W171 2309847-2 – BVwG Entscheidung

W171 2309847–2/31E IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Gregor MORAWETZ, MBA. als Vorsitzenden und die fachkundige Laienrichterin Mag.a Huberta MAITZ-STRASSNIG und den fachkundigen Laienrichter Gerhard RAUB über die Säumnisbeschwerden 1. der XXXX . und 2. des XXXX , beide vertreten durch die Knyrim Trieb Rechtsanwälte OG, 1060 Wien, [mitbeteiligte Partei: XXXX , vertreten durch RA Dr. F. Striessnig], wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 10.05.2023, GZ: XXXX , nach Durchführung einer mündlichen Verhandlung

I) zu Recht erkannt:

A) Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die mitbeteiligte Partei die BF in ihrem Recht auf Geheimhaltung verletzt hat, indem sie geschäftliche E-Mail-Korrespondenzen über einen sieben Jahre übersteigenden Zeitraum hinaus aufbewahrte und damit ihrer Pflicht zur Löschung nicht nachgekommen ist.

B) Der mitbeteiligten Partei wird aufgetragen, jene Teile der E-Mail-Korrespondenz mit den beschwerdeführenden Parteien, die älter als sieben Jahre sind, nicht im Zusammenhang mit dem hg. Verfahren stehen und auch nicht in Zusammenhang mit einem anderen verwaltungsrechtlichen oder zivilrechtlichen Verfahren stehen und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, zu löschen.

C) Im Übrigen wird die Beschwerde als unbegründet abgewiesen.

D) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

II) beschlossen:

A) Die Anträge vom 30.12.2025 hinsichtlich der behaupteten Datenverarbeitung ohne Weisung (i), das Hinzuziehen eines Unter-Auftragsverarbeiters (ii), das Fehlen eines Verarbeitungsverzeichnisses (iii), die fehlenden Datenschutzschulungen für Mitarbeiter (iv), sowie die Unterlassung der Mitteilung eines gravierenden Interessenkonflikts an die beschwerdeführenden Parteien (v) werden mangels Zuständigkeit des Bundesverwaltungsgerichts zurückgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrenseinleitendem Schriftsatz vom 10.05.2023 sowie 19.05.2023 wandten sich die Erstbeschwerdeführerin und der Zweitbeschwerdeführer (idF „BF“) durch ihre rechtsfreundliche Vertretung an die Datenschutzbehörde (idF „belangte Behörde“) und führten zusammengefasst aus, dass die mitbeteiligte Partei (idF „mP“) im Verdacht stehe als IT-Dienstleister trotz Auflösung des zuvor bestehenden Dienstleistungsvertrages, auf personenbezogene Daten der BF zugegriffen zu haben. Die BF hätten in weiterer Folge ein Auskunftsersuchen an die mP samt näherer Fragen zum Sachverhalt gestellt, das im Wesentlichen nicht bzw. unzureichend beantwortet worden sei; die erteilte Auskunft enthalte unrealistisch wenige Informationen. Darüber hinaus regten die BF die Einleitung eines amtswegigen Prüfverfahrens an und erstatteten eine Meldung zur Verletzung des Schutzes personenbezogener Daten iSd. Art. 33 DSGVO.

Genereller Hintergrund des Sachverhaltes sei ein privater Konflikt zwischen dem Zweitbeschwerdeführer, seiner Ex-Ehefrau und der mP. Die mP, die eine Beziehung zur Ex-Ehefrau des Zweitbeschwerdeführers habe, soll nach Beendigung des Geschäftsverhältnisses auf Daten der BF zugegriffen, und der Ex-Ehefrau für das Scheidungsverfahren zur Verfügung gestellt haben.

2. Mit Stellungnahme vom 28.08.2023 führte die rechtsfreundlich vertretene mP aus, dass es zwar richtig sei, dass die Zusammenarbeit beider Parteien beendet worden sei, aber keine unzulässigen Datenzugriffe erfolgt seien. Die mP sei ihren vertraglichen Verpflichtungen nachgekommen und habe nach Übergabe an den neuen IT-Dienstleister alle Daten vertragsgemäß gelöscht. Es sei zudem unrichtig, dass die mP über die Anwendung „TeamViewer“ – einem Programm, das den Fernzugriff auf Computer erlaubt – Zugriff auf die IT-Systeme der BF gehabt habe. Auf die unsubstantiierten Behauptungen zum privaten Konflikt werde mangels Relevanz nicht weiter eingegangen.

3. Die BF nahmen mit Schriftsatz vom 22.09.2023 Stellung und führten aus, dass die mP verpflichtet gewesen sei, IT-Protokolle hinsichtlich ihrer Arbeit anfertigen zu lassen und eine allfällige eigenmächtige Löschung über das vertraglich Vereinbarte hinausgehen würde. Selbst im Falle einer Löschung wäre die mP verpflichtet gewesen, entsprechende Aufzeichnungen zu erstellen. Darüber hinaus seien die Ausführungen der mP hinsichtlich der Anwendung TeamViewer unschlüssig. Entgegen deren Ausführungen sei der private Konflikt relevant für das gegenständliche Verfahren, da ein Interessenkonflikt nicht offengelegt worden sei.

4. Mit Erkenntnis vom 17.06.2025, GZ XXXX hat das Bundesverwaltungsgericht der Säumnisbeschwerde der BF vom 02.12.2024 stattgegeben und die Datenschutzbehörde gemäß § 28 Abs. 7 VwGVG beauftragt, den versäumten Bescheid unter Zugrundelegung der näher ausgeführten Rechtsanschauung – Prüfungsrelevanz des Zugriffs der mitbeteiligten Partei auf das Computersystem des Erstbeschwerdeführers – binnen acht Wochen zu erlassen.

5. Nach Aufforderung durch die Datenschutzbehörde nahmen die BF mit Schreiben vom 05.08.2025 Stellung und führten aus, dass die Systemanwendung TeamViewer derart installiert war, dass Mitarbeiter der Erstbeschwerdeführerin einem Zugriff auf ihren jeweiligen Rechner zustimmen mussten, jedoch auf den Servern der Erstbeschwerdeführerin ein uneingeschränkter Zugriff möglich gewesen sei, um zur Servicierung der IT-Infrastruktur nicht auf die Anwesenheit von Personal angewiesen zu sein. Da der neue IT-Dienstleister der BF allfällige Verbindungen der mP zur IT-Infrastruktur der BF entfernt habe, könnten zusätzliche frühere Konfigurationen von TeamViewer nicht mehr nachgewiesen werden. Die mP sei nach wie vor eine DSGVO-konforme Auskunft schuldig.

6. Mit 22.08.2025 legte die Datenschutzbehörde nach Ablauf der durch das Bundesverwaltungsgericht gesetzten Frist von acht Wochen die Säumnisbeschwerde der BF unter Anschluss des verfahrensgegenständlichen Verwaltungsaktes erneut dem Bundesverwaltungsgericht vor.

7. Mit Schreiben vom 29.11.2025 äußerte sich die mP nach Akteneinsicht zu einer durch die Datenschutzbehörde nicht weitergeleiteten Stellungnahme der BF und führte im Wesentlichen aus wie im Verwaltungsverfahren. Nach dem Ende des Dienstleistungsvertrages zwischen der BF und der mP sei ein Fernzugriff technisch nicht mehr möglich gewesen und seien die Ausführungen der BF zur Systemanwendung TeamViewer verkürzt und unrichtig.

8. Am 03.12.2025 und 12.03.2026 fand unter Anwesenheit des erkennenden Senats, des Zweitbeschwerdeführers und dessen Rechtsvertretung sowie der mP und deren Rechtsvertretung eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt. Ein Vertreter der Datenschutzbehörde ist nicht erschienen. Im Rahmen der mündlichen Verhandlung wurde der Sachverhalt unter Befragung von Zeugen umfassend erörtert.

9. Sowohl die BF als auch die mP erstatteten nach der ersten mündlichen Verhandlung eine Replik bzw. Duplik wobei die jeweiligen Argumente bezüglich des Verfahrens wiederholt wurden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Bei der Erstbeschwerdeführerin handelt es sich um eine Gesellschaft mit beschränkter Haftung mit Sitz in XXXX und der Firmenbuchnummer XXXX , deren Geschäftsfeld die gewerbliche Vermögensberatung sowie Versicherungsvermittlung ist.

Der Zweitbeschwerdeführer ist geschäftsführender Gesellschafter der Erstbeschwerdeführerin.

1.2. Die mitbeteiligte Partei ist eingetragener Unternehmer im Bereich der IT-Dienstleistungen. Die mP ist außerdem Geschäftsführer der XXXX (idF „A-GmbH“), die ebenfalls im Bereich der IT-Dienstleistungen tätig ist. Die geschäftliche Tätigkeit der mP selbst und der A-GmbH sind miteinander verflochten; insofern waren Mitarbeiter der A-GmbH auch für die Betreuung der Erstbeschwerdeführerin bzw. deren Mitarbeiter zuständig.

1.3. Die BF und die mP standen von Juni 2018 bis September 2022 in einer ständigen Geschäftsbeziehung, wobei die mP die IT-Infrastruktur der Erstbeschwerdeführerin betreute. Grundlage für die Verarbeitung war eine „Vereinbarung über eine Auftragsverarbeitung nach Artikel 28 DSGVO“, die zwischen den Parteien abgeschlossen wurde. Aus dieser ergeben sich die Pflichten und Rechte der Parteien und sind die zu treffenden technischen und organisatorischen Maßnahmen zur sicheren Verarbeitung grob umrissen. Die Geschäftsbeziehung wurde auf Wunsch der mP beendet.

1.4. Die Mitarbeiter der A-GmbH waren ohne konkrete Einteilung für die Wartung der IT-Infrastruktur und den Server der Erstbeschwerdeführerin zuständig und Ansprechpartner für deren Mitarbeiter. In Einzelfällen half die mP selbst im Rahmen der akuten Problembewältigung aus.

Eine der Systemanwendungen, die im Rahmen der Zusammenarbeit zwischen den BF und der mP genutzt wurde, ist die Anwendung „TeamViewer“. Dabei handelt es sich um ein Programm, das einen kontrollierten, d.h. durch Passwort freizugebenden, oder selbständigen Fernzugriff auf Computersysteme zulässt.

