Eine Datenschutz-Folgenabschätzung kann zu dem Ergebnis kommen, dass ein geplantes Verfahren auch nach den vorgesehenen Schutzmaßnahmen ein hohes Risiko für Menschen verbleiben lässt. Dann muss der Verantwortliche die zuständige Aufsichtsbehörde vor der Verarbeitung konsultieren. Artikel 36 DSGVO ist dabei kein Ersatz für eine fehlende Rechtsgrundlage und kein allgemeines Genehmigungssiegel für ein neues Produkt.
Dieser Leitfaden hilft, den Übergang von der abgeschlossenen Risikobewertung zur konkreten Konsultationsakte vorzubereiten. Er zeigt, welche Tatsachen, Maßnahmen und offenen Fragen vorgelegt werden sollten und wie sich behördliche Rückfragen in eine verantwortete Projektentscheidung übersetzen lassen. Das durchgehende Beispiel ist ein fiktiv geplantes Portal mehrerer Beratungsstellen mit besonders schutzbedürftigen Nutzern.
Ausgangsrisiko und verbleibendes Risiko unterscheiden
Die Pflicht zur Datenschutz-Folgenabschätzung wird anhand der geplanten Verarbeitung und ihrer voraussichtlichen Risiken geprüft. Die anschließende Konsultationsfrage ist enger: Gelingt es, die ermittelten hohen Risiken durch geeignete Maßnahmen hinreichend zu mindern? Die bloße Feststellung, dass eine DSFA erforderlich war, beantwortet diese Frage noch nicht.
Die Leitlinien WP248 rev.01 zur DSFA, die vom EDSA bestätigt wurden, erläutern die Konsultation bei hohen Restrisiken. Eine Liste vertrauter Maßnahmen genügt nicht. Verschlüsselung kann beispielsweise die Vertraulichkeit eines Datenträgers schützen, ohne den unzulässigen Zugriff eines regulär berechtigten Nutzers zu verhindern.
Das Projektteam benennt daher für jedes wesentliche Szenario betroffene Personen, drohenden Nachteil, Ursache, Eintrittsbedingungen, Maßnahme und verbleibende Unsicherheit. Es vermeidet eine reine Durchschnittsnote, in der ein einzelnes schwerwiegendes Risiko durch mehrere unproblematische Teilbereiche rechnerisch verschwindet. Die Bewertung muss den konkreten möglichen Schaden weiterhin sichtbar machen.
Das geplante Portal als Beispiel abgrenzen
Im fiktiven Portal sollen Beratungsstellen Termine und fallbezogene Weiterleitungen koordinieren. Einige Nutzer benötigen einen besonderen Schutz ihrer Aufenthaltsorte. Die fachliche Aufgabe und ihre jeweils einschlägigen Rechtsgrundlagen werden in einer eigenen Prüfung geklärt. Das Beispiel setzt keine pauschale Erlaubnis voraus, sensible Beratungsdaten unter mehreren Organisationen auszutauschen.
Die DSFA beschreibt eine begrenzte geplante Funktion: Eine Beratungsstelle kann einen Fall an eine andere übergeben. Angaben zur Kontaktaufnahme sollen nur den zuständigen Personen zugänglich sein. Das Portal soll keine automatisierte Entscheidung über Leistungen treffen und keine allgemeine Suche nach allen beratenen Personen ermöglichen.
Bei der technischen Prüfung zeigt sich jedoch, dass eine übergreifende Suchfunktion aus mehreren Angaben eine Person wieder auffindbar macht. Der Anbieter kann diese Funktion in der angebotenen Architektur noch nicht hinreichend begrenzen. Das Team hält den möglichen Nachteil fest: Ein unberechtigter interner Zugriff könnte einen geschützten Aufenthaltsort offenbaren. Ein allgemeines Schulungsversprechen beseitigt diesen technischen Zugangsweg nicht.
Maßnahmen mit ihrer tatsächlichen Wirkung bewerten
| Szenario im Beispiel | Vorgesehene Maßnahme | Prüfung des verbleibenden Risikos |
|---|---|---|
| Verlust eines Endgeräts | Verwaltete Geräte, Sperre und Datenträgerschutz | Konfiguration und Betriebszustand in einem Test prüfen |
| Falsche Fallzuordnung | Bestätigung von Empfänger und Fallkennung | Fehlzuordnungsversuch mit synthetischen Fällen durchführen |
| Übergreifendes Auffinden geschützter Personen | Einschränkung der Suche und organisatorische Zugriffsregeln | Technische Trennung noch nicht ausreichend nachgewiesen |
| Unbemerkter Export | Begrenzte Exportrechte und Protokollierung | Prüfen, ob gewöhnliche Nutzer die Begrenzung umgehen können |
Die Tabelle trennt umgesetzte Kontrollen, geplante Änderungen und derzeit nicht beherrschte Risiken. Eine Maßnahme, die erst nach dem Start entwickelt werden soll, wird nicht als bereits wirksam bewertet. Der Projektauftrag muss erkennen lassen, was vor einer Verarbeitung realer Fälle noch fehlt.
