Es gibt diesen einen Moment. Die E-Mail der Aufsichtsbehoerde liegt im Postfach, oder der Kunde kuendigt ein Lieferanten-Audit an, oder die Geschaeftsfuehrung fragt beilaeufig: “Sind wir eigentlich DSGVO-konform?” Und ploetzlich merkt man, dass niemand genau weiss, wo die personenbezogenen Daten liegen, wer darauf zugreift und ob das Verzeichnis von Verarbeitungstaetigkeiten noch aktuell ist. Meistens ist es das nicht.
Diese Angst ist berechtigt. Aber sie ist auch der falsche Zeitpunkt, um mit der Vorbereitung anzufangen. Ein Datenschutz-Audit besteht man nicht in der Woche vor dem Termin. Man besteht es, weil die Grundlagen im Alltag stimmen. Diese Checkliste zeigt die Punkte, an denen Pruefer am haeufigsten haken bleiben – und was Sie vorher pruefen sollten.
📷 BILD-PLATZHALTER: Ein Aktenordner mit dem Aufkleber “Datenschutz” liegt geoeffnet auf einem Schreibtisch, daneben ein Laptop mit einer Uebersicht von Datenbestaenden. Symbolbild fuer die Kluft zwischen Papier-Dokumentation und echter Datenlage.
Was ein Datenschutz-Audit ueberhaupt prueft
Bevor die Checkliste kommt, eine Einordnung. “Audit” ist ein Sammelbegriff. Es kann eine anlasslose Pruefung der Aufsichtsbehoerde sein, eine anlassbezogene nach einer Beschwerde oder Datenpanne, ein internes Audit durch den eigenen Datenschutzbeauftragten oder ein Lieferanten-Audit durch einen Auftraggeber. Der rechtliche Kern ist aber immer derselbe: Kann das Unternehmen die Einhaltung der DSGVO nachweisen?
Genau das verlangt Art. 5 Abs. 2 DSGVO – die Rechenschaftspflicht. Es reicht nicht, konform zu sein. Man muss es belegen koennen. Und “belegen” heisst: Dokumente, die zur Realitaet passen. Der teuerste Fehler ist ein sauberes Verzeichnis, das mit den tatsaechlich verarbeiteten Daten nichts mehr zu tun hat.
1. Das Verzeichnis von Verarbeitungstaetigkeiten (VVT)
Das ist der erste Griff jedes Pruefers. Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstaetigkeiten – mit Zweck, Rechtsgrundlage, Kategorien betroffener Personen, Empfaengern, Loeschfristen und technisch-organisatorischen Massnahmen.
Der verbreitete Irrtum: Man sei als kleines Unternehmen davon befreit. Art. 30 Abs. 5 DSGVO gilt zwar grundsaetzlich fuer Unternehmen mit weniger als 250 Beschaeftigten – aber die Ausnahme greift nicht, sobald die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko fuer die Betroffenen birgt oder besondere Kategorien nach Art. 9 DSGVO umfasst. Wer regelmaessig Kunden-, Mitarbeiter- oder Gesundheitsdaten verarbeitet, ist praktisch immer verzeichnispflichtig. Fast jedes Unternehmen fuehrt ein VVT – viele wissen es nur nicht.
Pruefen Sie konkret: Existiert das Verzeichnis? Ist es datiert und aktuell? Und – der eigentliche Knackpunkt – bildet es die reale Datenlage ab? Wenn im VVT steht “Kundendaten: Name, Anschrift”, die Datenbank aber zusaetzlich Geburtsdatum, Bonitaetsscore und eine Freitextspalte mit Gesundheitshinweisen enthaelt, dann ist das Verzeichnis wertlos. Schlimmer: Es dokumentiert eine Unwahrheit.
2. Wissen Sie, wo Ihre personenbezogenen Daten liegen?
Das ist die Frage hinter allen anderen. Ein VVT auf Papier ist schnell geschrieben. Aber die meisten Unternehmen wissen nicht, welche personenbezogenen Daten sich in welchen Tabellen, Exporten und alten Excel-Dateien tatsaechlich befinden. Die IBAN in einer Kommentarspalte. Die E-Mail-Adressen in einem CRM-Export, den vor zwei Jahren jemand auf einem Netzlaufwerk abgelegt hat. Das eine Feld “Bemerkung”, in dem Sachbearbeiter ueber Jahre Krankmeldungen notiert haben.
Genau hier scheitern Audits – nicht am fehlenden Dokument, sondern an der Kluft zwischen Dokument und Datenbank. Wer seine Datenbestaende nicht automatisiert durchsuchen kann, arbeitet mit Vermutungen. Und Vermutungen halten einer Pruefung nicht stand.
An diesem Punkt setzt datamastr an: Die Plattform analysiert die tatsaechlichen Datenquellen, erkennt personenbezogene und besondere Datenkategorien automatisch und leitet daraus einen VVT-Entwurf ab – aus echten Daten, nicht aus einem Fragebogen. Das schliesst genau die Luecke, die im Ernstfall am teuersten wird.
📷 BILD-PLATZHALTER: Screenshot einer Datenkatalog-Ansicht mit rot markierten Spalten, die als personenbezogene Daten erkannt wurden, und einer Seitenleiste, die pro Feld die Datenkategorie und Art.-9-Kennzeichnung anzeigt.
3. Loeschfristen und das Speicherbegrenzungsprinzip
Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es fuer den Zweck erforderlich ist. Das steht im Spannungsfeld zu den handels- und steuerrechtlichen Aufbewahrungsfristen aus § 257 HGB und § 147 AO – je nach Belegart sechs oder zehn Jahre.
