Oberverwaltungsgericht NRW, 16 A 858/21

Tatbestand

Die Klägerin wendet sich gegen eine datenschutzrechtliche Anweisung des Beklagten.

Das – seinerzeitige – Bundesministerium des Innern, für Bau und Heimat (im Folgenden: BMI) erhielt am 9. Juli 2019 mittels einer von der Internetplattform „FragDenStaat.de“ (im Folgenden: FdS) für die einmalige Antragstellung generierten E-Mail-Adresse einen Antrag nach dem Informationsfreiheitsgesetz (IFG) auf Zugang zu amtlichen Informationen in Bezug auf Pfeilabschussgeräte, die aufgrund einer „Über-Lauf-Konstruktion“ nicht unter das Waffengesetz fallen.

Mit E-Mail vom 22. Juli 2019 forderte das BMI den Antragsteller auf, seine Postanschrift zu übermitteln, da diese für die weitere Bearbeitung erforderlich sei. Eine Beantwortung seines Informationsgesuchs könne nur in Schriftform an seine Postanschrift erfolgen, sofern er darüber hinaus keine persönliche E-Mail-Adresse mitteile.

Nachdem der Antragsteller nach weiterem elektronischem Schriftwechsel weder eine Postanschrift noch eine persönliche E-Mail-Adresse mitgeteilt und das BMI sich geweigert hatte, den Antrag ohne die Übermittlung der angeforderten Daten zu bearbeiten, legte der Antragsteller mit E-Mail vom 12. August 2019 bei dem Beklagten Beschwerde nach Art. 77 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutzgrundverordnung – DSGVO) ein.

Nachdem der Beklagte der Klägerin mit Schreiben vom 13. August 2019 Gelegenheit gegeben hatte, zu der Angelegenheit Stellung zu nehmen, und sie mit Schreiben vom 11. November 2019 angehört hatte, wies er sie mit Bescheid vom 11. Februar 2020 (Geschäftsz. 00-000/000#0000) gemäß Art. 58 Abs. 2 Buchst. d) DSGVO an, in Verfahren nach dem Informationsfreiheitsgesetz über die vom Antragsteller hinaus übermittelten Kontaktdaten nur noch dann zusätzliche personenbezogene Daten zu verarbeiten, wenn ein Antrag ganz oder teilweise abzulehnen sein wird oder wenn Gebühren zu erheben sind. Zur Begründung gab er an: Die Anforderung einer postalischen Erreichbarkeit oder einer persönlichen E-Mail-Adresse sei nicht grundsätzlich vor der Bearbeitung von IFG-Anträgen zulässig. Die Regelungen in §§ 35, 41 Verwaltungsverfahrensgesetz (VwVfG) und Art. 6 Abs. 1 UAbs. 1 Buchst. c) DSGVO stellten hierfür keine tauglichen Rechtsgrundlagen dar. Die Daten seien für die Bekanntgabe der Entscheidung über den IFG-Antrag nicht erforderlich, da diese auch an die von FdS generierte E-Mail-Adresse bewirkt werden könne. Die Bekanntgabe des Verwaltungsaktes erfolge auch auf diesem Weg unmissverständlich an die Person, die den Antrag gestellt habe und für die folglich auch der Verwaltungsakt bestimmt sei. Etwas anderes gelte, wenn durch die Bekanntgabe eines belastenden Verwaltungsaktes Rechtsbehelfsfristen in Gang gesetzt würden. Der gegebenenfalls zu erbringende gerichtsfeste Zugangsnachweis sei bei einer Übermittlung an FdS möglicherweise nicht in vergleichbarer Weise wie bei einer Versendung per Post möglich. Erforderlich sei jedoch eine von der Behörde vorzunehmende Prognoseentscheidung im Hinblick auf den Ausgang des Verfahrens.

Hiergegen hat die Klägerin am 6. März 2020 Klage erhoben, mit der sie im Wesentlichen geltend macht: Der Beklagte berufe sich zu Unrecht auf Art. 58 Abs. 2 Buchst. d) DSGVO, weil es ausschließlich um eine Rechtsfrage im Zusammenhang mit dem Informationsfreiheitsgesetz gehe. Die Datenverarbeitung sei nach § 3 Bundesdatenschutzgesetz (BDSG) i. V. m. Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO zulässig; die Beantwortung von Anfragen nach dem Informationsfreiheitsgesetz liege im öffentlichen Interesse und sei gemäß § 1 Abs. 1 IFG eine hoheitliche Aufgabe. Die Erhebung einer Postanschrift sei auch für die Bearbeitung des IFG-Antrages erforderlich. Sie diene der Prüfung, ob ein ordnungsgemäßer – nicht missbräuchlich gestellter – Auskunftsantrag einer existierenden Person vorliege. Eine Identifizierung des Antragstellers sei auch in Drittbeteiligungsverfahren und für die Prüfung des Ablehnungsgrundes aus § 9 Abs. 3 IFG erforderlich. Auch die Pflicht zur ordnungsgemäßen Bekanntgabe nach § 41 Abs. 1 Satz 1 VwVfG mache die Datenverarbeitung erforderlich.

