Datenschutz-Audit: Ablauf, Inhalt und Nutzen

Die meisten Unternehmen haben Datenschutzunterlagen. Ob das, was darin steht, auch der Wirklichkeit entspricht, prüft selten jemand. Genau diese Lücke schließt ein Datenschutz-Audit.

Warum die Verordnung es nahelegt

Eine ausdrückliche Pflicht zum Audit gibt es nicht. Zwei Vorschriften laufen jedoch darauf hinaus.

Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Nicht die Maßnahme allein ist gefordert, sondern der Nachweis, dass sie wirkt.

Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Grundsätze nachweisen zu können – die Rechenschaftspflicht. Ein Nachweis, den niemand überprüft hat, ist eine Behauptung.

Hinzu kommt Art. 39 Abs. 1: Zu den Aufgaben des Datenschutzbeauftragten gehört ausdrücklich die Überwachung der Einhaltung der Verordnung und der internen Strategien, einschließlich der diesbezüglichen Überprüfungen.

Was wird bei einem Datenschutz-Audit geprüft?

Ein brauchbares Audit folgt den Unterlagen, die im Ernstfall verlangt werden:

Das Verzeichnis von Verarbeitungstätigkeiten. Nicht nur, ob es existiert, sondern ob es die heutige Verarbeitung beschreibt – einschließlich der Systeme, die im letzten Jahr dazugekommen sind.

Die Rechtsgrundlagen. Für jede Verarbeitung sollte benannt sein, worauf sie sich stützt. Wo mit Einwilligungen gearbeitet wird, gehört geprüft, ob sie nachweisbar, freiwillig und widerruflich sind.

Die Auftragsverarbeitung. Liegt für jeden Dienstleister ein Vertrag vor, ist die Rolle richtig eingeordnet, und wurde die Auswahl nach Art. 28 Abs. 1 dokumentiert?

Die technischen und organisatorischen Maßnahmen. Hier trennt sich das Audit vom Papier: Berechtigungen werden stichprobenartig gegen die Personalliste geprüft, Löschroutinen gegen das Löschkonzept, Datensicherungen gegen die Frage, wann zuletzt eine Wiederherstellung getestet wurde.

Die Betroffenenrechte. Gibt es einen Prozess für Auskunft, Berichtigung, Löschung und Widerspruch – und hält er die Monatsfrist des Art. 12 Abs. 3 ein?

Der Meldeprozess. Ist geklärt, wer bei einer Datenpanne innerhalb von 72 Stunden entscheidet?

Die Sensibilisierung. Wann wurde zuletzt geschult, wer war dabei, und ist es dokumentiert?

Wie läuft ein Datenschutz-Audit ab?

Vorbereitung. Sichtung der vorhandenen Unterlagen, Abgrenzung des Prüfumfangs, Terminplanung mit den Fachbereichen.

Erhebung. Gespräche mit den Verantwortlichen in Personal, IT, Vertrieb und Buchhaltung. Der Erkenntnisgewinn entsteht hier – nicht in den Dokumenten, sondern in der Beschreibung des tatsächlichen Vorgehens.

Stichproben. Ein Audit ohne Stichproben ist eine Dokumentenprüfung. Erst der Abgleich zwischen Beschreibung und Wirklichkeit zeigt die Lücken.

Bericht. Feststellungen mit Bewertung, priorisiert nach Risiko, jeweils mit einer konkreten Maßnahme, einem Verantwortlichen und einem Termin.

Nachverfolgung. Ein Bericht ohne Wiedervorlage erzeugt keine Veränderung. Die Prüfung der Umsetzung gehört zum Verfahren.

Der Wert eines Audits entsteht nicht durch die Feststellung, sondern durch die Maßnahme, die daraus folgt.

Was ein Audit nicht ist

Drei Verwechslungen führen regelmäßig zu falschen Erwartungen.

Ein Audit ist keine Datenschutz-Folgenabschätzung. Die DSFA nach Art. 35 DSGVO ist eine Pflicht für einzelne, risikoreiche Verarbeitungen und vor deren Beginn durchzuführen. Das Audit blickt zurück auf den Bestand. Wer eine risikoreiche Verarbeitung geplant hat, kann sie nicht durch eine spätere Prüfung heilen.

Ein Audit ist keine Zertifizierung. Die Art. 42 und 43 DSGVO regeln ein förmliches Verfahren durch akkreditierte Stellen. Ein internes oder durch den Datenschutzbeauftragten geführtes Audit erzeugt keine Zertifizierung und darf auch nicht so bezeichnet werden.

Ein Audit erzeugt keine Rechtssicherheit. Es stellt fest, was zum Prüfzeitpunkt vorlag. Eine Aufsichtsbehörde ist an die Bewertung nicht gebunden.

Der unbequeme Teil: Feststellungen verpflichten

Ein Punkt gehört vor dem ersten Audit ausgesprochen, weil er sonst nach dem Bericht für Unruhe sorgt.

Ein dokumentierter Mangel, der nicht abgestellt wird, ist im Ernstfall schlechter als ein unentdeckter. Art. 83 Abs. 2 DSGVO nennt bei der Bemessung von Geldbußen ausdrücklich Art, Schwere und Dauer des Verstoßes sowie den Grad der Verantwortlichkeit und den Vorsatz. Wer schwarz auf weiß wusste, dass eine Berechtigung zu weit gefasst war, und sie zwei Jahre lang so beließ, argumentiert schlechter als jemand, der es nie geprüft hat.

Das ist kein Argument gegen das Audit – es ist das Argument dafür, den Bericht mit Verantwortlichen und Terminen zu versehen und die Umsetzung nachzuhalten. Ein Audit, dessen Feststellungen abgearbeitet werden, ist der stärkste Beleg für die Rechenschaftspflicht, den ein Unternehmen führen kann. Eines, das folgenlos abgeheftet wird, ist ein Beweismittel gegen sich selbst.

Interne oder externe Durchführung

Intern kennt man die Abläufe und spart Kosten – nur fehlt häufig der unbefangene Blick. Wer die Prozesse mit aufgebaut hat, prüft die eigene Arbeit.

Extern kommt Erfahrung aus anderen Häusern hinzu, und die Feststellungen wiegen intern schwerer.

Zwei Dinge werden dabei häufig verwechselt. Die laufende Überwachung gehört nach Art. 39 Abs. 1 lit. b DSGVO zu den Aufgaben des Datenschutzbeauftragten – sie läuft mit, ohne gesonderte Beauftragung. Das Audit ist etwas anderes: eine terminierte Bestandsaufnahme über alle Verarbeitungen hinweg, mit Stichproben, schriftlichem Bericht und priorisierter Maßnahmenliste. Dieser Aufwand entsteht zusätzlich und wird deshalb auch gesondert beauftragt.

Wie oft?

Ein Turnus ist nicht vorgeschrieben. In der Praxis hat sich ein jährlicher Durchgang bewährt, ergänzt um anlassbezogene Prüfungen bei größeren Änderungen – neue Software, neuer Standort, neuer Dienstleister mit umfangreichem Datenzugriff, oder nach einem Vorfall.

Bei uns lässt sich das Audit als einmalige Leistung zur Betreuung als externer Datenschutzbeauftragter dazubuchen – die Pflichtdokumente und der Jahresbericht gehören dort ohnehin dazu. Den Umfang und die aktuellen Konditionen sehen Sie bei der Bestellung.

Eine erste Standortbestimmung liefert der kostenlose Datenschutz-Check in unter einer Minute.