- 11 - Erfolg darauf berufen, dass der Beklagte nicht nach dieser Vorschrift habe vorge- hen dürfen, weil es hier ausschließlich um Rechtsfragen nach dem Informations- freiheitsgesetz gehe. Dass die durch die Verwarnung – allein – beanstandete Er- hebung der Postanschrift des IFG-Antragstellers im Rahmen eines Verfahrens auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz erfolgte, ändert nichts daran, dass es sich bei diesem Vorgang, wie im Folgenden noch ausgeführt wird, um die Verarbeitung von personenbezogenen Daten han- delte (s. dazu unter B. II. 1. a)), für die gemäß Art. 2 Abs. 1 DSGVO die Daten- schutzgrundverordnung gilt. II. Die Verwarnung ist auch materiell rechtmäßig. Nach Art. 58 Abs. 2 Buchst. b) DSGVO verfügt jede Aufsichtsbehörde – hier der Beklagte – über die Befugnis, einen Verantwortlichen oder einen Auftragsver- arbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verord- nung, also die Datenschutzgrundverordnung, verstoßen hat. Die tatbestandlichen Voraussetzungen dieser Vorschrift liegen in Bezug auf das damit allein bean- standete Verhalten des          , die Erhebung der Postanschrift des IFG-Antrag- stellers am                 , vor (s. 1.). Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen Bedenken (s. 2.). 1. Bei der Erhebung der Postanschrift des IFG-Antragstellers durch das handelt es sich um einen Verarbeitungsvorgang im Sinne der genannten Vor- schrift (s. a)), der durch einen Verantwortlichen erfolgt ist (s. b)) und mit dem er, der Verantwortliche, gegen die Datenschutzgrundverordnung verstoßen hat (s. c)). a) In der Erhebung der Postanschrift des IFG-Antragstellers durch das            liegt ein Verarbeitungsvorgang. Nach Art. 4 Nr. 2 DSGVO ist eine Verarbeitung gege- ben bei jedem mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vor- gang oder bei jeder solcher Vorgangsreihe im Zusammenhang mit personenbe- zogenen Daten, wie z. B. das Erheben derartiger Daten, d. h. die Erlangung von Kenntnis und Verfügungsmacht über diese Daten,

- 12 - vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 4 Nr. 2 DSGVO Rn. 15. Bei der Postanschrift handelt es sich um ein personenbezogenes Datum. Gemäß Art. 4 Nr. 1 DSGVO sind personenbezogene Daten i. S. d. Datenschutzgrundver- ordnung alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person ange- sehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online- Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Diese Voraussetzungen sind erfüllt. Bei der Postanschrift des dem          nament- lich bekannten Antragstellers handelt es sich um eine auf ihn bezogene Informa- tion, die er mit E-Mail vom                 an das      übermittelt hat und die mit dortigem Eingang von diesem erhoben wurde. b) Das       war auch Verantwortlicher i. S. v. Art. 58 Abs. 2 Buchst. b) DSGVO und damit richtiger Adressat der Verwarnung. Gemäß Art. 4 Nr. 7 DSGVO ist „Verantwortlicher“ i. S. d. Datenschutzgrundverordnung die natürliche oder juris- tische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemein- sam mit anderen über die Zwecke und Mittel der Verarbeitung von personen- bezogenen Daten entscheidet. Vorliegend entschied das            in eigener Verant- wortung darüber, für welche Zwecke die Postanschrift des IFG-Antragstellers er- hoben und mit welchen Mitteln dieses personenbezogene Datum verarbeitet werden sollte. c) Das       hat mit der Erhebung der Postanschrift des IFG-Antragstellers ferner gegen die Datenschutzgrundverordnung verstoßen. Dieser Verarbeitungsvorgang