Die Klägerin hat beantragt,

den Bescheid des Beklagten vom 11. Februar 2020 (Geschäftsz. 00-000/000#0000) aufzuheben.

Der Beklagte hat beantragt,

die Klage abzuweisen.

Zur Begründung hat er vorgetragen: Er sei gemäß § 16 Abs. 1 Satz 1 BDSG i. V. m. Art. 58 Abs. 2 Buchst. d) DSGVO befugt, Anweisungen auszusprechen. Weder § 7 Abs. 1 IFG noch § 41 Abs. 1 Satz 1 VwVfG, jeweils in Verbindung mit Art. 6 Abs. 1 UAbs. 1 Buchst. c) oder e) DSGVO stellten taugliche Rechtsgrundlagen für die in Rede stehende Datenverarbeitung dar. Die Bearbeitung von IFG-Anfragen könne ohne die Postanschrift und persönliche E-Mail-Adresse der Antragsteller erfolgen, da gemäß § 7 Abs. 1 IFG jedermann ohne die Einhaltung einer bestimmten Form einen Antrag stellen könne. Die standardmäßige Datenerhebung vor Antragsbearbeitung laufe auf eine Vorratsdatenspeicherung hinaus und verstoße gegen den Grundsatz der Datenminimierung aus Art. 5 Abs. 1 Buchst. c) DSGVO. Selbst wenn Dritte am Verfahren beteiligt seien, sei die Offenlegung der Identität des Antragstellers nicht zwingend erforderlich. Im Hinblick auf den Versagungsgrund aus § 9 Abs. 3 IFG könne man anhand der auf FdS veröffentlichten Informationen erkennen, welche Auskünfte bereits erteilt worden bzw. öffentlich zugänglich seien. Die Gefahr des Rechtsmissbrauchs rechtfertige ebenfalls nicht die Offenlegung der Identität. Über die Plattform FdS könnten keine Auskunftsanträge von Computerskripten gestellt werden, weil sich jeder Antragsteller mittels gültiger E-Mail-Adresse registrieren müsse. Nichts anderes gelte für die Bekanntgabe der verfahrensbeendenden Entscheidung gemäß § 41 Abs. 1 Satz 1 VwVfG. Die standardmäßige Entscheidung durch schriftlichen Bescheid sei ermessensfehlerhaft. Habe der Antragsteller auf elektronischem Weg mit der Behörde Kontakt aufgenommen, sei auch die elektronische Übermittlung des Verwaltungsaktes geboten. Zudem habe der Antragsteller hinsichtlich der Art der Informationsgewährung ein Wahlrecht aus § 1 Abs. 2 Satz 2 IFG zwischen einer mündlichen, schriftlichen oder elektronischen Informationserteilung. Die Erhebung der Postanschrift oder der persönlichen E-Mail-Adresse könne hingegen erforderlich sein, wenn eine Prognoseentscheidung ergebe, dass der Auskunftsantrag wahrscheinlich abgelehnt werde oder ein Gebührenbescheid ergehe. In diesen Fällen sei die Erhebung einer Postanschrift zum sicheren Nachweis des Zugangs und zur Kontrolle des Laufs der Rechtsbehelfsfristen gerechtfertigt.

Der mit Beschluss des Senats vom 18. Januar 2021 zum Verfahren beigeladene P. L. G. Deutschland e. V., der Betreiber der Plattform FdS, hat keinen Antrag gestellt.

Das Verwaltungsgericht hat mit Urteil vom 18. März 2021 der Klage stattgegeben und dazu ausgeführt: Die Datenverarbeitung sei nach Art. 6 Abs. 1 UAbs. 1 Buchst. e) DSGVO i. V. m. § 3 BDSG i. V. m. § 7 Abs. 1 Satz 1 IFG bzw. § 41 Abs. 1 Satz 1 VwVfG gerechtfertigt. Die Erhebung der Postanschrift bzw. der persönlichen E-Mail-Adresse sei bei einem über die Plattform FdS gestellten IFG-Antrag erforderlich, um die Identität des Antragstellers feststellen und das Verwaltungsverfahren in rechtmäßiger Weise durchführen zu können. Das ergebe sich aus der Entstehungsgeschichte des § 7 IFG, den allgemeinen Grundsätzen des Verwaltungsverfahrens sowie dem Sinn und Zweck des Antragserfordernisses. Die Erhebung personenbezogener Daten sei auch für die Prüfung rechtsmissbräuchlicher Anträge, des Ablehnungsgrundes aus § 9 Abs. 3 IFG sowie zur ordnungsgemäßen Durchführung von Drittbeteiligungsverfahren erforderlich.

Der Beklagte hat am 29. März 2021 die vom Verwaltungsgericht zugelassene Berufung gegen das ihm am 23. März 2021 zugestellte Urteil eingelegt. Der Beigeladene hat mit Schriftsatz vom 16. April 2021 ebenfalls Berufung gegen das ihm am 22. März 2021 zugestellte Urteil eingelegt.

