In einem Satz. Ein Datenschutz-Audit ist die systematische Überprüfung, ob Ihre Datenverarbeitung der DSGVO entspricht — es gleicht das Verarbeitungsverzeichnis (Art. 30), die Rechtsgrundlagen (Art. 6), die TOM (Art. 32), die AVV (Art. 28) und die Betroffenenprozesse mit der gelebten Praxis ab und liefert den Nachweis der Rechenschaftspflicht (Art. 5 Abs. 2).
Wichtige Punkte
- Kein gesetzlich vorgeschriebenes Format, aber faktischer Nachweis der Rechenschaft.
- Sechs Phasen: Scope, Bestandsaufnahme, Prüfung, Bewertung, Maßnahmen, Nachverfolgung.
- Intern (schnell, günstig) vs. extern (unabhängig, tiefer).
- Ergebnis: Maßnahmenplan mit Prioritäten und Fristen.
- Wiederholung alle 12–24 Monate empfohlen.
Der Ablauf in 6 Phasen
| Phase | Inhalt | Ergebnis |
|---|---|---|
| 1. Scope | Prüfumfang, Ziele, Bereiche festlegen | Auditplan |
| 2. Bestandsaufnahme | Verzeichnis, Verträge, Richtlinien sichten | Dokumentenlage |
| 3. Prüfung | Interviews, Systemeinsicht, Stichproben | Feststellungen |
| 4. Bewertung | Abgleich Soll/Ist, Risikoeinstufung | Findings + Risiko |
| 5. Maßnahmen | Empfehlungen, Prioritäten, Fristen | Maßnahmenplan |
| 6. Nachverfolgung | Umsetzung prüfen, nachauditieren | Fortschrittsbericht |
Die Audit-Checkliste (Prüffelder)
Intern vs. extern
| Kriterium | Internes Audit | Externes Audit |
|---|---|---|
| Kosten | gering (Personalzeit) | Honorar (Tagessatz) |
| Unabhängigkeit | begrenzt | hoch |
| Betriebskenntnis | hoch | muss aufgebaut werden |
| Tiefe / Methodik | variabel | standardisiert |
| Außenwirkung | intern | Nachweis ggü. Dritten |
| Häufigkeit | laufend/jährlich | alle 1–2 Jahre |
So passen Sie das Vorgehen an
Vom Finding zur Maßnahme
Der Wert eines Audits entscheidet sich nicht bei den Feststellungen, sondern bei ihrer Umsetzung. Bewährt hat sich, jedes Finding nach einem einheitlichen Schema zu erfassen: Beschreibung der Lücke, betroffene Norm, Risikoeinstufung (rot/gelb/grün), empfohlene Maßnahme, Verantwortlicher und Frist. Rote Findings — etwa fehlende AVV, ungetestete Backups oder eine überfällige Löschung — gehören sofort adressiert, weil sie unmittelbar bußgeldrelevant sind. Gelbe Findings werden terminiert, grüne dokumentiert und beobachtet. Dieser Maßnahmenplan ist zugleich der Beweis, dass Sie erkannte Risiken nicht ignorieren, sondern strukturiert bearbeiten — ein wichtiger Aspekt, weil ein bewusst offengelassener Mangel im Streitfall schwerer wiegt als ein noch unentdeckter.
Planen Sie das Nachaudit fest ein: Erst wenn Sie die Umsetzung der Maßnahmen überprüft und dokumentiert haben, schließt sich der Kreis. Ein Audit ohne Nachverfolgung erzeugt lediglich eine Liste bekannter Probleme — und damit im Zweifel mehr Haftung als Nutzen.
Audit als Teil des Datenschutz-Managements
Häufige Fehler
- Audit als Papierübung. Wer nur Dokumente sichtet, ohne die gelebte Praxis (Interviews, Stichproben) zu prüfen, übersieht die realen Risiken.
- Keine Nachverfolgung. Findings ohne Umsetzung und Nachaudit bleiben folgenlos — und belasten im Ernstfall, weil das Unternehmen die Lücke kannte.
- Fehlende Unabhängigkeit. Wer die eigene Arbeit prüft, findet ungern Fehler. Bei kritischen Bereichen sorgt ein externer Blick für Objektivität.
- Aus Angst nichts dokumentieren. Manche verzichten auf Audits, um keine Belege für Lücken zu schaffen. Das ist riskant: Der EuGH (C-340/21) legt die Beweislast für TOM ohnehin beim Verantwortlichen — ein dokumentierter Verbesserungsprozess wirkt strafmildernd, nicht -verschärfend.
