II - ,,_., ii ßf91 POSTANSCHRIFT Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Ulrich Kelber Bundesbeauftragter für den Datenschutz und die Informationsfreiheit Der Bundesbeauftra&te für den Datenschutz und die Informationsfreiheit Postfach 1468, 53004 Bonn Staatssekretär des Bundesministeriums des lnnern, für Bau und Heimat Herrn Hans-Georg Engelke Alt-Moabit 140 10557 Berlin HAUSANSCHRIFT FON FAX E·IWL INTERNET DATUM GESCHÄFTSZ. Husarenstraße 30, 53117 Sonn (0228) 997799-5000 (0228) 997799-5550 referat25@bfdi.bund.de www.datenschutz.bund.de Sonn, 11.02.2020 25-206/001#1033 Bitte pben Sie du vorstehende GeKhiftszelchen belaDen Antwortlehreiben unbedlnat an. BETREFF Datenschutzverstoß bei der Bearbeitung eines IFG-Antrags Sehr geehrter Herr Engelke, hiermit ergeht gemäß Art. 58 Abs. 2 Datenschutz-Grundverordnung (DSGVO) folgender BESCHEID 1. Ich weise das Bundesministerium des lnnern, für Bau und Heimat (BMI) gemäß Art. 58 Abs. 2 Buchst. d) DSGVO an, in Verfahren nach dem Informationsfreiheitsgesetz über die vom An~ragsteller hinaus übermittelten Kontaktdaten nur noch dann zusätzliche personenbezogene Daten zu verarbeiten, wenn ein Antrag ganz oder teilweise abzulehnen sein wird oder wenn Gebühren zu erheben sind. 2. Kosten werden nicht erhoben~ Begründung I. Mit E-Mail vom 9. Juli 2019 beantragte der spätere Beschwerdeführer im bei Ihnen unter dem Aktenzeichen Zll4-13002/4#2050 geführten Verfahren über die Plattform fragdenstaat.de die Zusendung eines "Verzeichnis[ses] von Informationen, Akten, 4623/2020 ZUSTELL· UND LIEFERAHSCHRIFT VERKEHRSANBINDUNG Husarenstraße 30,53117 Bonn Straßenbahn 61, Husarenstraße

Ii ßf!)I Seitel von 1 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Vorgängen, Vorhaben, Entwürfen u.ä., die Ihnen zu Pfeilabschus~geräten vorliegen, die aufgrund einer ,Über-Lauf-Konstruktion' nicht unter das Waffengesetz fallen, wie dies u.a. im Feststellungsbescheid des Bundeskriminalamts vom 29.04.2015 (BAnz AT 15.05.2015 BS) beschrieben ist.". Mit E-Mail vom 22. Juli 2019 baten Sie den Beschwerdeführer über die Plattform fragdenstaat.de um Übermittlung seiner Postanschrift Zu Begründung führten Sie aus, dass gern.§ 41 Abs. 1 Satz 1 VwVfG ein Verwaltungsakt demjenigen gegenüber bekanntzugeben sei, für den er bestimmt ist. Der Zeitpunkt der Bekanntgabe setze eine Rechtsbehelfsfrist in Gang. Die Bekanntgabe an den Beschwerdeführer persönlich sei bei einer Übermittlung an die angegebene E-Mail-Adresse der Internetseite nicht sichergestellt. Darüber hinaus sei der Zeitpunkt der Bekanntgabe für die Behörde nicht erkennbar. Eine Beantwortung seines Informationsgesuches könne deshalb nur in Schriftform an seine Postanschrift erfolgen, sofern er darüber hinaus keine persönliche E-Mail:Adresse mitteile. Mit E-Mail vom gleichen Tag antwortete der Beschwerdeführer, dass für die Feststellung der Identität des Antragstellers beispielsweise durch postalische Kommunikation grundsätzlich keine Befugnis bestehe. Dies sei auch unmittelbare Konsequenz der Formlosigkeit des Verfahrens. Soweit ein Empfänger dies eröffne- was er getan habe- sei eine elektronische Bekanntgabe der Verwaltungsentscheidung sowie Auskunft ebenso denkbar. Auch sei sichergestellt, dass eine Bekanntgabe an ihn persönlich erfolge. Die Software der Internetseite sei öffentlich dokumentiert. Mit Zustellung an die E-Mailadresse der Plattform sei die Zustellung grundsätzlich iSv RFC 5321 Sec. 4.2 mittels Return-Code "250 OK" bestätigt; zivilrechtlich sei dies bereits durch das LG Bonn im Hinblick auf den Zugang untersucht worden. Darüber hinaus seien Antworten an Postfächer bei "Frag den Staat" grundsätzlich öffentlich einsehbar. Zudem werde ein Antragsteller bei Zugang einer E-Mail an ein E-Mail-Postfach bei "Frag den Staat" zusätzlich an eine persönliche E-Mail- Adresse benachrichtigt. Soweit es darauf ankomme, sei "Frag den Staat" aufgrund seiner Funktionsweise und Nutzungsbedingungen auch selbst als E-Mail-Provider anzusehen (https://fragdenstaat.de/nutzungsbedingungen/). Er forderte Sie daher dazu auf, seinen Antrag in der gewünschten Form zu bearbeiten. ln Ihrer Erwiderung vom gleichen Tag führten Sie aus, dass nach der Gesetzesbegründung zum Informationsfreiheitsgesetz die Behörde die Identität des Antragstellers feststellen können müsse. Erst nach Mitteilung von Namen und zustellungsfähiger Postadresse eines IFG-Antragstellers bestehe daher ein Rechtsanspruch auf Beantwortung. Die Tatsache, dass in§ 71FG die Frage der Notwendigkeit einer Identifikation des Antragstellers nicht explizit geregelt sei, schließe die ergänzende Heranziehung des VwVfG nicht aus.

