Entscheidungsdatum
22.06.2026Norm
B-VG Art133 Abs4Spruch
,
W137 2322230-1/3E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde von XXXX , vertreten durch RA Dr. Elke HULE-MEDEK, gegen den Bescheid der Datenschutzbehörde vom 25.08.2025, GZ. D124.2637/24, 2025-0.589.794, zu Recht erkannt: Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde von römisch 40 , vertreten durch RA Dr. Elke HULE-MEDEK, gegen den Bescheid der Datenschutzbehörde vom 25.08.2025, GZ. D124.2637/24, 2025-0.589.794, zu Recht erkannt:
A)
Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Mit verfahrensleitender Eingabe vom 27.11.2024, verbessert mit Schriftsatz vom 01.01.2025, erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, die nunmehrige Beschwerdeführerin habe personenbezogene Daten von Wohnungseigentümern, wie jene der mitbeteiligten Partei, an die XXXX (im Folgenden auch: XXXX ) weitergegeben. Die mitbeteiligte Partei sei Eigentümerin einer Wohnung in der XXXX und die Beschwerdeführerin die ehemalige Hausverwaltung der Liegenschaft. Zunächst habe die mitbeteiligte Partei am 29.11.2023 eine E-Mail mit der ihr unbekannten Signatur „ XXXX “ erhalten, welche die Vorbereitung einer Eigentümerversammlung angekündigt habe. In weiterer Folge sei am 12.01.2024 an die Wohnungseigentümer der genannten Liegenschaft eine Einladung zu einer Eigentümerversammlung mit derselben Signatur versendet worden, wobei die Wohnungseigentümer zur Erteilung von Vollmachten aufgefordert worden seien. Schließlich habe sich dann bei der Eigentümerversammlung herausgestellt, dass die XXXX nicht die Rechtsnachfolgerin der Beschwerdeführerin, sondern eine eigenständige Firma sei. 1. Mit verfahrensleitender Eingabe vom 27.11.2024, verbessert mit Schriftsatz vom 01.01.2025, erhob römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die römisch 40 (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, die nunmehrige Beschwerdeführerin habe personenbezogene Daten von Wohnungseigentümern, wie jene der mitbeteiligten Partei, an die römisch 40 (im Folgenden auch: römisch 40 ) weitergegeben. Die mitbeteiligte Partei sei Eigentümerin einer Wohnung in der römisch 40 und die Beschwerdeführerin die ehemalige Hausverwaltung der Liegenschaft. Zunächst habe die mitbeteiligte Partei am 29.11.2023 eine E-Mail mit der ihr unbekannten Signatur „ römisch 40 “ erhalten, welche die Vorbereitung einer Eigentümerversammlung angekündigt habe. In weiterer Folge sei am 12.01.2024 an die Wohnungseigentümer der genannten Liegenschaft eine Einladung zu einer Eigentümerversammlung mit derselben Signatur versendet worden, wobei die Wohnungseigentümer zur Erteilung von Vollmachten aufgefordert worden seien. Schließlich habe sich dann bei der Eigentümerversammlung herausgestellt, dass die römisch 40 nicht die Rechtsnachfolgerin der Beschwerdeführerin, sondern eine eigenständige Firma sei.
2. Die Beschwerdeführerin gab mit Stellungnahme vom 10.02.2025 im Wesentlichen und soweit verfahrensrelevant an, dass durch einen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ von ihr an den ausscheidenden Gesellschafter XXXX allein und vollständig übertragen worden sei. In diesem Zusammenhang habe sie die nunmehrige mitbeteiligte Partei mit Schreiben vom 27.11.2024 darüber informiert, dass sie nicht (mehr) die Hausverwalterin des betreffenden Objektes sei. 2. Die Beschwerdeführerin gab mit Stellungnahme vom 10.02.2025 im Wesentlichen und soweit verfahrensrelevant an, dass durch einen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ von ihr an den ausscheidenden Gesellschafter römisch 40 allein und vollständig übertragen worden sei. In diesem Zusammenhang habe sie die nunmehrige mitbeteiligte Partei mit Schreiben vom 27.11.2024 darüber informiert, dass sie nicht (mehr) die Hausverwalterin des betreffenden Objektes sei.
3. Mit Stellungnahme vom 28.03.2025 führte die mitbeteiligte Partei insbesondere aus, dass das Vorbringen der Beschwerdeführerin keine Rückschlüsse auf die rechtliche Grundlage im Rahmen der DSGVO / des DSG über die erfolgte Datenübermittlung an die XXXX beziehungsweise XXXX zulasse. Die ab dem Teilungsdatum neu in Erscheinung getretene Kapitalgesellschaft XXXX sei laut eigenen Angaben keine Rechtsnachfolgerin der Personengesellschaft (Rechtsform der XXXX ) und sie habe auch die Wohnungseigentümer erneut zur Erteilung von Vollmachten zur Hausverwaltung ersucht. Es sei von der Hausverwaltung der XXXX keine Einverständniserklärung zur Übermittlung der personenbezogenen Daten aller Eigentümer an die XXXX eingeholt worden und die Wohnungseigentümer seien plötzlich von der neuen GmbH angeschrieben worden, was eine rechtswidrige Weitergabe der personenbezogenen Daten impliziere. 3. Mit Stellungnahme vom 28.03.2025 führte die mitbeteiligte Partei insbesondere aus, dass das Vorbringen der Beschwerdeführerin keine Rückschlüsse auf die rechtliche Grundlage im Rahmen der DSGVO / des DSG über die erfolgte Datenübermittlung an die römisch 40 beziehungsweise römisch 40 zulasse. Die ab dem Teilungsdatum neu in Erscheinung getretene Kapitalgesellschaft römisch 40 sei laut eigenen Angaben keine Rechtsnachfolgerin der Personengesellschaft (Rechtsform der römisch 40 ) und sie habe auch die Wohnungseigentümer erneut zur Erteilung von Vollmachten zur Hausverwaltung ersucht. Es sei von der Hausverwaltung der römisch 40 keine Einverständniserklärung zur Übermittlung der personenbezogenen Daten aller Eigentümer an die römisch 40 eingeholt worden und die Wohnungseigentümer seien plötzlich von der neuen GmbH angeschrieben worden, was eine rechtswidrige Weitergabe der personenbezogenen Daten impliziere.
4. Mit Stellungnahme vom 23.07.2025 brachte die Beschwerdeführerin im Wesentlichen vor, dass sie den Realteilungsvertrag mit Wirkung und mit Wirksamkeitsstichtag 31.08.2023 am 28.05.2024 geschlossen habe. Demnach habe damit auch der Betrieb der Hausverwaltung durch sie geendet. Gemäß diesem Realverteilungsvertrag sei der Teilbetrieb „Hausverwaltung“ mit Wirksamkeitsstichtag allein und vollständig auf XXXX übertragen worden. Es handle sich dabei zivilrechtlich um eine Einzelrechtsnachfolge. Bis zum Realteilungsvertrag sei XXXX als Komplementär der Beschwerdeführerin tätig gewesen, sodass ihm die personenbezogenen Daten aus dieser Funktion bekannt gewesen seien und gemäß dem Realteilungsvertrag habe er sich verpflichtet, unverzüglich dafür Sorge zu tragen, dass die Übertragung erforderlichenfalls mit Zustimmung der Vollmachtgeber, unter deren Information auf ihn durchgeführt werden würden. Dritte seien von der Beschwerdeführerin nicht über personenbezogene Daten informiert worden. 4. Mit Stellungnahme vom 23.07.2025 brachte die Beschwerdeführerin im Wesentlichen vor, dass sie den Realteilungsvertrag mit Wirkung und mit Wirksamkeitsstichtag 31.08.2023 am 28.05.2024 geschlossen habe. Demnach habe damit auch der Betrieb der Hausverwaltung durch sie geendet. Gemäß diesem Realverteilungsvertrag sei der Teilbetrieb „Hausverwaltung“ mit Wirksamkeitsstichtag allein und vollständig auf römisch 40 übertragen worden. Es handle sich dabei zivilrechtlich um eine Einzelrechtsnachfolge. Bis zum Realteilungsvertrag sei römisch 40 als Komplementär der Beschwerdeführerin tätig gewesen, sodass ihm die personenbezogenen Daten aus dieser Funktion bekannt gewesen seien und gemäß dem Realteilungsvertrag habe er sich verpflichtet, unverzüglich dafür Sorge zu tragen, dass die Übertragung erforderlichenfalls mit Zustimmung der Vollmachtgeber, unter deren Information auf ihn durchgeführt werden würden. Dritte seien von der Beschwerdeführerin nicht über personenbezogene Daten informiert worden.
5. Mit Bescheid vom 25.08.2025, GZ. D124.2637/24, 2025-0.589.794, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 27.11.2024 statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie personenbezogene Daten der mitbeteiligten Partei an die XXXX übermittelt habe.5. Mit Bescheid vom 25.08.2025, GZ. D124.2637/24, 2025-0.589.794, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 27.11.2024 statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie personenbezogene Daten der mitbeteiligten Partei an die römisch 40 übermittelt habe.
