Seit mehreren Monaten ist zu beobachten, dass Schulen vermehrt mit Auskunftsersuchen gemäß Art. 15 DS-GVO konfrontiert werden. Die Auskunftsersuchen sind teilweise sehr einfach gehalten. Einige orientieren sich an im Internet verfügbaren Vorlagen, andere sind offenbar mithilfe künstlicher Intelligenz erstellt worden.
Während ein Teil der Auskunftsersuchen erkennbar dem Zweck dient, dass sich betroffene Personen ein Bild von der Verarbeitung ihrer personenbezogenen Daten durch die Schule machen möchten, entsteht bei anderen Anfragen der Eindruck, dass weitere Beweggründe eine Rolle spielen könnten. Gerade bei Auskunftsersuchen, die im Zusammenhang mit vorausgegangenen Auseinandersetzungen mit der Schule stehen, ist die Liste der begehrten Informationen oftmals besonders umfangreich. Dabei wird auch immer wieder verlangt, das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO in Kopie zur Verfügung zu stellen. Einige Antragstellende versuchen zudem, über das Informationsfreiheitsgesetz Zugang zu diesem Verzeichnis zu erhalten.
Mit Urteil vom 23. Juni 2026 hat das Verwaltungsgericht Hamburg (Az. 5 K 4808/24) entschieden, dass ein Anspruch auf Zugang zum Verzeichnis von Verarbeitungstätigkeiten nach dem Informationsfreiheitsgesetz des Bundes (IFG) nicht besteht, weil Art. 30 Abs. 4 DS-GVO insoweit eine vorrangige und abschließende Regelung enthält.
Dem Urteil lag ein Rechtsstreit zugrunde, in dem ein Kläger gegenüber einer bundesweit tätigen gesetzlichen Krankenkasse Zugang zu deren Verzeichnis von Verarbeitungstätigkeiten sowie zu einer gesondert geführten Liste der Auftragsverarbeiter begehrte. Nachdem die Krankenkasse seinen Antrag abgelehnt und auch seinen Widerspruch zurückgewiesen hatte, erhob der Kläger Klage vor dem Verwaltungsgericht Hamburg.
Das Gericht bestätigte die Ablehnung des Informationszugangs hinsichtlich des Verzeichnisses von Verarbeitungstätigkeiten. Zur Begründung führte es aus, dass Art. 30 Abs. 4 DS-GVO eine gegenüber dem allgemeinen Informationszugangsrecht vorrangige spezialgesetzliche Regelung darstelle. Nach § 1 Abs. 3 IFG des Bundes gehen andere Rechtsvorschriften über den Zugang zu amtlichen Informationen dem allgemeinen Informationsfreiheitsgesetz vor, wenn sie denselben Regelungsgegenstand betreffen und den Informationszugang abschließend regeln.
Diese Voraussetzungen sah das Gericht bei Art. 30 Abs. 4 DS-GVO als erfüllt an. Die Vorschrift regele den Zugang zu Verzeichnissen von Verarbeitungstätigkeiten abschließend. Dies ergebe sich nach Auffassung des Gerichts bereits aus dem Wortlaut der Vorschrift, der die Offenlegung des Verzeichnisses „nur gegenüber der Aufsichtsbehörde vorschreibt und Dritte im Umkehrschluss von einem (direkten) Informationszugang ausschließt“ (Rn. 36).
Anders entschied das Gericht hinsichtlich der gesondert geführten Liste der Auftragsverarbeiter. Insoweit verpflichtete es die Krankenkasse, dem Kläger Zugang zu gewähren. Bei dieser Liste handele es sich ebenfalls um eine amtliche Information im Sinne des Bundes-IFG. Die vorrangige Regelung des Art. 30 Abs. 4 DS-GVO stehe dem Informationszugang jedoch nicht entgegen, weil sie ausschließlich das Verzeichnis von Verarbeitungstätigkeiten betreffe und keine Regelung über den Zugang zu einer davon gesondert geführten Liste der Auftragsverarbeiter enthalte.
Bewertung
Auch wenn sich das Urteil des Verwaltungsgerichts Hamburg auf das Informationsfreiheitsgesetz des Bundes bezieht, lässt sich die Entscheidung grundsätzlich auf Nordrhein-Westfalen übertragen, denn auch das IFG NRW enthält mit § 4 Abs. 2 eine Regelung, nach der besondere Rechtsvorschriften über den Informationszugang den allgemeinen Bestimmungen des Informationsfreiheitsgesetzes vorgehen.1„Soweit besondere Rechtsvorschriften über den Zugang zu amtlichen Informationen, die Auskunftserteilung oder die Gewährung von Akteneinsicht bestehen, gehen sie den Vorschriften dieses Gesetzes vor.“ Die vom Hamburger Verwaltungsgericht vertretene Auffassung, dass Art. 30 Abs. 4 DS-GVO den Zugang zum Verzeichnis von Verarbeitungstätigkeiten abschließend regelt, lässt sich daher auch auf Auskunftsbegehren nach dem IFG NRW übertragen.
Es spricht vieles dafür, dass sich die rechtliche Beurteilung auch auf die Informationsfreiheits- und Transparenzgesetze anderer Bundesländer übertragen lässt. Ob dies im jeweiligen Bundesland tatsächlich der Fall ist, muss allerdings anhand der dort geltenden gesetzlichen Regelungen geprüft werden.
Was bedeutet dies nun für Schulen beziehungsweise Schulaufsichtsbehörden in Nordrhein-Westfalen, wenn sie im Rahmen eines Auskunftsersuchens mit dem Verlangen nach Zugang zum Verzeichnis von Verarbeitungstätigkeiten konfrontiert werden? Unter Verweis auf das hier besprochene Urteil und die vergleichbare Rechtslage in Nordrhein-Westfalen lässt sich eine Ablehnung eines solchen Verlangens rechtlich begründen. Dabei kann insbesondere auf den Vorrang des Art. 30 Abs. 4 DS-GVO gemäß § 4 Abs. 2 IFG NRW verwiesen werden.