Gründe

12Die zulässige Revision der Klägerin ist begründet. Das Berufungsurteil verletzt in mehrfacher Hinsicht revisibles Recht. Es beruht auf diesen Verstößen und stellt sich auch nicht aus anderen Gründen als im Ergebnis richtig dar (§ 144 Abs. 4 VwGO). Zutreffend geht das Berufungsgericht von einer zulässigen Anfechtungsklage aus (1.). Entgegen der Ansicht des Oberverwaltungsgerichts ist diese auch begründet (2.). Der Senat kann gemäß § 144 Abs. 3 Satz 1 Nr. 1 VwGO in der Sache selbst entscheiden, da keine weiteren tatsächlichen Feststellungen mehr zu treffen sind.

131. Die auf die Aufhebung der datenschutzrechtlichen Verwarnung gerichtete Klage ist als Anfechtungsklage statthaft und auch sonst zulässig. Die Verwarnung stellt einen Verwaltungsakt im Sinne des § 35 Satz 1 VwVfG dar. Der Beklagte zielte mit der als "Bescheid" überschriebenen und mit einer Rechtsbehelfsbelehrung versehenen Verwarnung darauf ab, verbindlich seine Missbilligung über einen Verstoß des BMI gegen die Datenschutz-Grundverordnung zum Ausdruck zu bringen.

14Dass auch eine oberste Bundesbehörde Rechtsschutz gegen eine sie betreffende datenschutzrechtliche Beanstandung der Aufsichtsbehörde suchen kann, folgt unmittelbar aus Art. 78 DSGVO. Danach hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Wegen des Anwendungsvorrangs des Unionsrechts setzt der Erfolg einer Anfechtungsklage gegen eine auf Art. 58 Abs. 2 DSGVO gestützte Maßnahme des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit weder die Geltendmachung (§ 42 Abs. 2 VwGO) noch das Vorliegen einer subjektiven Rechtsverletzung (§ 113 Abs. 1 Satz 1 VwGO) voraus. Vielmehr reicht es aus, dass die Maßnahme den Kläger betrifft. Das ist hier der Fall.

152. In der Sache hat das Oberverwaltungsgericht der Klage den Erfolg unter Verstoß gegen revisibles Recht versagt. Die Verwarnung vom 11. Februar 2020 beanstandet drei Datenverarbeitungsvorgänge des BMI bei der Bearbeitung eines konkreten Antrags auf Gewährung eines Informationszugangs nach dem Gesetz zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz - IFG) (a.). Die tatbestandlichen Voraussetzungen der Ermächtigungsgrundlage des Art. 58 Abs. 2 Buchst. b DSGVO in Verbindung mit § 16 Abs. 1 Satz 1 des Bundesdatenschutzgesetzes - BDSG - lagen bei dem Erlass des Verwarnungsbescheids am 11. Februar 2020 als dem für die Überprüfung seiner Rechtmäßigkeit maßgeblichen Zeitpunkt der Sach- und Rechtslage (BVerwG, Urteil vom 27. März 2019 - 6 C 2.18 - BVerwGE 165, 111 Rn. 7 und Beschluss vom 9. Juli 2019 - 6 B 2.18 - NVwZ 2019, 1771 Rn. 11) nicht vor. Auf die von der Revision weiter angegriffenen Ausführungen des Berufungsgerichts zur formellen Rechtmäßigkeit der Verwarnung und zur Rechtsfolgenseite des Art. 58 Abs. 2 Buchst. b DSGVO kommt es deshalb nicht an (vgl. dazu das Vorabentscheidungsersuchen des VG Wiesbaden, Beschluss vom 10. Dezember 2021 - 6 K 1107/20.WI - juris, Az. beim EuGH: C-768/21) (b.).

16a. Der Regelungsinhalt der Verwarnung ist weiter als vom Berufungsgericht angenommen (aa.). Bei verständiger Würdigung hat der Beklagte darin festgestellt, dass sowohl die Erhebung der Postanschrift am 3. Juni 2019 als auch die weiteren Verarbeitungsvorgänge - die Speicherung am 6. Juni 2019 und die Verwendung für das Schreiben am 12. Juni 2019 - gegen die Datenschutz-Grundverordnung verstoßen haben (bb.).

17aa. Das Oberverwaltungsgericht nimmt an, die Verwarnung beanstande allein die Erhebung der Postanschrift des Antragstellers im Rahmen des Verfahrens auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz und verknüpft den Erhebungsvorgang mit dem Datum 6. Juni 2019 (UA S. 11 und 16). Dieses Verständnis erweist sich - wovon im Termin zur mündlichen Verhandlung beide Beteiligte übereinstimmend ausgegangen sind - in Ansehung der für die Auslegung eines Verwaltungsakts entsprechend geltenden §§ 133, 157 BGB als zu eng. Danach kommt es nicht auf die subjektiven Vorstellungen des Adressaten oder der erlassenden Behörde an. Vielmehr ist der erklärte Wille maßgebend, wie ihn der Empfänger bei objektiver Würdigung verstehen konnte. Unklarheiten gehen zu Lasten der Verwaltung (stRspr, vgl. BVerwG, Urteil vom 18. Juni 1980 - 6 C 55.79 - BVerwGE 60, 223 <228 f.> m. w. N.). Dabei ist die durch den Verwaltungsakt getroffene Regelung von seiner Begründung zu unterscheiden. Letztere ist gegebenenfalls zur Auslegung des Verwaltungsakts heranzuziehen, enthält aber regelmäßig keinen über den Tenor hinausgehenden Regelungsgehalt (BVerwG, Urteile vom 16. Oktober 2013 - 8 C 21.12 - BVerwGE 148, 146 Rn. 14, vom 24. Juni 2020 - 6 C 3.19 - BVerwGE 169, 1 Rn. 20 und vom 31. August 2022 - 6 A 9.20 - BVerwGE 176, 224 Rn. 16).

18bb. Gemessen hieran umfasst die Verwarnung schon nach dem Wortlaut ihres Tenors sowohl die Aufforderung zur Übermittlung der Anschrift als auch deren Verarbeitung ("aufgefordert" sowie "verarbeitet"). Bei diesem Wortlaut muss ein verständiger Empfänger davon ausgehen, dass nicht allein die Erhebung beanstandet wird, sondern auch alle sich daran anschließenden Verarbeitungsschritte. Dieses Auslegungsergebnis wird durch die Begründung des Bescheides bestätigt. Dort heißt es im zweiten Absatz, die Anforderung einer Postanschrift sei im vorliegenden Fall nicht erforderlich gewesen. Mangels Rechtsgrundlage erweise sich ihre Verarbeitung als unzulässig. Auch dies lässt erkennen, dass der Vorwurf eines datenschutzrechtlichen Verstoßes über die bloße Erhebung der Anschrift hinausgeht. Vor allem wird die Notwendigkeit der Abfrage im Hinblick auf das Schreiben vom 12. Juni 2019 bewertet, in dem die Anschrift verwendet worden ist. Dadurch, dass der Inhalt des Schreibens wiedergegeben und seine Rechtsqualität eingeordnet wird, schließt die Verwarnung nach dem objektiven Empfängerhorizont auch diese Verwendung der Anschrift ein. Zwischen der Erhebung und der Verwendung liegt die - im Tenor und in der Begründung des Bescheids nicht ausdrücklich aufgegriffene - Speicherung, die als weiterer Verarbeitungsvorgang ebenfalls vom Tenor erfasst wird.

19b. Die von Art. 58 Abs. 2 Buchst. b DSGVO in Verbindung mit § 16 Abs. 1 Satz 1 BDSG geforderten tatbestandlichen Voraussetzungen für eine Verwarnung durch den Beklagten als Aufsichtsbehörde gemäß § 8 Abs. 1 Satz 1, § 9 BDSG liegen nicht vor. Hiernach setzt eine Verwarnung eines Verantwortlichen oder Auftragsverarbeiters voraus, dass dieser mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat. Zwar ist der Anwendungsbereich der Datenschutz-Grundverordnung eröffnet (aa.). Auch ist das BMI als Verantwortlicher anzusehen, der ein personenbezogenes Datum in drei einzelnen Vorgängen verarbeitet hat (bb.). Mit diesen Verarbeitungsvorgängen hat das BMI jedoch nicht gegen die Datenschutz-Grundverordnung verstoßen (cc.).

