Datenschutzaudit — Konformitätsaudit für KVKK und DSGVO

Was ist ein Audit?

Ein Datenschutzaudit bewertet, ob die Verarbeitung personenbezogener Daten den geltenden Datenschutzvorschriften (DSGVO, nationale Datenschutzgesetze u. Ä.) entspricht. Anders als beim Cybersicherheitsaudit steht die RECHTMÄSSIGE VERARBEITUNG im Vordergrund, nicht der Schutz der Daten als solcher.

Warum wird sie durchgeführt?

Ziel ist, Verstöße zu erkennen, die Bußgelder und Reputationsrisiken nach sich ziehen, und nachzuweisen, dass die Rechte der betroffenen Personen gewahrt sind.

Wer beauftragt es?

Organisationen mit umfangreicher Verarbeitung personenbezogener Daten
Unternehmen, die im Rahmen der DSGVO in der EU tätig sind oder Dienstleistungen für die EU erbringen
Technologieunternehmen, die als Auftragsverarbeiter Dienstleistungen erbringen
Lieferanten, deren Kunden Datenschutzzusicherungen verlangen
Organisationen, die ISO/IEC 27701 einführen

Auditkriterien

Das Kriterium ist die geltende Datenschutzgesetzgebung (KVKK, DSGVO) zusammen mit einem Datenschutzmanagementsystem-Standard wie ISO/IEC 27701, sofern vorhanden. Branchenvorschriften und die Datenverarbeitungsklauseln in Kundenverträgen werden ebenfalls hinzugefügt.

Auditumfang

Die Bestandsaufnahme personenbezogener Daten und das Verzeichnis der Verarbeitungstätigkeiten
Die Rechtsgrundlage der Verarbeitungstätigkeiten
Datenschutzhinweise und Einwilligungsmanagement
Prozesse zur Ausübung der Rechte der betroffenen Person und Antwortfristen
Datenminimierung und Aufbewahrungsfristen
Die Vernichtungsrichtlinie und die tatsächlichen Vernichtungsnachweise
Auftragsverarbeitungsverträge und das Management von Unterauftragsverarbeitern
Grenzüberschreitende Datenübermittlungen und deren Rechtsgrundlagen
Verarbeitungstätigkeiten, die eine Datenschutz-Folgenabschätzung (DSFA) erfordern
Die Angemessenheit der technischen und organisatorischen Maßnahmen
Prozesse zur Erkennung, Meldung und Dokumentation von Datenschutzverletzungen
Mitarbeitersensibilisierung und Vertraulichkeitsverpflichtungen
Benennung einer Kontaktperson oder eines Datenschutzbeauftragten

Zugehörige Normen

ISO/IEC 27701
ISO/IEC 27001
ISO/IEC 29134
ISO 19011

Auditablauf

1Auswahl der anzuwendenden KriterienEs wird festgelegt, nach welcher Norm, welchem Programm oder welcher Vorschrift auditiert wird; bei themenbezogenen Audits bestimmt die Kriterienwahl unmittelbar die Aussagekraft des Ergebnisses.
2Risikobewertung und UmfangRisikobereiche werden nach Tätigkeit und Standort der Organisation bestimmt; die Zahl der Audittage wird entsprechend geplant.
3Prüfung von Dokumenten und AufzeichnungenPolitik, Verfahren, Genehmigungen, Messaufzeichnungen und Ergebnisse früherer Audits werden geprüft.
4Audit vor OrtDie betroffenen Bereiche werden begangen; themenspezifische Messungen, Beobachtungen und Aufzeichnungskontrollen erfolgen.
5MitarbeitergesprächeSofern das Thema es erfordert, werden vertrauliche Gespräche mit Beschäftigten unabhängig von der Leitung geführt; Aussagen werden mit den Aufzeichnungen abgeglichen.
6Bewertung der RechtskonformitätDie Einhaltung geltender Vorschriften wird gesondert geprüft; ein Rechtsverstoß ist in jedem Programm die schwerwiegendste Feststellungskategorie.
7Berichterstattung über die FeststellungenDie Feststellungen werden nach Schweregrad klassifiziert und zu einem Bericht zusammengefasst.
8Korrekturmaßnahmen und NachverfolgungEin Korrekturmaßnahmenplan wird eingeholt; sein Abschluss innerhalb der vom Programm vorgesehenen Frist wird verfolgt.

