Audit-Vorbereitung Aufsichtsbehörde: 10-Punkte-Checkliste

Hauptartikel: DSGVO-Bußgeldverfahren: Ablauf — vom Eingang der Beschwerde bis zur Zahlung.

Eine Audit-Vorbereitung besteht aus zwei Teilen: den Unterlagen, die eine Aufsichtsbehörde ohne Vorlauf anfordern kann, und der Organisation, mit der Sie die Anfrage beantworten. Die folgenden zehn Punkte trennen beides. Gesetzliche Pflichten stehen mit Fundstelle für Deutschland und — wo das Recht abweicht — für Österreich; Aussagen ohne Fundstelle sind Praxiserfahrung oder aus der Erstfassung übernommene Einordnungen und begründen für sich genommen keine Rechtspflicht.

1. Doku-Sammlung griffbereit

Griffbereit gehören die Unterlagen, die eine Aufsichtsbehörde ohne Vorlauf anfordern kann: VVT, AVV, DSFA, TOM, Schulungs-Logbuch, Datenpannen-Logbuch, Incident-Response-Plan (IRP) und Audit-Berichte — digital und in Papier.

Dahinter stehen einzelne Normen, und die bestimmen, wie vollständig die Mappe sein muss. Für jeden Auftragsverarbeiter braucht es einen Vertrag mit dem Mindestinhalt aus Art. 28 Abs. 3 DSGVO (Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen); gearbeitet werden darf nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Das DSFA-Register weist aus, wo vorab eine Folgenabschätzung nach Art. 35 Abs. 1 DSGVO nötig war — insbesondere bei systematischer umfassender Bewertung persönlicher Aspekte mit Rechtswirkung, umfangreicher Verarbeitung besonderer Datenkategorien und systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 DSGVO).

Ist ein Datenschutzbeauftragter benannt, gehört die Bestellung dazu. In Deutschland tritt zur Benennungspflicht des Art. 37 Abs. 1 DSGVO die Schwelle des § 38 Abs. 1 BDSG hinzu: mindestens 20 Personen, die in der Regel ständig mit automatisierter Verarbeitung beschäftigt sind — unabhängig von der Personenzahl außerdem dann, wenn Verarbeitungen einer DSFA nach Art. 35 DSGVO unterliegen. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor; die Benennungspflicht folgt dort unmittelbar aus Art. 37 DSGVO (ergänzend § 5 DSG zu Geheimhaltung und Weisungsfreiheit der oder des Datenschutzbeauftragten). Für NIS2-pflichtige Einrichtungen kommt in Deutschland hinzu: Die Einhaltung der Risikomanagementmaßnahmen ist zu dokumentieren (§ 30 Abs. 1 BSIG); in Österreich richtet sich der Nachweis nach § 33 NISG 2026 (siehe Punkt 9).

Praxis-Rhythmus, keine gesetzliche Frist: VVT jährlich und bei Änderungen fortschreiben (Art. 30 DSGVO), TOM jährlich und nach Vorfällen prüfen (Art. 32 DSGVO).

2. Compliance-Officer als Single Point of Contact

Eine benannte Person koordiniert alle Audit-Anfragen — das verhindert Widersprüche zwischen Fachbereichen, die dieselbe Frage unterschiedlich beantworten.

Ein Teil dieser Kontaktdaten ist bei NIS2-pflichtigen Einrichtungen ohnehin behördlich hinterlegt. Besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit registrieren und dabei Name, Anschrift und Kontaktdaten, den relevanten Sektor nach Anlage 1 oder 2, die betroffenen EU-Mitgliedstaaten und die zuständigen Aufsichtsbehörden übermitteln (§ 33 Abs. 1 BSIG); Änderungen sind grundsätzlich unverzüglich, spätestens binnen zwei Wochen zu melden (§ 33 Abs. 5 BSIG). In Österreich läuft dieselbe Registrierung bei der Cybersicherheitsbehörde, ebenfalls binnen drei Monaten ab Inkrafttreten bzw. ab Erfüllung der Voraussetzungen und mit Zwei-Wochen-Frist für Änderungen der Kerndaten (§ 29 Abs. 2 bis 4 NISG 2026) — das NISG 2026 ist ab 1. Oktober 2026 anzuwenden. Wer intern eine andere Kontaktstelle benennt als die bei der Registrierung übermittelte, produziert genau die Widersprüche, die dieser Punkt vermeiden soll.