Auf die einzelnen Computer der Mitarbeiter erhielt die A-GmbH Zugriff, indem durch TeamViewer ein Passwort generiert wurde und in Kombination mit der User-ID, die jedem Mitarbeiter der Erstbeschwerdeführerin zugewiesen war, eine Verbindung hergestellt werden konnte. Passwort und User-ID mussten den Mitarbeitern der A-GmbH bekannt gegeben werden.

Ein Serverzugriff (Administratorenzugang) war der A-GmbH unabhängig durch ein durch die A-GmbH selbst vergebenes Passwort möglich, wobei jeder Mitarbeiter der A-GmbH den gleichen Zugang nutzte. Die mP selbst hatte ebenso alle Zugriffsrechte. Ein unautorisierter Zugriff auf die einzelnen Computer der Mitarbeiter („Client“) war nicht möglich.

Die Handhabung/Betreuung von E-Mails war nicht vom Auftrag an die mP umfasst und lief über das Programm „Microsoft Office 365“ bzw. dessen Cloud-basierten Speicher. Die mP bzw. die A-GmbH übernahmen die Installation und Einrichtung dieses Programms, wobei die Mitarbeiter der Erstbeschwerdeführerin dann eigene Zugangsdaten definieren konnten. Die mP bzw. die A-GmbH konnte auf die Administrationsoberfläche der Microsoft-365-Cloud zugreifen und beispielsweise neue Passwörter generieren, auf E-Mails, die nicht auf dem Server lagen, jedoch nicht. Es wurden bezüglich Microsoft Office keine neuen Passwörter durch die mP oder die A-GmbH generiert.

1.5. Nachdem die Geschäftsbeziehung zwischen den BF und der mP beendet wurde, wurde die IT-Betreuung der Erstbeschwerdeführerin im Oktober/November 2022 an die XXXX (idF „O-GmbH“) übertragen.

Ein Mitarbeiter der A-GmbH überführte im Rahmen der Übergabe der IT-Betreuung verschiedenste Passwörter und Zugangsdateien in eine eigene Datei und übermittelte diese am 11.11.2022 an den Geschäftsführer der übernehmenden O-GmbH. Danach wurden die Daten durch den Mitarbeiter gelöscht.

In weiterer Folge wurden durch die O-GmbH neue Passwörter implementiert.

1.6. Der Zweitbeschwerdeführer war verheiratet. Das Scheidungs- und das Aufteilungsverfahren begann Ende 2019 und dauerte bis Anfang 2023. Die nunmehrige Ex-Ehefrau des Zweitbeschwerdeführers ist mit der mP liiert.

Die Ex-Ehefrau des Zweitbeschwerdeführers arbeitete von 2015 bis Ende 2019 als Assistentin bei der Erstbeschwerdeführerin. Sie hatte dabei Zugang zu persönlichen Daten des Zweitbeschwerdeführers.

Obwohl die Ex-Ehefrau des Zweitbeschwerdeführers nicht mehr für diesen arbeitete, lebte sie mit diesem bis September 2020 in einem gemeinsamen Haushalt.

Sie hatte bis zumindest Anfang 2020 Zugang zur vom Zweitbeschwerdeführer genutzten Software „Workbase“ sowie dessen E-Mail-Postfach.

1.7. Die mP bzw. die Mitarbeiter der A-GmbH hatten nach Übergabe der IT-Betreuung an die O-GmbH keinen Zugang zur IT-Infrastruktur der Erstbeschwerdeführerin und auch keinen Zugang zu personenbezogenen Daten des Zweitbeschwerdeführers. Es ist durch die mP nach Übergabe der IT-Betreuung keine Datenverarbeitung in Form einer Datenabfrage auf den IT-Systemen der BF erfolgt. Die mP hatte keinen Zugang zur vom Zweitbeschwerdeführer genutzten Anwendung „Workbase“. Diese wurde von einem eigenen Unternehmen serviciert.

Im Zuge der Betreuung der Erstbeschwerdeführerin durch die mP wurden grundsätzlich keine Protokolldateien hinsichtlich der Zugriffe der Mitarbeiter der A-GmbH angefertigt. Allfällige dennoch entstandenen Protokolldaten sind nach Übergabe der Betreuung an die O-GmbH gelöscht worden.

1.8. Die BF richteten mit Schreiben vom 20.03.2023 ein Auskunftsersuchen (in beider Namen) iSd. Art. 15 DSGVO an die mP und stellten darüber hinaus folgende Fragen bzw. ersuchten um Übermittlung folgender Dokumente:

„1. Sämtliche Protokolle von Benutzeranmeldungen im Zeitraum 21.6.2018 bis 15.3.2023 entsprechend 3.5.b des Vertrages.

2. Sämtliche Zugriffsprotokolle für denselben Zeitraum entsprechend 3.5.c. des Vertrages.

3. Sämtliche Protokolle für denselben Zeitraum entsprechend 3.5.h. des Vertrages.

4. Sämtliche Protokolldateien müssen dabei eine technische Erklärung beinhalten, die es XXXX ermöglichen, aus diesen zu verstehen, welche Personen aus Ihrem Unternehmen auf welche konkreten Daten in welchem Zeitpunkt zugegriffen haben.

5. Information darüber, wann die Teamviewerzugänge auf die Daten von unserer Mandantin eingerichtet wurden und wie viele solcher Zugänge wann und auf exakt welchen Geräten installiert wurden und ob und wann diese deinstalliert wurden, sowie welche Personen organisatorisch bei Ihnen eine Zugriffsmöglichkeit über diese Zugänge hatten.

6. Eine Beschreibung sämtlicher konkreter technische und organisatorische Maß-nahmen entsprechend 3.1 des Vertrages und insbesondere eine detaillierte, konkrete Beschreibung der in 3.5 angesprochenen technischen und organisatorischen Sicherheitsmaßnahmen.

7. Herausgabe sämtlicher bei Ihnen vorhandenen Daten der XXXX und von XXXX entsprechend Ihrer gesetzlichen Verpflichtung nach Art 28 Abs 3 lit g DSGVO. Siehe dazu auch Pkt 2.6 des Vertrages.

8. Die Übergabe des von Ihnen entsprechend 2.8 d des Vertrages erstellten Verzeichnisse der Verarbeitungstätigkeiten gemäß Art 30 Abs 2 DSGVO.

9. Die Information, ob entsprechend 2.9 des Vertrages ein Datenschutzbeauftragter von Ihnen bestellt wurde.

10. Eine Kopie der Vertraulichkeitsverpflichtungen von allen Ihnen zurechenbaren Personen, welche mit der Verarbeitung der personenbezogenen Daten unserer Mandantin befasst waren entsprechend 2.11 des Vertrages.

11. Ein Beleg über die Verpflichtung zu allen mit der Verarbeitung unserer Mandantin von Ihnen beauftragten Personen, Daten nur aufgrund von Anforderungen zu übermitteln und Belehrung über die Folgen einer Verletzung des Datengeheimnisses entsprechend 2.12 des Vertrages.

12. Nennung eines Termins, an dem entsprechend 2.7 des Vertrages sowie Art 28 Abs 3 lit h DSGVO eine Überprüfung bzw. Inspektion durch von unserer Mandantin beauftragte Prüfer bei Ihnen vor Ort durchgeführt werden kann.“

1.9. Mit Schreiben vom 19.04.2023 wurden die BF über folgende Punkte informiert:

„1 Verarbeitungszwecke

Ihre Daten wurden und werden durch Ihre Funktion als Ansprechperson XXXX bei der XXXX in verschiedenen Verarbeitungen bzw. datenverarbeitenden Prozessen gespeichert. Die geschieht zu folgenden Zwecken:

• Kunden- und Auftragsverwaltung / CRM (Verwaltung und Bearbeitung von Kunden und deren Aufträgen, Rechnungen etc.)

• Datenschutz-Prozesse (Dokumentation zur Erfüllung von Betroffenenrechten)

• E-Mail-Verkehr (Durchführung elektronischer Kommunikation)

2 Kategorien personenbezogener Daten

Als Ansprechpartner Ihres Unternehmens werden folgende Datenkategorien verarbeitet: Namensdaten, Adressdaten, Kontaktdaten, E-Mail-Adressen

3 Rechtsgrundlagen

Die Rechtsgrundlagen der Datenverarbeitung sind: Art 6 Abs. 1 lit b, c und f EU-DSGVO: Erfüllung eines Vertragsverhältnisses und Erfüllung rechtlicher Verpflichtungen (z.B. gesetzlich vorgeschriebenen Aufbewahrungs- und Dokumentationspflichten, Erfüllung von Betroffenenrechten) sowie zur Wahrung der berechtigten Interessen (Verarbeitung in der unternehmenseigenen Software).

4 Empfänger/Empfängerkategorien/Aufgabe

XXXX

XXXX

XXXX

XXXX 5 Speicherdauer

Der Verpflichtung zum Löschen personenbezogener Daten gem. Art. 17 DSGVO kommen wir selbstverständlich regelmäßig nach.

Folgende Fristen werden von uns hierbei eingehalten:

• Emails: 10 Jahre nach Beendigung einer Geschäftsbeziehung

• Namensdaten, Kontaktdaten, Emailadresse: 3 Jahre nach Ende einer Geschäftsbeziehung

• Dokumentation und Korrespondenz Auskunftsanfrage: 13 Monate nach Erfüllung des Betroffenenrechts

6 Herkunft der Daten

Alle Daten hat die Firma XXXX im Laufe der Geschäftsbeziehung von Ihnen selbst erhalten.

7 Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung statt.

8 Kopien personenbezogener Daten

Die von Ihnen vorliegenden Daten wurden von XXXX exzerpiert und in einer verschlüsselten Datei abgelegt. Diese Datei wird Ihnen per E-Mail zur Verfügung gestellt. Das Passwort erhalten Sie per separater SMS direkt durch XXXX

9 Rechte

Ihnen stehen grundsätzlich die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch Ihrer Daten zu.

Weiters haben Sie ein Recht auf Beschwerde, welche an die österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Telefon: +43 1 52 152-0, E-Mail: dsb@dsb.gv.at als zuständige Aufsichtsbehörde zu richten wäre.“

1.10. Mit Schreiben vom 24.04.2023 beantwortete die mP die konkret gestellten Fragen der BF wobei die Antworten als unzureichend empfunden wurden.

1.11. Mit Schreiben vom 26.04.2023 beauskunftete die mP hinsichtlich der verarbeiteten Daten der Erstbeschwerdeführerin:

Finanzbuchhaltung/Rechnungswesen:

E-Mail-Verkehr:

Dokumentenmanagement

Kundenverwaltung:

Online-Banking

Datenschutz-Prozesse

Ihre Rechte

Ihnen stehen grundsätzlich die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch Ihrer Daten zu.

