Hintergrund der Beschwerde

1. Am 26. Juli 2018 ersuchte der Beschwerdeführer die Exekutivagentur für Innovation und Netze (INEA), ihm öffentlichen Zugang zu den vollständigen Unterlagen zu gewähren, die von einer öffentlichen Stelle (der nationalen Cybersicherheitsbehörde eines Mitgliedstaats), die eine Finanzierung durch die INEA beantragt, vorgelegt wurden^[1].

2. Am 1. August 2018 antwortete die INEA dem Beschwerdeführer, der die angeforderten Dokumente als Finanzhilfeantragsformulare A bis D bezeichnete. Sie verweigerte ihm den Zugang der Öffentlichkeit auf der Grundlage der in Artikel 4 Absatz 2 erster Gedankenstrich vorgesehenen Ausnahme für geschäftliche Interessen und der in Artikel 4 Absatz 1 Buchstabe b der Verordnung 1049/2001 vorgesehenen Ausnahme für personenbezogene Daten^[2].

3. Am selben Tag stellte der Beschwerdeführer einen Überprüfungsantrag (ein sogenannter Zweitantrag),in dem er die INEA aufforderte, ihre frühere Ablehnung zu überprüfen und ihr Zugang zu den angeforderten Dokumenten zu gewähren.

4. Am 7. August 2018 konsultierte die INEA die nationale Cybersicherheitsbehörde gemäß Artikel 4 Absatz 4 der Verordnung 1049/2001.

5. Am 21. August 2018 bestätigte die INEA ihre frühere Entscheidung, mit der der Öffentlichkeit der Zugang zu den angeforderten Dokumenten verweigert wurde.

6. Am 7. Oktober 2018 reichte der Beschwerdeführer eine Beschwerde beim Bürgerbeauftragten ein. Der Bürgerbeauftragte leitete daraufhin eine Untersuchung ein.

Vorschlag des Bürgerbeauftragten für eine Lösung

7. Im Laufe der Untersuchung stellte die Bürgerbeauftragte fest, dass die INEA die nationale Cybersicherheitsbehörde, von der die Dokumente stammen, zu der Möglichkeit konsultiert hat, die angeforderten Dokumente offenzulegen. Dabei unterbreitete die INEA einen Vorschlag für eine teilweise Offenlegung unter Angabe der Informationen, von denen sie glaubte, dass sie geschwärzt werden sollten (weil sie wirtschaftlich sensibel waren oder personenbezogene Daten enthielten), und forderte die nationale Cybersicherheitsbehörde auf, zu der vorgeschlagenen Offenlegung Stellung zu nehmen. Die nationale Cybersicherheitsbehörde wies darauf hin, dass sie mit der Offenlegung der Dokumente nicht einverstanden sei.

8. Der Bürgerbeauftragte stellte fest, dass die INEA nicht an die Stellungnahme der nationalen Cybersicherheitsbehörde gebunden war, wie in der Rechtssache Terezakis/Kommission festgestellt^{. [3]}

9. Die Bürgerbeauftragte stellte fest, dass die angeforderten Dokumente einige Informationen von kommerziellem Wert enthielten, und stimmte zu, dass die Offenlegung dieser Informationen bei künftigen Ausschreibungen und Vorschlägen wahrscheinlich zu einem unfairen Vorteil führen würde. Der Beschwerdeführer begründete kein überwiegendes öffentliches Interesse an der Offenlegung, das es rechtfertigen würde, den Schutz dieser geschäftlichen Interessen zu verweigern. Daher stellte die Bürgerbeauftragte fest, dass diese Informationen gemäß Artikel 4 Absatz 2 erster Vorsatz der Verordnung 1049/2001 als wirtschaftlich sensibel gelten sollten.

