Nexvyra

DSGVO Art. 36 (VO 2016/679) – Vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-12 · letzte Prüfung: 2026-10-12 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Art. 36 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet den Verantwortlichen, vor Beginn der Verarbeitung die zuständige Datenschutz-Aufsichtsbehörde zu konsultieren, wenn eine Datenschutz-Folgenabschätzung (Art. 35) ergibt, dass die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft (Art. 36 Abs. 1). Hält die Behörde die geplante Verarbeitung für nicht verordnungskonform, unterbreitet sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen und kann ihre Befugnisse nach Art. 58 ausüben; die Frist kann um sechs Wochen verlängert werden (Art. 36 Abs. 2). Die DSGVO ist als EU-Verordnung unmittelbar in Deutschland anwendbar – ein Umsetzungsgesetz ist nicht erforderlich. Ein Verstoß gegen Art. 36 ist nach Art. 83 Abs. 4 lit. a DSGVO mit Bußgeld bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bewehrt. Die Nachweislast (Rechenschaftspflicht, Art. 5 Abs. 2) liegt beim Verantwortlichen: Er muss dokumentieren können, dass das Restrisiko geprüft und – falls hoch – die Behörde eingebunden wurde.

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Art. 36 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar (kein Umsetzungsgesetz nötig)
Geltung ab25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
AuslöserDSFA nach Art. 35 ergibt hohes Restrisiko ohne risikomindernde Maßnahmen [Art. 36 Abs. 1]
Zeitpunktvor der Verarbeitung (Art. 36 Abs. 1); nach verbreiteter Auslegung kein Start vor Abschluss der Konsultation
Frist Behördebis zu 8 Wochen ab Eingang des Ersuchens [Art. 36 Abs. 2]
Verlängerung+ 6 Wochen unter Berücksichtigung der Komplexität; die Behörde kann die Fristen aussetzen, bis angeforderte Informationen vorliegen [Art. 36 Abs. 2]
Pflichtangabenu. a. Zuständigkeiten (bei gemeinsamer Verantwortlichkeit/Auftragsverarbeitern), Zwecke und Mittel, Schutzmaßnahmen, Kontaktdaten des DSB, die DSFA selbst [Art. 36 Abs. 3]
BehördenbefugnisseBeratung (Art. 58 Abs. 3 lit. a), Verarbeitungsverbot/Beschränkung (Art. 58 Abs. 2 lit. f), weitere Abhilfebefugnisse
GesetzgebungMitgliedstaaten konsultieren die Behörde bei Gesetzesentwürfen mit Datenverarbeitung [Art. 36 Abs. 4]
ÖffnungsklauselNationales Recht kann für Aufgaben im öffentlichen Interesse Konsultation und Genehmigung vorschreiben [Art. 36 Abs. 5]
Bußgeldrahmenbis 10 Mio. € oder 2 % weltweiter Jahresumsatz [Art. 83 Abs. 4 lit. a]

Geltungsbereich

Betroffen sind Verantwortliche (Unternehmen, Vereine, Behörden), die eine Verarbeitung planen, für die eine DSFA durchgeführt wurde (Pflichtfälle Art. 35 Abs. 3: Profiling mit Rechtswirkung, umfangreiche besondere Kategorien/Strafdaten, systematische umfangreiche Überwachung öffentlicher Bereiche). Auftragsverarbeiter unterstützen den Verantwortlichen (Art. 28 Abs. 3 lit. f). Wer keine DSFA braucht oder das Risiko durch Maßnahmen auf ein nicht-hohes Niveau senkt, muss nicht konsultieren.

Detail: Ablauf der Konsultation

  1. DSFA durchführen und Risikominderungsmaßnahmen (technisch/organisatorisch, vgl. Art. 32) festlegen.
  2. Restrisiko bewerten. Bleibt es hoch (der Verantwortliche kann es nicht in vertretbarem Rahmen eindämmen), ist Art. 36 einschlägig. Die Beurteilung trägt der Verantwortliche selbst; der Datenschutzbeauftragte berät (Art. 35 Abs. 2).
  3. Ersuchen an die zuständige Behörde mit den Angaben nach Art. 36 Abs. 3 (inkl. vollständiger DSFA). Auf Verlangen der Behörde sind weitere Informationen nachzureichen (Art. 36 Abs. 3 lit. f).
  4. Fristlauf: Acht Wochen; bei Komplexität um sechs Wochen verlängerbar, die Behörde informiert den Verantwortlichen binnen eines Monats über die Verlängerung samt Gründen.
  5. Ergebnis: Schriftliche Empfehlungen oder Ausübung der Befugnisse nach Art. 58, bis hin zum Verbot der Verarbeitung. Eine ausdrückliche „Freigabe" sieht Art. 36 nicht vor; der Verantwortliche bleibt für die Rechtmäßigkeit verantwortlich.

Zusammenspiel mit anderen Normen

Häufige Fehler

Änderungsverlauf

Prüfstand (12.10.2026)

  1. Wortlaut Art. 36 Abs. 1–5 DSGVO am amtlichen Text (gesetze.legal) geprüft.
  2. Eine deutsche Vorschrift, die die Öffnungsklausel des Art. 36 Abs. 5 ausfüllt, wurde nicht gefunden; die Seite nennt keine.

Stand

Quellen

Letzte Änderung:
2026-10-12
Letzte Prüfung:
2026-10-12
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.