Das Team prüft zunächst eine andere Architektur: keine übergreifende Suche, Übermittlung nur an einen bestätigten Empfänger und Trennung identifizierender Angaben. Der Beitrag zur Pseudonymisierung und Schlüsselzuordnung hilft, eine solche Trennung präzise zu beschreiben. Bleiben die hohen Risiken auch nach geeigneten Änderungen bestehen und soll die Verarbeitung weiterverfolgt werden, wird die Konsultation vorbereitet.
Die Entscheidung über die Konsultation dokumentieren
Die zuständige Leitung erhält im Beispiel drei nachvollziehbare Möglichkeiten: Verarbeitung in der jetzigen Form nicht weiterverfolgen, eine wirksam begrenzte Alternative entwickeln oder bei weiterbestehendem hohen Restrisiko die Konsultation durchführen. Die Entscheidung heißt nicht bloß „Risiko akzeptiert“. Eine interne Risikobereitschaft ersetzt die Pflicht nach Artikel 36 nicht.
Eine ausgefüllte Notiz könnte lauten: „Version P-04 der DSFA weist für die organisationsübergreifende Auffindbarkeit ein hohes Restrisiko aus. Die derzeit nachgewiesenen Maßnahmen verhindern den beschriebenen Zugriffsweg nicht ausreichend. Ein Start mit realen Fällen wird nicht freigegeben. Die Leitung beauftragt die Vorbereitung der Konsultation und parallel die Bewertung einer Architektur ohne übergreifende Suche.“
Ist ein Datenschutzbeauftragter benannt, wird dessen Rat bei der DSFA eingeholt. Er berät und überwacht innerhalb seiner Rolle; die Verantwortung für Verfahren, Ressourcen und Projektentscheidung bleibt beim Verantwortlichen. Abweichungen von seinem Rat werden sachlich dokumentiert. Eine Unterschrift des Datenschutzbeauftragten wird nicht als Übernahme der Verantwortung dargestellt.
Die zuständige Stelle identifizieren
Die Konsultation richtet sich an die zuständige Datenschutzaufsicht. Eine deutsche Behörde, ein privates Unternehmen und eine grenzüberschreitend tätige Organisation können unterschiedlichen Zuständigkeitsregeln unterliegen. Der Projektname oder der Sitz eines Softwareanbieters bestimmt die zuständige Aufsicht nicht allein.
Bei mehreren beteiligten Stellen wird die tatsächliche Rollenverteilung erläutert. Wer entscheidet gemeinsam über Zweck und wesentliche Mittel, wer verarbeitet auf Weisung und wer verantwortet einen eigenständigen Vorgang? Ein Organigramm ohne diese Verarbeitungssicht genügt nicht. Die vorhandenen Vereinbarungen werden dem tatsächlich geplanten Ablauf gegenübergestellt.
Das Team prüft die aktuellen Hinweise der zuständigen Stelle zum sicheren Einreichungsweg und Ansprechpartner. Ein unverbindliches Vorgespräch kann Fragen zum Verfahren klären, wird aber nicht mit der vollständigen Konsultation gleichgesetzt. Die Akte unterscheidet erste Kontaktaufnahme, Einreichung, Eingangsbestätigung, Nachforderung und ergänzte Fassung.
Ein prüfbares Unterlagenpaket zusammenstellen
Artikel 36 Absatz 3 DSGVO benennt die vorzulegenden Informationen: Zuständigkeiten der Beteiligten, Zwecke und Mittel, Maßnahmen und Garantien, gegebenenfalls DSB-Kontakt, die DSFA und weitere angeforderte Informationen. Das Paket sollte diesen Zusammenhang lesbar machen und nicht bloß eine große Sammlung unzugeordneter Anhänge enthalten.
Für das Portal erstellt die Projektkoordination ein kurzes Anschreiben mit Verfahrenskennung, benannten Verantwortlichen und der konkreten Konsultationsfrage. Es folgt die DSFA P-04, ein Datenflussdiagramm, eine Rollenübersicht und eine Maßnahmenliste mit Nachweisen. Ein Inhaltsverzeichnis zeigt, welcher Anhang welche Aussage belegt.
Der technische Anhang verwendet synthetische Beispieldaten. Er zeigt den problematischen Suchweg und die geplante Alternative, ohne reale schutzbedürftige Personen unnötig zu exponieren. Wo tatsächlich personenbezogene Informationen für eine behördliche Prüfung erforderlich sind, werden Umfang und sicherer Übermittlungsweg gesondert festgelegt.
Der Text trennt Aussagen des Anbieters von eigenen Nachweisen. „Anbieter bestätigt Mandantentrennung“ und „Testkonto konnte auf fremden Fall zugreifen“ dürfen nicht unaufgelöst nebeneinanderstehen. Die offene Abweichung ist gerade eine zentrale Information für die Konsultation, nicht ein zu entfernender störender Anhang.
Fristen als Verfahrenssteuerung behandeln
Artikel 36 Absatz 2 sieht für schriftliche Empfehlungen bei einer nach Auffassung der Aufsicht nicht DSGVO-konformen Planung grundsätzlich bis zu acht Wochen nach Eingang des Konsultationsersuchens vor. Wegen der Komplexität kann sich dieser Zeitraum um sechs Wochen verlängern; die Information über die Verlängerung und ihre Gründe erfolgt innerhalb eines Monats nach Eingang. Angeforderte Informationen können zu einer Aussetzung der Fristen führen.
