Datenschutz-Audit: Ihren DSGVO-Stand prüfen und belegen

Was ist ein Datenschutzaudit?

Ein Datenschutz-Audit ist eine systematische Prüfung, ob Ihr Unternehmen personenbezogene Daten so verarbeitet, wie es DSGVO und BDSG verlangen. Es vergleicht den Ist-Zustand mit den gesetzlichen Anforderungen, bewertet Lücken nach Risiko und zeigt, was zu tun ist. Das Ergebnis ist ein schriftlicher Bericht. Mit ihm belegen Sie gegenüber Geschäftsleitung, Kunden und Aufsichtsbehörde, wo Sie stehen.

Ein DSGVO-Check im Sinne eines kurzen Fragebogens kann ein Einstieg sein. Ein Datenschutzaudit geht tiefer: Es prüft Dokumente und Technik und spricht mit den Menschen, die täglich mit Daten arbeiten. So zeigt sich, ob Regeln auf dem Papier auch im Alltag gelten.

Warum ein Datenschutzaudit nach DSGVO sinnvoll ist

Die DSGVO schreibt kein Audit mit diesem Namen vor. Sie verlangt aber an mehreren Stellen Überprüfung und Nachweis:

• Art. 5 Abs. 2 DSGVO: Sie müssen die Einhaltung der Datenschutzgrundsätze nachweisen können (Rechenschaftspflicht).
• Art. 24 Abs. 1 DSGVO: Ihre technischen und organisatorischen Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.
• Art. 32 Abs. 1 lit. d DSGVO: Sie brauchen ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit Ihrer Sicherheitsmaßnahmen.
• Art. 28 Abs. 3 lit. h DSGVO: Auftragsverarbeiter müssen Ihnen Überprüfungen einschließlich Inspektionen ermöglichen.
• Art. 39 Abs. 1 lit. b DSGVO: Der Datenschutzbeauftragte überwacht die Einhaltung einschließlich der diesbezüglichen Überprüfungen.

Die Aufsichtsbehörden dürfen ihrerseits Datenschutzüberprüfungen durchführen und Zugang zu allen nötigen Informationen verlangen (Art. 58 Abs. 1 lit. b und e DSGVO). Wer vorher selbst geprüft hat, ist vorbereitet. Wie behördliche Prüfungen ablaufen, beschreibt der Artikel Wie laufen behördliche Prüfungen und Kontrollen ab?

Wann ein Datenschutz-Audit besonders sinnvoll ist

Ein Audit lohnt sich immer dann, wenn Sie einen belastbaren Stand brauchen oder sich viel verändert hat. Typische Anlässe sind:

• der Start mit einem neuen internen oder externen Datenschutzbeauftragten, der eine Ausgangslage braucht
• Wachstum, neue Standorte oder eine Umstrukturierung
• die Einführung neuer Software, etwa Cloud-Dienste, Bewerbermanagement oder KI-Werkzeuge
• eine Datenpanne, nach der Ursachen und Schwachstellen geklärt werden sollen, siehe Datenpanne melden
• Anforderungen von Kunden oder Auftraggebern, die einen Nachweis verlangen
• ein Unternehmenskauf oder eine Praxisübernahme

Stellt das Audit Verarbeitungen mit voraussichtlich hohem Risiko fest, folgt oft eine Datenschutz-Folgenabschätzung. Auch ohne besonderen Anlass empfiehlt sich eine regelmäßige Wiederholung, damit der Nachweis aktuell bleibt.

Was wir prüfen: der Umfang des Audits

Den Umfang legen wir vorab mit Ihnen fest. Er kann das ganze Unternehmen umfassen oder einzelne Bereiche, etwa Personal oder Website. Typische Prüffelder sind:

• Geschäftsprozesse mit personenbezogenen Daten, von der Bewerbung bis zur Rechnung
• das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO
• Rechtsgrundlagen, Einwilligungen und Informationspflichten nach Art. 13 und 14 DSGVO
• IT-Infrastruktur: Server, Cloud-Dienste, Endgeräte, Berechtigungen, Datensicherung
• Verträge mit Auftragsverarbeitern nach Art. 28 DSGVO und gemeinsame Verantwortlichkeit nach Art. 26 DSGVO
• Website: Datenschutzerklärung, Einwilligungsbanner, Formulare, Tracking
• Organisation: Löschkonzept, Betroffenenanfragen, Schulungen, Meldekette bei Datenpannen

Bei öffentlichen Stellen prüfen wir zusätzlich die Vorgaben des jeweiligen Landesdatenschutzgesetzes, in Bayern etwa des Bayerischen Datenschutzgesetzes.

