PNR-Gesetz

(1) Dieses Bundesgesetz regelt die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen gemäß § 165 Abs. 3 zweiter Fall, §§ 278b bis 278g und § 282a Strafgesetzbuch – StGB, BGBl. Nr. 60/1974, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind.

(2) Für die Verarbeitung von Fluggastdaten ist die Fluggastdatenzentralstelle (Passenger Information Unit – PIU) beim Bundesminister für Inneres eingerichtet.

(3) Die Bestimmungen der Strafprozeßordnung 1975 – StPO, BGBl. Nr. 631/1975, bleiben unberührt.

(1) Luftfahrtunternehmen, die über eine gültige Betriebsgenehmigung oder eine gleichwertige Genehmigung, die es gestattet Fluggäste auf dem Luftweg zu befördern, verfügen und die Personen mit einem Luftfahrzeug aus einem Staat, der nicht Mitgliedstaat der Europäischen Union ist (Drittstaat), nach Österreich oder aus Österreich in einen Drittstaat bringen, sind verpflichtet, die im Rahmen ihrer Geschäftstätigkeit erhobenen Fluggastdaten (§ 3) ihrer Fluggäste in einem Protokoll und Datenformat, das in einem gemäß Art. 16 Abs. 3 PNR-RL (§ 13) erlassenen Durchführungsrechtsakt festgelegt wurde, unter Verwendung der durch die Fluggastdatenzentralstelle festgelegten, sicheren Kommunikationskanäle innerhalb eines Zeitraumes von 24 bis 48 Stunden vor der planmäßigen Abflugzeit sowie unverzüglich nach Abschluss der passagierbezogenen Formalitäten kostenlos an die Fluggastdatenzentralstelle zu übermitteln. Die Übermittlung nach Abschluss der passagierbezogenen Formalitäten kann sich auf eine Aktualisierung der bereits übermittelten Daten beschränken.

(2) Die Luftfahrtunternehmen teilen der Fluggastdatenzentralstelle mit, welches konkrete Protokoll und Datenformat für die Übermittlung der Fluggastdaten verwendet wird. Bei technischen Störungen erfolgt die Übermittlung der Fluggastdaten in Abstimmung mit der Fluggastdatenzentralstelle ausnahmsweise auf andere geeignete Weise, die ein angemessenes Datensicherheitsniveau gewährleistet.

(3) Bei Flügen mit Code-Sharing zwischen mehreren Luftfahrtunternehmen trifft die Verpflichtung gemäß Abs. 1 jenes Luftfahrtunternehmen, das den Flug durchführt.

(4) Ungeachtet der in Abs. 1 genannten Zeitpunkte sind die Sicherheitsbehörden, Zollbehörden sowie den mit Aufgaben der wehr- oder militärbefugnisgesetzlichen Vollziehung betrauten Organen und Behörden der militärischen Nachrichtendienste ermächtigt, im Wege der Fluggastdatenzentralstelle von Luftfahrtunternehmen Auskunft über Fluggastdaten (§ 3) zu verlangen, wenn dies erforderlich ist, um eine bestimmte und gegenwärtige Gefahr durch eine in § 1 Abs. 1 genannte strafbare Handlung abzuwehren. Das Luftfahrtunternehmen ist verpflichtet, die Auskünfte unverzüglich und kostenlos der Fluggastdatenzentralstelle zu übermitteln. Die Verantwortung für die rechtliche Zulässigkeit des Auskunftsverlangens trifft die anfragende Behörde. Anfragen an Luftfahrtunternehmen nach anderen gesetzlichen Regelungen bleiben unberührt.

(5) Der Bundesminister für Inneres ist ermächtigt, durch Verordnung den Anwendungsbereich des Abs. 1 auf Personen, die mit einem Luftfahrzeug aus einem Mitgliedstaat der Europäischen Union nach Österreich oder aus Österreich in einen Mitgliedstaat der Europäischen Union befördert werden, zu erstrecken.

(1) Fluggastdaten nach diesem Bundesgesetz sind:

(2) Daten, die der Fluggastdatenzentralstelle von den Luftfahrtunternehmen übermittelt wurden und die nicht Fluggastdaten nach Abs. 1 sind, sind unverzüglich nach Kenntnisnahme zu löschen. Gleiches gilt, wenn Fluggastdaten besondere Kategorien von personenbezogenen Daten (§ 39 Datenschutzgesetz – DSG, BGBl. I Nr. 165/1999) enthalten.

(1) Die Fluggastdatenzentralstelle ist für Zwecke des § 1 Abs. 1 ermächtigt, die bei ihr einlangenden Fluggastdaten (§ 3) vor der Ankunft oder dem Abflug eines Luftfahrzeuges

(2) Darüber hinaus ist die Fluggastdatenzentralstelle über begründetes Ersuchen einer in § 2 Abs. 4 genannten Behörde, einer Staatsanwaltschaft oder eines Gerichts sowie von Europol im Wege der nationalen Europol-Stelle (§ 4 Abs. 1 BKA-G) ermächtigt, die in der PNR-Datenbank gespeicherten Daten für die Zwecke des § 1 Abs. 1 zu verarbeiten. § 6 bleibt unberührt.

