{"id":43430,"date":"2026-03-05T08:30:44","date_gmt":"2026-03-05T06:30:44","guid":{"rendered":"https:\/\/2b-advice.com\/?p=43430"},"modified":"2026-06-22T16:08:44","modified_gmt":"2026-06-22T14:08:44","slug":"audit-vorbereitung-im-datenschutz","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2026\/03\/05\/audit-vorbereitung-im-datenschutz\/","title":{"rendered":"Audit-Vorbereitung im Datenschutz"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\n\t\t\t\t\t\"Bild\n\t\t\t\t<\/a>\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t

\n\t\t\t\t\t\t\tMarcus Belke\t\t\t\t\t\t<\/h4>\n\t\t\t\t\t<\/a>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

CEO of 2B Advice GmbH, driving innovation in privacy compliance and risk management and leading the development of Ailance, the next-generation compliance platform.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Eine gute Audit-Vorbereitung bedeutet mehr, als nur eine vollst\u00e4ndige Dokumentation bereitzustellen. Sie erfordert klare Verantwortlichkeiten, strukturierte Nachweise und transparente Prozesse. Unternehmen, die diese Strukturen fr\u00fchzeitig aufbauen, vermeiden Stress w\u00e4hrend des Audits und st\u00e4rken gleichzeitig ihre Governance. In diesem Artikel erfahren Sie, wie Pr\u00fcfer denken, welche Schwachstellen in Datenschutz-Audits h\u00e4ufig auftreten und wie Sie sich strukturiert auf eine Pr\u00fcfung vorbereiten k\u00f6nnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Was Pr\u00fcfer typischerweise erwarten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die pr\u00fcfenden Stellen (Aufsichtsbeh\u00f6rde, interne Revision, externer Auditor, Kunde\/Partner) unterscheiden sich vielleicht im Ton, aber selten in den Kernaussagen. Pr\u00fcfer suchen belastbare Antworten auf drei Leitfragen:<\/p>

  1. Kennt die Organisation ihre Verarbeitung?
    \u201eWas verarbeiten wir, warum, wie lange, mit wem, wohin?\u201c (VVT<\/a> als Kernnachweis).

    <\/li>
  2. Sind die Schutzma\u00dfnahmen risikoad\u00e4quat gew\u00e4hlt und wirksam?
    Die TOM sind nicht nur \u201eauf Papier\u201c, sondern nachvollziehbar implementiert und \u00fcberpr\u00fcft.

    <\/li>
  3. Sind Betroffenenrechte und -pflichten operationalisiert?
    Auskunft\/L\u00f6schung, Vorfallmanagement, Informationspflichten, Einwilligungswiderruf m\u00fcssen als echte Abl\u00e4ufe mit Fristen und Verantwortlichkeiten definiert sein.

    <\/li><\/ol>

    F\u00fcr Aufsichtsbeh\u00f6rden ist zudem zentral, dass Verantwortliche und Auftragsverarbeiter auf Anfrage kooperieren. Das Kooperationsverhalten kann auch bu\u00dfgeldrelevant werden (Minderungs-\/Bemessungskriterium).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Pr\u00fcfmethoden, die Sie realistisch einplanen sollten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    In der Praxis kommt eine Mischung aus Dokumentenpr\u00fcfung, strukturierten Frageb\u00f6gen, Interviews und Stichproben zum Einsatz. Dass Aufsichtsbeh\u00f6rden unter anderem Datenschutz\u00fcberpr\u00fcfungen durchf\u00fchren und Informationen anfordern k\u00f6nnen, ist im gesetzlichen Befugnisrahmen verankert.<\/p>

    Eine sehr \u201eauditnahe\u201c Perspektive liefert beispielsweise der Fragebogen des BayLDA: Er fragt explizit nach Datenschutz-Governance, der Einbindung des Datenschutzbeauftragten, VVT, Privacy by Design, Auftragsverarbeitern\/AV-Vertr\u00e4gen, Informationspflichten, Betroffenenrechten, dem Einwilligungsnachweis und dem Datenschutzmanagement. Das ist praktisch ein Erwartungskatalog.<\/p>

