AUA speichert Fluggastdaten fünf Jahre lang

Wer mit Lufthansa und seiner österreichischen Tochter AUA fliegt, muss damit rechnen, dass seine Passagierdaten für fünf Jahre gespeichert werden - und zwar egal, wohin man fliegt. Denn sowohl bei der Lufthansa als auch bei der AUA bestätigte man, dass die "Passenger Name Records" (PNR)-Daten im Rahmen des Buchungssystems Amadeus für diesen Zeitraum aufgehoben werden. Bei Amadeus handelt es sich um ein Buchungssystem, das neben der Lufthansa und AUA auch von den zahlreichen anderen Fluglinien und Reisebüros eingesetzt wird.

"Es gibt eine einheitliche Speicherfrist für PNR-Daten bei Amadeus von fünf Jahren. Eine dreijährige Frist ergibt sich aus der Verjährungsfrist für Schadenersatzansprüche und Forderungen, das bedeutet: So lange müssen wir die Daten aufbehalten, um etwaige Passagieransprüche auch prüfen zu können. Die fünfjährige Frist hat den rechtlichen Grund, dass in manchen Ländern wie z.B. in Spanien diese Anforderung besteht, welche sich vor allem auf PNR-Daten bezieht, die von Reisebüros generiert wurden. Wir müssen all diesen unterschiedlichen Anforderungen gerecht werden. Daher hält Amadeus sämtliche PNR-Daten fünf Jahre vor", bestätigte die AUA-Presseabteilung gegenüber der futurezone.

Was wird gespeichert?
Unter die PNR-Daten Daten fallen nicht nur die Informationen, wann ein Passagier wohin geflogen ist und für welchen Zeitraum, sondern neben dem Namen des Passagiers werden auch die Adresse, Telefonnummer, die Sitzplatz-Nummer, die Kreditkartennummer, Essenswünsche und Informationen über den Gesundheitszustand (z.B. falls jemand einen Rollstuhl benötigt) sowie die Information, mit wem man gereist ist. Zusätzlich werden etwaigige Hotel- und Mietwagenbuchungen vermerkt. Ein PNR-Datensatz enthält in Summe etwa 60 Angaben aus 19 verschiedenen Kategorien.

Doch dürfen die PNR-Daten tatsächlich so lange gespeichert werden? In Deutschland äußerste das Aktionsbündnis "Freiheit statt Angst" erste Zweifel daran. "Vermutlich ist so eine fünfjährige Fluggastdatenspeicherung rechtswidrig, da es keine Rechtsgrundlage für so eine Speicherung gibt. Der Geschäftszweck ist üblicherweise nach der Reise und Abrechnung entfallen", heißt es in einem Blogeintrag.

Gibt es einen "eindeutigen Zweck"?
In Österreich müsse laut Datenschutzgesetz zur Speicherung von Daten ein "eindeutiger Zweck" gegeben sein, erklärte Hans Zeger von der ARGE Daten gegenüber der futurezone. In den ersten drei Jahren der Speicherung ist dieser mit der "Verjährungsfrist für Schadenersatzansprüche" von der AUA begründet, doch der Zweck für die restlichen zwei Jahre ist etwas unklar. "Wenn der Zweck nicht ausreichend definiert ist, dann müssen die Daten eigentlich laut Datenschutzgesetz gelöscht werden", sagte Zeger. Allerdings gebe es in Österreich keine generelle Löschungsverpflichtung von Kundendaten. So würden Kundendaten - beispielsweise zu Marketingzwecken - unendlich lange gespeichert werden dürfen, meint Zeger.

Die AUA betonte in ihrer Stellungnahme gegenüber der futurezone außerdem, dass PNR-Daten, die älter als drei Jahre sind, "logisch separiert und sind nicht mehr mit den üblichen Nutzerberechtigungen und Retrieval-Transaktionen extrahierbar" seien und "nur von Amadeus manuell abgerufen" werden können. Faktisch ist damit eine Sperrung der PNR-Daten gegeben, da die Airlines keinen Zugriff mehr darauf haben." Aus Zegers Sicht würde eine "Sperrung der Daten" allerdings nicht ausreichen, falls tatsächlich kein "eindeutiger Zweck" vorliegen sollte.

Auf der Webseite der AUA zum Thema Datenschutz heißt es, dass persönliche Daten gemäß der in Österreich geltenden gesetzlichen Bestimmungen verarbeitet werden. Zudem weißt die AUA dort auf das Auskunftsrecht hin: "Auf Anforderung teilen wir Ihnen mit, ob und welche persönlichen Daten über Sie bei uns gespeichert sind. Sollten trotz unserer Bemühungen um Datenrichtigkeit und Aktualität falsche Informationen gespeichert sein, werden wir diese auf Ihre Anforderung hin berichtigen. Sie haben jederzeit ein Recht auf Auskunft, Richtigstellung und Löschung Ihrer gespeicherten Daten unter den Voraussetzungen des österreichischen Datenschutzgesetzes." Auf der Webseite finden sich auch gleich die potentiellen Kontaktmöglichkeiten.

Mehr zum Thema

• USA: Beweis für Datamining bei Fluggastdaten
• Fluggastdaten: „Sie dürfen nicht mitfliegen“
• Auch EU will Daten von Flugreisenden sammeln
• EU-Parlament stimmt Fluggastdatenabkommen zu
• "Datensammelwut muss ein Ende haben"
• "Die USA wollen die Fluggastdaten eben haben"
• "Keine Dateneinsicht für Fluggastdaten"