Der Beklagte führt ergänzend zu seinem Vorbringen im erstinstanzlichen Verfahren aus: Das Urteil des Verwaltungsgerichts verkehre die Zielsetzung des Informationsfreiheitsgesetzes ins Gegenteil und bürde den Antragstellern unzulässige Hürden auf. Die vom Gericht vorgenommene Differenzierung zwischen einer persönlichen und einer von FdS generierten E-Mail-Adresse sei nicht nachvollziehbar und willkürlich. Jeder Versuch, die Bearbeitung eines IFG-Antrages von der Angabe personenbezogener Daten abhängig zu machen, verstoße gegen das Regelungsgefüge des Informationsfreiheitsgesetzes und das informationelle Selbstbestimmungsrecht. Der Gesetzgeber erlaube die Datenerhebung zur Klärung der Identität nur in Einzelfällen. Die Postanschrift und die E-Mail-Adresse eines Drittanbieters seien hierfür jedoch nicht geeignet. Der streitgegenständliche Bescheid regele nur, dass zusätzliche Daten standardmäßig nicht schon vor Antragsbearbeitung erhoben werden dürften. Der Tenor des Bescheides sei insofern im Lichte der Begründung und auch dahingehend einschränkend auszulegen, dass der Klägerin nicht untersagt werde, personenbezogene Daten zu verarbeiten, wenn es im Einzelfall erforderlich sein sollte.

Der Beklagte beantragt,

das Urteil des Verwaltungsgerichts Köln vom 18. März 2021 - 13 K 1189/20 - zu ändern und die Klage abzuweisen.

Die Klägerin beantragt,

die Berufungen des Beklagten und des Beigeladenen zurückzuweisen.

Zur Begründung führt sie aus: Der angefochtene Bescheid sei bereits rechtswidrig, weil er einen überschießenden Regelungsgehalt aufweise. Nach dessen Tenor beschränke sich die damit getroffene Regelung nicht auf das Verbot einer Verarbeitung personenbezogener Daten im Zeitpunkt vor der Bearbeitung eines IFG-Antrages oder im Zusammenhang mit Anfragen über die Internetplattform FdS. Der Tenor sei vielmehr so weit gefasst, dass grundsätzlich das Verhalten des BMI in künftigen IFG-Verfahren reglementiert werden solle. Der angefochtene Bescheid verbiete jede Datenerhebung für die gesamte Dauer des IFG-Verfahrens, auch dann, wenn die Offenlegung der Identität ausnahmsweise erforderlich sei. Ablehnungsgründe aus dem Informationsfreiheitsgesetz oder etwaige Missbrauchsfälle könnten so nicht zuverlässig geprüft werden. Gleiches gelte in Drittbeteiligungsfällen, die nicht zwangsläufig zur Antragsablehnung führten. Ein Verwaltungsverfahren dürfe auch nicht aus dem Verborgenen heraus geführt werden. Die Plattform FdS werde für sog. Kampagnen genutzt und arbeite mit Computerskripten, Automatisierungen und dem Instrument digitaler Vervielfältigung von IFG-Anträgen. Es handele sich bei der Plattform nicht um einen zuverlässigen E-Mail-Provider, sondern eine Aktivisten- und Veröffentlichungsplattform, die das BMI nicht in seine direkte Kommunikation mit dem IFG-Antragsteller einbeziehen wolle. Die Angabe einer Postanschrift und, wenn der Antragsteller eine Bescheidung auf elektronischem Weg wünsche, einer persönlichen E-Mail-Adresse sei erforderlich, damit das BMI die Person des IFG-Antragstellers hinreichend identifizieren und prüfen könne, ob ein ordnungsgemäßer Antrag vorliege. Das BMI werde durch den Bescheid zudem gezwungen, den rechtsunsichersten Weg der Bekanntgabe – nämlich über die Plattform FdS – zu wählen, wodurch die Formenwahlfreiheit aus § 37 Abs. 2 Satz 1 VwVfG verkürzt werde. Dass eine derartige Verkürzung geboten sei, ergebe sich weder aus § 1 Abs. 2 Satz 2 IFG noch aus § 3a Abs. 1 Satz 1 VwVfG.

Der Beigeladene beantragt,

das Urteil des Verwaltungsgerichts Köln vom 18. März 2021 - 13 K 1189/20 - zu ändern und die Klage abzuweisen.

Er trägt ergänzend vor: Der streitgegenständliche Bescheid verbiete keine im Einzelfall erforderliche Datenerhebung. Computerskripte könnten keine sinnvollen Anfragen über FdS stellen, da in jedem Fall eine spezifische Fragestellung formuliert und ein Registrierungsverfahren durchlaufen werden müsse. Hinter jeder über die Plattform versandten Anfrage stehe eine individuelle Person, die so pseudonym auftreten könne, wie sie es wünsche. Es gebe keinen funktionellen Unterschied zwischen FdS und einem klassischen E-Mail-Provider. Dass Antragsteller nach Beendigung des IFG-Verfahrens nicht mehr über die spezifisch für die jeweilige Anfrage generierte E-Mail-Adresse kontaktiert werden könnten, sei auch bei anderen Kommunikationswegen nicht ausgeschlossen. Letztlich misstraue die Klägerin der Plattform FdS, weil sie sie als politische Aktivistenplattform ansehe.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird ergänzend auf den Inhalt der Gerichtsakte und des beigezogenen Verwaltungsvorgangs des Beklagten Bezug genommen.