In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:
Bei der Beschwerdeführerin handle es sich um eine Kommanditgesellschaft mit Sitz in XXXX und sie sei für die Hausverwaltung der Liegenschaft XXXX tätig gewesen. Am 28.05.2024 habe sie per Realteilungsvertrag mit Wirkung und mit Wirksamkeitsstichtag 31.08.2023 den Teilbetrieb „Hausverwaltung“ an den im Zuge des Realteilungsvertrags ausscheidenden Gesellschafter XXXX übertragen. Bei der Beschwerdeführerin handle es sich um eine Kommanditgesellschaft mit Sitz in römisch 40 und sie sei für die Hausverwaltung der Liegenschaft römisch 40 tätig gewesen. Am 28.05.2024 habe sie per Realteilungsvertrag mit Wirkung und mit Wirksamkeitsstichtag 31.08.2023 den Teilbetrieb „Hausverwaltung“ an den im Zuge des Realteilungsvertrags ausscheidenden Gesellschafter römisch 40 übertragen.
Die mitbeteiligte Partei sei Eigentümerin der Wohnung XXXX Die mitbeteiligte Partei sei Eigentümerin der Wohnung römisch 40
Am 29.11.2023 habe die die mitbeteiligte Partei eine Einladung mit der Signatur „ XXXX “ bezüglich der Vorbereitung einer Eigentümerversammlung betreffend die Liegenschaft XXXX , erhalten.Am 29.11.2023 habe die die mitbeteiligte Partei eine Einladung mit der Signatur „ römisch 40 “ bezüglich der Vorbereitung einer Eigentümerversammlung betreffend die Liegenschaft römisch 40 , erhalten.
Am 30.04.2024 habe die mitbeteiligte Partei eine E-Mail von der XXXX erhalten, wobei diese das Briefpapier der Beschwerdeführerin verwendet habe und in der Fußzeile unter anderem XXXX als Gesellschafter der Beschwerdeführerin angeführt worden sei.Am 30.04.2024 habe die mitbeteiligte Partei eine E-Mail von der römisch 40 erhalten, wobei diese das Briefpapier der Beschwerdeführerin verwendet habe und in der Fußzeile unter anderem römisch 40 als Gesellschafter der Beschwerdeführerin angeführt worden sei.
XXXX sei in seiner Funktion als Komplementär der Beschwerdeführerin am 01.06.2024 aus dem Firmenbuch gelöscht worden. römisch 40 sei in seiner Funktion als Komplementär der Beschwerdeführerin am 01.06.2024 aus dem Firmenbuch gelöscht worden.
Die mitbeteiligte Partei habe der Übertragung ihrer personenbezogenen Daten wie Name, Meldedaten, Anschrift, Telefonnummer, E-Mail-Adresse und diverser wohnungsrelevanten Verträge an die XXXX nicht zugestimmt. Die mitbeteiligte Partei habe der Übertragung ihrer personenbezogenen Daten wie Name, Meldedaten, Anschrift, Telefonnummer, E-Mail-Adresse und diverser wohnungsrelevanten Verträge an die römisch 40 nicht zugestimmt.
Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die belangte Behörde in rechtlicher Hinsicht im Wesentlichen Folgendes:
Nach herrschender Literatur und Rechtsprechung seien Handlungen einer einzelnen natürlichen Person – sofern sie für eine Organisation oder andere Stelle tätig werde – dieser Organisation regelmäßig als verantwortliche Stelle zuzurechnen. Auch Kommanditgesellschaften würden durch ihre organschaftlichen Vertreter agieren. Der hier zwingend zur Anwendung kommende § 170 UGB normiere, dass die organschaftliche Vertretung der Gesellschaft alleine bei den Komplementären liege. Nach herrschender Literatur und Rechtsprechung seien Handlungen einer einzelnen natürlichen Person – sofern sie für eine Organisation oder andere Stelle tätig werde – dieser Organisation regelmäßig als verantwortliche Stelle zuzurechnen. Auch Kommanditgesellschaften würden durch ihre organschaftlichen Vertreter agieren. Der hier zwingend zur Anwendung kommende Paragraph 170, UGB normiere, dass die organschaftliche Vertretung der Gesellschaft alleine bei den Komplementären liege.
Die Beschwerdeführerin habe angegeben, dass dem ausgeschiedenen Komplementär XXXX die personenbezogenen Daten aus seiner Funktion bekannt gewesen seien. Aus dieser Tatsache sei zu schließen, dass er während seiner Zeit als Komplementär der Beschwerdeführerin in einem gewissen Maße für den Teilbetrieb „Hausverwaltung“ zuständig gewesen sei. Somit sei festzustellen, dass im Zeitpunkt der behaupteten Weitergabe im November 2023 XXXX noch immer als Komplementär der Beschwerdeführerin im Firmenbuch eingetragen gewesen sei und, dass er auch noch im April 2024 als Komplementär der Beschwerdeführerin in der Signatur geführt worden sei und somit für die Beschwerdeführerin den Teilbetrieb „Hausverwaltung“ verwaltet habe. Daher sei im Zeitpunkt der behaupteten Weitergabe der Daten die datenschutzrechtliche Verantwortlichkeit iSv. Art. 4 Z 7 DSGVO ausschließlich bei der Beschwerdeführerin gelegen. Die Beschwerdeführerin habe angegeben, dass dem ausgeschiedenen Komplementär römisch 40 die personenbezogenen Daten aus seiner Funktion bekannt gewesen seien. Aus dieser Tatsache sei zu schließen, dass er während seiner Zeit als Komplementär der Beschwerdeführerin in einem gewissen Maße für den Teilbetrieb „Hausverwaltung“ zuständig gewesen sei. Somit sei festzustellen, dass im Zeitpunkt der behaupteten Weitergabe im November 2023 römisch 40 noch immer als Komplementär der Beschwerdeführerin im Firmenbuch eingetragen gewesen sei und, dass er auch noch im April 2024 als Komplementär der Beschwerdeführerin in der Signatur geführt worden sei und somit für die Beschwerdeführerin den Teilbetrieb „Hausverwaltung“ verwaltet habe. Daher sei im Zeitpunkt der behaupteten Weitergabe der Daten die datenschutzrechtliche Verantwortlichkeit iSv. Artikel 4, Ziffer 7, DSGVO ausschließlich bei der Beschwerdeführerin gelegen.
Die von der Beschwerdeführerin angedeutete rückwirkende Änderung der datenschutzrechtlichen Verantwortlichkeit durch den am 28.05.2024 geschlossenen Realteilungsvertrag mit Wirkung und Wirksamkeitsstichtag 31.08.2023 könne den Grundsätzen der Art. 5 Abs. 1 lit. a sowie Art. 5 Abs. 2 DSGVO nicht genügen. Insbesondere die behauptete Möglichkeit, sich durch rückwirkende Realteilungsverträge einer datenschutzrechtlichen Verantwortlichkeit zu entziehen, nehme betroffenen Personen jegliche Möglichkeit zu überprüfen, ob ihre Daten in nachvollziehbarer Weise verarbeitet werden und verstoße somit gegen den Transparenzgrundsatz und den Grundsatz der Verarbeitung nach Treu und Glauben. Die von der Beschwerdeführerin angedeutete rückwirkende Änderung der datenschutzrechtlichen Verantwortlichkeit durch den am 28.05.2024 geschlossenen Realteilungsvertrag mit Wirkung und Wirksamkeitsstichtag 31.08.2023 könne den Grundsätzen der Artikel 5, Absatz eins, Litera a, sowie Artikel 5, Absatz 2, DSGVO nicht genügen. Insbesondere die behauptete Möglichkeit, sich durch rückwirkende Realteilungsverträge einer datenschutzrechtlichen Verantwortlichkeit zu entziehen, nehme betroffenen Personen jegliche Möglichkeit zu überprüfen, ob ihre Daten in nachvollziehbarer Weise verarbeitet werden und verstoße somit gegen den Transparenzgrundsatz und den Grundsatz der Verarbeitung nach Treu und Glauben.
Schließlich sei gegenständlich das Vorliegen der Rechtfertigungsgründe nach Art. 6 Abs. 1 lit. a bis lit. f DSGVO zu verneinen, weil keine Einwilligung für die Datenweitergabe vorliege, die Beschwerdeführerin nur mit der mitbeteiligten Partei und nicht mit der XXXX einen Vertrag bezüglich der Hausverwaltung der genannten Liegenschaft abgeschlossen habe und aufgrund des Fehlens der Erforderlichkeit der Rechtfertigungstatbestand berechtigte Interessen ausscheide. Schließlich sei gegenständlich das Vorliegen der Rechtfertigungsgründe nach Artikel 6, Absatz eins, Litera a bis Litera f, DSGVO zu verneinen, weil keine Einwilligung für die Datenweitergabe vorliege, die Beschwerdeführerin nur mit der mitbeteiligten Partei und nicht mit der römisch 40 einen Vertrag bezüglich der Hausverwaltung der genannten Liegenschaft abgeschlossen habe und aufgrund des Fehlens der Erforderlichkeit der Rechtfertigungstatbestand berechtigte Interessen ausscheide.
6. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:
Die belangte Behörde habe keinerlei Feststellungen zur Rechtsnachfolge und betreffend Übergang der Hausverwaltung von der Beschwerdeführerin auf die XXXX getroffen, denn entgegen dem festgestellten Sachverhalt seien gegenständlich sämtliche personenbezogene Daten infolge Rechtsnachfolge in der Hausverwaltung rechtmäßig an den neuen Hausverwalter, die XXXX , weitergegeben worden. Die belangte Behörde habe keinerlei Feststellungen zur Rechtsnachfolge und betreffend Übergang der Hausverwaltung von der Beschwerdeführerin auf die römisch 40 getroffen, denn entgegen dem festgestellten Sachverhalt seien gegenständlich sämtliche personenbezogene Daten infolge Rechtsnachfolge in der Hausverwaltung rechtmäßig an den neuen Hausverwalter, die römisch 40 , weitergegeben worden.
