Jährliches DSGVO-Audit

Aufgaben in dieser Vorlage

1. 1
   Verzeichnis von Verarbeitungstätigkeiten (VVT) aktualisieren D+3

   Art. 30 DSGVO: Verantwortliche und Auftragsverarbeiter führen Verzeichnisse der Verarbeitungstätigkeiten; sie sind das primäre Nachweisinstrument der Rechenschaftspflicht (Art. 5 Abs. 2).

2. 2
   Inventur aller im Jahr hinzugekommenen oder geänderten Verarbeitungstätigkeiten D+5
3. 3
   Einwilligungsnachweise prüfen und abgelaufene Einwilligungen erneuern D+8

   Art. 7 DSGVO: Einwilligung muss freiwillig, spezifisch, informiert, unmissverständlich und nachweisbar sein. Einwilligungen ohne klare Grundlage sind zu erneuern.

4. 4
   Aufbewahrungsfristen gegen das Löschkonzept prüfen D+10
5. 5
   Daten jenseits der Aufbewahrungsfrist löschen oder anonymisieren D+13

   Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung): Daten nicht länger aufbewahren als erforderlich. Löschung mit Nachweis (Log, Zertifikat, dokumentiertes Verfahren) belegen.

6. 6
   Alle Auftragsverarbeitungsverträge auf Art.-28-Konformität prüfen D+15

   Art. 28 Abs. 3 DSGVO: Der AVV muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen umfassen.

7. 7
   Liste der Auftragsverarbeiter und Sub-Auftragsverarbeiter aktualisieren D+18
8. 8
   Standardvertragsklauseln (SCC) oder Angemessenheit für Drittlandtransfers prüfen D+20
9. 9
   Transfer Impact Assessments (TIA) für internationale Übermittlungen überprüfen D+22

   Kapitel V DSGVO und Schrems II: Übermittlungen außerhalb des EWR erfordern ein Transferinstrument (Angemessenheitsbeschluss, SCC, BCR) sowie ggf. ergänzende Maßnahmen.

10. 10
    Datenschutzhinweise auf Richtigkeit und Vollständigkeit prüfen D+25
11. 11
    Interne Richtlinien prüfen: Aufbewahrung, Breach-Response, DSAR, Marketing D+28
12. 12
    DSFA für geänderte oder neue Hochrisiko-Verarbeitungen aktualisieren D+30

    Art. 35 Abs. 11 DSGVO: Der Verantwortliche überprüft mindestens bei Risikoänderung, ob die Verarbeitung gemäß DSFA erfolgt.

13. 13
    Schulungsnachweise prüfen und den jährlichen Schulungszyklus planen D+33
14. 14
    Datenschutzverletzungsregister prüfen und Trends auswerten D+35
15. 15
    Cookie-Einwilligungen und Tracking-Technologien prüfen D+38

    ePrivacy-Richtlinie und DSGVO: nicht notwendige Cookies bedürfen vorheriger Einwilligung. „Alle ablehnen" muss genauso einfach sein wie „Alle akzeptieren".

16. 16
    Funktion des Cookie-Banners und der Präferenzzentrale prüfen D+40
17. 17
    DSAR-Bearbeitung und SLAs auditieren D+43
18. 18
    Breach-Response-Verfahren überprüfen und testen D+45

    Tabletop-Übung durchführen, die das 72-Stunden-Meldefenster nach Art. 33 DSGVO simuliert.

19. 19
    Stellung, Unabhängigkeit und Ausstattung des DSB überprüfen D+48
20. 20
    Arbeitsbelastung des DSB und Berichtsweg an die Geschäftsleitung bewerten D+50
21. 21
    Berechtigungsmatrix und quartalsweise Rechteüberprüfungen auditieren D+53
22. 22
    Abdeckung von Protokollierung und Überwachung prüfen D+55
23. 23
    Verschlüsselung, Pseudonymisierung und Schlüsselverwaltung prüfen D+58
24. 24
    Jahresbericht des DSB an die Geschäftsleitung erstellen D+60
25. 25
    Alle Audit-Nachweise archivieren und Maßnahmenverfolgung planen D+62