Das Projekt plant deshalb keinen festen Produktivstart genau vierzehn Wochen nach dem ersten Brief. Es führt ein Fristenblatt mit Eingang, behördlichen Mitteilungen, Nachforderungen und vollständiger Beantwortung. Eine informelle Terminannahme des Vertriebsteams wird nicht in einen gesetzlichen Anspruch auf rechtzeitige Genehmigung umgedeutet.
Artikel 36 enthält keine allgemeine Genehmigungsfiktion durch Schweigen. Der bloße Ablauf eines errechneten Zeitraums ersetzt weder die materielle Rechtmäßigkeitsprüfung noch eine Klärung offener Verfahrensfragen. Das Projektteam fragt zum Verfahrensstand nach und dokumentiert eine rechtlich geprüfte weitere Entscheidung. Aus dem Ausbleiben einer Nachricht wird kein Freigabesiegel für die unveränderte risikoreiche Konfiguration abgeleitet.
Rückfragen vollständig und nachvollziehbar beantworten
Die Aufsicht möchte im Beispiel wissen, ob die alternative Empfängerbestätigung auch bei einem Wechsel der zuständigen Beratungsperson gilt. Die IT kann diese Frage zunächst nur für den Normalfall beantworten. Das Team behandelt den Rollenwechsel deshalb als eigenen Test und ergänzt die DSFA um den tatsächlich beobachteten Ablauf.
Die Antwort bezeichnet die angefragte Frage, die neue Erkenntnis und alle dadurch geänderten Dokumente. Die Fassung P-05 enthält eine Änderungsliste; P-04 bleibt als eingereichte Vorfassung erhalten. Die Koordination prüft, ob eine behauptete Maßnahme im Diagramm, Vertrag, Berechtigungskonzept und Testbericht konsistent beschrieben wird.
Für jede behördliche Rückfrage gibt es einen Bearbeiter und eine Stellvertretung. Projektleitung, Fachstelle und Anbieter erhalten nur die Unterlagen, die sie für ihre Antwort benötigen. Eine unkontrollierte Weiterleitung des gesamten Konsultationspakets an sämtliche Projektteilnehmer würde zusätzliche, unnötige Datenzugänge schaffen.
Empfehlungen in konkrete Freigabebedingungen übersetzen
Erhält der Verantwortliche schriftliche Empfehlungen, werden diese Punkt für Punkt bewertet und in Maßnahmen oder begründete weitere Klärungen übersetzt. Die Aufsichtsbehörde kann auch ihre Befugnisse nach Artikel 58 ausüben. Die Konsultation ist daher nicht bloß eine Beratung ohne mögliche Folgen und ebenso wenig eine pauschale Haftungsfreistellung.
Im Beispiel wird eine Umstellung auf gezielte Fallübergaben ohne globale Suche umgesetzt. Der technische Verantwortliche liefert den Nachweis, der Fachbereich prüft die Nutzbarkeit und die Datenschutzkoordination aktualisiert Informationen, Rollen und Löschregeln. Eine Freigabe bezieht sich anschließend auf diese tatsächlich geprüfte Version, nicht auf jede künftige Erweiterung des Portals.
Das Verzeichnis der Verarbeitungstätigkeiten verweist auf die aktuelle DSFA und die relevanten Konsultationsunterlagen. Die Maßnahmen kommen in das Datenschutz-Audit, damit ihre Wirksamkeit später geprüft werden kann. Ein abgeschlossener Schriftwechsel ersetzt keine Überwachung des tatsächlichen Betriebs.
Benachbarte Verfahren getrennt halten
Eine erforderliche Benachrichtigung Betroffener nach einer Datenpanne betrifft einen anderen Auslöser. Wer bereits unzulässig mit realen Daten begonnen hat, kann die Situation nicht durch eine als „vorherig“ bezeichnete spätere Konsultation rückwirkend heilen. Zunächst sind laufende Risiken und etwaige weitere Pflichten zu bearbeiten.
Auch Artikel 22 enthält eigenständige Grenzen für bestimmte automatisierte Entscheidungen. Eine Artikel-22-Prüfung darf nicht durch die Annahme ersetzt werden, die Aufsicht werde eine fehlende Ausnahme nachträglich erlauben. Besondere nationale Konsultations- oder Genehmigungsverfahren im öffentlichen Interesse sind nach Artikel 36 Absatz 5 und den jeweils einschlägigen Vorschriften gesondert zu prüfen.
Für neue Quellen prüft das Team schließlich Dokumenttyp und Status. Die Anleitung zum Umgang mit EDSA-Leitlinien hilft, einen Konsultationsentwurf nicht als geltende Vorgabe zu behandeln. Die fertige Akte zeigt eine konkrete geplante Verarbeitung, ihr verbleibendes Risiko und die überprüfbare Entscheidung darüber, unter welchen Bedingungen sie weiterverfolgt werden kann.