- 13 - stand nicht im Einklang mit Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO i. V. m. § 3 BDSG. Nach Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO ist die Datenverarbeitung (nur) rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erfor- derlich ist, der der Verantwortliche unterliegt (Buchst. c)), oder wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen über- tragen wurde (Buchst. e)). Diese Vorschriften vermögen zwar für sich genommen einen Verarbeitungsvorgang nicht zu rechtfertigen, sondern bedürfen gemäß Art. 6 Abs. 3 DSGVO einer Konkretisierung bzw. einer – nach dem Wortlaut der Norm – „Festlegung“ im Unionsrecht oder im Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Eine solche Festlegung enthält aber § 3 BDSG, der für alle Verarbeitungen innerhalb des Anwendungsbereiches der Datenschutzgrund- verordnung, der Richtlinie (EU) Nr. 2016/680 sowie im rein nationalen Recht gilt. Diese Vorschrift wurde in Umsetzung des Gesetzgebungsauftrages aus Art. 6 Abs. 3 Satz 1 Buchst. b) i. V. m. Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO geschaffen, vgl. BT-Drucks. 18/11325, S. 81; Wolff, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edi- tion (Stand: 1. November 2021), § 3 BDSG Rn. 1; Starnecker, in: Gola/Heckmann, Bundesdaten- schutzgesetz, 13. Aufl. 2019, § 3 Rn. 1, und stellt insoweit eine (zulässige) allgemeine Rechtsgrundlage für die Verarbei- tung personenbezogener Daten durch öffentliche Stellen dar, ebenso: Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 6 Abs. 1 DSGVO Rn. 84; Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 1 ff.; a. A. Frenzel, in: Paal/Pauly, DS-GVO, BDSG, 3. Aufl. 2021, § 3 BDSG Rn. 1 f. Nach § 3 BDSG ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des

- 14 - Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist. Die Voraussetzungen dieser Vorschrift liegen ausgehend von den dafür maßgeb- lichen Grundsätzen (s. aa)) mangels einer Erforderlichkeit der Erhebung der Postanschrift des IFG-Antragstellers – im entscheidungserheblichen Zeitpunkt – (s. bb)) nicht vor. aa) Der Begriff der Erforderlichkeit in § 3 BDSG ist am Maßstab von Art. 5 und 6 DSGVO zu bestimmen. Denn die Datenschutzgrundverordnung genießt als Be- standteil des Unionrechts Anwendungsvorrang mit der Folge, dass – soweit ihre Regelungen nicht ohnehin unmittelbar anwendbar sind – mitgliedstaatliches Recht europarechtskonform auszulegen ist. Vgl. grundlegend zum Anwendungsvorrang: EuGH, Urteile vom 15. Juli 1964 - 6/64 (Costa/E.N.E.L.) -, Slg. 10, 1251, und vom 9. März 1978 - C-106/77 (Simmenthal II) -, juris, Rn. 17/18 ff. Insbesondere ist dabei der in Art. 5 Abs. 1 Buchst. c) DSGVO verankerte Grund- satz der Datenminimierung zu berücksichtigen, der seinerseits dem Recht auf Schutz personenbezogener Daten aus Art. 8 Abs. 1 der Grundrechte-Charta Rechnung trägt. Danach müssen personenbezogene Daten dem Zweck ange- messen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). Ob eine Datenverarbeitung im Ein- zelfall „erforderlich“ ist, bemisst sich nach diesem Grundsatz. Vgl. Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 13; Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edi- tion (Stand: 1. November 2021), Art. 6 DS-GVO Rn. 18; Starnecker, in: Gola/Heckmann, Bundes- datenschutzgesetz, 13. Aufl. 2019, § 3 Rn. 27 f. Bei der Beurteilung der Erforderlichkeit ist ein strenger Maßstab anzulegen.

- 15 - Vgl. Petri, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, § 3 BDSG Rn. 14. Nach der Rechtsprechung des Gerichtshofs der Europäischen Union ist eine Datenverarbeitung erforderlich, wenn sie „auf das absolut Notwendige“ be- schränkt ist. Vgl. EuGH, Urteile vom 16. Dezember 2008 - C-73/07 (Satakunnan Markkinapörssi und Sata- media) -, juris, Rn. 56, vom 8. April 2014 - C-293/12 (Digital Rights Ireland u. a) -, juris, Rn. 52, und vom 6. Oktober 2015 - C-362/14 (Schrems I) -, juris, Rn. 92. Ausweislich des Wortlauts von Art. 5 Abs. 1 Buchst. b) DSGVO („festgelegte […] Zwecke“) und der Formulierung in Erwägungsgrund 39, Satz 6 DSGVO, („Insbe- sondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Da- ten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen.“), müssen die Zwecke, zu denen Daten erhoben und weiterverarbeitet werden, bereits im Zeitpunkt der Datenerhebung bzw. der sonstigen Verarbeitung festgelegt sein (vgl. auch Art. 8 Abs. 2 Satz 1 Grundrechte-Charta). Vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht,       2019,    Art. 5   DSGVO Rn. 72 ff.; Herbst, in: Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, Art. 5 DS-GVO Rn. 31; Heberlein, in: Ehmann/Selmayr, Datenschutz- Grundverordnung, 2. Aufl. 2018, Art. 5 Rn. 13; Pötters, in: Gola, DS-GVO, 2. Aufl. 2018, Art. 5 Rn. 15 f.; Schantz, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. Novem- ber 2021), Art. 5 DS-GVO Rn. 14. Aus der Festlegung der Zwecke ergibt sich auch das notwendige Maß der Daten- verarbeitung, auf das die Erhebung zu beschränken ist. Vgl. Albers/Veit, in: Wolff/Brink, BeckOK Daten- schutzrecht, 40. Edition (Stand: 1. November 2021), Art. 6 DS-GVO Rn. 15; Buchner/Petri, in:

