Das DSGVO-Audit 2026: Konformität prüfen, nicht nur Dokumente zählen

Was ein DSGVO-Audit zeigen muss

Artikel 5 Absatz 2 begründet die Rechenschaftspflicht: Der Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können. Artikel 24 übersetzt das in die Pflicht, geeignete Maßnahmen umzusetzen, zu überprüfen und zu aktualisieren. Ein Audit ist ein Weg, Nachweise zu gewinnen; der Bericht allein schafft jedoch keine Konformität.

Ein universelles "DSGVO-Konformitätszertifikat" gibt es nicht. Die Zertifizierungsverfahren nach Artikel 42 sind freiwillig und mindern die Verantwortung des Verantwortlichen oder des Auftragsverarbeiters nicht. Ebenso bestätigt ein positives Audit eines bestimmten Umfangs nicht automatisch die Konformität von Prozessen, die gar nicht untersucht wurden.

Ein guter Bericht trennt vier Arten von Feststellungen:

• Verstoß gegen eine Vorschrift - etwa eine fehlende Rechtsgrundlage oder eine nicht erfüllte Informationspflicht;
• Risiko für die Rechte und Freiheiten von Personen - etwa ein zu weiter Zugriff auf Patientenakten;
• Schwäche einer Schutzmaßnahme - etwa ein administratives Konto ohne Mehr-Faktor-Authentisierung;
• fehlender Nachweis - die Maßnahme mag wirken, doch es gibt kein Testergebnis, keine dokumentierte Entscheidung und keinen benannten Verantwortlichen.

Zuerst die Verarbeitungslandkarte, dann die Dokumente

Ausgangspunkt ist eine Bestandsaufnahme der Prozesse, Systeme, Datenbestände, Datenflüsse und Empfänger. Die Auditorin gleicht die Angaben der Prozessverantwortlichen mit der Konfiguration der Anwendungen, den Verträgen, den Protokollen, den Formularen, Stichproben von Anträgen und der tatsächlichen Praxis ab. Das Verzeichnis von Verarbeitungstätigkeiten ist eine wichtige Quelle, sollte aber nicht die einzige Landkarte sein.

Auch die Rollen sind korrekt zuzuordnen. Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter handelt in seinem Auftrag, gemeinsam Verantwortliche legen Zwecke und Mittel zusammen fest. Die im Vertrag gewählte Bezeichnung entscheidet nicht über die Rolle; maßgeblich sind die Tatsachen und der tatsächliche Einfluss der Beteiligten. ^[3]

Artikel 30 sieht eine begrenzte Ausnahme für Organisationen mit weniger als 250 Beschäftigten vor. Sie greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko verursachen kann oder besondere Kategorien personenbezogener Daten beziehungsweise Daten über strafrechtliche Verurteilungen und Straftaten umfasst. In der Praxis schließen dauerhafte Personal-, Vertriebs- oder Kundenprozesse den vereinfachten Weg häufig aus.

Zwecke, Rechtsgrundlagen und die Grundsätze des Artikels 5

Jede Verarbeitung braucht einen bestimmten Zweck und eine Grundlage nach Artikel 6. Die Einwilligung ist nur eine von sechs Grundlagen und sollte nicht reflexhaft gewählt werden. Werden besondere Kategorien personenbezogener Daten verarbeitet, ist zusätzlich ein passender Tatbestand nach Artikel 9 erforderlich. Das Audit prüft diese Elemente je Zweck getrennt, statt einem ganzen System eine einzige Grundlage zuzuweisen.

Die Bewertung umfasst ebenso Datenminimierung, Richtigkeit, Speicherbegrenzung, Transparenz sowie Integrität und Vertraulichkeit. Ein Geburtsdatum kann in einem Prozess erforderlich und in einem Kontaktformular überflüssig sein. Die Speicherdauer sollte keine einheitliche Zahl für alle Daten sein: Zweck, Spezialvorschriften, Verjährungsfristen und auslösende Ereignisse für die Löschung sind zu berücksichtigen.

Artikel 25 verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. In der Praxis fragt das Audit, ob ein neues System vor der Inbetriebnahme auf Zweck, Datenumfang, Berechtigungen, Speicherdauer, Schnittstellen, Protokolle, Dienstleister und Risiko geprüft wurde. Die Voreinstellung soll die Verarbeitung auf die für den konkreten Zweck nötigen Daten begrenzen, statt die Last der Datenschutzkonfiguration den Nutzenden aufzubürden.