Feststellungen

Die schwerwiegendsten Feststellungen sind eine Verarbeitung ohne Rechtsgrundlage, die Nichtvernichtung abgelaufener Daten und das Fehlen eines Meldeverfahrens für Verletzungen. Diese bergen ein unmittelbares Risiko behördlicher Sanktionen.

Auditbericht

Angaben zu Auditstelle, Auditor und auditierter Seite
Angewandte Norm, Programm oder Vorschrift
Datum, Dauer und Umfang des Audits
Befunde aus der Prüfung von Dokumenten und Aufzeichnungen
Beobachtungen vor Ort und Messergebnisse
Ergebnisse der Mitarbeitergespräche, sofern geführt
Bewertung der Rechtskonformität
Feststellungen, deren Schweregrad und die Nachweise
Korrekturmaßnahmenplan und Fristen

Grenzen des Ergebnisses

Ein Datenschutzaudit ist eine technische und verfahrensbezogene Bewertung; es ist keine Rechtsberatung. Die Auslegung der Gesetzgebung und eine verbindliche Beurteilung der Rechtmäßigkeit einer Verarbeitung obliegen der zuständigen Aufsichtsbehörde. Der Auditbericht ist kein Konformitätszertifikat und kein Dokument, das vor der Behörde Schutz bietet.

Akkreditierung

Die Akkreditierung hängt von der Auditart ab. Drittparteienaudits als Grundlage der Managementsystemzertifizierung erfolgen nach ISO/IEC 17021-1, solche für die Produktzertifizierung nach ISO/IEC 17065; diese Bereiche unterliegen der Akkreditierung. Erst- und Zweitparteienaudits sowie Audits nach eigenen Regeln eines Programmeigners (etwa SMETA oder amfori BSCI) fallen nicht unter akkreditierte Zertifizierung; sie folgen dem Leitfaden ISO 19011 und erzeugen einen Bericht. EUROLAB verfügt über international anerkannte Akkreditierungen nach ISO/IEC 17021-1 und ISO/IEC 17065 von Unterzeichnerstellen der IAF-Vereinbarung; welches Audit im akkreditierten Umfang angeboten werden kann, wird im Angebotsstadium schriftlich bestätigt.

Geltungsbereich und Befugnisse

Zugehörige Audits

Häufige Fragen

Beweist das Bestehen des Audits, dass ich KVKK-konform bin?

Nein. Die Konformität unterliegt der Beurteilung durch die zuständige Behörde. Das Audit bietet eine interne Zusicherung, dass die für die Konformität erforderlichen Prozesse eingerichtet sind und funktionieren; es kann bei einer möglichen Untersuchung als Indikator für guten Glauben und Sorgfalt gewertet werden.

Benötige ich ein Datenschutzaudit, wenn ich bereits ISO/IEC 27001 besitze?

Möglicherweise. ISO/IEC 27001 konzentriert sich auf die Informationssicherheit; es prüft nicht, ob Daten rechtmäßig verarbeitet werden. Datenschutzhinweise, Einwilligung, Aufbewahrungsfristen und die Rechte betroffener Personen liegen nicht im Anwendungsbereich von 27001. Für die Datenschutzseite ist ISO/IEC 27701 ein direkterer Rahmen.

Erhalte ich infolge dieses Audits ein Zertifikat?

Das hängt von dem Rahmen ab, unter dem das Audit durchgeführt wird. Wird es im Rahmen eines akkreditierten Zertifizierungssystems durchgeführt, kann es zu einem Zertifikat führen; das Ergebnis eines auf Kundenwunsch oder zur internen Bewertung durchgeführten Audits ist ein Bericht.

Wird auch die Rechtskonformität geprüft?

Ja, und in jedem themenspezifischen Audit ist die rechtliche Nichteinhaltung die schwerwiegendste Feststellungskategorie. Ganz gleich, wie gut das Managementsystem eingerichtet ist – ein festgestellter Verstoß gegen geltendes Recht wird stets mit oberster Priorität gemeldet.