Abdruck Ii ßf!)l Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Ulrich Kelber Bundesbeauftragter für den Datenschutz und die Informationsfreiheit POSTANSCHRIFT Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Postfach 1468, 53004 Bonn Staatssekretär des Bundesministeriums des lnnern, für Bau und Heimat Herrn Hans-Geerg Engelke Alt-Moabit 140 10557 Berlin HAUSANSCHRIFT FON FAX E·MAIL INTERNET DATUM GESCHAFTSZ. Husarenstraße 30, 53117 Bonn (0228) 997799·5000 (0228) 997799-5550 referat25@bfdi.bund.de www.datenschutz.bund.de Bonn, 11.11.2019 25-206/001#1033 Bitteeeben Sie das vorstehende GeschifUzeichen bei allen Antwortschreiben unbedinct an. BETREFF HIER Datenschutzverstoß bei der Bearbeitung eines IFG-Antrags Anhörung vor Erlass einer Maßnahmen nach Art. 58 Abs. 2 DSGVO Anhörung Sehr geehrter Herr Engelke, ich beabsichtige, Sie gemäß Art. 58 Abs. 2 Buchst. d) DSGVO anzuweisen, in Verfahren nach dem Informationsfreiheitsgesetz über die vom Antragsteller hinaus übermittelten Kon- taktdaten nur noch dann zusätzliche personenbezogene Daten zu verarbeiten, wenn ein Antrag (teilweise) abzulehnen sein wird oder wenn Gebühren zu erheben sind. Begründung: I. Mit E-Mail vom 9. Juli 2019 beantragte der spätere Beschwerdeführer im bei Ihnen unter dem Aktenzeichen Zll4-13002/4#2050 geführten Verfahren über die Plattform fragden- staat.de die Zusendung eines "Verzeichnis[ses] von Informationen, Akten, Vorgängen, Vor- haben, Entwürfen u.ä., die Ihnen zu Pfeilabschussgeräten vorliegen, die aufgrund einer ,Über-Lauf-Konstruktion' nicht unter das Waffengesetz fallen, wie dies u.a. im Feststel- 97581/2019 ZUSTELL· UND LIEFERAHSCHRIFT VERKEHRSANBINDUNG Husarenstraße 30,53117 Bonn Straßenbahn 61, Husarenstraße

-" Abdruck fi Seite 2von 6 i3f91 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit lungsbescheid des Bundeskriminalamts vom 29.04.2015 (BAnz AT 15.05.2015 BS) beschrie- ben ist.cc. Mit E-Mail vom 22. Juli 2019 baten Sie den Beschwerdeführer über die Plattform fragden- staat.de um Übermittlung seiner Postanschrift Zu Begründung führten Sie aus, dass gern. § 41 Abs. 1 Satz 1 VwVfG ein Verwaltungsakt demjenigen gegenüber bekanntzugeben sei, für den er bestimmt ist. Der Zeitpunkt der Bekanntgabe setze eine Rechtsbehelfsfrist in Gang. Die Bekanntgabe an den Beschwerdeführer persönlich sei bei einer Übermittlung an die angegebene E-Mail-Adresse der Internetseite nicht sichergestellt. Darüber hinaus sei der Zeitpunkt der Bekanntgabe für die Behörde nicht erkennbar. Eine Beantwortung sei- nes Informationsgesuches könne deshalb nur in Schriftform an seine Postanschrift erfol- gen, sofern er darüber hinaus keine persönliche E-Mail-Adresse mitteile. Mit E-Mail vom gleichen Tag antwortete der Beschwerdeführer, dass für die Feststellung der Identität des Antragstellers beispielsweise durch postalische Kommunikation grund- sätzlich keine Befugnis bestehe. bies sei auch unmittelbare Konsequenz der Formlosigkeit des Verfahrens. Soweit ein Empfänger dies eröffne- was er getan habe- sei eine elektroni- sche Bekanntgabe der Verwaltungsentscheidung sowie Auskunft ebenso denkbar. Auch sei sichergestellt, dass eine Bekanntgabe an ihn persönlich erfolge. Die Software der Internet- seite sei öffentlich dokumentiert. Mit Zustellung an die E-Mailadresse der Plattform sei die Zustellung grundsätzlich iSv RFC 5321 Sec. 4.2 mittels Return-Code "250 OK" bestätigt; zivilrechtlich sei dies bereits durch das LG Bonn im Hinblick auf den Zugang untersucht worden. Darüber hinaus seien Antworten an Postfächer bei "Frag den Staat" grundsätzlich öffentlich einsehbar. Zudem werde ein Antragsteller bei Zugang einer E-Mail an ein E-Mail- Postfach bei "Frag den Staat" zusätzlich an