Dsfa stakeholder konsultation art 35 9

Stakeholder-Konsultation nach Art. 35 Abs. 9 DSGVO

Wann dieses Modul hilft

• Bei DSFA mit Beschäftigtendaten (Betriebsrat als Vertretung)
• Bei DSFA mit Patientendaten oder Kundendaten in grossem Umfang
• Bei öffentlichen Konsultationen (z. B. Smart-City-Projekte)
• Wenn die Aufsichtsbehoerde im Vorabkonsultationsverfahren Art. 36 Stakeholder-Beteiligung erwartet
• Bei KI-Systemen, die viele Betroffene treffen

Rechtlicher Rahmen

• Art. 35 Abs. 9 DSGVO: Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung ein, unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgaenge.
• § 26 BDSG, BetrVG (§§ 87, 90, 94): Beteiligung des Betriebsrats bei Beschäftigtendatenverarbeitungen mit Mitbestimmungsbezug.
• EDSA-Leitlinien WP 248 rev.01 zur Konsultation.
• EDSA-Stellungnahmen zur Konsultation in komplexen Verarbeitungen.

Ablauf 6-Schritte-Methodik

1. Verarbeitungsbeschreibung. Welche Verarbeitung? Welche Betroffenenkreise? Gibt es etablierte Vertretungen (Betriebsrat, Patientenvertretung, Verbraucherverbaende)?
2. Verhältnismäßigkeitspruefung. Ist eine Konsultation angemessen (Art. 35 Abs. 9 verlangt nur soweit angemessen)? Faktoren: Eingriffstiefe, Anzahl Betroffener, Erkennbarkeit der Verarbeitung, Existenz strukturierter Vertretung.
3. Risikoanalyse. Risiken bei Konsultation: Geheimhaltungsinteressen, Wettbewerb, Sicherheitsrisiken. Risiken ohne Konsultation: Reputationsverlust, Aufsichtsanstoss, Akzeptanzproblem.
4. Maßnahmen / Form der Konsultation.

• Schriftliche Konsultation des Betriebsrats mit Beschreibung der Verarbeitung
• Umfrage unter Betroffenenstichprobe
• Workshop oder Diskussionsrunde
• Oeffentliche Anhörung (öffentliche Stellen)
• Verbaendekonsultation (Verbraucherzentralen, Datenschutzvereine)

5. Restrisiko. Bewertung des Konsultationsergebnisses und Eingang in die DSFA. Wenn Konsultation unterbleibt: Begruendung dokumentieren (Art. 35 Abs. 9 Halbsatz 2 — Schutzinteressen).
6. Konsultation / Genehmigung. DSB einbinden; Ergebnis der Stakeholder-Konsultation explizit in der DSFA verarbeiten.

Mustertext / Template

STAKEHOLDER-KONSULTATION DSFA [DATUM]

Verarbeitung: [BEZEICHNUNG]
Verantwortlicher: [NAME]

1. Betroffenenkreise
- [Beschaeftigte / Kunden / Patienten / Buerger / ...]
- Anzahl (ca.): [X]

2. Identifizierte Vertretungen
- Betriebsrat: [Ansprechpartner, BetrVG-Bezug]
- Verbraucherverband: [...]
- Sonstige: [...]

3. Angemessenheit der Konsultation
[ ] erforderlich (Begruendung: [...])
[ ] entbehrlich (Begruendung Art. 35 Abs. 9 Halbsatz 2: [...])

4. Form der Konsultation
[ ] schriftliche Stellungnahme Betriebsrat (BetrVG §§ 87, 90, 94)
[ ] strukturierte Umfrage (Stichprobe N=[X])
[ ] Workshop / Diskussionsrunde
[ ] öffentliche Anhörung
[ ] Verbaendebeteiligung

5. Zeitplan
- Versand / Einladung: [DATUM]
- Rueckmeldefrist: [DATUM]
- Auswertung: [DATUM]
- Aufnahme in DSFA: [DATUM]

6. Verwertung
[Wie wird das Ergebnis in der DSFA verarbeitet? Welche Punkte fuehren zu Massnahmen-Anpassungen?]

7. Schutzinteressen
[Welche Informationen sind aus Gruenden Wettbewerb / Sicherheit / Geheimhaltung nicht offengelegt? Begruendung.]

Unterschrift Verantwortlicher: ____________________
Unterschrift DSB: ____________________

Beispielfaelle Konsultationspflicht

• KI-Personalauswahl im Konzern: schriftliche Stellungnahme Betriebsrat plus Mitarbeiterumfrage.
• Patientenakten-Migration in Cloud: Patientenvertretung anhoeren, Patienteninformation vorbereiten.
• Smart-City-Sensorik: öffentliche Anhörung, Verbaendebeteiligung Datenschutzverein.
• Connected-Vehicle-Telematik: Verbraucherverbaende anhoeren, ggf. Nutzerstichprobe.
• Schueler-Lernplattform: Eltern- und Schuelervertretung anhoeren, Landesdatenschutz informieren.

Form der Dokumentation

• Verteilte Fragenliste mit Datum, Empfaengerkreis, Rueckmeldefrist.
• Eingaenge protokolliert mit Datum und Eingangsnummer.
• Auswertung mit Begruendung welche Hinweise wie in die DSFA eingeflossen sind.
• Nicht aufgenommene Hinweise mit Begruendung der Nicht-Beruecksichtigung.
• Anonymisierung der Stellungnahmen wenn personenbezogen.

Typische Fehler

• Konsultation wird ganz unterlassen ohne dokumentierte Begruendung — Verstoss gegen Art. 35 Abs. 9 und Art. 5 Abs. 2 DSGVO.
• Konsultation wird nur formal durchgefuehrt, Ergebnis nicht in die DSFA aufgenommen.
• Betriebsrat wird umgangen, obwohl Mitbestimmung nach BetrVG ausgeloest ist.
• Konsultation wird nach DSFA-Abschluss durchgefuehrt — verfehlt den Zweck der Risikoabwaegung.
• Schutzinteressen werden pauschal behauptet ohne konkrete Begruendung.
• Bei öffentlichen Stellen werden Beteiligungsrechte nach Landesrecht uebersehen.
• Eingaenge der Stakeholder werden nicht im Verarbeitungsverzeichnis Art. 30 verlinkt.

Quellen Stand 06/2026

• Art. 35 Abs. 9 DSGVO
• § 26 BDSG; §§ 87, 90, 94 BetrVG
• EDSA-Leitlinien WP 248 rev.01
• Literatur: Kommentar- und Aufsatzfundstellen nur bei eigener Quelle

Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.