20aa. An der Anwendbarkeit der Datenschutz-Grundverordnung bestehen weder im Hinblick auf den räumlichen (Art. 3 DSGVO) noch in Bezug auf den sachlichen Anwendungsbereich (Art. 2 DSGVO) Zweifel. Nach Art. 2 Abs. 1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung solcher Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Keine Anwendung findet sie, wenn einer der in Art. 2 Abs. 2 DSGVO aufgeführten Ausnahmetatbestände erfüllt ist. In der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden: EuGH) ist geklärt, dass die in Art. 2 Abs. 2 DSGVO vorgesehenen Ausnahmen eng auszulegen sind (stRspr, vgl. EuGH, Urteile vom 24. Februar 2022 - C-175/20 [ECLI:​EU:​C:​2022:​124], Valsts ienēmumu dienests - Rn. 40, vom 20. Oktober 2022 - C-306/21 [ECLI:​EU:​C:​2022:​813], Koalitsia "Demokratichna Bulgaria - Obedinenie" - Rn. 35 sowie vom 30. März 2023 - C-34/21 [ECLI:​EU:​C:​2023:​270], Hauptpersonalrat der Lehrerinnen und Lehrer - Rn. 33).

21Im Streitfall greift die Grundregel des Art. 2 Abs. 1 DSGVO ein. Der Verwarnung liegt die mehrfache Verarbeitung eines personenbezogenen Datums durch das BMI zugrunde, das diese Behörde zumindest vorübergehend in ihren Akten als Dateisystem i. S. d. Art. 4 Nr. 6 DSGVO strukturiert gespeichert hat. Die Postanschrift des Antragstellers ist ein personenbezogenes Datum nach Art. 4 Nr. 1 DSGVO, da die Anschrift eine auf ihn als identifizierbare Person bezogene Information darstellt. Dieses Datum hat das BMI verarbeitet i. S. d. Art. 4 Nr. 2 DSGVO, indem es die Anschrift beim Antragsteller erhoben, anschließend gespeichert und schließlich verwendet hat. Der rechtliche Zusammenhang, in dem die Verarbeitung stattfindet, ist für Art. 2 Abs. 1 DSGVO - vorbehaltlich der Ausnahmetatbestände des Art. 2 Abs. 2 DSGVO - unerheblich. Dass der Datenverarbeitung beim BMI ein Antrag nach dem Informationsfreiheitsgesetz zugrunde liegt, begründet keinen der in Art. 2 Abs. 2 DSGVO abschließend normierten Ausnahmefälle, in denen die Datenschutz-Grundverordnung nicht gilt.

22bb. Das BMI hat als Verantwortlicher mehrere Verarbeitungsvorgänge vorgenommen.

23Nach der Begriffsbestimmung in Art. 4 Nr. 7 DSGVO ist ein "Verantwortlicher" diejenige natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Demzufolge ist das BMI bei der Bearbeitung des Antrags nach § 1 Abs. 1 IFG als Verantwortlicher vorgegangen. Die dortigen Mitarbeiter haben allein oder gemeinsam über die Zwecke und Mittel der Verarbeitung der Postanschrift entschieden.

24Der Begriff "Verarbeitungsvorgänge" knüpft an die Definition der Verarbeitung an, die in Art. 4 Nr. 2 DSGVO enthalten ist. Danach geht es um einen mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder eine solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die inmitten stehende Verwarnung erfasst - wie dargelegt - die konkreten Verarbeitungsvorgänge Erhebung, Speicherung sowie Verwendung der Postanschrift als ein personenbezogenes Datum.

25cc. Das BMI hat mit den drei Verarbeitungsvorgängen nicht gegen die Datenschutz-Grundverordnung verstoßen. Die Zulässigkeitsvoraussetzungen für die Verarbeitung personenbezogener Daten sind in Art. 6 Abs. 1 DSGVO abschließend geregelt. Hat ein Betroffener - wie hier der Antragsteller - nicht rechtswirksam in die Verarbeitung seiner Daten eingewilligt (Art. 6 Abs. 1 Unterabs. 1 Buchst. a i. V. m. Art. 4 Nr. 11, Art. 7 DSGVO), sind Verarbeitungsvorgänge nur rechtmäßig, wenn sie auf mindestens einen Erlaubnistatbestand des Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO gestützt werden können (EuGH, Urteile vom 22. Juni 2021 - C-439/19 [ECLI:​EU:​C:​2021:​504], Latvijas Republikas Saeima <Strafpunkte> - Rn. 99 und vom 30. März 2023 - C-34/21 - Rn. 70; BVerwG, Urteil vom 27. März 2019 - 6 C 2.18 - BVerwGE 165, 111 Rn. 44; BFH, Urteil vom 5. September 2023 - IX R 32/21 - BFHE 281, 6 Rn. 19). In Betracht kommt hier allein der Erlaubnistatbestand des Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO. Die dafür erforderliche Festlegung einer Rechtsgrundlage ((1)) liegt in der Brückennorm des § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes ((2)). Diese Rechtsgrundlage ist unionsrechtskonform und unterliegt keinen verfassungsrechtlichen Bedenken ((3)). Ihre Voraussetzungen sind für jeden der drei Verarbeitungsvorgänge erfüllt ((4)).

26(1) Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO erlangt nach der für die Auslegung des Unionsrechts maßgeblichen Rechtsprechung des EuGH als Erlaubnistatbestand erst durch die Existenz ausfüllender mitgliedstaatlicher oder unionsrechtlicher Normen Bedeutung. Denn die rechtmäßige Verarbeitung personenbezogener Daten auf der Grundlage dieser Vorschrift setzt nicht nur voraus, dass die Behörde eine im öffentlichen Interesse liegende Aufgabe wahrnimmt, sondern auch, dass die Verarbeitung personenbezogener Daten für die Wahrnehmung einer solchen Aufgabe auf einer Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO beruht (EuGH, Urteile vom 20. Oktober 2022 - C-306/21 - Rn. 52 und vom 8. Dezember 2022 - C-180/21 [ECLI:​EU:​C:​2022:​967], Inspektor V Inspektorata Kam Visshia Sadeben Savet - Rn. 95; vgl. auch BVerwG, Urteile vom 27. März 2019 - 6 C 2.18 - BVerwGE 165, 111 Rn. 46 sowie vom 12. Mai 2021 - 6 C 12.19 - BVerwGE 172, 306 Rn. 63, 76). Diese Anforderungen sind Ausfluss der Vorgaben, die sich aus Art. 52 Abs. 1 der Grundrechte-Charta - GRC - ergeben (EuGH, Urteil vom 1. August 2022 - C-184/20 [ECLI:​EU:​C:​2022:​601], Vyriausioji Tarnybinés Etikos Komisija - Rn. 69).

27(2) § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes stellt die von Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 3 Satz 1 Buchst. b DSGVO geforderte Festlegung einer Rechtsgrundlage für die Datenverarbeitungen der Behörden des Bundes bei der Bearbeitung eines Informationszugangsanspruchs dar.

28Nach § 3 BDSG ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder - worauf es hier nicht ankommt - in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist. Die Norm ist im Zuge der gesetzgeberischen Anpassungen des Datenschutzrechts an die Datenschutz-Grundverordnung im Jahr 2017 geschaffen worden. Sie enthält eine subsidiäre allgemeine Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen mit geringer Eingriffsintensität. Ihre Stellung im Teil 1 des Bundesdatenschutzgesetzes, der den Titel "Gemeinsame Bestimmungen" trägt, soll sicherstellen, dass Verantwortliche vorbehaltlich anderer bereichsspezifischer Regelungen auf die Vorschrift unabhängig davon zurückgreifen können, zu welchen Zwecken die Datenverarbeitung erfolgt (BT-Drs. 18/11325 S. 81). § 3 BDSG ist damit ersichtlich als eine Brückennorm in das jeweilige Fachrecht konzipiert, die eine Vielzahl allgemeiner Ermächtigungsgrundlagen entbehrlich macht und dadurch der Gefahr einer "Verrechtlichungsfalle" im Datenschutzrecht entgegenwirkt (zu diesem Begriff BFH, Urteil vom 5. September 2023 - IX R 32/21 - BFHE 281, 6 Rn. 44 zu § 29b Abs. 1 AO). Die Behörden des Bundes sind deshalb auf der Grundlage der zentralen datenschutzrechtlichen Generalklausel in § 3 BDSG in Verbindung mit den fachrechtlichen Regelungen des Informationsfreiheitsgesetzes berechtigt, bei der Bearbeitung eines Antrags auf Informationszugang personenbezogene Daten zu verarbeiten, wenn dies zur Aufgabenerfüllung erforderlich ist.

