“Fünf Tage vor der TÜV-Rezertifizierung ISO 9001 kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert.”
— Nils, Datenschutzberater bei frag.hugo
So sieht der Alltag aus. Viele Unternehmen denken erst an ihr Datenschutzaudit, wenn der Termin drängt. Dabei lässt sich ein Audit strukturiert planen – und bringt weit mehr als nur ein Häkchen auf der Compliance-Liste.
Ein Datenschutzaudit ist eine systematische Prüfung aller datenschutzrelevanten Prozesse, Dokumente und technischen Maßnahmen in Ihrem Unternehmen. Das Ziel: Feststellen, ob die Vorgaben der DSGVO und des BDSG tatsächlich eingehalten werden.
Anders als ein internes Review prüft ein externes Audit mit neutralem Blick. Das Ergebnis ist ein Auditbericht mit konkreten Feststellungen – von konform bis kritisch – und einem Maßnahmenplan.
Für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist ein dokumentiertes Audit der stärkste Nachweis gegenüber Aufsichtsbehörden. Kein anderes Dokument zeigt so klar, dass Sie Datenschutz nicht nur versprechen, sondern systematisch überprüfen.
Ein Datenschutzaudit deckt drei Bereiche ab. Die folgende Tabelle zeigt die wichtigsten Prüfpunkte:
| Prüfbereich | Typische Prüfpunkte | DSGVO-Bezug |
|---|---|---|
| Organisation & Dokumentation | Datenschutzbeauftragter bestellt? Verarbeitungsverzeichnis aktuell? Löschkonzept vorhanden? Schulungen durchgeführt? | Art. 30, Art. 37, Art. 39 |
| Rechtmäßigkeit der Verarbeitung | Rechtsgrundlagen dokumentiert? Einwilligungen korrekt? AVVs vollständig? Informationspflichten erfüllt? | Art. 6, Art. 7, Art. 13/14, Art. 28 |
| Technische & organisatorische Maßnahmen | Zugriffskontrollen, Verschlüsselung, Backup-Konzept, Passwortrichtlinien, Incident-Response-Prozess | Art. 32, Art. 33/34 |
| Betroffenenrechte | Auskunftsprozess, Löschprozess, Reaktionszeiten, Zuständigkeiten | Art. 15–22 |
| Auftragsverarbeitung | AVVs geprüft? Subunternehmer bekannt? TOM-Nachweise der Dienstleister? | Art. 28 |
Je nach Branche kommen weitere Punkte hinzu – etwa Videoüberwachung, Beschäftigtendatenschutz oder branchenspezifische Anforderungen.
Welche Bereiche, Standorte und Verarbeitungstätigkeiten werden geprüft? Ein Komplettaudit deckt alles ab. Ein Teilaudit konzentriert sich auf kritische Bereiche – etwa die Personalabteilung oder den Webshop. Grundlage ist Ihr Verarbeitungsverzeichnis.
Der Auditor sichtet vorab alle relevanten Unterlagen: Verarbeitungsverzeichnis, Datenschutzkonzept, TOMs, AVVs, Löschkonzept, Datenschutzerklärung, Schulungsnachweise. Fehlende Dokumente werden bereits hier als Abweichung notiert.
Der Auditor spricht mit Schlüsselpersonen: Geschäftsführung, IT-Leitung, Personalabteilung, Marketing. Ziel ist der Abgleich zwischen dokumentierter Theorie und gelebter Praxis. Werden Löschfristen wirklich eingehalten? Kennen Mitarbeitende den Meldeprozess bei Datenpannen?
Stichproben bei IT-Systemen: Zugriffsrechte, Verschlüsselung, Protokollierung, Backup-Tests. Hier zeigt sich, ob die TOMs nur auf dem Papier stehen oder tatsächlich umgesetzt sind.
Alle Feststellungen werden in einem Bericht dokumentiert – mit Bewertung (konform, Empfehlung, Abweichung, kritische Abweichung) und Nachweisfotos oder Screenshots. Der Bericht ist Ihr zentraler Nachweis für die Rechenschaftspflicht.
Aus den Feststellungen entsteht ein priorisierter Maßnahmenplan. Kritische Abweichungen werden sofort behoben. Empfehlungen fließen in die nächste Planungsperiode ein. Ein Follow-up nach 3–6 Monaten prüft die Umsetzung.
Die Kosten hängen von drei Faktoren ab: Unternehmensgröße, Prüfumfang und Komplexität der Datenverarbeitung.