Transparenz und Ausübung der Betroffenenrechte

Eine Datenschutzinformation soll den tatsächlichen Prozess beschreiben. Sie nennt unter anderem Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer oder deren Bestimmungskriterien, die Rechte der betroffenen Person und etwaige Übermittlungen. Ein einziger allgemeiner Text passt nicht gleichzeitig auf Bewerbung, Videoüberwachung, Newsletter und Beschwerdebearbeitung.

Die Prüfung der Betroffenenrechte endet nicht bei der Verfahrensanweisung. Ein tatsächlicher oder ein Testantrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch ist von Anfang bis Ende zu verfolgen: von der Identifizierung der antragstellenden Person über das Auffinden der Daten in allen Systemen und Arbeitskopien bis zur fristgerechten Antwort. Grundsätzlich wird binnen eines Monats geantwortet; bei Komplexität oder hoher Zahl von Anträgen kann die Frist um zwei weitere Monate verlängert werden, wenn die Person im ersten Monat informiert wird. ^[4]

Zu berücksichtigen sind auch Daten anderer Personen, gesetzlich geschützte Geheimnisse und der Umfang der übermittelten Kopie. Das Auskunftsrecht bedeutet nicht automatisch die Herausgabe jedes Dokuments in unveränderter Form, doch der Verantwortliche muss eine getreue und verständliche Kopie der verarbeiteten personenbezogenen Daten bereitstellen.

Dienstleister, Auftragsverarbeiter und Cloud-Dienste

Ein Auftragsverarbeitungsvertrag nach Artikel 28 ist erforderlich, wenn ein Dienstleister Daten im Auftrag des Verantwortlichen verarbeitet. Das Audit prüft nicht nur das Vorhandensein der Klauseln, sondern auch Weisungen, Zweck und Dauer der Verarbeitung, Datenkategorien, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenpannen, Rückgabe oder Löschung der Daten sowie die Prüfmöglichkeit.

Die Dienstleisterliste sollte zentral beschaffte Systeme ebenso erfassen wie Werkzeuge, die Abteilungen oder einzelne Beschäftigte eigenständig einsetzen. Besonders wichtig sind Testkonten, kostenlose Anwendungen, OAuth-Integrationen, Analysewerkzeuge und Supportdienste. Die bloße Zusicherung eines Anbieters, "DSGVO-konform" zu sein, ersetzt keine Bewertung von Rolle, Vertrag, Schutzmaßnahmen und Übermittlungen.

Die Kommission hat Standardklauseln für das Verhältnis Verantwortlicher zu Auftragsverarbeiter nach Artikel 28 veröffentlicht. Sie sind nicht mit den Standardvertragsklauseln zu verwechseln, die als Garantie für eine Übermittlung in ein Drittland dienen. ^[5]

Artikel 32: dem Risiko angemessene Sicherheit

Die DSGVO schreibt keiner Organisation eine einheitliche Liste von Schutzmaßnahmen vor. Verantwortlicher und Auftragsverarbeiter berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Folgen für Personen. Pseudonymisierung, Verschlüsselung, Belastbarkeit, Wiederherstellung der Verfügbarkeit und regelmäßige Wirksamkeitsprüfung sind Beispiele für risikoangemessene Maßnahmen.

Pseudonymisierung erschwert die unmittelbare Zuordnung von Daten zu einer Person, ist aber nicht dasselbe wie Anonymisierung. Lässt sich die Verknüpfung mit zusätzlichen Informationen wiederherstellen, unterliegen die Daten weiterhin der DSGVO, und die zusätzlichen Informationen sind getrennt aufzubewahren und zu schützen. ^[1]

Ein technisches Audit sollte Risiko und Wirksamkeitsnachweis miteinander verbinden. Geprüft werden unter anderem Identitäts- und Berechtigungsverwaltung, Mehr-Faktor-Authentisierung (MFA), Verschlüsselung und Schlüsselverwaltung, Sicherungskopien und Wiederherstellung, Aktualisierungen, Konfiguration, Segmentierung, Protokollierung, Endgeräte- und E-Mail-Schutz, Vorfallerkennung, Dienstleistersicherheit und das sichere Löschen von Datenträgern. Verschlüsselung begrenzt die Folgen eines verlorenen Datenträgers oder einer abgefangenen Übertragung, behebt aber weder eine übermäßige Datenerhebung noch den Missbrauch durch ein Konto, das entschlüsseln darf. Nicht jede Umgebung braucht denselben Satz an Maßnahmen, doch ein Weglassen sollte dokumentiert begründet sein.