29(3) § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes stellt für die hier inmitten stehenden Datenverarbeitungen mit geringer Eingriffsintensität eine unionsrechtskonforme Rechtsgrundlage dar ((a)). Auch verfassungsrechtliche Bedenken bestehen insoweit nicht ((b)).

30(a) Aus dem Charakter des § 3 BDSG als Generalklausel und seiner Ausgestaltung als Brückennorm ergeben sich keine unionsrechtlichen Bedenken ((aa)). Die Voraussetzungen des Art. 6 Abs. 3 Satz 2 und 4 DSGVO sind ebenfalls erfüllt ((bb)). Der Einholung einer Vorabentscheidung des EuGH gemäß Art. 267 Abs. 3 AEUV bedarf es nicht ((cc)).

31(aa) Der Erwägungsgrund 45 Satz 2 der Datenschutz-Grundverordnung lässt erkennen, dass im Bereich der öffentlichen Verwaltung nicht für jede einzelne Verarbeitung ein spezifisches Gesetz notwendig ist. Vielmehr kann nach Satz 3 dieses Erwägungsgrundes auch ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Satz 5 dieses Erwägungsgrundes stellt darüber hinaus klar, dass weitergehende Präzisierungen im gesetzgeberischen Ermessen stehen. Der Erwägungsgrund 45 erlaubt damit ersichtlich die Schaffung von Generalklauseln, die zwar einerseits - notwendigerweise - einen größeren Abstrahierungsgrad aufweisen, aber andererseits ein hinreichendes Maß an Verwaltungsflexibilität und -ermessen gewährleisten (ebenso BFH, Urteil vom 5. September 2023 - IX R 32/21 - BFHE 281, 6 Rn. 44, 87). Vorgaben dazu, wie eine Grundlage für mehrere Verarbeitungsvorgänge gesetzestechnisch umzusetzen ist, lassen sich diesem Erwägungsgrund nicht entnehmen. Möglich ist sowohl, dass die gesetzliche Grundlage in Gestalt einer Generalklausel im jeweiligen Fachrecht geschaffen wird, als auch eine Kombination aus einer vor das Fachrecht gezogenen allgemeinen Brückennorm in Verbindung mit den Regelungen des jeweiligen Fachrechts (d. h. einer Normenkette); für letzteres hat sich der deutsche Gesetzgeber entschieden.

32Neben diesem der Datenschutz-Grundverordnung vorangestellten Erwägungsgrund 45 ergibt sich auch aus Art. 6 Abs. 2 und 3 Satz 3 DSGVO zweifelsfrei, dass der nationale Gesetzgeber unionsrechtlich befugt war, eine Rechtsgrundlage wie § 3 BDSG als allgemeine Generalklausel für die Verarbeitung personenbezogener Daten auszugestalten. Weitergehende Spezifizierungen in den Rechtsgrundlagen zu den unionsrechtlichen Erlaubnistatbeständen in Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO sind hiernach ausdrücklich in das Ermessen des Gesetzgebers gestellt.

33Dementsprechend geht auch der EuGH davon aus, dass die Rechtsgrundlagen nach Art. 6 Abs. 3 DSGVO einen geringeren Präzisierungs- und Konkretisierungsgrad haben dürfen. Daher können nationale Bestimmungen über die Verarbeitung personenbezogener Daten, die den besonderen Vorgaben an spezifische mitgliedstaatliche Regelungen etwa in Art. 88 Abs. 1 und 2 DSGVO nicht Rechnung tragen, durchaus eine unionsrechtskonforme Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO in Verbindung mit dem Erwägungsgrund 45 der Verordnung darstellen (EuGH, Urteil vom 30. März 2023 - C-34/21 - Rn. 88).

34Das unionsrechtliche Normwiederholungsverbot wird - anders als der Beklagte meint - durch § 3 BDSG nicht verletzt. Dieses Verbot soll sicherstellen, dass die Wirkung einer unmittelbaren Geltung von Verordnungen der Europäischen Union gemäß Art. 288 Abs. 2 AEUV nicht vereitelt wird und auch sonst keine Maßnahmen ergriffen werden, die geeignet sind, die Zuständigkeit des EuGH zur Entscheidung über Fragen der Auslegung des Unionsrechts oder der Gültigkeit der von den Organen der Union vorgenommenen Handlungen zu beschneiden (vgl. EuGH, Urteile vom 7. Februar 1973 - C-39/72 [ECLI:​EU:​C:​1973:​13], Kommission/​Italien - Rn. 17, vom 10. Oktober 1973 - C-34/73 [ECLI:​EU:​C:​1973:​101], Variola - Rn. 9 ff. sowie vom 28. März 1985 - C-272/83 [ECLI:​EU:​C:​1985:​147], Kommission/​Italien - Rn. 26).

35Da § 3 BDSG als Brückennorm in enger Verbindung mit dem jeweiligen Fachrecht steht, bildet das Normengefüge insgesamt die Rechtsgrundlage für die Datenverarbeitung der öffentlichen Stelle. In dieser Gesamtheit betrachtet erschöpft sich die mitgliedstaatliche Ermächtigungsgrundlage schon nicht in einer bloßen Wiederholung des Wortlauts der Verordnung. Im Übrigen erlaubt der Erwägungsgrund 8 der Datenschutz-Grundverordnung ausdrücklich die Aufnahme bestimmter Teile der Verordnung unter Voraussetzungen, die in Bezug auf § 3 BDSG erfüllt sind. Denn dessen enge Anlehnung an den Wortlaut des Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO lässt den Brückennorm-Charakter der Vorschrift deutlich zutage treten. Dies dient der Erkennbarkeit für den Rechtsanwender und sorgt im Sinne des Erwägungsgrundes 8 dafür, die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen; hiervon hat sich der Gesetzgeber leiten lassen (vgl. BT-Drs. 18/11325 S. 73 f.). Zugleich wird dadurch ein von dem Erwägungsgrund befürworteter kohärenter Rechtsrahmen sichergestellt, der aus Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO, der Brückennorm in Gestalt des § 3 BDSG und dem jeweiligen Fachrecht besteht, dem die die Daten verarbeitende öffentliche Stelle unterliegt.

36(bb) § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes genügt darüber hinaus den Anforderungen, die Art. 6 Abs. 3 Satz 2 und 4 DSGVO an die Rechtsgrundlage stellt.

37Zwar liegen die Voraussetzungen des Art. 6 Abs. 3 Satz 2 Alt. 1 DSGVO nicht vor, da die zulässigen Verarbeitungszwecke in § 3 BDSG nicht konkret festgesetzt werden. Die Norm soll es öffentlichen Stellen - vorbehaltlich bereichsspezifischer Spezialregelungen - gerade unabhängig vom jeweiligen Verarbeitungszweck ermöglichen, auf die Rechtsgrundlage zurückzugreifen (BT-Drs. 18/11325 S. 81).

38Allerdings sind die Anforderungen des Art. 6 Abs. 3 Satz 2 Alt. 2 DSGVO gegeben. Diese Norm setzt - wie auch bereits Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO - voraus, dass der Zweck der Verarbeitung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO für die Erfüllung einer Aufgabe erforderlich ist. Es genügt, dass sich aus dieser im öffentlichen Interesse liegenden oder die Ausübung übertragener öffentlicher Gewalt erfordernden Aufgabe mittelbar die Zweckbestimmung ableiten lässt. Damit erweist sich Art. 6 Abs. 3 Satz 2 Alt. 2 DSGVO in Bezug auf die Festsetzung des Zwecks der Verarbeitung gegenüber Art. 6 Abs. 3 Satz 2 Alt. 1 DSGVO als deutlich weiter.

39Hier ist die Datenverarbeitung im Sinne von Art. 6 Abs. 3 Satz 2 Alt. 2 Unteralt. 1 DSGVO zur Erfüllung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt.

40§ 3 BDSG benennt selbst zwar keine Aufgaben, zu deren Erfüllung die Datenverarbeitung erforderlich ist. Diese ergeben sich aber aus den Regelungen des jeweiligen Fachrechts, in der hier bestehenden Konstellation mithin des Informationsfreiheitsgesetzes. § 1 Abs. 1 Satz 1 IFG gewährt gegenüber den Behörden des Bundes einen Anspruch auf Zugang zu den amtlichen Informationen. Über einen auf Informationszugang gerichteten Antrag hat diejenige Behörde zu entscheiden, die zur Verfügung über die begehrten Informationen berechtigt ist (§ 7 Abs. 1 Satz 1 IFG). Sie hat hierbei insbesondere zu prüfen, ob dem Informationszugangsanspruch Versagungsgründe nach den §§ 3 ff. IFG entgegenstehen oder Dritte in einem gesonderten Verfahren gemäß § 8 IFG zu beteiligen sind.

