Datenschutz-Audit • Datenschutz - Informationssicherheit

1. Datenschutzorganisation und Verantwortlichkeiten

Ist eine verantwortliche Stelle für den Datenschutz eindeutig benannt?

Es muss klar sein, wer für die Einhaltung der Datenschutzvorgaben verantwortlich ist. Nachweis: Organigramm oder Zuständigkeitsregelung.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Datenschutzverantwortlichen benennen und Zuständigkeiten schriftlich festlegen.

Ist geprüft, ob ein Datenschutzbeauftragter bestellt werden muss?

Die Pflicht kann sich unter anderem aus der Unternehmensgröße, umfangreicher Verarbeitung oder umfangreicher Überwachung ergeben.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Prüfung dokumentieren und gegebenenfalls einen Datenschutzbeauftragten bestellen.

Gibt es eine Datenschutzrichtlinie oder Datenschutzordnung?

Interne Grundsätze, Zuständigkeiten und Mindestanforderungen sollten schriftlich geregelt sein.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Datenschutzrichtlinie erstellen oder aktualisieren und intern bekanntgeben.

Sind Mitarbeitende regelmäßig zum Datenschutz geschult?

Schulungen sollten risikoorientiert erfolgen und nachweisbar sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Schulung durchführen, Teilnahme dokumentieren und Wiederholungsintervalle festlegen.

Gibt es ein Verfahren zur Bearbeitung von Datenschutzfragen und Beschwerden?

Anfragen müssen zentral erfasst, bewertet und fristgerecht bearbeitet werden.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Verantwortliche, Fristen und Bearbeitungsprozess definieren.

2. Verzeichnis der Verarbeitungstätigkeiten

Gibt es ein vollständiges Verzeichnis der Verarbeitungstätigkeiten?

Erfasst werden sollten unter anderem Zwecke, Datenkategorien, betroffene Personen, Empfänger, Löschfristen und Schutzmaßnahmen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Alle Verarbeitungstätigkeiten aufnehmen und zentral dokumentieren.

Wird das Verzeichnis regelmäßig aktualisiert?

Neue Systeme, Software, Dienstleister oder Prozesse müssen zeitnah ergänzt werden.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Verantwortlichen und regelmäßigen Aktualisierungsprozess festlegen.

Sind die jeweiligen Rechtsgrundlagen dokumentiert?

Für jede Verarbeitung muss beispielsweise Einwilligung, Vertrag, gesetzliche Pflicht oder berechtigtes Interesse dokumentiert sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Rechtsgrundlagen je Verarbeitung prüfen und nachtragen.

Sind besondere Kategorien personenbezogener Daten gekennzeichnet?

Dazu zählen unter anderem Gesundheitsdaten, biometrische Daten, politische Meinungen oder Gewerkschaftszugehörigkeit.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Sensible Daten identifizieren und zusätzliche Rechtsgrundlagen sowie Schutzmaßnahmen prüfen.

3. Rechtmäßigkeit und Transparenz

Werden personenbezogene Daten nur für festgelegte Zwecke verarbeitet?

Daten dürfen nicht ohne weitere Prüfung für völlig andere Zwecke verwendet werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Zwecke je Verarbeitung dokumentieren und Zweckänderungen prüfen.

Sind die Datenschutzhinweise vollständig und aktuell?

Betroffene müssen unter anderem über Verantwortliche, Zwecke, Rechtsgrundlagen, Speicherdauer, Empfänger und Rechte informiert werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Datenschutzhinweise prüfen, aktualisieren und an den richtigen Stellen bereitstellen.

Werden Einwilligungen freiwillig, informiert und nachweisbar eingeholt?

Einwilligungen müssen widerrufbar sein. Vorangekreuzte oder versteckte Zustimmungen sind regelmäßig problematisch.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Einwilligungsprozess überarbeiten und Nachweis- sowie Widerrufsfunktion einrichten.

Werden Einwilligungen getrennt nach Zweck eingeholt?

Werbung, Newsletter, Profilbildung oder Weitergabe an Dritte sollten nicht pauschal zusammengefasst werden.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Zwecke trennen und Einwilligungstexte anpassen.

Wird der Widerruf einer Einwilligung genauso einfach ermöglicht wie die Erteilung?

Ein Widerruf darf nicht unnötig erschwert werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Widerrufsprozess einrichten und in Datenschutzhinweisen erklären.

Werden berechtigte Interessen dokumentiert und abgewogen?

Bei dieser Rechtsgrundlage muss eine Interessenabwägung einschließlich der Interessen betroffener Personen erfolgen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Interessenabwägung erstellen und Verarbeitung gegebenenfalls anpassen.

4. Datenminimierung, Richtigkeit und Löschung

Werden nur die für den Zweck erforderlichen Daten erhoben?