Weiters haben Sie ein Recht auf Beschwerde, welche an die österreichische Datenschutzbehörde, Barichgasse 4042, 1030 Wien, Telefon: +43 1 52 152-0, E-Mail: dsb@dsb.gv.at als zuständige Aufsichtsbehörde zu richten wäre.“

1.12. Die verfahrensgegenständliche Datenschutzbeschwerde wurde am 10.05.2023 erhoben. Die belangte Behörde erließ innerhalb der gesetzlichen Frist von sechs Monaten (§ 73 Abs. 1 AVG) keine Entscheidung. Am 02.12.2024 erhoben die BF die verfahrensgegenständliche Säumnisbeschwerde, woraufhin das Bundesverwaltungsgericht mit Erkenntnis vom 17.06.2025 zu XXXX der Behörde iSd. § 28 Abs. 7 VwGVG auftrug, den versäumten Bescheid unter Zugrundelegung näher ausgeführter Rechtsanschauungen binnen acht Wochen nachzuholen.

Dem Auftrag kam die belangte Behörde nicht nach, woraufhin sie die verfahrensgegenständliche Sache mit Schreiben vom 22.08.2025 erneut dem Bundesverwaltungsgericht vorlegte.

2. Beweiswürdigung:

2.1. Die Feststellungen zu den Verfahrensparteien basieren zum einen auf den insoweit unstrittigen Vorbringen aller Parteien im Rahmen des verwaltungsbehördlichen und verwaltungsgerichtlichen Verfahrens sowie einer gerichtlichen Recherche im Impressum der Homepages der Parteien.

Ebenso ergeben sich Dauer und Art der Geschäftsbeziehung aus den übereinstimmenden Vorbringen der Verfahrensparteien.

Dem dem Bundesverwaltungsgericht vorliegende Akt der belangten Behörde liegt zudem eine Kopie der Auftragsverarbeitungsvereinbarung ein, in die Einsicht genommen wurde.

2.2. Die Feststellungen zur Arbeitsweise der mP bzw. der ihm zuzurechnenden A-GmbH basieren auf den entsprechenden nachvollziehbaren und glaubwürdigen Aussagen zweier Mitarbeiter der A-GmbH, die im Rahmen der ersten mündlichen Verhandlung als Zeugen einvernommen wurden ( XXXX ). Ihre Darstellungen waren klar, schlüssig und haben keine Widersprüche hervorgebracht.

Der Umstand, dass die mP bzw. dessen Mitarbeiter jederzeit auf den Server der Erstbeschwerdeführerin zugreifen konnten, jedoch für den Zugriff auf bestimmte Clients (i.e. PC der Mitarbeiter der BF) die User-ID sowie ein Passwort benötigten, das von den Mitarbeitern der BF mitgeteilt wurde, ergibt sich aus den im Verfahren erstatteten Stellungnahmen sowie den diesbezüglich übereinstimmenden und glaubwürdigen Zeugenaussagen in den mündlichen Verhandlungen. Der BF 2 führte diesbezüglich selbst aus, dass der Zugriff auf die IT-Infrastruktur der Erstbeschwerdeführerin eben so ausgestaltet war (vgl. Stellungnahme vom 05.08.2025) und haben sich abermals keine Widersprüche zu den Darstellungen der Zeugen (Mitarbeiter der A-GmbH) in der ersten mündlichen Verhandlung ergeben. Zwar behaupten die BF, dass die mP jederzeit auf alle Clients zugreifen hätte können und beruft sich dabei insbesondere auf ein geschäftliches E-Mail, in dem ein Mitarbeiter der A-GmbH danach fragt, wann der Bürotag für die Mitarbeiter der Erstbeschwerdeführerin beendet sei, damit er sich auf die Clients anmelden könne. Allerdings geht aus dieser – nach Ansicht des Gerichts sehr kurz und untechnisch bzw. für Laien formulierten Frage – kein Anhaltspunkt dafür hervor, dass die mP jederzeit Zugriff auf die IT-Infrastruktur gehabt hätte. Hinweise, dass dem doch so wäre sind im Laufe des Verfahrens und auch im Zuge der mündlichen Verhandlungen nicht hervorgekommen.

Soweit die BF darlegen, dass die mP bzw. deren Mitarbeiter auf E-Mails zugegriffen hätten, kann diesen Darstellungen nicht gefolgt werden. Die als Zeugen einvernommenen Mitarbeiter der A-GmbH gaben glaubhaft und nachvollziehbar an, dass sie hinsichtlich der Anwendung von „Microsoft Office 365“ lediglich die Installation vornahmen und die Mitarbeiter der BF sodann für die nähere Konfiguration und Passworterstellung zuständig waren. Dafür, dass durch die mP oder Mitarbeiter der A-GmbH ohne Wissen der Mitarbeiter der Erstbeschwerdeführer neue Passwörter generiert wurden, gibt es keine Anhaltspunkte.

Die Feststellungen zur Systemanwendung „TeamViewer“ basieren auf den Darstellungen der einvernommenen, technisch versierten Zeugen sowie den Ausführungen der Verfahrensparteien. Wozu diese Anwendung diente ist gegenständlich unstrittig. Im Verfahren wurde durch die BF u.a. vorgebracht, dass die jeweilige Ausgestaltung des Abonnements bei TeamViewer bestimmte eigenmächtige Zugriffsmöglichkeiten für Nutzer (hierbei die mP) ermöglichen würde. Dass es solche Zugriffe auch tatsächlich gab konnte jedoch nicht nachgewiesen werden. Die Mutmaßungen der BF haben sich, wie oben ausgeführt, in keiner Weise bestätigt.

2.3. Dass die IT-Betreuung durch die O-GmbH übernommen wurde, dieser die Zugangsdaten für die genutzten Anwendungen der IT-Infrastruktur übermittelt wurden und in weiterer Folge neue Passwörter implementierte, ergibt sich aus den nachvollziehbaren Darstellungen des Geschäftsführers der O-GmbH, der im Rahmen der zweiten mündlichen Verhandlung am 12.03.2026 als Zeuge einvernommen wurde.

2.4. Die Feststellungen zur privaten Beziehung zwischen dem Zweitbeschwerdeführer, dessen Ex-Ehefrau sowie der mP basieren zum einen auf den Ausführungen des Zweitbeschwerdeführers sowie der Ex-Ehefrau selbst, die im Zuge der zweiten mündlichen Verhandlung vor dem Bundesverwaltungsgericht als Zeugin einvernommen wurde. Dabei schilderte sie glaubhaft und nachvollziehbar sowohl die Beziehung zum Zweitbeschwerdeführer, als auch ihre Arbeit für diesen, das Leben im gemeinsamen Haushalt und den Zugang zu Dokumenten, die sie schließlich im Scheidungs- bzw. Aufteilungsverfahren verwendet habe.

2.5. Dass die mP bzw. deren Mitarbeiter nach Übergabe der IT-Betreuung an die O-GmbH keinen Zugriff mehr auf die IT-Infrastruktur hatten ergibt sich aus den Darstellungen der technisch versierten Zeugen sowie der mP selbst. Da sich weder aus den (fachlichen) Ausführungen des Geschäftsführers der O-GmbH in der zweiten mündlichen Verhandlung, noch aus den Darstellungen der BF im gesamten Verfahren Anhaltspunkte dafür ergeben haben, dass ein Zugriff auf die IT-Infrastruktur der Erstbeschwerdeführerin durch die mP oder deren Mitarbeiter tatsächlich erfolgt sei, waren die gegenständlichen Feststellungen zu treffen. Dabei ist insbesondere darauf hinzuweisen – und insofern der mP in ihrer Argumentation zuzustimmen – dass die BF bis zuletzt im Verfahren keine konkreten Daten anführen konnten die durch die mP zu Gunsten der Ex-Ehefrau des Zweitbeschwerdeführers verarbeitet worden sein sollen. Die BF beschränken sich in ihren Darstellungen darauf, eine mögliche (unzulässige) Datenverarbeitung in den Raum zu stellen, ohne konkrete Nachweise dafür vorzulegen. Vor dem Hintergrund, dass auch aus technischer Sicht keine Hinweise dafür vorliegen, dass eine unzulässige Datenabfrage stattgefunden habe, kann keine anderslautende Feststellung getroffen werden.

Diese Ansicht verstärkt sich durch die Darstellungen des Geschäftsführers der O-GmbH im Rahmen der zweiten mündlichen Verhandlung in welcher dieser darlegte, dass die Passwörter für Teamviewer auch dann geändert werden können, wenn die Lizenz auf die mP oder die A-GmbH lauteten. Insofern spielt es vor dem Hintergrund dieser (fachspezifischen) Einschätzung keine Rolle, dass auf dem durch die BF vorgelegten Screenshot auf einem der Computer (Clients) der BF, auf dem eine Teamviewer-Maske samt Logo der mP zu sehen ist. Da die O-GmbH – wie ebenfalls durch deren Geschäftsführer dargelegt wurde – Teamviewer nicht verwendet, kann der Screenshot nicht als Argument dafür gesehen werden, dass ein ständiger unkontrollierter Zugriff der mP auf die Server/Clients der BF möglich gewesen wäre, da das mit dem Logo auf der Maske in keinem Zusammenhang steht.

Darüber hinaus führte die mP glaubhaft und nachvollziehbar aus, dass sie bzw. die betreffenden Mitarbeiter der A-GmbH grundsätzlich keinen Zugriff auf das vom Zweitbeschwerdeführer genutzte Programm „Workbase“ hatten, da dieses von einem eigenen IT-Unternehmen betreut wurde.

Auch war den Darstellungen der BF dahingehend, dass die mP bzw. die Mitarbeiter der A-GmbH Zugriff auf das E-Mail-Programm Microsoft Office hatten, nicht zu folgen. Sowohl die mP als auch die Zeugen der A-GmbH gaben übereinstimmend und glaubhaft an, dass es zwar möglich gewesen wäre, neue Passwörter für die Nutzerkonten anzulegen, allerdings sind dafür keine Anhaltspunkte hervorgekommen. Bei so einem Vorgehen hätten die Mitarbeiter der BF selbst keinen Zugang mehr zu den Nutzerkonten gehabt und gab es hierfür keine Hinweise dafür, dass es in diesem Bereich zu Unregelmäßigkeiten gekommen wäre.