41Die Erfüllung dieser aus dem Informationsfreiheitsgesetz folgenden Aufgaben liegt im öffentlichen Interesse. Der in diesem Gesetz normierte Informationszugangsanspruch soll das Verwaltungshandeln des Bundes transparenter gestalten. Dies dient der Stärkung der demokratischen Beteiligungsrechte (BT-Drs. 15/4493 S. 1).

42Dem Erfordernis des Art. 6 Abs. 3 Satz 4 DSGVO ist ebenfalls genügt. Die in dieser Vorschrift enthaltene Bezugnahme auf den Verhältnismäßigkeitsgrundsatz hat im Hinblick auf Art. 52 Abs. 1 Satz 2 GRC lediglich deklaratorische Bedeutung. Der Zugriff auf die Anschrift eines IFG-Antragstellers, den § 3 BDSG in Verbindung mit dem Informationsfreiheitsgesetz aus verschiedenen, noch aufzuzeigenden Gründen fachrechtlich zulässt, steht auf der Normebene nicht außer Verhältnis zu dem Gesetzeszweck der Herstellung von Transparenz behördlichen Handelns.

43(cc) Der Senat kann - wie vorstehend erörtert - ohne Einholung einer Vorabentscheidung des EuGH gemäß Art. 267 Abs. 3 AEUV entscheiden. Die Beurteilung von § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes als unionsrechtskonforme Rechtsgrundlage ist unter Berücksichtigung der bereits vorliegenden Rechtsprechung des EuGH insbesondere in seinem Urteil vom 30. März 2023 (- C-34/21 -) sowie unter Heranziehung der allgemein anerkannten Auslegungsregeln derart offenkundig, dass an der Richtigkeit dieser Einschätzung kein vernünftiger Zweifel besteht (zu diesem Maßstab: EuGH, Urteile vom 6. Oktober 1982 - C-283/81 [ECLI:​EU:​C:​1982:​335], Cilfit u. a. - Rn. 13 ff. und 16, vom 15. September 2005 - C-495/03 [ECLI:​EU:​C:​2005:​552], Intermodal Transports - Rn. 39 und 45 sowie vom 6. Oktober 2021 - C-561/19 [ECLI:​EU:​C:​2021:​799], Consorzio Italian Management und Catania Multiservizi - Rn. 39 ff. und 49). Dies wird durch die Rechtsprechung anderer Bundesgerichte zu vergleichbaren Normen bestätigt (zu § 29b Abs. 1 AO: BFH, Urteil vom 5. September 2023 - IX R 32/21 - BFHE 281, 6 Rn. 38 ff., insbes. Rn. 45 ff.; zu § 26 Abs. 1 und 3 BDSG: BAG, Beschluss vom 9. Mai 2023 - 1 ABR 14/22 - NZA 2023, 1404 Rn. 48 ff.).

44(b) Verfassungsrechtliche Bedenken gegen § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes bestehen jedenfalls in Bezug auf die hier in Rede stehenden Datenverarbeitungen mit geringer Eingriffsintensität nicht. Erhöhte Anforderungen an die Normenklarheit und die Verhältnismäßigkeit der gesetzlichen Ausgestaltung der Ermächtigungsgrundlage gelten allerdings dann, wenn eine Datenverarbeitung - anders als hier - schwerwiegend in die Grundrechte der betroffenen Person eingreift (vgl. BVerfG, Beschluss vom 28. September 2022 - 1 BvR 2354/13 - BVerfGE 163, 43 Rn. 106 ff. m. w. N.).

45(4) Die tatbestandlichen Voraussetzungen von § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes liegen für die Erhebung, Speicherung und Nutzung der Postanschrift des IFG-Antragstellers durch das BMI vor.

46Das BMI ist als eine öffentliche Stelle des Bundes ein von § 3 BDSG erfasster Datenverarbeiter (vgl. § 2 Abs. 1 BDSG). Die Erforderlichkeit ist unter Rückgriff auf den Maßstab des Art. 6 Abs. 3 Satz 4 DSGVO zu bestimmen und verlangt die Prüfung der Grundsätze der Zweckbindung sowie der Datenminimierung ((a)). Die konkreten Zwecke, zu denen die Daten erhoben werden, werden nach Maßgabe der fachrechtlichen Anforderung vom Verantwortlichen festgelegt. Sie stellen den Ausgangspunkt der Prüfung der Zweckbindung dar und geben das notwendige Maß der Datenverarbeitung für den - unabhängig davon zu prüfenden - Grundsatz der Datenminimierung vor. Die Datenschutz-Grundverordnung knüpft an die nach Maßgabe des einschlägigen Fachrechts festgelegten Zwecke der Datenerhebung an. Diese Zwecke sind insbesondere nicht am Maßstab des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 Buchst. c DSGVO zu überprüfen. Auch dies kann der Senat ohne Einholung einer Vorabentscheidung des EuGH entscheiden ((b)). In Anlegung dieses Maßstabs waren die Datenverarbeitungen des BMI zur Erfüllung der aus dem Informationsfreiheitsgesetz folgenden Aufgaben erforderlich ((c)).

47(a) Mit dem Tatbestandsmerkmal der "Erforderlichkeit" der Datenverarbeitung zur Erfüllung der zugewiesenen Aufgaben sichert § 3 BDSG auf der Normebene abstrakt die unionsrechtlichen Vorgaben in Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 3 Satz 2 Alt. 2 und Satz 4 DSGVO. Bereits zur Vorgängerregelung des Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO in Art. 7 Buchst. e der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie - DS-RL) hat der EuGH entschieden, dass die Erforderlichkeit als autonomer Begriff des Unionsrechts verstanden werden muss, der in den einzelnen Mitgliedstaaten keinen variablen Inhalt haben darf (EuGH, Urteil vom 16. Dezember 2008 - C-524/06 [ECLI:​EU:​C:​2008:​724], Huber - Rn. 52). In ständiger Rechtsprechung fordert er für die Erforderlichkeit, dass vom nationalen Gericht geprüft wird, ob das verfolgte Ziel in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte der Betroffenen, insbesondere die in den Art. 7 und 8 GRC verbürgten Rechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten eingreifen, wobei sich die Ausnahmen und Einschränkungen hinsichtlich des Grundsatzes des Schutzes solcher Daten auf das absolut Notwendige beschränken müssen (EuGH, Urteile vom 22. Juni 2021 - C-439/19 - Rn. 110, vom 24. Februar 2022 - C-175/20 - Rn. 73 und 76 sowie vom 1. August 2022 - C-184/20 - Rn. 85).

48Außerdem verlangt der EuGH - wie schon zuvor in Bezug auf die Datenschutz-Richtlinie -, dass die von Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorausgesetzte Erforderlichkeit zusammen mit dem in Art. 5 Abs. 1 Buchst. c DSGVO niedergelegten Grundsatz der Datenminimierung geprüft wird (zu Art. 7 Buchst. f DS-RL: EuGH, Urteil vom 11. Dezember 2019 - C-708/18 [ECLI:​EU:​C:​2019:​1064], Asociaţia de Proprietari Bloc M5A-ScaraA - Rn. 48; zur DSGVO: EuGH, Urteil vom 1. August 2022 - C-184/20 - Rn. 93). Dies bedingt, auch den in Art. 5 Abs. 1 Buchst. b DSGVO verankerten Grundsatz der Zweckbindung in den Blick zu nehmen, der infolge seiner Orientierung an den Verarbeitungszwecken den Grundsatz der Datenminimierung ergänzt.

49(b) Die Zwecke, zu denen die Daten erhoben werden, sind eigenständig zu bestimmen. Ihre Festlegung erfolgt durch den Verantwortlichen im Rahmen der behördlichen Selbstorganisation und nach Maßgabe der fachrechtlichen Anforderungen. Die konkreten Zwecke werden von den bereits in der Rechtsgrundlage festgesetzten allgemeinen Zwecken (Art. 6 Abs. 3 Satz 2 Alt. 1 DSGVO) bzw. - in den Fällen des Art. 6 Abs. 3 Satz 2 Alt. 2 DSGVO - von der sich aus der Aufgabenerfüllung mittelbar ergebenden generellen Zwecksetzung begrenzt. Die Zwecke, zu denen die Daten benötigt werden, müssen dem Verfassungsrecht und dem Unionsrecht - aus der Grundrechte-Charta und dem spezifischen Sekundärrecht - entsprechen. Eine darüberhinausgehende Überprüfung der konkreten Zweckfestsetzungen am Maßstab des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 Buchst. c DSGVO sieht die Datenschutz-Grundverordnung nicht vor; die anhand der Anforderungen des Fachrechts getroffenen Zweckfestsetzungen sind der Datenschutz-Grundverordnung vorgelagert und werden von dieser Verordnung nicht wieder hinterfragt. Vielmehr bilden sie den Ausgangspunkt der rechtlichen Überprüfung nach den Maßgaben des durch die Verordnung statuierten Zweckbindungsgebots. Der Grundsatz der Datenminimierung setzt eine dem Art. 5 Abs. 1 Buchst. b DSGVO genügende Zweckbestimmung voraus und knüpft seine Erfordernisse hieran an, nicht umgekehrt.