- 16 - Kühling/Buchner, DS-GVO, BDSG, 3. Aufl. 2020, Art. 6 DS-GVO Rn. 82. Allerdings darf auch bei der Bestimmung eines Zwecks für die Verarbeitung von personenbezogenen Daten der Grundsatz der Datenminimierung nicht außer Acht gelassen werden. Insbesondere darf dieser Grundsatz nicht durch eine zu weite Zweckbestimmung für die Datenverarbeitung umgangen werden, die es ermöglichen würde, Daten für etwaige Erfordernisse in einem Verfahren zu einem Zeitpunkt, in dem sich diese Erfordernisse noch nicht hinreichend konkret ab- zeichnen, zu verarbeiten. Vgl. Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 5 DSGVO Rn. 79 f.; Heberlein, in: Ehmann/Selmayr, Datenschutz- Grundverordnung, 2. Aufl. 2018, Art. 5 Rn. 13. bb) Ausgehend von diesen Grundsätzen ist eine Erforderlichkeit der Erhebung der Postanschrift des IFG-Antragstellers durch das       am             , die, wie bereits ausgeführt worden ist, in der angefochtenen Verwarnung allein bean- standet wird, zu verneinen. Das           hat zu diesem Zeitpunkt die Daten zum Zwecke der Bekanntgabe der Entscheidung über dessen Informationsersuchen in Schriftform auf dem Postweg erheben wollen, um eine Entscheidung an den IFG- Antragsteller persönlich sicherzustellen und um selbst Kenntnis über den genau- en Bekanntgabezeitpunkt zu erlangen. Das ergibt sich aus der am um            vom        an den IFG-Antragsteller versandten E-Mail, in der inso- weit ausgeführt ist: „Bei der Beantwortung des IFG-Antrages handelt es sich um einen Verwaltungsakt. Gemäß § 42 Abs. 1 Satz 1 Verwaltungsverfahrensgesetz ist ein Verwaltungsakt demjenigen bekanntzugeben, für den er bestimmt ist. Der Zeitpunkt der Bekanntgabe setzt eine Rechtsmittelfrist in Gang. Die Bekanntgabe an Sie persönlich ist bei einer Übermittlung an die angegebene E-Mail Adresse der Internetseite nicht sichergestellt. Darüber hinaus ist der Zeitpunkt der Be- kanntgabe für die Behörde nicht erkennbar. Die Beantwortung Ihres Informa- tionsersuchens kann deshalb nur in Schriftform an Ihre Postadresse erfolgen, sofern Sie mir keine persönliche E-Mail Adresse mitteilen.“ Zum anderen ist da- von auszugehen, dass mit der Erhebung der Postanschrift des IFG-Antragstellers