(3) Zur Verifizierung eines anhand des Abgleichs (Abs. 1) erfassten Treffers ist die Fluggastdatenzentralstelle ermächtigt, Abfragen in Datenverarbeitungen für Zwecke der Sicherheitsverwaltung, des Asyl- und Fremdenwesens sowie der Strafrechtspflege durchzuführen, das Ergebnis der Verifizierung an die in Abs. 2 genannten Behörden zu übermitteln sowie das Ergebnis der Verifizierung und die veranlassten Maßnahmen und Verwaltungsdaten in einer Datenverarbeitung (Trefferverwaltung) zu verarbeiten.

(4) Daten in der PNR-Datenbank und in der Trefferverwaltung sind fünf Jahre nach Übermittlung durch die Luftfahrtunternehmen zu löschen.

(5) § 50 DSG gilt mit der Maßgabe, dass jedenfalls über die Verarbeitungsvorgänge der Erhebung, Abfrage, Offenlegung und Löschung Protokollaufzeichnungen zu führen, fünf Jahre aufzubewahren und danach zu löschen sind.

(1) Die Festlegung der Kriterien für den Abgleich nach § 4 Abs. 1 Z 2 erfolgt durch die Fluggastdatenzentralstelle. Die Kriterien sind regelmäßig, mindestens alle sechs Monate, zu überprüfen.

(2) Die Kriterien bestehen aus verdachtsbegründenden und verdachtsentlastenden Prüfungsmerkmalen und müssen zielgerichtet, verhältnismäßig und bestimmt sein. Verdachtsbegründende Prüfungsmerkmale beruhen auf Tatsachen zu strafbaren Handlungen im Sinne des § 1 Abs. 1 und müssen geeignet sein, Personen zu identifizieren, die für den Zweck des § 1 Abs. 1 bedeutsame Prüfungsmerkmale erfüllen. Verdachtsentlastende Prüfungsmerkmale dienen dazu, Personen, die unter verdachtsbegründende Prüfungsmerkmale fallen, auszuschließen. Bei den Kriterien sind die Prüfungsmerkmale so zu kombinieren, dass die Zahl der unter ein Kriterium fallenden Personen möglichst gering ist. Besondere Kategorien von personenbezogenen Daten (§ 39 DSG) dürfen nicht Gegenstand eines Prüfungsmerkmals sein.

(3) Zur Festlegung oder Aktualisierung von Kriterien ist die Fluggastdatenzentralstelle ermächtigt, die in der PNR-Datenbank und in der Trefferverwaltung verarbeiteten Daten zu analysieren.

(1) Die Fluggastdatenzentralstelle hat die in der PNR-Datenbank verarbeiteten Daten sechs Monate nach Übermittlung durch die Luftfahrtunternehmen zu depersonalisieren. Depersonalisierung nach diesem Bundesgesetz ist die Unkenntlichmachung jener Daten, mit denen die Identität eines Fluggastes unmittelbar festgestellt werden kann.

(2) Die Aufhebung der Depersonalisierung ist aufgrund eines begründeten Ersuchens einer in § 7 genannten Behörde zulässig

(1) Soweit dies für den Zweck des § 1 Abs. 1 erforderlich ist, sind Übermittlungen der nach diesem Bundesgesetz verarbeiteten Daten durch die Fluggastdatenzentralstelle auf begründetes Ersuchen an die in § 4 Abs. 2 genannten Behörden, an Fluggastdatenzentralstellen anderer Mitgliedstaaten der Europäischen Union (Mitgliedstaaten) sowie an Europol im Wege der nationalen Europol-Stelle (§ 4 Abs. 1 BKA-G) zulässig. Bei Gefahr in Verzug sind Übermittlungen durch die Fluggastdatenzentralstelle auch unmittelbar an die zuständigen Behörden eines Mitgliedstaates zulässig, wenn diese die jeweilige nationale Fluggastdatenzentralstelle über die Anfrage in Kenntnis gesetzt hat.

(2) Übermittlungen der nach diesem Bundesgesetz verarbeiteten Daten durch die Fluggastdatenzentralstelle an Behörden von Staaten, die nicht Mitgliedstaaten der Europäischen Union sind (Drittstaaten), sind gemäß den in Abs. 1 genannten Voraussetzungen und nach Maßgabe der §§ 8 bis 12 Polizeikooperationsgesetz – PolKG, BGBl. I Nr. 104/1997, zulässig.

(3) Die Fluggastdatenzentralstelle ist ermächtigt, die Fluggastdaten eines anderen Mitgliedstaates unter den Voraussetzungen des Abs. 2 an die Behörden von Drittstaaten zu übermitteln, wenn die Fluggastdatenzentralstelle dieses Mitgliedstaates in die Übermittlung einwilligt. Kann die Einwilligung nicht rechtzeitig eingeholt werden, ist die Übermittlung nur dann zulässig, wenn diese unerlässlich ist, um eine gegenwärtige Gefahr durch eine in § 1 Abs. 1 genannte strafbare Handlung in einem Mitgliedstaat oder einem Drittstaat abzuwehren. Die für die Einwilligung zuständige Fluggastdatenzentralstelle ist unverzüglich zu unterrichten.

