Wann muss man den EDÖB vor einer Datenbearbeitung konsultieren?
Der EDÖB ist vorgängig zu konsultieren, wenn die Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung trotz der vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Ein privater Verantwortlicher kann davon absehen, wenn die Datenschutzberaterin oder der Datenschutzberater nach Artikel 10 konsultiert wurde.
Eine vorgängige Konsultation des EDÖB ist erforderlich, wenn die Datenschutz-Folgenabschätzung zeigt, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen weiterhin ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Entscheidend ist also nicht jede Datenbearbeitung, sondern der Fall, in dem nach der Folgenabschätzung ein hohes Restrisiko bestehen bleibt. Zu prüfen ist insbesondere, ob die vorgesehenen Massnahmen dieses Risiko ausreichend senken oder ob es nach der Beurteilung weiterhin hoch bleibt; in diesem Fall ist die Stellungnahme des EDÖB vorab einzuholen.[1]
Für den Ablauf nennt das Gesetz eine Frist: Der EDÖB teilt dem Verantwortlichen innerhalb von zwei Monaten seine Einwände gegen die geplante Bearbeitung mit. Bei einer komplexen Datenbearbeitung kann diese Frist um einen Monat verlängert werden. Hat der EDÖB Einwände gegen die geplante Bearbeitung, schlägt er dem Verantwortlichen geeignete Massnahmen vor. Für private Verantwortliche besteht zudem eine ausdrückliche Ausnahme: Sie können von der Konsultation des EDÖB absehen, wenn sie die Datenschutzberaterin oder den Datenschutzberater nach Artikel 10 konsultiert haben. Vor einem Verzicht sollte daher genau geprüft werden, ob diese Voraussetzung erfüllt ist.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]