DSGVO-Prüfung Checkliste 2026: Audit und BfDI-Inspektion

In einem Satz. Eine DSGVO-Prüfung umfasst die systematische Überprüfung der Compliance über die acht Säulen — Rechtsgrundlagen, Verzeichnis, Betroffenenrechte, Sicherheit (Art. 32), Datenpannen, DSFA, Auftragsverarbeitung und internationale Transfers — und sollte vor einer BfDI- oder LfDI-Inspektion mit dokumentierten Nachweisen abgeschlossen sein, da die Aufsichtsbehörden 2026 zunehmend KI, Tracking und Beschäftigtendaten priorisieren.

Der BfDI hat im Tätigkeitsbericht 2024 (veröffentlicht Mai 2025) die Schwerpunkte für die kommenden Inspektionsjahre angekündigt: KI-Tools im Beschäftigtenkontext, Cookie-Compliance, internationale Datenübermittlung nach Schrems II und Datenpannen-Meldedisziplin. Die LfDI haben länderspezifische Schwerpunkte.

Eine interne Prüfung sollte mindestens jährlich erfolgen, idealerweise quartalsweise auf Schwerpunktthemen. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO macht dokumentierte Prüfungsnachweise selbst zum Compliance-Element. Das grundsätzliche strukturierte Vorgehen beim Datenschutz-Audit erläutern wir separat.

Wichtige Punkte

• DSGVO-Prüfung deckt 8 Säulen mit ca. 60 Prüfpunkten ab — jährlich vollständig, quartalsweise Stichproben.
• BfDI-Schwerpunkte 2026: KI im HR-Kontext, Tracking, Schrems-II-Konformität, Meldedisziplin.
• Dokumentationsspur für jeden Prüfpunkt — wer hat wann was geprüft, mit welchem Ergebnis.
• Inspektion-Vorbereitung: 6 Kernunterlagen müssen jederzeit binnen 48h vorliegen.
• Nicht-Compliance-Funde sind weniger problematisch als nicht-dokumentierte Nicht-Compliance.

1. Die acht Säulen der DSGVO-Prüfung

Total: ca. 60 Prüfpunkte für eine vollständige interne Prüfung.

Nicht jede Säule verdient gleich viel Aufmerksamkeit. Der Aufwand sollte sich am realen Risiko orientieren: Sicherheit (Art. 32), Auftragsverarbeitung und internationale Transfers sind die drei Säulen, die in Bußgeldverfahren am häufigsten den Ausschlag geben, weil sie sich technisch und vertraglich hart nachweisen lassen. Betroffenenrechte und Datenpannen-Management sind dagegen die Säulen, an denen Aufsichtsbehörden die Reaktionsfähigkeit einer Organisation testen — hier zählt weniger Papier als ein funktionierender Prozess. Ein pragmatischer Prüfrhythmus gewichtet deshalb die risikoreichen Säulen quartalsweise und prüft die stabileren Bereiche einmal jährlich vollständig durch.

2. Säule 1 — Rechtsgrundlagen-Inventar

3. Säule 2 — Verzeichnis der Verarbeitungstätigkeiten

• [ ] VVT existiert und ist aktuell (max. 6 Monate)
• [ ] Alle Pflichtinhalte nach Art. 30 Abs. 1 (bzw. 2 für AV)
• [ ] Aktualisierungsprozess dokumentiert
• [ ] Verantwortliche pro Verarbeitung benannt
• [ ] Datenkategorien granular
• [ ] Speicherfristen oder Löschkonzept-Verweis
• [ ] TOM-Verweis
• [ ] Empfänger inkl. Subunternehmer

4. Säule 3 — Betroffenenrechte

5. Säule 4 — Sicherheit (Art. 32)

• [ ] Pseudonymisierungs-/Verschlüsselungskonzept
• [ ] Zutrittskontrolle dokumentiert
• [ ] Zugangs-/Zugriffskontrolle (RBAC)
• [ ] Weitergabekontrolle (Transport-Verschlüsselung)
• [ ] Eingabekontrolle (Logging)
• [ ] Verfügbarkeitskontrolle (Backup, BCM)
• [ ] Trennungskontrolle (Mandantentrennung)
• [ ] Auftragskontrolle (siehe Säule 7)
• [ ] Risikobewertung TOMs
• [ ] Penetrationstests letzte 12 Monate
• [ ] Schulungsnachweise
• [ ] Notfallübung im Berichtszeitraum

6. Säule 5 — Datenpannen-Management

• [ ] Meldekette dokumentiert (intern + an Aufsicht)
• [ ] 72-Stunden-Frist eingehalten in dokumentierten Vorfällen
• [ ] Datenpannen-Register geführt (auch nicht meldepflichtige)
• [ ] Risikobewertungs-Schema
• [ ] Betroffenen-Benachrichtigungs-Schwellenwert
• [ ] Mitarbeiter-Schulung zur Erkennung

