Art. 30 Abs. 4 DS-GVO weist einen mit § 1 Abs. 1 IFG – abstrakt – identischen sachlichen Regelungsgehalt auf.

Der Kläger begehrt von der Beklagten Zugang zu einem Verarbeitungsverzeichnis und einer Liste der Auftragsverarbeiter.

Mit Antrag vom 3. Dezember 2023 bat der Kläger die Beklagte u.a. bezugnehmend auf § 1 des Gesetzes zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz - IFG) um Zusendung des Folgenden:

„das Verzeichnis nach Art. 30 DSGVO und die die [sic] Liste der Auftragsverarbeiter. Ich verweise auf die Rechtsaufassung des BfDI unter https://fragdenstaat.de/anfrage/gruende-fuer-die-nutzung-des-ss-62-bdsg/852218/anhang/105804-2023_geschwaerzt.pdf.“

Wegen der Einzelheiten wird auf den über die Internetplattform „FragDenStaat“ gestellten Antrag (#294089) verwiesen.

Mit Bescheid vom 20. März 2024 lehnte die Beklagte den Antrag ab. Ein Anspruch auf Informationszugang nach § 1 Abs. 1 IFG bestehe nicht. Hinsichtlich des Verarbeitungsverzeichnisses nach Art. 30 DS-GVO stehe dem bereits entgegen, dass das IFG aufgrund der im Sinne des § 1 Abs. 3 IFG vorrangigen Spezialregelung des Art. 30 Abs. 4 DS-GVO keine Anwendung finde. Im Übrigen und jedenfalls seien sowohl hinsichtlich des Verarbeitungsverzeichnisses als auch der Liste der Auftragsverarbeiter Ausschlussgründe nach dem IFG einschlägig.

Mit E-Mail vom 5. April 2024, der ein mit einer qualifizierten elektronischen Signatur versehenes Schreiben des Klägers beigefügt war, erhob dieser gegen den Ablehnungsbescheid vom 20. März 2024 Widerspruch, ohne diesen zu begründen.

Mit Widerspruchsbescheid vom 18. September 2024 wies die Beklagte den Widerspruch zurück. Zur Begründung wiederholte und vertiefte sie im Wesentlichen die Begründung des Ablehnungsbescheids. Ergänzend führte sie aus, dass bereits § 4g Abs. 2 BDSG a.F. als vorrangige Spezialregelung im Sinne von § 1 Abs. 3 IFG anzusehen gewesen sei. Für Art. 30 Abs. 4 DS-GVO als Nachfolgervorschrift gelte daher nichts anderes.

Der Kläger hat am 16. Oktober 2024 Klage erhoben. Zur Begründung trägt er im Wesentlichen vor, dass Art. 30 Abs. 4 DS-GVO keine Ausnahme im Sinne des IFG darstelle. Die DS-GVO habe nicht den Informationszugang begrenzen wollen, sondern verfolge ausdrücklich das Ziel, den betroffenen natürlichen Personen umfassende Kontrollrechte über ihre personenbezogenen Daten zu gewährleisten. Gerade der Transparenzgrundsatz nach Art. 5 Abs. 1 lit. a DS-GVO betone, dass die Verarbeitung personenbezogener Daten nicht nur rechtmäßig erfolgen müsse, sondern für die betroffenen Personen und die Öffentlichkeit nachvollziehbar sein solle, damit nachvollzogen werden könne, welche Daten zu welchem Zweck verarbeitet würden. Somit rechtfertige das Transparenzprinzip keine Einschränkung der Informationsrechte nach nationalen Informationsfreiheitsgesetzen, sondern fordere vielmehr dazu auf, Informationszugänge umfassend und wirksam zu gewährleisten. Die Regelung des Art. 30 Abs. 4 DS-GVO stelle daher, wie die BfDI richtig darstelle, lediglich eine Privilegierung der Datenschutzaufsichtsbehörden dar, um deren Kontrollmöglichkeiten effektiv auszugestalten. Auch die Begründung der Beklagten zu § 3 Nr. 2 IFG-Bund führe nicht weiter. Es sei schon nicht ersichtlich, dass sie etwas mit der öffentlichen Sicherheit zu tun habe. Überdies wäre sie verpflichtet gewesen, konkret und nachvollziehbar darzulegen, inwieweit aus der Offenlegung der begehrten Informationen eine reale und konkrete Gefahr resultiere. Diesen Anforderungen genügten weder der Ausgangsbescheid noch der Widerspruchsbescheid. Die pauschale Ablehnung sämtlicher begehrter Informationen ohne konkrete und nachvollziehbare Einzelfallprüfung stelle einen Ermessensfehlgebrauch dar, weil sie weder eine transparente Überprüfbarkeit für Betroffene und Gerichte gewährleiste, noch der Verpflichtung der Behörde gerecht werde, zumindest die Möglichkeit einer teilweisen Offenlegung – beispielsweise durch Schwärzungen sensibler Informationen – zu prüfen. Die Veröffentlichung der Liste der Auftragsverarbeiter sei erforderlich, um Betroffenen im Falle bekannter Sicherheitsvorfälle die Möglichkeit zu geben, ihre Rechte effektiv wahrzunehmen.

