¶ Datenschutz-Audits
Musterstatus: Diese Seite belegt kein beauftragtes, durchgeführtes oder bestandenes Audit. Ergebnisse werden nur für den ausdrücklich festgelegten Umfang und Zeitraum bewertet.
Unabhängigkeit: Prüfende auditieren nicht unkontrolliert ihre eigene operative Arbeit. Die gesetzliche Stellung und Aufgaben eines benannten Datenschutzbeauftragten bleiben gewahrt.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-KV-08-02 |
| Dokumentenart | Auditverfahren Datenschutz |
| Wiki.js-Pfad | /DSGVO/08-Kontrolle-und-Verbesserung/Datenschutz-Audits |
| Verantwortlich | festzulegende Audit- beziehungsweise Revisionsverantwortung |
| Status | Entwurf – keine realen Audits oder Feststellungen bestätigt |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Vertraulich; Arbeitsunterlagen, Stichproben und Berichte geschützt |
| DSGVO-Bezug | Artikel 5 Absatz 2, 24, 28 Absatz 3 Buchstabe h, 32 und 39 DSGVO |
Datenschutz-Audits mit klaren Kriterien, Grenzen und Nachweisen durchführen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Auditauftrag
Audit-ID, Anlass, Ziel, Kriterien, Umfang, Ausschlüsse, Standorte, Prozesse, Systeme, Zeitraum, Prüfer, Unabhängigkeit, Vertraulichkeit, Zeitplan und Berichtsempfänger werden vor Beginn bestätigt. Behauptete Zertifizierung oder vollständige DSGVO-Konformität ist nicht Gegenstand eines internen Einzel-Audits.
¶ 2. Durchführung
- Dokumente und Vorinformationen risikobasiert auswählen,
- Interviews, Beobachtungen und technische Prüfungen planen,
- Stichproben mit Quelle, Zeitraum und Auswahlgrund dokumentieren,
- Tatsachen mit Kriterien vergleichen und Gegenprüfung ermöglichen,
- Feststellungen nach Risiko und Dringlichkeit einordnen,
- Bericht freigeben und Follow-up terminieren.
Personenbezogene Originaldaten werden nur soweit erforderlich in Auditunterlagen übernommen. Rechtsberatung, DSB-Überwachung und unabhängige Revision werden ihrer Rolle entsprechend getrennt.
¶ 3. Auditfeststellungen
| Kategorie | Bedeutung |
|---|---|
| Abweichung | festgelegtes oder rechtliches Kriterium nachweisbar nicht erfüllt |
| Beobachtung | Schwäche oder Risiko ohne abschließenden Abweichungsnachweis |
| Verbesserung | sinnvolle Weiterentwicklung ohne behauptete Pflichtverletzung |
| Positiver Nachweis | im geprüften Umfang belegter, wirksamer Zustand |
| Nicht bewertbar | Nachweis oder Zugang reicht für Schlussfolgerung nicht aus |
¶ 4. Bericht und Follow-up
Der Bericht enthält Auftrag, Umfang, Kriterien, Methode, Grenzen, Feststellungen, Risikoeinordnung und vereinbarte nächste Schritte. Korrekturen werden nicht allein durch Dokumentenabgabe geschlossen, sondern durch Umsetzungs- und Wirksamkeitsnachweis.
¶ 5. Auditprogramm und Auswahl
Das Auditprogramm verbindet Risiko, gesetzliche Pflichten, Änderungen, Beschwerden, Verletzungen, frühere Feststellungen und Zeit seit der letzten Prüfung. Es umfasst nicht nur zentrale Datenschutzdokumente, sondern konkrete Prozesse, Systeme, Standorte, Anbieter und Datenflüsse.
