.europa.eu/eli/dir/2016/681/oj D
• EuGH, Urteil vom 21.06.2022, C-817/19 (Ligue des droits humains), ECLI:EU:C:2022:491, CELEX 62019CJ0817: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62019CJ0817 A
• Schlussanträge des Generalanwalts Pitruzzella vom 27.01.2022, C-817/19, CELEX 62019CC0817: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62019CC0817 A
• Richtlinie (EU) 2016/680 (JI-Richtlinie, Art. 59 – Aufhebung des Rahmenbeschlusses 2008/977/JI), CELEX 32016L0680: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016L0680 A
• Richtlinie (EU) 2017/541 zur Terrorismusbekämpfung (Art. 12 – Straftaten im Zusammenhang mit terroristischen Aktivitäten), CELEX 32017L0541: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32017L0541 A
• Richtlinie 2004/82/EG (API-Richtlinie), CELEX 32004L0082: https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32004L0082 A
• Verordnung (EU) 2025/12 vom 19.12.2024 (API – Außengrenzkontrollen, Art. 40 Aufhebung der RL 2004/82/EG, Art. 46 Geltungsbeginn), ABl. L, 2025/12 vom 08.01.2025, CELEX 32025R0012: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32025R0012 A
• Verordnung (EU) 2025/13 vom 19.12.2024 (API – Strafverfolgung, Art. 45 Geltungsbeginn), ABl. L, 2025/13 vom 08.01.2025, CELEX 32025R0013: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32025R0013 A
• Verordnung (EU) 2017/2226 (Entry/Exit-System), CELEX 32017R2226: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32017R2226 A
• Verordnung (EU) 2018/1240 (ETIAS), CELEX 32018R1240: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32018R1240 A
• Verordnung (EU) 2016/679 (DSGVO, Art. 2 Abs. 2 Buchst. d), CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• Bundeskriminalamt, Fluggastdatenspeicherung – nationales Umsetzungsgesetz: https://www.bka.de/DE/UnsereAufgaben/Aufgabenbereiche/Zentralstellen/Fluggastdatenspeicherung/RelevanteDokumente/Umsetzunggesetz/umsetzungsgesetz_node.html D
• Bundesministerium des Innern, Gesetzgebungsverfahren – Entwurf eines Gesetzes zur Änderung von Vorschriften über die Verarbeitung von Fluggastdaten zur Umsetzung des Urteils des Gerichtshofs der Europäischen Union vom 21. Juni 2022 in der Rechtssache C-817/19 und zur Fortentwicklung der Fluggastdatenverarbeitung (beim Abruf am 30.08.2026 nicht erreichbar): https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/FlugDaG.html D
• Europäischer Datenschutzausschuss (EDSA), Erklärung zur Umsetzung der PNR-Richtlinie nach C-817/19 (März 2025): https://www.edpb.europa.eu/news/news/2025/edpb-adopts-statement-implementation-pnr-directive_de B

Änderungsverlauf

• 2026-08-30: Erstveröffentlichung. Der Bestand wies zu topic="reiserecht" 61 Seiten aus; Greps über alle 831 Fakten-Markdown-Dateien ergaben für „Fluggastdaten", „PNR", „FlugDaG" und „2016/681" jeweils null Treffer. Die Seite schließt damit eine vollständige Abdeckungslücke. Verifiziert wurden gegen die amtlichen Volltexte: FlugDaG §§ 1 bis 18 einschließlich des amtlichen Vollzitats („zuletzt durch Artikel 2 Absatz 3 des Gesetzes vom 20. März 2026, BGBl. 2026 I Nr. 95, geändert"), die vollständige Änderungshistorie des Gesetzes (zwei Änderungen seit 2017), die Richtlinie (EU) 2016/681 in den Art. 1, 2, 3, 4, 6, 8, 12, 13, 14, 15, 18 sowie den Anhängen I und II, das Urteil C-817/19 in den Tenorpunkten 1 bis 8 und den Randnummern 86, 130 bis 140, 167 bis 175, 194 f., 203 bis 209, 228, 244 bis 247 und 257 f., ferner die Verordnungen (EU) 2025/12 und (EU) 2025/13 in den Aufhebungs-, Definitions- und Geltungsbeginn-Artikeln. Fünf