Der Kläger beantragt,

1. die Beklagte unter Aufhebung des Bescheids vom 20. März 2024 in Gestalt des Widerspruchsbescheids vom 18. September 2024 zu verpflichten, ihm den mit seinem Antrag vom 3. Dezember 2023 begehrten Informationszugang zu gewähren,

2. die von ihm schriftsätzlich formulierten Fragen dem Europäischen Gerichtshof zur Vorabentscheidung vorzulegen, insbesondere ob Art. 30 Abs. 4 DS-GVO i.V.m. Art. 5 Abs. 2, Art. 24 Abs. 1, Art. 38 Abs. 1 und 2 sowie Art. 39 Abs. 1 DS-GVO dahin auszulegen ist, dass diese Vorschrift lediglich eine besondere Kooperations- und Vorlagepflicht gegenüber der Aufsichtsbehörde regelt, ohne einen „numerus clausus“ der zugangsberechtigten Personen oder Stellen zu begründen.

Die Beklagte beantragt,

die Klage abzuweisen.

Zur Begründung verweist sie auf die Ausführungen in den ablehnenden Bescheiden. Ergänzend trägt sie im Wesentlichen vor, dass Art. 30 Abs. 4 DSGVO der Sache nach abschließend regele, wem gegenüber Verzeichnisse von Verarbeitungstätigkeiten offenzulegen seien. Dies stehe im Einklang damit, dass das Verarbeitungsverzeichnis nach Art. 30 DS-GVO internen Zwecken diene und nicht öffentlich zugänglich sei. Auch aus den in der Klageschrift angeführten Regelungen des Art. 5 Abs. 1 lit. a sowie der Art. 13 bis 15 DS-GVO ergebe sich nichts anderes. Zahlreiche der in Rede stehenden Datenverarbeitungsvorgänge beträfen durch Art. 9 DS-GVO besonders geschützte und persönlichkeitsrechtlich hochsensible Gesundheitsdaten. Diese besondere Sensibilität – und die damit korrespondierende Notwendigkeit, jeglicher Erleichterung eines unbefugten Zugriffs auf die entsprechenden Daten von vornherein entgegenzuwirken – werde auch dadurch belegt, dass es sich bei der Erbringung von Versicherungsleistungen durch die Beklagte um eine kritische Dienstleistung im Sinne von § 10 Abs. 1 Satz 1 BSI-Gesetz und § 7 der KRITIS-V handele. All dies gelte auch für die Liste der Auftragsverarbeiter.

Mit Beschluss vom 23. März 2026 hat die Kammer den Rechtsstreit auf den Einzelrichter zur Entscheidung übertragen.

Wegen der weiteren Einzelheiten des Sach- und Streitstands wird auf die Gerichtsakte und die von der Beklagten mit Schriftsatz vom 16. Juni 2026 übersandten Unterlagen („Anlage“, Bl. 118-154 d. Gerichtsakte) Bezug genommen, die Gegenstand der mündlichen Verhandlung gewesen sind.

Die Entscheidung trifft gemäß § 6 Abs. 1 VwGO der Einzelrichter, auf den die Kammer den Rechtsstreit übertragen hat.

Die mit dem Antrag zu 1. verfolgte, zulässige Verpflichtungsklage führt nur in dem sich aus dem Urteilsausspruch ergebenden Umfang zum Erfolg.

