Konsultationspflicht (Art. 36)

Vorab-Beratung mit Aufsichtsbehörde

26. April 2026 · Kategorie: DSGVO · Compliance-Kit

TL;DR

Art. 36 DSGVO verpflichtet zur Konsultation, wenn aus DSFA hohes Restrisiko hervorgeht. Die Aufsichtsbehörde hat 8 Wochen Zeit für Empfehlung (Art. 36 Abs. 2), verlängerbar auf 14 Wochen.

Was ist Konsultationspflicht (Art. 36)?

Pflicht-Inhalte der Konsultation (Auswahl nach Art. 36 Abs. 3 DSGVO):

Zwecke und Mittel der geplanten Verarbeitung
Datenschutz-Folgenabschätzung (DSFA)
Vorgesehene Maßnahmen und Garantien zum Schutz der Betroffenen
Kontaktdaten des oder der Datenschutzbeauftragten (falls benannt) sowie alle von der Aufsichtsbehörde angeforderten Informationen

Praxisbeispiel

Ein privater Versicherer plant eine KI-basierte Lebensversicherungs-Risikobewertung. Die DSFA zeigt hohes Restrisiko. Da ein privater Versicherer eine nichtöffentliche Stelle ist, wird er von der zuständigen Landesdatenschutzbehörde beaufsichtigt (§ 40 Abs. 1 BDSG) — nicht vom BfDI, der nur für öffentliche Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten zuständig ist (§ 9 Abs. 1 BDSG). Der Versicherer konsultiert deshalb vor Beginn der Verarbeitung die zuständige Landesdatenschutzbehörde. Hält diese die Verarbeitung für nicht DSGVO-konform, unterbreitet sie binnen bis zu acht Wochen schriftliche Empfehlungen (verlängerbar um sechs Wochen) und kann ihre Befugnisse nach Art. 58 DSGVO ausüben (Art. 36 Abs. 2 DSGVO).

Zuständige Aufsichtsbehörde: Deutschland und Österreich

Art. 36 DSGVO gilt in Deutschland und Österreich wortgleich; die Vorabkonsultation erfolgt jeweils bei der national zuständigen Aufsichtsbehörde.

Deutschland

Für nichtöffentliche Stellen (z. B. private Unternehmen und Versicherer) ist die nach Landesrecht zuständige Landesdatenschutzbehörde die richtige Adressatin der Vorabkonsultation (§ 40 Abs. 1 BDSG). Der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist nur für öffentliche Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG).

Österreich

In Österreich ist die Datenschutzbehörde die national zuständige unabhängige Aufsichtsbehörde nach Art. 51 DSGVO (§ 18 Abs. 1 DSG). Sie ist damit auch die für die Vorabkonsultation nach Art. 36 DSGVO zuständige Stelle — für öffentliche wie nichtöffentliche Verantwortliche.

Häufig gestellte Fragen

Was kostet?

Eine Gebühr für die Konsultation sieht Art. 36 DSGVO nicht vor. Der eigene Aufwand hängt vor allem vom Umfang der DSFA und der beizufügenden Angaben ab (Art. 36 Abs. 3 DSGVO: u. a. Zwecke und Mittel, Maßnahmen und Garantien).

Bußgeld bei fehlender Konsultation?

Art. 83 Abs. 4 lit. a — bis 10 Mio. / 2%.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.