10. Die Dokumente enthielten jedoch auch einige Informationen, die nicht kommerziell vertraulich zu sein schienen. Dies waren allgemeine Informationen über das Projekt im Einklang mit der öffentlich zugänglichen Aufforderung zur Einreichung von Vorschlägen.^[4] Der Bürgerbeauftragte stellte fest, dass die Aufforderung zur Einreichung von Vorschlägen nicht nur bereits öffentlich zugänglich war, sondern auch die Projektinformationen, wie vom Beschwerdeführer^[5] und der INEA^[6] bestätigt. Der Bürgerbeauftragte kam zu dem Schluss, dass diese Informationen nicht sensibel seien und ihre Offenlegung weder die geschäftlichen Interessen des öffentlichen Unternehmens noch die Rechte des geistigen Eigentums beeinträchtigen würde.

11. In Bezug auf die geschwärzten personenbezogenen Daten vertrat die Bürgerbeauftragte die Auffassung, dass der Beschwerdeführer nicht festgestellt hatte, dass personenbezogene Daten übermittelt werden müssen^[7], und stimmte zu, dass die personenbezogenen Daten in den angeforderten Dokumenten im Einklang mit Artikel 4 Absatz 1 Buchstabe b der Verordnung (EG) Nr. 1049/2001 und Artikel 8 Buchstabe b der Verordnung (EG) Nr. 45/2001 geschwärzten werden sollten.

12. Folglich schlug der Bürgerbeauftragte vor, dass die INEA die entsprechenden Finanzhilfeantragsformulare A und D teilweise offenlegen sollte, wobei nur Informationen geschwärzt werden sollten, die sie als tatsächlich wirtschaftlich sensible oder personenbezogene Daten erachtete. Der Bürgerbeauftragte schlug vor, dass der ursprüngliche Vorschlag der INEA zur teilweisen Offenlegung (der im Zuge der Konsultationen mit dem öffentlichen Unternehmen vorgelegt wurde) die geeignete Grundlage für das weitere Vorgehen sei.

Empfehlung des Bürgerbeauftragten

13. Die INEA lehnte den Vorschlag des Bürgerbeauftragten zur teilweisen Offenlegung ab. Die INEA stellte fest, dass Informationen über den Umfang und die Ziele des Projekts bereits öffentlich zugänglich sind und „im Wesentlichen mit den Informationen übereinstimmen“, die in den Teilen der Dokumente enthalten sind, die der Bürgerbeauftragte vorgeschlagen hat. Der Verwaltungsaufwand für die Umsetzung des Vorschlags des Bürgerbeauftragten sei zu hoch und ein teilweiser Zugang bedeutungslos, da die Informationen, die offengelegt werden könnten, bereits öffentlich seien^[8].

14. Die INEA betonte auch, dass das Projekt die Cybersicherheit betreffe, ein Bereich, in dem Vertraulichkeit von wesentlicher Bedeutung sei. Sie argumentierte, dass im Falle der Offenlegung der angeforderten Dokumente das Vertrauen zwischen der Kommission und den einschlägigen Durchführungsakteuren verletzt würde und zu einer Zurückhaltung bei der Beantragung der Finanzhilfen in der Zukunft führen könnte. Darin heißt es, dass diese Akteure in ihren Projektvorschlägen Angaben zu ihrem Personal und ihren Tätigkeiten machen, die, wenn sie offengelegt werden, es externen Einrichtungen ermöglichen würden, ihre Funktionsweise zu verstehen. Darüber hinaus stellte er fest, dass einige der Durchführungsakteure Teil der Sicherheits- und Nachrichteninfrastruktur der Mitgliedstaaten sind. Infolgedessen argumentierte sie, dass die Offenlegung auch die Cybersicherheit der Mitgliedstaaten durch gezielte Cyberangriffe beeinträchtigen könnte.

15. Die Bürgerbeauftragte vertrat die Auffassung, dass die Umsetzung ihres Vorschlags keinen zusätzlichen Verwaltungsaufwand für die INEA bedeuten würde, da die INEA bereits bei der Konsultation der zuständigen nationalen Cybersicherheitsbehörde einen ersten Vorschlag für eine teilweise Offenlegung vorgelegt hatte.