Der den Informationszugang insgesamt ablehnende Bescheid der Beklagten vom 20. März 2024 in Gestalt des Widerspruchsbescheids vom 18. September 2024 ist rechtmäßig und verletzt den Kläger nicht in seinen Rechten, soweit damit der Zugang zu dem von der Beklagten geführten Verzeichnis der Verarbeitungstätigkeit nach Art. 30 Abs. 1 DS-GVO verwehrt wird. Insoweit kommt dem Kläger ein Informationszugangsanspruch nicht zu, § 113 Abs. 5 VwGO (hierzu unter 1.). Hingegen hat der Kläger Anspruch auf Zugang zu der ebenfalls begehrten Liste der Auftragsverarbeiter (hierzu unter 2.).

Dem nur als Anregung zu verstehenden (vgl. BVerfG, Nichtannahmebeschl. v. 27.4.2021, 1 BvR 2731/19, juris Rn. 3; Nichtannahmebeschl. v. 20.2.2008, 1 BvR 2722/06, juris Rn. 38, wonach die „Beteiligten eines Verwaltungsprozesses die Durchführung eines Vorabentscheidungsverfahrens […] nicht formell beantragen [können]“; s. auch Wöckel, in: Eyermann, VwGO, 17. Aufl. 2026, § 94 Rn. 24) „Antrag“ zu 2., die schriftsätzlich formulierten Fragen des Klägers dem Europäischen Gerichtshof zur Vorabentscheidung vorzulegen, kommt das Gericht nicht nach. Als erstinstanzliches Gericht, dessen Entscheidung mit Rechtsmitteln des innerstaatlichen Rechts, hier dem Antrag auf Zulassung der Berufung, angefochten werden kann, unterliegt es keiner Vorlagepflicht aus Art. 267 Abs. 3 AEUV. Auch für eine fakultative Vorlage im Rahmen von Art. 267 Abs. 2 AEUV sieht das Gericht, dem insoweit ein erheblicher Einschätzungsspielraum zukommt (vgl. nur: OVG Berlin-Brandenburg, Urt. v. 12.2.2026, OVG 1 B 17/23, juris Rn. 122; Kottmann, in: von der Groeben/Schwarze/Hatje/Terhechte, Europäisches Unionsrecht, 8. Aufl. 2025, Art. 267 AEUV Rn. 56), keine Veranlassung.

1. Der Kläger kann von der Beklagten nicht den Zugang zu dem bei ihr geführten Verzeichnis von Verarbeitungstätigkeiten beanspruchen.

Der Maßstab ergibt sich aus dem Informationsfreiheitsgesetz (IFG) vom 5. September 2005 mit späteren Änderungen (BGBl. I 2005, S. 2722, zuletzt geändert BGBl. I 2020, S. 1328).

Gemäß § 1 Abs. 1 Satz 1 IFG hat jeder nach Maßgabe dieses Gesetzes gegenüber den Behörden des Bundes einen Anspruch auf Zugang zu amtlichen Informationen. Amtliche Information im Sinne dieses Gesetzes ist nach § 2 Nr. 1 Satz 1 IFG jede amtlichen Zwecken dienende Aufzeichnung, unabhängig von der Art ihrer Speicherung. Entwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen, gehören nicht dazu, § 2 Nr. 1 Satz 2 IFG. Ausweislich § 1 Abs. 3 IFG gehen Regelungen in anderen Rechtsvorschriften über den Zugang zu amtlichen Informationen mit Ausnahme des § 29 des Verwaltungsverfahrensgesetzes und des § 25 des Zehnten Buches Sozialgesetzbuch vor.

Ausgehend von diesem Maßstab steht dem Kläger der geltend gemachte Informationszugangsanspruch nicht zu.

Zwar ist die Beklagte als bundesweit tätige gesetzliche Krankenkasse Behörde des Bundes im Sinne von § 1 Abs. 1 Satz 1 IFG (vgl. nur BVerwG, Urt. v. 17.6.2020, 10 C 22/19, juris Rn. 10; Schoch, IFG, 3. Aufl. 2024, § 1 Rn. 164 m.w.N.) und damit grundsätzlich Adressatin der aus dem Informationsfreiheitsgesetz folgenden Auskunftspflichten. Auch richtet sich der Informationszugangsanspruch des Klägers auf amtliche Informationen im Sinne des § 2 Nr. 1 Satz 1 IFG. Das Verarbeitungsverzeichnis erstellt und führt die Beklagte in Erfüllung ihrer gesetzlichen Pflichten.

