Sehr geehrte Damen und Herren,
gegen Ihren Bescheid vom 30. Dezember 2021 (Az. 2.13.04/0003#0399) lege ich hiermit
WIDERSPRUCH
ein.
Sachverhalt
Mittels E-Mail vom 03. Oktober 2021 beantragte ich auf Grundlage des Informationsfreiheitsgesetzes (IFG), des Umweltinformationsgesetzes (UIG) und des Gesetzes zur Verbesserung der gesundheitsbezogenenen Verbraucherinformation (VIG) die Zusendung der „SAP-CWA-Jira-Tickets zu den ThemenF-Droid, vollkommen quelloffener Software und reproduzierbare Builds (Corona-Warn-App)“. Der genaue, vollständige Wortlaut soll hierbei nicht erneut wiederholt werden, da er beiden Parteien zugänglich ist. In Ihrem elektronisch übermittelten Bescheid vom 30. Dezember 2021 lehnen Sie als Robert Koch-Institut (RKI) mein Informationersuchen auf Basis meines Antrags nach erheblicher Verspätung ab. So bestünde „kein Anspruch auf Zugang zu den angefragten Tickets nach § 1 Abs. 18. S. 1 IFG“, da diese nur auf Servern von SAP liegen. In einem früheren Antrag wurde argumentiert, dass „das RKI sich SAP insoweit nicht zur Erfüllung seiner öffentlich-rechtlichen Aufgaben bedient. Dies folgt bereits daraus, dass der Betrieb eines JIRA-Ticketsystems nicht zu den öffentlich-rechtlichen Aufgaben des RKI zählt“. Auch hierbei wird aus obig bereits genannten Gründen auf eine Wiederholung des genauen Wortlauts verzichtet. Ferner sei mein obig erwähnter „- insoweit identischer - Antrag vom 16.12.2020 bereits mit Bescheid vom 25.03.2021 (Aktenzeichen 2.13.04/0002#0165) bestandskräftig abgelehnt“ und somit beträfe der hier vorliegende, aktuelle Antrag nur den „Zeitraum nach dem 25.03.2021“.
Begründung
Die nach Ihrer Ansicht bestehende Bestandskraft für die Herausgabe von Informationen im „Zeitraum bis zum 25.03.2021“ besteht auf die dargestellte Art nicht. Grund dafür ist, dass zwar der Antrag zum entsprechenden Zeitpunkt abgelehnt wurde, diese Entscheidung sich allerdings jederzeit ändern kann. So sieht bspw. das IFG selbst eben solch eine Möglichkeit der Änderung vor, vgl. § 9 Abs. 2 IFG. Insofern behalte ich die Ansicht bei, dass es sich bei dem Antrag um eine zeitlich uneingeschränkte ebensolchen handelt und ebenso für den Zeitraum neue Anträge nach dem Informationsfreiheitsgesetz - nicht zuletzt auch von anderen Personen - gestellt werden können. Nach § 9 Abs. 1 IFG ist die Bekanntgabe der Entscheidung bei Ablehnung oder teilweiser Ablehnung zwingend innerhalb eines Monats nach Antragstellung zu erfolgen. Dies „entspricht auch dem Zweck des Gesetzes, möglichst bald Klarheit über den Informationszugang oder dessen Verweigerung zu schaffen. Schließlich entspricht diese Auslegung dem Willen des Gesetzgebers“[Dr. Wilhelm Mecklenburg Mecklenburg & Benno H. Pöppelmann (2007). Informationsfreiheitsgesetz. DJV, S. 117]. „Im Ergebnis ist § 9 Abs. 1 danach so auszulegen, dass eine ablehnende Entscheidung […] zwingend binnen eines Monats bekannt zu geben ist. Das gilt für ablehnende oder teilweise ablehnende Bescheide.“ Dies ist in dem hier vorliegenden Fall nicht geschehen. Aus diesem Grund erachte ich den Bescheid für unzulässig. Weitere Gründe sind dabei nicht ausgeschlossen. Die Art der Informationspeicherung innerhalb eines Ticketsystems an sich ist nicht von Relevanz, da nach § 2 Nr. 1 Satz 1 IFG „jede amtlichen Zwecken dienende Aufzeichnung, unabhängig von der Art ihrer Speicherung“ vom Gesetzeswortlaut erfasst ist. Unbeachtlich ist ferner, ob der Betrieb eines Ticketsystems „zu den öffentlich-rechtlichen Aufgaben des RKI zählt“. Von Relevanz ist dagegen, ob die angefragten Informationen bzw. die dabei betroffenen amtlichen Vorgänge (der Erstellung, Wartung, Anpassung und Betrieb einer Anwendung zur Benachrichtigung von Infektionsvermutungen im Sinne der CWA), „zu den öffentlich-rechtlichen Aufgaben des RKI“ zählen. Wie ich folgend erläutern werde, ist dies der Fall. § 1 Abs. 1 S. 3 IFG gilt für „öffentlich-rechtlichen Aufgaben“, welches zwei Kriterien beinhaltet. „Als Grund- begriff ist von dem der öffentlichen Aufgabe auszugehen. Öffentliche Aufgabe ist eine solche, an deren Erfüllung die Allgemeinheit (die Öffentlichkeit) ein Interesse hat.