Dass grundsätzlich keine Protokolldaten bezüglich von Zugriffen durch die mP oder deren Mitarbeiter erstellt wurden und allfällige dennoch erstellten Daten gelöscht wurden, ergibt sich aus der nachvollziehbaren Darstellung der mP im Rahmen der zweiten mündlichen Verhandlung. Da sich auch aus der Vereinbarung zur Auftragsverarbeitung keine gegenteiligen Anhaltspunkte ergeben, waren die entsprechenden Feststellungen zu treffen.

2.6. Die Feststellungen zu den Punkten II.1.9. – II.1.12. basieren auf dem dem erkennenden Gericht vorliegenden Verwaltungsakt der belangten Behörde, wobei Einsicht in die entsprechenden Dokumente genommen wurde.

2.7. Die näher bezeichneten Kalenderdaten und der Umstand, dass die belangte Behörde in der verfahrensgegenständlichen Sache keine Entscheidung erlassen hat, ergibt sich unstrittig aus dem Verwaltungsakt.

3. Rechtliche Beurteilung:

3.1. Zum Gegenstand des Verfahrens:

3.1.1. Verfahrensgegenständlich liegt eine Säumnisbeschwerde vor, in welcher die BF behaupten, dass die Datenschutzbehörde nicht in der gesetzmäßig bzw. durch das Bundesverwaltungsgericht eingeräumten Frist entschieden hätte.

Gem. § 73 Abs. 1 AVG sind Behörden verpflichtet – sofern in den Verwaltungsvorschriften nicht anderes bestimmt ist – über Anträge von Parteien und Berufungen ohne unnötigen Aufschub, spätestens aber sechs Monate nach deren Einlangen den Bescheid zu erlassen.

Gegenständlich wurde die Datenschutzbeschwerde der BF am 10.05.2023 erhoben und trotz Erkenntnis des Bundesverwaltungsgerichts vom 17.06.2025, mit dem der belangten Behörde die Erledigung der Sache binnen weiterer acht Wochen aufgetragen wurde, kein Bescheid erlassen. Es liegt damit unstrittig Säumnis der Behörde vor und ist die Säumnisbeschwerde der BF damit zulässig (vgl. VwGH 23.06.2015, Ro 2015/05/0011).

3.1.2. Im Rahmen einer Säumnisbeschwerde geht die Zuständigkeit zur Entscheidung nicht automatisch von der Behörde auf das Verwaltungsgericht über. § 16 Abs. 1 VwGVG räumt der Verwaltungsbehörde von Gesetzes wegen die Möglichkeit ein, den ausständigen Bescheid innerhalb einer Frist von drei Monaten – ab Einlangen bei ihr – nachzuholen, ohne dass es erforderlich wäre, dass ihr dafür vom Verwaltungsgericht ausdrücklich eine Frist eingeräumt wird. Damit soll der belangten Behörde grundsätzlich eine zweite Chance zur Erlassung einer Entscheidung eingeräumt werden. Verfahrensgegenständlich wurde die Sache nach einer ersten Säumnisbeschwerde und verstreichen der vom Bundesverwaltungsgericht gesetzten Frist zur Entscheidung erneut dem Gericht vorgelegt. Da die Voraussetzungen für eine Zurückweisung der Beschwerde oder Abweisung mangels Verschulden der Behörde gegenständlich nicht vorliegen, hat das Bundesverwaltungsgericht in der Sache zu entscheiden. Da gegenständlich kein Bescheid vorliegt, der in der Regel durch seinen Spruch den Gegenstand der Sache definiert, hat das erkennende Gericht anstelle der belangten Behörde und somit diese funktionell ersetzend zu entscheiden. Es ist damit jene Angelegenheit zu erledigen, welche die Verwaltungsbehörde zum Inhalt ihres Spruchs zu machen gehabt hätte (vgl. VwGH 23.01.2022, 99/07/0194 sowie Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 184 ff (Stand 15.2.2017, rdb.at) mwN.). Die Rechtsprechung des VwGH dahingehend, dass jedenfalls nur jene Angelegenheit als „Sache“ des Verfahrens anzusehen ist, die den Inhalt des Spruches der vor dem Verwaltungsgericht belangten Behörde gebildet hat, hat sinngemäß zu gelten, wenn das VwG aufgrund einer Säumnisbeschwerde zur Erledigung der Verwaltungssache zuständig wird. In einem solchen Fall hat das VwG (nur) jene Angelegenheit(en) zu erledigen, die die (säumige) Verwaltungsbehörde zum Inhalt ihres Spruches zu machen gehabt hätte. Dies bedeutet aber auch, dass das VwG infolge des Überganges der Zuständigkeit in der Verwaltungssache zu entscheiden, nicht ausschließlich auf das ursprüngliche Antragsbegehren eingeschränkt ist. Es hat vielmehr die Verwaltungsangelegenheit insgesamt zu erledigen (wobei dies - was klarzustellen ist - auch eine prozessuale Erledigung nicht ausschließt). Somit ist das VwG auch dafür zuständig, (allfällige) nach dem Gesetz mit der Erledigung des Antrages ausdrücklich von Amts wegen zu verbindende Aussprüche (erstmals) zu tätigen (vgl. VwGH 10.11.2015, Ro 2015/19/0001). Gleichzeitig richtet sich der Entscheidungsgegenstand des VwG im Säumnisbeschwerdeverfahren nach den Angaben des Beschwerdeführers darüber, mit welcher Entscheidung welche Behörde säumig sein soll (vgl. VwGH 08.05.2025, ).

In weiterer Folge determiniert in einem antragsbedürftigen Verfahren der Inhalt des einleitenden Antrags den Gegenstand der Verwaltungssache, wobei es auf die Erklärung des Willens und nicht auf den in der Erklärung nicht zum Ausdruck kommenden wahren Willen des Erklärenden ankommt (§ 13 Abs. 1 AVG; vgl. VwGH 02.04.2024, Ro 2021/04/0008; VwGH 30.06.2004, 2004/04/0014 mwN.). Nach stRsp des VwGH sind Parteienerklärungen (also auch Anbringen) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen (vgl. VwGH 06.11.2006, 2006/09/0094; 05.09.2008, 2005/12/0068; 03.10.2013, 2012/06/0185). Entscheidend ist, wie die Erklärung (vgl. VwGH 28.01.2003, 2001/14/0229; 30.06.2004, 2004/04/0014) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH 24.01.1994, 93/10/0192; 06.11.2001, 97/18/0160; 19.01.2011, 2009/08/0058; vgl auch VfSlg 17.082/2003) (vgl. Hengstschläger/Leeb, AVG § 13 Rz 38 (Stand 1.1.2014, rdb.at)).

Gleichsam kann nach § 13 Abs. 8 AVG der verfahrenseinleitende Antrag in jeder Lage des Verfahrens bis zu einer allfälligen Schließung des Ermittlungsverfahrens geändert werden. Durch die Antragsänderung darf die Sache ihrem Wesen nach nicht geändert und die sachliche und örtliche Zuständigkeit nicht berührt werden. In diesem Zusammenhang wird die „Sache“ des Verfahrens jedenfalls durch eine Antragsänderung verlassen, wenn dadurch die Anwendbarkeit einer anderen Norm gegeben ist (vgl. VwGH 09.09.2021, Ra 2020/22/0112).

3.1.3. Mit verfahrenseinleitender Eingabe vom 10.05.2023 monierten die BF im Wesentlichen eine mangelhafte Auskunft durch die mP iSd. Art. 15 DSGVO sowie eine unzulässige Datenverarbeitung und erhoben eine Beschwerde nach § 24 Abs. 1 DSG. Während hinsichtlich der bemängelten Auskunft auf fehlende Kopien, die Nichtbeantwortung von Fragen und die Unglaubwürdigkeit der erteilten Auskunft hingewiesen wird, sei mit Blick auf die behauptete Verletzung im Recht auf Geheimhaltung „zu befürchten“, dass die mP unzulässigerweise Daten abgefragt habe und der Ex-Ehefrau des Zweitbeschwerdeführers für deren Scheidungs- bzw. Aufteilungsverfahren zur Verfügung gestellt habe.

Mit Nachtrag zur Datenschutzbeschwerde vom 19.05.2023 ergänzten die BF ihre Beschwerde dahingehend, dass die von der mP nachträglich erteilten Auskünfte nach wie vor unvollständig seien, zu wenige Informationen enthalten würden und wiederum die durch die BF gestellten Fragen nicht beantwortet worden wären. Darüber hinaus wurde die Beschwerde nach § 24 Abs. 1 DSG dahingehend erweitert, dass die von der mP beauskunftete Speicherdauer für E-Mail-Korrespondenzen mit zehn Jahren zu lange sei. Damit werde der Speichergrundsatz des Art. 5 Abs. 1 lit. e DSGVO verletzt.

3.1.4. Wird ein Antrag von der antragstellenden Partei in einem wesentlichen Punkt geändert, gilt dies nach der Rechtsprechung des VwGH grundsätzlich als Zurückziehung des ursprünglichen und Stellung eines neuen Antrags. Daher beginnt die behördliche Entscheidungsfrist mit dem Einlangen des geänderten Antrags neu zu laufen. Anders ist es bei Änderungen, die nach § 13 Abs. 8 AVG zulässig sind und weder die sachliche oder örtliche Zuständigkeit der Behörde berühren noch die Sache ihrem Wesen nach verändern. Solche bloßen Konkretisierungen oder Ergänzungen lassen die bereits laufende Entscheidungsfrist weiterlaufen. Hinsichtlich Säumnisbeschwerden ist allerdings Folgendes zu beachten: Ändert die Partei ihren Antrag erst nachdem sie bereits die Säumnisinstanz angerufen hat in einem wesentlichen Punkt, handelt es sich um einen neuen Antrag, über den grundsätzlich wieder die Behörde erster Instanz entscheiden muss. Die bereits eingetretene Säumnis erstreckt sich daher nicht automatisch auch auf den wesentlich geänderten Antrag (vgl. VwGH 25.10.2017, Ra 2017/07/0073; Hengstschläger/Leeb, AVG § 73 (Stand 1.3.2018, rdb.at) Rz 63, 143 mwN.).

3.2. Zur Beschwerdelegitimation der Erstbeschwerdeführerin:

Bei der Erstbeschwerdeführerin handelt es sich – wie eingangs festgestellt wurde – um eine juristische Person, deren Geschäftsführer der Zweitbeschwerdeführer ist.