16. Der Bürgerbeauftragte war ferner der Auffassung, dass die Tatsache, dass Informationen bereits öffentlich zugänglich sind, nicht bedeutet, dass der Zugang der Öffentlichkeit zu den angeforderten Dokumenten sinnlos wäre. Sie wies darauf hin, dass eine Offenlegung nur dann als bedeutungslos oder sinnlos angesehen werden könne, wenn die Schwärzungen so umfangreich seien, dass ein Dokument „sämtlichseines Inhalts beraubt“ werde.^[9] Dies sei im vorliegenden Fall nicht der Fall. Für den Fall, dass aus dem Umstand, dass bestimmte Informationen in den Dokumenten bereits öffentlich zugänglich sind, eine Schlussfolgerung gezogen werden kann, ist festzustellen, dass die durch die Verordnung 1049/2001 geschützten Interessen durch die Verbreitung dieser Informationen nicht beeinträchtigt werden können. 

17. Die Bürgerbeauftragte stellte fest, dass ihr Vorschlag für die Offenlegung Informationen betreffe, die nicht als sensibel angesehen werden könnten, wie den Umfang und die Ziele des Projekts, seine Relevanz und die Beschreibung der Tätigkeiten. Die Schwärzung von Informationen, die wirtschaftlich sensibel sein oder personenbezogene Daten enthalten können, ist gerechtfertigt.^[10] Daher stellte der Bürgerbeauftragte fest, dass eine teilweise Offenlegung der angeforderten Dokumente das Vertrauen zwischen der Kommission und dem öffentlichen Unternehmen nicht beeinträchtigen würde.

18. Die Bürgerbeauftragte stellte auch fest, dass die nationale Cybersicherheit nicht durch eine teilweise Offenlegung untergraben werden könnte, da die Teile der Dokumente, die offengelegt werden sollten, Informationen enthalten, die bereits öffentlich sind. Jedenfalls enthalten diese Informationen keine detaillierten technischen Informationen, die es externen Einrichtungen ermöglichen würden, die Funktionsweise der nationalen Cybersicherheitsagenturen zu verstehen und somit die Cybersicherheit der Mitgliedstaaten zu beeinträchtigen.

19. Vor diesem Hintergrund stellte die Bürgerbeauftragte fest, dass die Weigerung der INEA, einen teilweisen Zugang zu den Dokumenten zu gewähren, einen Missstand in der Verwaltungstätigkeit darstellte. Sie empfahl daher (gemäß Artikel 3 Absatz 6 des Statuts des Europäischen Bürgerbeauftragten):

„Die Exekutivagentur für Innovation und Netze sollte die beantragten Finanzhilfeantragsformulare A und D teilweise offenlegen und nur Informationen schwärzen, die tatsächlich wirtschaftlich sensibel sind oder personenbezogene Daten sind, die geschützt werden müssen.“

Antwort der INEA auf die Empfehlung des Bürgerbeauftragten

20. Die INEA lehnte die Empfehlung des Bürgerbeauftragten ab. Sie brachte vor, dass die Unionsgerichte eine allgemeine Vermutung der Nichtoffenlegung von Angeboten^{anerkennten [11],} die analog auch für Verfahren zur Gewährung von Finanzhilfen gelte. Die von der Europäischen Kommission vorgeschlagene Praxis bestehe darin, Anträgen auf Zugang zu Dokumenten über Finanzhilfeanträge aus Gründen des Schutzes der geschäftlichen Interessen und der Privatsphäre den Zugang zu verweigern.

21. Die INEA machte geltend, dass ihr ursprünglicher Vorschlag für eine teilweise Offenlegung „nur eine Grundlage für die Einleitung von Diskussionen und nicht eine endgültige Position der Agentur“ sei. Sie ist nun der Auffassung, dass die Löschung der sensiblen Informationen den offengelegten Teil des Dokuments bedeutungslos machen würde. Außerdem seien die geschwärzten Dokumente für den Beschwerdeführer bedeutungslos, da die Informationen bereits öffentlich zugänglich seien. Die INEA stellte fest, dass die EU-Gerichte entschieden haben, dass die Organe in solchen Fällen einen teilweisen Zugang verweigern dürfen^[12].