“ [a. a. O., S. 29, Rn. 23] Ferner ist die „Beifügung ‚rechtlich‘ zum Adjektiv ‚öffentlich‘ ist so zu verstehen, dass die Aufgabenerfüllung öffentlich-rechtlich geprägt ist. Oder anders ausgedrückt: Die Aufgabe ist im öffentlichen Recht verankert.“ [a. a. O., S. 29, Rn. 24] Beides ist in diesem Fall gegeben. Bzgl. § 2 Nr. 1 Satz 1 IFG bestätigte beispielsweise auch das Verwaltungsgericht Berlin mit Urteil vom 26.09.2020 (VG 2 K 162.18) die eingangs genannte Ansicht. Wörtlich heißt es: „Der Begriff ‚amtliche Information‘ ist in § 2 Nr. 1 Satz 1 IFG legal definiert. Danach fällt hierunter jede amtlichen Zwecken dienende Aufzeichnung, unabhängig von der Art ihrer Speicherung. Aufgrund des Gesetzeszwecks des Informationsfreiheitsgesetzes, die demokratischen Beteiligungsrechte der Bürger durch die Verbesserung der Informationszugangsrechte zu stärken und vor allem auf der Grundlage der so vermittelten Erkenntnisse der Meinungs- und Willensbildung in der Demokratie zu dienen (BT-Drs. 15/4493 S. 6), unterliegt der Begriff der Amtlichkeit einem weiten Begriffsverständnis. Danach sind nur Informationen, die ausschließlich und eindeutig privaten (persönlichen) Zwecken dienen, vom Begriff ‚amtliche Informationen‘ ausgeschlossen (vgl. Schoch, Informationsfreiheitsgesetz, 2. Auflage 2016, § 2 Rn. 55; OVG Magdeburg, Beschluss vom 24. März 2017 - 3 L 115.15 - juris Rn. 45).“ Auch der Begriff „öffentlich-rechtlich“ ist demzufolge ebenso weit auszulegen. Dies folgt nicht nur aus der Gesetzesintention (BT-Drs. 15/4493 S. 6), sondern insbesondere auch daraus, dass er einen ähnliches Telos wie der Begriff der Amtlichkeit hat, da beides die Trennung von Staatshandeln und Privathandeln betrifft. Ferner ist zum Einen das öffentliche Interesse an den Dokumenten offensichtlich aufgrund der Corona-Pandemie und der öffentlich benutzbaren Corona-Warn-App zu sehen. Ebenso hatte ich bereits mit E-Mail vom 26. Februar 2021 23:10 in meinem Antrag vom 16.12.2020 (Aktenzeichen 2.13.04/0002#0165) an das Robert Koch-Institut mit Bezug auf die Anfrage aus Basis verschiedener Medienberichte das öffentliche Interesse dargelegt. In öffentlichen Recht ist die Aufgabe der Erstellung und des Betriebs der Corona-Warn-App ebenfalls verankert. So lässt sich die Aufgabe aus Art. 2 Abs. 2 GG sowie aus dem Infektionsschutzgesetz (IfSG) herleiten. Im Besonderen ist hier auf § 4 Abs. 3 Satz 4 IfSG zu verweisen, in der die „Kontaktpersonen- nachverfolgung“ sowie die Verarbeitung von personenbezogene Daten als Aufgabe des RKI definiert wird. Beides wird durch die Corona-Warn-App geleistet. Ferner sind die Vertragsdokumente bzgl. SAP/Telekom und der Corona-Warn-App öffentlich einsehbar.1 In diesen wird unter anderem beschrieben inwiefern Verbesserungs- und Änderungswünsche („Change Request“-Verfahren2 ) durchzuführen sind. Da diese Änderungen seitens SAP in den angefragten Dokumenten (Jira-Tickets) gespeichert werden, sind diese vom Informationsfreiheitsgesetz erfasst und somit herauszugeben. Nach dem Rechtsstaatsprinzip kann eine Behörde wie das RKI nur unter dem Vorbehalt des Gesetzes handeln. Kompetenzen kann diese insofern nur abgeben, insoweit sie diese selbst besitzt. Auch daraus folgt, dass die angefragten Informationen öffentlich-rechtlichen Aufgaben des RKI betreffen. Ergänzend möchte ich darauf verweisen, dass auch andere Software vom RKI entwickelt wird3 und auch Informations- freiheitsanfragen diesbezüglich beantwortet wurden.4 Tatsächlich gab es auch Antworten auf Anfragen nach dem Informationsfreiheitsgesetz in Bezug auf die erfragte App CWA.5 Dementsprechend wird die Aufgabe der Softwareentwicklung