Art. 1 DSGVO lautet: Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten (Abs. 1). Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten (Abs. 2). Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden (Abs. 3). Daraus folgt, dass juristische Personen grundsätzlich keinen auf der DSGVO basierenden Datenschutz genießen wie natürliche Personen und die Regelungen der DSGVO allenfalls als Auslegungshilfe für innerstaatliches Recht herangezogen werden können (vgl. auch ErwGr. 14 DSGVO).

Nach Art. 1 Abs. 1 DSGVO enthält diese Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten. Gem. Abs. 2 leg. cit. schützt die Verordnung die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

§ 1 Abs. 1 und 3 DSG erfuhren bis dato keine Novellierung bzw. Anpassung an die DSGVO. Juristischen Personen steht daher weiterhin das Grundrecht auf Geheimhaltung ihrer Daten sowie grundsätzlich das Recht auf Auskunft, Richtigstellung und Löschung zu. Einer nationalen Regelung, welche die Daten juristischer Personen schützt, steht die DSGVO nicht entgegen. Nichts desto trotz fehlt es hinsichtlich des grundrechtlich garantierten Datenschutzes für juristische Personen aber an einer einfachgesetzlichen Umsetzung (vgl. Lachmayer in Knyrim, DatKomm Art 1 DSGVO (Stand 1.12.2018, rdb.at) Rz 78 ff mwN.).

Aus der Rechtsprechung des EuGH geht hervor, dass sich eine juristische Person jedenfalls dann auf das Grundrecht auf Datenschutz nach Art. 7 und 8 GRC berufen kann, soweit der Name der juristischen Person eine oder mehrere natürliche Personen bestimmt (vgl. EuGH 09.11.2010, C-92/09 [Schecke/Eifert] Rz 53).

Hiervon zu unterscheiden ist, ob nach Inkrafttreten der DSGVO juristische Personen aktiv legitimiert sind, Rechte nach § 1 DSG im behördlichen Administrativverfahren geltend zu machen (vgl. VfGH 12.03.2024, E3436/2023-16 Rz 23 ff). § 24 Abs. 1 DSG eröffnet grundsätzlich die Beschwerdemöglichkeit für juristische Personen, wird doch von Verarbeitung gesprochen, die vermeintlich gegen die DSGVO oder § 1 oder Artikel 2 1. Hauptstück des DSG verstoßen. Zur Frage der Aktivlegitimation gibt es zwar grundsätzlich unterschiedliche Meinungen, jedoch ist für die Interpretation der Reichweite des Schutzes des in § 1 Abs. 1 DSG statuierten subjektiv öffentlichen Rechts primär Art. 2 des DSG und insbesondere die Durchführungsbestimmung des § 4 Abs. 1 DSG beachtlich: Diesem zu Folge gelten die Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.

Die Entstehungsgeschichte des Datenschutz-Anpassungsgesetzes 2018 zeigt deutlich, dass es die Intention der neuen einfachgesetzlichen Regelungen war, nur natürliche Personen zu erfassen. Es musste der spezifische Rechtsschutz für natürliche Personen, wie er unionsrechtlich in seiner konkreten Ausformung in der DSGVO gefordert ist, umgesetzt werden. Gemeinsam mit der Reduktion des Datenschutzgrundrechtes auf natürliche Personen, der in einem beabsichtigt war, sollte der Rechtsschutz in seiner Konzeption unter anderem mit den spezifischen erhöhten Unabhängigkeitsanforderungen des Unionsrechts harmonisiert und in einem so geschlossenen Gesamtsystem verankert werden. Die Reduktion des Datenschutzgrundrechtes kam mangels der für ein Verfassungsgesetz erforderlichen Mehrheit, wie oben schon ausgeführt wurde, nicht zu Stande. Die einfachgesetzlichen Regelungen für natürliche Personen, die den Rechtsschutz ausgestalten, wurden nicht angepasst und erfassen sowohl expressis verbis in § 4 Abs 1 DSG als auch nach der Intention des Gesetzgebers juristische Personen nicht. Auch in der von Lienbacher diskutierten Entscheidung des VfGH wird unmissverständlich festgehalten, dass juristischen Personen das Grundrecht auf Datenschutz zukommt, es wird jedoch die Frage in den Raum gestellt – und letztlich jedoch nicht abschließend beantwortet – ob eine juristische Person eine Beschwerde bei der DSB erheben und ferner ob und unter welchen Voraussetzungen eine juristische Person eine Verletzung ihres Rechtes auf Auskunft, Richtigstellung oder Löschung personenbezogener Daten gemäß § 1 DSG bei dieser geltend machen kann. Mit Blick auf § 4 Abs. 1 DSG wäre § 24 DSG, welcher jeder betroffenen Person ein Recht auf Beschwerde bei der Datenschutzbehörde einräumt, auf natürliche Personen beschränkt. Demnach ist, insoweit eine Datenverarbeitung gemäß § 1 Abs. 1 DSG vorliegt, auch die Geltendmachung des subjektiven Rechts einer juristischen Person im Wege des verwaltungsbehördlichen Administrativverfahrens nicht vorgesehen. Zusammengefasst geht Lienbacher mit Verweis auf sohin davon aus, dass juristische Personen Träger des Grundrechts auf Datenschutz nach sein können, daraus aber nicht zwangsläufig folgt, dass die besonderen einfachgesetzlichen Rechtsschutzinstrumente des – insb. § 4 oder – in gleicher Weise Anwendung auf diese finden. Mit Blick auf den Gleichheitssatz geht er davon aus, dass Rechtsschutz vielmehr durch die jeweils einschlägigen Materiengesetze, die unter Heranziehung des ausgelegt werden müssen, gegeben ist (vgl. Lienbacher in Janisch/Krempelmeier/Mader/Staudegger/Thiele, Am Glasfaserpul – Festschrift für Dietmar Jahnel 2025, Juristische Personen und Datenschutz – VfGH vom 12. März 2024, , 463, 467).

Thiele/Wagner gehen hingegen davon aus, dass juristische Personen grundsätzlich aktivlegitimiert seien, eine Beschwerde iSd. § 24 DSG vor der belangten Behörde zu erheben, sofern sie eine Verletzung nach § 1 DSG geltend machen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)² § 24 (Stand 1.2.2022, rdb.at) Rz 317).

Unter Berücksichtigung der nunmehr diskutierten Rechtsprechung und Literaturmeinungen geht der erkennende Senat davon aus, dass der Erstbeschwerdeführerin im Rahmen des konkreten gegenständlichen Sachverhalts ein Beschwerderecht zukommt. Wie sie selbst zutreffend ausführt, ist ihrem im Firmenbuch eingetragenen Namen der Nachname ihres Geschäftsführers (dem Zweitbeschwerdeführer) zu entnehmen, wodurch eine potenzielle Datenverarbeitung im Raum steht und die Beschwerdelegitimation eröffnet. Gleichzeitig ist vor dem Hintergrund der Ausführungen von Lienbacher festzuhalten, dass der von ihm diskutierte Sachverhalt im Anwendungsbereich des WertpapieraufsichtsG und im Aufsichtsbereich der Finanzmarkt-Aufsichtsbehörde lag. Insofern ist der gesamte gegenständliche Sachverhalt im Bereich des Datenschutzes angesiedelt und die belangte Behörde die einzige entscheidende Aufsichtsbehörde. Seinen Ausführungen folgend, dass wohl die jeweiligen (materienrechtlichen) Aufsichtsbehörden im Rahmen ihrer Tätigkeiten das Grundrecht auf Datenschutz für juristische Personen zu wahren hätten, wäre in einem Umkehrschluss gegenständlich wiederum die Datenschutzbehörde dazu berufen.

3.3. In der Sache:

3.3.1. Zum Auskunftsbegehren nach Art. 15 DSGVO:

Die BF bringen zusammengefasst vor, dass die mP ein Auskunftsersuchen nicht bzw. nur unvollständig beantwortet habe.

Gem. Art. 15 DSGVO haben betroffene Personen das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, hat sie ein Recht auf Auskunft über näher genannte Daten und Informationen (Abs. 1 lit. a – lit. h).

Das Recht auf Auskunft nach Art 15 ist zentraler Bestandteil des Selbstdatenschutzes und ermöglicht der betroffenen Person Grundlegendes über die Verarbeitung ihrer Daten zu erfahren, insbesondere ob und welche Daten der Verantwortliche über sie verarbeitet, und ob dies rechtmäßig geschieht (ErwGr 63). Das Auskunftsrecht trägt sohin dem Transparenzprinzip Rechnung (vgl. Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.7.2024, rdb.at) Rz 1). Der EuGH hat im Urteil vom 4. Mai 2023, C-487/21, CRIF GmbH, betont, dass die Ausübung des in Art. 15 DSGVO vorgesehenen Auskunftsrechts der betroffenen Person nicht nur ermöglichen muss zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob diese in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung und ihr Recht auf Einschränkung der Verarbeitung sowie ihr Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (vgl. VwGH 03.08.2023, Ro 2020/04/0015).

Der Formulierung von Art. 15 DSGVO folgend, besteht eine Auskunftspflicht, wenn zum Zeitpunkt des Antrags tatsächlich Daten durch die verantwortliche Stelle verarbeitet werden. Der Umfang wird daher wesentlich durch den Zeitpunkt der Anfrage bestimmt. Die Beweislast, dass Daten des Betroffenen verarbeitet werden, liegt beim Betroffenen. Werden keine Daten der betroffenen Person verarbeitet, hat eine Negativauskunft zu erfolgen (vgl. wiederum Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.7.2024, rdb.at) Rz 27 f mwN.). Die Auskunft bezieht sich auf konkrete, sich auf die betroffene Person beziehende Daten, wobei Informationen aus denen hervorgeht, welcher Mitarbeiter des Verantwortlichen wann welche Daten verarbeitet hat nicht beauskunftet werden muss (vgl. Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.7.2024, rdb.at) Rz 31 f mwN.).