verbreitete Fehlangaben wurden korrigiert: das FlugDaG hat keine Anlage und 20, nicht 19 Datenkategorien (die 19 stehen in Anhang I der Richtlinie); die Paragraphenzuordnung lautet § 1 Zentralstelle, § 2 Übermittlung, § 5 Depersonalisierung, § 13 Löschung – nicht § 1 Anwendungsbereich und § 3 Übermittlungspflicht; die zweite Übermittlung erfolgt bei Türschluss, nicht nach der Landung; der Begriff „Push" steht in Art. 8 Abs. 1 der Richtlinie, nicht im FlugDaG; und Art. 13 der Richtlinie verweist auf den Rahmenbeschluss 2008/977/JI, dessen Verweise erst über Art. 59 der Richtlinie (EU) 2016/680 auf die JI-Richtlinie umgeleitet werden. Die Änderung vom 20.03.2026 wurde ausdrücklich nicht als Umsetzung von C-817/19 dargestellt; sie betrifft zwei Punkte des § 4 Abs. 1, von denen einer den Anlasstatenkatalog um die neue Nummer 6 des § 129a Abs. 2 StGB erweitert. Kein unbelegtes Aktenzeichen: Zur Richtlinie (EU) 2016/681 ist nach den EUR-Lex-Metadaten C-817/19 die einzige auslegende Entscheidung. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"
• 2026-08-30: Endkontrolle vor Veröffentlichung. Ein unabhängiger dritter Verifikationslauf mit dem ausdrücklichen Auftrag, Fehler zu finden, meldete 19 Befunde; alle wurden gegen die Primärquelle nachgeprüft und übernommen. Die vier gewichtigsten: (1) Die Aussage, das FlugDaG kenne den Begriff „Löschung" nicht, war falsch und stand im Widerspruch zu den sechs eigenen Zitaten des § 13 Abs. 1 – getrennt wird jetzt zwischen fehlenden Betroffenenrechten und vorhandenen objektiv-rechtlichen Löschungspflichten. (2) Die Behauptung, Deutschland erfülle die Trennungsvorgabe aus Tenor Nr. 4 bereits, überging § 5 Abs. 2 Satz 2 FlugDaG, der im Eilfall die BKA-Leitung entscheiden lässt; der Abschnitt ist jetzt zweigeteilt und der Eilfall als offen gekennzeichnet. (3) Das wörtliche Zitat zur Sechsmonatsgrenze steht in Rn. 258, nicht in Rn. 257. (4) Die Angabe, § 18 FlugDaG erfasse nur die unterlassene Übermittlung, überging die Tatbestandsvarianten „nicht in der vorgeschriebenen Weise oder nicht rechtzeitig". Ergänzt wurden ferner die Rn. 131 bis 133 zu den Rubriken 5, 6 und 8 des Anhangs I, die Einschränkungen des § 2 Abs. 5 Satz 2 und Abs. 6 sowie des § 5 Abs. 1 Nr. 3 und 5 FlugDaG, die Zuordnung des Art. 25 des Rahmenbeschlusses zu Art. 15 Abs. 1 statt Art. 13 der Richtlinie, die Ausnahme der Nummer 18 in Art. 3 der VO (EU) 2025/13 und die Klarstellung, dass § 12 Abs. 1 FlugDaG gerade keine eigene Datenschutzbeauftragte vorsieht. Zwei rhetorisch überzogene Aussagen wurden zurückgenommen: „Der Fluggast erfährt davon nichts" und die unbelegte Behauptung, ein Löschungsverlangen könne sich unmittelbar auf Tenor Nr. 5 stützen. Zwei Quellenangaben wurden vervollständigt (BGBl.-URL mit Parameter, amtliche Vollzitate beider Gesetzestitel). | change_type=correction field="content" new="19_findings_applied" reviewed_by="Andreas Warkentin"

Stand

• Stand: 2026-08-30
• Gültig ab: 2017-06-10 (Inkrafttreten des FlugDaG nach Art. 3 Abs. 1 des Gesetzes vom 06.06.2017; §§ 7 bis 10 und § 18 erst ab 25.05.2018)
• Gültig bis: unbefristet
• Status: aktuell
• Quellenautorität: A (FlugDaG, BGBl. 2026 I Nr. 95, RL (EU) 2016/681, RL (EU) 2016/680, RL (EU) 2017/541, VO (EU) 2025/12, VO (EU) 2025/13, EuGH C-817/19), ergänzt um B (Bundeskriminalamt, Bundesministerium des Innern, Europäischer Datenschutzausschuss)