Entscheidungsgründe

Die zulässigen Berufungen des Beklagten und des Beigeladenen haben keinen Erfolg. Die Klage der Klägerin ist zulässig (s. A.) und begründet (s. B.).

A. Die Klage ist als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft, weil es sich bei der mit Bescheid vom 11. Februar 2022 gemäß Art. 58 Abs. 2 Buchst. d) DSGVO erfolgten Anweisung des BMI, deren Aufhebung die Klägerin begehrt, um einen Verwaltungsakt i. S. v. § 35 Satz 1 VwVfG handelt.

Vgl. Polenz, in: Simitis/Hornung/Spieker, Datenschutzrecht, 2019, Art. 58 DSGVO Rn. 7; Boehm, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, Art. 58 DS-GVO Rn. 24; Eichler, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. Mai 2022), Art. 58 Rn. 25.

Die Klage ist auch im Übrigen zulässig; insbesondere ist sie – abweichend von § 78 Abs. 1 Nr. 1 VwGO – nicht gegen die Bundesrepublik Deutschland, sondern gemäß § 20 Abs. 5 Satz 1 Nr. 2 BDSG gegen den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zu richten. Nach dieser Vorschrift ist Beteiligter eines Verfahrens nach Abs. 1 Satz 1 die Aufsichtsbehörde als Beklagte oder Antragsgegnerin. Das ist vorliegend gemäß § 9 Abs. 1 Satz 1 BDSG der BfDI, der nach § 20 Abs. 4 BDSG auch beteiligungsfähig ist.

Es handelt sich bei diesem Verfahren auch um ein Verfahren nach § 20 Abs. 1 Satz 1 BDSG. Derartige Verfahren sind solche, in denen es um Streitigkeiten zwischen einer natürlichen oder einer juristischen Person und einer Aufsichtsbehörde des Bundes oder eines Landes über deren Entscheidungen i. S. v. Art. 78 Abs. 1 DSGVO oder § 61 Abs. 1 BDSG geht.

Vorliegend handelt es sich um ein Verfahren i. S. v. Art. 78 Abs. 1 DSGVO, wonach jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden Beschluss einer Aufsichtsbehörde hat. Die Klägerin wendet sich gegen eine Anweisung nach Art. 58 Abs. 2 Buchst. d) DSGVO, also gegen einen sie betreffenden Beschluss einer Aufsichtsbehörde in diesem Sinne.

Vgl. Boehm, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 78 DSGVO Rn. 7.

B. Die Klage hat auch in der Sache Erfolg. Der Bescheid des Beklagten vom 11. Februar 2020 ist mit dem ihm zukommenden Regelungsinhalt (s. I.) rechtswidrig und verletzt die Klägerin in ihren Rechten, § 113 Abs. 1 Satz 1 VwGO (s. II.).

I. Durch die in dem angefochtenen Bescheid ausgesprochene Anweisung, in Verfahren nach dem Informationsfreiheitsgesetz über die vom Antragsteller hinaus übermittelten Kontaktdaten nur noch dann zusätzliche personenbezogene Daten zu verarbeiten, wenn ein Antrag ganz oder teilweise abzulehnen sein wird oder wenn Gebühren zu erheben sind, wird dem BMI in derartigen Verfahren die Verarbeitung jeglicher weiterer personenbezogener Daten über die nach der Anweisung zulässige Datenverarbeitung hinaus verwehrt. Soweit der Beklagte dementgegen im Berufungsverfahren geltend macht, er habe kein generelles Verbot der Verarbeitung personenbezogener Daten bei der Bearbeitung von IFG-Anträgen angeordnet, sondern lediglich untersagt, neben der bereits vorliegenden Kontakt-Adresse standardmäßig weitere personenbezogene Daten bereits nach Antragseingang anzufordern, soweit eine Erforderlichkeit hierfür im Einzelfall nicht ausnahmsweise bestehe oder absehbar sei, ist für ein derartiges einschränkendes Verständnis der Regelung angesichts des insoweit unmissverständlichen Wortlauts des Tenors kein Raum. Anhaltspunkte für eine gegenteilige Annahme lassen sich im Übrigen auch nicht den Gründen des Bescheides entnehmen, die bei der Ermittlung des Regelungsinhaltes eines Verwaltungsaktes ebenfalls in den Blick zu nehmen sind.

Vgl. BVerwG, Beschluss vom 30. Juni 2011 - 3 B 87.10 -, juris, Rn. 3; Stelkens, in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, 9. Aufl. 2018, § 35 Rn. 76.