Richtwerte für KMU:
Die BAFA-Förderung kann bis zu 80 % der Beratungskosten übernehmen. Für KMU bedeutet das: Ein Audit für 4.000 Euro kostet Sie nach Förderung nur 800 Euro Eigenanteil.
Gemessen an möglichen DSGVO-Bußgeldern ist ein Audit eine der günstigsten Investitionen in Ihre Compliance.
Die DSGVO schreibt kein jährliches Audit vor. Aber: Wer regelmäßig prüft, kann bei einer Behördenanfrage sofort einen aktuellen Nachweis vorlegen. Planen Sie das Audit als festen Termin im Jahreskalender ein – idealerweise immer im selben Quartal. So entsteht eine lückenlose Dokumentationshistorie.
Mit dieser Checkliste stellen Sie sicher, dass alle Unterlagen bereitliegen, bevor der Auditor kommt:
Nutzen Sie unseren kostenlosen Datenschutz-Check, um vorab eine Selbsteinschätzung durchzuführen.
Nicht jedes Unternehmen muss zwingend einen externen Auditor beauftragen. Aber es gibt Situationen, in denen ein internes Review nicht ausreicht:
Ein externer Datenschutzbeauftragter kann das Audit entweder selbst durchführen oder als Ansprechpartner für den Auditor bereitstehen.
Aus unserer Praxis: Diese Punkte fallen bei fast jedem Erstaudit auf.
Laut BfDI ist ein regelmäßiges Audit das beste Mittel, um solche Lücken frühzeitig zu schließen.
Datenschutzaudit durchführen lassen?
Wir auditieren Ihren Datenschutz – strukturiert, fair und mit konkretem Maßnahmenplan.
Audit anfragen →Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) gehört zu den aktivsten Aufsichtsbehörden in Deutschland. Hamburger Unternehmen, die ein aktuelles Auditprotokoll vorlegen können, stehen bei Anfragen oder Prüfungen deutlich besser da. Wir führen Datenschutzaudits für KMU in Hamburg und der Metropolregion durch — vor Ort oder remote. Als externer Datenschutzbeauftragter in Hamburg kennen wir die Schwerpunkte des HmbBfDI und bereiten Ihr Unternehmen gezielt darauf vor.
Ein Datenschutzaudit ist eine systematische Prüfung, ob Ihr Unternehmen die DSGVO-Anforderungen erfüllt. Sie brauchen eins, wenn Sie Ihren Datenschutz-Status erstmals erfassen wollen, nach wesentlichen Änderungen oder zur regelmäßigen Überprüfung – mindestens einmal jährlich.
Ein externes Datenschutzaudit kostet für KMU typischerweise zwischen 2.000 und 8.000 Euro, abhängig von Unternehmensgröße und Komplexität der Datenverarbeitung. Interne Audits verursachen vor allem Personalkosten für Vorbereitung und Durchführung.
In 6 Schritten: Planung und Scope-Definition, Dokumentenprüfung, Interviews mit Verantwortlichen, technische Prüfung der Systeme, Bewertung und Risikoanalyse, Abschlussbericht mit Maßnahmenplan.
Grundsätzlich ja, aber die Objektivität leidet. Für ein erstes Screening eignet sich eine interne Prüfung anhand einer Checkliste. Für eine belastbare Bewertung empfiehlt sich ein externes Audit durch einen unabhängigen Datenschutzberater.
Die häufigsten Befunde sind: unvollständiges Verarbeitungsverzeichnis, fehlende oder veraltete Auftragsverarbeitungsverträge, mangelhafte TOM-Dokumentation, fehlende Löschfristen und unzureichende Mitarbeiterschulungen.
Inhaltsverzeichnis
Datenschutzbeauftragter bestellen: Der komplette Ablauf in 5 Schritten für Hamburger Unternehmen – von der Pflichtprüfung bis zur Behördenmeldung.
WeiterlesenDSGVO Dokumentationspflichten: Welche Dokumente Ihr Unternehmen braucht – komplette Übersicht mit Praxis-Checkliste für Hamburger KMU.
WeiterlesenExterner oder interner Datenschutzbeauftragter? Kosten, Vorteile und Nachteile im Vergleich – mit konkreten Zahlen für KMU in Hamburg.
Weiterlesen Über den Autor
Co-Founder
Jens ist Co-Founder und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Mit über 20 Jahren IT-Erfahrung verbindet er technisches Know-how mit strategischem Denken, um Datenschutz und Compliance für KMU zugänglich zu machen.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
