“Fünf Tage vor der TÜV-Rezertifizierung ISO 9001 kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert.”
— Nils, Datenschutzberater bei frag.hugo
So sieht der Alltag aus. Viele Unternehmen denken erst an ihr Datenschutzaudit, wenn der Termin drängt. Dabei lässt sich ein Audit strukturiert planen – und bringt weit mehr als nur ein Häkchen auf der Compliance-Liste. Wer Tools zur Audit-Steuerung sucht, findet im Datenschutz-Audit-Software-Vergleich 2026 die marktrelevanten Anbieter — und im Magic-Link-Re-Audit-Pattern die UX-Innovation, die Antwortquoten verdrei- bis vervierfacht.
Ein Datenschutzaudit ist eine systematische Prüfung aller datenschutzrelevanten Prozesse, Dokumente und technischen Maßnahmen in Ihrem Unternehmen. Das Ziel: Feststellen, ob die Vorgaben der DSGVO und des BDSG tatsächlich eingehalten werden.
Anders als ein internes Review prüft ein externes Audit mit neutralem Blick. Das Ergebnis ist ein Auditbericht mit konkreten Feststellungen – von konform bis kritisch – und einem Maßnahmenplan.
Für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist ein dokumentiertes Audit der stärkste Nachweis gegenüber Aufsichtsbehörden. Kein anderes Dokument zeigt so klar, dass Sie Datenschutz nicht nur versprechen, sondern systematisch überprüfen.
Ein Datenschutzaudit deckt drei Bereiche ab. Die folgende Tabelle zeigt die wichtigsten Prüfpunkte:
| Prüfbereich | Typische Prüfpunkte | DSGVO-Bezug |
|---|---|---|
| Organisation & Dokumentation | Datenschutzbeauftragter bestellt? Verarbeitungsverzeichnis aktuell? Löschkonzept vorhanden? Schulungen durchgeführt? | Art. 30, Art. 37, Art. 39 |
| Rechtmäßigkeit der Verarbeitung | Rechtsgrundlagen dokumentiert? Einwilligungen korrekt? AVVs vollständig? Informationspflichten erfüllt? | Art. 6, Art. 7, Art. 13/14, Art. 28 |
| Technische & organisatorische Maßnahmen | Zugriffskontrollen, Verschlüsselung, Backup-Konzept, Passwortrichtlinien, Incident-Response-Prozess | Art. 32, Art. 33/34 |
| Betroffenenrechte | Auskunftsprozess, Löschprozess, Reaktionszeiten, Zuständigkeiten | Art. 15–22 |
| Auftragsverarbeitung | AVVs geprüft? Subunternehmer bekannt? TOM-Nachweise der Dienstleister? | Art. 28 |
Je nach Branche kommen weitere Punkte hinzu – etwa Videoüberwachung, Beschäftigtendatenschutz oder branchenspezifische Anforderungen.
Welche Bereiche, Standorte und Verarbeitungstätigkeiten werden geprüft? Ein Komplettaudit deckt alles ab. Ein Teilaudit konzentriert sich auf kritische Bereiche – etwa die Personalabteilung oder den Webshop. Grundlage ist Ihr Verarbeitungsverzeichnis.
Der Auditor sichtet vorab alle relevanten Unterlagen: Verarbeitungsverzeichnis, Datenschutzkonzept, TOMs, AVVs, Löschkonzept, Datenschutzerklärung, Schulungsnachweise. Fehlende Dokumente werden bereits hier als Abweichung notiert.
Der Auditor spricht mit Schlüsselpersonen: Geschäftsführung, IT-Leitung, Personalabteilung, Marketing. Ziel ist der Abgleich zwischen dokumentierter Theorie und gelebter Praxis. Werden Löschfristen wirklich eingehalten? Kennen Mitarbeitende den Meldeprozess bei Datenpannen?
Stichproben bei IT-Systemen: Zugriffsrechte, Verschlüsselung, Protokollierung, Backup-Tests. Hier zeigt sich, ob die TOMs nur auf dem Papier stehen oder tatsächlich umgesetzt sind.
Alle Feststellungen werden in einem Bericht dokumentiert – mit Bewertung (konform, Empfehlung, Abweichung, kritische Abweichung) und Nachweisfotos oder Screenshots. Der Bericht ist Ihr zentraler Nachweis für die Rechenschaftspflicht.
Aus den Feststellungen entsteht ein priorisierter Maßnahmenplan. Kritische Abweichungen werden sofort behoben. Empfehlungen fließen in die nächste Planungsperiode ein. Ein Follow-up nach 3–6 Monaten prüft die Umsetzung.
Die Kosten hängen von drei Faktoren ab: Unternehmensgröße, Prüfumfang und Komplexität der Datenverarbeitung.
