DSGVO-Audit — Sicherheit der Verarbeitung (Art. 32), DSFA, Verarbeitungsverzeichnis und die 72-Stunden-Meldung
Was ein DSGVO-Audit ist
Ein DSGVO-Compliance-Audit bewertet, ob eine Organisation die Anforderungen der Verordnung (EU) 2016/679 zum Schutz personenbezogener Daten erfüllt — von den Rechtsgrundlagen über die Sicherheit bis zu den Betroffenenrechten und der Behandlung von Datenschutzverletzungen.
Zentrale Bereiche und Artikel
- Sicherheit der Verarbeitung — Art. 32 (technische und organisatorische Maßnahmen),
- Datenschutz-Folgenabschätzung (DSFA) — Art. 35,
- Verzeichnis von Verarbeitungstätigkeiten — Art. 30,
- Meldung von Verletzungen: an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33), an Betroffene bei hohem Risiko (Art. 34),
- Betroffenenrechte und Auftragsverarbeitungsverträge (AVV).
Bußgelder
Die schwerwiegendsten DSGVO-Verstöße werden mit Geldbußen von bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes geahndet (je nachdem, welcher Betrag höher ist); andere Verstöße mit bis zu 10 Mio. € oder 2 %.
So bereiten Sie sich auf ein DSGVO-Audit vor
- stellen Sie Richtlinien, Verfahren und Nachweise zu Art. 32 zusammen,
- erstellen bzw. aktualisieren Sie das Verarbeitungsverzeichnis und — wo erforderlich — die DSFA,
- dokumentieren Sie das Verfahren zur Behandlung von Verletzungen (einschließlich der 72-Stunden-Frist),
- überprüfen Sie Auftragsverarbeitungsverträge (AVV) und das Subunternehmerverzeichnis,
- erstellen Sie einen auditierbaren Bericht mit Verweisen auf Nachweise.
Wie Audnexa DSGVO-Audits unterstützt
Audnexa unterstützt die Überprüfung der Sicherheit der Verarbeitung (Art. 32), die Erstellung von DSFA, das Führen des Verarbeitungsverzeichnisses und die Dokumentation der Verfahren zur Behandlung von Verletzungen (einschließlich der 72-Stunden-Anforderung nach Art. 33) — im Offline-Modus, ohne Datenübertragung in die Cloud. Ein Mensch gibt jeden Bericht frei.
Ein ausgereiftes Werkzeug, erprobt in der Audit-Praxis von Virtline (ISO/IEC 27001). Es ersetzt weder eine Rechtsberatung noch das Urteil eines Prüfers.
Häufige Fragen
Was ist das Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — ein Dokument, das beschreibt, welche Daten die Organisation zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet. Ein zentrales Artefakt jedes DSGVO-Audits.
Wann muss eine Datenschutzverletzung gemeldet werden?
An die Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden (Art. 33); an die betroffenen Personen bei hohem Risiko (Art. 34).
Kann ein DSGVO-Audit offline durchgeführt werden?
Ja. Audnexa läuft im Offline-Modus — personenbezogene Daten verlassen die Infrastruktur des Kunden nicht.
Quellen
Sicherheitspräsentation vereinbaren
Diese Inhalte dienen ausschließlich der Information und stellen weder eine Rechtsberatung noch ein Prüfungsurteil oder eine formelle Compliance-Entscheidung dar.