Wie bereits vorgebracht, sei mit Realteilungsvertrag vom 28.05.2024 rückwirkend mit wirtschaftlichem Stichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ mit sämtlichen Rechten und Pflichten, Rechtsverhältnissen inklusive Angestellte an den ausscheiden Komplementär XXXX übertragen worden. Anschließend sei mit Einbringungsvertrag vom 28.05.2024 der Teilbetrieb „Hausverwaltung“ in die neu gegründete XXXX eingebracht worden; dieser Vorgang stelle zivilrechtlich eine Sacheinlage in eine Kapitalgesellschaft dar. An der XXXX seien je zu Hälfte XXXX sowie der vormals in der Beschwerdeführerin bereits als Leiter der Hausverwaltung beschäftigte XXXX beteiligt. Die XXXX sei zum Zwecke der Fortführung der Hausverwaltung gegründet worden und habe sämtliche Hausverwaltungsverträge und Vollmachten übernommen. Daher seien keine personenbezogenen Daten der mitbeteiligten Partei weitergegeben worden, die nicht schon bisher von der Hausverwaltung mit deren Zustimmung verwendet und verarbeitet worden seien. Außerdem seien vor Abschluss der Übertragungsvereinbarungen und vor der firmenmäßigen Durchführung der Teilung und Einbringung des Teilbetriebes „Hausverwaltung“ in die XXXX in der Erfüllung des § 38 UGB von der Hausverwaltung sämtliche Vertragsparteien vom Übergang des Rechtsverhältnisses verständigt worden und es habe keiner der Wohnungseigentümer dem Übergang der Hausverwaltung widersprochen. Die Bestimmungen der §§ 38 ff UGB würden vorsehen, dass alle unternehmensbezogenen Rechtsverhältnisse automatisch übernommen werden würden, wobei die Vertragspartner zu verständigen seien, die auch ein Widerspruchsrecht hätten.Wie bereits vorgebracht, sei mit Realteilungsvertrag vom 28.05.2024 rückwirkend mit wirtschaftlichem Stichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ mit sämtlichen Rechten und Pflichten, Rechtsverhältnissen inklusive Angestellte an den ausscheiden Komplementär römisch 40 übertragen worden. Anschließend sei mit Einbringungsvertrag vom 28.05.2024 der Teilbetrieb „Hausverwaltung“ in die neu gegründete römisch 40 eingebracht worden; dieser Vorgang stelle zivilrechtlich eine Sacheinlage in eine Kapitalgesellschaft dar. An der römisch 40 seien je zu Hälfte römisch 40 sowie der vormals in der Beschwerdeführerin bereits als Leiter der Hausverwaltung beschäftigte römisch 40 beteiligt. Die römisch 40 sei zum Zwecke der Fortführung der Hausverwaltung gegründet worden und habe sämtliche Hausverwaltungsverträge und Vollmachten übernommen. Daher seien keine personenbezogenen Daten der mitbeteiligten Partei weitergegeben worden, die nicht schon bisher von der Hausverwaltung mit deren Zustimmung verwendet und verarbeitet worden seien. Außerdem seien vor Abschluss der Übertragungsvereinbarungen und vor der firmenmäßigen Durchführung der Teilung und Einbringung des Teilbetriebes „Hausverwaltung“ in die römisch 40 in der Erfüllung des Paragraph 38, UGB von der Hausverwaltung sämtliche Vertragsparteien vom Übergang des Rechtsverhältnisses verständigt worden und es habe keiner der Wohnungseigentümer dem Übergang der Hausverwaltung widersprochen. Die Bestimmungen der Paragraphen 38, ff UGB würden vorsehen, dass alle unternehmensbezogenen Rechtsverhältnisse automatisch übernommen werden würden, wobei die Vertragspartner zu verständigen seien, die auch ein Widerspruchsrecht hätten.
7. Mit Schreiben der Datenschutzbehörde vom 13.10.2025 (hg eingelangt am 14.10.2025) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde im Wesentlichen auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die Beschwerdeführerin ist eine Kommanditgesellschaft und war als Hausverwalterin der Liegenschaft in der XXXX , tätig. Mit Realteilungsvertrag vom 28.05.2024 hat sie mit (rückwirkendem) Wirksamkeitsstichtag 31.08.2023 ihren Teilbetrieb „Hausverwaltung“ an den im Zuge des Realteilungsvertrags ausscheidenden Komplementär XXXX übertragen. 1.1. Die Beschwerdeführerin ist eine Kommanditgesellschaft und war als Hausverwalterin der Liegenschaft in der römisch 40 , tätig. Mit Realteilungsvertrag vom 28.05.2024 hat sie mit (rückwirkendem) Wirksamkeitsstichtag 31.08.2023 ihren Teilbetrieb „Hausverwaltung“ an den im Zuge des Realteilungsvertrags ausscheidenden Komplementär römisch 40 übertragen.
1.2. Bei der mitbeteiligten Partei handelt es sich um die Eigentümerin der Wohnung in der XXXX Wien. 1.2. Bei der mitbeteiligten Partei handelt es sich um die Eigentümerin der Wohnung in der römisch 40 Wien.
1.3. Die mitbeteiligte Partei hat am 29.11.2023 und 12.01.2024 per E-Mail eine Einladung bezüglich der Vorbereitung einer Eigentümerversammlung sowie eine Einladung zur Eigentümerversammlung betreffend die Liegenschaft XXXX , mit der Signatur „ XXXX “ erhalten. 1.3. Die mitbeteiligte Partei hat am 29.11.2023 und 12.01.2024 per E-Mail eine Einladung bezüglich der Vorbereitung einer Eigentümerversammlung sowie eine Einladung zur Eigentümerversammlung betreffend die Liegenschaft römisch 40 , mit der Signatur „ römisch 40 “ erhalten.
1.4. Am 30.04.2024 hat die mitbeteiligte Partei von der XXXX eine weitere E-Mail erhalten. Bei diesem Schreiben wurde das Briefpapier der Beschwerdeführerin mit der Aufschrift „ XXXX “ verwendet und in der Fußzeile XXXX als Gesellschafter der Beschwerdeführerin angeführt. 1.4. Am 30.04.2024 hat die mitbeteiligte Partei von der römisch 40 eine weitere E-Mail erhalten. Bei diesem Schreiben wurde das Briefpapier der Beschwerdeführerin mit der Aufschrift „ römisch 40 “ verwendet und in der Fußzeile römisch 40 als Gesellschafter der Beschwerdeführerin angeführt.
1.5. XXXX ist in seiner Funktion als Komplementär der Beschwerdeführerin am 01.06.2024 aus dem Firmenbuch gelöscht worden. 1.5. römisch 40 ist in seiner Funktion als Komplementär der Beschwerdeführerin am 01.06.2024 aus dem Firmenbuch gelöscht worden.
1.6. Die mitbeteiligte Partei hat der Beschwerdeführerin keine Einwilligung erteilt, ihre personenbezogenen Daten wie Name, Meldedaten, Anschrift, Telefonnummer, E-Mail-Adresse und diverser wohnungsrelevanten Verträge an die XXXX zu übermitteln.1.6. Die mitbeteiligte Partei hat der Beschwerdeführerin keine Einwilligung erteilt, ihre personenbezogenen Daten wie Name, Meldedaten, Anschrift, Telefonnummer, E-Mail-Adresse und diverser wohnungsrelevanten Verträge an die römisch 40 zu übermitteln.
1.7. Eine Mitteilung gemäß § 38 UGB ist im gegenständlichen Fall nicht erfolgt. Vielmehr hat der Erwerber nach UGB bereits am 29.11.2023 – sechs Monate vor dem rückwirkenden Realteilungsvertrag – ohne jede Erläuterung oder vorangehende Information eine Hausversammlung per E-Mail angekündigt.1.7. Eine Mitteilung gemäß Paragraph 38, UGB ist im gegenständlichen Fall nicht erfolgt. Vielmehr hat der Erwerber nach UGB bereits am 29.11.2023 – sechs Monate vor dem rückwirkenden Realteilungsvertrag – ohne jede Erläuterung oder vorangehende Information eine Hausversammlung per E-Mail angekündigt.
2. Beweiswürdigung:
Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt.
2.1. Die Feststellungen zur Beschwerdeführerin gründen sich aus den übereinstimmenden Angaben der Beschwerdeführerin und der mitbeteiligten Partei. Dass die Beschwerdeführerin ihren Teilbetrieb „Hausverwaltung“ mit Realteilungsvertrag vom 28.05.2024 an den im Zuge des Realteilungsvertrags ausscheidenden Komplementär XXXX übertragen hat, folgt aus den glaubhaften Angaben der Beschwerdeführerin in der Stellungnahme vom 10.02.2025 und wurde von der mitbeteiligten Partei auch nicht bestritten. 2.1. Die Feststellungen zur Beschwerdeführerin gründen sich aus den übereinstimmenden Angaben der Beschwerdeführerin und der mitbeteiligten Partei. Dass die Beschwerdeführerin ihren Teilbetrieb „Hausverwaltung“ mit Realteilungsvertrag vom 28.05.2024 an den im Zuge des Realteilungsvertrags ausscheidenden Komplementär römisch 40 übertragen hat, folgt aus den glaubhaften Angaben der Beschwerdeführerin in der Stellungnahme vom 10.02.2025 und wurde von der mitbeteiligten Partei auch nicht bestritten.