.··, \ Abdruck ~ sette3von 7 ßf!)l Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Bestünden bei elektronischen Anfragen Zweifel an der Identität der Person, die Auskunft erbeten hat, werde der Postweg genutzt. Sie sähen hierin einen "wichtigen Grund" nach§ 1 Abs. 2 Satz21FG. Anfragen, die offensichtlich anonym oder unter einem Pseudonym erfolgten, seien nach der Gemeinsamen Geschäftsordnung der Bundesregierung grundsätzlich nicht zu beantworten. Nach weiterem elektronischem Schriftwechsel bat der Beschwerdeführer mit E-Mail vom 27. Juli 2019 bezüglich der Anforderung seiner personenbezogenen Daten um Mitteilung der entsprechenden Datenschutzinformationen nach Art. 13 DSGVO, § 32 BDSG. Daraufhin teilten Sie dem Beschwerdeführer mit E-Mail vom 29. Juli 2019 mit, dass personenbezogene Daten von ihm verarbeitet würden. Welche Daten zu welchem Zweck und aufwelcher Grundlage verarbeitet würden, sei abhängig von seinem Anliegen und den konkreten Umständen. Weitere Informationen hierzu und über seine Betroffenenrechte seien in der Datenschutzerklärung auf der Internetseite des Bundesministeriums des lnnern, für Bau und Heimat unter dem Link https://www.bmi.bund.de/DE/service/datenschutz/datenschutz_node.html aufgeführt. Da er sich mit diesen Informationen nicht zufrieden gab und Sie die weitere Bearbeitung ohne Übermittlung einer Postanschrift nicht aufnehmen wollten, wandte sich der Beschwerdeführer mit E-Mail vom 12. August 2019 an mich und erhob Beschwerde nach Art. 77 DSGVO. ZurBegründung führte er insbesondere aus, dass die ihm zugänglich gemachte Datenschutzinformation seiner Ansicht nach keine hinreichenden Informationen enthalten habe. ln Ihrer Stellungnahme vom 27. August 2019 teilten Sie mir mit, dass das IFG eine Regelung des öffentlichen Rechts sei und somitfür das IFG-Verfahren die Regelungen des VwVfG gelten würden. Das VwVfG verlange durchgehend für alle IFG-Anträge eine lde11tifizierung des Antragstellers. Dementsprechend sei in der Begründung.zum Gesetzentwurf des IFG aus dem Jahre 2004 (BT-Drs. 15/4493) zu § 7 Absatz 1 (S.14} vorausschauend klargestellt: "Obwohl Schriftform nicht allgemein nötig ist, muss die Behörde die Identität des Antragstellers feststellen können.". Hätte der Gesetzgeber das Identifikationserfordernis ausschließen wollen, wäre vielmehr der explizite Ausschluss entsprechender Regelungen des VwVfG durch das IFG erforderlich gewesen. Nach§§ 35,41 VwVfG sei eine Rechtsgrundlage für die Anforderung personenbezogener Daten gegeben. Es bestehe somit eine rechtliche Verpflichtung zur Datenverarbeitung im Sinne von Art. 6 Abs. 1 Buchst. c) DSGVO. Die Anforderung einer postalischen Erreichbarkeit sei auch erforderlich, da der IFG-Bescheid ein Verwaltungsakt sei, der nach§ 41 VwVfG demjenigen Beteiligten bekannt zu geben sei, für den er bestimmt ist. Daher sei für die Bekanntgabe eine konkrete

~ruck 'L): .: ·;~ ~ ~- ~ ßf!)l Seite4 von 7 Person als Empfänger erforderlich. Dies sei auch im weiteren Verfahrensverlauf nur konsequent. Denn es sei nicht au$ZUSchließen, dass IFG-Bescheide- wie andere Verwaltungsakte auch- korrigiert oder zurückgenommen werden müssten. Für diese Fälle sei es zwingend erforderlich, eine postalische oder zumindest elektronische Adresse des Antragstellers zu haben. Die Zulässigkeit der Verarbeitung personenbezogener Daten im vorliegenden Fall ergebe sich daher aus §§ 35,41 VwVfG i.V.m. Art. 6 Abs. 1 Buchst. c) DSGVO. Die Beschwerde nach Art. 77 DSGVO sei somit unbegründet. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Mit Schreiben vom 11. November 2019 habe ich Ihnen Gelegenheit gegeben, sich im Rahmen der Anhörung erneut zu äußern. Hiervon haben Sie mit Schreiben vom 9. Dezember 2019 Gebrauch gemacht. Darin führ.en Sie erneut aus, dass die Durchführung eine individuellen Antragsverfahrens, wie es im IFG vorgesehen sei, ein Rechtsverhältnis zwischen dem Antragsteller und der Behörde entstehen lasse, das hinreichende Sicherheit über die Identität des Antragstellers voraussetze. Anonyme bzw. pseudonyme Antragstellung sehe das IFG nicht vor. Genauso wenig wie eine anonyme Teilnahme an einer politischen Wahl möglich sei, könne die Leistungsverwaltung auf Personalisierung durch Identifizierungder sie in Anspruch nehmenden Bürger verzichten. Bei einer Wahl zerbreche andernfalls die demokratische Legitimation des Wahlergebnisses, bei einem IFG-Antrag werde die Verwaltung möglicherweise mit Anliegen ausgelastet, hinter denen keine berechtigten Interessen existierender Bürger s~ünden, sondern von interessierter Seite gesteuerte Pseudo-Profile, Fake-Accounts und E-Mail-Postfächer, die eine Vielzahl natürlicher Personen nur vortäuschten. Die Tatsache, dass in § 7 IFG die Frage der Notwendigkeit einer Identifikation des Antragstelleres nicht explizit geregelt sei, schließe die ergänzende Heranziehung des VwVfG nicht aus. Die Verwaltung könne im Rahmen eines rechtlich geregelten Verwaltungsverfahrens nicht grenzenlos skalierbarer Inanspruchnahme durch Personenkreise ausgesetzt werden, hinter denen möglicherweise keine natürlichen Personen stünden bzw. deren massenhafte Antragstellung möglicherweise den Tatbestand des Rechtsmissbrauchs erfüllten. Dem diene die Regelung des§ 41 VwVfG, aufgrundder der'Verwaltungsakt dem bekannt zu geben ist, für den er bestimmt ist. Dabei indiziere die Angabe einer postalischen Adresse, auf die das BMI dann meist schriftlich antworte, dass es den Antragsteller gebe. II. Nach§ 16 Abs. 1 BDSG i.V.m. Art. 58 Abs. 2 Buchst. d) DSGVO bin ich befugt, anzuweisen, Verarbeitungsvorgänge auf bestimmte Weise in Einklang mit dieser Verordnung zu bringen. Diese Voraussetzungen sind nach den Sachverhaltsermittlungen hier erfüllt:

\. •. .r "ßf!)l settesvon 7 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Entgegen l~rer Auffassung ist die Anforderung einer postalischen Erreichbarkeit nicht grundsätzlich vor Aufnahme der Bearbeitung von IFG-Anträgen zulässig. Nach Art. 6 Abs. 1 Buchst. c) DSGVO ist die Verarbeitung personenbezogener Daten dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Die Rechtsgrundlage für entsprechende Verarbeitungen wird nach Art. 6 Abs. 3 DSGVO festgelegt durch Unionsrecht oder das Recht der Mitgliedstaaten, dem derVerantwortliche unterliegt. Eine solche Rechtsgrundlage ist im vorliegenden Fall jedoch nicht erkennbar. Die§§ 35, 41 VwVfG i.V.m. Art. 6 Abs. 1 Buchst. c) DSGVO stellen damit keine taugliche Rechtsgrundlage für die Verarbeitung der angefragten personenbezogenen Daten dar. Zwar stellt auch die den Informationszugang gewährende Entscheidung einen Verwaltungsakt dar, jedoch ist für dessen wirksame Bekanntgabe die Verarbeitung einer Postanschrift oder einer persönlichen E-Mailadresse grundsätzlich nicht erforderlich. Die Bekanntgabe kann vielmehr auch an die über die Plattform fragdenstaat.de·für jede Anfrage computergenerierte E-Mailadresse erfolgen. Nach§ 41 