Praxisempfehlung: Vertretungsregelung, eine schriftliche Sprachregelung und ein Eskalations-Plan (wer informiert die Geschäftsführung, wer holt anwaltliche Begleitung). Die Sprachregelung legt schriftlich fest, wer welche Themen beantwortet, welche Formulierung bei fehlender Belegbarkeit gilt („Wir reichen das schriftlich nach") und dass Zahlen nur aus freigegebenen Dokumenten genannt werden. Für die Beantwortung eines Aufsichts-Fragebogens nennt die Erstfassung dieses Artikels 14 bis 30 Tage als typische Spanne — ein Erfahrungswert, keine gesetzliche Frist; maßgeblich ist die im konkreten Anschreiben gesetzte Frist.

3. Anwaltliche Begleitung

Bei einem Vor-Ort-Audit sollte anwaltliche Begleitung anwesend sein, weil Verfahrensrechte im Termin selbst wahrgenommen werden müssen. Praktisch geht es darum, die Reichweite eines Auskunftsverlangens nicht im Termin abschließend zu akzeptieren, Unterlagen nur gegen Empfangsbestätigung herauszugeben und Aussagen zu protokollieren statt spontan zu erteilen — das ist Praxiserfahrung, keine Rechtspflicht.

Die Fallhöhe ergibt sich aus der Sanktionshöhe, die am Ende des Verfahrens stehen kann. Verstöße gegen bestimmte Pflichten — unter anderem Art. 25 bis 39 DSGVO — werden mit Geldbußen bis zu 10.000.000 EUR oder 2 % des weltweiten Jahresumsatzes geahndet (Art. 83 Abs. 4 DSGVO), Verstöße gegen Verarbeitungsgrundsätze, Einwilligungsbedingungen oder Betroffenenrechte bis zu 20.000.000 EUR oder 4 % (Art. 83 Abs. 5 DSGVO) — je nachdem, welcher Betrag höher ist. Ergänzend gilt in Deutschland § 43 Abs. 2 und 3 BDSG (Geldbuße bis 50.000 EUR für bestimmte Ordnungswidrigkeiten), in Österreich § 62 Abs. 1 DSG (Verwaltungsstrafe bis 50.000 EUR für bestimmte vorsätzliche Verstöße, zuständig ist die Datenschutzbehörde). Im NIS2-Bereich stützt das BSI seine Aufsichts- und Durchsetzungsmaßnahmen auf §§ 61, 62 BSIG; zuständige Behörde ist in Österreich die Cybersicherheitsbehörde (§ 3a Abs. 1 und 2 NISG 2026). Der Bußgeldrahmen für Verstöße gegen die Risikomanagement- und Meldepflichten reicht in Deutschland bis 10 Mio. EUR (besonders wichtige Einrichtungen) bzw. 7 Mio. EUR (wichtige Einrichtungen) (§ 65 Abs. 5 Nr. 1 BSIG); in Österreich bis 10.000.000 EUR bzw. 2 % für wesentliche und bis 7.000.000 EUR bzw. 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen (§ 45 Abs. 2 und 3 NISG 2026). In Österreich kommt eine weitere Maßnahme hinzu: Die Cybersicherheitsbehörde kann den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026, mit Eintragung im Firmenbuch).

4. Mitarbeiter-Vorbereitung

Schulung 'Was sage ich bei Audit?': Wahrheit, aber keine Selbstbelastung. Bei Unsicherheit: 'Ich weiß nicht, der Compliance-Officer kann antworten'. Diese Antwort ist keine Verweigerung, sondern die Alternative zur Spekulation.

Verschwiegenheit ist an einer Stelle nicht Stilfrage, sondern Pflicht: Die Meldestellen haben die Vertraulichkeit der Identität der hinweisgebenden Person, der betroffenen Personen und der sonstigen in einer Meldung genannten Personen zu wahren; die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). In Österreich gilt Entsprechendes nach § 7 Abs. 1 und 2 HSchG — dort ist Personen, denen der Inhalt eines Hinweises unbefugt bekannt wird, die Weitergabe von Inhalt und Identität ausdrücklich untersagt. Wer im Audit über ein Meldeverfahren spricht, spricht deshalb über Verfahren und Fristen, nicht über Personen.

Die Schulungsnachweise sind selbst Prüfgegenstand — welche Schulungspflichten Geschäftsleitung und Mitarbeiter in Deutschland und Österreich treffen und in welchem Takt Nachweise geführt werden, steht in den FAQ.

5. Räumliche Vorbereitung

Räumlich getrennt gehalten werden zwei Kategorien von Unterlagen — als Praxis bei besonderen Kategorien personenbezogener Daten, als Folge einer ausdrücklichen Vertraulichkeitspflicht bei Unterlagen aus dem internen Hinweisgebersystem. Beide gehören nicht offen in die Audit-Mappe, sondern werden nur auf konkrete Anforderung und über die zuständige Stelle bereitgestellt. Konferenzraum mit Beamer/Bildschirm, WiFi für den Auditor und Kaffee/Wasser sind demgegenüber reine Praxisempfehlung.