2.2. Die Feststellungen zur mitbeteiligten Partei folgen aus dem Verwaltungsakt und sind unstrittig.
2.3. Dass die mitbeteiligte Partei am 29.11.2023, 12.01.2024 sowie am 30.04.2024 E-Mails von der XXXX erhalten hat, wobei bei der letzten E-Mail das Briefpapier der Beschwerdeführerin mit der Aufschrift „ XXXX “ verwendet und in der Fußzeile XXXX als Gesellschafter der Beschwerdeführerin angeführt wurde, ergibt sich eindeutig aus den mit der Datenschutzbeschwerde sowie der Stellungnahme der mitbeteiligten Partei vom 28.03.2025 im Anhang übermittelten diesbezüglichen E-Mails. Die Beschwerdeführerin hat das auch nie bestritten.2.3. Dass die mitbeteiligte Partei am 29.11.2023, 12.01.2024 sowie am 30.04.2024 E-Mails von der römisch 40 erhalten hat, wobei bei der letzten E-Mail das Briefpapier der Beschwerdeführerin mit der Aufschrift „ römisch 40 “ verwendet und in der Fußzeile römisch 40 als Gesellschafter der Beschwerdeführerin angeführt wurde, ergibt sich eindeutig aus den mit der Datenschutzbeschwerde sowie der Stellungnahme der mitbeteiligten Partei vom 28.03.2025 im Anhang übermittelten diesbezüglichen E-Mails. Die Beschwerdeführerin hat das auch nie bestritten.
2.4. Die Feststellung, dass XXXX am 01.06.2024 in seiner Funktion als Komplementär der Beschwerdeführerin aus dem Firmenbuch gelöscht wurde, ergibt sich aus dem Verwaltungsakt.2.4. Die Feststellung, dass römisch 40 am 01.06.2024 in seiner Funktion als Komplementär der Beschwerdeführerin aus dem Firmenbuch gelöscht wurde, ergibt sich aus dem Verwaltungsakt.
2.5. Dass die mitbeteiligte Partei der Beschwerdeführerin keine Einwilligung zur Übertragung ihrer personenbezogenen Daten an die XXXX erteilt hat, ergibt sich aus den unbestrittenen Angaben der mitbeteiligten Partei in der Stellungnahme vom 28.03.2025, insbesondere aber auch aus der Behauptung der Beschwerdeführerin in der Beschwerde, dass die mitbeteiligte Partei, die persönlich in der Wohnungseigentümerversammlung am 22.02.2024 teilgenommen habe, der Übertragung der Hausverwaltung nicht widersprochen habe. Hinzu kommt, die Tatsache, dass die XXXX erst nach Versand von den oben erwähnten E-Mails an die Wohnungseigentümer – und somit nach der Übermittlung der gegenständlichen personenbezogenen Daten durch die Beschwerdeführerin an die XXXX – die Wohnungseigentümer um Ausstellung von entsprechenden Vollmachten zur Hausverwaltung ersucht hat.2.5. Dass die mitbeteiligte Partei der Beschwerdeführerin keine Einwilligung zur Übertragung ihrer personenbezogenen Daten an die römisch 40 erteilt hat, ergibt sich aus den unbestrittenen Angaben der mitbeteiligten Partei in der Stellungnahme vom 28.03.2025, insbesondere aber auch aus der Behauptung der Beschwerdeführerin in der Beschwerde, dass die mitbeteiligte Partei, die persönlich in der Wohnungseigentümerversammlung am 22.02.2024 teilgenommen habe, der Übertragung der Hausverwaltung nicht widersprochen habe. Hinzu kommt, die Tatsache, dass die römisch 40 erst nach Versand von den oben erwähnten E-Mails an die Wohnungseigentümer – und somit nach der Übermittlung der gegenständlichen personenbezogenen Daten durch die Beschwerdeführerin an die römisch 40 – die Wohnungseigentümer um Ausstellung von entsprechenden Vollmachten zur Hausverwaltung ersucht hat.
1.7. Die Feststellungen zur nicht erfolgten Information gemäß § 38 UGB ergeben sich aus der unstrittigen Aktenlage. 1.7. Die Feststellungen zur nicht erfolgten Information gemäß Paragraph 38, UGB ergeben sich aus der unstrittigen Aktenlage.
3. Rechtliche Beurteilung:
3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. 3.1. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.Gemäß Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 59, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Zu A)
3.3. Die maßgeblichen Bestimmungen der DSGVO:
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
3.-6. (…)
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8.-26. (…)
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) – (4) (…)
3.4 Die maßgeblichen Bestimmungen des DSG:
Artikel 1
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. (2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(…)
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.
(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:(10) In die Entscheidungsfrist gemäß Paragraph 73, AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.2. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO.
3.5. § 38 UGB lautet (Hervorhebungen durch das Gericht):3.5. Paragraph 38, UGB lautet (Hervorhebungen durch das Gericht):
Übernahme der Rechtsverhältnisse des Veräußerers durch den Erwerber, Haftung von Veräußerer und Erwerber
§ 38 (1) Wer ein unter Lebenden erworbenes Unternehmen fortführt, übernimmt, sofern nichts anderes vereinbart ist, zum Zeitpunkt des Unternehmensübergangs die unternehmensbezogenen, nicht höchstpersönlichen Rechtsverhältnisse des Veräußerers mit den bis dahin begründeten Rechten und Verbindlichkeiten. Für unternehmensbezogene Verbindlichkeiten des Veräußerers bestellte Sicherheiten bleiben für diese Verbindlichkeiten aufrecht. Der Veräußerer haftet nach Maßgabe des § 39 für die unternehmensbezogenen Verbindlichkeiten fort.Paragraph 38, (1) Wer ein unter Lebenden erworbenes Unternehmen fortführt, übernimmt, sofern nichts anderes vereinbart ist, zum Zeitpunkt des Unternehmensübergangs die unternehmensbezogenen, nicht höchstpersönlichen Rechtsverhältnisse des Veräußerers mit den bis dahin begründeten Rechten und Verbindlichkeiten. Für unternehmensbezogene Verbindlichkeiten des Veräußerers bestellte Sicherheiten bleiben für diese Verbindlichkeiten aufrecht. Der Veräußerer haftet nach Maßgabe des Paragraph 39, für die unternehmensbezogenen Verbindlichkeiten fort.
(2) Der Dritte kann der Übernahme seines Vertragsverhältnisses binnen dreier Monate nach Mitteilung davon sowohl gegenüber dem Veräußerer als auch gegenüber dem Erwerber widersprechen; in der Mitteilung ist er auf das Widerspruchsrecht hinzuweisen. Dies gilt auch für den Besteller einer für unternehmensbezogene Verbindlichkeiten des Veräußerers gewährten Sicherheit. Im Falle eines wirksamen Widerspruchs besteht das Vertragsverhältnis mit dem Veräußerer fort.
(3) Wurde dem Dritten nicht nachweislich mitgeteilt, ob das Vertragsverhältnis vom Erwerber übernommen wurde, oder kann dieser Übernahme noch widersprochen werden, so kann er sowohl gegenüber dem Veräußerer als auch gegenüber dem Erwerber auf das Vertragsverhältnis bezogene Erklärungen abgeben und seine Verbindlichkeiten erfüllen. Dies gilt auch für den Besteller einer für unternehmensbezogene Verbindlichkeiten des Veräußerers gewährten Sicherheit.
(4) Werden unternehmensbezogene Rechtsverhältnisse des Veräußerers vom Erwerber nicht übernommen, so haftet er dennoch für die damit verbundenen Verbindlichkeiten. Dies gilt auch, wenn der Erwerber nur einzelne Verbindlichkeiten des Veräußerers nicht übernimmt. Eine davon abweichende Vereinbarung über die Haftung ist einem Dritten gegenüber nur wirksam, wenn sie beim Unternehmensübergang in das Firmenbuch eingetragen, auf verkehrsübliche Weise bekannt gemacht oder dem Dritten vom Veräußerer oder vom Erwerber mitgeteilt wurde.
(5) Wird ein Unternehmen im Weg eines Zwangsvollstreckungsverfahrens, eines Insolvenzverfahrens oder einer Überwachung des Schuldners durch einen Treuhänder der Gläubiger erworben, so finden diese Bestimmungen keine Anwendung.