allgemein sowie die Betreuung der Entwicklung der CWA im speziellen faktisch und somit auch rechtlich vom RKI wahrgenommen. Im Falle der hier betroffenen Anwendung CWA bedient sich das RKI demzufolge SAP, sodass die öffentlich-rechtliche Aufgabe der Entwicklung der Anwendung in diesem Fall ausgelagert wurde. Das RKI ist die richtige Stelle im Sinne von § 7 Abs. 1 Satz 2 IFG, da wie in der Abstimmungsvereinbarung mit SAP in Absatz 6.56 festgelegt, die Aufgaben des Bundesgesundheitsministeriums (BMG) an das RKI übertragen wurden. Ferner ist das RKI als Herausgeber der App in den entsprechenden Nutzungsbe- stimmungen7 sowie als datenschutzrechtlich verantwortliche Instanz in den Datenschutzbestimmungen hinterlegt, wobei in diesen auch das RKI als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO auftritt und T-Systems International GmbH und die SAP Deutschland SE & Co. KG als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).8 Demzufolge tritt das RKI als „öffentlich-rechtlicher“ Herausgeber und verantwortliche Instanz der App auf. Auch durch diese Außenwirkung ist ganz klar von einer öffentlich-rechtlichen Aufgabe zu sprechen. Die Öffentlichkeitsarbeit ist ebenso gesetzlich in § 4 Abs. 4 BGA-NachfG und § 2 Abs. 3 Punkt 4 BGA-NachfG und somit in öffentlichem Recht für das RKI geregelt. Diese Aufgabe wird in der App bspw. durch die entsprechende Anzeige von Statistiken zur COVID-19-Pandemie (sichtbar als Informationsblöcke „Bestätigte Neuinfektionen“, „Warnende Personen“, „7-Tage-Inzidenz“, „7-Tage-R-Wert“ auf der Hauptseite und die Auflistung von Handlungsempfehlungen mit dem Ziel der Verhütung von Krankheiten im Sinne der Verhinderung der Übertragung von Krankheiten (vgl. § 2 Abs. 3 Punkte 1 und 2 BGA-NachfG sowie § 4 Abs. 1 S. 2 IfSG sowie § 4 Abs. 2 Punkt 1 IfSG) je nach dargestellten Risikostatus in der App, erfüllt. Vgl. dazu auch die Bildschirmfotos auf der Webseite der Corona-Warn-App.11 Für erstgenannte Informationsblöcke nennt die Datenschutzerklärung der App als Grundlage für die „Verarbeitung von Zugriffsdaten für den Abruf der täglichen Statistiken“ selbst § 4 Abs. 4 BGA-NachfG („auf Basis von Art. 6 Abs. 1 lit e. DSGVO i.V.m § 3 BDSG“) als Gesetzesgrundlage zur Erfüllung der damit einhergehenden öffentlich-rechtlichen Aufgabe.12 Auch in der technischen Dokumentation der Corona-Warn-App wird als eine Aufgabe des RKI genannt, dass dieses „epidemiologische Informationen und Handlungsempfehlungen für die Bedienung der App zur Verfügung [stellt]“13 , welches ebenso die bereits zitierten Rechtsgrundlagen zur Basis haben sollte. Eine weitere öffentlichkeitswirksame Maßnahme mit öffentlich-rechtlichem Charakter ist die Integration einer Umfragefunktion sowie einer „Datenspendefunktion“ in v1.13 der App, welche den „Expert*innen des RKI“14 erlaubt, zu „sehen, wie viele Personen jeweils welchem Risiko ausgesetzt waren.“[ebd.]. Selbiges ist aus der Datenschutzerklärung der App ersichtlich.15 Insbesondere wird als Verarbeitungszweck die „Verbesserung der Statistiken über den Pandemieverlauf“16 genannt, was der öffentlich-rechtlichen Aufga- be des RKI entspricht. (§ 4 Abs. 1 S. 2 IfSG, § 4 Abs. 1a IfSG, § 4 Abs. 1a IfSG, § 4 Abs. 4 BGA-NachfG und § 2 Abs. 3 Punkt 4 BGA-NachfG) Auch steuert das RKI der technischen Dokumentation der Corona-Warn-App zufolge die Parameter für die Erkennung von Risikobegegnungen mittels ebenjener App17 mit dem Ziel der Verhütung von COVID-19 (§ 2 Abs. 3 Punkte 1 und 2 BGA-NachfG sowie § 4 Abs. 1 S. 1 f. IfSG). Ferner ermächtigt das Infektionsschutzgesetz das RKI explizit zum Aufbau von elektronischen Informationssystemen „die Erfüllung der Aufgaben nach Maßgabe der Zwecke dieses Gesetzes“ (§ 14 Abs. 1 Satz 1 IfSG) notwendig sind. Ebenso wird die Beauftragung eines „IT-Dienstleister mit der technischen Umsetzung“ (§ 14 Abs. 1 Satz 3 IfSG) hierbei explizit erwähnt.
