Klose, SGB I § 35 Sozialgeheimnis / 2.7.7 Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

Rz. 69

Geht aus einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO (Rz. 66 f.) hervor, dass die Verarbeitung ein hohes Risiko zur Folge hätte, konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde (§ 36 Abs. 1 DSGVO). 

Nach EG 94 DSGVO ist ein solches hohes Risiko "wahrscheinlich mit bestimmten Arten der Verarbeitung und dem Umfang und der Häufigkeit der Verarbeitung verbunden, die für natürliche Personen auch eine Schädigung oder eine Beeinträchtigung der persönlichen Rechte und Freiheiten mit sich bringen können".

Im Rahmen dieses Konsultation stellt der Verantwortliche der Aufsichtsbehörde nach Art. 36 Abs. 3 DSGVO folgende Informationen zur Verfügung:

1. ggf. Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter, insbesondere bei einer Verarbeitung innerhalb einer Gruppe von Unternehmen;
2. die Zwecke und die Mittel der beabsichtigten Verarbeitung;
3. die zum Schutz der Rechte und Freiheiten der betroffenen Personen gemäß dieser Verordnung vorgesehenen Maßnahmen und Garantien;
4. ggf. die Kontaktdaten des Datenschutzbeauftragten;
5. ggf. die Kontaktdaten des Datenschutzbeauftragten;
6. alle sonstigen von der Aufsichtsbehörde angeforderten Informationen.

Rz. 70

Sofern die geplante Verarbeitung von der Aufsichtsbehörde für unzulässig gehalten wird, also für nicht im Einklang mit den Vorgaben der DSGVO, unterbreitet sie dem Verantwortlichen und ggf. dem Auftragsverarbeiter schriftliche Empfehlungen. Sie kann auch ihre in Art. 58 DSGVO genannten Befugnisse ausüben; was die Befugnis einschließt, Verarbeitungsvorgänge zu untersagen. Dies insbesondere dann, wenn der Verantwortliche nach Auffassung der Aufsichtsbehörde das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat und damit ein angemessenes Schutzniveau nicht gewährleistet wird.