(5a) Nicht als Erwerb eines Unternehmens im Sinn des Abs. 1 gilt die Fortführung im Weg der Pacht, der Leihe, der Fruchtnießung, des Rechtes des Gebrauchs und der Beendigung dieser Verträge. Auch in diesen Fällen kann jedoch ein Dritter oder ein Sicherheitenbesteller gegenüber dem neuen Unternehmer Erklärungen in Bezug auf ein zum früheren Unternehmer bestehendes, unternehmensbezogenes und nicht höchstpersönliches Vertragsverhältnis abgeben und seine Verbindlichkeiten erfüllen, solange ihm die Fortführung des Unternehmens im Weg der Pacht, der Leihe, der Fruchtnießung, des Rechtes des Gebrauchs oder der Beendigung dieser Verträge nicht bekannt ist.(5a) Nicht als Erwerb eines Unternehmens im Sinn des Absatz eins, gilt die Fortführung im Weg der Pacht, der Leihe, der Fruchtnießung, des Rechtes des Gebrauchs und der Beendigung dieser Verträge. Auch in diesen Fällen kann jedoch ein Dritter oder ein Sicherheitenbesteller gegenüber dem neuen Unternehmer Erklärungen in Bezug auf ein zum früheren Unternehmer bestehendes, unternehmensbezogenes und nicht höchstpersönliches Vertragsverhältnis abgeben und seine Verbindlichkeiten erfüllen, solange ihm die Fortführung des Unternehmens im Weg der Pacht, der Leihe, der Fruchtnießung, des Rechtes des Gebrauchs oder der Beendigung dieser Verträge nicht bekannt ist.
(6) Eine durch andere Bestimmungen begründete Haftung oder Übernahme von Rechtsverhältnissen durch den Erwerber bleibt unberührt.
3.6. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt als auch manuell verarbeitete Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.3.6. Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt als auch manuell verarbeitete Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.
Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere den datenschutzrechtlichen Grundsatz der Rechtmäßigkeit zu berücksichtigen.Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere den datenschutzrechtlichen Grundsatz der Rechtmäßigkeit zu berücksichtigen.
Nach § 1 Abs. 1 DSG ist das Bestehen eines schutzwürdigen Geheimhaltungsinteresses ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf Betroffene einem Geheimhaltungsanspruch nicht zugänglich sind.Nach Paragraph eins, Absatz eins, DSG ist das Bestehen eines schutzwürdigen Geheimhaltungsinteresses ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf Betroffene einem Geheimhaltungsanspruch nicht zugänglich sind.
Das Grundrecht auf Datenschutz gilt auch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Dabei können sich Beschränkungen dieses Anspruchs aus Abs. 2 leg.cit., aber nicht (unmittelbar) aus Art. 6 Abs. 1 DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls heranzuziehen. Es bedarf für die Verarbeitung auch dieser Daten einer entsprechenden Rechtfertigung iSd § 1 Abs. 2 DSG bzw. Art. 6 Abs. 1 DSGVO (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 Rz 39, 236 [Stand 1.2.2022, rdb.at]).Das Grundrecht auf Datenschutz gilt auch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind. Dabei können sich Beschränkungen dieses Anspruchs aus Absatz 2, leg.cit., aber nicht (unmittelbar) aus Artikel 6, Absatz eins, DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls heranzuziehen. Es bedarf für die Verarbeitung auch dieser Daten einer entsprechenden Rechtfertigung iSd Paragraph eins, Absatz 2, DSG bzw. Artikel 6, Absatz eins, DSGVO vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph eins, Rz 39, 236 [Stand 1.2.2022, rdb.at]).
Festzuhalten ist, dass die mitbeteiligte Partei in ihrer Datenschutzbeschwerde vom 27.11.2024 eine Verletzung im Recht auf Geheimhaltung durch die Beschwerdeführerin geltend gemacht hat. Dabei brachte sie vor, dass die Beschwerdeführerin, die einst für die Hausverwaltung an der Liegenschaft in der XXXX , zuständig gewesen sei, rechtswidrig personenbezogene Daten der mitbeteiligten Partei an die XXXX weitergegeben habe, denn es habe sich im Zuge einer Eigentümerversammlung herausgestellt, dass die XXXX nicht die Rechtsnachfolgerin der Beschwerdeführerin, sondern eine eigenständige Firma sei. Festzuhalten ist, dass die mitbeteiligte Partei in ihrer Datenschutzbeschwerde vom 27.11.2024 eine Verletzung im Recht auf Geheimhaltung durch die Beschwerdeführerin geltend gemacht hat. Dabei brachte sie vor, dass die Beschwerdeführerin, die einst für die Hausverwaltung an der Liegenschaft in der römisch 40 , zuständig gewesen sei, rechtswidrig personenbezogene Daten der mitbeteiligten Partei an die römisch 40 weitergegeben habe, denn es habe sich im Zuge einer Eigentümerversammlung herausgestellt, dass die römisch 40 nicht die Rechtsnachfolgerin der Beschwerdeführerin, sondern eine eigenständige Firma sei.
Die Beschwerdeführerin bestritt insbesondere ihre Verantwortlicheneigenschaft iSd Art. 4 Z 7 DSGVO mit der Begründung, dass durch einen am 28.05.2024 abgeschlossenen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ rückwirkend (somit ab September 2023) von ihr an den ausscheidenden Gesellschafter XXXX allein und vollständig übertragen worden sei. In diesem Zusammenhang habe sie die mitbeteiligte Partei mit Schreiben vom 27.11.2024 auch darüber informiert, dass sie nicht mehr die Hausverwalterin des betreffenden Objektes sei.Die Beschwerdeführerin bestritt insbesondere ihre Verantwortlicheneigenschaft iSd Artikel 4, Ziffer 7, DSGVO mit der Begründung, dass durch einen am 28.05.2024 abgeschlossenen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 der Teilbetrieb „Hausverwaltung“ rückwirkend (somit ab September 2023) von ihr an den ausscheidenden Gesellschafter römisch 40 allein und vollständig übertragen worden sei. In diesem Zusammenhang habe sie die mitbeteiligte Partei mit Schreiben vom 27.11.2024 auch darüber informiert, dass sie nicht mehr die Hausverwalterin des betreffenden Objektes sei.
Der belangten Behörde ist zu folgen, wenn sie im angefochtenen Bescheid zusammengefasst ausführt, dass die Beschwerdeführerin sehr wohl für die Datenverarbeitung verantwortlich gewesen sei, weil XXXX bis 31.05.2024 – und somit zum Zeitpunkt der behaupteten Weitergabe der personenbezogenen Daten im oder vor November 2023 – im Firmenbuch als Komplementär der Beschwerdeführerin eingetragen gewesen sei. Der belangten Behörde ist zu folgen, wenn sie im angefochtenen Bescheid zusammengefasst ausführt, dass die Beschwerdeführerin sehr wohl für die Datenverarbeitung verantwortlich gewesen sei, weil römisch 40 bis 31.05.2024 – und somit zum Zeitpunkt der behaupteten Weitergabe der personenbezogenen Daten im oder vor November 2023 – im Firmenbuch als Komplementär der Beschwerdeführerin eingetragen gewesen sei.
Zunächst steht fest, dass es sich bei Namen, Meldedaten, Anschrift, Telefonnummer, E-Mailadresse und diverse anderen wohnungsrelevanten Verträge um personenbezogene Daten iSd Art. 4 Z 1 DSGVO handelt. Der Begriff der personenbezogenen Daten beschränkt sich entsprechend der Judikatur des EuGH nicht lediglich auf sensible oder private Informationen, sondern sind potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur umfasst. Als Voraussetzung für eine derart extensive Interpretation der personenbezogenen Daten hält der EuGH fest, dass es sich um Informationen über die in Rede stehende Person handeln muss. Diese Voraussetzung ist dann erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH vom 20.12.2017, C-434/16, Peter Nowak gegen Data Protection Commissioner, Rn 34 f), was vorliegend der Fall ist, sodass hinsichtlich dieser personenbezogenen Daten daher auch grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse der Beschwerdeführerin gemäß § 1 Abs. 1 DSG besteht (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 1 [Stand 01.01.2020], Rn 16).Zunächst steht fest, dass es sich bei Namen, Meldedaten, Anschrift, Telefonnummer, E-Mailadresse und diverse anderen wohnungsrelevanten Verträge um personenbezogene Daten iSd Artikel 4, Ziffer eins, DSGVO handelt. Der Begriff der personenbezogenen Daten beschränkt sich entsprechend der Judikatur des EuGH nicht lediglich auf sensible oder private Informationen, sondern sind potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur umfasst. Als Voraussetzung für eine derart extensive Interpretation der personenbezogenen Daten hält der EuGH fest, dass es sich um Informationen über die in Rede stehende Person handeln muss. Diese Voraussetzung ist dann erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH vom 20.12.2017, C-434/16, Peter Nowak gegen Data Protection Commissioner, Rn 34 f), was vorliegend der Fall ist, sodass hinsichtlich dieser personenbezogenen Daten daher auch grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse der Beschwerdeführerin gemäß Paragraph eins, Absatz eins, DSG besteht vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) Paragraph eins, [Stand 01.01.2020], Rn 16).
Strittig ist hingegen, dass das Handeln des XXXX der Beschwerdeführerin zuzurechnen und die Beschwerdeführerin somit für die Datenverarbeitung als Verantwortlicher iSd Art. 4 Z 7 DSGVO zu qualifizieren ist. Strittig ist hingegen, dass das Handeln des römisch 40 der Beschwerdeführerin zuzurechnen und die Beschwerdeführerin somit für die Datenverarbeitung als Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist.