Ablauf des Datenschutzaudits in drei Phasen

Phase 1: Interviews und Bestandsaufnahme

Wir sprechen strukturiert mit den verantwortlichen Bereichen, etwa Geschäftsleitung, Personal, IT und Vertrieb. So erfassen wir die Verarbeitungen und verstehen die Abläufe so, wie sie tatsächlich gelebt werden.

Phase 2: Dokumentenprüfung

Wir prüfen vorhandene Unterlagen auf Vollständigkeit und Stimmigkeit: Verarbeitungsverzeichnis, Datenschutzhinweise, Verträge zur Auftragsverarbeitung, Einwilligungstexte, Betriebsvereinbarungen und interne Richtlinien.

Phase 3: Technische Prüfung

Wir sehen uns Zugriffsrechte, Verschlüsselung, Datensicherung, die Konfiguration von Cloud-Diensten und die technische Umsetzung auf Ihrer Website an. Dabei gleichen wir ab, ob die beschriebenen Maßnahmen tatsächlich wirken. Wo es sinnvoll ist, prüfen wir Stichproben, etwa ob ausgeschiedene Beschäftigte noch Zugänge haben oder ob Löschfristen eingehalten werden.

Ergebnis: Gap-Analyse, Maßnahmenplan, Management-Summary

Am Ende erhalten Sie einen schriftlichen Auditbericht mit drei Teilen:

Der Bericht dient zugleich als Nachweis im Sinne von Art. 5 Abs. 2 DSGVO. Nach der Umsetzung der Maßnahmen lohnt eine kurze Nachprüfung der kritischen Punkte.

Datenschutz-Checkliste für Unternehmen: typische Auditfragen

Diese Punkte prüfen wir in fast jedem Datenschutzaudit. Sie eignen sich auch als erster DSGVO-Check für Ihr Unternehmen.

• Gibt es ein aktuelles Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)?
• Ist für jede Verarbeitung eine Rechtsgrundlage nach Art. 6 und gegebenenfalls Art. 9 DSGVO benannt?
• Erhalten Betroffene die Informationen nach Art. 13 und 14 DSGVO, auch Beschäftigte und Bewerber?
• Sind die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO beschrieben und werden sie regelmäßig überprüft?
• Liegen mit allen Dienstleistern, die Daten in Ihrem Auftrag verarbeiten, Verträge nach Art. 28 DSGVO vor?
• Gibt es ein Löschkonzept mit Fristen, und wird tatsächlich gelöscht?
• Werden Anträge auf Auskunft, Berichtigung oder Löschung innerhalb eines Monats beantwortet (Art. 12 Abs. 3 DSGVO)?
• Ist geklärt, wer eine Datenpanne bewertet und sie möglichst binnen 72 Stunden meldet (Art. 33 DSGVO)?
• Sind Beschäftigte auf Vertraulichkeit verpflichtet und geschult?
• Ist geprüft, ob für riskante Verarbeitungen eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO)?
• Ist ein Datenschutzbeauftragter benannt, falls Pflicht, und der Aufsichtsbehörde gemeldet (Art. 37 Abs. 7 DSGVO)?
• Sind Übermittlungen in Drittländer, etwa an US-Dienste, abgesichert (Art. 44 ff. DSGVO)?
• Holt die Website Einwilligungen für Cookies und Tracking ein, wo § 25 TDDDG das verlangt?

Vertiefung zu zwei Kernpunkten: Was ist das Verzeichnis von Verarbeitungstätigkeiten? und Welche TOM sind Pflicht?