• Offen (review_needed): (a) Verifikationsweg. Der direkte Abruf der Primärquellen war aus dieser Umgebung heraus nicht möglich – gesetze-im-internet.de und eur-lex.europa.eu lieferten leere Antworten beziehungsweise verweigerten die Navigation. Die Normwortlaute stammen aus drei voneinander unabhängigen Verifikationsläufen – zwei vor dem Schreiben, einer als adversarische Endkontrolle danach –, die den amtlichen Volltext abgerufen und untereinander gegengelesen haben (FlugDaG zusätzlich gegen eine zweite Volltextquelle). Ein Gegenlesen der Wortlaute durch den Autor selbst hat nicht stattgefunden; deshalb steht die Seite auf review_needed. (b) Notifizierung nach Art. 2 der Richtlinie. § 2 Abs. 3 FlugDaG erfasst EU-Innenflüge. Die Richtlinie erlaubt das nur nach schriftlicher Mitteilung an die Kommission mit Veröffentlichung im Amtsblatt. Die deutsche Mitteilung wurde nicht im Amtsblatt verifiziert; die Seite behauptet deshalb nur die Reichweite des deutschen Gesetzeswortlauts, nicht die Ordnungsmäßigkeit der Notifizierung. (c) Verfahrensstand des Umsetzungsentwurfs. Belegbar ist ein Referentenentwurf des BMI aus dem Jahr 2024 und die Tatsache, dass bis zum 30.08.2026 kein entsprechendes Änderungsgesetz in Kraft ist – Letzteres folgt aus dem amtlichen Vollzitat und der vollständigen Änderungsliste. Ob der Entwurf inzwischen Kabinettsbeschluss oder Regierungsentwurf ist, konnte nicht verifiziert werden; die BMI-Verfahrensseite war nicht abrufbar. (d) Betroffenenrechte. Das FlugDaG regelt Auskunft, Berichtigung und Löschung nicht selbst; die Seite nennt deshalb bewusst keine BKAG- oder BDSG-Paragraphen, weil deren Nummerierung nicht im Volltext gegengelesen wurde. Belegt sind allein § 16 FlugDaG (entsprechende Anwendung des BKAG), § 11 FlugDaG (BfDI als nationale Kontrollstelle) und § 12 FlugDaG (behördliche Datenschutzbeauftragte). (e) Erklärung der Zahlendifferenz 20 zu 19. Dass die deutsche Untergliederung die Namensangaben auf § 2 Abs. 2 Nr. 1 und Nr. 9 verteilt, ist ein Vergleich der beiden Kataloge, keine Aussage der Gesetzesmaterialien; die Materialien wurden nicht herangezogen. Die beiden Zahlen selbst sind verifiziert, ebenso die Abweichung bei „Geburtsname" und „Doktorgrad". (j) Eilfall des § 5 Abs. 2 Satz 2 FlugDaG. Dass die Anordnung durch die BKA-Leitung mit Tenor Nr. 4 des Urteils C-817/19 in Spannung steht, ist eine Schlussfolgerung aus dem Normvergleich; Rechtsprechung oder amtliche Stellungnahmen dazu wurden nicht gefunden. Die Seite bezeichnet den Punkt deshalb als offen und trifft keine Wirksamkeitsaussage. (f) CURIA war nicht auswertbar. Alle Angaben zu C-817/19 stammen aus der EUR-Lex-Fassung des Urteils. Die Randnummern wurden im Volltext gesehen, aber nicht gegen die CURIA-Fassung abgeglichen. (g) Weitere Vorabentscheidungsersuchen. In den Amtsblättern von 2020 sind zu PNR mehrere deutsche und slowenische Ersuchen nachgewiesen (unter anderem aus Köln und Wiesbaden). Zu keinem davon ist in EUR-Lex ein veröffentlichtes Urteil auffindbar; ob sie gestrichen oder erledigt wurden, ließ sich amtlich nicht klären. Die Seite nennt deshalb keine dieser Aktenzeichen. (h) Geltungsbeginn der API-Verordnungen. Ein Kommissionsrechtsakt, der den Zeitpunkt der Inbetriebnahme des Routers nach Art. 34 der VO (EU) 2025/12 beziehungsweise Art. 34 und 35 der VO (EU) 2025/13 festlegt, war nicht auffindbar. Ein konkretes Anwendungsdatum steht damit nach den zugänglichen amtlichen Quellen noch nicht fest. (i) Zahl der Deliktsgruppen in Anhang II der Richtlinie ist mit 26 angegeben; diese Zahl stammt aus der Auszählung des Anhangs durch den Verifikationslauf, nicht aus einer amtlichen Zählangabe.
• Lizenz: CC BY 4.0