Allerdings besteht ein Anspruch des Klägers auf Zugang zu diesen amtlichen Informationen nach § 1 Abs. 1 Satz 1 IFG nicht, weil die Vorschrift des Art. 30 Abs. 4 DS-GVO, wonach u.a. der Verantwortliche sowie gegebenenfalls der Vertreter des Verantwortlichen der Aufsichtsbehörde das Verzeichnis von Verarbeitungstätigkeiten auf Anfrage zur Verfügung zu stellen hat, eine Regelung in anderen Rechtsvorschriften über den Zugang zu amtlichen Informationen darstellt, die dem Informationsfreiheitsgesetz gemäß § 1 Abs. 3 IFG vorgeht.

Vor diesem Hintergrund kann dahinstehen, ob insoweit darüber hinaus auch der von der Beklagten angeführte Ausschlussgrund des § 3 Nr. 2 IFG erfüllt ist.

Nach gefestigter Rechtsprechung des Bundesverwaltungsgerichts wird das Informationsfreiheitsgesetz nach § 1 Abs. 3 IFG, der der Sicherung des Vorrangs des Fachrechts dient, durch Normen verdrängt, die einen mit § 1 Abs. 1 IFG – abstrakt – identischen sachlichen Regelungsgehalt aufweisen und sich als abschließende Regelung verstehen (BVerwG, Urt. v. 17.6.2020, 10 C 16.19, juris Rn. 9 m.w.N.). Die Vorschrift des Art. 30 Abs. 4 DS-GVO erfüllt diese Voraussetzungen.

a) Art. 30 Abs. 4 DS-GVO weist einen mit § 1 Abs. 1 IFG – abstrakt – identischen sachlichen Regelungsgehalt auf.

aa) Sowohl ausgehend vom Wortlaut des § 1 Abs. 3 IFG als auch mit Blick auf Sinn und Zweck der Regelung, den Vorrang des Fachrechts gegenüber dem allgemeinen Informationszugangsrecht zu gewährleisten, ist hierfür maßgeblich, ob die anderweitige Regelung dem sachlichen Gegenstand nach Regelungen über den Zugang zu amtlichen Informationen trifft. Darüber hinaus ist ausschlaggebend, ob die andere Regelung diesen Zugang nicht nur im Einzelfall, sondern allgemein oder doch typischerweise gestattet und an nach dem Informationsfreiheitsgesetz Informationspflichtige adressiert ist (BVerwG, Urt. v. 17.6.2020, a.a.O., Rn. 11 m.w.N.).

Dass die anderweitige Regelung dem Einzelnen einen individuellen, gerichtlich durchsetzbaren Informationszugangsanspruch verleiht, ist keine Voraussetzung von § 1 Abs. 3 IFG. Eine andere Sichtweise verschöbe den Akzent von einer sachlichen Kongruenz der jeweiligen Regelungsmaterie (dem „was“) auf das Merkmal der Rechtsdurchsetzung (das „wie“), nämlich ob eine etwa bestehende objektiv-rechtliche Informationspflicht auch mit subjektiv-rechtlichen Ansprüchen unterlegt ist. Damit würde dem Gesetzgeber verwehrt, es in einem bestimmten sachlichen Regelungsbereich bei objektiv-rechtlichen Informationspflichten zu belassen und deren Erfüllung auf andere Weise als durch Einräumung subjektiver Informationszugangsansprüche zu sichern. Dass der Gesetzgeber des Informationsfreiheitsgesetzes sich selbst derart einschränken wollte, lässt sich nicht annehmen. Dementsprechend ist bei der Anwendung des § 1 Abs. 3 IFG nicht grundsätzlich zwischen objektiv-rechtlichen Transparenzvorschriften und subjektiv-rechtlichen Informationszugangsansprüchen zu unterscheiden (zum Vorstehenden: BVerwG, Urt. v. 17.6.2020, a.a.O., Rn. 12 f. m.w.N.).

bb) Gemessen hieran trifft Art. 30 Abs. 4 DS-GVO eine über den Einzelfall hinausgehende Regelung über den Zugang zu amtlichen Informationen.