Zwar wird in der Begründung des Bescheides ausgeführt, dass die Anweisung mit Blick auf die Praxis des BMI ergangen ist, Daten zur postalischen Erreichbarkeit bereits vor Aufnahme einer sachlichen Bearbeitung eines IFG-Antrages anzufordern, soweit diese – wie bei einer Antragstellung mittels einer durch die Plattform FdS generierten E-Mail – nicht mit der Antragstellung mitgeteilt werden (vgl. S. 5 ff. des Bescheides vom 11. Februar 2020). Allein dies rechtfertigt aber nicht den Schluss, dass dem BMI mit der Anweisung entgegen der im Tenor getroffenen eindeutigen Regelung nur eine standardmäßige Erhebung der zu diesem Zeitpunkt noch nicht bekannten Postanschrift eines IFG-Antragstellers verboten werden sollte.

Es kommt auch keine nachträgliche Relativierung des Regelungsinhaltes dahingehend in Betracht, dass die Anweisung im Bescheid vom 11. Februar 2020 in dem Sinn verstanden werden soll, dass weitere, gegebenenfalls auch zulässige Datenverarbeitungsvorgänge von ihr nicht erfasst sein sollen, wie es der Beklagte wohl mit den Ausführungen in seinem Schriftsatz vom 23. März 2022 geltend machen will. Eine derartige nachträgliche Relativierung des Regelungsinhaltes der Anweisung ist durch bloße Erklärungen im gerichtlichen Verfahren nicht möglich. Vielmehr hätte es insoweit einer Änderung des angefochtenen oder des Erlasses eines neuen Bescheides bedurft.

II. Die in dem angefochtenen Bescheid ausgesprochene, auf Art. 58 Abs. 2 Buchst. d) DSGVO gestützte Anweisung ist – mit dem zuvor dargelegten Regelungsinhalt – zumindest nicht vollständig von der Ermächtigungsgrundlage des Art. 58 Abs. 2 Buchst. d) DSGVO gedeckt (s. 1.) und in ihrem Regelungsgehalt nicht teilbar (s. 2.).

1. Nach Art. 58 Abs. 2 Buchst. d) DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen.

Mit einer Anweisung nach Art. 58 Abs. 2 Buchst. d) DSGVO kann die Aufsichtsbehörde – hier der Beklagte – nur Verarbeitungsvorgänge untersagen, die mit den Vorgaben der Datenschutzgrundverordnung nicht in Einklang stehen. Diese Voraussetzung erfüllt die in dem angefochtenen Bescheid ausgesprochene Anweisung zumindest nicht vollständig. Denn durch sie wird das BMI in IFG-Verfahren auch in nach der Datenschutzgrundverordnung zulässigen Fällen an der Verarbeitung personenbezogener Daten gehindert.

Nach Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO ist die Datenverarbeitung (nur) rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt (Buchst. c)), oder wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Buchst. e)). Diese Vorschriften vermögen zwar für sich genommen einen Verarbeitungsvorgang nicht zu rechtfertigen, sondern bedürfen gemäß Art. 6 Abs. 3 DSGVO einer Konkretisierung bzw. einer – nach dem Wortlaut der Norm – „Festlegung“ im Unionsrecht oder im Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Eine solche Festlegung enthält aber § 3 BDSG, der für alle Verarbeitungen innerhalb des Anwendungsbereiches der Datenschutzgrundverordnung, der Richtlinie (EU) Nr. 2016/680 sowie im rein nationalen Recht gilt. Diese Vorschrift wurde in Umsetzung des Gesetzgebungsauftrages aus Art. 6 Abs. 3 Satz 1 Buchst. b) i. V. m. Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO geschaffen,

vgl. BT-Drucks. 18/11325, S. 81; Wolff, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. November 2021), § 3 BDSG Rn. 1; Starnecker, in: Gola/Heckmann, Bundesdatenschutzgesetz, 13. Aufl. 2019, § 3 Rn 1,

und stellt insoweit eine (zulässige) allgemeine Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen dar,

ebenso: Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 6 Abs. 1 DSGVO Rn. 84; Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 1 ff.; a. A. Frenzel, in: Paal/Pauly, DS-GVO, BDSG, 3. Aufl. 2021, § 3 BDSG Rn. 1 f.

Die Regelung in § 3 BDSG ermöglicht dem BMI im Rahmen der Bearbeitung von Anträgen auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz die Verarbeitung von personenbezogenen Daten auch in solchen Fällen, in denen ihm eine derartige Datenverarbeitung durch die Anweisung des Beklagten untersagt ist. Nach dieser Vorschrift ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle (s. a)) zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde (s. b)), erforderlich ist (s. c)).

a) Bei dem BMI handelt es sich als oberste Bundesbehörde um eine öffentliche Stelle i. S. v. § 2 Abs. 1, § 3 BDSG.

b) Die Verarbeitung der von der Anweisung des Beklagten erfassten personenbezogenen Daten, d. h. die personenbezogenen Daten, die im Rahmen eines Verfahrens auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz vom BMI verarbeitet werden, erfolgt auch zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben und zudem in Ausübung öffentlicher Gewalt. Das BMI ist als Behörde, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, gemäß Art. 4 Nr. 7 DSGVO Verantwortlicher i. S. v. § 3 BDSG.

