Was kostet ein Datenschutz-Audit? Preise, Ablauf und Dauer im Überblick

Ein Datenschutz-Audit kostet bei uns als strukturiertes Erstaudit ab 1.500 €, ein umfassendes DSGVO-Audit mit Vor-Ort-Termin und Maßnahmenplan 2.900 €. Wer einzelne Themen prüfen lassen will, rechnet mit einem Beratertagessatz von 890 €. Was Sie dafür bekommen, wovon der Preis abhängt und wann sich statt eines einmaligen Audits die laufende Betreuung rechnet — hier die Zahlen und der Ablauf im Detail.

Wann ein Datenschutz-Audit sinnvoll ist

Die DSGVO verlangt kein Audit mit diesem Namen — aber sie verlangt in Art. 5 Abs. 2 den Nachweis, dass die Verarbeitung personenbezogener Daten rechtmäßig läuft (Rechenschaftspflicht). Genau diesen Nachweis liefert ein Audit. In der Praxis gibt es vier typische Auslöser:

• Bestandsaufnahme: Es gab nie eine systematische Prüfung, und niemand kann sagen, wo das Unternehmen wirklich steht.
• Wechsel oder Neubestellung des Datenschutzbeauftragten: Der neue DSB braucht ein belastbares Bild als Arbeitsgrundlage.
• Anlassbezogen: Eine Anfrage der Aufsichtsbehörde, eine Datenpanne, eine Kundenforderung nach Nachweisen oder eine anstehende Zertifizierung.
• Vertragsanforderung: Immer mehr Auftraggeber verlangen von Dienstleistern dokumentierte Datenschutz-Prüfungen, bevor sie einen Auftragsverarbeitungsvertrag unterschreiben.

Was ein DSGVO-Audit prüft

Ein vollständiges Audit arbeitet die Pflichtenlandkarte der DSGVO systematisch ab. Zum Kernumfang gehören:

• Verarbeitungsverzeichnis nach Art. 30 — vorhanden, vollständig, aktuell?
• Rechtsgrundlagen der wichtigsten Verarbeitungen (Beschäftigtendaten, Kunden, Marketing)
• Auftragsverarbeitung: Dienstleister-Inventar, AV-Verträge, Drittlandtransfers
• Technische und organisatorische Maßnahmen (Art. 32) inklusive Berechtigungskonzept und Backup
• Betroffenenrechte-Prozesse: Auskunft, Löschung, Widerspruch — wer antwortet in welcher Frist?
• Informationspflichten: Datenschutzerklärungen für Website, Bewerber, Beschäftigte
• Meldeprozess für Datenpannen (72-Stunden-Frist nach Art. 33)
• Website-Check: Cookies, Einwilligungsbanner, eingebundene Drittdienste

So läuft das Audit ab

1. Vorbereitung (remote). Sichtung der vorhandenen Dokumentation — Verzeichnisse, Verträge, Richtlinien, Datenschutzerklärungen. Dazu ein strukturierter Fragebogen an die Verantwortlichen.

2. Audittermin. Interviews mit den Schlüsselrollen (Geschäftsführung, IT, HR, Vertrieb) und Stichproben in den Systemen. Beim umfassenden Audit vor Ort, beim Erstaudit auch per Videokonferenz möglich.

3. Bewertung. Jeder Prüfpunkt wird nach Risiko eingestuft — von „konform“ über „Verbesserungsbedarf“ bis „kritischer Handlungsbedarf“.

4. Bericht und Maßnahmenplan. Ein schriftlicher Auditbericht mit priorisierter Maßnahmenliste: Was muss sofort passieren, was innerhalb von drei Monaten, was ist Kür? Auf Wunsch stellen wir den Bericht der Geschäftsführung persönlich vor.

Vom Kick-off bis zum fertigen Bericht vergehen typischerweise zwei bis vier Wochen — der interne Aufwand für Ihr Team liegt meist bei wenigen Stunden für Interviews und Unterlagen.

Was ein Datenschutz-Audit kostet

Alle Preise netto. Die Spanne erklärt sich über vier Faktoren: die Zahl der Verarbeitungstätigkeiten (ein reiner Bürobetrieb ist schneller geprüft als ein Onlineshop mit Tracking, Newsletter und Zahlungsdienstleistern), die Zahl der Standorte, der Reifegrad der vorhandenen Dokumentation und branchenspezifische Anforderungen — etwa bei Gesundheitsdaten oder Berufsgeheimnisträgern.

Vorsicht bei deutlich günstigeren Angeboten: Ein „Audit“, das nur aus einem automatisierten Website-Scan oder einem Selbstauskunfts-Fragebogen besteht, erfüllt die Rechenschaftspflicht nicht und liefert der Geschäftsführung ein trügerisches Sicherheitsgefühl.

Einmaliges Audit oder laufende Betreuung?

Ein Audit ist eine Momentaufnahme — aussagekräftig, aber mit Verfallsdatum. Wer ohnehin einen Datenschutzbeauftragten bestellen muss (in Deutschland ab 20 Personen mit regelmäßiger Datenverarbeitung), fährt mit der laufenden Betreuung oft günstiger: Beim externen Datenschutzbeauftragten ab 150 € im Monat ist die kontinuierliche Prüfung bereits enthalten, und das Erstaudit lässt sich als Einstieg in das Mandat verrechnen. Das einmalige Audit bleibt die richtige Wahl für Unternehmen ohne DSB-Pflicht, vor Zertifizierungen oder als unabhängige Kontrolle einer bestehenden internen Lösung — letzteres übernimmt bei uns der externe Datenschutzauditor.

Fazit

Ein seriöses Datenschutz-Audit kostet zwischen 1.500 und 2.900 € — verglichen mit Bußgeldrahmen von bis zu 20 Millionen Euro und dem Aufwand einer unvorbereiteten Behördenanfrage eine überschaubare Investition. Entscheidend ist weniger der Preis als der Umfang: echte Interviews und Systemstichproben statt Fragebogen-Automatik, ein priorisierter Maßnahmenplan statt einer 80-seitigen Mängelliste. Wenn Sie wissen wollen, wo Ihr Unternehmen steht: Im kostenlosen Erstgespräch klären wir Umfang und Festpreis für Ihren Fall.