Die Norm zielt auf die Information der Aufsichtsbehörde, im Falle der Beklagten die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, über die Einhaltung der datenschutzrechtlichen Pflichten durch den Verantwortlichen oder den Auftragsverarbeiter. Sie soll eine effektive Datenschutzkontrolle ermöglichen (vgl. Erwägungsgrund 82 Satz 2 der DS-GVO; Hartung, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 30 DS-GVO Rn. 33). Werden im Zuge dieser Kontrolle Verstöße gegen datenschutzrechtliche Vorgaben festgestellt, steht zu erwarten, dass die Aufsichtsbehörde die Verantwortlichen bzw. Auftragsverarbeiter im Rahmen ihrer Befugnisse nicht nur verwarnt und ggfs. zu Abhilfemaßnahmen auffordert (vgl. zu ihren „Abhilfebefugnissen“ Art. 58 Abs. 2 DS-GVO), sondern auch etwaig betroffene Personen hiervon unterrichtet, diesen mithin die Möglichkeit der Kenntnisnahme verschafft und auf diese Weise für Transparenz sorgt. Letztere schafft vor allem auch der Tätigkeits- bzw. Jahresbericht, den die Aufsichtsbehörde nach Art. 59 Satz 1 DS-GVO über ihre Tätigkeit zu erstellen hat und der eine Liste der Arten der gemeldeten Verstöße und der Arten der getroffenen Maßnahmen nach Art. 58 Abs. 2 DS-GVO enthalten kann. Diese Berichte werden gemäß Art. 59 Satz 2 DS-GVO dem nationalen Parlament, der Regierung und anderen nach dem Recht der Mitgliedstaaten bestimmten Behörden übermittelt und ausweislich Art. 59 Satz 3 DS-GVO u.a. der Öffentlichkeit zugänglich gemacht, sodass auch insoweit die Möglichkeit der Kenntnisnahme durch die allgemeine Öffentlichkeit sichergestellt und eine umfassende öffentliche Kontrolle gewährleistet ist.

Dass die Pflicht zur Zurverfügungstellung von Verarbeitungsverzeichnissen dabei nur gegenüber der Aufsichtsbehörde besteht, d.h. nicht unmittelbar gegenüber betroffenen Personen oder gar der allgemeinen Öffentlichkeit, ist unschädlich. Maßgeblich ist allein, dass die Vorschrift über den Einzelfall hinaus den Zugang zu diesen Informationen regelt (das „was“). Die Modalitäten des Zugangs selbst (das „wie“) sind insoweit nicht von Bedeutung, zumal die Möglichkeit der Kenntnisnahme durch die allgemeine Öffentlichkeit, jedenfalls mittelbar, gewährleistet ist (vgl. o.).

b) Die Vorschrift des Art. 30 Abs. 4 DSGVO regelt den Zugang zu Verarbeitungsverzeichnissen auch abschließend.

Dies lässt sich bereits anhand des Wortlauts erkennen, der die diesbezügliche Offenlegung nur gegenüber der Aufsichtsbehörde vorschreibt und Dritte im Umkehrschluss von einem (direkten) Informationszugang ausschließt.

Die Entstehungsgeschichte, insbesondere der Blick auf die Vorgängerregelungen, zeigt, dass es sich hierbei um eine bewusste Entscheidung des Verordnungsgebers gehandelt hat. Zum einen ersetzt Art. 30 DS-GVO die (vormals) aus Art. 18 Abs. 1, Art. 19 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie) folgende – in Deutschland durch § 4d BSDG a.F. umgesetzte – allgemeine Meldepflicht, nach der vom Verantwortlichen, wenn dieser keinen betrieblichen Datenschutzbeauftragten bestellt hatte, automatisierte Verarbeitungen personenbezogener Daten grundsätzlich den Aufsichtsbehörden zu melden waren. Eine derartige Meldepflicht enthält die DS-GVO nicht. Dieser Verzicht wird in Erwägungsgrund 89 der DS-GVO damit begründet, dass die Meldepflicht für Verarbeitungen personenbezogener Daten nach der Richtlinie 95/46/EG mit einem bürokratischen und finanziellen Aufwand verbunden ist, aber nicht in allen Fällen zu einem besseren Schutz personenbezogener Daten geführt hat. Die unterschiedslose allgemeine Meldepflicht soll daher abgeschafft und durch wirksame Verfahren und Mechanismen ersetzt werden, die sich stattdessen vorrangig mit denjenigen Arten von Verarbeitungsvorgängen befassen, die aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und Zwecke wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. Seit dem 25. Mai 2018 sind die datenschutzrechtlich Verantwortlichen nach Art. 30 Abs. 1 DS-GVO verpflichtet, ihre Verarbeitungsvorgänge in einem Verzeichnis zu dokumentieren; nach Art. 30 Abs. 4 DS-GVO ist das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (vgl. zum Vorstehenden: BVerwG, Beschl. v. 25.4.2018, 6 B 3/18, juris Rn. 5).