Die in Rede stehende Datenverarbeitung erfolgt darüber hinaus zur Erfüllung der in der Zuständigkeit des BMI liegenden Aufgabe, nämlich der Entscheidung über Anträge auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz, die von Behörden des Bundes begehrt werden (vgl. § 1 Abs. 1 IFG). Wird der Behörde – wie hier nach dem Informationsfreiheitsgesetz – die Entscheidung über einen Antrag übertragen, gehört hierzu die für die Durchführung des Verfahrens erforderliche Datenverarbeitung, insbesondere auch die Erhebung der für die Prüfung der formellen und materiellen Voraussetzungen notwendigen personenbezogenen Daten.

Das BMI nimmt zudem als informationsführende Stelle mit der Prüfung des ihm gegenüber geltend gemachten Anspruchs auf Zugang zu amtlichen Informationen eine öffentliche Aufgabe im vorstehenden Sinne wahr und kann die in Ausübung dieser Aufgabe erforderlichen personenbezogenen Daten in zulässiger Weise verarbeiten.

c) Schließlich kann auch eine Erforderlichkeit der Verarbeitung personenbezogener Daten (s. aa)) in solchen Fällen gegeben sein, in denen dem BMI eine derartige Datenverarbeitung nach der Anweisung des Beklagten verwehrt ist (s. bb)).

aa) Der Begriff der Erforderlichkeit in § 3 BDSG ist am Maßstab von Art. 5 und 6 DSGVO zu bestimmen. Denn die Datenschutzgrundverordnung genießt als Bestandteil des Unionrechts Anwendungsvorrang mit der Folge, dass – soweit ihre Regelungen nicht ohnehin unmittelbar anwendbar sind – mitgliedstaatliches Recht europarechtskonform auszulegen ist.

Vgl. grundlegend zum Anwendungsvorrang: EuGH, Urteile vom 15. Juli 1964 - 6/64 (Costa/E.N.E.L.) -, Slg. 10, 1251, und vom 9. März 1978 - C-106/77 (Simmenthal II) -, juris, Rn. 17/18 ff.

Insbesondere sind hierbei die Grundsätze der Zweckbestimmung aus Art. 5 Abs. 1 Buchst. b) DSGVO und der Datenminimierung aus Art. 5 Abs. 1 Buchst. c) DSGVO zu berücksichtigen.

Nach dem Grundsatz der Zweckbestimmung dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (Art. 5 Abs. 1 Buchst. b) DSGVO, vgl. auch Satz 6 des Erwägungsgrundes 39 zur DSGVO).

Der Grundsatz der Datenminimierung besagt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen (Art. 5 Abs. 1 Buchst. c) DSGVO, vgl. auch Satz 7 des Erwägungsgrundes 39 zur DSGVO). Ob eine Datenverarbeitung im Einzelfall „erforderlich“ ist, bemisst sich nach diesen Grundsätzen,

vgl. Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 13; Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. November 2021), Art. 6 DS-GVO Rn. 18; Starnecker, in: Gola/Heckmann, Bundesdatenschutzgesetz, 13. Aufl. 2019, § 3 Rn. 27 f.,

wobei bei der Beurteilung der Erforderlichkeit ein strenger Maßstab anzulegen ist,

vgl. Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 14.

Nach der Rechtsprechung des Gerichtshofs der Europäischen Union ist eine Datenverarbeitung erforderlich, wenn sie „auf das absolut Notwendige“ beschränkt ist.

Vgl. EuGH, Urteile vom 16. Dezember 2008- C-73/07 (Satakunnan Markkinapörssi und Sata-media) -, juris, Rn. 56, vom 8. April 2014- C-293/12 (Digital Rights Ireland u. a) -, juris, Rn. 52, und vom 6. Oktober 2015 - C-362/14 (Schrems I) -, juris, Rn. 92.

bb) Auch unter Berücksichtigung des danach gebotenen strengen Prüfungsmaßstabes kann für das BMI im Rahmen eines Verfahrens auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz die Verarbeitung personenbezogener Daten in Fällen erforderlich sein, in denen ihm dies durch die Anweisung des Beklagten untersagt ist. Dies kommt etwa dann in Betracht, wenn Grund zu der Annahme besteht, dass der Antragsteller nicht zu den informationsberechtigten Personen zählt (s. (1)), wenn der Verdacht besteht, dass der Antrag auf Informationszugang rechtsmissbräuchlich gestellt wurde (s. (2)), wenn Dritte am Verfahren beteiligt sind (s. (3)) oder wenn der Antragsteller bereits über die begehrten Informationen verfügt (s. (4)).

(1) Die einzige materielle, im Informationsfreiheitsgesetz geregelte Voraussetzung für den Anspruch auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz ist die Anspruchsberechtigung.

Berechtigt ist gemäß § 1 Abs. 1 IFG grundsätzlich „jeder“. Darunter fallen natürliche Personen, Personenvereinigungen sowie juristische Personen des Privat- und des öffentlichen Rechts.