eine persönliche E-Mail-Adresse benachrich- tigt. Soweit es darauf ankomme sei "Frag den Staat" aufgrund seiner Funktionsweise und Nutzungsbedingungen auch selbst als E-Mail-Provider anzusehen (https://fragdenstaat.de/nutzungsbedingungen/). Er forderte Sie daher dazu auf, seinen Antrag in der gewünschten Form zu bearbeiten. ln Ihrer Erwiderung vom gleichen Tag führten Sie aus, dass nach der Gesetzesbegründung zum lnform~tionsfreiheitsgesetz die Behörde die Identität des Antragstellers feststellen können müsse. Erst nach Mitteilung von Namen und zustellungsfähiger Postadresse eines IFG-Antragstellers bestehe daher ein Rechtsanspruch auf Beantwortung. Die Tatsache, dass in § 7 IFG die Frage der Notwendigkeit einer Identifikation des Antragstellers nicht explizit geregelt sei, schließe die. ergänzende Heranziehung des VwVfG nicht aus. Bestün- den bei elektronischen Anfragen Zweifel an der Identität der Person, die Auskunft erbeten hat, werde der Postweg genutzt. Sie sähen hierin einen "wichtigen Grund" nach § 1 Abs. 2 Satz 2 IFG. Anfragen, die offensichtlich anonym oder unter einem Pseudonym erfolgten, 97581/2019 - .

.... AbdruCk ßf9I seiteJvon 6 Der Bundesbeauftragte für den Datenschutz und die·Informationsfreiheit seien nach der Gemeinsamen Geschäftsordnung der Bundesregierung grundsätzlich nicht zu beantworten. Nach weiterem elektronischem Schriftwechsel bat der Beschwerdeführer mit E-Mail vom 27. Juli 2019 bezüglich der Anforderung seiner personenbezogenen Daten um Mitteilung der entsprechenden Datenschutzinformationen nach Art. 13 DSGVO, § 32 BDSG. Daraufhin teilten Sie dem Beschwerdeführer mit E-Mail vom 29. Juli 2019 mit, dass perso- nenbezogene Daten von ihm verarbeitet würden. Welche Daten zu welchem Zweck und auf welcher Grundlageverarbeitet würden, sei abhängig von seinem Anliegen und den konkre- ten Umständen. Weitere Informationen hierzu und über seine Betroffenenrechte der Datenschutzerklärung auf der Internetseite des seien in Bundesministeriums des lnnern, für Bau und Heimat unter dem Link https:l/www.bmi.bund.de/DE/service/datenschutz/datenschutz node.html aufgeführt. Da er sich mit diesen Informationen nicht zufrieden gab und Sie die weitere Bearbeitung ohne Übermittlung einer Postanschrift nicht aufnehmen wollten, wandte sich der Be- schwerdeführer mit E-Mail vom 12. August 2019 an mich und erhob Beschwerde nach Art. 77 DS-GVO. Zur Begründung führte er insbesondere aus, dass die ihm zugänglich gemach- te Datenschutzinformation seiner Ansicht nach keine hinreichenden Informationen erhal- ten habe. ln der von Ihnen daraufhin erbetenen Stellungnahme vom 27. August 2019 teilten Sie mit, dass das Informationsfreiheitsgesetz eine Regelung des öffentlichen Rechts sei und somit für das IFG-Verfahren die Regelungen des VwVfG gelten würden. Das VwVfG verlange durchgehend für alle IFG-Anträge eine Identifizierung des Antragstellers. Dementspre- chend sei in der Begründung zum Gesetzentwurf des IFG aus dem Jahre 2004 (BT-Drs. 15/4493} zu § 7 Absatz 1 (S.14) vorausschauend klargestellt: "Obwohl Schriftform nicht allgemein nötig ist, muss die Behörde die Identität des Antragstellers feststellen können.". Hätte der Gesetzgeber das Identifikationserfordernis ausschließen wollen, wäre vielmehr der explizite Ausschluss entsprechender Regelungen des VwVfG durch das IFG erforderlich gewesen. Nach§§ 35,41 VwVfG sei eine Rechtsgrundlage für die Anforderung personenbe- zogener Daten gegeben. Es bestehe somit eine rechtliche Verpflichtung zur Datenverarbei- tung im Sinne von Art. 6 Abs. 1lit c DSGVO. Die Anfor~erung einer postalischen Erreichbar- keit sei auch erforderlich, da der IFG-Bescheid ein Verwaltungsakt sei, der nach§ 41 VwVfG demjenigen Beteiligten bekannt zu geben sei, für den er bestimrt)t ist. Daher sei für die Bekanntgabe eine konkrete Person als Empfänger erforderlich. Dies sei auch im weiteren Verfahrensverlauf nur konsequent. Denn es sei nicht auszuschließen, dass IFG-Bescheide- wie andere Verwaltungsakte auch - korrigiert oder zurückgenommen werden müssten. Für 97581/2019

