Audit-Vorbereitung Aufsichtsbehörde: 10-Punkte-Checkliste

Sofort-Maßnahmen in 24-48h: 1) Anruf nicht selbst entgegennehmen — an Compliance-Officer oder Anwalt weiterleiten. 2) Schriftliche Anfrage anfordern (was, warum, Frist). 3) Notiz-Protokoll des Telefonats — exakter Wortlaut wenn möglich. 4) Anwalts-Beratung anfragen (auch wenn keine Klage angedroht — präventiv). 5) Internes Compliance-Team alarmieren — Beweis-Sicherung relevanter Dokumente. 6) Geschäftsführung informieren — Ad-hoc-Meeting binnen 24h. Häufigster Fehler: spontane mündliche Auskünfte am Telefon — können verbindlich werden. Goldene Regel: 'Wir antworten gerne schriftlich nach Beratung.'

Audit-Doku-Pakete je Compliance-Bereich: DSGVO: VVT, AVVs, DSFAs, TOM-Konzept, Schulungs-Logbuch, Datenpannen-Logbuch, DSB-Bestellung. NIS2: ISMS-Policies, Risikoregister, IRP, BCM-Plan, Asset-Inventory, Patch-Logs, Lieferanten-Audits. AI Act: KI-Inventar, AI-Literacy-Schulungs-Nachweise, FRIAs (ab 12/2027), AUP. HinSchG: Meldestellen-Bestellung, Verfahrensordnung, Audit-Bericht § 22, Vertraulichkeits-Konzept. AGG: Beschwerdestelle-Doku, Auswahl-Score-Sheets, Bias-Tests. Format: digital + Papier (manche Aufsichts-Behörden verlangen Papier-Kopien). Aktualisiert auf <90 Tage Stand. Aufbewahrung: 6-10 Jahre nach Vorgangs-Abschluss.

Praxis-Reduktions-Hebel (Art. 83 Abs. 2 DSGVO): 1) Selbst-Anzeige vor AB-Anfrage — Reduktion 30-60%. 2) Kooperative Sachaufklärung (alle Unterlagen freiwillig) — 20-40%. 3) Sofortige Korrektive Maßnahmen (z.B. Lücke schließen, Schulung nachholen) — 20-30%. 4) Existenz-Bedrohung-Argument (Art. 83 Abs. 2 lit. k) — 10-50% bei nachweisbar wirtschaftlicher Schwierigkeit. 5) Erstmaligkeit + keine Vorstrafen — 10-20%. Maximal-Reduktion bei kooperativer Linie: 60-80% der ursprünglichen Bußgeld-Forderung. Achtung: nur unter anwaltlicher Begleitung — selbstverschuldete Aussagen können nachteilig wirken.

Rechtlich verpflichtend: Aufsichtsbehörde darf nach § 40 BDSG / § 51 ECG MA befragen. Praktisch zu beachten: 1) MA vor Audit-Termin schulen ('Was sagen Sie bei Befragung?' — Wahrheit, aber keine Selbst-Belastung). 2) Compliance-Officer / Anwalt darf bei Befragung anwesend sein (Recht des MA + des Arbeitgebers). 3) Befragung im neutralen Raum — nicht in Anwesenheit Vorgesetzter (Schutz vor Druck). 4) Befragungs-Protokoll vom MA prüfen + signieren lassen. 5) Bei sensitiven Antworten: 'Ich weiß nicht, der Compliance-Officer kann antworten.' Kritisch: keine 'Coaching'-Vorbereitung mit Vorgaben — kann Strafvereitelung sein. Statt: realistische Schulung zu Verhaltens-Standards.