| Audittyp | Typischer Anlass | Schwerpunkt |
|---|---|---|
| Systemaudit | neues oder wesentlich geändertes Werkzeug | Konfiguration, Rollen, Datenfluss, Protokolle, Löschung und Rechte |
| Prozessaudit | wiederkehrender Geschäftsprozess | tatsächlicher Ablauf vom Eingang bis zum Nachweis |
| Themenaudit | besondere Daten, KI, Video oder Transfer | spezialisierte Rechts- und Risikokriterien |
| Lieferantenaudit | hohes Risiko oder schwache Garantien | Vertrag, TOM, Unterauftragnehmer, Länder, Vorfälle und Exit |
| Follow-up-Audit | wesentliche Feststellung | Umsetzung und Wirksamkeit der Maßnahme |
| Anlassprüfung | Beschwerde, Verletzung oder Behördenkontakt | eng definierter Sachverhalt und systemische Ausbreitung |
¶ 6. Auditvorbereitung
Der Auftrag nennt Ziel, Scope, Kriterien, Zeitraum, Rollen, Methoden und Ausschlüsse. Kriterien können DSGVO, BDSG, weitere Fachgesetze, interne freigegebene Regeln, Verträge und behördliche Vorgaben sein. Das Audit bestätigt nicht pauschal „DSGVO-Konformität“, sondern bewertet nachvollziehbar den definierten Scope.
Unterlagen werden vorab risikobasiert angefordert. Auditoren erhalten nur benötigte personenbezogene Daten. Fallakten werden anonymisiert oder geschützt eingesehen, soweit möglich. Interessenkonflikte und fehlende Fachkompetenz werden offengelegt.
¶ 7. Durchführung: Soll, Umsetzung und Wirkung
Ein Audit prüft drei Ebenen:
- Soll: Ist eine klare, fachlich tragfähige Regel vorhanden?
- Umsetzung: Wird sie im betrachteten Prozess tatsächlich angewendet?
- Wirkung: Erreicht sie das beabsichtigte Schutzziel und bestehen belastbare Nachweise?
Interviews werden durch Dokumente, Systemansicht, Stichproben oder Tests plausibilisiert. Eine einzelne positive Demonstration beweist nicht, dass der Prozess im Alltag funktioniert. Stichprobe, Auswahlgrund und Grenzen werden dokumentiert.
¶ 8. Gute Feststellungen schreiben
Eine Feststellung enthält Kriterium, nachgewiesenen Ist-Zustand, objektive Quelle, Abweichung und mögliches Risiko. Beispiel: „Für drei von zehn geprüften Auftragsverarbeitern fehlte ein aktueller dokumentierter Unterauftragnehmerstatus; Kriterium ist der freigegebene Lieferantenprozess in Verbindung mit Artikel 28 Absatz 2 und 4 DSGVO.“
Formulierungen wie „Datenschutz verbessern“ oder „Dokumente fehlen“ sind zu ungenau. Die betroffene Organisation erhält Gelegenheit zur Faktenprüfung, ohne dass objektive Feststellungen aus Verhandlungsgründen abgeschwächt werden.
¶ 9. Bericht, Maßnahmen und Nachaudit
Der Bericht trennt positive Beobachtung, Verbesserungspotenzial, Abweichung und kritische Feststellung. Managementzusammenfassung, Detailnachweise und vertrauliche Anlagen erhalten angemessene Zugriffsebenen. Personenbezogene Einzelfälle werden nur soweit erforderlich aufgenommen.
Maßnahmen adressieren Ursache und Risiko, nicht nur das fehlende Dokument. Owner, Termin, Ressource, Abnahmekriterium und Nachtest sind verbindlich. Kritische oder hohe Feststellungen werden nach Umsetzung unabhängig nachgeprüft; ein Screenshot oder Ticketstatus kann eine technische Funktionsprüfung nicht ersetzen.
¶ 10. Verknüpfte Seiten
- Datenschutz-Kontrollprogramm
- Abweichungen und Korrekturmaßnahmen
- Dokumenten- und Nachweislenkung
- ISMS Interne Audits
¶ 11. Offizielle Grundlagen
¶ 12. Weiterführende Informationen von SMCT MANAGEMENT
Datenschutzprüfung, Auditvorbereitung und kontrollierte Nachverfolgung
¶ 13. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Auditprogramm, Typen, Vorbereitung, Drei-Ebenen-Prüfung, Feststellungsqualität und Nachaudit ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für Datenschutz-Audits erstellt | Ausstehend |