- 17 - eine ordnungsgemäße Durchführung des Verwaltungsverfahrens im Übrigen, insbesondere auch unter dem Gesichtspunkt einer Identifizierung des IFG- Antragstellers, beabsichtigt war. Hierfür spricht zunächst der in der weiteren E- Mail des        an den IFG-Antragsteller vom                  (abgesandt um ) erfolgte Hinweis, dass das Informationsfreiheitsgesetz eine anonyme An- tragstellung nicht vorsehe, was jedoch der Fall wäre, wenn eine E-Mail Adresse für jeden einzelnen IFG-Antrag neu generiert werde und von den Antragstellern lediglich der Name bekannt sei. In diesem Zusammenhang kann auch davon ausgegangen werden, dass sich eine Behörde, hier das              bei der Durchfüh- rung eines Verwaltungsverfahrens generell rechtmäßig verhalten will. Die der Erhebung der Postanschrift des IFG-Antragstellers zugrunde liegende Zweckbestimmung, diesem die Entscheidung über seinen Antrag in Schriftform auf dem Postweg bekannt zu geben, erwies sich zum Zeitpunkt dieser Daten- verarbeitung, am                , als zu weit, um mit dem Grundsatz der Daten- minimierung vereinbar zu sein (s. (1)). Für den weiteren damit verfolgten Zweck, die Durchführung eines rechtmäßigen Verwaltungsverfahrens, insbesondere auch unter dem Gesichtspunkt einer Identifizierung des IFG-Antragstellers, war die Erhebung von dessen Postanschrift nicht erforderlich (s. (2)). (1) Soweit der Erhebung der Postanschrift des IFG-Antragstellers am der Zweck der Bekanntgabe der Entscheidung über dessen IFG-Antrag an ihn persönlich in Schriftform auf dem Postweg zugrunde lag, war diese Zweckbe- stimmung mit dem Grundsatz der Datenminimierung nicht zu vereinbaren, weil sie die genannte Datenverarbeitung an diesem Tag ermöglicht hätte, obwohl sie noch nicht erforderlich war. Am                war nämlich noch nicht klar, ob das die Bekanntgabe in der von ihm beabsichtigen Form überhaupt in rechtlich zulässiger Weise vornehmen konnte. Denn eine Bekanntgabe der Entscheidung über den IFG-Antrag in Schriftform auf dem Postweg war weder vorgeschrieben (s. (a)) noch stand es dem        zu diesem Zeitpunkt frei, sich für diese Form der Bekanntgabe zu entscheiden (s. (b)).

- 18 - (a) Das       war nicht verpflichtet, seine Entscheidung über den hier in Rede ste- henden IFG- Antrag, bei der es sich um einen Verwaltungsakt handelt, vgl. BVerwG, Urteil vom 20. Oktober 2016 - 7 C 6.15 -, juris, Rn. 20, dem Antragsteller in Schriftform auf dem Postweg bekannt zu geben. Ent- sprechende Regelungen finden sich namentlich nicht im Informationsfreiheits- gesetz. Dort ist lediglich eine Bekanntgabe für ablehnende Entscheidungen (§ 9 Abs. 1 IFG) und für Entscheidungen mit Drittbeteiligung (§ 8 Abs. 2 Satz 1 IFG) vorgesehen, ohne hierfür eine bestimmte Form vorzusehen. Eine Vorgabe für die Form der Bekanntgabe folgte auch nicht daraus, dass derje- nige, der einen Antrag auf Zugang zu amtlichen Informationen nach dem Informa- tionsfreiheitsgesetz stellt, gemäß § 1 Abs. 2 Satz 2 IFG eine bestimmte Art des Informationszugangs wählen kann. Denn dieses Wahlrecht betrifft nur die Art des Informationszugangs in Umsetzung einer stattgebenden Entscheidung, also die Auskunft, die Akteneinsicht oder das Verfügbarmachen in sonstiger Weise, nicht jedoch die Form der Entscheidung über den IFG-Antrag selbst, die der eigent- lichen Informationsgewährung vorgelagert ist und deren rechtliche Grundlage bildet. Vgl. Schmitz, Das Informationsfreiheitsgesetz des Bundes, NVwZ 2005, 984 (990); Schoch, In- formationsfreiheitsgesetz, 2. Aufl. 2016, § 1 Rn. 251. Auch aus allgemeinen verfahrensrechtlichen Regelungen ergab sich keine Ver- pflichtung des       , seine Entscheidung über den hier in Rede stehenden IFG- Antrag dem IFG-Antragsteller auf dem Postweg bekannt zu geben. Gemäß § 41 Abs. 1 Satz 1 VwVfG ist ein Verwaltungsakt demjenigen Beteiligten bekannt zu geben, für den er bestimmt ist oder der von ihm betroffen wird. Der Verwaltungsakt ist bekanntgegeben, wenn er mit Wissen und Wollen der Behör- de, die den Verwaltungsakt erlässt, dem Betroffenen eröffnet wird. Dazu ist es