Abs. 1 Satz 1 VwVfG ist ein Verwaltungsakt demjenigen bekanntzugeben, für den er bestimmt ist. Es kommt somit maßgeblich darauf an, wem gegenüber die Behörde ihre Entscheidung treffen will. Diese individuell-persönliche Konkretisierung (Bestimmbarkeit des Adressaten) ist auch durch die Adressierung über die von der Plattform fragdenstaat.de generierte individuelle E-Mailadresse möglich. Die Bekanntgabe des Verwaltungsaktes erfolgt auch auf diesem Weg unmissverständ lieh an die Person, die. den Antrag gestellt hat und für die folglich auch der Verwaltungsakt bestimmt ist. Für die Wirksamkeit der Bekanntgabe wäre es letztlich sogar unerheblich~ wenn der Adressat die Behörde über seine Identität täuschte. Auch wenn eine Person unter (falschem) "eigenem" Namen gegenüber der Behörde auftritt und die Behörde gerade gegenüber dieser mit der FalschpersonaUe konkretisierten Person eine Entscheidung treffen will, ist der Adressat hinreichend bestimmt (Stelkens/Bonk/Sachs/Stelkens, 9. Aufl. 2018, VwVfG § 41 Rn. 30). Diese Auffassung wird auch durch die Rechtsprechung des Bundesverwaltungsgerichts gestützt (BVerwG, Urt. v. 9.9.2014 -1 C 10/14, NVwZ 20.1.4, 1679, Rn. 13). ln dem diesem Verfahren zugrundeliegenden Fall begehrte der Antragsteller seine Einbürgerung, die ihm- wenn auch unter falschem Namen- bewilligt wurde. Das Gericht ste.llt für die Wirksamkeit dieser Entscheidung darauf ab, dass es für "die verfahrensrechtliche Beteiligtenstellung letztlich auf die Person abzustellen [sei], die der Behörde gegenübertritt und im eigenen Namen für sich (eine Entscheidung über) die beantragte Maßnahme begehrt". Wenn diese Sichtweise sogar für eine solch bedeutende . Verwaltungsentscheidung wie eine Einbürgerung anzunehmen ist, kann für die Bearbeitung von IFG-Anträgen nichts anderes gelten.

Abdruck . '~ ' ~.. ' ~ ßf!)l ; Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Seite &von 7 Untermauert wird diese Sichtweise ferner dadurch, dass auch bei einer telefonischen Auskunftserteilung (also der fernmündlichen Bekanntgabe der Zugangsgewährung) eine vertiefte Identitätsprüfung nicht erfolgen kann, der Gesetzgeber sie aber gleichwohl ausdrücklich in§ 7 Abs. 3 S.11FG .zugelassen hat. Würde man Ihre Sichtweise zugrunde legen, käme diese im IFG ausdrücklich vorgesehene Form des Informationszugangs nicht zum Tragen. Gleiches gilt aber dann auch für die Bekanntgabe unter Verwendung der vom Antragsteller mit technischer Unterstützung der Plattform fragdenstaat.de generierten E-Mail-Adresse. Die Bekanntgabe erfolgt in diesem Fall über die in § 3a Abs. 1 VwVfG eröffnete Möglichkeit der elektronischen Kommunikation. Etwas anderes kann dann gelten,, wenn ~urch die Bekanntgabe eines belastenden Verwaltungsaktes Rechtsbehelfsfristen in Gang gesetzt werden. ln diesem Fall muss die Behörde die wirksame Bekanntgabe- ggf. gerichtsfest- nachweisen können. Zwar gilt nach§ 41 Abs. 2 Satz 2 VwVfG auch ein elektroni~ch übermittelter Verwaltungsakt am dritten Tag nach der Absendung als bekannt gegeben, jedoch muss die Behörde diesen Zugang nach Satz 3 Halbsatz 2 im Zweifelsfall nachweisen können. Da dieser Nachweis bei einer Übermittlung an die Plattform fragdenstaat.de nicht in vergleichbarer Weise wie bei einer Versendungper Post möglic;h sein könnte, darf in diesen Fällen eine postalische Erreichbarkeit gefordert werden. Dies setztjedoch zunächst die inhaltliche Befassung mit dem Gegenstand des Antrags_ voraus, so dass