Zum anderen hat die DS-GVO neben der Abschaffung der allgemeinen Meldepflicht auch zu Änderungen im Umgang mit diesen Verarbeitungsverzeichnissen geführt. In Art. 21 Abs. 1 Datenschutz-Richtlinie lautete es noch, dass die Mitgliedstaaten Maßnahmen erlassen, mit denen die „Öffentlichkeit der Verarbeitungen“ sichergestellt wird. Unter anderem sollten zu diesem Zweck Register mit den gemeldeten Verarbeitungen, die mindestens die – im Wesentlichen auch von Art. 30 Abs. 1 DS-GVO vorgeschriebenen – Angaben nach Art. 19 Abs. 1 lit. a bis e enthielten, von „jedermann“ eingesehen werden können, Art. 21 Abs. 2 Datenschutz-Richtlinie. Ferner hatten die Mitgliedstaaten nach Art. 21 Abs. 3 UAbs. 1 Datenschutz-Richtlinie vorzusehen, dass für bestimmte, nicht meldepflichtige Verarbeitungen zumindest die in Art. 19 Abs. 1 lit. a bis e vorgesehenen Angaben auf Antrag von dem für die Verarbeitung Verantwortlichen oder einer anderen von den Mitgliedstaaten benannten Stelle „jedermann“ in geeigneter Weise verfügbar gemacht werden. Der in Umsetzung dieser (damaligen) unionsrechtlichen Vorgaben erlassene § 4g Abs. 2 BDSG a.F. kannte im Zusammenspiel mit § 4e BDSG a.F. eine mit dem Verarbeitungsverzeichnis nach Art. 30 DS-GVO vergleichbare „Übersicht“ über die Verarbeitung personenbezogener Daten, welche die verantwortliche Stelle dem „Beauftragten für den Datenschutz“ nach § 4g Abs. 2 Satz 1 BSDG a.F. zur Verfügung zu stellen hatte. In § 4g Abs. 2 Satz 2 BDSG a.F. war zudem bestimmt, dass der „Beauftragte für den Datenschutz“ diese Übersicht auf Antrag nahezu vollständig (nur einzelne Angaben waren ausgenommen) „jedermann“ in geeigneter Weise verfügbar macht. Diesem „Jedermann“-Recht kam primär eine Kontroll- und Absicherungsfunktion zu. Da jede Person die Angaben einsehen konnte, war es der betreffenden Person möglich, etwaige bestehende Rechte gegenüber dem Verantwortlichen geltend zu machen (vgl. Hartung, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 30 DS-GVO Rn. 3).

Diese Herausgabeverpflichtung gegenüber „jedermann“ ist mit der DS-GVO weggefallen. Stattdessen sieht die Verordnung in den Art. 12 ff. nur noch besondere Informationspflichten und Auskunftsrechte gegenüber bzw. von betroffenen Personen vor, zieht den Kreis der Berechtigten mithin deutlich kleiner.

Die Vorschrift des Art. 30 Abs. 4 DS-GVO dient ersichtlich dem Zweck, die Überprüfung der Einhaltung datenschutzrechtlicher Vorgaben durch Verantwortliche oder Auftragsverarbeiter einer unabhängigen Stelle in einem fachlich qualifizierten, neutralen Verfahren (vgl. Art. 51 ff. DS-GVO) vorzubehalten, die wiederum über ihre Tätigkeitsberichte die allgemeine Öffentlichkeit unterrichtet (vgl. o.). Dieses Regelungskonzept verlöre seine Wirkung, würden daneben anderweitige Wege der Information eröffnet, insbesondere solche, die vormals – innerhalb des gegenüber dem IFG vorrangigen datenschutzrechtlichen Regimes – bereits bestanden, in der Folge aber auf Grundlage einer bewussten Entscheidung des Normgebers (vgl. o.) entfallen sind.

