Datenschutz-Audit: Was in kleinen und mittleren Unternehmen tatsächlich geprüft wird

Ein Datenschutz-Audit findet nicht heraus, ob ein Ordner existiert – es findet heraus, ob die Datenschutzorganisation im Alltag trägt: bei einer Aufsichtsanfrage, bei einer Kundenprüfung, bei einem Vorfall. Der Aufwand liegt dabei selten im Prüfen, sondern im Nachliefern dessen, was fehlt.

Wann ein Datenschutz-Audit sinnvoll ist

Die DSGVO verlangt kein Verfahren mit diesem Namen. Verlangt wird die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können (Art. 5 Abs. 2, Art. 24 Abs. 1). Und die Aufsichtsbehörden haben nach Art. 57 Abs. 1 lit. h DSGVO ausdrücklich die Aufgabe zu prüfen, ob Verarbeitungen den Vorschriften entsprechen. Ein Audit ist der Weg, Schwachstellen zu finden, bevor sie gefunden werden. Sinnvoll ist es vor allem in diesen Situationen:

• Prüfung steht ins Haus. Ein Aufsichtsschreiben, ein Auskunftsersuchen oder eine angekündigte Kontrolle – dann ist die Reihenfolge der Hausaufgaben entscheidend.
• Kunde fragt nach. Im Rahmen von Vergaben, Lieferantenprüfungen und Auftragsverarbeitung wird die Datenschutzorganisation regeläßig bewertet und dokumentiert.
• Neues System, neue Verarbeitung. Der günstigste Zeitpunkt, um Verzeichnis, Rechtsgrundlage und Löschkonzept zu klären, ist vor dem Start.
• Nach einem Vorfall. Ob es sich um eine meldepflichtige Verletzung handelt (Art. 33/34 DSGVO), entscheidet die Faktenlage – nicht das Gefühl.
• Gewachsene Organisation. Wer über Jahre Verzeichnisse, Verträge und Richtlinien gepflegt hat, weiß meist nicht mehr, welche Fassung gilt. Ein Audit sortiert das.

Die sieben Prüfbereiche

Ein seriöses Audit prüft nicht „die DSGVO“, sondern einzelne Bereiche mit belegbarem Ergebnis. Diese sieben decken in kleinen und mittleren Unternehmen den Großteil der Risiken ab:

• Verzeichnis der Verarbeitungstätigkeiten (Art. 30) – vollständig, aktuell, mit Löschfristen?
• Rechtsgrundlagen und Informationspflichten (Art. 6, 13/14) – entspricht das, was Sie tun, dem, was Sie zugesagt haben?
• Auftragsverarbeitung (Art. 28) – für jeden Dienstleister ein Vertrag mit TOM-Anlage, und stimmt die vereinbarte Verarbeitung mit der tatsächlichen überein?
• Technische und organisatorische Maßnahmen (Art. 32) – dokumentiert und im Betrieb nachweisbar, nicht nur beschrieben?
• Meldepflichten (Art. 33/34) – gibt es einen Ablauf, der auch dann funktioniert, wenn der Postfach-Zugang selbst betroffen ist?
• Betroffenenrechte (Art. 15–22) – Auskunft, Berichtigung, Löschung: Wer bearbeitet das in welcher Frist?
• Schulung und Verantwortlichkeiten (Art. 39, Art. 32 Abs. 4) – weiß jede Rolle, was sie tun muss, und gibt es einen Nachweis?

Wo eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, kommt die Datenschutz-Folgenabschätzung nach Art. 35 hinzu. Sie ist kein Teil des Audits, sondern eine eigene Prüfung – und häufig der Punkt, an dem ein Audit zuerst landet.

So läuft ein Audit ab

• Auftakt und Umfang. Kurzes Gespräch: Welche Verarbeitungen gibt es, wer ist im Haus zuständig, was ist bereits dokumentiert? Ergebnis ist ein Umfang, nicht ein Angebot „von der Stange“.
• Aufnahme. Sichtung der vorhandenen Unterlagen und der eingesetzten Systeme. Hier zeigt sich, was in der Praxis tatsächlich läuft – und wie weit Dokumentation und Alltag auseinanderliegen.
• Befund und Prioritäten. Ergebnis ist eine Liste mit Fundstellen und Gewichtung: was rechtlich zuerst zu klären ist, was schnell umsetzbar ist und was Zeit hat. Keine 80-Punkte-Liste ohne Reihenfolge.
• Nachhalten. Was nach sechs Monaten nicht nachgehalten wird, verliert seine Wirkung. Deshalb gehört zu jedem Befund ein Verantwortlicher und ein Termin.