eine Einschätzung getroffen werden kann, o_b ein belastender Verwaltungsakt zu erlassen sein wird. Diese Prognose muss für den Antragsteller auch die tragenden Gründe erkennen lassen. Nur in solchen Fällen kommt somit die Anforderung weiterer personenbezogener Daten in Betracht. Da zumindest im vorliegenden Fall eine solche Prognoseentscheidung dem Beschwerdeführer gegenüber nicht mitgeteilt wurde und zunächst auch keine Gründe für eine ablehnende Entscheidung oder die Erhebung von Gebühren erkennbar sind, war die auf§§ 35, 41 VwVfG i.V.m. Art. 6 Abs. 1 Buchst. c) DSGVO gestützte Anforderung einer Postanschrift unzulässig. Auch die von Ihnen in Ihrer Antwort vom 6. Dezember 2019 vorgetragenen Erwägungen vermögen an dieser Einschätzung nichts zu ändern. Wie bereits oben ausgeführt, hat der Gesetzgeber mit der Möglichkeit der mündlichen Auskunfterteilung ausdrücklich auch diesen Weg für eine Antragstellung eröffnet. Diese Form der lnformationserteilung würde durch das Bestehen auf einer Identifikation grundsätzlich negiert. Darüber hinaus ist auch dem allgemeinen Verwaltungsrecht der Erlass von Verwaltungsakten gegenüber nicht individuell identifizierten Personen nicht fremd. So ist etwa nach§ 35 s. 2 VwVfG der Erlass von Allgemeinverfügungen lediglich daran geknüpft, dass ein nach allgemeinen Merkmalen bestimmter oder bestimmbarer Personenkreis adressiert wird. Auch die Form des mündlichen Erlasses eines ' - f

"! - ': , Abdruck ~· selte 7 von 7 ßf!)l Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Verwaltungsaktes ist in§ 37 Abs. 2 VwVfG ausdrücklich vorgesehen. Darüber hinaus ist selbst der Erlass eines Verwaltungsaktes auf sonstige Weise möglich. Ein auf solche Weise erlassener Verwaltungsakt erfordertjedoch regelmäßig gerade keine Identifikation der adressierten Person. Darüber hinaus kann das Ziel der Vermeidung von unerwünschten Massenanträgen nicht als Begründung für eine zwangsweise Identifikation von Antragstellern herangezogen werden. Das IFG gewährt ein voraussetzungsloses Jedermannrecht auf Zugang zu amtlichen Informationen. so dass auch eine Vielzahl von Anträgen auf Informationszugang einer Person zu ähnlichen Sachverhalten oder einer Vielzahl von Personen zu einem Sachverhalt grundsätzlich zulässig sind. Entsprechende Anträge sind mit den Mitteln des IFG und des allgemeinen Verwaltungsrechts zu bearbeiten. So enthält das IFG etwa mit§ 7 Abs. 1 S. 41FG eine ausdrückliche Regelung für den Fall der gleichförmigen Antragstellung von mehr als 50 Personen. ln diesem Zusammenhang sei angemerkt, dass die von Ihnen vermeintlich als Nachteil empfundene proaktive Veröffentlichung gerade auch- aber nicht nur- in solchen Konstellationen hilfreich sein kann. Da Sie bislang nicht zu erkennen gegeben haben, dass Sie die von mir angenommene Rechtsauffassung anerkennen und einen rechtskonformen Zustand herzustellen bereit sind, sind durch mich entsprechende Maßnahmen zu ergreifen, um einen rechtmäßigen Zustand herzustellen. Mangels Alternativen sehe ich nur die Möglichkeit einer Anweisung nach Art. 58 Abs. 2 Buchst. d) DSGVO. Da im vorliegenden Fall die Anforderung weiterer personenbezogener Daten ausscheiden dürfte, ist auf den Umfang der Informationspflichten nach Art. 13 DSGVO nicht weiter einzugehen. Rechtsbehelfsbelehrung Gegen diesen Bescheid kann innerhalb eines Monats nach Bekanntgabe Klage bei dem Verwaltungsgericht Köln erhoben werden. Mit freundlichen Grüßen ~~ Ulrich Kelber