Unter juristische Person können in Österreich jedenfalls alle juristischen Personen des privaten Rechts, wie AG, GmbH, Verein, Stiftung etc. und des öffentlichen Rechts, wie Körperschaften des öffentlichen Rechts, subsumiert werden. Daneben ist der Legaldefinition des Begriffs Unternehmen in Art. 4 Z 18 zu entnehmen, dass es bei juristischen Personen nicht auf eine bestimmte Rechtsform ankommen kann. Neben den klassischen juristischen Personen sind auch die in Österreich gesetzlich vorgesehenen eingetragenen Personengesellschaften (OG, KG), die nach österr Verständnis nur als eine Art juristischer Personen erachtet werden, da sie ebenso selbst Träger von Rechten und Pflichten sein können und mit Eintragung im Firmenbuch als Rechtsperson entstehen, von diesem Begriffsverständnis umfasst (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 8 [(Stand 1.12.2020, rdb.at]).Unter juristische Person können in Österreich jedenfalls alle juristischen Personen des privaten Rechts, wie AG, GmbH, Verein, Stiftung etc. und des öffentlichen Rechts, wie Körperschaften des öffentlichen Rechts, subsumiert werden. Daneben ist der Legaldefinition des Begriffs Unternehmen in Artikel 4, Ziffer 18, zu entnehmen, dass es bei juristischen Personen nicht auf eine bestimmte Rechtsform ankommen kann. Neben den klassischen juristischen Personen sind auch die in Österreich gesetzlich vorgesehenen eingetragenen Personengesellschaften (OG, KG), die nach österr Verständnis nur als eine Art juristischer Personen erachtet werden, da sie ebenso selbst Träger von Rechten und Pflichten sein können und mit Eintragung im Firmenbuch als Rechtsperson entstehen, von diesem Begriffsverständnis umfasst vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 8 [(Stand 1.12.2020, rdb.at]).
Nun handeln auch juristische Personen und sonstige Stellen durch natürliche Personen als deren Organe. Bei der Zuweisung der Verantwortung ist bevorzugt das jeweilige Unternehmen oder die jeweilige Stelle als Verantwortlicher zu betrachten und nicht die bestimmte (für die Organisation handelnde) Person innerhalb des Unternehmens oder der Stelle. Das Unternehmen oder die Stelle trägt letztlich die Verantwortung für die Datenverarbeitung (Guidelines 07/2020 V 1.0, Rz 18). (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 10 [(Stand 1.12.2020, rdb.at]).Nun handeln auch juristische Personen und sonstige Stellen durch natürliche Personen als deren Organe. Bei der Zuweisung der Verantwortung ist bevorzugt das jeweilige Unternehmen oder die jeweilige Stelle als Verantwortlicher zu betrachten und nicht die bestimmte (für die Organisation handelnde) Person innerhalb des Unternehmens oder der Stelle. Das Unternehmen oder die Stelle trägt letztlich die Verantwortung für die Datenverarbeitung (Guidelines 07 aus 2020, römisch fünf 1.0, Rz 18). vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 10 [(Stand 1.12.2020, rdb.at]).
Nach Ansicht des EDSA stellt das Tatbestandselement »Zwecke und Mittel« der Verarbeitung den wesentlichen Teil des Konzeptes dar, der bestimmen soll, ob eine Stelle als Verantwortlicher zu qualifizieren ist. Beim Zweck der Datenverarbeitung wird dabei auf das erwartete Ergebnis abgestellt, das beabsichtigt ist oder die geplanten Aktionen leitet (das Warum). Mit den Mitteln ist die Art und Weise gemeint, wie das Ergebnis oder Ziel erreicht wird (das Wie). Bei einer konkreten Verarbeitung ist der Verantwortliche der Akteur, der bestimmt hat, warum die Verarbeitung stattfindet (dh zu welchem Zweck; oder wozu) und wie dieses Ziel erreicht werden soll (dh welche Mittel zur Erreichung des Ziels eingesetzt werden sollen) (Guidelines 07/2020 V 1.0, Rz 30 f) (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 19 [(Stand 1.12.2020, rdb.at]).Nach Ansicht des EDSA stellt das Tatbestandselement »Zwecke und Mittel« der Verarbeitung den wesentlichen Teil des Konzeptes dar, der bestimmen soll, ob eine Stelle als Verantwortlicher zu qualifizieren ist. Beim Zweck der Datenverarbeitung wird dabei auf das erwartete Ergebnis abgestellt, das beabsichtigt ist oder die geplanten Aktionen leitet (das Warum). Mit den Mitteln ist die Art und Weise gemeint, wie das Ergebnis oder Ziel erreicht wird (das Wie). Bei einer konkreten Verarbeitung ist der Verantwortliche der Akteur, der bestimmt hat, warum die Verarbeitung stattfindet (dh zu welchem Zweck; oder wozu) und wie dieses Ziel erreicht werden soll (dh welche Mittel zur Erreichung des Ziels eingesetzt werden sollen) (Guidelines 07 aus 2020, römisch fünf 1.0, Rz 30 f) vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 19 [(Stand 1.12.2020, rdb.at]).
Der Verantwortliche muss sowohl über den Zweck als auch über die Mittel der Verarbeitung entscheiden. Infolgedessen kann sich der Verantwortliche nicht damit begnügen, nur den Zweck zu bestimmen. Er muss auch Entscheidungen über die Mittel der Verarbeitung treffen. Umgekehrt kann die als Auftragsverarbeiter handelnde Stelle niemals den Zweck der Verarbeitung bestimmen. Diese – im Vergleich zu WP 169 – nunmehr eindeutige Aussage in Rz 34 der Guidelines 07/2020 V 1.0 deckt sich mit der Rsp des EuGH zu den Anforderungen an die Qualifikation als Verantwortlicher (zB EuGH 29.07.2019, C-40/17 [Fashion ID], siehe dazu Art 36, Rz 11) (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 20 [(Stand 1.12.2020, rdb.at]).Der Verantwortliche muss sowohl über den Zweck als auch über die Mittel der Verarbeitung entscheiden. Infolgedessen kann sich der Verantwortliche nicht damit begnügen, nur den Zweck zu bestimmen. Er muss auch Entscheidungen über die Mittel der Verarbeitung treffen. Umgekehrt kann die als Auftragsverarbeiter handelnde Stelle niemals den Zweck der Verarbeitung bestimmen. Diese – im Vergleich zu WP 169 – nunmehr eindeutige Aussage in Rz 34 der Guidelines 07 aus 2020, römisch fünf 1.0 deckt sich mit der Rsp des EuGH zu den Anforderungen an die Qualifikation als Verantwortlicher (zB EuGH 29.07.2019, C-40/17 [Fashion ID], siehe dazu Artikel 36,, Rz 11) vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 20 [(Stand 1.12.2020, rdb.at]).
Die Beschwerdeführerin brachte selbst vor, dass dem aus der KG ausgeschiedenen Komplementär XXXX die gegenständlichen personenbezogenen Daten aus seiner Funktion bei der Beschwerdeführerin bekannt gewesen seien, woraus folgt, dass dieser während seiner Tätigkeit bei der Beschwerdeführerin auch für den Teilbetrieb „Hausverwaltung“ zuständig war. Aus diesem Grund war festzustellen, dass XXXX zum Zeitpunkt der behaupteten Weitergabe der personenbezogenen Daten der mitbeteiligten Partei als Komplementär bei der Beschwerdeführerin im Firmenbuch eingetragen und für die Beschwerdeführerin im Teilbetrieb „Hausverwaltung“ tätig war. Hinweise darauf, dass er die ihm erteilte Befugnis unrechtmäßig überschritten hat, sind nicht hervorgekommen, weswegen die Beschwerdeführerin für die Datenverarbeitung grundsätzlich als alleinige Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren ist. Die Beschwerdeführerin brachte selbst vor, dass dem aus der KG ausgeschiedenen Komplementär römisch 40 die gegenständlichen personenbezogenen Daten aus seiner Funktion bei der Beschwerdeführerin bekannt gewesen seien, woraus folgt, dass dieser während seiner Tätigkeit bei der Beschwerdeführerin auch für den Teilbetrieb „Hausverwaltung“ zuständig war. Aus diesem Grund war festzustellen, dass römisch 40 zum Zeitpunkt der behaupteten Weitergabe der personenbezogenen Daten der mitbeteiligten Partei als Komplementär bei der Beschwerdeführerin im Firmenbuch eingetragen und für die Beschwerdeführerin im Teilbetrieb „Hausverwaltung“ tätig war. Hinweise darauf, dass er die ihm erteilte Befugnis unrechtmäßig überschritten hat, sind nicht hervorgekommen, weswegen die Beschwerdeführerin für die Datenverarbeitung grundsätzlich als alleinige Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist.
In einem nächsten Schritt ist nun zu prüfen, ob die von der Beschwerdeführerin behauptete rückwirkende Übertragung der Verantwortlicheneigenschaft iSd Art. 4 Z 7 DSGVO an XXXX durch den Realteilungsvertrag vom 28.05.2024 mit Wirksamkeitsstichtag 31.08.2023 in Betracht kommt. In einem nächsten Schritt ist nun zu prüfen, ob die von der Beschwerdeführerin behauptete rückwirkende Übertragung der Verantwortlicheneigenschaft iSd Artikel 4, Ziffer 7, DSGVO an römisch 40 durch den Realteilungsvertrag vom 28.05.2024 mit Wirksamkeitsstichtag 31.08.2023 in Betracht kommt.
Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C- 139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C- 139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48).
Gemäß Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Gemäß Artikel 5, Absatz eins, Litera a, DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).
