§ 23 Anhörung der oder des Landesbeauftragten

(1) Der Verantwortliche hört vor der Inbetriebnahme neuer Dateisysteme die Landesbeauftragte oder den Landesbeauftragten an, wenn

aus einer Datenschutz-Folgenabschätzung nach § 21 hervorgeht, dass die Verarbeitung ein hohes Risiko für die Rechtsgüter betroffener Personen zur Folge hätte, soweit der Verantwortliche keine Maßnahmen zur Abwendung oder Verringerung des Risikos trifft oder

die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien oder Verfahren, ein hohes Risiko für die Rechtsgüter der betroffenen Personen zur Folge hat.

Die oder der Landesbeauftragte kann eine Liste der Verarbeitungsvorgänge erstellen, die den Verantwortlichen zu einer Anhörung nach Satz 1 verpflichten.

(2) Der Verantwortliche übermittelt der oder dem Landesbeauftragten neben der Datenschutz-Folgenabschätzung und dem Namen und der Erreichbarkeit der oder des behördlichen Datenschutzbeauftragten Angaben zu den jeweiligen Zuständigkeiten des oder der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter. Auf Anforderung übermittelt der Verantwortliche unverzüglich weitere Angaben, die die oder der Landesbeauftragte benötigt, um die Rechtmäßigkeit der Verarbeitung sowie die Risiken und die Maßnahmen zu deren Abwendung oder Verringerung bewerten zu können.

(3) Kommt die oder der Landesbeauftragte zu dem Ergebnis, dass die geplante Verarbeitung gegen gesetzliche Vorgaben verstoßen würde, insbesondere weil der Verantwortliche die Risiken nicht ausreichend ermittelt oder ausreichende Maßnahmen zu deren Abwendung oder Verringerung noch nicht getroffen hat, übermittelt sie oder er dem Verantwortlichen und erforderlichenfalls dem Auftragsverarbeiter schriftlich innerhalb von sechs Wochen nach Einleitung der Anhörung Empfehlungen zu den noch zu ergreifenden Maßnahmen. Die oder der Landesbeauftragte kann diese Frist um einen Monat verlängern, wenn die geplante Verarbeitung besonders umfangreich oder schwierig ist. Sie oder er unterrichtet in diesem Fall den Verantwortlichen und erforderlichenfalls den Auftragsverarbeiter innerhalb eines Monats nach Einleitung der Anhörung unter Mitteilung der Gründe über die Fristverlängerung. Die Befugnisse der oder des Landesbeauftragten nach § 36 bleiben unberührt.

(4) Ist die beabsichtigte Verarbeitung aufgrund ihrer erheblichen Bedeutung für die Aufgabenerfüllung besonders dringlich, kann der Verantwortliche mit der Verarbeitung nach Beginn der Anhörung, aber vor Ablauf der in Absatz 3 Satz 1 genannten Frist beginnen. In diesem Fall sind die Empfehlungen der oder des Landesbeauftragten nachträglich zu berücksichtigen und die Art und Weise der Verarbeitung erforderlichenfalls entsprechend anzupassen.

Einzelnorm