Klotzkette Stakeholder-Konsultation nach Art. 35 Abs. 9 DSGVO
Wann dieses Modul hilft
- Bei DSFA mit Beschäftigtendaten (Betriebsrat als Vertretung)
- Bei DSFA mit Patientendaten oder Kundendaten in grossem Umfang
- Bei öffentlichen Konsultationen (z. B. Smart-City-Projekte)
- Wenn die Aufsichtsbehoerde im Vorabkonsultationsverfahren Art. 36 Stakeholder-Beteiligung erwartet
- Bei KI-Systemen, die viele Betroffene treffen
Rechtlicher Rahmen
- Art. 35 Abs. 9 DSGVO: Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung ein, unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgaenge.
- § 26 BDSG, BetrVG (§§ 87, 90, 94): Beteiligung des Betriebsrats bei Beschäftigtendatenverarbeitungen mit Mitbestimmungsbezug.
- EDSA-Leitlinien WP 248 rev.01 zur Konsultation.
- EDSA-Stellungnahmen zur Konsultation in komplexen Verarbeitungen.
Ablauf 6-Schritte-Methodik
- Verarbeitungsbeschreibung. Welche Verarbeitung? Welche Betroffenenkreise? Gibt es etablierte Vertretungen (Betriebsrat, Patientenvertretung, Verbraucherverbaende)?
- Verhältnismäßigkeitspruefung. Ist eine Konsultation angemessen (Art. 35 Abs. 9 verlangt nur soweit angemessen)? Faktoren: Eingriffstiefe, Anzahl Betroffener, Erkennbarkeit der Verarbeitung, Existenz strukturierter Vertretung.
- Risikoanalyse. Risiken bei Konsultation: Geheimhaltungsinteressen, Wettbewerb, Sicherheitsrisiken. Risiken ohne Konsultation: Reputationsverlust, Aufsichtsanstoss, Akzeptanzproblem.
- Maßnahmen / Form der Konsultation.
- Schriftliche Konsultation des Betriebsrats mit Beschreibung der Verarbeitung
- Umfrage unter Betroffenenstichprobe
- Workshop oder Diskussionsrunde
- Oeffentliche Anhörung (öffentliche Stellen)
- Verbaendekonsultation (Verbraucherzentralen, Datenschutzvereine)
- Restrisiko. Bewertung des Konsultationsergebnisses und Eingang in die DSFA. Wenn Konsultation unterbleibt: Begruendung dokumentieren (Art. 35 Abs. 9 Halbsatz 2 — Schutzinteressen).
- Konsultation / Genehmigung. DSB einbinden; Ergebnis der Stakeholder-Konsultation explizit in der DSFA verarbeiten.
Mustertext / Template
STAKEHOLDER-KONSULTATION DSFA [DATUM]
Verarbeitung: [BEZEICHNUNG]
Verantwortlicher: [NAME]
1. Betroffenenkreise
- [Beschaeftigte / Kunden / Patienten / Buerger / ...]
- Anzahl (ca.): [X]
2. Identifizierte Vertretungen
- Betriebsrat: [Ansprechpartner, BetrVG-Bezug]
- Verbraucherverband: [...]
- Sonstige: [...]
3. Angemessenheit der Konsultation
[ ] erforderlich (Begruendung: [...])
[ ] entbehrlich (Begruendung Art. 35 Abs. 9 Halbsatz 2: [...])
4. Form der Konsultation
[ ] schriftliche Stellungnahme Betriebsrat (BetrVG §§ 87, 90, 94)
[ ] strukturierte Umfrage (Stichprobe N=[X])
[ ] Workshop / Diskussionsrunde
[ ] öffentliche Anhörung
[ ] Verbaendebeteiligung
5. Zeitplan
- Versand / Einladung: [DATUM]
- Rueckmeldefrist: [DATUM]
- Auswertung: [DATUM]
- Aufnahme in DSFA: [DATUM]
6. Verwertung
[Wie wird das Ergebnis in der DSFA verarbeitet? Welche Punkte fuehren zu Massnahmen-Anpassungen?]
7. Schutzinteressen
[Welche Informationen sind aus Gruenden Wettbewerb / Sicherheit / Geheimhaltung nicht offengelegt? Begruendung.]
Unterschrift Verantwortlicher: ____________________
Unterschrift DSB: ____________________
Beispielfaelle Konsultationspflicht
- KI-Personalauswahl im Konzern: schriftliche Stellungnahme Betriebsrat plus Mitarbeiterumfrage.
- Patientenakten-Migration in Cloud: Patientenvertretung anhoeren, Patienteninformation vorbereiten.
- Smart-City-Sensorik: öffentliche Anhörung, Verbaendebeteiligung Datenschutzverein.
- Connected-Vehicle-Telematik: Verbraucherverbaende anhoeren, ggf. Nutzerstichprobe.
- Schueler-Lernplattform: Eltern- und Schuelervertretung anhoeren, Landesdatenschutz informieren.
Form der Dokumentation
- Verteilte Fragenliste mit Datum, Empfaengerkreis, Rueckmeldefrist.
- Eingaenge protokolliert mit Datum und Eingangsnummer.
- Auswertung mit Begruendung welche Hinweise wie in die DSFA eingeflossen sind.
- Nicht aufgenommene Hinweise mit Begruendung der Nicht-Beruecksichtigung.
- Anonymisierung der Stellungnahmen wenn personenbezogen.
Typische Fehler
- Konsultation wird ganz unterlassen ohne dokumentierte Begruendung — Verstoss gegen Art. 35 Abs. 9 und Art. 5 Abs. 2 DSGVO.
- Konsultation wird nur formal durchgefuehrt, Ergebnis nicht in die DSFA aufgenommen.
- Betriebsrat wird umgangen, obwohl Mitbestimmung nach BetrVG ausgeloest ist.
- Konsultation wird nach DSFA-Abschluss durchgefuehrt — verfehlt den Zweck der Risikoabwaegung.
- Schutzinteressen werden pauschal behauptet ohne konkrete Begruendung.
- Bei öffentlichen Stellen werden Beteiligungsrechte nach Landesrecht uebersehen.
- Eingaenge der Stakeholder werden nicht im Verarbeitungsverzeichnis Art. 30 verlinkt.
Quellen Stand 06/2026
- Art. 35 Abs. 9 DSGVO
- § 26 BDSG; §§ 87, 90, 94 BetrVG
- EDSA-Leitlinien WP 248 rev.01
- Literatur: Kommentar- und Aufsatzfundstellen nur bei eigener Quelle
Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.