Für die erste Kategorie ist die getrennte Ablage Praxis: Art. 9 Abs. 1 DSGVO benennt den Katalog — Gesundheitsdaten, Daten zu ethnischer Herkunft, politischen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten und biometrische Daten zur eindeutigen Identifizierung, Daten zum Sexualleben —, nicht die Handhabung im Prüftermin. Für die zweite Kategorie steht dagegen eine ausdrückliche Vertraulichkeitspflicht dahinter; die Fundstellen für Deutschland und Österreich stehen in Punkt 4.

Praxisempfehlung: Ein separater, nicht einsehbarer Ablageplatz für Unterlagen, die im Termin nicht gebraucht werden — und ein Drucker in Reichweite, weil nach Praxiserfahrung manche Behörden Papier-Kopien verlangen.

6. Geschäftsführung anwesend?

Meist nicht erforderlich, aber bei kritischen Themen sinnvoll — das gilt als Praxiserfahrung für die durchgehende Anwesenheit im Termin.

Bei NIS2-Themen ist die Geschäftsleitung allerdings selbst Pflichtenadressat, nicht nur Empfängerin eines Berichts. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1 BSIG); verletzen sie diese Pflicht, haften sie ihrer Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG). In Österreich haben die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026); eine ausdrückliche Innenhaftungsnorm wie § 38 Abs. 2 BSIG enthält das NISG 2026 nicht — die Haftung folgt dort dem allgemeinen Gesellschaftsrecht (§ 25 GmbHG für österreichische Gesellschaften, in Deutschland § 43 Abs. 1 und 2 GmbHG).

Praxisempfehlung: Statt Dauerpräsenz einen festen Zeitslot für Governance-Themen einplanen und die Geschäftsführung dafür verbindlich einbuchen.

7. Kommunikations-Stil

Sachlich, kooperativ, präzise. Nicht defensiv, nicht aggressiv. Der Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern, gehört zu den Kriterien, die bei der Entscheidung über eine Geldbuße und ihre Höhe gebührend zu berücksichtigen sind (Art. 83 Abs. 2 lit. f DSGVO); die übrigen Kriterien stehen in den FAQ — eine feste Minderungsquote folgt daraus nicht.

Im Anwendungsbereich der KI-Verordnung ist Präzision ausdrücklich sanktionsbewehrt: Die Bereitstellung falscher, unvollständiger oder irreführender Informationen an Behörden wird dort mit Geldbußen bis zu 7.500.000 EUR oder 1 % des gesamten weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 5 KI-VO). Für KMU einschließlich Start-ups gilt dabei jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6 KI-VO).

Eine ähnliche Stufung kennt das NIS2-Meldewesen: Dauert ein gemeldeter Sicherheitsvorfall noch an, ist zunächst eine Fortschrittsmeldung vorzulegen und die Abschlussmeldung erst nach abschließender Bearbeitung (§ 32 Abs. 1 und 2 BSIG; Österreich: § 34 Abs. 2 Z 5 NISG 2026). Wer im Termin zwischen gesicherter Angabe und vorläufiger Einschätzung unterscheidet, bleibt konsistent zu dieser Stufung.

Praxisempfehlung: Fragen, die im Termin nicht belegbar beantwortbar sind, protokollieren und schriftlich nachreichen, statt sie mündlich zu schätzen.

8. Mitarbeiter-Begleitung im Audit

Ob der Compliance-Officer bei einer Mitarbeiter-Anhörung anwesend sein kann, klären Sie vorab mit der Behörde (Praxisempfehlung, keine Fundstelle). Wie die Begleitung praktisch abläuft, steht in den FAQ.

Für zwei Konstellationen greifen ausdrückliche Schutzvorschriften — Gleichbehandlungssachen und Hinweisgeber-Meldungen. In Deutschland darf der Arbeitgeber Beschäftigte nicht benachteiligen, weil sie Rechte aus dem Benachteiligungsschutz in Anspruch nehmen, eine gegen diesen Abschnitt verstoßende Anweisung verweigern oder als Zeuginnen und Zeugen aussagen (§ 16 Abs. 1 AGG); in Österreich gilt das Benachteiligungsverbot als Reaktion auf Beschwerden oder Verfahren nach § 13 bzw. § 27 GlBG, ausdrücklich auch für Zeugen und Auskunftspersonen. Für Meldungen aus dem Hinweisgebersystem kommt hinzu: Repressalien sind verboten, einschließlich Androhung und Versuch (§ 36 Abs. 1 HinSchG); macht eine hinweisgebende Person geltend, eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit infolge ihrer Meldung erlitten zu haben, so wird vermutet, dass die Benachteiligung eine Repressalie ist — der Benachteiligende muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG). In Österreich sind Vergeltungsmaßnahmen rechtsunwirksam (§ 20 Abs. 1 HSchG); dort gilt ein abgeschwächter Standard der Glaubhaftmachung (§ 23 HSchG) statt der deutschen Beweislastumkehr.