(4) Die Flugastdatenzentralstelle ist ermächtigt, Übermittlungen gemäß Abs. 1 bis 3 sowie die dafür erforderlichen Verwaltungsdaten in der Trefferverwaltung (§ 4 Abs. 3) zu verarbeiten.

(5) Justizielle Zusammenarbeit nach dem Bundesgesetz über die justizielle Zusammenarbeit in Strafsachen mit den Mitgliedstaaten der Europäischen Union – EU-JZG, BGBl. I Nr. 36/2004, dem Auslieferungs- und Rechtshilfegesetz – ARHG, BGBl. Nr. 529/1979, dem Bundesgesetz über die Zusammenarbeit mit dem Internationalen Strafgerichtshof, BGBl. I Nr. 135/2002, dem Bundesgesetz über die Zusammenarbeit mit den internationalen Gerichten, BGBl. Nr. 263/1996, oder nach zwischenstaatlichen Vereinbarungen bleibt unberührt.

Die Kontrolle der Rechtmäßigkeit sämtlicher Verarbeitungsvorgänge in der PNR-Datenbank und in der Trefferverwaltung obliegt einem weisungsfreien Datenschutzbeauftragten (§§ 5 und 57 DSG) beim Bundesminister für Inneres. Der Datenschutzbeauftragte ist von der Aufhebung der Depersonalisierung gemäß § 6 Abs. 2 Z 1 sowie von jeder Übermittlung an Drittstaaten gemäß § 7 Abs. 2 und 3 zu informieren.

In einem Auskunftsverfahren (§ 44 DSG) über die gemäß diesem Bundesgesetz verarbeiteten Daten hat der Auskunftswerber unter Nachweis seiner Identität in dem ihm zumutbaren Ausmaß mitzuwirken sowie Angaben zu seiner Fluggasteigenschaft und seinen Flugbewegungen zu erbringen, um ungerechtfertigten oder unverhältnismäßigen Aufwand bei der Auskunftserteilung durch die Fluggastdatenzentralstelle zu vermeiden. Das Auskunftsrecht umfasst nicht die Auskunft über bereits depersonalisierte Daten (§ 6 Abs. 1).

(1) Wer als Luftfahrtunternehmen entgegen § 2 Fluggastdaten nicht, nicht in der vorgeschriebenen Weise, nicht vollständig oder nicht rechtzeitig übermittelt, begeht eine Verwaltungsübertretung und ist von der Landespolizeidirektion mit Geldstrafe von 5 000 Euro bis zu 15 000 Euro, im Wiederholungsfall bis zu 30 000 Euro, zu bestrafen.

(2) Die Landespolizeidirektion kann Geldbußen gegen eine juristische Person verhängen, wenn Verwaltungsübertretungen gemäß Abs. 1 durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

(3) Juristische Personen können wegen Verwaltungsübertretungen gemäß Abs. 1 auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 2 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat.

(4) Für Verwaltungsübertretungen gemäß Abs. 1, die nicht im Inland begangen wurden, richtet sich die örtliche Zuständigkeit nach jenem Ort im Inland, an dem die Verwaltungsübertretung festgestellt wurde.

Soweit in diesem Bundesgesetz auf natürliche Personen bezogene Bezeichnungen nur in männlicher Form angeführt sind, beziehen sie sich auf Frauen und Männer in gleicher Weise. Bei der Anwendung der Bezeichnungen auf bestimmte natürliche Personen ist die geschlechtsspezifische Form zu verwenden.

Verweisungen in diesem Bundesgesetz auf andere Bundesgesetze sind als Verweisungen auf die jeweils geltende Fassung zu verstehen.

Durch dieses Bundesgesetz wird die Richtlinie (EU) 2016/681 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität, ABl. Nr. L 119 vom 04.05.2016 S. 132 (PNR-RL), umgesetzt.

(1) Dieses Bundesgesetz tritt mit Ablauf des Tages der Kundmachung in Kraft.

(2) Verordnungen auf Grund dieses Bundesgesetzes können bereits ab dem auf seine Kundmachung folgenden Tag erlassen werden; sie dürfen jedoch frühestens mit dem Inkrafttreten dieses Bundesgesetzes in Kraft gesetzt werden.

(3) § 1 Abs. 1 in der Fassung des Bundesgesetzes BGBl. I Nr. 87/2025 tritt mit Ablauf des Tages der Kundmachung in Kraft.

Mit der Vollziehung dieses Bundesgesetzes sind der Bundesminister für Inneres, der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz, der Bundesminister für Landesverteidigung sowie der Bundesminister für Finanzen, je nach ihrem Wirkungskreis, betraut.

Anhang

Liste der Kategorien gerichtlich strafbarer Handlungen gemäß § 1 Abs. 1