Damit der Arbeitsalltag in deinem Unternehmen nicht sonderlich gestört wird, ist ein reibungsloser Ablauf des geplanten Audits wichtig. Insbesondere die frühzeitige Ankündigung und Einbeziehung der Mitarbeiter hat sich als vielversprechend herausgestellt. Dies ist insofern von Bedeutung, da nicht nur Vorgänge in der Buchhaltung, sondern auch zahlreiche weitere Bereiche des Unternehmens, beispielsweise beim Vertrieb, Marketing, Personal und IT, von Datenverarbeitungsvorgängen betroffen sind. In diesem Zusammenhang schaffen Fragebögen sowohl zur Orientierungshilfe, als auch zur Erfassung des Ist-Zustandes für die einzelnen Abteilungen eine große Abhilfe. So werden bereits im Voraus wertvolle Erkenntnisse für den Auditor gewonnen.

Bei der Durchführung eines Datenschutz Audits werden insbesondere die vier folgenden Teilbereiche bearbeitet: 

1. Allgemeines zum Datenschutz

Im ersten Abschnitt des Audits werden zunächst die allgemeinen Anforderungen der Datenschutz-Grundverordnung herausgearbeitet und dahingehend die bisherige Umsetzung des Datenschutzes im Unternehmen überprüft. Es gilt zu kontrollieren, ob die bestehenden Pflichten entsprechend umgesetzt werden. Wenn dies nicht der Fall ist, kann in einem Folgeaudit die Umsetzung nachgehalten und auf ihren Erfolg hin überprüft werden. Im Fokus stehen dabei neben den Punkten des Datenschutz-Management und der - Organisation, die Umsetzung der Informationspflicht und der Umgang mit Auftragsverarbeitern.

2. Verarbeitung der Daten in den einzelnen Unternehmensbereichen

Nachdem der allgemeine Status zum Datenschutz im Betrieb behandelt wurde, wird im zweiten Teil des Audits die Aufmerksamkeit auf die einzelnen Bereiche des Unternehmens gerichtet. Um möglichst detaillierte Informationen zu den derzeitigen Arbeitsprozessen zu erhalten, ist ein Hinzuziehen der jeweiligen Abteilungsleiter zu empfehlen. Der Fokus liegt auf den Abteilungen Finanzen, Human Ressources, IT und Vertrieb sowie Service, da hier primär personenbezogene Daten verarbeitet werden. Je nach Unternehmensstruktur können darüber hinaus auch weitere Abteilungen betroffen sein. Mit den einzelnen Verantwortlichen wird der bisherige Umgang mit der DSGVO besprochen, die Prozesse werden aufgezeichnet und mögliches Optimierungspotenzial herausgearbeitet.

3. Weitergabe der Daten

Bei der Verarbeitung von personenbezogenen Daten werden in den allermeisten Fällen die Daten sowohl intern als auch an externe Dritte weitergegeben. Dabei gilt es beispielsweise zu klären, ob weitere Auftragsverarbeiter involviert sind und entsprechende Auftragsverarbeitungsverträge geschlossen wurden. Auch die Datenweitergabe an Verbundunternehmen oder Steuerberater wird auf den Prüfstand gestellt. 

4. Sicherheit der IT-Systeme

Heutzutage findet die Verarbeitung von Daten fast ausschließlich über Computer statt. Dies bedingt einen hohen Anspruch an die Sicherheitsvorkehrungen der IT-Systeme, um die Daten vor Fremdzugriff zu schützen und den Vorgaben der DSGVO Folge zu leisten. Für eine erste Überprüfung der eigenen Systeme bieten Verbände und Experten Fragebögen oder Checklisten an, die einen Überblick über den Status Quo ermöglichen. Wichtig ist für die Sicherheit der Daten und mögliche unangekündigte Überprüfungen eine möglichst detaillierte Auflistung des Sicherheitskonzeptes und der konkreten Umsetzung.

Im Anschluss an das Audit erstellt der Auditor ein Protokoll über die datenschutzrelevanten Inhalte des Termins. Dort wird der Ist-Zustand des Unternehmens hinsichtlich der Umsetzung der DSGVO sowie erste Optimierungsansätze dargelegt. Zusätzlich finden die Verantwortlichen des Betriebes im Anhang eine Maßnahmenliste, deren Umsetzung der Optimierung des Datenschutzes gilt.