9. Dokumentation des Audits

Eigenes Protokoll führen: Protokollieren Sie je Termin Datum und Uhrzeit, Namen und Funktion aller Anwesenden inklusive der Behördenvertreter, jede Frage im Wortlaut, jedes übergebene Dokument mit Version und Seitenzahl gegen Empfangsvermerk und jede zugesagte Nachreichung mit Zieldatum.

Davon zu unterscheiden sind die turnusmäßigen Nachweispflichten, die unabhängig vom Termin laufen — und die unterscheiden sich zwischen Deutschland und Österreich erheblich. In Deutschland trifft die regelmäßige Nachweispflicht primär die Betreiber kritischer Anlagen: Sie haben die Umsetzung der Maßnahmen nach § 30 Abs. 1 in Verbindung mit § 31 BSIG zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen und die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel zu übermitteln (§ 39 Abs. 1 BSIG). In Österreich trifft die Nachweispflicht alle wesentlichen und wichtigen Einrichtungen: Selbstdeklaration der umgesetzten Risikomanagementmaßnahmen binnen zwölf Monaten nach Eintritt der Registrierungspflicht, auf Aufforderung Nachweis durch eine unabhängige Stelle binnen zwei Jahren — wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 1 und 2 NISG 2026).

Für Verarbeitungen auf Grundlage einer Einwilligung gilt zusätzlich die Nachweisbarkeit nach Art. 7 Abs. 1 DSGVO — halten Sie im Protokoll fest, welche Einwilligungsnachweise übergeben wurden.

10. Nachbereitung

Innerhalb 14 Tagen: Lessons Learned (jede Frage, die im Termin nicht belegbar beantwortet werden konnte, mit dem fehlenden Dokument und einem Verantwortlichen), Maßnahmen-Plan, ggf. proaktive Mitteilung an die Aufsichtsbehörde. Die 14 Tage sind ein Praxis-Rhythmus, keine gesetzliche Frist.

Gesetzliche Fristen laufen unabhängig davon — und sie beginnen mit ihrem jeweiligen gesetzlichen Auslöser, bei der Datenpanne mit der Kenntnis, nicht mit dem Ende des Audits. Wird eine Verletzung des Schutzes personenbezogener Daten sichtbar, ist sie der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden, nachdem sie bekannt wurde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Führt die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, ist zusätzlich die betroffene Person unverzüglich zu benachrichtigen — es sei denn, es greift eine der Ausnahmen des Art. 34 Abs. 3 DSGVO (insbesondere Verschlüsselung, nachträgliche Risikobeseitigung oder unverhältnismäßiger Aufwand mit öffentlicher Bekanntmachung). Zeigt die Nachbereitung, dass die Registrierungsdaten nicht mehr stimmen, gilt die Zwei-Wochen-Meldung aus Punkt 2.

Praxisempfehlung: Den Maßnahmen-Plan mit Verantwortlichen und Zieldaten versehen und im nächsten Management-Review aufrufen — er ist beim Folgetermin die erste Frage.

Wer prüft: Aufsichtsbehörden in Deutschland und Österreich

Welche Behörde sich meldet, hängt vom Rechtsgebiet und vom Sitzland ab — dieselbe Pflicht wird in Deutschland und Österreich von unterschiedlichen Stellen und auf unterschiedlicher Rechtsgrundlage überwacht. Die folgende Übersicht nennt je Rechtsgebiet die zuständigen Stellen — bei der KI-Verordnung für Deutschland die seit 29. Juli 2026 durch das KI-MIG benannten Behörden und für Österreich den Stand der bis 17.08.2026 fehlenden Benennung nach Art. 70 KI-VO — und beim Hinweisgeberschutz den Sanktionsrahmen.

Fristen, die im Audit-Kontext gelten

Ein Audit setzt keine eigenen Fristen außer Kraft. Alle Zeilen der folgenden Tabelle sind gesetzliche Fristen mit Fundstelle; Praxis-Rhythmen stehen nicht darin. Für die Einordnung des Zeitpunkts: Die Registrierung ist nach § 33 Abs. 1 BSIG spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis liegt nicht vor. In Österreich beginnt die Anwendung des NISG 2026 am 1. Oktober 2026.