Was ein Datenschutz-Audit nicht ist

• Keine Zertifizierung. Ein Zertifikat nach Art. 42/43 DSGVO ist ein eigenes, formalisiertes Verfahren mit akkreditierten Stellen. Ein Audit ist eine Prüfung, kein Siegel.
• Kein Freibrief. Ein Audit verhindert keine Aufsichtsmaßnahmen. Es sorgt dafür, dass Sie wissen, wie Sie dastehen – und dass im Ernstfall eine nachvollziehbare Dokumentation vorliegt.
• Keine Rechtsberatung. Wo eine rechtliche Bewertung im Einzelfall nötig ist, gehört sie zu einer Kanzlei. Diese Seite gibt einen Überblick über Verfahren und Prüfbereiche.
• Kein einmaliger Akt. Nutzen entsteht durch Wiederholung – in der Regel einmal jährlich und bei jeder größeren Änderung.

Diese Seite beschreibt das Verfahren und die einschlägigen Vorschriften (Art. 5 Abs. 2, Art. 24, Art. 28, Art. 30, Art. 32, Art. 33/34, Art. 35, Art. 42/43, Art. 57 Abs. 1 lit. h DSGVO). Sie ersetzt keine Rechtsberatung im Einzelfall.

Häufige Fragen zum Datenschutz-Audit

Was ist ein Datenschutz-Audit?

Ein Datenschutz-Audit ist eine systematische Prüfung, ob die Datenschutzorganisation eines Unternehmens die Anforderungen der DSGVO und des BDSG tatsächlich erfüllt – nicht nur auf dem Papier. Geprüft werden die Verfahren, die Dokumentation, die Verträge mit Dienstleistern, die technischen und organisatorischen Maßnahmen und die Wege, über die Meldepflichten und Betroffenenanfragen laufen.

Ist ein Datenschutz-Audit Pflicht?

Ein Verfahren mit diesem Namen verlangt die DSGVO nicht. Verlangt wird die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können (Art. 5 Abs. 2, Art. 24 Abs. 1). Aufsichtsbehörden haben nach Art. 57 Abs. 1 lit. h DSGVO ausdrücklich die Aufgabe zu prüfen, ob Verarbeitungen den Vorschriften entsprechen. Ein Audit ist der Weg, Schwachstellen zu finden, bevor eine Aufsicht oder ein Kunde sie findet.

Wann lohnt sich ein Audit am meisten?

Vor oder nach einer Prüfung durch die Aufsichtsbehörde, bei Kundenanforderungen im Rahmen von Vergaben und AVV-Prüfungen, vor der Einführung neuer Systeme mit personenbezogenen Daten, nach einem Vorfall und immer dann, wenn die Datenschutzorganisation über Jahre gewachsen und niemand mehr sicher weiß, was aktuell gilt.

Wie lange dauert ein Datenschutz-Audit?

Das hängt von Größe und Zahl der Verfahren ab. Für kleine und mittlere Unternehmen ist die Datenschutzorganisation in der Regel an ein bis drei Terminen aufgenommen; der Aufwand entsteht nicht durch das Prüfen, sondern durch das Nachliefern fehlender Unterlagen. Was noch fehlt, sehen Sie nach der Aufnahme konkret – statt einen Maßnahmenkatalog abzuarbeiten.

Was kostet ein Datenschutz-Audit?

Der Aufwand richtet sich nach Zahl der Beschäftigten, Zahl und Art der Verarbeitungen und dem Zustand der vorhandenen Dokumentation. Deshalb gibt es keinen Pauschalpreis, sondern nach einem kurzen Erstgespräch einen konkreten Rahmen, den Sie bewerten können.

Wenn ein Audit nur ein Teil ist: Die laufende Betreuung übernimmt der externe Datenschutzbeauftragte; die technische Seite von Projekten liegt bei der IT-Projektsteuerung.