DSGVO Datenschutz-Audit 2026: Checkliste, Vorgehen und Kosten für Unternehmen

DSGVO Datenschutz-Audit 2026: Checkliste, Vorgehen und Kosten

Ein DSGVO-konformes Datenschutz-Audit prüft systematisch, ob Ihr Unternehmen alle Anforderungen der Datenschutz-Grundverordnung erfüllt. Kosten: 2.000 bis 15.000 Euro je nach Unternehmensgrösse. Pflicht ist es bei erhöhtem Verarbeitungsrisiko (Gesundheitsdaten, Scoring, Überwachung) — empfehlenswert ist es für jedes Unternehmen alle 2–3 Jahre. Dieser Leitfaden erklärt, was ein Datenschutz-Audit umfasst, wie Sie ihn vorbereiten und was er kostet.

Was ist ein Datenschutz-Audit nach DSGVO?

Ein DSGVO-Audit ist eine strukturierte Überprüfung aller datenschutzrelevanten Prozesse, Systeme und Dokumente eines Unternehmens. Ziel ist die Identifikation von Compliance-Lücken und die Erstellung eines priorisierten Massnahmenplans. Es ist nicht dasselbe wie eine Datenschutzfolgenabschätzung (DSFA), die bei bestimmten Verarbeitungen vor der Einführung Pflicht ist.

Datenschutz-Audit Checkliste 2026: Die 8 Prüfbereiche

1. Verzeichnis der Verarbeitungstätigkeiten (VVT)

• ☐ Existiert ein aktuelles VVT nach Art. 30 DSGVO?
• ☐ Sind alle Verarbeitungen mit Rechtsgrundlage dokumentiert?
• ☐ Werden Auftragsverarbeiter korrekt gelistet?
• ☐ Ist das VVT regelmässig aktualisiert (mind. jährlich)?

2. Technische und organisatorische Massnahmen (TOM)

• ☐ Sind TOMs schriftlich dokumentiert (Art. 32 DSGVO)?
• ☐ Verschlüsselung personenbezogener Daten (at rest + in transit)?
• ☐ Zugriffskontrollen nach Least-Privilege-Prinzip?
• ☐ Regelmässige Backups und Wiederherstellungstests?
• ☐ Patch-Management und Schwachstellenscanning?

3. Einwilligungen und Rechtsgrundlagen

• ☐ Für jede Verarbeitung klar definierte Rechtsgrundlage (Art. 6)?
• ☐ Einwilligungen dokumentiert, widerrufbar und granular?
• ☐ Newsletter-Opt-in DSGVO-konform (Doppel-Opt-in + Protokollierung)?
• ☐ Interessenabwägung bei berechtigtem Interesse dokumentiert?

4. Auftragsverarbeitungsverträge (AVV)

• ☐ AVV mit allen Dienstleistern abgeschlossen, die Zugriff auf personenbezogene Daten haben?
• ☐ Cloud-Anbieter (AWS, Azure, Google, HubSpot etc.) abgedeckt?
• ☐ Drittstaatentransfers (Art. 44+) mit SCCs oder Angemessenheitsbeschluss?

5. Betroffenenrechte und Prozesse

• ☐ Prozess für Auskunftsbegehren (Art. 15, Frist 1 Monat)?
• ☐ Prozess für Löschbegehren (Art. 17)?
• ☐ Datenschutzhinweise aktuell und vollständig (Art. 13/14)?
• ☐ Datenschutzerklärung auf Website und Kontaktformularen?

6. Datenpannenmeldung (Breach Notification)

• ☐ Interner Meldeprozess definiert (72-Stunden-Regel, Art. 33)?
• ☐ Meldeformular der Aufsichtsbehörde bekannt?
• ☐ Dokumentation vergangener Datenpannen vollständig?

7. Datenschutzbeauftragter (DSB)

• ☐ DSB bestellt falls Pflicht (Art. 37)? Oder intern freiwillig?
• ☐ DSB intern oder extern? Interessenkonflikte geprüft?
• ☐ DSB ordnungsgemäss bei Aufsichtsbehörde gemeldet?

8. Mitarbeiter-Schulungen

• ☐ Regelmässige DSGVO-Schulungen für alle Mitarbeiter mit Datenzugang?
• ☐ Nachweise/Protokolle der Schulungen aufbewahrt?
• ☐ Vertraulichkeitsverpflichtungen unterzeichnet?

Internes vs. externes Datenschutz-Audit: Vergleich

Kosten eines DSGVO-Audits 2026

Die Kosten richten sich nach Unternehmensgrösse, Komplexität und Umfang:

• Kleinunternehmen (< 20 MA): 1.500–4.000 € (Tagesatz DSB-Berater: 1.200–2.000 €/Tag)
• KMU (20–100 MA): 4.000–8.000 € (2–4 Beratertage)
• Mittelstand (100–500 MA): 8.000–20.000 € (5–10 Tage + Bericht)
• Grossunternehmen: 20.000–80.000 € (Vollaudit mit ISMS-Empfehlungen)

Günstige Option: viele externe DSBs bieten Basis-Audits als Paket an (ab 1.500 €). Diese decken die kritischsten Bereiche ab ohne vollständige Tiefenprüfung.

Wann ist ein Datenschutz-Audit Pflicht?

Direkt als "Audit" schreibt die DSGVO nichts vor. Mittelbar ergibt sich eine faktische Auditpflicht aus:

• Art. 24 DSGVO: Nachweispflicht der Compliance gegenüber Aufsichtsbehörden
• Art. 32 DSGVO: Regelmässige Überprüfung der Sicherheitsmassnahmen
• Art. 35 DSGVO: DSFA bei Hochrisiko-Verarbeitungen (faktisch erfordert dies ein Voraudit)
• Zertifizierungsanforderungen (ISO 27001, TISAX) verlangen externe Audits

Für weitere Compliance-Informationen besuchen Sie unseren Artikel zum Datenschutzbeauftragter Pflicht 2026, die Datenpannenmeldung Anleitung sowie den Vergleich interner vs. externer DSB.

Wie oft sollte ein DSGVO-Audit stattfinden?

Externes Audit alle 2–3 Jahre, interne Überprüfung jährlich oder bei wesentlichen Systemänderungen.

Was kostet ein DSGVO-Audit für KMU?

4.000–8.000 € für KMU mit 20–100 Mitarbeitern. Basisaudits für Kleinunternehmen ab 1.500 €.

Ist ein Datenschutz-Audit intern möglich?

Ja, für laufende Kontrolle. Für gerichtsfeste Beurteilung und Zertifizierungen ist ein externes Audit notwendig.