Wo Datenschutz-Audits oft Lücken finden

Einige Prüffelder fallen in Audits besonders häufig auf. Zu jedem gibt es einen ausführlichen Artikel im Wissensbereich:

• Tracking und Statistik: Google Analytics und ähnliche Tools brauchen eine vorherige Einwilligung (§ 25 Abs. 1 TDDDG). Was ohne geht, zeigt Webanalyse ohne Einwilligung.
• Cookies und Zugriffe auf Endgeräte: Die Regeln für Websites und Apps stehen im TDDDG. Überblick unter TDDDG für Websites und Apps.
• Eingebettete Inhalte: YouTube-Videos und Social-Media-Plugins übertragen schon beim Laden die IP-Adresse. Lösungen erklärt YouTube einbetten nach DSGVO.
• Newsletter: Einwilligung, Double-Opt-in und Protokoll der Anmeldung, siehe Newsletter und DSGVO.
• Betroffenenrechte: neben Auskunft und Löschung auch die Herausgabe in maschinenlesbarem Format, siehe Recht auf Datenübertragbarkeit.
• Hinweisgebersystem: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten brauchen eine interne Meldestelle (§ 12 HinSchG). Die Datenschutzfragen dazu klärt Hinweisgebersystem und Datenschutz.

Welche Gesetze einem Audit insgesamt zugrunde liegen, zeigt der Überblick Datenschutzgesetze in Deutschland.

Was Sie zur Vorbereitung bereitlegen

Je vollständiger die Unterlagen vorliegen, desto zügiger läuft das Audit. Fehlende Dokumente sind aber kein Hindernis. Genau solche Lücken soll das Audit ja zeigen.

• Organigramm und Ansprechpartner je Bereich
• vorhandenes Verarbeitungsverzeichnis und Beschreibung der TOM
• Liste der eingesetzten Software und Dienstleister mit den Verträgen
• Datenschutzhinweise für Kunden, Beschäftigte und Website
• interne Richtlinien, etwa zu IT-Nutzung, Passwörtern und Homeoffice
• Unterlagen zu früheren Datenpannen und Betroffenenanfragen
• Schulungsnachweise der Beschäftigten

Fehlen Schulungsnachweise, hilft unsere Datenschutzschulung mit dokumentierter Teilnahme.

Wie lange dauert ein Datenschutzaudit?

Die Dauer hängt vor allem von vier Faktoren ab: der Zahl der Standorte, der Zahl und Art der Verarbeitungen, dem Zustand der vorhandenen Dokumentation und der Verfügbarkeit Ihrer Ansprechpartner. Ein kleiner Betrieb mit einem Standort und wenigen Systemen braucht deutlich weniger Termine als eine Organisation mit mehreren Fachbereichen. Für Ihr Team bleibt der Aufwand überschaubar. Es beantwortet Fragen in kurzen Interviews und stellt Unterlagen bereit. Alle Termine finden per Videokonferenz statt, das spart Wege und Zeit. Den konkreten Zeitplan legen wir nach dem Erstgespräch fest und nennen ihn im Angebot.

Vom Audit zum Datenschutzkonzept

Der Begriff Datenschutzkonzept steht nicht im Gesetz. Gemeint ist die geordnete Beschreibung, wie ein Unternehmen den Datenschutz organisiert. Die DSGVO spricht in Art. 24 Abs. 2 von geeigneten Datenschutzvorkehrungen, die der Verantwortliche anwendet, soweit das im Verhältnis zu seinen Verarbeitungen steht.

Ein Datenschutzkonzept umfasst typischerweise Zuständigkeiten und Rollen, das Verarbeitungsverzeichnis, die TOM, ein Löschkonzept, Abläufe für Betroffenenrechte und Datenpannen, Regeln für Dienstleister sowie Schulungen. Das Audit liefert die Bestandsaufnahme dafür, der Maßnahmenplan zeigt die fehlenden Teile. Welche Nachweise insgesamt gefordert sind, erklärt der Artikel Welche Dokumentationspflichten bestehen insgesamt?