50Hierfür spricht bereits die Systematik des Art. 5 Abs. 1 DSGVO mit den in einzelnen Buchstaben getrennt voneinander aufgeführten Grundsätzen. Dies deutet auf jeweils eigenständige Regelungsgehalte, die Reihenfolge namentlich der Buchstaben b und c überdies auch auf eine logische Abfolge der Grundsätze hin. Dieses Verständnis liegt der Rechtsprechung des EuGH zugrunde, der den Grundsatz der Zweckbindung anhand der festgesetzten Zwecke vorab und - anknüpfend an die hierbei gewonnenen Erkenntnisse - erst danach den Grundsatz der Datenminimierung prüft (siehe EuGH, Urteil vom 24. Februar 2022 - C 175/20 - Rn. 63 ff. und 72 ff.). Außerdem hat der EuGH in seinem Urteil vom 20. Oktober 2022 (- C-77/21 [ECLI:​EU:​C:​2022:​805], Digi - Rn. 47) ausdrücklich auf die Ausführungen des Generalanwalts Bezug genommen, der ausgeführt hat, dass "die Anforderungen an die Verarbeitung personenbezogener Daten in Art. 5 der DSGVO eindeutig kumulativ und unabhängig voneinander sind" (Schlussanträge des Generalanwalts Pikamäe vom 31. März 2022 - C-77/21 - Rn. 24).

51Sieht die Datenschutz-Grundverordnung aber eine getrennte Prüfung der Grundsätze der Zweckbindung sowie der Datenminimierung anhand der bei der Erhebung von der verarbeitenden Behörde festgelegten Zwecke vor, zu denen die Daten nach dem Fachrecht benötigt werden, verstößt die vom Berufungsgericht angenommene Verschränkung beider Grundsätze, die zur Infragestellung der Maßgeblichkeit der festgelegten Zwecke durch den Grundsatz der Datenminimierung führt, gegen das Unionsrecht. Die Datenschutz-Grundverordnung fordert zudem auch nicht, dass die weitere Verarbeitung der Daten nach ihrer Erhebung prognostisch unmittelbar bevorstehen muss; die vom Berufungsgericht angeführten Zitate stützen dessen gegenteilige Einschätzung nicht. Auch dies kann der Senat ohne Einholung einer Vorabentscheidung des EuGH gemäß Art. 267 Abs. 3 AEUV entscheiden. Denn die Beantwortung der entscheidungserheblichen Frage des Verhältnisses der Grundsätze der Zweckbindung und der Datenminimierung zueinander ist im Hinblick auf die genannte Rechtsprechung des EuGH, der Einbeziehung der Ausführungen in den Schlussanträgen sowie unter Heranziehung der allgemein anerkannten Auslegungsregeln im vorstehenden Sinne derart offenkundig, dass an ihrer Richtigkeit kein vernünftiger Zweifel besteht.

52(c) Unter Zugrundelegung dieses Maßstabs erweisen sich die Erhebung der Postanschrift, deren Speicherung sowie ihre Verwendung nach Maßgabe der aus dem Informationsfreiheitsgesetz folgenden fachrechtlichen Anforderungen als erforderlich. Dem BMI kam es zum Zeitpunkt der Erhebung der Anschrift auf die ordnungsgemäße Bearbeitung des vom Antragsteller über die Plattform FragDenStaat eingereichten IFG-Antrags und die Bekanntgabe der abschließenden Entscheidung an ((aa)). Es ist nicht zu beanstanden, dass diese beiden Zwecke festgesetzt worden sind ((bb)). Zumindest einer der beiden Zwecke trägt jeweils die Datenverarbeitungsvorgänge am 3., 6. und 12. Juni 2019, weil das Informationsfreiheitsgesetz den Zugriff auf die Anschrift des Antragstellers zu diesen Zwecken zulässt ((cc) bis (ee)).

53(aa) Das Berufungsgericht hat in tatsächlicher Hinsicht zwei konkrete Zwecke festgestellt, die das BMI bei der Abfrage der Postanschrift am 3. Juni 2019 festgelegt hat. Hieran ist der Senat mangels darauf bezogener Verfahrensrügen gebunden (§ 137 Abs. 2 VwGO). Zum einen geht das Oberverwaltungsgericht davon aus, dass es dem BMI zu diesem Zeitpunkt auf die Bekanntgabe der Entscheidung über das Informationsersuchen in Schriftform auf dem Postweg ankam, um eine Entscheidung gegenüber dem IFG-Antragsteller persönlich sicherzustellen und selbst Kenntnis über den Bekanntgabezeitpunkt zu erlangen. Das Berufungsgericht entnimmt diese Zwecksetzung der zeitlich ersten E-Mail des BMI vom 3. Juni 2019, in der die Abfrage entsprechend begründet worden war. Zum anderen hat das BMI in seiner späteren E-Mail vom selben Tag nach den Feststellungen des Oberverwaltungsgerichts den weiteren Zweck festgelegt, mit der Erhebung der Postanschrift zugleich auch die ordnungsgemäße Durchführung des Verwaltungsverfahrens insbesondere unter dem Gesichtspunkt einer Identifizierung des IFG-Antragstellers sicherzustellen.

54(bb) Der Umstand, dass das BMI zwei verschiedene Zwecke bei der Erhebung der Postanschrift des IFG-Antragstellers festgelegt hat, ist nicht zu beanstanden. Der Grundsatz der Zweckbindung nach Art. 5 Abs. 1 Buchst. b DSGVO fordert, dass die personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und grundsätzlich nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Wie an der Verwendung des Plurals ("Zwecke") erkennbar wird, verbietet der Zweckbindungsgrundsatz - ebenso wenig wie Art. 8 Abs. 1 Satz 1 GRC - nicht, dass personenbezogene Daten auch für mehrere unterschiedliche Zwecke erhoben werden. Dies spiegelt sich auch im Erwägungsgrund 39 Satz 6 der Datenschutz-Grundverordnung wider, der klarstellt, dass die Datenerhebung nicht notwendig nur auf einen einzigen Zweck gerichtet sein muss.

55(cc) Die Datenerhebung am 3. Juni 2019 war jedenfalls zum Zweck der ordnungsgemäßen Bearbeitung des IFG-Antrags unter dem Gesichtspunkt einer Identifizierung des Antragstellers erforderlich. Zwar enthält das Informationsfreiheitsgesetz keine ausdrückliche Rechtsgrundlage zur Klärung der Identität eines Antragstellers. Allerdings ist die Kenntnis seiner Person für die sachgerechte Bearbeitung erforderlich, zu der der Name und - jedenfalls bei einer elektronischen Antragstellung - auch die Anschrift gehört ((aaa)). Die vom BMI zu diesem Zweck bei dem Antragsteller erfragte Anschrift ließ sich in zumutbarer Weise nicht ebenso wirksam mit anderen Mitteln in Erfahrung bringen, die weniger stark in die Grundrechte eingegriffen hätten. Auch die Grundsätze der Zweckbindung und der Datenminimierung sind gewahrt worden ((bbb)).

56(aaa) Das Informationsfreiheitsgesetz enthält keine explizite bereichsspezifische Ermächtigungsgrundlage für die Erhebung der Postanschrift als ein Mittel der Identitätsklärung. Damit unterscheidet es sich von einigen landesrechtlichen Informationsfreiheits- bzw. Transparenzgesetzen - vgl. § 7 Abs. 1 Satz 3 BremIFG, § 11 Abs. 2 Satz 1 LTranspG, § 10 Abs. 2 Satz 1 SächsTranspG sowie § 6 Abs. 2 Satz 1 ThürIFG a. F. - sowie von § 4 Abs. 1 Satz 3 VIG.