Hinsichtlich des Begriffs „Kopie“ stellt der EuGH klar, dass Art. 15 Abs. 3 DSGVO kein eigenständiges Auskunftsrecht neben Art. 15 Abs. 1 DSGVO begründet, sondern lediglich die Modalitäten der Erfüllung des bereits in Art. 15 Abs. 1 gewährten Auskunftsrechts regelt. Die „Kopie“ nach Art. 15 Abs. 3 bezieht sich daher nicht bloß auf ein bestimmtes Dokument, sondern auf sämtliche personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Diese müssen vollständig bereitgestellt werden. Zweck des Auskunftsrechts ist es, der betroffenen Person zu ermöglichen, die Richtigkeit und vor allem die Rechtmäßigkeit der Verarbeitung ihrer Daten zu überprüfen und gegebenenfalls weitere Rechte wie Berichtigung, Löschung, Einschränkung oder Widerspruch sowie gerichtlichen Rechtsschutz auszuüben. Das Auskunftsrecht dient damit wesentlich der effektiven Durchsetzung der übrigen Betroffenenrechte. Die Informationen müssen nach dem Transparenzgrundsatz gemäß Art. 12 Abs. 1 DSGVO präzise, verständlich, leicht zugänglich sowie in klarer und einfacher Sprache erteilt werden. Der Verantwortliche muss daher alle erforderlichen Maßnahmen treffen, damit die betroffene Person die erteilten Informationen tatsächlich und vollständig verstehen kann. Daraus folgt, dass die nach Art. 15 Abs. 3 DSGVO bereitgestellte Kopie vollständig und originalgetreu sein muss und sämtliche Merkmale enthalten muss, die zur wirksamen Ausübung der Rechte aus der DSGVO erforderlich sind. Unter Umständen kann es deshalb notwendig sein, Auszüge aus Dokumenten, ganze Dokumente oder Datenbankauszüge bereitzustellen, wenn nur dadurch der notwendige Kontext und damit die Verständlichkeit der personenbezogenen Daten gewährleistet wird (vgl. EuGH 04.05.2023, C-487/21 [Österreichische Datenschutzbehörde] Rz 31 ff).

Im Gegensatz dazu ist § 1 Abs. 3 Z 1 DSG als datenschutzrechtliches Begleit- bzw. Nebenrecht anzusehen und stehen unter einem Konkretisierungsvorbehalt und geht an Rechten jedenfalls nicht über Art. 15 DSGVO hinaus (vgl. Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 (Stand 12.6.2018, rdb.at) Rz 17 ff).

Für das gegenständliche Verfahren bedeutet dies Folgendes:

Die BF richteten mit Schreiben vom 20.03.2023 ein Auskunftsbegehren samt Fragenkatalog an die mP, die – wenn auch nicht umgehend, sondern teilweise erst im Zuge des verwaltungsbehördlichen Verfahrens – das Auskunftsersuchen beantwortete und sowohl hinsichtlich der Erstbeschwerdeführerin als auch des Zweitbeschwerdeführers eine Auflistung der konkret verarbeiteten Daten übermittelte.

Vor dem Hintergrund der gem. Art. 15 Abs. 1 DSGVO zu beauskunftenden Verarbeitungsvorgänge ist auf die gegenständlich festgestellten Ausführungen der mP zu verweisen, aus denen sich nach Ansicht des erkennenden Senats ergibt, dass die mP ihrer Auskunftspflicht gegenüber der Erstbeschwerdeführerin aber auch des Zweitbeschwerdeführers den Normen entsprechend nachgekommen ist. Die unionsrechtlich vorgeschriebenen Informationen wurden erteilt und ist nicht ersichtlich inwiefern bestimmte Informationen nicht erteilt worden sein sollen. In diesem Zusammenhang ist insbesondere auf die oben zitierte Rechtsprechung des EuGH zu verweisen, wonach unter „Kopie“ eben nicht ein Abdruck jeder einzelnen Verarbeitung zu verstehen ist, sondern vielmehr ein Auszug jener personenbezogenen Daten, die grundsätzlich einer Verarbeitung unterliegen.

Mit Blick auf den Fragenkatalog der BF ist festzuhalten, dass sich der Umfang der zu erteilenden Auskunft nach Art. 15 DSGVO richtet und nicht nach konkreten Fragen. Zwar mag es sein, dass konkrete Fragen im Rahmen des Art. 15 DSGVO beantwortet werden müssen, gerade weil sie sich auf ein bestimmtes Datum beziehen, allerdings bedeutet das nicht, dass betroffene Personen ein Recht auf eine allgemeine Erklärungspflicht hätten. Es sei dabei an den Sinn und Zweck des Art. 15 erinnert, der darin besteht, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen um allenfalls Rechte effektiv ausüben zu können.

Sofern die BF monieren, dass die mP behaupte, keine Zugriffsprotokolle bzw. Log-Files vorlegen zu können (Punkt II.1.8. Fragen 1 – 4), so ist einerseits auf die oben dargelegte Rechtslage hinzuweisen, wonach bei Nicht-Vorliegen einer Datenverarbeitung eine Negativauskunft zu erfolgen hat. Andererseits ist auf die zutreffenden Darstellungen der mP hinzuweisen, wonach aus der „Vereinbarung über eine Auftragsverarbeitung nach Art. 28 DSGVO“, die die Verfahrensparteien unterzeichnet haben, lediglich hervorgeht, dass die mP geeignete Kontroll- und Sicherheitsmaßnahmen zu setzen hat wobei die Protokollierung von Zugriffen als demonstratives Beispiel genannt wird (vgl. Punkt 3.5 der Vereinbarung). Darüber hinaus geht aus der Vereinbarung auch hervor, dass der Auftragsverarbeiter nach Beendigung der Verarbeitung die personenbezogenen Daten zu löschen hat. Daran vermag auch der Verweis auf das österreichische Informationssicherheitsbuch nichts zu ändern. Der EuGH hielt in seiner Rechtsprechung fest, dass sich hinsichtlich Protokolldateien die Bereitstellung einer Kopie der in diesen Dateien enthaltenen Informationen als erforderlich erweisen kann, um der betroffenen Person alle in Art. 15 Abs. 1 DSGVO genannten Informationen zugänglich zu machen (vgl. EuGH 22.06.2023, C-579/21, Rz 69). Daraus ergibt sich allerdings im Umkehrschluss, dass Protokolldaten nicht standardmäßig zu übermitteln sind, sondern nur dann, wenn es die jeweiligen fallbezogenen Umstände erfordern. Dass dem gegenständlich nicht so wäre und die erfolgte Auskunft derart unzureichend sei, dass die BF sich kein Bild über die erfolgte Datenverarbeitung machen können, ist nicht ersichtlich. Ergänzend sei auf die Rechtsprechung des EuGH vom 26.10.2023, C-307/22 verwiesen, aus der ebenso hervorgeht, dass ganze Dokumentenauszüge nur dann zu übermitteln sind, wenn die Komplexität der verarbeiteten Daten dies erfordert um die Verarbeitungsvorgänge verstehen zu können (Rz 79). Auch eine solche Komplexität kann gegenständlich nicht erkannt werden.

Die unter Frage 5 (Punkt II.1.8.) geforderten Teamviewerzugänge wurden mittlerweile gelöscht und wurde eine diesbezügliche Negativauskunft erteilt.

Nach Ansicht des erkennenden Senats gehen die Punkte 6 – 12 des Fragenkatalogs der BF über die Auskunftspflicht iSd. Art 15 DSGVO, auf den sich die BF in der verfahrensgegenständlichen Datenschutzbeschwerde stützen, hinaus. Wie oben dargelegt wurde, erfasst das Auskunftsrecht nach Art. 15 DSGVO personenbezogene Daten um Betroffenen die Möglichkeit zu geben, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Konkrete technische Vorgänge oder Schulungszeugnisse von Mitarbeitern sind davon nicht umfasst. Zudem ist darauf hinzuweisen, dass sich eine Auskunft iSd. Art. 15 DSGVO lediglich auf personenbezogene Daten der betroffenen Person beziehen, weshalb grundsätzlich keine Auskunft darüber zu geben wäre, welche Mitarbeiter eines Verantwortlichen wann welche Daten verarbeitet haben (vgl. EuGH 22. 6. 2023, C 579/21, [Pankki], Rn 73).

Da verfahrensgegenständlich keine Auskunft nach Art. 15 DSGVO offen ist, erübrigt sich auch ein weiteres Eingehen auf die Frage, ob die jeweiligen Daten nur dem Zweitbeschwerdeführer als natürliche Person und Begünstigter der DSGVO oder auch der Erstbeschwerdeführerin als juristischer Person zustehen.

Lediglich am Rande ist festzuhalten, dass der VwGH ein Recht der betroffenen Person auf Feststellung einer behaupteten Verletzung im Recht auf Auskunftserteilung nach Art. 15 DSGVO verneint hat, wenn der Beschwerdegegner gemäß § 24 Abs. 6 DSG bis zum Abschluss des Verfahrens vor der DSB die begehrte Auskunft vollständig erteilt und damit die behauptete Rechtsverletzung nachträglich beseitigt (vgl. VwGH 20.03.2025, Ro 2023/04/0050). Allfällige verspätete Auskünfte können daher nicht zu einer Feststellung der Verletzung von Rechten aus der DSGVO oder dem DSG führen.

3.3.2. Zur Speicherung der E-Mail-Korrespondenz über einen Zeitraum von zehn Jahren:

Die BF monieren in ihrer verfahrensgegenständlichen Datenschutzbeschwerde die Speicherung beruflicher E-Mail-Korrespondenzen (Beilage 9 der Datenschutzbeschwerde), die laut Auskunft der mP für eine Dauer von zehn Jahren gespeichert werde, was von dieser im Wesentlichen mit der Erfüllung gesetzlicher Verpflichtungen sowie ihrem berechtigten Interesse argumentiert wird.

Die pauschale Speicherung sämtlicher beruflicher E-Mails über einen Zeitraum von zehn Jahren ist datenschutzrechtlich mit dem in Art. 5 Abs. 1 lit. e DSGVO verankerten Grundsatz der Speicherbegrenzung grundsätzlich nicht vereinbar, soweit die E-Mails personenbezogene Daten natürlicher Personen enthalten und für deren weitere Speicherung nach Ablauf allfälliger gesetzlicher Aufbewahrungsfristen (z.B. Steuerrechtliche Fristen) erforderlichen Aufbewahrungsfrist kein konkreter Verarbeitungszweck mehr besteht. Nach Art. 5 Abs. 1 lit. e DSGVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Die Speicherbegrenzung stellt damit eine eigenständige und zeitliche Grenze der Verarbeitung personenbezogener Daten dar. Der EuGH hat ausdrücklich klargestellt, dass die in Art. 5 DSGVO normierten Grundsätze kumulativ und unabhängig voneinander einzuhalten sind und eine ursprünglich rechtmäßige Speicherung im Laufe der Zeit rechtswidrig werden kann, wenn die Daten für die Zwecke ihrer Verarbeitung nicht mehr erforderlich sind (vgl. EuGH 20.11.2022, C-77/21 Rz 46 ff; auch VwGH 10.12.2024, Ro 2021/04/0022).

