Flugpassagierdaten: Schweiz prüft ab 2027 alle Auslandsflüge
Das neue Flugpassagierdatengesetz bringt eine zentrale Prüfstelle bei fedpol. Die meisten Datensätze werden nach sechs Monaten gelöscht – doch Risikoprofile und die Speicherung Unverdächtiger bleiben umstritten.
Der Bundesrat hat den Starttermin gesetzt: Das Flugpassagierdatengesetz tritt am 1. November 2026 in Kraft, am 1. Februar 2027 nimmt die neue Passenger Information Unit (PIU) beim Bundesamt für Polizei ihre Arbeit auf. Damit wird die Schweiz Buchungs- und Reisedaten von Passagieren internationaler Flüge systematisch mit Polizei- und Risikodaten abgleichen.
Die entscheidende Einordnung lautet: Reisende müssen bei der Buchung keine neuen Angaben machen. Erfasst werden Daten, welche Airlines und Reisebüros ohnehin speichern. Neu ist, dass sie für alle Flüge vom Ausland in die Schweiz und von der Schweiz ins Ausland an fedpol übermittelt und für die Bekämpfung von Terrorismus sowie gesetzlich aufgezählten schweren Straftaten ausgewertet werden.
Mehr als Name und Flugnummer
Der gesetzliche Datensatz ist breit. Er kann Namen, Kontaktangaben, Buchungscode, Reiseroute, Zahlungsart, Sitzplatz, Gepäck, Vielfliegerdaten, Reisebüro und Mitreisende umfassen. Die Fluggesellschaften liefern die vorhandenen Informationen zweimal: zwischen 48 und 24 Stunden vor dem geplanten Abflug sowie unmittelbar nach Abschluss des Boardings.
Besonders schützenswerte Angaben wie ethnische Herkunft, politische Meinung, Religion, Gesundheit oder sexuelle Orientierung gehören laut fedpol nicht zum PNR-Datensatz. Die Behörde darf die übermittelten Daten nur für Delikte verwenden, die das Gesetz ausdrücklich nennt. Dazu zählen neben terroristischen Straftaten etwa Menschenhandel, schwere Drogendelikte, organisierter Diebstahl, Geldwäscherei und bestimmte Formen der Cyberkriminalität.
Ein Algorithmus liefert noch keinen Polizeifall
Die PIU gleicht die Datensätze automatisch mit polizeilichen Informationssystemen, Beobachtungslisten und Risikoprofilen ab. Ein technischer Treffer darf jedoch nicht ungeprüft an eine Polizei- oder Strafverfolgungsbehörde weitergehen. Mitarbeitende der PIU müssen jede Übereinstimmung manuell kontrollieren und die Identität klären.
Auch die Zugriffe sind gestaffelt. Polizeibehörden erhalten keinen freien Zugang zur gesamten PNR-Datenbank. Die PIU gibt überprüfte Treffer weiter oder recherchiert auf einen begründeten schriftlichen Antrag hin. Risikoprofile dürfen Kombinationen von Reisedaten enthalten, aber nicht auf eine bestimmte Person zugeschnitten sein. Beobachtungslisten mit Personenbezug benötigen dagegen einen direkten Zusammenhang mit einer im Gesetz genannten Straftat.
Die neue Stelle beginnt kleiner, als es der Umfang der Aufgabe vermuten lässt. 2027 startet sie mit acht Mitarbeitenden und eingeschränktem Betrieb. Für 2028 sind 14 Stellen vorgesehen; für den Vollbetrieb ab 2030 rechnet der Bund mit rund 30 Vollzeitstellen. Der Aufbau erfolgt schrittweise nach Betriebszeiten, Datenmenge und Zahl der angeschlossenen Flugstrecken.
Der Datenschutzkonflikt beginnt bei Unverdächtigen
Der stärkste Schutzmechanismus liegt in den Löschfristen. Daten ohne Markierung werden nach einem Monat automatisch pseudonymisiert und nach sechs Monaten gelöscht. Markierte Datensätze dürfen höchstens fünf Jahre gespeichert bleiben. Wer pseudonymisierte Informationen wieder einer Person zuordnen will, benötigt grundsätzlich die Zustimmung des Bundesverwaltungsgerichts. In dringenden Fällen kann die fedpol-Direktion vorläufig entscheiden, muss die Genehmigung aber nachholen.
Damit reagierte der Gesetzgeber auf grundrechtliche Einwände. Gelöst ist der Konflikt trotzdem nicht: Auch Daten von Menschen ohne jeden Verdacht bleiben zunächst einen Monat direkt zuordenbar und insgesamt sechs Monate gespeichert. Die Staatspolitische Kommission des Nationalrates hatte verlangt, diese Vorratshaltung ohne Hinweis auf Terrorismus oder Schwerstkriminalität ganz zu streichen. Im Parlament setzten sich weitergehende Anträge zum Datenschutz jedoch nicht durch.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte prüfte die Datenschutz-Folgenabschätzung und verlangte Präzisierungen. Er beaufsichtigt künftig die Datenbearbeitung der PIU. Passagiere müssen bei der Buchung über die Weitergabe informiert werden und können bei fedpol Auskunft über die Bearbeitung ihrer Daten verlangen.
Entscheidend wird die Praxis ab Februar
Das Gesetz schafft somit weder eine schrankenlose Passagierdatenbank noch eine rein punktuelle Fahndung nach bereits bekannten Verdächtigen. Es führt eine systematische Prüfung aller internationalen Flugreisen ein, begrenzt die Nutzung aber durch Deliktkatalog, manuelle Kontrolle, Pseudonymisierung, Löschfristen und Aufsicht.
Ob diese Sicherungen genügen, wird sich erst im Betrieb zeigen. Entscheidend sind nicht nur die Zahl der entdeckten schweren Straftaten, sondern ebenso die Häufigkeit falscher Treffer, die Qualität der Risikoprofile und der Nachweis, dass Daten Unverdächtiger tatsächlich fristgerecht verschwinden.
Quellen
- Bundesrat: Inkraftsetzung des Flugpassagierdatengesetzes
- Bundesversammlung: Flugpassagierdatengesetz vom 21. März 2025
- fedpol: Themenseite zum Flugpassagierdatengesetz
- EJPD: Bekämpfung von Terrorismus und Schwerstkriminalität mit PNR
- Parlament: Datenschutzfragen und Forderung gegen Vorratsdatenspeicherung
- EDÖB: Tätigkeitsbericht 2024/2025