57Allerdings setzt die sachgerechte Bearbeitung eines Antrags gemäß § 7 Abs. 1 IFG voraus, dass der Behörde bekannt ist, welche Person den Antrag stellt. Wird dies aus den Angaben des Antragstellers nicht hinreichend deutlich, ist die Abfrage weiterer personenbezogener Daten auf der Grundlage von § 3 BDSG in Verbindung mit den Regelungen des Informationsfreiheitsgesetzes erforderlich. Dazu gehört - schon für eine sinnvolle Kommunikation - jedenfalls die Angabe des Namens des IFG-Antragstellers. Darüber hinaus ist es jedenfalls bei einer elektronischen Antragstellung wegen der grundsätzlich bestehenden Gefahr von technischen Manipulationen etwa durch den Einsatz künstlicher Intelligenz auch erforderlich, dass sich die Behörde der Antragstellung durch eine reale Person versichern kann und die Anschrift des Antragstellers kennt. Die Angabe des vollständigen Namens des IFG-Antragstellers sowie seiner Anschrift, unter der er erreicht werden kann, ermöglicht der Behörde in Zweifelsfällen eine Überprüfung seiner Angaben durch eine Meldeabfrage gemäß § 34 Abs. 1 BMG. Dies dient - niedrigschwellig - der Identifizierung einer natürlichen Person. Nicht ausgeschlossen ist, dass im Einzelfall auch andere Möglichkeiten der Identifizierung in Betracht kommen könnten. Das Informationsfreiheitsgesetz sieht eine anonyme Antragstellung oder das Auftreten unter einem Pseudonym nicht vor (vgl. OVG Magdeburg, Beschluss vom 20. März 2023 - 3 L 108/22.Z - ZGI 2023, 138 Rn. 9; Jastrow/​Schlatmann, IFG, 2006, § 7 Rn. 22 f.; Schmittmann, K&R 2023, 576 <577>; a. A. Gurlit, AfP 2020, 9 <14>; Schoch, NVwZ 2019, 257 <259>; Schnabel, in: BeckOK Informations- und Medienrecht, Stand November 2023, § 12 IFG Rn. 18; wohl auch Sicko, in: BeckOK Informations- und Medienrecht, Stand Mai 2023, § 7 IFG Rn. 11 f.; Kloepfer, K&R 2006, 19 <24>). Der hiervon abweichende Maßstab des Berufungsgerichts (UA S. 27 ff.) verstößt gegen revisibles Recht in Gestalt des § 7 Abs. 1 IFG.

58Vorstehendes ergibt sich aus dem vom Informationsfreiheitsgesetz vorgegebenen behördlichen Prüfprogramm. Danach steht der Anspruch auf Zugang zu amtlichen Informationen zwar jedermann zu (§ 1 Abs. 1 Satz 1 IFG: "jeder"). Er wird deshalb in der Begründung zum Gesetzentwurf als voraussetzungslos bezeichnet (BT-Drs. 15/4493 S. 7). Jedoch steckt in der Bezeichnung des Anspruchsberechtigten mit "jeder" eine von der Behörde zu prüfende tatbestandliche Voraussetzung. Denn berechtigt sind lediglich natürliche Personen oder juristische Personen des Zivilrechts, nicht jedoch Bürgerinitiativen und Verbände als solche oder juristische Personen des öffentlichen Rechts (vgl. Begründung zum Gesetzentwurf in BT-Drs. 15/4493 S. 7; Schmitz/​Jastrow, NVwZ 2005, 984 <987>). Vor allem sind Anträge auf den Zugang zu amtlichen Informationen, die ein Computerprogramm, z. B. ein sogenannter Bot, durch künstliche Intelligenz generiert hat, hinter denen somit keine realen natürlichen Personen stehen, nach der ratio des Gesetzes von § 1 Abs. 1 Satz 1 IFG nicht erfasst. Zudem sieht § 9 Abs. 3 IFG vor, dass ein Antrag abgelehnt werden kann, wenn der Antragsteller bereits über die begehrten Informationen verfügt oder sich diese in zumutbarer Weise aus allgemein zugänglichen Quellen beschaffen kann. Hierin sieht der Gesetzgeber einen Fall missbräuchlicher Antragstellung (BVerwG, Urteil vom 24. November 2020 - 10 C 12.19 - BVerwGE 170, 338 Rn. 11 m. w. N.), der nicht zur Anwendung kommen könnte, wenn die angegangene Behörde nicht zuverlässig die Identität des Antragstellers klären könnte. Ist ein Dritter von dem Informationszugangsersuchen betroffen, fordert § 5 Abs. 1 Satz 1 IFG eine Interessenabwägung, die ohne Kenntnis von der Person des Antragstellers nicht möglich ist. Überdies kann der Drittbetroffene auch nicht sachgerecht zu dem IFG-Antrag Stellung nehmen, wenn ihm die Person des Antragstellers nicht mitgeteilt wird, vgl. § 8 Abs. 1 IFG. Zu berücksichtigen ist ferner, dass bei der Bearbeitung eines IFG-Antrags gemäß § 10 Abs. 1 Satz 1 IFG Gebühren oder Auslagen anfallen können, die eine Kostenlast des Antragstellers und eventuell Vollstreckungsmaßnahmen nach sich ziehen.

59Hinzu tritt die Begründung zum Informationsfreiheitsgesetz, die erkennen lässt, dass der Gesetzgeber von einer Pflicht zur Offenlegung der Identität des Antragstellers ausgegangen ist. In der Begründung zum Gesetzentwurf heißt es ausdrücklich, die Behörde müsse "im Einzelfall [...] die Identität des Antragstellers feststellen können". Auch der Dritte müsse "über die Identität des Antragstellers unterrichtet werden, bevor er über seine Zustimmung zur Freigabe [...] entscheidet" (BT-Drs. 15/4493 S. 14). Offensichtlich erschienen dem Gesetzgeber explizite Regelungen zur Klärung der Identität des Antragstellers im Informationsfreiheitsgesetz entbehrlich, da sich dieses Erfordernis bereits aus allgemeinen Grundsätzen ergibt. Denn ein Verwaltungsverfahren kann nicht aus dem Verborgenen heraus geführt werden, wie sich aus zahlreichen verwaltungsrechtlichen Vorschriften ergibt (etwa §§ 11, 12, 20 Abs. 1 Satz 1 Nr. 2 VwVfG). Wer den Zugang zu bestimmten Informationen von einer Behörde beansprucht, muss zu seinem Anliegen stehen und aus der Anonymität heraustreten (vgl. VerfGH Koblenz, Beschluss vom 27. Oktober 2017 - VGH B 37/16 - NVwZ 2018, 492 <494> zu § 11 Abs. 2 Satz 1 LTranspG; Schoch, NVwZ 2019, 257 <259>). Eine großzügigere behördliche Praxis vermag an dem dargestellten normativen Befund nichts zu ändern.

60Verfassungsrechtliche Bedenken gegen den Ausschluss einer anonymen Antragstellung sind nicht ersichtlich. Es gibt keinen verfassungsunmittelbaren Anspruch auf Zugang zu amtlichen Informationen der Behörden des Bundes ohne Offenlegung persönlicher Daten. Erst nach Eröffnung der allgemeinen Zugänglichkeit kann der Schutzbereich der Informationsfreiheit durch einen Grundrechtseingriff betroffen sein (BVerfG, Urteil vom 24. Januar 2001 - 1 BvR 2623/95, 1 BvR 622/99 - BVerfGE 103, 44 <LS 1 und S. 60>; Schoch, NVwZ 2019, 257 <259>). Folglich kann der Gesetzgeber den Zugang zu Informationen auch an zumutbare Anforderungen knüpfen.

61(bbb) Die Erhebung der Anschrift des Antragstellers durch das BMI war erforderlich und auch sonst nicht unverhältnismäßig. Unstreitig kannte das BMI lediglich den Namen des IFG-Antragstellers, der den Zugangsantrag ausschließlich elektronisch gestellt hatte. Das BMI durfte somit zum Abklären der Identität zusätzlich die Adresse des Antragstellers erheben. Eine andere, den IFG-Antragsteller weniger stark beeinträchtigende Alternative als die Abfrage seiner Adresse bei ihm bestand nicht. Eine persönliche Vorsprache mit seinem Personalausweis oder die Einreichung einer Kopie hiervon hätte deutlich mehr personenbezogene Daten offenbart als notwendig. Ebenso hätte es bei der Abfrage einer Meldebestätigung gelegen.

