Ein Datenschutzvorfall, keine dokumentierten Schutzmaßnahmen, eine Aufsichtsbehörde vor der Tür: Für Geschäftsführer in KMU ist das kein Horrorszenario mehr, sondern gelebte Praxis. Seit 2018 wurden europaweit mehr als fünf Milliarden Euro an DSGVO-Bußgeldern verhängt – auch gegen Unternehmen mit weniger als 50 Mitarbeitern.
Das Datenschutz-Audit ist das zentrale Instrument, um Compliance-Lücken zu schließen, bevor die Behörde sie findet. Art. 24 DSGVO verpflichtet Verantwortliche zur Rechenschaftspflicht: Wer keine regelmäßige Überprüfung seiner Datenschutzmaßnahmen nachweisen kann, trägt im Ernstfall das volle Haftungsrisiko. Dieser Ratgeber klärt, wann ein Audit rechtlich geboten ist, was es kostet und wie KMU die Pflicht zum Datenschutzbeauftragten korrekt einschätzen.
Hinzu kommt: Die Bundesregierung hat in ihrer Föderalen Modernisierungsagenda angekündigt, die nationale DSB-Pflicht nach § 38 BDSG bis Ende 2026 abzuschaffen. Was das für mittelständische Unternehmen bedeutet und warum eine Abschaffung kein Freifahrtschein ist, erläutert dieser Beitrag.
Was ist ein Datenschutz-Audit und was prüft es konkret?
Ein Datenschutz-Audit ist eine systematische Prüfung aller datenschutzrelevanten Prozesse, Dokumente und technischen Maßnahmen eines Unternehmens auf Konformität mit der DSGVO und dem BDSG. Ziel ist es, Compliance-Lücken zu identifizieren, bevor sie von Behörden oder Angreifern entdeckt werden.
Ein vollständiges Audit umfasst acht Prüfbereiche: das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, technisch-organisatorische Maßnahmen (TOM), Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Betroffenenrechte und deren Prozesse, Datenschutz-Folgenabschätzungen, Datenpannenmanagement, Mitarbeiterschulungen sowie das Löschkonzept. Das Auditteam kombiniert Dokumentenprüfung, Interviews mit Fachabteilungen, Stichproben in IT-Systemen und technische Tests.
Besondere Aufmerksamkeit gilt dem Auftragsverarbeitungsbereich. Wer Cloud-Dienste, externe IT-Dienstleister oder Marketingplattformen einsetzt, muss deren Datenschutzniveau aktiv überprüfen. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 22/2024 vom Oktober 2024 klargestellt, dass die Überprüfungspflicht gegenüber Auftragsverarbeitern unabhängig vom Risiko gilt und die Kontrolllast nicht an den Auftragsverarbeiter delegiert werden kann.
Der BGH hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) entschieden, dass bereits der kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines DSGVO-Verstoßes einen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO begründen kann. Für Unternehmen ohne dokumentiertes Audit-System bedeutet das: Der Nachweis, alle zumutbaren Schutzmaßnahmen getroffen zu haben, wird im Streitfall praktisch unmöglich.
Professionelle Datenschutz-Audits folgen methodisch dem ISO-19011-Standard. Ein abschließender Auditbericht enthält Schwachstellen, eine Risikobewertung und einen priorisierten Maßnahmenplan. Dieser Bericht ist zugleich der zentrale Nachweis für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Wann wird das Datenschutz-Audit zur rechtlichen Pflicht?
Ein Datenschutz-Audit als solches ist in der DSGVO nicht als explizite Einzelpflicht kodifiziert, wohl aber dessen materieller Kern: Art. 5 Abs. 2 DSGVO verpflichtet jeden Verantwortlichen, die Einhaltung der Datenschutzgrundsätze jederzeit nachweisen zu können — und Art. 24 DSGVO verlangt, dass Schutzmaßnahmen regelmäßig überprüft und aktualisiert werden.
Konkret wird die Audit-Pflicht in drei Konstellationen besonders dringlich. Erstens: bei der Einführung neuer IT-Systeme oder Geschäftsprozesse wie Cloud-Migration, CRM-Systemen oder KI-Tools. Zweitens: vor behördlichen Prüfungen oder im Rahmen von Zertifizierungen wie ISO 27001 oder TISAX. Drittens: nach Datenschutzvorfällen zur Ursachenanalyse. Hinzu kommt das Recht der Auftraggeber aus Art. 28 Abs. 3 lit. h DSGVO, bei Auftragsverarbeitern Audits durchzuführen oder anzufordern.