    Pr\u00fcfmethodik<\/strong><\/p><\/td>

    Woran Pr\u00fcfer die Reife erkennen<\/strong><\/p><\/td>

    Typische Nachweise<\/strong><\/p><\/td><\/tr>

    Dokumentenreview (\u201eDesk\u00a0Audit<\/a>\u201c)<\/p><\/td>

    Konsistenz: VVT \u2194 TOM \u2194 DSFA \u2194 Vertr\u00e4ge \u2194 L\u00f6schfristen \u2194\u00a0Informationspflichten<\/a><\/p><\/td>

    VVT, TOM\u2011Konzept\/Mapping, AV\u2011Vertr\u00e4ge,\u00a0L\u00f6schkonzept<\/a>, DSFA\/Risikoanalyse, Einwilligungsnachweise<\/p><\/td><\/tr>

    Fragebogen (beh\u00f6rdlich\/Partneraudit)<\/p><\/td>

    Antwortf\u00e4higkeit ohne \u201eAd\u2011hoc\u2011Erfindung\u201c; klare Verantwortlichkeiten<\/p><\/td>

    Ausgef\u00fcllte Frageb\u00f6gen, Nachweis\u2011Index je Frage (Beleglink)<\/p><\/td><\/tr>

    Interviews\/Werkstattgespr\u00e4che<\/p><\/td>

    Mitarbeitende kennen Prozess, Eskalation, Fristen; keine widerspr\u00fcchlichen Aussagen<\/p><\/td>

    Rollenmatrix, Schulungsnachweise, Prozesshandb\u00fccher, Ticket\u2011\/Workflow\u2011Beispiele<\/p><\/td><\/tr>

    Stichproben\/Walk\u2011through<\/p><\/td>

    \u201eShow me\u201c: Auskunft,\u00a0L\u00f6schung<\/a>, Berechtigung, Incident\u2011Response tats\u00e4chlich durchf\u00fchrbar<\/p><\/td>

    1\u20133 Fallakten pro Prozess (DSAR\u2011Tickets, L\u00f6schl\u00e4ufe, Berechtigungsreview, Incident\u2011Runbook)<\/p><\/td><\/tr>

    Technische Evidenz (Demos\/Logs)<\/p><\/td>

    Wirksamkeit und Nachvollziehbarkeit (z.\u202fB. Rollen\/Rechte, 2FA, Backup\u2011Tests)<\/p><\/td>

    Berechtigungskonzepte, Protokolle, Backup\u2011Testprotokolle, MFA\u2011Rollout\u2011Nachweise\u00a0<\/p><\/td><\/tr><\/tbody><\/table>