Der Pruefer will sehen: Haben Sie ein Loeschkonzept? Definieren Sie pro Datenkategorie eine Frist? Und – wieder – wird tatsaechlich geloescht, oder wachsen die Datenbestaende einfach weiter? Ein Loeschkonzept, das niemand umsetzt, ist ein Dokument gegen Sie, nicht fuer Sie. Denn es beweist, dass Ihnen die Pflicht bekannt war und Sie sie nicht erfuellt haben.
4. Auskunftsrecht und die Ein-Monats-Frist
Betroffene haben nach Art. 15 DSGVO ein Recht auf Auskunft. Und nach Art. 12 Abs. 3 DSGVO muessen Sie einer solchen Anfrage grundsaetzlich innerhalb eines Monats nachkommen – verlaengerbar um zwei weitere Monate bei komplexen Faellen, aber nur mit Begruendung und Zwischenbescheid.
Ein Pruefer stellt gern die Testfrage: “Ein Kunde verlangt Auskunft ueber alle zu ihm gespeicherten Daten – wie lange brauchen Sie?” Wenn die ehrliche Antwort “mehrere Tage manueller Suche in fuenf Systemen” lautet, ist das ein Befund. Wer nicht weiss, wo die Daten einer Person liegen, kann die gesetzliche Frist nicht zuverlaessig einhalten. Dokumentieren Sie einen definierten Prozess: Wer nimmt die Anfrage an, wie wird identifiziert, wie wird ueber alle Systeme gesucht, wie wird die Antwort exportiert und protokolliert?
5. Technisch-organisatorische Massnahmen nach Art. 32
Art. 32 DSGVO verlangt dem Risiko angemessene Sicherheitsmassnahmen – Verschluesselung, Zugriffskontrolle, Pseudonymisierung, Wiederherstellbarkeit. Der Pruefer erwartet keine Perfektion, aber eine nachvollziehbare, dokumentierte Abwaegung. Wer hat Zugriff auf welche personenbezogenen Daten, und warum? Gibt es ein Berechtigungskonzept, oder darf faktisch jeder alles sehen?
Besonders heikel: Zugriffsrechte, die niemand mehr zurueckgenommen hat. Der Praktikant von 2023, dessen Konto noch Vollzugriff auf die Personaldaten hat. Ein Berechtigungskonzept, das nur auf dem Papier existiert, ist die haeufigste Diskrepanz zwischen Dokumentation und Realitaet.
6. Auftragsverarbeiter, Datenpannen und die weiteren Pflichten
Drei Punkte, die schnell uebersehen werden. Erstens: Fuer jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet – Cloud-Hoster, Newsletter-Tool, Lohnbuchhaltung – brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Fuehren Sie eine vollstaendige Liste?
Zweitens: Haben Sie einen Prozess fuer Datenpannen? Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehoerde binnen 72 Stunden. Wer erst im Ernstfall ueberlegt, wie das geht, verliert Zeit, die er nicht hat.
Drittens: Ist ein Datenschutzbeauftragter benannt, falls die Voraussetzungen des Art. 37 DSGVO vorliegen, und ist er der Aufsichtsbehoerde gemeldet? Und wurde fuer risikoreiche Verarbeitungen eine Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO durchgefuehrt?
Warum die Bussgeldhoehe kein Randthema ist
Verstoesse gegen die Verzeichnispflicht aus Art. 30 fallen unter Art. 83 Abs. 4 DSGVO – Geldbussen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag hoeher ist. Verstoesse gegen die Grundprinzipien und Betroffenenrechte liegen im hoeheren Rahmen des Art. 83 Abs. 5 DSGVO. Das sind keine theoretischen Zahlen. Aufsichtsbehoerden verhaengen sie.
Der eigentliche Punkt ist aber nicht das Bussgeld. Es ist der Zustand, den ein Audit offenlegt: Ein Unternehmen, das seine eigenen Daten nicht kennt, hat kein Datenschutzproblem, sondern ein Kontrollproblem. Datenschutz ist nur das Symptom, an dem es zuerst auffaellt.
📷 BILD-PLATZHALTER: Eine einfache Ampel-Grafik mit den Checklistenpunkten VVT, Datenlage, Loeschfristen, Auskunftsrecht, TOMs und Auftragsverarbeiter, jeweils in Gruen, Gelb oder Rot.
Die Vorbereitung, die vor der Vorbereitung kommt
Fassen wir die Checkliste zusammen: aktuelles VVT, das die reale Datenlage abbildet; ein belastbarer Ueberblick, wo personenbezogene Daten tatsaechlich liegen; ein umgesetztes Loeschkonzept; ein definierter Prozess fuer Auskunftsersuchen; dokumentierte TOMs samt Berechtigungskonzept; eine vollstaendige Liste der Auftragsverarbeiter; ein Datenpannen-Prozess.
Fast alle dieser Punkte haengen an derselben Grundlage – der Frage, ob Sie Ihre Daten kennen. Ein VVT aus echten Datenbestaenden statt aus einem Fragebogen, eine automatische Erkennung personenbezogener Felder, ein exportierbarer Auskunfts-Nachweis: Das ist die Arbeit, die ein Werkzeug wie datamastr abnimmt, damit die Woche vor dem Audit keine Panik-Woche wird.
Wo Sie im Moment stehen, laesst sich in wenigen Minuten einschaetzen. Der kostenlose DSGVO-Schnellcheck von datamastr fuehrt Sie durch 12 Fragen, dauert rund 3 Minuten und liefert ein sofortiges Ergebnis mit Ihren groessten Luecken: https://app.datamastr.com/dsgvo-check/ – der ehrlichste erste Schritt, bevor es der Pruefer fuer Sie uebernimmt.