Dass die Entwicklung durch SAP geleistet wird, ist insofern unerheblich, als dass das RKI diese Aufgabe auch als öffentliche Stelle wahrnehmen könnte und diese wie bereits erläutert klar im Kompetenzbereich der Behörde liegt. Da es das nicht tat und auch derzeit nicht tut, bedient es sich SAP zur Erfüllung seiner öffentlich-rechtlichen Aufgaben. Dies wird auch durch die erläuterte Gestaltung der Datenschutzerklärung mit dem RKI als Verantwortlichen und SAP als Auftragsverarbeiter deutlich.18 Die Softwareentwicklung beinhaltet dabei selbstverständlicherweise auch die Dokumentation offener Änderungswünsche, welche zudem – wie dargelegt – auch vertraglich so vereinbart wurde. Die angefragten Informationen in Form einer Akte bzw. des (textlichen) Inhaltes der angefragten Ticketsystemeinträge dienen somit auch der Vertragserfüllung. Dass die Informationen in Form von Tickets in einem Jira-System gespeichert sind, ist, wie bereits erläutert, nicht von Relevanz (vgl. § 2 Nr. 1 Satz 1 IFG). Die entsprechende Arbeit des Aufrufen des Ticketsystems und aller Schritte zum zur Verfügungstellen der Informationen bspw. als PDF-Datei ist ferner eine „Übertragungsleistung, die als Vorbedingung des Informationszugangs lediglich ein in verwaltungstechnischen Erwägungen wurzelndes Zugangshindernis beseitigt“ (BVerwG, NVwZ 2015, 669 Rn. 3) und insofern kein Ausschlussgrund. Als Vergleich kann hier herangezogen werden, dass auch der Betrieb eines E-Mail- Servers nicht „zu den öffentlich-rechtlichen Aufgaben des RKI zählt“, jedoch dennoch E-Mails des RKI nach dem IFG anfragbar sind.
Generell gilt, dass „in der Begründung einer ablehnenden Entscheidung […] die nachteiligen Auswirkungen konkret zu benennen“[Dr. Wilhelm Mecklenburg Mecklenburg & Benno H. Pöppelmann (2007). Informa- tionsfreiheitsgesetz. DJV, S. 47, Rn. 7] sind und zudem darzulegen ist, „warum die Möglichkeit besteht, dass solche [nachteilige] Auswirkungen [nach § 3 IFG Nr. 1] eintreten“[ebd.]. Es ist erforderlich „dass die Möglichkeit, dass das jeweilige Schutzgut beeinträchtigt wird, besteht und von der ablehnenden Behörde auch dargelegt wird“[ebd.]. Eine Ablehnung nach § 4 IFG scheidet deswegen aus, weil kein laufender Vorgang oder Entscheidungsverfahren existiert, welche den „Erfolg der Entscheidung oder bevorstehender behördlicher Maßnahmen vereitelt würde“, da es sich um ein erstelltes Dokument handelt, welches keinen Entscheidungsprozess einer Behörde beeinflusst.
Sollten Teile der Informationen als Verschlusssache eingestuft sein, so kann sich eine „Ablehnung eines Informationsantrages, die auf § 3 Nr. 4 gestützt werden soll, […] nicht auf den formellen Hinweis, es liege beispielsweise eine Verschlusssache vor, beschränken.“[a. a. O., S. 65, Rn. 84] Bzgl. der Fristen dieses Widerspruchs verweise ich auf die allgemein gültigen Rechtsbestimmungen, insbesondere §§ 41 Abs. 1, 5 VwVfG, 3 Abs. 1, 2 S. 1 VwZG, § 180 S. 1 und 2 ZPO, § 57 Abs. 2 VwGO i. V. m. § 222 Abs. 2 ZPO, §§ 187 Abs. 1, 188 Abs. 2 BGB, § 79 VwVfG und § 222 Abs. 2 ZPO.
Mit freundlichen Grüßen