Der VwGH hat diese Rechtsprechung des EuGH ausdrücklich aufgegriffen und hervorgehoben, dass mit dem Grundsatz der Speicherbegrenzung eine zeitliche Grenze der Verarbeitung personenbezogener Daten normiert wird. Demnach besteht ein Anspruch auf Löschung, sobald personenbezogene Daten für die Erfüllung der Zwecke, für die sie ursprünglich erhoben oder in sonstiger Weise verarbeitet wurden, nicht mehr notwendig sind. Die Frist bzw. die Kriterien, nach denen sich der Löschungszeitpunkt bestimmt, müssen dabei auf das für die Verarbeitungszwecke unbedingt erforderliche Mindestmaß beschränkt sein (vgl. VwGH 09.05.2023, Ro 2020/04/0037).

Soweit ein Verantwortlicher personenbezogene Daten nach Beendigung allfälliger Verträge weiterverarbeitet, um – wie gegenständlich vorgebracht – potentielle zukünftige Rechtsstreitigkeiten austragen zu können, ist zwischen der Ausnahme der Löschpflicht nach Art. 17 Abs. 3 lit. b oder e DSGVO und einer „neuen“ Verarbeitung mit wiederum eigenem Zweck zu unterscheiden, der auf einem berechtigten Interesse iSd. Art. 6 Abs. 1 lit. f DSGVO beruhen muss.

Auf Basis welcher gesetzlichen Aufbewahrungsfrist oder auf Grund welcher berechtigten Interessen die mP die E-Mail-Kommunikation für zehn Jahre aufbewahren muss bzw. möchte, konnte sie jedoch nicht nachvollziehbar darlegen. Im Rahmen ihrer Äußerung vom 29.11.2025 beschränkt sich die mP vielmehr auf sehr allgemeine Darstellungen und das Argument – jedoch ohne konkrete Hinweise darzutun – dass in Zukunft Rechtsstreitigkeiten entstehen könnten, in welchen die Daten Relevanz haben könnten. Darüber hinaus ist nicht anzunehmen, dass in jeder E-Mail des in Rede stehenden Zeitraums derart wichtige Informationen stehen, sodass eine pauschale Speicherung sämtlicher Korrespondenz argumentiert werden könnte. Im Rahmen dieser Einzelfallbeurteilung (vgl. wiederum VwGH 09.05.2023, Ro 2020/04/0037) kann eben keine derart hohe Relevanz der E-Mail- Korrespondenz erkannt werden.

Gem. Art. 58 DSGVO kommen der nationalen Datenschutz-Aufsichtsbehörde diverse Kompetenzen zu, die mangels Entscheidung der Behörde nunmehr dem Bundesverwaltungsgericht zukommen. Im Sinne des Art. 58 Abs. 2 lit. d DSGVO wonach es der Aufsichtsbehörde gestattet ist, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen, wird die mP jene E-Mail-Korrespondenzen, die älter als sieben Jahre sind, nicht im Zusammenhang mit dem hg. Verfahren stehen und auch nicht im Zusammenhang mit einem anderen verwaltungsrechtlichen oder zivilrechtlichen Verfahren stehen und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, zu löschen. Nach Ansicht des erkennenden Senats erscheinen, orientiert an steuerrechtlichen Aufbewahrungspflichten, sieben Jahre als angemessener Ausgleich der widerstreitenden Interessen. So auch VwGH 03.09.2024, Ra 2023/04/0042 in einer Rechtssache nach dem AMSG.

3.3.3. Zur Beschwerde nach § 24 Abs. 1 DSG:

Gem. § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

Nach § 1 Abs. 1 und 2 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Art. 77 DSGVO, der das Recht auf Beschwerde bei einer Aufsichtsbehörde enthält, bedarf nun keiner Umsetzung in das nationale Recht und ermöglicht es, dass sich eine betroffene Person unmittelbar darauf gestützt an die Datenschutzbehörde wendet, wenn sie der Ansicht ist, dass durch die Verarbeitung der sie betreffenden personenbezogenen Daten die Bestimmungen der DSGVO verletzt werden. Er normiert ein eigenständiges Recht auf Beschwerde, das nicht an formelle oder inhaltliche Vorgaben (wie dies § 24 Abs. 2 bis 6 DSG vorsieht) geknüpft ist. Die notwendigen Voraussetzungen für die Geltendmachung des Rechts auf Beschwerde sind, dass die beschwerdeführende Person selbst durch die Verarbeitung betroffen ist und die Verarbeitung gegen die Bestimmungen der DSGVO verstößt, sowie die angerufene Behörde zum Kreis der zuständigen Behörden gehört. Art. 77 DSGVO legt nicht fest, welche Darlegungsverpflichtung die beschwerdeführende Person hat, wobei sämtliche Verletzungen der Bestimmungen der DSGVO für eine Beschwerde infrage kommen, sohin etwa auch Verletzungen von individuellen Betroffenenrechten auf Auskunft iSd. Art. 15 DSGVO (vgl. Schweiger in Knyrim, DatKomm Art 77 DSGVO (Stand 1.12.2021, rdb.at) Rz 8, 11).

Ein Eingriff in das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG kann auch von Seiten einer – wie im vorliegenden Fall – Privatperson (d.h. nicht durch eine staatliche Institution) zulässig sein. Dabei können sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit. ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² § 1, Rz 39 [Stand 1.2.2022, rdb.at]).

Das DSG sieht als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. § 24 DSG räumt der in ihrem persönlichen Recht verletzten Person die Möglichkeit ein, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen (vgl. VwGH 06.03.2024, Ro 2021/04/0027).

Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz [Art. 5 Abs. 1 lit a], Grundsatz der Zweckbindung [Art. 5 Abs. 1 lit b], Grundsatz der Datenminimierung [Art. 5 Abs. 1 lit. c], Grundsatz der Richtigkeit [Art. 5 Abs. 1 lit. d], Grundsatz der Speicherbegrenzung [Art. 5 Abs. 1 lit. e], Grundsatz der Integrität und Vertraulichkeit [Art. 5 Abs. 1 lit. f], Grundsatz der Rechenschaftspflicht [Art. 5 Abs. 2], vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO [Stand 1.12.2020, rdb.at]).

Jeder Verarbeitungsvorgang darf dabei nur unter bestimmten Rechtmäßigkeitstatbeständen erfolgen, die in Art. 6 Abs. 1 DSGVO näher ausgeführt werden.

Gesamtbetrachtet schreibt die DSGVO betroffenen Personen die sich an die Aufsichtsbehörden wenden keine konkrete Beweislast zu, allerdings ist davon auszugehen, dass ihnen eine Mitwirkung am von der Behörde zu ermittelnden Sachverhalt obliegt.

Die BF führten in ihrer verfahrenseinleitenden Datenschutzbeschwerde aus, dass aufgrund des Umstandes, dass die Ex-Ehefrau des Zweitbeschwerdeführers im Scheidungs- bzw. Aufteilungsverfahren Dokumente vorgelegt habe, zu denen sie keinen Zugang gehabt habe, anzunehmen sei, dass die mP durch ihre Zugangsmöglichkeiten zur IT-Infrastruktur der BF, unberechtigt Daten des Zweitbeschwerdeführers abgefragt und der Ex-Ehefrau zur Verfügung gestellt habe. Die BF beantragten eine dahingehende Feststellung der Verletzung im Recht auf Geheimhaltung nach § 1 DSG.

Nach Durchführung diverser Ermittlungsschritte durch die belangte Behörde sowie des Bundesverwaltungsgerichts und nach Durchführung zweier mündlicher Verhandlungen vor dem hg. entscheidenden Senat, konnte ein unbefugter Zugriff durch die mP nicht festgestellt werden.

Es ist darauf hinzuweisen, dass die BF zwar die Vermutung hatten, dass Daten unzulässigerweise abgefragt worden sein könnten, es konnten aber keinerlei diesbezügliche Beweismittel vorlegen. Es „sei zu befürchten“, dass die mP „möglicherweise Daten eingesehen und allenfalls auch kopiert hat“ (Datenschutzbeschwerde S. 10). Auch welche konkreten Daten abgefragt worden sein sollen, konnten die BF nicht ausführen und verwiesen darauf, dass die belangte Behörde dies in einem (amtswegigen) Verfahren zu ermitteln haben werde. Zur Untermauerung der Argumente verweisen die BF auf einen übermittelten Screenshot, der eine Maske der Software-Anwendung „Teamviewer“ samt Logo der mP zeigt. Dieser beweise – so die BF weiter – dass die mP noch über Monate hinweg nach Beendigung der geschäftlichen Zusammenarbeit Zugang zur IT-Infrastruktur der BF gehabt habe.

Die Ermittlungsschritte der belangten Behörde als auch das Ermittlungsverfahren des Bundesverwaltungsgerichts und dabei insbesondere die mündlichen Verhandlungen haben – wie festgestellt wurde – im Ergebnis aber keine unberechtigten Zugriffe auf die IT-Systeme der BF hervorgebracht.

Mit Schreiben der belangten Behörde vom 29.07.2025 wurden die BF aufgefordert, zu einem von den BF übermittelten Screenshot bezüglich Teamviewer, der die Zugriffsmöglichkeit der mP auf die IT-Systeme der BF indizieren soll, Stellung zu nehmen. Aus dem Screenshot gehe nämlich nur die Möglichkeit hervor, Teamviewer derart zu konfigurieren, dass ein unbeaufsichtigter Zugriff möglich ist; einen tatsächlichen Nachweis stelle der Screenshot nicht dar. In der daraufhin erfolgten Stellungnahme der BF erklären diese zusammengefasst selbst, dass von den BF unabhängiger Fernzugriff zur Wartung der Server notwendig sei, um den täglichen Betrieb nicht zu beeinflussen und verwies in weiterer Folge auf die Verschiedenen Abonnements bei Teamviewer und, dass nicht ausgeschlossen werden könne, dass Zugriffe durch die mP stattgefunden hätten.