ßf91 seite 4 vonG Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit diese Fälle sei es zwingend erforderliCh, eine postalische oder zumindest elektronische Adresse des Antragstellers zu haben. Die Zu Iässigkeit der Verarb~itung personenbezogener Daten im vorliegenden Fall ergebe sich daher aus §§ 35, 41 VwVfG i.V.m. Art. 6 Abs. 1 lit c DS-GVO. Die Beschwerde nach Art. 77 DSGVO sei somit unbegründet II. Nach § 16 .Abs. 1 BDSG LV.m. Art. 58 Abs. 2 Buchst. d) DSGVO bin ich befugt, anzuweisen, Verarbeitungsvorgänge auf bestimmte Weise in Einklang mit dieser Verordnung zu brin- gen. Diese Voraussetzungen sind nach den bisherigen Sachverhaltsermittlungen hier er- füllt: Entgegen Ihrer Auffassung ist die Anforderung einer postalischen Erreichbarkelt nicht grundsätzlich vor Aufnahme der Bearbeitung von IFG-Anträgen zulässig. Nach Art. 6 Abs. 1 lit. c DSGVO ist die Verarbeitungpersonen bezogener Daten dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unter- liegt. Die Rechtsgrundlage für entsprechende Verarbeitungen wird nach Art. 6 Abs. 3 DS- GVO festgelegt dljrch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verant- wortliche unterliegt. Eine solche Rechtsgrundlage ist im vorliegenden Fall jedoch nicht erkennbar. Die §§ 35, 41 VwVfG i.V.m~ Art. 6 Abs. 1 lit c DSGVO stellen keine taugliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten dar. Zwar stellt auch die den Informationszugang gewährende Entscheidung einen Verwal- tungsakt dar, jedoch ist für dessen wirksame Bekanntgabe die Verarbeitung einer Postan- schrift oder einer persönlichen ·E-Mailadresse grundsätzlich nicht erforderlich. Die Be- kanntgabe kann.vielmehr auch an die über die Plattform fragdenstaat.de für jede Anfrage computergenerierte E-Mailadresse erfolgen. Nach § 41 Abs. 1 Satz 1 VwVfG ist ein Verwal- tungsaktdemjenigen bekanntzugeben, für den er bestimmt ist. Es kommt somit maßgeb- lich darau~ an, wem gegenüber die Behörde ihre Entscheidung treffen will. Diese individu- ell-persönliche Konkretisierung (Bestimmbarkeit des Adressaten) ist auch durch die Adres- sierung über die von der Plattfo~m fragdenstaat.de generierte individuelle E-Mailadresse möglich. Die Bekanntgabe des Verwaltungsaktes erfolgt auch auf diesem Weg un,missver- ständlich an die Person die den Antrag gestellt hat und für die folglich auch der Verwal- tungsakt bestimmt ist. Für die Wirksamkeit der Bekanntgabe wäre es letztlich sogar unerheblich, wenn der Adres- sat die Behörde über seine Identität täuschte. Auch wenn eine Person unter (falschem) "eigenem'' Namen gegenüber de~ Behörde auftritt und die Behörde gerade gegenüber die- 97581/2019

ÄbdruCk ßf91 seitesvon 6 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ser mit der FalschpersonaUe konkretisierten Person eine Entscheidung treffen will, ist der Adressat hinreichend bestimmt (Stelkens/Bonk/Sachs/Stelkens, 9. Aufl. 2018, VwVfG § 41 Rn. 30). Diese Auffassung wird auch durch die Rechtsprechung des Bundesverwaltungsge- richts gestützt (BVerwG, Urt. v. 9.9.2014- 1 C 10/14, NVwZ 2014, 1679, Rn. 13). ln dem die- sem Verfahren zugrundeliegenden Fall begehrte der Antragsteller seine Einbürgerung, die ihm - wenn auch unter falschem Namen - bewilligt wurde. Das Gericht stellt für die Wirk- samkeit dieser Entscheidung darauf ab, dass es für "die verfahrensrechtliche Beteiligten- stellung 0 letztlich