Datenschutzauditor:in – Aufgaben und Ausbildung

In Artikel 5, Absatz 2 der DSGVO ist sinngemäß nachzulesen, dass dem oder der Datenschutzverantwortlichen im Unternehmen eine Rechenschaftspflicht obliegt. Er oder sie muss stets nachweisen können, dass alle Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden. Ob die Maßnahmen und Umsetzungen, die auf Anraten des oder der internen Datenschutzbeauftragten implementiert wurden, aber auch tatsächlich die gesetzlichen Vorgaben erfüllen, kann nur ein eine dritte Partei objektiv beurteilen. Geprüft wird das durch eine:n Datenschutzauditor:in, der oder die einen Datenschutzaudit durchführt. Er oder sie nimmt das Datenschutzmanagementsystem genau unter die Lupe und stellt fest, ob es den datenschutzrechtlichen Anforderungen genügt.

Grundsätzlich kann der oder die prüfende Datenschutzauditor:in auch der oder die interne Datenschutzbeauftragte sein, wenn er bzw. sie über die entsprechende Qualifikation verfügt. Das birgt jedoch die Risiken der Voreingenommenheit und Betriebsblindheit. Außerdem könnten Mitarbeiter:innen versuchen, das Auditergebnis in ihrem Sinne zu beeinflussen. Die Vorteile eines Datenschutzaudits durch eine:n externe:n Datenschutzauditor:in liegen für Unternehmen deshalb auf der Hand:

• objektiver Blick eines Experten bzw. einer Expertin auf die technischen und organisatorischen Maßnahmen zur Wahrung des Datenschutzes
• neutrale Einschätzung, wie mit personenbezogenen Daten umgegangen wird
• Analyse des Ist-Zustands mit Schwachstellen und Optimierungspotenzialen

Aufgaben – was macht ein:e Datenschutzauditor:in?

Der bzw. die Datenschutzauditor:in ist für Datenschutzaudits und ihre Durchführung verantwortlich. Er oder sie überprüft die Anwendung der implementierten Datenschutzmaßnahmen im Unternehmen und stellt dabei fest, ob diese angemessen und gesetzeskonform sind. Dabei geht es nicht nur um die allgemeingültige Theorie, sondern auch um Anforderungen an standort- und branchenspezifische Begebenheiten. Zum Audit gehören in der Praxis sowohl Stichproben als auch Interviews. Dokumente und Unterlagen müssen durchgesehen, Unternehmensstandorte vor Ort inspiziert werden.

Im abschließenden Bericht hält der oder die Datenschutzauditor:in fest, wie es um den Datenschutz im Unternehmen steht, und deckt dabei mögliche Schwachstellen auf. Er oder sie weist somit auf Verbesserungspotenziale hin; für die Umsetzung und entsprechende Maßnahmen ist jedoch der oder die Verantwortliche im Unternehmen zuständig. Erkennt der oder die Auditor:in offensichtliche Mängel, die der eigenen professionellen Einschätzung nach bei künftigen Prüfungen zu Problemen führen könnten, ist der Handlungsbedarf natürlich besonders groß. Auf der anderen Seite kann er oder sie den gelungen umgesetzten Datenschutz auch zertifizieren.

Ausbildung – wer kann sich wie fortbilden lassen?

Wie werden interessierte Personen nun aber Datenschutzauditor:in? Wer ist dafür geeignet? Und welche Voraussetzungen gibt es? Über Details rund um die Ausbildung informieren die datenschutzexperten.de und zeigen dabei den potentiell hohen Nutzen eines Datenschutzaudits für jedes Unternehmen auf. Angehende Datenschutzauditor:innen müssen ein viertägiges Seminar besuchen, das mit einer Prüfung abgeschlossen wird. Wer besteht, erhält ein Zertifikat, das drei Jahre lang gültig ist – für die Verlängerung ist eine ständige Weiterbildung Pflicht. Das Wichtigste kurz und knapp:

Teilnehmerkreis: Die Ausbildung zum oder zur Datenschutzauditor:in richtet sich an interne und externe Datenschutzbeauftragte, Führungskräfte und Mitarbeiter:innen aus den Bereichen Datenschutz, IT-Sicherheit, Compliance sowie Wirtschaftsprüfer:innen und weitere Berufsgruppen.

Teilnahmevoraussetzungen: Wer sich als Datenschutzauditor:in zertifizieren lassen will, muss bereits geprüfte DEKRA-Fachkraft für Datenschutz sein oder eine vergleichbare Ausbildung vorweisen können. Umfangreiche Vorkenntnisse zur DSGVO werden im Seminar vorausgesetzt.

Ausbildungsinhalte: Das Seminar umfasst Themen wie datenschutzrechtliche Grundlagen, Normenklassifizierung, ISO-19011, Datenschutzzertifikat, Unterscheidung zwischen Datenschutzbeauftragten und Datenschutzauditor:innen, Auditverträge, Datenschutzmanagementsysteme, Beschäftigtendatenschutz, Auditfragen und Auditfallkonstellationen.