22. Die INEA brachte vor, dass, da die nicht sensiblen Informationen in den angeforderten Dokumenten verbreitet würden, „eine teilweise Löschung die ernsthafte Gefahr bergen würde, dass eine rechtzeitige Freigabe öffentlich zugänglicher Elemente weiterhin zu einer Offenlegung sensibler Informationen führen könnte“. Sie stellte ferner fest, dass die Kommission und sie selbst befürchteten, dass eine mögliche Verletzung der Vertraulichkeit der Cybersicherheit das Vertrauen der betreffenden nationalen Cybersicherheitsbehörde sowie künftiger Kooperationspartner untergraben könnte.

23. Die INEA argumentierte, dass Transparenz und die Beteiligung der Bürger am Entscheidungsprozess im vorliegenden Fall nicht als Argument für ein überwiegendes öffentliches Interesse an der Offenlegung herangezogen werden könnten, da Finanzhilfeanträge nicht Teil des Gesetzgebungsverfahrens seien.

Bewertung des Bürgerbeauftragten nach der Empfehlung

24. Die Bürgerbeauftragte ist enttäuscht über die Antwort der INEA auf ihre Empfehlung.

25. Sie hält das neue Argument der INEA, den teilweisen Zugang auf der Grundlage einer allgemeinen Vermutung der Nichtoffenlegung von Angeboten/Zuschüssen zu verweigern, für nicht überzeugend. Ohne notwendigerweise zu akzeptieren, dass eine solche allgemeine Vermutung gilt, stellt der Bürgerbeauftragte fest, dass alle allgemeinen Vermutungen im Zusammenhang mit den EU-Vorschriften über den Zugang zu Dokumenten widerlegt werden können. Der Bürgerbeauftragte hat klar dargelegt, warum bestimmte Informationen in den Dokumenten nicht als vertraulich angesehen werden können. Daher wird im vorliegenden Fall jede allgemeine Vermutung widerlegt, die für die Angebote gelten könnte.  

26. Aus dem bestätigenden Beschluss der INEA und dem anschließenden Schriftwechsel mit dem Bürgerbeauftragten geht auch hervor, dass die INEA bereits eine individuelle Bewertung der angeforderten Dokumente durchgeführt und die Teile des Dokuments ermittelt hat, für die Ausnahmen gemäß der Verordnung 1049/2001 gelten, sowie andere Teile, die bereits öffentlich zugänglich sind. 

27. Darüber hinaus widerspricht der Bürgerbeauftragte der Einschätzung der INEA, dass die Veröffentlichung einer geschwärzten Version der Dokumente in diesem Fall bedeutungslos wäre. Während einige der nicht sensiblen Informationen in den angeforderten Dokumenten bereits der Öffentlichkeit zugänglich sind, könnte die (teilweise) Freigabe des Dokuments dem Beschwerdeführer dabei helfen, festzustellen, ob der Finanzhilfeantrag dieselben Informationen enthält, die bereits öffentlich zugänglich sind. Selbst eine geschwärzte Fassung der Dokumente wäre daher für den Beschwerdeführer etwas nützlich.

28. Auf der Grundlage der vorstehenden Ausführungen bekräftigt die Bürgerbeauftragte ihre Schlussfolgerung, dass die Weigerung der INEA, der Öffentlichkeit teilweisen Zugang zu den betreffenden Dokumenten zu gewähren, einen Missstand in der Verwaltungstätigkeit darstellt.

Schlussfolgerung

Auf der Grundlage der Untersuchung schließt der Bürgerbeauftragte diesen Fall mit folgender Schlussfolgerung ab:

Die Bürgerbeauftragte ist mit der Antwort der Exekutivagentur für Innovation und Netze auf ihre Empfehlung, dass die Exekutivagentur für Innovation und Netze die beantragten Finanzhilfeanträge A und D teilweise offenlegen sollte, nicht zufrieden und bestätigt ihre Feststellung von Missständen in der Verwaltungstätigkeit.