Im Rahmen der ersten mündlichen Verhandlung vom 03.12.2025 führte der Zweit-BF aus, dass es sich bei den „geleakten“ Informationen um E-Mails und finanzielle Daten gehandelt habe, die durch die Ex-Ehefrau des Zweitbeschwerdeführers im Scheidungsverfahren genutzt worden seien. Diese Daten hätten üblicherweise nicht in Papierform existiert und seien auf einem digitalen Ordner gelegen. Gleichzeitig führte die Ex-Ehefrau, die in der zweiten mündlichen Verhandlung vom 12.03.2026 als Zeugin einvernommen wurde glaubhaft aus, dass sie als Assistentin der Geschäftsführung gearbeitet hat. Im Rahmen dieser Tätigkeit hatte sie Zugang zu privaten physischen und digitalen Daten und Dokumenten des Zweitbeschwerdeführers. Darüber hinaus hat sie auch nach Beendigung der beruflichen Tätigkeit für den Zweitbeschwerdeführer noch knapp ein Jahr mit diesem im gleichen Haushalt gelebt wobei sie in diversen Ablagen Einsicht in physische Dokumente habe nehmen können.

Auch aus den Darstellungen der mP bzw. zweier Mitarbeiter der A-GmbH haben sich keine Anhaltspunkte dafür ergeben, dass unzulässige Zugriffe der mP auf die IT-Systeme der BF nach Beendigung der Zusammenarbeit erfolgt oder auch nur technisch möglich gewesen wären. Dass Zugriffe technisch nicht möglich waren wird durch die Aussagen des Geschäftsführers der O-GmbH, der im Zuge der zweiten mündlichen Verhandlung einvernommen wurde bestätigt. Dieser gab an Mitte November alle Passwörter von der A-GmbH erhalten zu haben und in weiterer Folge mit seinen Mitarbeitern die Passwörter geändert zu haben; von auffälligen Besonderheiten bei der Übergabe konnte er nicht berichten. Er habe sich Teamviewer-Logs auf dem Server der BF angesehen und lediglich eine Verbindung gefunden, an der allerdings auch einer seiner eigenen Mitarbeiter beteiligt war und er davon ausgehe, dass dies noch Teil der Übergabe der IT-Betreuung war. Abgesehen davon habe er keine Auffälligkeiten entdecken können. Darüber hinaus bestätigte der Geschäftsführer der O-GmbH, dass es möglich sei, auf Teamviewer bezogene Passwörter zu ändern, obwohl die Lizenz auf die mP oder die A-GmbH lautet; dadurch ließe sich das Logo der mP auf der Teamviewer Maske erklären.

Wie bereits beweiswürdigend ausgeführt wurde, haben sich auch mit Blick auf die vom Zweitbeschwerdeführer genutzt Software-Anwendung „Workbase“ und auch hinsichtlich des E-Mail Programms der Mitarbeiter der BF „Microsoft Office“ keine Anhaltspunkte für unzulässige Datenverarbeitungen ergeben.

Insgesamt führten die BF damit regelmäßig aus, dass eine unzulässige Datenverarbeitung im Raum stehe, konnte aber keine konkreten Hinweise darauf vorlegen. Vor dem Hintergrund der Darstellungen der Zeugen und dem Zugang der Ex-Ehefrau zu verschiedensten physischen und digitalen Dokumenten auch über den Zeitraum ihrer Anstellung hinaus, kann den Behauptungen der unzulässigen Datenabfrage durch die mP nach Beendigung des Geschäftsverhältnisses nicht gefolgt werden.

3.3.4. Zu den Anträgen der BF vom 30.12.2025:

Mit Replik vom 30.12.2025 nahmen die BF im Wesentlichen zur ersten mündlichen Verhandlung Stellung, führten ihre grundlegenden Argumente wiederholt aus und halten darüber hinaus fest, dass die mP gegen diverse Verpflichtungen aus der der Verarbeitung zugrunde liegenden Vereinbarung zur Auftragsverarbeitung verstoßen habe, weshalb eine Rechtsverletzung durch die belangte Behörde festzustellen sei. Konkret beziehen sich diese in Punkt 2 ihrer Stellungnahme auf eine Datenverarbeitung ohne Weisung (i), das Hinzuziehen eines Unter-Auftragsverarbeiters (ii), ein fehlendes Verzeichnis von Verarbeitungstätigkeiten (iii), fehlende Datenschutzschulungen für Mitarbeiter (iv), rechtsgrundlose Verarbeitung von E-Mail-Korrespondenzen (v) sowie Vorenthaltung eines gravierenden Interessenkonflikts (vi).

Im Ergebnis ist das Bundesverwaltungsgericht nicht befugt über diese Beschwerdeerweiterungen abzusprechen; hinsichtlich der Verarbeitung von E-Mail-Korrespondenzen ist auf die obigen Ausführungen zu verweisen.

Der hg. anhängige Verfahrensgegenstand ist – zusammengefasst – eine unzureichende Auskunft nach Art. 15 DSGVO (vgl. dazu oben) sowie die behauptete Verletzung im Recht auf Geheimhaltung durch die mP, indem diese ihre Zugriffsmöglichkeiten auf die IT-Systeme der BF genutzt haben soll, um der Ex-Ehefrau des Zweitbeschwerdeführers personenbezogene Daten über diesen zukommen zu lassen, die in weiterer Folge im Scheidungs- bzw. Aufteilungsverfahren genutzt worden sein sollen.

Mit den Ausführungen vom 30.12.2025 monieren die BF nunmehr im Wesentlichen erstmals ein vertragswidriges Fehlverhalten der mP wegen mangelnder Protokolle bzw. mangelnder Kompetenznachweise.

Wie oben bereits festgehalten wurde, gilt die Änderung grundsätzlich als Zurückziehung des ursprünglichen Antrags und Stellung eines neuen Antrags, wenn ein Antrag nach § 13 Abs. 8 AVG in einem wesentlichen Punkt geändert wird. Daher beginnt die behördliche Entscheidungsfrist mit dem Einlangen des geänderten Antrags neu zu laufen. Eine bloße zulässige Antragsänderung, die weder die Zuständigkeit der Behörde berührt noch die Sache ihrem Wesen nach verändert, lässt die ursprüngliche Entscheidungsfrist hingegen unberührt. Wird ein Antrag erst nach Befassung der Säumnisinstanz wesentlich geändert, muss über den geänderten Antrag grundsätzlich wieder die Behörde erster Instanz entscheiden (vgl. Hengstschläger/Leeb, AVG § 73 (Stand 1.3.2018, rdb.at) Rz 63 mwN.; VwGH 25.10.2017, Ra 2017/07/0073).

Nach Ansicht des erkennenden Gerichts überschreitet der nunmehrige erweiterte Antrag der BF auf Feststellung der Verletzung des Schutzes personenbezogener Daten durch die mP den Verfahrensgegenstand. Während sich die Ausführungen der BF bis zu diesem Zeitpunkt immer auf die behauptete Nutzung personenbezogener Daten im Scheidungsverfahren beschränkte und die Vereinbarung zur Auftragsverarbeitung lediglich argumentativ heranzogen, begehren die BF mit der Stellungnahme vom 30.12.2025 offenbar die Feststellung einer ganzen Reihe von Rechtsverletzungen. Zwar beziehen sich diese auch auf das Recht auf Geheimhaltung nach § 1 DSG und liegen die behaupteten Rechtsverletzungen unstrittig in einem thematischen Naheverhältnis zum hg. zu entscheidenden Sachverhalt, betreffen aber im Ergebnis etwas grundlegend anderes. Gegenstand des hg. Verfahrens ist die Verletzung im Recht auf Geheimhaltung durch unzulässige Datenabfragen, nicht jedoch eine Rechtsverletzung in Datenschutzrechten wegen mangelhafter Erfüllung eines auf den Datenschutz gerichteten Vertrags. Es ist daher der mP dahingehend zuzustimmen, dass es sich bei den Darstellungen um eine (unzulässige) Erweiterung der Beschwerde handelt. Würde das Gericht diese (neuen) Vorbringen zum Gegenstand seiner Entscheidung machen und darüber absprechen, so wäre die belangte Behörde als faktisch zuständige Behörde übergangen – sie ist mit Blick auf die Erweiterungen gerade nicht säumig.

3.4. Soweit die BF in ihrer verfahrenseinleitenden Datenschutzbeschwerde – auch unter Verweis auf eine mögliche Datenschutzverletzung iSd. Art. 33 DSGVO – die Einleitung eines amtswegigen Prüfverfahrens anregen, ist festzuhalten, dass Parteien weder aus den allgemeinen Verwaltungsrechtsgesetzen, noch aus der DSGVO oder dem DSG selbst ein subjektives Recht auf Einleitung eines Verfahrens zukommt. Insofern ist die Anregung zur Kenntnis zu nehmen, es bleibt jedoch der Einschätzung der zuständigen Aufsichtsbehörde nach der DSGVO überlassen ob sie ein Verfahren einleitet oder nicht (vgl. VwGH 14.12.2021, Ro 2020/04/0032; vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)² § 24 (Stand 1.2.2022, rdb.at) Rz 329).

Ebenso besteht auch kein subjektives Recht auf Heranziehung einer bestimmten Abhilfemaßnahme der Aufsichtsbehörde (vgl. VwGH 10.12.2024, Ro 2021/04/0022 mit Verweis auf EuGH 26.9.2024, C-768/21, [Land Hessen]).

3.5. Vor dem Hintergrund des als geklärt zu betrachtenden Sachverhalts der aufgrund der fachspezifischen (IT) Darstellungen verschiedener Zeugen (zwei Mitarbeiter der A-GmbH, Geschäftsführer der O-GmbH sowie der mP) keiner Ergänzung bedarf, war dem Antrag auf Beiziehung eines IT-Sachverständigen nicht zu folgen.

3.6. Die durch die BF mit Schriftsatz vom 25.03.2026 erhobenen Einwendungen gegen das Protokoll vom 12.03.2026 betreffen zur Gänze den Wunsch der Berichtigung von Tippfehlern oder Ergänzungen. Da es sich jedoch dabei nicht um sinnstörende Fehler handelt, denen sohin keine rechtliche Relevanz zukommt, handelt es sich dabei um keine Unrichtigkeit oder Unvollständigkeit des Protokolls iSd. § 14 Abs. 7 AVG. Eine dergestalt lediglich kosmetische Berichtigung des besagten Protokolls konnte daher unterbleiben.

3.7. Es war daher spruchgemäß zu entscheiden.

Zu B) Unzulässigkeit der Revision:

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Mit Blick auf den nunmehr geklärten Sachverhalt und den daraus entstehenden Rechtsfragen, hinsichtlich derer sich das erkennende Bundesverwaltungsgericht auf eine Fülle an Rechtsprechung des VwGH und des EuGH beziehen konnte, war die Revision gegenständlich nicht zuzulassen.