Die Frage, ob die Recherche ein "legitimate Interest" im Sinnde der GDPR ist, was eine Kontaktaufnahme erlaubt, ist eine Grauzone.
Interessant wäre es, mal eine Email zu sehen, und ob diese nur Informationen zum Leak beinhaltete oder mehr. Auch da vermute ich, dass Correctiv sich anwaltlich beraten hat lassen, um in einer Grauzone zu bleiben.
Das müsste wohl gerichtlich geklärt werden.