62Dem Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 Buchst. b DSGVO ist ebenfalls hinreichend Rechnung getragen worden. Der Zweck, mithilfe der Postanschrift das IFG-Verfahren ordnungsgemäß führen und insbesondere den Antragsteller identifizieren zu können, ist mit der Erhebung der Anschrift am 3. Juni 2019 festgelegt worden. Dieser festgelegte Verarbeitungszweck liegt innerhalb der möglichen Zwecke, die sich mittelbar aus der Aufgabenzuweisung gemäß Art. 6 Abs. 3 Satz 2 Alt. 2 DSGVO ergeben, und begegnet auch sonst keinen Bedenken. Das BMI hat ihn ausweislich der tatsächlichen Feststellungen des Berufungsgerichts bei der Erhebung am 3. Juni 2019 in der E-Mail gegenüber dem IFG-Antragsteller eindeutig angegeben (zu diesem Erfordernis: EuGH, Urteil vom 24. Februar 2022 - C-175/20 - Rn. 68 f. und 71). Eine unzulässige Erhebung zu einem abstrakten und allgemeinen Zweck, auf Vorrat für einen später zu konkretisierenden Zweck oder zu einem gänzlich unbestimmten Zweck steht - entgegen der Ansicht des Berufungsgerichts und des Beklagten - nicht in Rede. Der Zweck ist überdies legitim, weil er eine rechtmäßige Verarbeitung im Sinne von Art. 6 Abs. 1 DSGVO gewährleistet (zu diesem Maßstab: EuGH, Urteile vom 24. Februar 2022 - C-175/20 - Rn. 66 und vom 20. Oktober 2022 - C-77/21 - Rn. 27). Dieser Zweck ist - wie gezeigt - für die Wahrnehmung einer konkreten Aufgabe nach dem Informationsfreiheitsgesetz erforderlich, die im öffentlichen Interesse liegt. Dieser Umstand genügt, wie sich aus Art. 6 Abs. 1 Unterabs. 1 am Anfang und Buchst. e i. V. m. Art. 6 Abs. 3 Satz 2 bis 4 DSGVO ergibt, damit diese Verarbeitung dem Erfordernis der Rechtmäßigkeit hinreichend Rechnung trägt (EuGH, Urteil vom 24. Februar 2022 - C-175/20 - Rn. 69).

63Ebenso ist der in Art. 5 Abs. 1 Buchst. c DSGVO niedergelegte Grundsatz der Datenminimierung gewahrt. Die Erhebung des personenbezogenen Datums der Anschrift steht bei der gebotenen wertenden Betrachtung nicht im Sinne der Vorschrift in einem Missverhältnis zu dem Zweck, eine ordnungsgemäße Bearbeitung des IFG-Antrags sicherzustellen, insbesondere Gewissheit über die Identität des Antragstellers zu erhalten. Die Kenntnis der Postanschrift ist ferner erheblich, weil sie geeignet ist, den Zweck zu fördern. Da lediglich die Postanschrift und nicht auch weitere personenbezogene Daten abgefragt worden sind, ist die Datenmenge bezogen auf den Zweck auch auf das notwendige Maß beschränkt gewesen. Mehr Daten, als zur Zweckerreichung erforderlich waren, sind im Streitfall nicht erhoben worden. Der Grundsatz der Datenminimierung steht einer Datenverarbeitung nicht entgegen, wenn diese im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (vgl. EuGH, Urteil vom 22. Juni 2021 - C-439/19 - Rn. 104). So lag es hier.

64(dd) Bei Eingang der Postanschrift und der weiteren E-Mailadresse des IFG-Antragstellers am 6. Juni 2019 war die Speicherung der Postanschrift erneut zumindest für die Bearbeitung des Antrags unter dem Gesichtspunkt der Identifizierung des Antragstellers erforderlich. Denn damit konnte in die inhaltliche Prüfung des Begehrens eingetreten werden, deren Dauer ungewiss war. Um das personenbezogene Datum in dieser Zeit zu sichern, musste es gespeichert werden. Alternativen hierzu, die den IFG-Antragsteller weniger stark beeinträchtigt hätten, sind nicht ersichtlich. Auch am Maßstab der Grundsätze der Zweckbindung und der Datenminimierung bestehen hiergegen keine Bedenken.

65(ee) Die Verwendung der Anschrift für die Übersendung des ablehnenden Schreibens vom 12. Juni 2019 per Post war unter Berücksichtigung der Anforderungen des Informationsfreiheitsrechts gleichfalls erforderlich. Zwar war die Klärung der Identität des Antragstellers zu diesem Zeitpunkt bereits abgeschlossen. Jedoch wird die Verwendung von dem weiteren bei der Datenerhebung festgelegten Zweck getragen, die abschließende Entscheidung in Schriftform zu treffen und dem Antragsteller per Post bekanntzugeben. Nach der informationsfreiheitsgesetzlichen Rechtslage stellt die abschließende Entscheidung über einen Antrag auf Informationszugang einen Verwaltungsakt dar ((aaa)), der zwar lediglich in den Fällen des Drittbezuges gemäß § 8 Abs. 2 Satz 1 IFG zwingend der Schriftform bedarf. Allerdings darf sich eine Behörde des Bundes auch im Bereich der nichtförmlichen Verwaltung gleichwohl für die Schriftform und die Bekanntgabe per Post entscheiden, selbst wenn ihr gegenüber ein elektronischer Zugang gemäß § 3a Abs. 1 VwVfG eröffnet worden ist ((bbb)). Ausgehend davon war die Verwendung der Anschrift am 12. Juni 2019 erforderlich ((ccc)).

66(aaa) Die Entscheidung einer Behörde des Bundes über einen Antrag auf Zugang zu amtlichen Informationen stellt einen Verwaltungsakt i. S. d. § 35 Satz 1 VwVfG dar. Es handelt sich sowohl für den Fall der Stattgabe als auch der Ablehnung um eine Entscheidung, die jene Behörde zur Regelung eines Einzelfalles auf dem Gebiet des öffentlichen Rechts trifft und die auf unmittelbare Rechtswirkung nach außen gerichtet ist (BVerwG, Urteile vom 28. Februar 2019 - 7 C 23.17 - NVwZ 2019, 978 Rn. 10, vom 13. Januar 2022 - 6 A 7.20, 6 A 8.20 - BVerwGE 174, 342 Rn. 29 und vom 29. März 2023 - 10 C 6.21 - NVwZ 2023, 1353 Rn. 10). Dies wird durch § 9 Abs. 4 Satz 1 IFG bestätigt, der bestimmt, dass Widerspruch und Anfechtungsklage statthaft sind. Der Gesetzgeber hat damit ersichtlich der ablehnenden Entscheidung Verwaltungsaktqualität beigemessen, und zwar ungeachtet des konkreten Ablehnungsgrundes. Da der Realakt der Informationsgewährung von der vorgelagerten Entscheidung über den Informationszugang nach Maßgabe des gesetzlich vorstrukturierten Prüfprogramms zu trennen ist, gilt das in gleicher Weise auch für eine positive Entscheidung über einen Informationszugangsantrag.

67(bbb) Lediglich in den Fällen der Betroffenheit eines Dritten enthält das Informationsfreiheitsgesetz in seinem § 8 Abs. 2 Satz 1 ein Schriftformerfordernis für die abschließende Entscheidung. Im Übrigen greift der in § 37 Abs. 2 Satz 1 VwVfG niedergelegte Grundsatz der Formfreiheit eines Verwaltungsakts. Der mit dem Antrag auf Informationszugang angegangenen Behörde steht es allerdings frei, sich auch dann in Ausübung ihres Ermessens nach § 37 Abs. 2 Satz 1 VwVfG für die Schriftform zu entscheiden und die abschließende Entscheidung per Post bekanntzugeben (§ 41 VwVfG). Hierfür spricht schon, dass die Behörde damit sicherstellt, in jedem Fall, d. h. auch für den Fall eines erst später erkennbaren Drittbezugs, eine formgemäße Entscheidung gemäß § 8 Abs. 2 Satz 1 IFG zu treffen. Hinzu kommt, dass auch die für die Bearbeitung des konkreten IFG-Antrags entstehenden Gebühren oder Auslagen eine Schriftform nahelegen, zumal nicht auszuschließen ist, dass Vollstreckungsmaßnahmen folgen.

68Im Übrigen bietet die Schriftform generell sowohl für die Behörde als auch für den Adressaten eine sichere Grundlage, vor allem, wenn es auf den Wortlaut der behördlichen Regelung ankommt, insbesondere ob, wann sowie mit welchem Inhalt und gegebenenfalls mit welchen Nebenbestimmungen der Verwaltungsakt erlassen worden ist. Der alternativ möglichen elektronischen Form etwa in Gestalt einer E-Mail nach der Eröffnung eines entsprechenden Zugangs gemäß § 3a Abs. 1 VwVfG stehen mit einem denkbaren Bestätigungsverlangen in § 37 Abs. 2 Satz 3 VwVfG Gründe der Verwaltungseffizienz entgegen. Dieser Bestätigungsanspruch besteht auch dann, wenn zuvor ausdrücklich der elektronische Zugang eröffnet worden ist i. S. d. § 3a Abs. 1 VwVfG.