Der Beschwerdeführer und die Exekutivagentur für Innovation und Netze werden über diese Entscheidung unterrichtet.

Emily O'Reilly

Europäischer Bürgerbeauftragter

Straßburg, 04.10.2019

[1] Die Finanzierung stand im Zusammenhang mit Enhanced National Cyber Security Services and Capabilities for Interoperability (eCSI), Action 2016-RO-IA-0128, abrufbar auf der Website der INEA: https://ec.europa.eu/inea/de/connecting-europe-facility/cef-telecom/2016-ro-ia-0128; Aufforderung zur Einreichung von Vorschlägen für Vorhaben von gemeinsamem Interesse im Rahmen der Fazilität „Connecting Europe“ im Bereich der transeuropäischen Telekommunikationsnetze, CEF-TC-2016-3: Cyber Security, abrufbar unter: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, Anhang, Arbeitsprogramm 2016, abrufbar unter: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[2] Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission, abrufbar unter: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32001R1049&rid=1.

[3] Urteil des Gerichts erster Instanz vom 30. Januar 2008, Terezakis/Kommission, T-380/04.

[4] Aufforderung zur Einreichung von Vorschlägen für Vorhaben von gemeinsamem Interesse im Rahmen der Fazilität „Connecting Europe“ im Bereich der transeuropäischen Telekommunikationsnetze, CEF-TC-2016-3: Cyber Security, abrufbar unter: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, Anhang, Arbeitsprogramm 2016, abrufbar unter: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[5] Auftragsbekanntmachung, 2018/S 019-040409, abrufbar unter: https://ted.europa.eu/udl?uri=TED:NOTICE:040409-2018:TEXT:RO:HTML.

[6] Website der INEA, abrufbar unter: https://ec.europa.eu/inea/de/connecting-europe-facility/cef-telecom/2016-ro-ia-0128, https://ec.europa.eu/inea/de/connecting-europe-facility/cef-telecom/apply-funding/2016-cef-telecom-call-cyber-security-cef-tc-2016-3; Website des öffentlichen Unternehmens, abrufbar unter: https://www.cert.ro/pagini/ecsi-page; die projektspezifische Website, abrufbar unter: https://ecsi.cert.ro/; das rumänische System/die rumänische Plattform für das öffentliche Beschaffungswesen, abrufbar unter: www.e-licitatie.ro; und Tenders Electronic Daily, abrufbar unter: www.ted.europa.eu.

[7] Gemäß Artikel 2 Buchstabe a der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr, abrufbar unter: https://eur-lex.europa.eu/legal-content/de/TXT/?uri=CELEX:32001R0045.

[8]Die INEA verweist auf die Urteile des Gerichts erster Instanz vom 12. Juli 2001, Mattila/Rat und Kommission, T-204/99, Rn. 69, und vom 20. März 2014, Urteil Reagens/Kommission, T-181/10, Randnr. 161-175; Urteile des Gerichts erster Instanz vom 19. Juli 1999 in der Rechtssache Hautala/Rat, T-14/98, Randnr. 30, und vom 7. Februar 2002 in der Rechtssache Kuijer/Rat, T-211/00, Randnr. 57.

[9] Vgl. Urteil Reagens/Kommission (T-181/10, Randnrn. 172 und 175).

[10] Gemäß Artikel 4 Absatz 1 Buchstabe b und Artikel 4 Absatz 2 erster Gedankenstrich der Verordnung 1049/2001.

[11] Zum Beispiel Urteil des Gerichts vom 26. Mai 2016, International

Management Group/Europäische Kommission, Rechtssache T-110/15, Rn. 30, und Urteil des Gerichts vom 13. November 2015, ClientEarth/Europäische Kommission, T-424/14 und T-425/14, Rn. 65.

[12] Urteil des Gerichts vom 12. Juli 2001, Mattila/Rat und Kommission, Rechtssache T-204/99, Rn. 69.