Kurz erklärt: Ein Datenschutzaudit ist die systematische Überprüfung, ob ein Unternehmen die Anforderungen der DSGVO erfüllt: Dokumentation, Verträge, Prozesse, Technik und Schulung werden gegen die gesetzlichen Vorgaben geprüft und Lücken mit Prioritäten festgehalten.
Was bedeutet Datenschutzaudit?
Ein Audit ist keine gesetzliche Pflicht mit festem Rhythmus, aber der übliche Weg, die Überwachungsaufgabe des Datenschutzbeauftragten nach Art. 39 Abs. 1 lit. b DSGVO und die Pflicht zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen nach Art. 32 Abs. 1 lit. d DSGVO zu erfüllen. Es beginnt mit einer Bestandsaufnahme (Erstaudit) und wird jährlich wiederholt.
Geprüft werden unter anderem Verarbeitungsverzeichnis, Rechtsgrundlagen, Informationstexte, Auftragsverarbeitungsverträge, Löschkonzept, Umgang mit Betroffenenanfragen und Datenpannen, Zugriffsrechte, Backups, Schulungen und die Website. Das Ergebnis ist ein Bericht mit Maßnahmenplan.
Rechtsgrundlage
- Art. 39 Abs. 1 lit. b DSGVO (Überwachung durch den Datenschutzbeauftragten)
- Art. 32 Abs. 1 lit. d DSGVO (regelmäßige Überprüfung der Maßnahmen)
- Art. 24 Abs. 1 DSGVO (Überprüfung und Aktualisierung)
- Art. 5 Abs. 2 DSGVO (Nachweis)
In der Praxis
Das Erstaudit ist der Startpunkt jeder Betreuung durch einen externen Datenschutzbeauftragten: ein halber bis ganzer Tag im Betrieb, Gespräche mit Geschäftsführung, Büro und IT, Sichtung der Unterlagen, Begehung. Daraus entsteht die Liste, was zuerst erledigt werden muss, meist die Punkte, die eine Aufsichtsbehörde zuerst abfragt.
Häufige Fragen
Fragen zu Datenschutzaudit
Wie oft sollte ein Audit stattfinden?
Einmal jährlich als Regelaudit, zusätzlich anlassbezogen bei neuen Systemen, Umzügen, Datenpannen oder Prüfungen.
Ist ein Audit dasselbe wie eine Zertifizierung?
Nein. Das Audit ist eine interne Prüfung. Zertifizierungen nach Art. 42 DSGVO oder ISO 27001 sind externe Verfahren mit eigenen Anforderungen.
Verwandte Begriffe
Das gehört dazu
Ratgeber