Eine Verarbeitung personenbezogener Daten ist unzulässig, wenn die in Art. 5 Abs. 1 DSGVO genannten Grundsätze der Verarbeitung der Daten nicht eingehalten werden. Gemäß lit. a der zitierten Bestimmung müssen personenbezogene Daten u.a. nach Treu und Glauben (2. Fall) und in einer für die betroffene Person nachvollziehbaren Weise (3. Fall) verarbeitet werden (Grundsätze der „Verarbeitung nach Treu und Glauben“ und „Transparenz“; vgl. EuGH 04.05.2023, C-60/22, Rn 57, 52 mwN und VwGH 17.05.2023, Ro 2021/13/0023 Rn 39).Eine Verarbeitung personenbezogener Daten ist unzulässig, wenn die in Artikel 5, Absatz eins, DSGVO genannten Grundsätze der Verarbeitung der Daten nicht eingehalten werden. Gemäß Litera a, der zitierten Bestimmung müssen personenbezogene Daten u.a. nach Treu und Glauben (2. Fall) und in einer für die betroffene Person nachvollziehbaren Weise (3. Fall) verarbeitet werden (Grundsätze der „Verarbeitung nach Treu und Glauben“ und „Transparenz“; vergleiche EuGH 04.05.2023, C-60/22, Rn 57, 52 mwN und VwGH 17.05.2023, Ro 2021/13/0023 Rn 39).
Eine Verarbeitung nach Treu und Glauben muss innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt (vgl. VwGH 17.05.2023, Ro 2021/13/0023 Rn 39).Eine Verarbeitung nach Treu und Glauben muss innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt vergleiche VwGH 17.05.2023, Ro 2021/13/0023 Rn 39).
Die Bedeutung des Begriffs „Treu und Glauben“ in der DSGVO ist nicht nur autonom, sondern auch DSGVO-spezifisch auszulegen, wie insb auch ein Blick auf die englische Sprachfassung („fairly“) zeigt. Treu und Glauben ist also iSv Fairness zu interpretieren. Wolff spricht von einer Mäßigungsklausel und von Vorhersehbarkeit. In ErwGr 47 S 1 ist die Rede von den „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“. Eine Verarbeitung nach Treu und Glauben muss somit innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt. Somit besteht wiederum ein enger Zusammenhang zum Grundsatz der Transparenz. Privatautonomie und Erwerbsfreiheit können dabei Einschränkungen erfahren, wobei sich die Grenzen aus den Risiken für Betroffene ergeben. Laut DSB kann es gegen den Grundsatz der Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 lit. a verstoßen, wenn ein Verantwortlicher die partielle Löschung gewisser Informationen verweigert und überschießend sämtliche personenbezogene Daten löscht; nach dem VwGH aber nur unter der Voraussetzung, dass eine rechtliche Pflicht besteht, „die um einen vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung in der Datei des Verantwortlichen zu belassen“. Ebenso wird es von der DSB als irreführend und somit als ein solcher Verstoß angesehen, wenn der Verantwortliche sich hinsichtlich der Verarbeitung auf eine – unzureichende – gesetzliche Verpflichtung zur Verarbeitung zu beruft, die Erhebung jedoch gleichzeitig von der freiwilligen Angabe durch seine Kunden abhängig macht, weil bei den Betroffenen auf diese Weise der Eindruck hervorgerufen werde, Kontrolle über die Verarbeitung ausüben zu können. Neben dem Grundsatz der Transparenz verlangt auch das Prinzip von Treu und Glauben, dass die betroffene Person entsprechend zu informieren ist – die DSGVO verwendet an mehrere Stellen die Begriffe „fair und transparent“ (u.a. s. Art. 13 Abs. 2, Art. 14 Abs. 2 und ErwGr 39 S 4 sowie ErwGr 60 S 1). Die einseitige Festlegung der zu verarbeitenden Datenkategorien im Rahmen eines Stammkundenklubs („Bonusprogramms“) und die Verweigerung einer partiellen Löschung auf Antrag des Betroffenen verletzte hingegen laut DSB den Grundsatz der Verarbeitung nach Treu und Glauben nicht, weil hier bei vollständiger Löschung keine nennenswerten Nachteile drohen (vgl. Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art. 5 DSGVO Rz 16 [Stand 1.10.2025, rdb.at]).Die Bedeutung des Begriffs „Treu und Glauben“ in der DSGVO ist nicht nur autonom, sondern auch DSGVO-spezifisch auszulegen, wie insb auch ein Blick auf die englische Sprachfassung („fairly“) zeigt. Treu und Glauben ist also iSv Fairness zu interpretieren. Wolff spricht von einer Mäßigungsklausel und von Vorhersehbarkeit. In ErwGr 47 S 1 ist die Rede von den „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“. Eine Verarbeitung nach Treu und Glauben muss somit innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt. Somit besteht wiederum ein enger Zusammenhang zum Grundsatz der Transparenz. Privatautonomie und Erwerbsfreiheit können dabei Einschränkungen erfahren, wobei sich die Grenzen aus den Risiken für Betroffene ergeben. Laut DSB kann es gegen den Grundsatz der Verarbeitung nach Treu und Glauben gemäß Artikel 5, Absatz eins, Litera a, verstoßen, wenn ein Verantwortlicher die partielle Löschung gewisser Informationen verweigert und überschießend sämtliche personenbezogene Daten löscht; nach dem VwGH aber nur unter der Voraussetzung, dass eine rechtliche Pflicht besteht, „die um einen vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung in der Datei des Verantwortlichen zu belassen“. Ebenso wird es von der DSB als irreführend und somit als ein solcher Verstoß angesehen, wenn der Verantwortliche sich hinsichtlich der Verarbeitung auf eine – unzureichende – gesetzliche Verpflichtung zur Verarbeitung zu beruft, die Erhebung jedoch gleichzeitig von der freiwilligen Angabe durch seine Kunden abhängig macht, weil bei den Betroffenen auf diese Weise der Eindruck hervorgerufen werde, Kontrolle über die Verarbeitung ausüben zu können. Neben dem Grundsatz der Transparenz verlangt auch das Prinzip von Treu und Glauben, dass die betroffene Person entsprechend zu informieren ist – die DSGVO verwendet an mehrere Stellen die Begriffe „fair und transparent“ (u.a. s. Artikel 13, Absatz 2,, Artikel 14, Absatz 2 und ErwGr 39 S 4 sowie ErwGr 60 S 1). Die einseitige Festlegung der zu verarbeitenden Datenkategorien im Rahmen eines Stammkundenklubs („Bonusprogramms“) und die Verweigerung einer partiellen Löschung auf Antrag des Betroffenen verletzte hingegen laut DSB den Grundsatz der Verarbeitung nach Treu und Glauben nicht, weil hier bei vollständiger Löschung keine nennenswerten Nachteile drohen vergleiche Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Artikel 5, DSGVO Rz 16 [Stand 1.10.2025, rdb.at]).
Der Grundsatz der Transparenz war in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch Art. 13 und 14 zur Informationspflicht sowie Art. 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte iZm der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Für Weichert ergibt sich aus dem Begriff „in nachvollziehbarer Weise“, dass es dem Betroffenen insb auch während und nach der Verarbeitung möglich sein soll, diese „Schritt für Schritt“ nachzuvollziehen (vgl. Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art. 5 DSGVO Rz 18 [Stand 1.10.2025, rdb.at]).Der Grundsatz der Transparenz war in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch Artikel 13 und 14 zur Informationspflicht sowie Artikel 12, zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte iZm der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Für Weichert ergibt sich aus dem Begriff „in nachvollziehbarer Weise“, dass es dem Betroffenen insb auch während und nach der Verarbeitung möglich sein soll, diese „Schritt für Schritt“ nachzuvollziehen vergleiche Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Artikel 5, DSGVO Rz 18 [Stand 1.10.2025, rdb.at]).
Wenn die Beschwerdeführerin im vorliegenden Fall behauptet, durch den am 28.05.2024 geschlossenen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 sei die datenschutzrechtliche Verantwortlichkeit rückwirkend auf XXXX übergegangen, wodurch dieser zum Zeitpunkt der Übermittlung der personenbezogenen Daten der mitbeteiligten Partei (bereits) alleiniger Verantwortlicher iSd Art. 4 Z 7 DSGVO gewesen sei, ist dem entgegenzuhalten, dass dies gerade den Erwägungsgründen 39 und 58 zuwiderläuft, wonach für die Betroffenen u.a. erkennbar sein muss, durch wen sie verarbeitet werden (Identität des Verantwortlichen). Wenn die Beschwerdeführerin im vorliegenden Fall behauptet, durch den am 28.05.2024 geschlossenen Realteilungsvertrag mit Wirksamkeitsstichtag 31.08.2023 sei die datenschutzrechtliche Verantwortlichkeit rückwirkend auf römisch 40 übergegangen, wodurch dieser zum Zeitpunkt der Übermittlung der personenbezogenen Daten der mitbeteiligten Partei (bereits) alleiniger Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO gewesen sei, ist dem entgegenzuhalten, dass dies gerade den Erwägungsgründen 39 und 58 zuwiderläuft, wonach für die Betroffenen u.a. erkennbar sein muss, durch wen sie verarbeitet werden (Identität des Verantwortlichen).