Pflichtfelder, Formulare und Systeme sollten auf das notwendige Maß beschränkt sein.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Nicht erforderliche Datenfelder entfernen oder deren Notwendigkeit begründen.

Gibt es Verfahren zur Aktualisierung und Berichtigung von Daten?

Falsche oder veraltete Daten müssen korrigiert werden können.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Korrekturprozess und Verantwortlichkeiten definieren.

Sind Lösch- und Aufbewahrungsfristen festgelegt?

Für jede Datenkategorie sollten Fristen oder Kriterien für die Löschung dokumentiert sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Löschkonzept erstellen und gesetzliche Aufbewahrungspflichten berücksichtigen.

Werden Daten nach Ablauf der Frist tatsächlich gelöscht oder anonymisiert?

Ein Löschkonzept allein genügt nicht; die Umsetzung muss technisch und organisatorisch erfolgen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Automatisierte oder regelmäßige manuelle Löschläufe einrichten und protokollieren.

Werden Backups und Archivsysteme in das Löschkonzept einbezogen?

Daten können auch in Sicherungskopien, E-Mail-Archiven oder Papierakten vorhanden sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Backup-, Archiv- und Papierprozesse prüfen und dokumentieren.

5. Betroffenenrechte

Gibt es einen Prozess für Auskunftsersuchen?

Auskunftsersuchen müssen identifiziert, geprüft und grundsätzlich innerhalb eines Monats bearbeitet werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Standardprozess mit Fristen, Identitätsprüfung und Antwortvorlagen einrichten.

Können Berichtigung, Löschung und Einschränkung umgesetzt werden?

Änderungen müssen gegebenenfalls an Empfänger oder Dienstleister weitergegeben werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Prozess und technische Möglichkeiten zur Umsetzung schaffen.

Ist die Datenübertragbarkeit geprüft?

Bei bestimmten automatisierten Verarbeitungen kann ein Anspruch auf ein strukturiertes Datenformat bestehen.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Betroffene Systeme identifizieren und Exportmöglichkeit prüfen.

Können Widersprüche, insbesondere gegen Direktwerbung, berücksichtigt werden?

Werbewidersprüche müssen unverzüglich beachtet werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Sperrlisten und Widerspruchsprozess einrichten.

Werden alle Betroffenenanfragen dokumentiert?

Nachweise über Eingang, Prüfung, Antwort und Fristen sind wichtig.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Zentrales Register für Betroffenenanfragen einführen.

6. Auftragsverarbeiter und Dienstleister

Sind alle Dienstleister mit Zugriff auf personenbezogene Daten erfasst?

Beispiele: Cloud-Dienste, IT-Support, Lohnabrechnung, Newsletteranbieter und Hosting.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Dienstleisterinventar erstellen und Datenzugriffe dokumentieren.

Liegen mit allen erforderlichen Auftragsverarbeitern Verträge nach Art. 28 DSGVO vor?

Der Vertrag muss unter anderem Weisungen, Vertraulichkeit, Sicherheit, Unterauftragnehmer und Unterstützungspflichten regeln.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Fehlende Verträge nachholen und Dienstleister ohne ausreichende Grundlage überprüfen.

Werden Unterauftragnehmer und Änderungen bei Dienstleistern kontrolliert?

Dienstleister können weitere Anbieter einsetzen, die ebenfalls Daten verarbeiten.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Genehmigungs- und Kontrollverfahren einrichten.

Werden Dienstleister regelmäßig bewertet?

Relevant sind insbesondere Sicherheitsniveau, Standort, Zertifizierungen, Vorfälle und Vertragskonformität.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Risikobasierte Dienstleisterprüfung durchführen und dokumentieren.

Werden Datenübermittlungen in Drittländer geprüft?

Bei Übermittlungen außerhalb des EWR sind zusätzliche Anforderungen und Schutzmaßnahmen zu prüfen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Transferanalyse durchführen und Übermittlung gegebenenfalls absichern oder stoppen.

7. Technische und organisatorische Maßnahmen

Gibt es ein dokumentiertes Berechtigungskonzept?

Mitarbeitende sollten nur auf Daten zugreifen können, die sie für ihre Aufgaben benötigen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Rollen- und Berechtigungskonzept erstellen.

Werden Benutzerkonten regelmäßig überprüft und deaktiviert?

Austritte, Rollenwechsel und längere Abwesenheiten müssen berücksichtigt werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Regelmäßige Berechtigungsprüfung und automatisierte Deaktivierung einführen.

Werden sichere Passwörter und möglichst Mehr-Faktor-Authentifizierung eingesetzt?

Besonders für Administrations-, Cloud- und Fernzugänge ist MFA regelmäßig sinnvoll.

Hoch

Ja Teilweise Nein N/A

Maßnahme: MFA einführen, Passwortrichtlinie aktualisieren und privilegierte Konten absichern.