7. Säule 6 — DSFA

• [ ] DSFA-Schwellenwert-Test pro Verarbeitung
• [ ] Bei “Hoch-Risiko”-Verarbeitungen DSFA durchgeführt
• [ ] DSB konsultiert (Art. 35 Abs. 2)
• [ ] Bei Restrisiko: vorherige Konsultation der Aufsicht (Art. 36)
• [ ] DSFAs dokumentiert und aktualisiert
• [ ] KI-spezifische DSFA bei AI-Tools (2026-Schwerpunkt)

8. Säule 7 — Auftragsverarbeitung

• [ ] AVV mit jedem Auftragsverarbeiter
• [ ] AVV-Inventar aktuell
• [ ] Subunternehmer-Listen nachverfolgt
• [ ] TOM-Anlagen konkret
• [ ] Audit-Berichte oder Zertifikate vorhanden
• [ ] Drittlands-Subunternehmer extra dokumentiert
• [ ] Schrems-II-TIA durchgeführt bei US-Anbietern

9. Säule 8 — Internationale Transfers

• [ ] Drittlands-Transfer-Inventar
• [ ] EU-US Data Privacy Framework geprüft bei US-Empfängern
• [ ] SCC (2021er-Version) wo erforderlich
• [ ] TIA (Transfer Impact Assessment) dokumentiert
• [ ] Zusätzliche Maßnahmen bei TIA-Risiken

10. BfDI-/LfDI-Inspektion — die 6 Kernunterlagen

Diese sollten jederzeit binnen 48h verfügbar sein:

Der typische Ablauf einer Aufsichtskontrolle ist berechenbar: Die Behörde kündigt schriftlich einen Prüfumfang an (oft anlassbezogen nach einer Beschwerde oder einer gemeldeten Datenpanne), setzt eine Frist zur Vorlage von Unterlagen und stellt einen strukturierten Fragebogen. In der zweiten Phase folgen Rückfragen zu konkreten Verarbeitungen; bei Vor-Ort-Kontrollen werden Systeme, Zugriffsberechtigungen und Serverräume in Augenschein genommen. Entscheidend ist die Konsistenz: Wenn das VVT eine Verarbeitung nennt, für die keine Rechtsgrundlage, kein AVV oder keine Löschfrist dokumentiert ist, entsteht genau an dieser Bruchstelle das Bußgeldrisiko. Wer die sechs Kernunterlagen widerspruchsfrei und aktuell hält, nimmt der Prüfung ihre gefährlichste Dynamik.

Die häufigsten Beanstandungen in der Praxis sind seit Jahren stabil: fehlende oder veraltete Auftragsverarbeitungsverträge, ein VVT, das den tatsächlichen Systembestand nicht abbildet, unzureichend begründete Speicherfristen und Cookie-Banner ohne gleichwertige Ablehnen-Option. Keiner dieser Punkte erfordert teure Technik — sie scheitern fast immer an fehlender Dokumentationsdisziplin.

11. BfDI-Schwerpunkte 2026

12. Sanktionen — Größte deutsche DSGVO-Fälle

13. Prüfungs-Rhythmus

14. Werkzeuge

Fazit

Eine DSGVO-Prüfung ist kein Selbstzweck — sie ist das Audit-Trail, das die Rechenschaftspflicht erfüllt. Aufsichtsbehörden bestrafen weniger das Fehlen perfekter Compliance als das Fehlen dokumentierter Compliance-Bemühungen.

Der wirksamste Ansatz ist die Kontinuität statt der jährlichen Kraftanstrengung. Wer die acht Säulen über das Jahr verteilt prüft, jede Feststellung mit Verantwortlichem und Termin versieht und die sechs Kernunterlagen laufend aktuell hält, muss vor einer Inspektion nicht in Panik verfallen. Die Prüfung wird damit vom gefürchteten Ereignis zum Routineprozess — und genau diese nachweisbare Routine ist es, die im Ernstfall den Unterschied zwischen einer Verwarnung und einem empfindlichen Bußgeld ausmacht.

FAQ

Wie oft muss eine DSGVO-Prüfung erfolgen?

Mindestens jährlich vollständig, idealerweise quartalsweise Stichproben auf wechselnde Schwerpunkte. Bei wesentlichen Änderungen anlassbezogen.

Wer führt eine DSGVO-Prüfung durch?

Intern der DSB; bei größeren Organisationen Internal Audit oder externe Datenschutz-Auditoren. Bei Zertifizierung externe akkreditierte Stelle.

Was kostet eine externe DSGVO-Prüfung?

KMU 5-15k €, Mittelstand 15-50k €, Konzern 50k €+ — abhängig von Scope und Komplexität.

Wie kündigt sich eine BfDI-Inspektion an?

Meist schriftlich mit 2-4 Wochen Vorlauf und konkretem Anlassbezug. Anlasslose Vor-Ort-Kontrollen sind selten, aber möglich nach Art. 58 Abs. 1 lit. f DSGVO.

Welche Unterlagen muss ich bei einer Inspektion vorhalten?

Die 6 Kernunterlagen: VVT, TOMs, AVV-Inventar, Datenpannen-Register, DSFAs, Schulungsnachweise. Je nach Anlass weitere themenspezifische Dokumente.