Insbesondere liegt im gegenständlichen Fall aber ein Verstoß gegen die Vorschriften des § 38 UGB vor: Die XXXX ist bereits sechs Monate vor der rückwirkenden Realteilung gegenüber der mitbeteiligten Partei als Rechtsnachfolgerin ihres Vertragspartners aufgetreten. Es ist nach der allgemeinen Lebenserfahrung auszuschließen, dass die Gründung der XXXX und die Mitteilung betreffend die Durchführung einer Hausversammlung am selben Tag (29.11.2023) erfolgt sind. Gründe, warum die Fristen des § 38 Abs. 2 und 3 UGB nicht eingehalten werden hätten können, wurden nicht vorgebracht und sind auch nicht ersichtlich. Insbesondere liegt im gegenständlichen Fall aber ein Verstoß gegen die Vorschriften des Paragraph 38, UGB vor: Die römisch 40 ist bereits sechs Monate vor der rückwirkenden Realteilung gegenüber der mitbeteiligten Partei als Rechtsnachfolgerin ihres Vertragspartners aufgetreten. Es ist nach der allgemeinen Lebenserfahrung auszuschließen, dass die Gründung der römisch 40 und die Mitteilung betreffend die Durchführung einer Hausversammlung am selben Tag (29.11.2023) erfolgt sind. Gründe, warum die Fristen des Paragraph 38, Absatz 2 und 3 UGB nicht eingehalten werden hätten können, wurden nicht vorgebracht und sind auch nicht ersichtlich.
Weiters wird darauf hingewiesen, dass die Anforderungen für eine rechtmäßige Datenverarbeitung in Art. 6 DSGVO konkretisiert sind. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Art. 5 Rz 11).Weiters wird darauf hingewiesen, dass die Anforderungen für eine rechtmäßige Datenverarbeitung in Artikel 6, DSGVO konkretisiert sind. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Artikel 5, Rz 11).
Es wäre der Beschwerdeführerin problemlos möglich gewesen, bereits vor der Realteilung und somit vor der Datenübermittlung an die XXXX die mitbeteiligte Partei um Einwilligung zu ersuchen. Dies eben mit dem Argument, dass sie ihren Teilbetrieb „Hausverwaltung“ an die XXXX übertragen werde und diese für die Tätigkeit die personenbezogenen Daten der Wohnungseigentümer benötige. Die Beschwerdeführerin hat sich jedoch ganz bewusst dazu entschieden, die Einwilligung nicht im Vorhinein einzuholen und die Rechtfertigung des Art. 6 Abs. 1 lit. a DSGVO außer Acht zu lassen. Anschließend versuchte sie die datenschutzrechtliche Verantwortlichkeit an XXXX im Wege des Realteilungsvertrages rückwirkend zu übertragen.Es wäre der Beschwerdeführerin problemlos möglich gewesen, bereits vor der Realteilung und somit vor der Datenübermittlung an die römisch 40 die mitbeteiligte Partei um Einwilligung zu ersuchen. Dies eben mit dem Argument, dass sie ihren Teilbetrieb „Hausverwaltung“ an die römisch 40 übertragen werde und diese für die Tätigkeit die personenbezogenen Daten der Wohnungseigentümer benötige. Die Beschwerdeführerin hat sich jedoch ganz bewusst dazu entschieden, die Einwilligung nicht im Vorhinein einzuholen und die Rechtfertigung des Artikel 6, Absatz eins, Litera a, DSGVO außer Acht zu lassen. Anschließend versuchte sie die datenschutzrechtliche Verantwortlichkeit an römisch 40 im Wege des Realteilungsvertrages rückwirkend zu übertragen.
Da die festgestellte Datenverarbeitung auch nicht im lebenswichtigen Interesse der mitbeteiligten Partei oder – wie soeben dargestellt – mit deren Einwilligung erfolgte, ist der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO zu prüfen.Da die festgestellte Datenverarbeitung auch nicht im lebenswichtigen Interesse der mitbeteiligten Partei oder – wie soeben dargestellt – mit deren Einwilligung erfolgte, ist der Erlaubnistatbestand des Artikel 6, Absatz eins, Litera f, DSGVO zu prüfen.
Eine solche Verarbeitung kann gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig sein, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (Zur Interessenabwägung iSd Art. 6 Abs. 1 lit. f DSGVO siehe jüngst EuGH 09.01.2025 (Mousse), C-394/23, Rz 44ff). Im Kern ist eine Abwägung der berührten Interessen im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht zu erfolgen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO Rz 51 [Stand 07.05.2020, rdb.at]).Eine solche Verarbeitung kann gemäß Artikel 6, Absatz eins, Litera f, DSGVO zulässig sein, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (Zur Interessenabwägung iSd Artikel 6, Absatz eins, Litera f, DSGVO siehe jüngst EuGH 09.01.2025 (Mousse), C-394/23, Rz 44ff). Im Kern ist eine Abwägung der berührten Interessen im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht zu erfolgen vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO Rz 51 [Stand 07.05.2020, rdb.at]).
In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten.
Betreffend die zweite Voraussetzung, der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses, ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist.
Da grundsätzlich ein breites Spektrum von Interessen als „berechtigt“ gelten kann, kommt das Interesse der Beschwerdeführerin ihren Pflichten als Hausverwaltung nachzukommen, grundsätzlich in Betracht.
Fraglich ist allerdings die Erforderlichkeit, da die Beschwerdeführerin alternative Möglichkeiten, die weniger stark in die Grundrechte und Grundfreiheiten der mitbeteiligten Partei eingreifen, zur Verfügung standen. Die Beschwerdeführerin hätte beispielsweise die Wohnungseigentümer, somit auch die mitbeteiligte Partei, im Vorhinein über den (geplanten) Übergang ihres Teilbetriebes „Hausverwaltung“ informieren und vor Einholung von entsprechenden Einwilligungen zur Übermittlung der personenbezogenen Daten der Wohnungseigentümer an die XXXX die Informationsschreiben selbst verschicken können. Fraglich ist allerdings die Erforderlichkeit, da die Beschwerdeführerin alternative Möglichkeiten, die weniger stark in die Grundrechte und Grundfreiheiten der mitbeteiligten Partei eingreifen, zur Verfügung standen. Die Beschwerdeführerin hätte beispielsweise die Wohnungseigentümer, somit auch die mitbeteiligte Partei, im Vorhinein über den (geplanten) Übergang ihres Teilbetriebes „Hausverwaltung“ informieren und vor Einholung von entsprechenden Einwilligungen zur Übermittlung der personenbezogenen Daten der Wohnungseigentümer an die römisch 40 die Informationsschreiben selbst verschicken können.
Die Beschwerdeführerin kann sich auf ein Überwiegen der Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO nicht stützen, da sie ihre Verpflichtungen gemäß § 38 UGB verletzt hat und der mitbeteiligten Partei die entscheidenden Informationen vorsätzlich oder grob fahrlässig (es handelt sich beim Erwerber/Rechtsnachfolger um einen Rechtsanwalt mit einschlägiger Erfahrung in der Immobilienverwaltung), worauf es hier allerdings nicht ankommt, vorenthalten hat. Die Beschwerdeführerin kann sich auf ein Überwiegen der Interessen gemäß Artikel 6, Absatz eins, Litera f, DSGVO nicht stützen, da sie ihre Verpflichtungen gemäß Paragraph 38, UGB verletzt hat und der mitbeteiligten Partei die entscheidenden Informationen vorsätzlich oder grob fahrlässig (es handelt sich beim Erwerber/Rechtsnachfolger um einen Rechtsanwalt mit einschlägiger Erfahrung in der Immobilienverwaltung), worauf es hier allerdings nicht ankommt, vorenthalten hat.
Auch andere Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO sind nicht ersichtlich.Auch andere Erlaubnistatbestände des Artikel 6, Absatz eins, DSGVO sind nicht ersichtlich.
Der zuständige Senat gelangt daher zu dem Ergebnis, dass die Beschwerdeführerin die mitbeteiligte Partei im gegenständlichen Fall in ihrem Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt hat.Der zuständige Senat gelangt daher zu dem Ergebnis, dass die Beschwerdeführerin die mitbeteiligte Partei im gegenständlichen Fall in ihrem Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG verletzt hat.
Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG ebenfalls abzuweisen.Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG ebenfalls abzuweisen.
3.6. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.6. Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Artikel 47, der Charta der Grundrechte der Europäischen Union entgegenstehen.
Die Beschwerdeführerin hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Eine Darlegung, welche Sachverhaltselemente oder welche komplexe Rechtsfragen einer ausführlicheren mündlichen Erläuterung bedürften, erfolgte dabei nicht. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung vielmehr darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt und unstrittig ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Die Beschwerdeführerin hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Eine Darlegung, welche Sachverhaltselemente oder welche komplexe Rechtsfragen einer ausführlicheren mündlichen Erläuterung bedürften, erfolgte dabei nicht. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung vielmehr darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt und unstrittig ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich gemäß Paragraph 24, Absatz eins, VwGVG abzusehen.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Schlagworte
berechtigtes Interesse Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenübermittlung Datenverarbeitung Datenweitergabe Erforderlichkeit Geheimhaltung Hausverwaltung juristische Person personenbezogene Daten Realteilung Rechtsnachfolger Rückwirkung VerantwortlicherEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W137.2322230.1.00Im RIS seit
10.07.2026Zuletzt aktualisiert am
10.07.2026