- 19 - ausreichend aber auch erforderlich, dass er so in den Machtbereich des Betroffe- nen gelangt, dass dieser bei gewöhnlichem Verlauf und unter normalen Umstän- den die Möglichkeit der Kenntnisnahme hat. Vgl. BVerwG, Beschluss vom 22. Februar 1994 - 4 B 212.93 -, juris, Rn. 3; OVG NRW, Beschluss vom 15. Juni 2015 - 12 A 814/15 -, juris, Rn. 2. Welche Bekanntgabeart die informationsführende Stelle aus den in § 41 Abs. 2 bis 5 VwVfG vorgesehenen Formen (einfach, öffentlich oder durch förmliche Zu- stellung) wählt, steht, dem Wahlrecht hinsichtlich der Form des Erlasses des Verwaltungsakts folgend (§ 37 Abs. 2 Satz 1 VwVfG), in ihrem pflichtgemäßen Ermessen, soweit nicht gesetzlich etwas anderes geregelt ist. Vgl. Stelkens, in: Stelkens/Bonk/Sachs, Verwal- tungsverfahrensgesetz, 9. Aufl. 2018, § 41 Rn. 18; Couzinet/Fröhlich, in: Mann/Sennekamp/ Uechtritz, Verwaltungsverfahrensgesetz, 2. Aufl. 2019, § 41 VwVfG Rn. 31; Tiedemann, in: Ba- der/Ronellenfitsch, BeckOK VwVfG, 56. Edition (Stand: 1. Juli 2022), § 41 VwVfG Rn. 35. Dass sich dieses Ermessen für das            dahingehend reduziert hatte, dass nur eine Bekanntgabe seiner Entscheidung auf dem Postweg rechtmäßig gewesen wäre, es mithin zu dieser Form der Bekanntgabe verpflichtet war, ist nicht ersicht- lich. (b) Dem       stand es bei Erhebung der Postanschrift des IFG-Antragstellers am nicht frei, sich für eine Bekanntgabe der Entscheidung über dessen Antrag in Schriftform auf dem Postweg zu entscheiden. Zwar stand dem            in- soweit im Grundsatz ein Wahlrecht zu, da ihm – wie bereits ausgeführt – mangels anderweitiger Regelungen Ermessen in Bezug auf die Form der Bekanntgabe eingeräumt war. Dieses Ermessen hatte es aber in pflichtgemäßer Weise auszu- üben. Vgl. Couzinet/Fröhlich, in: Mann/Sennekamp/ Uechtritz, Verwaltungsverfahrensgesetz, 2. Aufl.

- 20 - 2019, § 41 VwVfG Rn. 31; Tiedemann, in: Bader/ Ronellenfitsch, BeckOK VwVfG, 56. Edition (Stand: 1. Juli 2022), § 41 VwVfG Rn. 35. Bei der dabei vorzunehmenden Abwägung waren neben seinen eigenen Inte- ressen, beispielsweise dem schnellen und nachweisbaren Wirksamwerden des Verwaltungsakts oder etwa anfallenden Kosten, und den Interessen des Be- troffenen, wie etwaige mit einer bestimmten Bekanntgabeform verbundene Lästigkeiten, vgl. Stelkens, in: Stelkens/Bonk/Sachs, Ver- waltungsverfahrensgesetz, 9. Aufl. 2018, § 41 Rn. 19, auch der Grundsatz der Datenminimierung sowie der Grundsatz der Zweck- bestimmung aus Art. 5 Abs. 1 Buchst. b) DSGVO in den Blick zu nehmen, wo- nach personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwe- cke erhoben werden dürfen. Aus beiden Grundsätzen folgt für die Wahl einer Be- kanntgabeform, dass sich eine Behörde für eine Form der Bekanntgabe, die – wie hier mit der Erhebung der Postanschrift des IFG-Antragstellers – eine zu- sätzliche Datenverarbeitung notwendig macht, erst dann entscheiden kann, wenn dies zur Wahrung ihrer berechtigten Belange erforderlich ist. Nur diese Sicht- weise kann gewährleisten, dass die Datenverarbeitung entsprechend den Vorga- ben der Datenschutzgrundverordnung auf das absolut Notwendige beschränkt wird, vgl. Heberlein, in: Ehmann/Selmayr, Daten- schutz-Grundverordnung, 2. Aufl. 2018, Art. 6 Rn. 23; Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 40. Edition (Stand: 1. Novem- ber 2021), Art. 6 DS-GVO Rn. 15 ff.; sinngemäß auch Buchner/Petri, in: Kühling/Buchner, DS- GVO, 3. Aufl. 2020, Art. 6 Rn. 15; Wolff, in: Schantz/Wolff, Das neue Datenschutzrecht, 2017,      Rn. 434;       EuGH,    Urteil   vom 16. Dezember 2008 - C-73/07 (Satakunnan Markkinapörssi und Satamedia) -, juris, Rn. 56, vom 8. April 2014 - C-293/12 (Digital Rights Ire-