{
    "slug": "dsgvo-vorherige-konsultation-art-36",
    "titre": "DSGVO Art. 36 (VO 2016/679) – Vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Art. 36 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet den Verantwortlichen, vor Beginn der Verarbeitung die zuständige…",
    "resume_court": "**Art. 36 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet den **Verantwortlichen**, **vor** Beginn der Verarbeitung die **zuständige Datenschutz-Aufsichtsbehörde zu konsultieren**, wenn eine **Datenschutz-Folgenabschätzung (Art. 35)** ergibt, dass die Verarbeitung ein **hohes Risiko** für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, **sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft** (Art. 36 Abs. 1).\n\nHält die Behörde die geplante Verarbeitung für nicht verordnungskonform, unterbreitet sie **innerhalb von bis zu acht Wochen** schriftliche Empfehlungen und kann ihre Befugnisse nach Art. 58 ausüben; die Frist kann **um sechs Wochen verlängert** werden (Art. 36 Abs. 2). Die DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein Umsetzungsgesetz ist nicht erforderlich. Ein Verstoß gegen Art. 36 ist nach **Art. 83 Abs. 4 lit. a DSGVO** mit Bußgeld **bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes** bewehrt. Die **Nachweislast** (Rechenschaftspflicht, Art. 5 Abs. 2) liegt beim **Verantwortlichen**: Er muss dokumentieren können, dass das Restrisiko geprüft und – falls hoch – die Behörde eingebunden wurde.",
    "faits": [
        {
            "point": "Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Art. 36 [EUR-Lex, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar (kein Umsetzungsgesetz nötig)",
            "autorite": "A"
        },
        {
            "point": "Geltung ab",
            "valeur": "25. Mai 2018 [Art. 99 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Auslöser",
            "valeur": "DSFA nach Art. 35 ergibt hohes Restrisiko ohne risikomindernde Maßnahmen [Art. 36 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Zeitpunkt",
            "valeur": "vor der Verarbeitung (Art. 36 Abs. 1); nach verbreiteter Auslegung kein Start vor Abschluss der Konsultation",
            "autorite": "A"
        },
        {
            "point": "Frist Behörde",
            "valeur": "bis zu 8 Wochen ab Eingang des Ersuchens [Art. 36 Abs. 2]",
            "autorite": "A"
        },
        {
            "point": "Verlängerung",
            "valeur": "+ 6 Wochen unter Berücksichtigung der Komplexität; die Behörde kann die Fristen aussetzen, bis angeforderte Informationen vorliegen [Art. 36 Abs. 2]",
            "autorite": "A"
        },
        {
            "point": "Pflichtangaben",
            "valeur": "u. a. Zuständigkeiten (bei gemeinsamer Verantwortlichkeit/Auftragsverarbeitern), Zwecke und Mittel, Schutzmaßnahmen, Kontaktdaten des DSB, die DSFA selbst [Art. 36 Abs. 3]",
            "autorite": "A"
        },
        {
            "point": "Behördenbefugnisse",
            "valeur": "Beratung (Art. 58 Abs. 3 lit. a), Verarbeitungsverbot/Beschränkung (Art. 58 Abs. 2 lit. f), weitere Abhilfebefugnisse",
            "autorite": "A"
        },
        {
            "point": "Gesetzgebung",
            "valeur": "Mitgliedstaaten konsultieren die Behörde bei Gesetzesentwürfen mit Datenverarbeitung [Art. 36 Abs. 4]",
            "autorite": "A"
        },
        {
            "point": "Öffnungsklausel",
            "valeur": "Nationales Recht kann für Aufgaben im öffentlichen Interesse Konsultation und Genehmigung vorschreiben [Art. 36 Abs. 5]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis 10 Mio. € oder 2 % weltweiter Jahresumsatz [Art. 83 Abs. 4 lit. a]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), Volltext inkl. Art. 36, 58, 83 (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Pflichten für Unternehmen und Organisationen (DSFA)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de",
            "autorite": "A"
        },
        {
            "titre": "EDPB / Artikel-29-Gruppe – Leitlinien zur DSFA (WP 248 rev.01, vom EDSA bestätigt)",
            "url": "https://ec.europa.eu/newsroom/article29/items/611236",
            "autorite": "A"
        },
        {
            "titre": "Art. 36 DSGVO (dejure.org)",
            "url": "https://dejure.org/gesetze/DSGVO/36.html",
            "autorite": "A"
        },
        {
            "titre": "Bundesdatenschutzgesetz (BDSG) – nationale Ergänzung (Aufsicht, Öffnungsklauseln), gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 36 (VO 2016/679) – Vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko?",
            "reponse": "Art. 36 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet den Verantwortlichen, vor Beginn der Verarbeitung die zuständige Datenschutz-Aufsichtsbehörde zu konsultieren, wenn eine Datenschutz-Folgenabschätzung (Art. 35) ergibt, dass die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des…"
        },
        {
            "question": "Für wen gilt DSGVO Art. 36 (VO 2016/679)?",
            "reponse": "Betroffen sind Verantwortliche (Unternehmen, Vereine, Behörden), die eine Verarbeitung planen, für die eine DSFA durchgeführt wurde (Pflichtfälle Art. 35 Abs. 3: Profiling mit Rechtswirkung, umfangreiche besondere Kategorien/Strafdaten, systematische umfangreiche Überwachung öffentlicher Bereiche). Auftragsverarbeiter unterstützen den Verantwortlichen (Art. 28 Abs. 3 lit. f)."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 36 (VO 2016/679)?",
            "reponse": "„Jede DSFA muss an die Behörde.\u0022 Nein – nur bei hohem Restrisiko; die DSFA bleibt sonst intern (Rechenschaftspflicht). „Nach acht Wochen darf ich starten.\u0022 Ablauf der Frist ersetzt keine Prüfung; die Behörde kann später Befugnisse ausüben. Bei Fristverlängerung läuft die Frist ohnehin länger. „Schweigen der Behörde = Genehmigung.\u0022 Art. 36 kennt keine Genehmigungsfiktion."
        }
    ],
    "wikidata": [
        "Q1172506"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-10-12",
    "derniere_verification": "2026-10-12",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-vorherige-konsultation-art-36"
}