Vgl. Brink, in: Brink/Polenz/Blatt, Informationsfreiheitsgesetz, 2017, § 1 Rn. 69 ff.; Schoch, Informationsfreiheitsgesetz, 2. Aufl. 2016, § 1 Rn. 53 ff.; nach der Gesetzesbegründung sollen juristische Personen des öffentlichen Rechts, Bürgerinitiativen und Verbände nicht anspruchsberechtigt sein, vgl. BT-Drucks. 15/4493, S. 7.

Auch wenn in der Regel davon auszugehen ist, dass es sich bei einem Antragsteller um einen in diesem Sinne Berechtigten handelt, sind jedenfalls Fälle, in denen gleichwohl fraglich sein kann, ob der Antrag überhaupt von einer existierenden Person stammt, nicht von vornherein auszuschließen. Es erscheint mit den heutigen Mitteln der Informationstechnologie zumindest nicht unmöglich, dass IFG-Anträge – von wem auch immer – mittels Computerprogrammen generiert und versendet werden können. Um sicherzustellen, dass es sich um einen Antrag eines nach § 1 Abs. 1 IFG Berechtigten handelt, kann bei auf tatsächliche Anhaltspunkte gestützten Zweifeln die Erhebung von zusätzlichen personenbezogenen Daten erforderlich sein. Ob dies im Einzelfall die Vorlage eines Identifikationsnachweises einer Person, etwa eines Personalausweises oder Reisepasses, Registereintragungen einer juristischen Person oder sonstige Daten sind bzw. sein können, bedarf angesichts der Untersagung der Verarbeitung jeglicher zusätzlicher personenbezogener Daten über die nach der hier streitgegenständlichen Anweisung zulässigen Datenverarbeitung hinaus keiner weitergehenden Ausführungen.

(2) Gleichermaßen kann die Verarbeitung weiterer personenbezogener Daten bei Anhaltspunkten für eine rechtsmissbräuchliche Antragstellung erforderlich sein.

Von einer rechtsmissbräuchlichen Antragstellung, die, weil der Antragsteller nicht darlegen muss, zu welchen Gründen er die Information begehrt und zu welchem Zweck er sie nutzen will, nur in eng begrenzten Ausnahmefällen angenommen werden kann, ist auszugehen, wenn es dem Antragsteller gar nicht um die begehrte Information geht, er vielmehr andere, von der Rechtsordnung missbilligte Zwecke verfolgt, etwa den Zweck, die in Anspruch genommene Behörde lahmzulegen.

Vgl. BVerwG, Urteil vom 24. November 2020 - 10 C 12.19 -, juris, Rn. 12 ff.; Hess. VGH, Beschluss vom 24. März 2010 - 6 A 1832/09 -, juris, Rn. 8.

Bei Anhaltspunkten für einen derartigen Antrag, etwa bei einer Vielzahl gleichlautender Anträge,

vgl. auch: BVerwG, Urteil vom 24. November 2020 - 10 C 12.19 -, juris, Rn. 18,

kann es erforderlich sein, zusätzliche personenbezogene Daten zu erheben. Die Erhebung derartiger Daten kann gegebenenfalls Aufschluss darüber geben, ob es sich nur um einen oder nur um wenige Antragsteller handelt, der oder die eine Vielzahl gleichlautender Anträge gestellt hat bzw. haben.

(3) Auch in Fällen der Drittbeteiligung nach § 5 Abs. 1 Satz 1 IFG kann die Verarbeitung, insbesondere die Erhebung weiterer personenbezogener Daten, für das BMI erforderlich werden.

Sind Dritte am Verfahren beteiligt, darf der Zugang zu personenbezogenen Daten nach der genannten Vorschrift nur gewährt werden, soweit das Informationsinteresse des Antragstellers das schutzwürdige Interesse des Dritten am Ausschluss des Informationszugangs überwiegt oder der Dritte eingewilligt hat (§ 5 Abs. 1 Satz 1 IFG). Hierzu ist nach der Vorstellung des Gesetzgebers der Dritte über die Identität des Antragstellers zu unterrichten, bevor er über seine Zustimmung zur Freigabe seiner personenbezogenen Daten oder seiner Betriebs- oder Geschäftsgeheimnisse entscheidet.

Vgl. BT-Drucks. 15/4493, S. 14.

Sollte sich die Identität des Antragstellers nicht zweifelsfrei aus den von ihm mit der Antragstellung mitgeteilten Daten ergeben, kann es erforderlich sein, die für die Identitätsfeststellung notwendigen personenbezogenen Daten nachträglich zu erheben.

Ein Erfordernis für die Verarbeitung weiterer personenbezogener Daten kann sich insoweit auch aus der Regelung in § 8 Abs. 2 Satz 1 IFG ergeben, wonach die dem IFG-Antrag stattgebende Entscheidung nach § 7 Abs. 1 Satz 1 IFG in Drittbeteiligungsverfahren schriftlich ergeht und auch dem Dritten bekannt zu geben ist. Die Bekanntgabe des schriftlichen Bescheides kann unter Umständen die Erhebung weiterer personenbezogener Daten erfordern, wenn der Betroffene beispielsweise mit der Antragstellung keine Anschrift mitgeteilt oder keine elektronische Zugangsmöglichkeit nach § 3a Abs. 2 Satz 1 VwVfG, d. h. mit elektronischer Signatur oder einer anderen in § 3a Abs. 2 Satz 2 bis 4 VwVfG genannten Form der Identifizierung, eröffnet hat.