auf die Person abzustellen [sei], die der Behörde gegenübertritt und im eigenen Namen für sich (eine Entscheidung über) die beantragte Maßnahme begehrt". Wenn diese Sichtweise sogar für eine solch bedeutende Verwaltungsentscheidung wie eine Einbürgerung anzunehmen ist, kann für die Bearbeitung von IFG-Anträgen nichts anderes gelten. Untermauert wird diese Sichtweise ferner dadurch, dass auch bei einer telefonischen Aus- kunftserteilung (also der fernmündlichen Bekanntgabe der Zugangsgewährung} eine ver- tiefte Identitätsprüfung nicht erfolgen kann, der Gesetzgeber sie aber gleichwohl aus- drücklich in § 7 Abs. 3 S. 11FG zugelassen hat. Würde man Ihre Sichtweise zugrunde legen, käme diese im IFG ausdrücklich vorgesehene Form des Informationszugangs nicht zum Tragen. Gleiches gilt aber dann auch für die Bekanntgabe unter Verwendung der vom An- tragsteller mit technischer Unterstützung der Plattform fragdenstaat.de generierten E- Mail-Adresse. Die Bekanntgabe erfolgt in diesem Fall über die in § 3a Abs. 1 VwVfG eröffne- te Möglichkeit der elektronischen Kommunikation. Etwas anderes kann dann gelten, wenn durch die Bekanntgabe eines belastenden Verwal- tungsaktes Rechtsbehelfsfristen in Gang gesetzt werden. ln diesem Fall muss die Behörde die wirksame Bekanntgabe - ggf. gerichtsfest - nachweisen können. Zwar gilt nach § 41 Abs. 2 Satz 2 VwVfG auch ein elektronisch übermittelter Verwaltungsakt am dritten Tag nach der Absendung als bekannt gegeben, jedoch muss die Behörde diesen Zugang nach Satz 3 Halbsatz 2 im Zweifelsfall nachweisen können. Da dieser Nachweis bei einer Über- mittlung an die Plattform fragdenstaat.de nicht in vergleichbarer Weise wie bei einer Ver- sel)dung per Post möglich sein könnte, darf in diesen Fällen eine postalische Erreichbar- keit gefordert werden. Dies setzt jedoch zunächst die inhaltliche Befassung mit dem Ge- genstand des Antrags voraus, so dass eine Einschätzung getroffen werden kann, ob ein belastender Verwaltungsakt zu erlassen sein wird. Diese Prognose muss für den Antrag- steller auch die tragenden Gründe erkennen lassen. Nur in solchen Fällen kommt somit die. Anforderung weiterer personenbezogener Daten in Betracht. Da zumindest im vorliegenden Fall eine solche Prognoseentscheidung dem Beschwerde- führer gegenüber nicht mitgeteilt wurde und zunächst auch keine Gründe für eine 97581/2019 ableh~

- )I" ßf!)l Seite6von6 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit nende Entscheidung oder die Erhebung von Gebühren erkennbar sind, war die auf§§ 35, 41 VwVfG i.V.m. Art. 6 Abs. 1 lit. c DSGVO gestützte Anforderung einer Postanschrift unzu- lässig. Weitere, die Anforderung rechtfertigende Gründe wurden von Ihnen bislang nicht vorgetragen und sind auch nicht ersichtlich. Da Sie bislang auch nicht zu erkennen gegeben haben, dass Sie diese Rechtsauffassung anerkennen und einen rechtskonformen Zustand herzustellen bereit sind, sind durch mich entsprechende Maßnahmen zu ergreifen, um einen rechtmäßigen Zustand herzustellen. Mangels Alternativen sehe ich nur die Möglichkeit einer Anweisung nach Art. 58 Abs. 2lit. d DSGVO. Da im vorliegenden Fall die Anforderung weiterer personenbezogener Daten aus- scheiden dürfte, ist auf den Umfang der Informationspflichten nach Art. 13 DSGVO nicht weiter einzugehen. 111. Bevor ich in der Sache eine endgültige Entscheidung treffe, gebe ich Ihnen bis zum 10.Dezernber2019 gemäߧ 28 des Verwaltungsverfahrensgesetzes (VwVfG) Gelegenheit, sich zur Sache zu äußern. Sollte ich von Ihnen bis zu diesem Datum keine Nachricht erhalten haben, behalte ich mir vor, weitere Ermittlungen einzuleiten oder nach Aktenlage zu entscheiden. Mit freundlichen Grüßen ##! Ulrich Kelber 97581/2019 ·. ' ••