Artikel 32 legt keine feste Häufigkeit für Scans, Penetrationstests oder Audits fest. Das Prüfprogramm sollte sich aus Risiko, Änderungsgeschwindigkeit, Kritikalität der Prozesse und früheren Feststellungen ergeben. Ein Wiederherstellungstest, eine Berechtigungsprüfung, ein Schwachstellenscan und eine Vorfallübung beantworten unterschiedliche Fragen und sind nicht austauschbar.

Der EuGH hat in der Rechtssache C-340/21 klargestellt, dass ein Cyberangriff oder eine unbefugte Offenlegung für sich genommen nicht beweist, dass die Maßnahmen unangemessen waren. Zugleich muss der Verantwortliche ihre Angemessenheit nachweisen können, und das Handeln eines Dritten befreit ihn nicht automatisch von der Haftung. ^[6]

Datenpannen: risikobasierte Entscheidung statt automatischer Meldung

Eine Verletzung des Schutzes personenbezogener Daten umfasst die unbeabsichtigte oder unrechtmäßige Vernichtung, den Verlust, die Veränderung, die unbefugte Offenlegung von oder den unbefugten Zugang zu Daten. Sie kann Vertraulichkeit, Integrität oder Verfügbarkeit betreffen. Ein Ausfall, der die einzige Kopie eines Datenbestands verschlüsselt, kann eine Verletzung sein, auch wenn niemand Daten abgezogen hat.

Der Verantwortliche meldet die Verletzung der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Bei hohem Risiko sind grundsätzlich auch die betroffenen Personen zu benachrichtigen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. ^[7]

Die Frist beginnt nicht erst nach Abschluss der IT-Forensik. Liegen noch nicht alle Angaben vor, erlaubt Artikel 33 Absatz 4 eine schrittweise Übermittlung ohne weitere unangemessene Verzögerung. Das Audit prüft den gesamten Ablauf: Meldewege, Bereitschaft außerhalb der Arbeitszeit, Einstufung des Ereignisses, Risikobewertung, Meldeentscheidung, Kommunikation mit den betroffenen Personen, Beweissicherung und das Verzeichnis aller Verletzungen, auch der nicht gemeldeten.

DSFA: Bewertung vor einer Verarbeitung mit hohem Risiko

Eine Datenschutz-Folgenabschätzung (DSFA) ist verpflichtend, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Artikel 35 nennt unter anderem die systematische und umfassende Bewertung persönlicher Aspekte auf der Grundlage automatisierter Verarbeitung, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

In Polen ist die 2019 im Amtsblatt Monitor Polski veröffentlichte Liste der Aufsichtsbehörde zu berücksichtigen. Sie ist keine abschließende Aufzählung aller Situationen mit hohem Risiko. Eine DSFA wird vor Beginn der Verarbeitung durchgeführt und erneut überprüft, wenn eine Änderung von Zweck, Technologie, Datenumfang oder Empfängern das Risiko beeinflussen kann. Bleibt trotz geplanter Maßnahmen ein hohes Risiko, sieht Artikel 36 die vorherige Konsultation der Aufsichtsbehörde vor. ^[8]

Eine DSFA ist kein ausgedehntes Freigabeformular. Sie sollte Verarbeitungen und Zwecke beschreiben, Erforderlichkeit und Verhältnismäßigkeit bewerten, die Folgen für Menschen analysieren und Maßnahmen samt Verantwortlichen benennen. Das Risiko für die betroffene Person ist nicht dasselbe wie das finanzielle Risiko der Organisation.