2. Der Kläger kann hingegen Zugang zu der begehrten Liste der Auftragsverarbeiter verlangen.

Der Anspruch folgt aus § 1 Abs. 1 Satz 1 IFG. Die Beklagte ist grundsätzlich zur Auskunft verpflichtet (vgl. o.) und auch bei der Liste der Auftragsverarbeiter handelt es sich um eine amtliche Information im Sinne des § 2 Nr. 1 Satz 1 IFG.

Anders als in Bezug auf das Verarbeitungsverzeichnis ist das IFG insoweit anwendbar. Die Vorrangigkeit von Art. 30 Abs. 4 DSGVO greift hier nicht, da die Norm allein das Verarbeitungsverzeichnis zum Regelungsgegenstand hat, d.h. sich nicht zu – gesondert hiervon – geführten Listen von Auftragsverarbeitern verhält.

Der Anspruch ist ferner nicht – wie die Beklagte geltend macht – nach § 3 Nr. 2 IFG ausgeschlossen. Nach dieser Ausnahmevorschrift besteht der Anspruch auf Informationszugang nicht, wenn das Bekanntwerden der Information die öffentliche Sicherheit gefährden kann.

Diese Vorschrift nimmt mit der „öffentlichen Sicherheit“ einen Begriff des Gefahrenabwehrrechts auf. Daran anknüpfend umfasst das Tatbestandsmerkmal der öffentlichen Sicherheit sowohl den Schutz von Individualrechtsgütern (Unversehrtheit von Gesundheit, Ehre, Freiheit, Eigentum und sonstige Rechtsgüter der Bürger) als auch den Schutz der Unversehrtheit der Rechtsordnung und der grundlegenden Einrichtungen und Veranstaltungen des Staates; Schutzgut ist mithin auch die Funktionsfähigkeit der staatlichen Einrichtungen. Dabei geht es um die Erfüllung der einer staatlichen Einrichtung jeweils zugewiesenen Aufgaben, die ihrerseits von geordneten verwaltungsinternen Abläufen abhängt (vgl. nur BVerwG, Urt. v. 20.10.2016, 7 C 20.15, juris Rn. 12 f.; OVG Münster, Urt. v. 16.12.2025, 15 A 750/22, juris Rn. 191 m.w.N.).

Der Ausschlussgrund greift bereits bei einer möglichen konkreten Gefährdung des Schutzguts. Angesichts der so herabgesetzten Eintrittswahrscheinlichkeit sind an die Gefahrenschwelle keine strengeren Anforderungen gestellt als im Rahmen des § 3 Nr. 1 IFG, der die Möglichkeit „nachteiliger Auswirkungen“ auf das Schutzgut erfordert. Nachteilige Auswirkungen in diesem Sinne liegen vor, wenn aufgrund einer auf konkreten Tatsachen beruhenden prognostischen Bewertung mit hinreichender Wahrscheinlichkeit zu erwarten ist, dass das Bekanntwerden der Information das Schutzgut beeinträchtigt (OVG Münster, Urt. v. 16.12.2025, a.a.O., Rn. 193 ff. m.w.N.).

Dass das aus einem entsprechenden Zugang folgende Bekanntwerden (allein) der Liste der Auftragsverarbeiter die künftige Aufgabenerfüllung bzw. Funktionsfähigkeit der Beklagten beeinträchtigte, ist für das Gericht auf Grundlage ihres Vorbringens nicht ansatzweise erkennbar. Die grundsätzlich fehlende Öffentlichkeit dieser Liste vermag Entsprechendes jedenfalls nicht aufzuzeigen. Auch der Umstand, dass durch die Offenlegung bekannt würde, welche Unternehmen für die Beklagte u.a. Gesundheitsdaten verarbeiten, führt für sich genommen nicht darauf. Die darüber hinaus benannte Verknüpfung dieser Liste mit den Angaben „in den entsprechenden Verarbeitungsverzeichnissen“ steht aufgrund der obigen Ausführungen ebenfalls nicht in Rede.

Die Kostenentscheidung beruht auf § 155 Abs. 1 Satz 1 Alt. 1 VwGO. Der Ausspruch zur vorläufigen Vollstreckbarkeit folgt aus § 167 Abs. 1, Abs. 2 VwGO i.V.m. §§ 708 Nr. 11, 711, 709 Satz 2 ZPO.