    Link-Tipp:\u00a0DSGVO-Fragebogen LDA Bayern<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Typische Pr\u00fcffragen und Beurteilungskriterien<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die folgenden Beispiele sind so formuliert, dass sie sowohl f\u00fcr Beh\u00f6rden- als auch f\u00fcr Kunden- bzw. Zertifizierungsaudits geeignet sind. Sie spiegeln typische Beh\u00f6rdenfragen (z. B. Fragebogen des BayLDA) sowie die DSK-Systematik (VVT\/DSFA\/Betroffenenrechte) wider.<\/p>
    Themenblock<\/strong><\/th>Typische Pr\u00fcffrage<\/th>Beurteilungskriterium (was \u201egut\u201c hei\u00dft)<\/strong><\/th>Typische Nachweise<\/strong><\/th><\/tr><\/thead>
    Governance<\/td>\u201eIst Datenschutz<\/a> Chefsache, sind Verantwortlichkeiten geregelt?\u201c<\/td>Zust\u00e4ndigkeiten sind dokumentiert und im Alltag wirksam<\/td>Datenschutzleitlinie, Rollen\/RACI, DSB Einbindungskonzept<\/td><\/tr>
    Verarbeitungstransparenz<\/td>\u201eGibt es ein VVT, ist es vollst\u00e4ndig und aktuell?\u201c<\/td>VVT deckt reale Verarbeitungen ab, inkl. Empf\u00e4nger, L\u00f6schfristen, TOM\u2011Beschreibung<\/td>VVT + Change\u2011Prozess\/Review\u2011Protokoll<\/td><\/tr>
    Auftragsverarbeitung<\/td>\u201eSind alle Auftragsverarbeiter erfasst und AV\u2011Vertr\u00e4ge Art. 28 abgeschlossen?\u201c<\/td>Vollst\u00e4ndige Vendor\u2011Liste; AV\u2011Vertr\u00e4ge mit Mindestinhalt; Kontrollmechanismus<\/td>Vendor\u2011Register, AV\u2011Vertr\u00e4ge, TOM\u2011Pr\u00fcfung Dienstleister\u00a0<\/td><\/tr>
    Betroffenenrechte<\/td>\u201eK\u00f6nnen Sie Auskunft binnen Frist liefern?\u201c<\/td>Prozess & Organisation sichern fristgerechte, verst\u00e4ndliche Auskunft<\/td>DSAR\u2011Prozess, Musterantworten, Ticket\u2011Beispiele\u00a0<\/td><\/tr>
    L\u00f6schung<\/td>\u201eWie stellen Sie L\u00f6schfristen je Datenart sicher?\u201c<\/td>Datenl\u00f6schkonzeption je Datenart; begr\u00fcndete Fristen; dokumentierte L\u00f6schl\u00e4ufe<\/td>L\u00f6schkonzept, L\u00f6schprotokolle, Ausnahme-\/Sperrregeln\u00a0<\/td><\/tr>
    Risiko\/DSFA<\/td>\u201eBei welchen Vorg\u00e4ngen f\u00fchren Sie eine DSFA durch?\u201c<\/td>DSFA vor Start; Entscheidung pro Vorgang dokumentiert; Ma\u00dfnahmen leiten sich ab<\/td>DSFA\u2011Berichte, Schwellwertanalyse, Ma\u00dfnahmenplan<\/td><\/tr>
    Einwilligungen<\/td>\u201eK\u00f6nnen Sie Einwilligungen nachweisen und Widerruf erm\u00f6glichen?\u201c<\/td>Nachweisbarkeit, Informiertheit, Widerrufsmechanismus<\/td>Consent\u2011Register, UI\u2011Screenshots, Protokolle\u00a0<\/td><\/tr><\/tbody><\/table>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    H\u00e4ufige Schw\u00e4chen in Audits<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die folgenden Schw\u00e4chen sind keine \u201etheoretischen Fehler\u201c, sondern typische Bruchstellen zwischen Papier-Compliance und Alltag. Die Beispiele orientieren sich bewusst an beh\u00f6rdlichen Pr\u00fcffragen und Good-Practice-Katalogen (z. B. TOM-Checklisten), da Pr\u00fcfer genau dort nachhaken, wo die Umsetzung oft l\u00fcckenhaft ist.<\/p>

    Technische M\u00e4ngel<\/h5>

    Ein h\u00e4ufiger Audit-Befund ist nicht \u201ekeine TOM\u201c, sondern TOM ohne Wirksamkeitsbezug: Es existiert zwar ein PDF mit Schlagworten, jedoch gibt es keine belastbare Evidenz daf\u00fcr, dass Ma\u00dfnahmen umgesetzt, getestet und risikogerecht ausgew\u00e4hlt wurden. Der Ma\u00dfstab \u201eregelm\u00e4\u00dfig \u00fcberpr\u00fcfen\/bewerten\u201c ist zwar explizit adressiert, ohne konkrete Beschreibung ist er jedoch praktisch nicht erf\u00fcllbar.<\/p>

    Konkrete, oft beanstandete technische Beispiele:<\/p>