Übermittlungen außerhalb des EWR nach Schrems II und dem EU-US DPF

Das Urteil Schrems II vom 16. Juli 2020 hat den Privacy-Shield-Beschluss für ungültig erklärt, nicht aber die Standardvertragsklauseln. Der Gerichtshof verlangte von Exporteur und Importeur zu prüfen, ob sich in der Praxis ein im Wesentlichen gleichwertiges Schutzniveau sicherstellen lässt, und erforderlichenfalls zusätzliche Maßnahmen zu ergreifen. ^[9]

Der Standort des Hauptrechenzentrums im EWR entscheidet die Frage nicht. Das Audit erfasst auch den administrativen Fernzugriff aus einem Drittland, den Support, die Telemetrie, die Sicherungskopien und weitere Unterauftragsverarbeiter. Der EDSA empfiehlt festzustellen, ob eine der DSGVO unterliegende Stelle Daten offenlegt oder sie auf andere Weise einem gesonderten Verantwortlichen oder Auftragsverarbeiter in einem Drittland zugänglich macht. ^[12]

Seit dem 10. Juli 2023 gilt der Durchführungsbeschluss (EU) 2023/1795 der Kommission über die Angemessenheit des EU-US Data Privacy Framework. Er erlaubt Übermittlungen an eine US-Organisation, die aktiv auf der DPF-Liste steht, im Umfang ihrer Zertifizierung. Es genügt nicht, dass ein Anbieter seinen Sitz in den USA hat oder das Programmlogo führt. ^[10]

Das Gericht der Europäischen Union hat mit Urteil vom 3. September 2025 die Klage gegen diesen Beschluss in der Rechtssache T-553/23 abgewiesen. Am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt; zum 24. August 2026 ist die Rechtssache C-703/25 P weiterhin beim Gerichtshof anhängig, ohne Termin für eine mündliche Verhandlung. Der Angemessenheitsbeschluss gilt somit fort, und Übermittlungen auf seiner Grundlage sind rechtmäßig. ^[11] Vernünftige Planung bedeutet hier nicht, das DPF vorzeitig aufzugeben, sondern Vertrag und Architektur so zu gestalten, dass sich der Transfermechanismus notfalls ohne Betriebsunterbrechung wechseln lässt.

Greift für den Empfänger kein gültiger Angemessenheitsbeschluss, können unter anderem die Standardvertragsklauseln (SCC) aus dem Beschluss 2021/914 als Grundlage dienen. Das Audit prüft das richtige Modul, die ausgefüllten Anhänge, die Transferfolgenabschätzung, die technischen und organisatorischen Maßnahmen, Weiterübermittlungen und die Fähigkeit, den Datenfluss auszusetzen. Die Ausnahmen des Artikels 49 sollten keinen dauerhaften Mechanismus für regelmäßige Übermittlungen ersetzen. ^[12]

KI, Beschäftigtenüberwachung und die Website

Der Kauf einer Unternehmensversion eines KI-Werkzeugs entscheidet die DSGVO-Frage nicht. Zu klären ist, ob personenbezogene Daten in Eingaben, Anhänge, Protokolle, Antworten oder das Modell gelangen; wer Verantwortlicher und wer Auftragsverarbeiter ist; und wie Zwecke, Rechtsgrundlagen, Speicherdauer, Unterauftragsverarbeiter, Übermittlungen und Trainingseinstellungen aussehen. Der EDSA betont in der Stellungnahme 28/2024, dass sowohl die Anonymität eines Modells als auch die Möglichkeit, die Verarbeitung auf ein berechtigtes Interesse zu stützen, eine Einzelfallprüfung erfordern. ^[13]

Artikel 4 des AI Act zur KI-Kompetenz des Personals gilt seit dem 2. Februar 2025. Eine Schulung schafft jedoch keine Rechtsgrundlage für eine Verarbeitung und ersetzt keine Pflichten aus der DSGVO. ^[14]

Die Überwachung dienstlicher E-Mail unterliegt in Polen zusätzlich Artikel 22³ des Arbeitsgesetzbuchs: Sie muss für die gesetzlichen Zwecke erforderlich sein, darf weder das Postgeheimnis noch andere Persönlichkeitsrechte verletzen und setzt die Erfüllung der Formalien zur Einführung einer Überwachung voraus. Die polnische Aufsichtsbehörde verlangt für die Einführung eines Systems zur Überwachung von Arbeitszeit und Informationsfluss in E-Mail oder Internet eine DSFA, weil dabei mehrere Kriterien hohen Risikos zusammentreffen. Das bedeutet nicht, dass jede gelegentliche Einsichtnahme diese Schwelle erreicht. ^[8][15]

Beim Audit einer Website ist die DSGVO nicht die einzige Grundlage. Artikel 399 des polnischen Gesetzes über elektronische Kommunikation regelt das Speichern von Informationen auf dem Endgerät der Nutzenden und den Zugriff darauf, einschließlich typischer Cookies. In den gesetzlichen Fällen der Erforderlichkeit ist keine Einwilligung nötig, doch Analyse- und Werbewerkzeuge sind gesondert zu bewerten. ^[15]