Die Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO ist eine eigenständige gesetzliche Pflicht, die von einem Audit zu trennen, aber mit ihm eng verzahnt ist. Eine DPIA wird erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt — etwa bei umfangreicher Verarbeitung von Gesundheitsdaten, systematischer Mitarbeiterüberwachung oder dem Einsatz von Profiling-Technologien. Wer eine DPIA durchführen muss, löst gleichzeitig nach § 38 Abs. 1 Satz 2 BDSG die Pflicht zur Benennung eines Datenschutzbeauftragten aus.
Praxis-Szenario: Ein Softwareunternehmen aus dem Ruhrgebiet mit 35 Mitarbeitern führt ein KI-gestütztes HR-Tool ein, das Bewerberdaten automatisiert bewertet. Der Geschäftsführer geht davon aus, dass die DPIA optional sei. Tatsächlich greift Art. 35 DSGVO: Die systematische Auswertung personenbezogener Daten für Personalentscheidungen löst die DPIA-Pflicht aus, und damit auch die DSB-Bestellpflicht — unabhängig von der Mitarbeiterzahl. Nach einer internen Prüfung und einem externen Audit wurden die Prozesse angepasst und die Compliance-Lücke innerhalb von acht Wochen geschlossen.
Immer mehr Geschäftskunden verlangen in Ausschreibungen aktuelle Nachweise zur DSGVO-Compliance. Ein aktueller Auditbericht dient damit nicht nur der rechtlichen Absicherung, sondern auch als Wettbewerbsvorteil gegenüber Mitbewerbern, die keine strukturierte Prüfung vorweisen können.
Praxis-Tipp
Ein Datenschutz-Audit ist nach der DSGVO zwar kein formaler Pflichtbegriff, doch Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung aller Datenschutzgrundsätze — ohne dokumentiertes Audit ist dieser Nachweis kaum zu erbringen.
Was kostet ein Datenschutz-Audit für KMU?
Für KMU bis 150 Mitarbeiter liegen die Kosten eines externen Datenschutz-Audits typischerweise zwischen 1.000 und 3.000 Euro. Bei größeren Unternehmen mit komplexeren IT-Strukturen oder mehreren Standorten steigen die Kosten entsprechend.
Die Spannbreite erklärt sich aus mehreren Faktoren: Anzahl und Komplexität der Verarbeitungstätigkeiten, Zahl der eingesetzten IT-Systeme und Auftragsverarbeiter, Umfang der Vor-Ort-Prüfung sowie der Qualifikation des Auditors. Wer auf reine Checklisten-Audits ohne Vor-Ort-Termine setzt, spart kurzfristig — riskiert aber, dass wesentliche Schwachstellen verborgen bleiben.
Hinzu kommen laufende Kosten für die Pflege des Datenschutzmanagements: Ein externer Datenschutzbeauftragter kostet im Jahresschnitt zwischen 2.000 und 7.000 Euro. Audits und Zertifizierungen schlagen mit weiteren 5.000 bis 10.000 Euro pro Jahr zu Buche. Diesen Investitionen stehen mögliche Bußgelder gegenüber, die selbst bei kleineren Verstößen schnell fünfstellig ausfallen und einen mittelgroßen Betrieb existenziell treffen können.
Für KMU ist ein externer Datenschutzbeauftragter häufig wirtschaftlicher als eine interne Lösung. Externe DSB bringen Standardvorlagen, Tools und Branchenwissen mit — das senkt den Einmalaufwand beim Audit und hält die laufenden Kosten planbar. Ein interner DSB hingegen verursacht durch Weiterbildung, Arbeitszeit und den gesetzlichen Sonderkündigungsschutz nach § 38 Abs. 2 BDSG oft höhere Gesamtkosten.
Bei der Auswahl eines Auditors gilt: Die Begriffe Datenschutzauditor und Datenschutzberater sind keine geschützten Berufsbezeichnungen. Achten Sie auf nachweisbare Qualifikationen — Zertifizierungen von TÜV, DEKRA oder eine Mitgliedschaft im Berufsverband der Datenschutzbeauftragten (BvD) sind verlässliche Indikatoren. Das Zertifikat sollte nicht älter als zwei Jahre sein.
Wichtig zu wissen
Für KMU bis 150 Mitarbeiter liegen die Kosten eines externen Datenschutz-Audits typischerweise zwischen 1.000 und 3.000 Euro — deutlich weniger als ein einziges DSGVO-Bußgeld im fünfstelligen Bereich.