(4) Für die Erhebung weiterer personenbezogener Daten eines IFG-Antragstellers kann ferner eine Erforderlichkeit bestehen, wenn Anhaltspunkte dafür vorliegen, dass er bereits über die begehrten Informationen verfügt (§ 9 Abs. 3 IFG).

Ergibt etwa die Prüfung innerhalb der Behörde, dass dort bereits eine inhaltsgleiche Anfrage gestellt wurde, und kann anhand der bereits übermittelten Daten kein Abgleich der Antragsteller erfolgen, etwa wegen einer Namensgleichheit, kann die Erhebung weiterer personenbezogener Daten gerechtfertigt sein.

Soweit der Beklagte diesbezüglich der Auffassung ist, die informationspflichtige Stelle könne anhand der auf der Plattform FdS veröffentlichten Informationen ersehen, welche Auskünfte bereits erteilt worden seien, kann das BMI – ungeachtet der Frage der Zumutbarkeit – bereits deshalb nicht auf eine solche Verfahrensweise verwiesen werden, weil zum einen nicht davon ausgegangen werden kann, dass sämtliche bei ihm eingegangenen IFG-Anträge über diese Plattform gestellt worden sind. Zum anderen ist nicht ersichtlich, dass jede über diese Plattform erteilte Information dort veröffentlicht worden ist. Denn eine Veröffentlichung der Informationen, die ein Antragsteller auf diesem Weg erhalten hat, kann nach den Nutzungsbedingungen von FdS nur mit Einverständnis des Antragstellers erfolgen.

Vgl. Nutzungsbedingungen von FragdenStaat.de, B.1.3, abrufbar unter:https://fragdenstaat.de/nutzungsbedingungen, zuletzt abgerufen am: 15. Juni 2022.

Ob es neben dieser exemplarischen Aufzählung weitere Fälle gibt, in denen die Verarbeitung zusätzlicher personenbezogener Daten über die nach der Anweisung des Beklagten zulässigen Fälle hinaus erforderlich sein kann, bedarf vorliegend keiner Entscheidung.

Denn schon aufgrund dessen, dass das BMI in den aufgezeigten Fällen durch die hier in Rede stehende Anweisung gehindert ist, über die von einem Antragsteller mitgeteilten Daten hinaus weitere personenbezogene Daten, die für die Wahrnehmung der ihm obliegenden Aufgaben erforderlich sein können, zu verarbeiten, ist der angefochtene Bescheid jedenfalls insoweit rechtswidrig.

2. Der Bescheid des Beklagten vom 11. Februar 2020 ist insgesamt aufzuheben. Eine Aufrechterhaltung in Teilen, d. h. soweit die darin erfolgte Anweisung gegebenenfalls rechtmäßig sein sollte, kommt nicht in Betracht. Denn die Regelung, die durch den angefochtenen Bescheid getroffen wird, ist nicht teilbar. Die Teilbarkeit eines Verwaltungsaktes – um einen solchen handelt es sich wie bereits ausgeführt bei einer Anweisung i. S. v. Art. 58 Abs. 2 Buchst. d) DSGVO – ist nur dann zu bejahen, wenn die rechtlich unbedenklichen Teile nicht in einem untrennbaren inneren Zusammenhang mit dem rechtswidrigen Teil stehen, sondern als selbständige Regelungen weiter existieren können, ohne ihren Bedeutungsinhalt zu verändern.

Vgl. BVerwG, Beschluss vom 1. Juli 2020 - 3 B 1.20 -, juris, Rn. 14.

Diese Voraussetzungen sind nicht gegeben. Denn bei der hier in Rede stehenden Anweisung handelt es sich um eine einheitliche Ermessensentscheidung des Beklagten,

vgl. dazu Polenz, in: Simitis/Hornung/Spieker, Datenschutzrecht, 2019, Art. 58 DSGVO Rn. 6; Eichler, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. Mai 2022), Art. 58 DS-GVO, Rn. 18,

die vom Gericht nicht geteilt werden kann.

Die Kostenentscheidung beruht auf § 154 Abs. 2 und 3, § 162 Abs. 3, § 159 VwGO i. V. m. § 100 Abs. 1 ZPO. Es entspricht der Billigkeit, dass der Beigeladene seine im erstinstanzlichen Verfahren entstandenen außergerichtlichen Kosten selbst trägt. Er hat im erstinstanzlichen Verfahren keinen Antrag gestellt und sich damit keinem Kostenrisiko ausgesetzt und das Verfahren nicht wesentlich gefördert. Die Kosten des Berufungsverfahrens waren dem Beigeladenen hingegen wie aus dem Tenor ersichtlich aufzuerlegen, weil er das Rechtsmittel selbst eingelegt und Anträge gestellt hat.

Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 Abs. 2 und 1 VwGO i. V. m. § 708 Nr. 10, § 711 Sätze 1 und 2, § 709 Satz 2 ZPO.