5. August 2026
Datenschutz-Audit: Ablauf, Checkliste und Vorbereitung
Kurz gesagt: Ein Datenschutz-Audit ist eine systematische Überprüfung, ob ein Unternehmen die Anforderungen der DSGVO tatsächlich einhält. Es kann als interne Selbstprüfung, als Prüfung durch einen Auftraggeber (Kundenaudit) oder durch die zuständige Aufsichtsbehörde erfolgen. Geprüft werden typischerweise das Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge und die Prozesse für Betroffenenrechte.
Ob aus eigenem Antrieb, auf Wunsch eines Kunden oder weil eine Aufsichtsbehörde anfragt: Ein Datenschutz-Audit zeigt, wo Ihr Unternehmen beim Datenschutz wirklich steht. Wir erklären, welche Arten es gibt, wie ein Audit abläuft und mit welcher Checkliste Sie sich vorbereiten.
Was ist ein Datenschutz-Audit?
Ein Datenschutz-Audit ist eine systematische Überprüfung sämtlicher Datenschutzprozesse eines Unternehmens auf Übereinstimmung mit der DSGVO. Dabei wird nicht nur geprüft, ob die erforderlichen Dokumente existieren, sondern auch, ob die dokumentierten Prozesse in der Praxis tatsächlich so gelebt werden.
Rechtlich verankert ist dieser Gedanke in der sogenannten Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Unternehmen müssen nicht nur datenschutzkonform handeln, sondern dies auch jederzeit nachweisen können. Ein Audit ist der praktische Weg, diesen Nachweis zu erbringen – bevor jemand danach fragt.
Welche Arten von Datenschutz-Audits gibt es?
Es gibt drei typische Anlässe für ein Datenschutz-Audit: die interne Selbstprüfung, das Audit durch einen Auftraggeber und die Prüfung durch die Aufsichtsbehörde.
- Internes Audit (Selbstaudit): Das Unternehmen oder sein Datenschutzbeauftragter überprüft die eigenen Prozesse in regelmäßigen Abständen – proaktiv, ohne konkreten äußeren Anlass.
- Auftraggeber-Audit: Wer als Auftragsverarbeiter für andere Unternehmen tätig ist, muss diesen laut Art. 28 Abs. 1 DSGVO ausreichende Garantien für geeignete TOMs bieten. Größere Kunden nutzen deshalb häufig ein eigenes Audit, um genau das zu überprüfen, bevor oder während sie mit Ihnen zusammenarbeiten.
- Behördliches Audit: Die zuständige Datenschutzaufsichtsbehörde kann anlassbezogen (z. B. nach einer Beschwerde oder einem Vorfall) oder im Rahmen einer Schwerpunktprüfung Unterlagen anfordern und Prozesse prüfen.
Was wird bei einem Datenschutz-Audit typischerweise geprüft?
Ein Datenschutz-Audit prüft im Kern, ob die zentralen DSGVO-Pflichtdokumente vollständig, aktuell und nachweisbar umgesetzt sind. Nutzen Sie diese Checkliste als Vorbereitung:
Ist das Verzeichnis von Verarbeitungstätigkeiten vollständig und aktuell?
Sind die technischen und organisatorischen Maßnahmen (TOMs) dokumentiert und tatsächlich umgesetzt?
Liegen für alle Dienstleister gültige Auftragsverarbeitungsverträge vor?
Gibt es ein Löschkonzept mit klaren Aufbewahrungsfristen?
Existiert ein dokumentierter Prozess für Betroffenenanfragen (Auskunft, Löschung, Widerspruch)?
Gibt es einen Notfallplan für Datenschutzvorfälle inklusive der 72-Stunden-Meldefrist?
Wurden Mitarbeitende nachweislich zum Datenschutz geschult?
Sind Datenschutzerklärung und Einwilligungen auf der Website aktuell?
Je mehr dieser Punkte Sie mit Ja beantworten können, desto besser sind Sie auf ein Audit vorbereitet – unabhängig davon, wer es durchführt.
Wie läuft ein Datenschutz-Audit ab?
Ein Datenschutz-Audit läuft in der Regel in vier Schritten ab: Vorbereitung, Bestandsaufnahme, Abgleich mit den gesetzlichen Anforderungen und Maßnahmenplan.
- Vorbereitung: Der Prüfungsumfang wird festgelegt – geht es um das gesamte Unternehmen oder einen bestimmten Bereich (z. B. das Marketing oder einen einzelnen Dienstleister)?