Richtwerte für KMU:
Die BAFA-Förderung kann bis zu 80 % der Beratungskosten übernehmen. Für KMU bedeutet das: Ein Audit für 4.000 Euro kostet Sie nach Förderung nur 800 Euro Eigenanteil.
Gemessen an möglichen DSGVO-Bußgeldern ist ein Audit eine der günstigsten Investitionen in Ihre Compliance.
Die DSGVO schreibt kein jährliches Audit vor. Aber: Wer regelmäßig prüft, kann bei einer Behördenanfrage sofort einen aktuellen Nachweis vorlegen. Planen Sie das Audit als festen Termin im Jahreskalender ein – idealerweise immer im selben Quartal. So entsteht eine lückenlose Dokumentationshistorie.
Mit dieser Checkliste stellen Sie sicher, dass alle Unterlagen bereitliegen, bevor der Auditor kommt:
Nutzen Sie unseren kostenlosen Datenschutz-Check, um vorab eine Selbsteinschätzung durchzuführen.
Nicht jedes Unternehmen muss zwingend einen externen Auditor beauftragen. Aber es gibt Situationen, in denen ein internes Review nicht ausreicht:
Ein externer Datenschutzbeauftragter kann das Audit entweder selbst durchführen oder als Ansprechpartner für den Auditor bereitstehen.
Aus unserer Praxis: Diese Punkte fallen bei fast jedem Erstaudit auf.
Laut BfDI ist ein regelmäßiges Audit das beste Mittel, um solche Lücken frühzeitig zu schließen.
Datenschutzaudit durchführen lassen?
Wir auditieren Ihren Datenschutz – strukturiert, fair und mit konkretem Maßnahmenplan.
Audit anfragen →Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) gehört zu den aktivsten Aufsichtsbehörden in Deutschland. Hamburger Unternehmen, die ein aktuelles Auditprotokoll vorlegen können, stehen bei Anfragen oder Prüfungen deutlich besser da. Wir führen Datenschutzaudits für KMU in Hamburg und der Metropolregion durch — vor Ort oder remote. Als externer Datenschutzbeauftragter in Hamburg kennen wir die Schwerpunkte des HmbBfDI und bereiten Ihr Unternehmen gezielt darauf vor.
Ein Datenschutzaudit ist eine systematische Prüfung, ob Ihr Unternehmen die DSGVO-Anforderungen erfüllt. Sie brauchen eins, wenn Sie Ihren Datenschutz-Status erstmals erfassen wollen, nach wesentlichen Änderungen oder zur regelmäßigen Überprüfung – mindestens einmal jährlich.
Ein externes Datenschutzaudit kostet für KMU typischerweise zwischen 2.000 und 8.000 Euro, abhängig von Unternehmensgröße und Komplexität der Datenverarbeitung. Interne Audits verursachen vor allem Personalkosten für Vorbereitung und Durchführung.
In 6 Schritten: Planung und Scope-Definition, Dokumentenprüfung, Interviews mit Verantwortlichen, technische Prüfung der Systeme, Bewertung und Risikoanalyse, Abschlussbericht mit Maßnahmenplan.
Grundsätzlich ja, aber die Objektivität leidet. Für ein erstes Screening eignet sich eine interne Prüfung anhand einer Checkliste. Für eine belastbare Bewertung empfiehlt sich ein externes Audit durch einen unabhängigen Datenschutzberater.
Die häufigsten Befunde sind: unvollständiges Verarbeitungsverzeichnis, fehlende oder veraltete Auftragsverarbeitungsverträge, mangelhafte TOM-Dokumentation, fehlende Löschfristen und unzureichende Mitarbeiterschulungen.
Inhaltsverzeichnis
Schatten-IT im Unternehmen finden: Warum Umfragen im Team scheitern, wie der Kontoauszug jedes Tool verrät und was die DSGVO von Ihnen verlangt.
Weiterlesen: Schatten-IT aufspüren: Tools, die niemand freigegeben hat
DSGVO Dokumentationspflichten: Welche Dokumente Ihr Unternehmen braucht – komplette Übersicht mit Checkliste für KMU.
Weiterlesen: DSGVO Dokumentationspflichten – Was Sie als Nachweis vorweisen müssen
Löschkonzept nach DSGVO erstellen: Praxis-Anleitung mit Aufbewahrungsfristen, DIN 66398 und Checkliste für KMU.
Weiterlesen: Löschkonzept DSGVO erstellen – Schritt-für-Schritt-AnleitungÜber den Autor
Mitgründer & IT-Unternehmer
Jens führt seit Dezember 2004 die hagel IT-Services GmbH in Hamburg, heute 35+ Mitarbeitende. Mitgründer von frag.hugo Informationssicherheit und der SYNAPSE KI-Agentur. Mehrfach als „Deutschlands beste IT-Dienstleister" (statista / brand eins) ausgezeichnet.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
