Art. 7 32026D1942

Die gemeinsam Verantwortlichen entscheiden, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und welcher der gemeinsam Verantwortlichen einen Entwurf der Datenschutz-Folgenabschätzung erstellt.

Eine Datenschutz-Folgenabschätzung gilt erst dann als endgültig, wenn sie von allen gemeinsam Verantwortlichen genehmigt wurde.

In begründeten Fällen, z. B. wenn die gemeinsam Verantwortlichen nicht an denselben Phasen eines Verarbeitungsvorgangs beteiligt sind, führen die gemeinsam Verantwortlichen eine gesonderte Datenschutz-Folgenabschätzung für die betreffende Phase des Verarbeitungsvorgangs durch, an der sie beteiligt sind.

Wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ohne Garantien, Sicherheitsvorkehrungen und Verfahren zur Risikominderung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, und das Risiko nach Auffassung des gemäß Absatz 1 für die Erstellung des Entwurfs zuständigen gemeinsam Verantwortlichen nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel gemindert werden kann, so konsultiert dieser gemeinsam Verantwortliche seine Aufsichtsbehörde. In einem solchen Fall konsultiert die EZB auch den Europäischen Datenschutzbeauftragten gemäß Artikel 40 der Verordnung (EU) 2018/1725, selbst wenn sie nicht der gemäß Absatz 1 für die Erstellung des Entwurfs zuständige gemeinsam Verantwortliche ist.