69Bislang muss es ein Antragsteller in der Regel hinnehmen, dass die Behörde trotz eines eröffneten elektronischen Zugangs mit ihm auf dem Postweg kommuniziert. § 3a Abs. 1 VwVfG stellt lediglich eine notwendige Voraussetzung für die elektronische Kommunikation dar. Weder diese Norm noch § 2 EGovG schränken das behördliche Ermessen ein, einen der Behörde gegenüber - auch für die abschließende Entscheidung - eröffneten elektronischen Zugang nicht zu nutzen, sondern den Postweg zu wählen (Roßnagel, in: Beck'scher Kommentar zum Recht der Telemediendienste, 1. Aufl. 2023, § 3a VwVfG Rn. 24; Denkhaus/​Richter/​Bostelmann, in: EGovG/OnlinezugangsG, 1. Aufl. 2019, § 2 EGovG Rn. 142 m. w. N.; zu der abweichenden Rechtslage für Behörden in Nordrhein-Westfalen siehe § 4 Abs. 1 Satz 2 EGovG NRW). Für die Bekanntgabe ihrer abschließenden Entscheidung hat die Behörde eine Modalität zu wählen, die dem Betroffenen eine hinreichende Möglichkeit der Kenntnisnahme gewährleistet. Daneben ist aber auch den Erfordernissen der Rechtssicherheit und der Verwaltungseffizienz Rechnung zu tragen (BVerwG, Urteil vom 27. Mai 1983 - 4 C 40.81 u. a. - BVerwGE 67, 206 <209>). Vor diesem Hintergrund begegnet es keinen Bedenken, wenn sich die Behörde regelmäßig für die Bekanntgabe per Post entscheidet.

70Der von diesen Maßgaben abweichende Rechtssatz des Berufungsgerichts zu § 41 VwVfG verstößt gegen revisibles Recht (UA S. 19 ff.). Die Grundsätze der Zweckbindung sowie der Datenminimierung geben nicht - wie vom Berufungsgericht angenommen - vor, dass eine mit der Erhebung weiterer personenbezogener Daten verbundene Bekanntgabeart (zeitlich) erst dann ermessensfehlerfrei gewählt werden darf, wenn dies zur Wahrung berechtigter Belange erforderlich ist. Vielmehr knüpft die Datenschutz-Grundverordnung - wie dargelegt - an die aus den Maßgaben des Fachrechts folgenden Zwecksetzungen an und stellt diese nicht wieder infrage. Auf die von der Klägerin erhobene Verfahrensrüge kommt es in diesem Zusammenhang nicht an. Der mit dieser thematisierte Stand der Nutzungsbedingungen der Plattform FragDenStaat und deren konkreter Inhalt ist für den Ausgang dieses Verfahrens unerheblich.

71(ccc) Ausgehend von diesen Grundsätzen wird die Verwendung der Anschrift im Schreiben vom 12. Juni 2019 von dem bereits bei ihrer Erhebung am 3. Juni 2019 festgesetzten und dem Antragsteller mitgeteilten Zweck getragen, die Postanschrift zur Bekanntgabe der abschließenden Entscheidung zu nutzen.

72(α) Die Erhebung der Anschrift zu diesem Zweck begegnet keinen Bedenken. Für die vom BMI ermessensfehlerfrei gewählte Schriftform für die abschließende Entscheidung und deren Bekanntgabe per Post war die Kenntnis der Anschrift des Antragstellers unverzichtbar. Da dieser nach den nicht angegriffenen, den Senat gemäß § 137 Abs. 2 VwGO bindenden tatsächlichen Feststellungen des Berufungsgerichts lediglich einen elektronischen Zugang gemäß § 3a Abs. 1 VwVfG eröffnet hatte, durfte das BMI am 3. Juni 2019 nach seiner Postanschrift fragen. Im Hinblick auf das im Anwendungsbereich des Informationsfreiheitsgesetzes geltende besondere Beschleunigungsgebot entspricht es der ratio legis, dass die Bescheidung des Antrags unverzüglich zu erfolgen und die Behörde dafür umgehend Vorsorge zu treffen hat (vgl. BT-Drs. 15/4493 S. 15). Die Pflicht zur zügigen Bearbeitung des Antrags zeigt sich ferner in § 7 Abs. 5 Satz 2 IFG, wonach im Falle der Informationsgewährung ein Informationszugang innerhalb eines Monats erfolgen soll, sowie in § 9 Abs. 1 IFG, der für die Bekanntgabe einer ablehnenden Entscheidung ebenfalls an diese Frist anknüpft. Auch aus Art. 5 Abs. 1 Buchst. b und c DSGVO resultieren keine Bedenken gegen die Erhebung des Datums zu diesem Zweck.

73(β) Die Datenverarbeitung am 12. Juni 2019 beruhte auf diesem bei der Erhebung festgesetzten Zweck. Denn mit dem Schreiben vom 12. Juni 2019 hat das BMI den IFG-Antrag abschließend beschieden. Es stellt einen Verwaltungsakt im Sinne des § 35 Satz 1 VwVfG dar.

74Das Berufungsgericht hat die rechtliche Einordnung des Schreibens offengelassen (UA S. 27). Der Senat kann deswegen die behördliche Willenserklärung selbst auslegen, da er hierfür keine bisher nicht ermittelten tatsächlichen Umstände feststellen muss (vgl. Neumann/​Korbmacher, in: Sodan/​Ziekow, VwGO, 5. Aufl. 2018, § 137 Rn. 168; Kraft, in: Eyermann, VwGO, 16. Aufl. 2022, § 137 Rn. 69 m. w. N.). Ob eine behördliche Maßnahme Regelungscharakter und damit Verwaltungsaktqualität hat, ist in entsprechender Anwendung von §§ 133, 157 BGB durch Auslegung zu bestimmen. Danach ist der objektive Erklärungsgehalt der Maßnahme zu ermitteln; maßgeblich ist, wie sie der Adressat bei objektiver Betrachtung verstehen kann (stRspr, vgl. BVerwG, Urteil vom 21. Juni 2017 - 6 C 3.16 - BVerwGE 159, 148 Rn. 14 m. w. N.). Kein Regelungsgehalt kommt behördlichen Erklärungen zu, denen sich kein Regelungs- bzw. Rechtsbindungswille entnehmen lässt. Hierzu gehören etwa Auskünfte oder bloße Hinweise.

75Gemessen hieran deutet zwar die äußere Form - Briefform ohne Überschrift mit "Bescheid" - auf ein bloßes Hinweisschreiben hin. Allerdings wird in der Äußerung des BMI inhaltlich (noch) hinreichend deutlich, dass es den begehrten Informationszugang endgültig versagt ("Ein Informationszugang ist [...] nicht möglich"), weil dieser Behörde die Informationen nicht vorlägen. Das BMI hat damit eine Entscheidung zu dem Antrag getroffen und nicht nur auf die Rechtslage hingewiesen. Erkennbar sollte das mit dem Antrag eingeleitete Verfahren abgeschlossen werden. Dass nicht ausdrücklich von einer Ablehnung des Antrags die Rede ist und der Bescheid - entgegen Ziffer 9 Buchst. e der vom BMI selbst erlassenen Anwendungshinweise für das Informationsfreiheitsgesetz (GMBl 2005, 1346) – keine Rechtsbehelfsbelehrung enthält, steht dieser Wertung nicht entgegen (vgl. in diesem Zusammenhang BVerwG, Urteil vom 28. Februar 2019 - 7 C 23.17 - NVwZ 2019, 978 Rn. 10). Auch der innere Wille der Behörde ist nicht entscheidend, weil es darauf ankommt, welchen objektiven Erklärungswert die Maßnahme hat.

76Im Übrigen wären die zu § 37 Abs. 2 Satz 1, § 41 VwVfG aufgezeigten Grundsätze in entsprechender Anwendung heranzuziehen, selbst wenn das BMI rechtsirrig von einem bloßen Hinweisschreiben ausgegangen sein sollte; an dem gefundenen Ergebnis änderte sich nichts.

77Die Kostenentscheidung beruht auf § 154 Abs. 2 VwGO.