(1) Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
Artikel 36 DSGVO – Vorherige Konsultation
(2) Falls die Aufsichtsbehörde der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet sie dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu acht Wochen nach Erhalt des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen und kann ihre in Artikel 58 genannten Befugnisse ausüben. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um sechs Wochen verlängert werden. Die Aufsichtsbehörde unterrichtet den Verantwortlichen oder gegebenenfalls den Auftragsverarbeiter über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zusammen mit den Gründen für die Verzögerung. Diese Fristen können ausgesetzt werden, bis die Aufsichtsbehörde die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.
(3) Der Verantwortliche stellt der Aufsichtsbehörde bei einer Konsultation gemäß Absatz 1 folgende Informationen zur Verfügung:
a) gegebenenfalls Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter, insbesondere bei einer Verarbeitung innerhalb einer Gruppe von Unternehmen;
b) die Zwecke und die Mittel der beabsichtigten Verarbeitung;
c) die zum Schutz der Rechte und Freiheiten der betroffenen Personen gemäß dieser Verordnung vorgesehenen Maßnahmen und Garantien;
d) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
e) die Datenschutz-Folgenabschätzung gemäß Artikel 35 und
f) alle sonstigen von der Aufsichtsbehörde angeforderten Informationen.
(4) Die Mitgliedstaaten konsultieren die Aufsichtsbehörde bei der Ausarbeitung eines Vorschlags für von einem nationalen Parlament zu erlassende Gesetzgebungsmaßnahmen oder von auf solchen Gesetzgebungsmaßnahmen basierenden Regelungsmaßnahmen, die die Verarbeitung betreffen.
(5) Ungeachtet des Absatzes 1 können Verantwortliche durch das Recht der Mitgliedstaaten verpflichtet werden, bei der Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe, einschließlich der Verarbeitung zu Zwecken der sozialen Sicherheit und der öffentlichen Gesundheit, die Aufsichtsbehörde zu konsultieren und deren vorherige Genehmigung einzuholen.
Häufig gestellte Fragen
Kurze Antworten auf häufige Fragen zu dieser Vorschrift. Sie sind allgemeine Informationen und keine Rechtsberatung.
Nach Absatz 1 ist die Konsultation erforderlich, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Nicht jede Abschätzung löst daher eine Konsultation aus, sondern nur der Fall, dass das festgestellte Restrisiko durch eigene Maßnahmen des Verantwortlichen nicht gesenkt werden kann.
Ist die Aufsichtsbehörde der Auffassung, dass die geplante Verarbeitung nicht im Einklang mit der Verordnung stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, so unterbreitet sie ihm und gegebenenfalls dem Auftragsverarbeiter nach Absatz 2 entsprechende schriftliche Empfehlungen und kann ihre in Artikel 58 genannten Befugnisse ausüben, zu denen die Beschränkung oder das Verbot der Verarbeitung gehören.
Absatz 2 räumt der Behörde einen Zeitraum von bis zu acht Wochen nach Erhalt des Ersuchens ein, der unter Berücksichtigung der Komplexität der geplanten Verarbeitung um sechs Wochen verlängert werden kann, wobei der Verantwortliche über eine solche Fristverlängerung und deren Gründe innerhalb eines Monats unterrichtet wird. Diese Fristen können ausgesetzt werden, bis die Behörde die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.
Absatz 3 verpflichtet den Verantwortlichen, gegebenenfalls Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der beteiligten Auftragsverarbeiter, die Zwecke und die Mittel der beabsichtigten Verarbeitung, die zum Schutz der Rechte und Freiheiten der betroffenen Personen vorgesehenen Maßnahmen und Garantien, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, die Datenschutz-Folgenabschätzung selbst sowie alle sonstigen von der Behörde angeforderten Informationen zur Verfügung zu stellen.
Nein. Absatz 4 verpflichtet die Mitgliedstaaten, die Aufsichtsbehörde bei der Ausarbeitung von Vorschlägen für Gesetzgebungsmaßnahmen oder darauf basierende Regelungsmaßnahmen zu konsultieren, die die Verarbeitung betreffen, und Absatz 5 erlaubt es dem Recht der Mitgliedstaaten, Verantwortliche bei der Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe, einschließlich der sozialen Sicherheit und der öffentlichen Gesundheit, ungeachtet des Absatzes 1 zur Konsultation und zur Einholung der vorherigen Genehmigung der Behörde zu verpflichten.