§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / III. Besondere Konsultationspflichten

Rz. 126

Art. 36 DSGVO beinhaltet spezifische Konsultationspflichten des Verantwortlichen im Rahmen der Durchführung von Datenschutz-Folgenabschätzungen.

Rz. 127

Geht aus einer Datenschutz-Folgenabschätzung hervor, dass die geplante Verarbeitung bei Fehlen von Garantien, Sicherheitsvorkehrungen und Mechanismen zur Minderung des Risikos ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen würde, und ist der Verantwortliche der Auffassung, dass das Risiko nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel eingedämmt werden kann, so hat er die Aufsichtsbehörde vor Beginn der Verarbeitungstätigkeiten zu konsultieren (Art. 36 Abs. 1 DSGVO).

Rz. 128

Die Aufsichtsbehörde prüft, ob die geplante Verarbeitung im Einklang mit der DSGVO stünde, insbesondere ob der Verantwortliche das Risiko ausreichend ermittelt und ausreichend eingedämmt hat. Die Aufsichtsbehörde hat diese Überprüfung grundsätzlich innerhalb eines Zeitraumes von bis zu acht Wochen nach Erhalt des Ersuchens um Konsultation durch Übermittlung einer entsprechenden schriftlichen Erklärung über das Prüfungsergebnis gegenüber dem Verantwortlichen abzuschließen. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um bis zu sechs Wochen verlängert werden. Voraussetzung für den Beginn der Bearbeitungsfrist der Aufsichtsbehörde ist das Vorliegen einer vollständigen und den Anforderungen des Art. 36 Abs. 3 DSGVO genügenden Konsultation des Verantwortlichen.

Rz. 129

Danach ist sind der Aufsichtsbehörde folgende Informationen in einer für die Behörde überprüfbaren und nachvollziehbaren Weise zu übermitteln:

▪	Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter, insbesondere bei einer Verarbeitung innerhalb einer Gruppe von Unternehmen,
▪	Angaben zu den Zwecken und die Mitteln der beabsichtigten Verarbeitung,
▪	Angaben zu den zum Schutz der Rechte und Freiheiten der betroffenen Personen vorgesehenen Abhilfemaßnahmen,
▪	soweit vorhanden, die Kontaktdaten des Datenschutzbeauftragten und
▪	die Datenschutz-Folgenabschätzung.

Rz. 130

Darüber hinaus ist die Aufsichtsbehörde berechtigt, weitere für die Prüfung aus ihrer Sicht erforderliche Informationen anzufordern (Art. 36 Abs. 3 lit. f DSGVO). Da die Behörde u.U. erst nach Eintritt in das Prüfungsverfahren erkennt bzw. erkennen kann, dass sie weitere Informationen benötigt, muss diese Anforderung zwar innerhalb der in Art. 36 Abs. 2 DSGVO benannten Fristen erfolgen, führt dann– jedenfalls, solange bis die Informationen bereitgestellt werden –zu einer Hemmung der Bearbeitungsfrist der Behörde.

Rz. 131

Aus dem Gesamtzusammenhang der Norm ergibt sich, dass der Verantwortliche nicht berechtigt ist, die Verarbeitung vor Erhalt des Prüfungsergebnisses der Aufsichtsbehörde zu beginnen. Mit dem Prüfungsergebnis kann die Behörde entweder ein vollständiges Verbot der geplanten Verarbeitung aussprechen oder aber dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter entsprechende schriftliche Empfehlungen für die Etablierung von Abhilfemaßnahmen und/oder Änderungen innerhalb der geplanten Verarbeitungsprozesse unterbreiten.