Werden Daten während der Übertragung und Speicherung angemessen verschlüsselt?

Besonders schützenswerte Daten sollten angemessen verschlüsselt werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Verschlüsselungsbedarf bewerten und technische Maßnahmen umsetzen.

Sind Endgeräte, Server und Anwendungen aktuell und geschützt?

Sicherheitsupdates, Virenschutz, Firewall und sichere Konfiguration sind zentrale Maßnahmen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Patchmanagement und Sicherheitskonzept einführen.

Werden Backups regelmäßig erstellt und getestet?

Backups müssen verfügbar, geschützt und wiederherstellbar sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Backup-Konzept erstellen, Wiederherstellungstests durchführen und dokumentieren.

Gibt es Regelungen für Papierakten und Ausdrucke?

Personenbezogene Daten dürfen nicht offen herumliegen oder ungeschützt entsorgt werden.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Sichere Aufbewahrung und datenschutzkonforme Vernichtung organisieren.

Werden Zugriffe und sicherheitsrelevante Ereignisse protokolliert?

Protokollierung unterstützt die Aufklärung von Vorfällen und die Nachweisbarkeit.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Angemessene Protokollierung definieren und Zugriff auf Protokolle beschränken.

8. Datenschutzverletzungen

Gibt es einen Notfallprozess für Datenschutzverletzungen?

Beispiele: Fehlversand, Verlust eines Laptops, Hackerangriff oder unberechtigter Zugriff.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Meldeweg, Verantwortliche, Bewertung und Eskalationsprozess festlegen.

Können Datenschutzverletzungen innerhalb der gesetzlichen Frist bewertet werden?

Eine Meldung an die Aufsichtsbehörde kann insbesondere innerhalb von 72 Stunden erforderlich sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Bereitschaftsdienst, Bewertungsformular und Eskalationsfristen definieren.

Werden Datenschutzverletzungen dokumentiert?

Auch nicht meldepflichtige Vorfälle müssen regelmäßig dokumentiert werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Vorfallregister einrichten und Ursachen sowie Maßnahmen festhalten.

Werden nach einem Vorfall Verbesserungsmaßnahmen umgesetzt?

Ziel ist, Wiederholungen zu vermeiden.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Ursachenanalyse und Maßnahmenkontrolle verbindlich vorsehen.

9. Datenschutz-Folgenabschätzung und Risikomanagement

Wird vor neuen Projekten eine Datenschutzprüfung durchgeführt?

Datenschutz sollte bereits bei der Planung neuer Systeme und Prozesse berücksichtigt werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Datenschutz-Checkliste für Projekte und Beschaffungen einführen.

Wird geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?

Eine DSFA kann bei voraussichtlich hohem Risiko erforderlich sein, zum Beispiel bei umfangreicher Überwachung oder sensiblen Daten.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Vorprüfung durchführen und DSFA gegebenenfalls erstellen.

Werden Risiken regelmäßig neu bewertet?

Änderungen an Systemen, Bedrohungen oder Verarbeitungszwecken können das Risiko verändern.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Regelmäßige Risikobewertung und Aktualisierung der Maßnahmen festlegen.

Ist Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen berücksichtigt?

Systeme sollten standardmäßig möglichst datensparsam und geschützt konfiguriert sein.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Anforderungen in Beschaffungs- und Entwicklungsprozesse aufnehmen.

10. Website, Cookies und Online-Dienste

Ist das Impressum vollständig und leicht auffindbar?

Rechtliche Pflichtangaben müssen korrekt und leicht zugänglich sein.

Mittel

Ja Teilweise Nein N/A

Maßnahme: Impressum prüfen und aktualisieren.

Ist die Datenschutzerklärung vollständig und aktuell?

Eingesetzte Tools, Anbieter, Zwecke, Rechtsgrundlagen und Speicherdauern müssen berücksichtigt werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Website-Datenschutzerklärung prüfen und anpassen.

Werden nicht notwendige Cookies und Trackingtechnologien erst nach Zustimmung aktiviert?

Nicht erforderliche Technologien dürfen grundsätzlich nicht ohne wirksame Einwilligung geladen werden.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Consent-Management technisch prüfen und Blockierung vor Zustimmung umsetzen.

Kann die Einwilligung widerrufen und dokumentiert werden?

Das Einwilligungsmanagement muss Auswahl, Nachweis und Widerruf ermöglichen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Consent-Banner und Protokollierung überarbeiten.

Werden eingebettete Dienste wie Karten, Videos, Schriften oder Analyse-Tools geprüft?

Solche Dienste können Daten an Dritte oder in Drittländer übertragen.

Hoch

Ja Teilweise Nein N/A

Maßnahme: Drittanbieterinventar erstellen und datenschutzkonforme Einbindung sicherstellen.

Datenschutzaudit

Datenschutz - IT-Sicherheit - E-Learning