- Bußgeldrelevante Felder übersehen. Fehlende AVV (vgl. Vodafone GmbH, 45 Mio. €, 2025), unzureichende TOM (1&1, 9,55 Mio. €) oder Überaufbewahrung (Deutsche Wohnen, 14,5 Mio. €) sind die klassischen Prüfschwerpunkte.
FAQ
Ist ein Datenschutz-Audit gesetzlich vorgeschrieben?
Ein Audit in bestimmter Form ist nicht ausdrücklich vorgeschrieben. Die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt jedoch, dass Sie die Einhaltung der Grundsätze nachweisen können. Ein strukturiertes, dokumentiertes Audit ist der praktikabelste Weg, diesen Nachweis zu erbringen und Lücken systematisch zu schließen.
Wie oft sollte ein Audit stattfinden?
Als Faustregel: eine interne Selbstprüfung jährlich und ein tiefer gehendes (idealerweise externes) Audit alle ein bis zwei Jahre. Zusätzlich anlassbezogen bei größeren Änderungen — neue Systeme, Zukäufe, neue Verarbeitungen mit hohem Risiko oder nach einem Vorfall.
Intern oder extern prüfen?
Beides hat seinen Platz. Interne Audits sind günstig, schnell und nutzen die Betriebskenntnis, leiden aber unter begrenzter Unabhängigkeit. Externe Audits bringen Objektivität, standardisierte Methodik und einen belastbaren Nachweis gegenüber Kunden oder Aufsicht. Die Kombination aus beidem ist in der Praxis am wirksamsten.
Welche Rolle spielt der Datenschutzbeauftragte beim Audit?
Der DSB hat nach Art. 39 Abs. 1 lit. b die Aufgabe, die Einhaltung der DSGVO zu überwachen — dazu gehören auch interne Überprüfungen. Er kann interne Audits konzipieren und begleiten, sollte aber seine beratende und überwachende Rolle nicht mit der Verantwortung des Unternehmens verwechseln: Die Umsetzung der Maßnahmen bleibt Sache der Leitung. Bei einem externen Audit ist der DSB der natürliche Ansprechpartner und koordiniert Zugang zu Dokumenten, Systemen und Ansprechpartnern.
Wie bereite ich mich auf ein Audit vor?
Die beste Vorbereitung ist ein vollständiger Nachweisordner. Stellen Sie vor dem Audit die zentralen Dokumente zusammen: aktuelles Verarbeitungsverzeichnis, Rechtsgrundlagen-Übersicht, AVV-Liste mit Status, TOM-Dokumentation, Löschkonzept, Muster der Datenschutzerklärung, Schulungsnachweise und das interne Datenpannen-Verzeichnis. Benennen Sie je Bereich einen Ansprechpartner, der Auskunft geben und Systeme zeigen kann. Ein gut vorbereitetes Unternehmen verkürzt die Auditdauer erheblich und wirkt gegenüber Prüfern — ob intern oder von der Aufsicht — deutlich souveräner. Fehlende Unterlagen kosten dagegen Zeit und erzeugen den Eindruck mangelnder Organisation.
Was kostet ein externes Datenschutz-Audit?
Der Preis richtet sich nach Umfang und Tiefe. Ein fokussiertes Audit für ein kleines Unternehmen mit wenigen Verarbeitungen ist in ein bis zwei Beratungstagen zu leisten, ein umfassendes Audit eines datenintensiven Mittelständlers mit mehreren Standorten kann eine Woche und mehr beanspruchen. Abgerechnet wird meist nach Tagessatz, der je nach Anbieter und Qualifikation variiert. Wichtiger als der reine Preis ist der Leistungsumfang: Umfasst das Audit nur die Dokumentenprüfung oder auch Interviews, Systemeinsicht und Stichproben? Enthält es einen priorisierten Maßnahmenplan und ein Nachaudit? Ein günstiges Audit, das nur Papier sichtet und keine Umsetzungskontrolle vorsieht, erzeugt wenig Wert. Rechnen Sie das Audit gegen das Risiko: Ein einziges vermiedenes Bußgeld übersteigt die Auditkosten um ein Vielfaches.
Fazit
Ein Datenschutz-Audit verwandelt einzelne Maßnahmen in ein prüffestes Management-System. Legen Sie den Scope risikobasiert fest, belegen Sie jedes Prüffeld, priorisieren Sie Findings und verfolgen Sie die Umsetzung nach. Ob intern, extern oder kombiniert: Entscheidend ist die Regelmäßigkeit und die konsequente Nachverfolgung. Den Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2) finden Sie bei EUR-Lex; Orientierung zu Prüfmethodik bietet die Datenschutzkonferenz.