- Bestandsaufnahme: Alle relevanten Dokumente werden zusammengetragen – Verzeichnis von Verarbeitungstätigkeiten, TOMs, Auftragsverarbeitungsverträge, Löschkonzept, Schulungsnachweise.
- Abgleich: Die Ist-Situation wird mit den Anforderungen der DSGVO verglichen. Hier zeigen sich typischerweise Lücken – etwa fehlende AVVs mit einzelnen Dienstleistern oder veraltete TOM-Dokumentationen.
- Maßnahmenplan: Für jede identifizierte Lücke wird festgehalten, wer bis wann welche Maßnahme umsetzt. Ein gutes Audit endet nicht mit einer Liste von Problemen, sondern mit einem konkreten Fahrplan.
Wie oft sollte ein Datenschutz-Audit durchgeführt werden?
Es gibt keine gesetzlich vorgeschriebene Frequenz für interne Audits. In der Praxis hat sich eine jährliche Überprüfung als sinnvoller Rhythmus etabliert – ergänzt um anlassbezogene Prüfungen, etwa nach der Einführung neuer Tools, einem Umzug in neue Räumlichkeiten oder einem sicherheitsrelevanten Vorfall.
Wie unterstützt DSM-Online bei der Auditvorbereitung?
Mit DSM-Online sind Sie jederzeit auditbereit, statt sich erst kurzfristig vorzubereiten: Verzeichnis von Verarbeitungstätigkeiten, TOMs, Verträge und Schulungsnachweise liegen zentral an einem Ort und lassen sich auf Knopfdruck exportieren. Externe Datenschutzbeauftragte, die mehrere Mandanten betreuen, erstellen Audits und Tätigkeitsberichte zusätzlich strukturiert über die Multi-Account-Funktion.
Häufige Fragen zum Datenschutz-Audit
Ist ein Datenschutz-Audit gesetzlich vorgeschrieben?
Ein konkretes Audit-Verfahren schreibt die DSGVO nicht vor. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt aber, dass Unternehmen die Einhaltung des Datenschutzes jederzeit nachweisen können – ein regelmäßiges Audit ist dafür der praktische Weg.
Wer darf ein Datenschutz-Audit durchführen?
Ein internes Audit kann der Datenschutzbeauftragte oder eine dafür benannte Person im Unternehmen durchführen. Bei einem Auftraggeber-Audit prüft in der Regel der Kunde selbst oder ein von ihm beauftragter Dienstleister. Bei einem behördlichen Audit prüft die zuständige Datenschutzaufsichtsbehörde.
Was passiert, wenn ein Datenschutz-Audit Mängel aufdeckt?
Werden Lücken festgestellt, folgt üblicherweise ein Maßnahmenplan mit klaren Fristen zur Behebung. Bei einem behördlichen Audit kann die Aufsichtsbehörde je nach Schwere zusätzlich Anordnungen treffen oder – bei gravierenden Verstößen – Bußgelder verhängen.
Wie lange dauert ein Datenschutz-Audit?
Das hängt stark vom Umfang und der Vorbereitung ab. Mit zentral dokumentierten Unterlagen (VVT, TOMs, Verträge) lässt sich ein internes Audit oft innerhalb weniger Tage durchführen – ohne Vorbereitung kann die Zusammenstellung der Unterlagen allein schon Wochen dauern.
Haben Sie weitere Fragen oder benötigen Unterstützung?
DSM-Online hilft Ihnen nicht nur bei der Vorbereitung auf Datenschutz-Audits, sondern auch bei der Datenschutz-Folgenabschätzung, der Verwaltung von Betroffenenrechten und Verletzungen, dem Erstellen von Hinweispflichten, Verträgen zur Auftragsverarbeitung und vielem mehr.
Ähnliche Artikel im Ratgeber
EU-Datenschutzgrundverordnung (EU-DSGVO)
Ratgeber EU-Datenschutzgrundverordnung (EU-DSGVO) Das Inkrafttreten der EU-DSGVO hat viele verunsichert. Hier bekommen Sie die wichtigsten Infos. DSM-Online…
Datenschutz-Abmahnungen? Keine Panik!
Ratgeber Datenschutz-Abmahnungen? Keine Panik! Wer seinen Datenschutz nicht „wasserdicht“ aufgesetzt hat, ist abmahnfähig und über den hängt…
Verzeichnis von Verarbeitungstätigkeiten
Was gehört ins Verzeichnis von Verarbeitungstätigkeiten (VVT)? Pflichtangaben, Ausnahmen und Praxistipps nach Art. 30 DSGVO – einfach...