Datenschutzbeauftragte und Verantwortung der Leitung

Ein Datenschutzbeauftragter ist unter anderem in Behörden und öffentlichen Stellen zu benennen, ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit, sowie dann, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten beziehungsweise von Strafdaten erfordert. ^[1]

Die Funktion kann von Beschäftigten oder auf Grundlage eines Dienstvertrags wahrgenommen werden. Sie braucht Ressourcen, Zugang zur obersten Leitungsebene, die Möglichkeit unabhängigen Handelns und Freiheit von Interessenkonflikten. Die Zuständigkeit für Konformität liegt jedoch nicht bei ihr: Die Verantwortung für Entscheidungen und Maßnahmen bleibt beim Verantwortlichen oder Auftragsverarbeiter. Das Audit prüft, ob Datenschutzbeauftragte früh genug eingebunden werden und nicht erst nach einem Vorfall oder nach dem Kauf eines Systems.

Ablauf des Audits und Nachweise

1. Umfang festlegen. Stellen, Standorte, Prozesse, Systeme, Zeitraum und Bewertungskriterien.
2. Vorprüfung. Verzeichnisse, Richtlinien, Verträge, DSFA, Risikobewertungen, Verzeichnis der Verletzungen und frühere Feststellungen.
3. Interviews und Prozessverfolgung. Fachbereiche, IT, Sicherheit, Personal, Marketing, Einkauf, Datenschutzbeauftragte und Kundenservice.
4. Stichprobenprüfungen. Berechtigungen, Betroffenenanträge, Speicherdauer, Dienstleister, Datenschutzinformationen, Verletzungen, Sicherungskopien und Konfigurationen.
5. Risiko- und Konformitätsbewertung. Jede Feststellung erhält Rechtsgrundlage, Nachweis, Folge, Verantwortlichen und Priorität.
6. Maßnahmenplan. Konkrete Schritte, Abhängigkeiten, Termin, Nachweis des Abschlusses und verbleibendes Risiko.
7. Verifikation. Eine Feststellung wird erst geschlossen, wenn die Wirksamkeit der Korrektur geprüft ist, nicht auf bloße Zusage hin.

Der Umfang der Stichprobe gehört offengelegt. Hat die Auditorin fünf von hundert Verträgen oder ein System von mehreren Umgebungen geprüft, muss der Bericht das sagen. Ohne diesen Vorbehalt wird aus einer begrenzten Prüfung eine scheinbare Garantie.

Normen helfen, ersetzen aber das Recht nicht

ISO/IEC 27701:2025, veröffentlicht am 14. Oktober 2025, beschreibt ein Datenschutz-Managementsystem und hat die Ausgabe von 2019 abgelöst. Die Änderung ist nicht kosmetisch: Die neue Ausgabe ist eine eigenständige Norm, während die Fassung von 2019 eine Erweiterung von ISO/IEC 27001 und ISO/IEC 27002 war und ein ISMS voraussetzte. Eine Datenschutzzertifizierung ohne ISO/IEC-27001-Zertifikat ist daher heute möglich, was die Kostenrechnung für Organisationen ohne Bedarf an einem vollständigen ISMS verändert. ISO/IEC 29134:2023 enthält Leitlinien für Datenschutz-Folgenabschätzungen, und ISO/IEC 27001:2022 mit Amd 1:2024 ordnet das Informationssicherheits-Managementsystem. ^[16]

Es handelt sich um freiwillige Normen, nicht um Vorschriften der DSGVO. Sie können Struktur, Kriterien und Nachweise liefern, doch ein Zertifikat entscheidet weder über die Rechtmäßigkeit eines konkreten Zwecks noch über die Wirksamkeit einer Einwilligung, die Zuläßigkeit einer Übermittlung oder die Erfüllung von Betroffenenrechten.

Der zuletzt veröffentlichte Tätigkeitsbericht der polnischen Aufsichtsbehörde betrifft das Jahr 2024. Er zeigt die Bandbreite von Beschwerden, Verletzungen, Kontrollen und Entscheidungen, schafft aber keine universelle Prüfliste für jede Organisation. Ein Audit sollte sich aus ihren Prozessen und ihrem Risiko ergeben. ^[17]