DSGVO-Check: Ist Ihr Unternehmen DSGVO-konform?

Was ist ein DSGVO-Check?

Ein DSGVO-Check ist eine systematische Überprüfung, ob Ihr Unternehmen die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllt. Anders als ein vollständiges Datenschutz-Audit ist ein DSGVO-Check häufig der erste Schritt — eine Bestandsaufnahme, die zeigt, wo Ihr Unternehmen im Hinblick auf den Datenschutz steht und wo Handlungsbedarf besteht.

Die DSGVO gilt seit dem 25. Mai 2018 und betrifft jedes Unternehmen, das personenbezogene Daten verarbeitet. Trotzdem zeigen Untersuchungen, dass ein erheblicher Teil der deutschen Unternehmen — insbesondere kleine und mittlere Unternehmen — die DSGVO noch nicht vollständig umgesetzt hat. Ein DSGVO-Check deckt diese Lücken auf und gibt Ihnen einen klaren Fahrplan für die Compliance.

Die Konsequenzen mangelnder DSGVO-Konformität sind erheblich: Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, Schadensersatzansprüche von Betroffenen nach Art. 82 DSGVO, Abmahnungen durch Wettbewerber und zudem ein massiver Reputationsschaden bei Bekanntwerden von Datenschutzverstößen.

DSGVO-Selbstcheck: Die 20-Punkte-Checkliste

Die folgende Checkliste ermöglicht Ihnen eine erste Einschätzung Ihrer DSGVO-Konformität. Beantworten Sie jede Frage ehrlich — jedes „Nein“ zeigt einen Bereich, in dem Handlungsbedarf besteht.

Organisation und Verantwortlichkeiten

1. Datenschutzbeauftragter: Haben Sie geprüft, ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss, und ihn gegebenenfalls benannt und bei der Aufsichtsbehörde gemeldet?

2. Datenschutzorganisation: Gibt es klare Verantwortlichkeiten für den Datenschutz in Ihrem Unternehmen? Weiß jeder Mitarbeiter, wer Ansprechpartner für Datenschutzfragen ist?

3. Mitarbeiterschulungen: Werden alle Mitarbeiter regelmäßig zum Thema Datenschutz geschult? Werden neue Mitarbeiter bei der Einstellung unterwiesen?

4. Vertraulichkeitsverpflichtung: Sind alle Mitarbeiter, die personenbezogene Daten verarbeiten, schriftlich auf die Vertraulichkeit verpflichtet?

Dokumentation und Prozesse

5. Verarbeitungsverzeichnis: Führen Sie ein vollständiges und aktuelles Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO?

6. Rechtsgrundlagen: Ist für jede Verarbeitungstätigkeit eine gültige Rechtsgrundlage dokumentiert? Verfügen Sie über wirksame Einwilligungen, wo diese erforderlich sind?

7. Datenschutzerklärung Website: Ist Ihre Datenschutzerklärung vollständig, aktuell und entspricht sie den Anforderungen der Art. 13/14 DSGVO?

8. Datenschutzhinweise für Beschäftigte: Informieren Sie Ihre Mitarbeiter vollständig über die Verarbeitung ihrer personenbezogenen Daten?

9. Löschkonzept: Haben Sie ein dokumentiertes Löschkonzept mit definierten Löschfristen für alle Datenbestände? Werden die Fristen technisch umgesetzt?

10. Datenpannen-Prozess: Existiert ein dokumentierter Prozess für die Erkennung, Bewertung und Meldung von Datenschutzverletzungen innerhalb der 72-Stunden-Frist?

Technische Sicherheit

11. TOMs dokumentiert: Sind Ihre technischen und organisatorischen Maßnahmen schriftlich dokumentiert und auf dem aktuellen Stand?

12. Verschlüsselung: Sind personenbezogene Daten bei der Übertragung (E-Mail, Website) und bei der Speicherung angemessen verschlüsselt?

13. Zugriffskontrolle: Gibt es ein Berechtigungskonzept, das sicherstellt, dass nur befugte Mitarbeiter auf personenbezogene Daten zugreifen können?

14. Backup und Wiederherstellung: Werden regelmäßige Backups erstellt und wird die Wiederherstellungsfähigkeit getestet?

15. Mobile Geräte: Sind Laptops, Smartphones und Tablets der Mitarbeiter angemessen gesichert (Verschlüsselung, Fernlöschung, Passwortschutz)?

Externe Dienstleister und Dritte

16. AV-Verträge: Bestehen mit allen Auftragsverarbeitern ordnungsgemäße Auftragsverarbeitungsverträge nach Art. 28 DSGVO?

17. Drittlandtransfers: Werden personenbezogene Daten in Länder außerhalb der EU/des EWR übermittelt? Wenn ja, besteht eine geeignete Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln)?

18. Cookie-Consent: Wird auf Ihrer Website eine DSGVO-konforme Cookie-Einwilligung eingeholt, bevor nicht-essentielle Cookies gesetzt werden?

Betroffenenrechte

19. Betroffenenanfragen: Gibt es einen definierten Prozess für die Bearbeitung von Auskunfts-, Löschungs-, Berichtigungs- und Widerspruchsanfragen? Kann die Monatsfrist eingehalten werden?

20. DSFA: Wurde für risikoreiche Verarbeitungen eine Datenschutz-Folgenabschätzung durchgeführt?

Auswertung: Wie DSGVO-konform ist Ihr Unternehmen?

Zählen Sie die Fragen, die Sie mit „Ja“ beantworten können:

18-20 Punkte — Sehr gut: Ihr Unternehmen hat den Datenschutz offenbar im Griff. Dennoch empfiehlt sich ein regelmäßiger professioneller Check, um auf der sicheren Seite zu bleiben und neue Anforderungen rechtzeitig umzusetzen.

13-17 Punkte — Befriedigend: Die Grundlagen sind vorhanden, aber es gibt deutliche Lücken. Priorisieren Sie die fehlenden Punkte nach Risiko und schließen Sie die Lücken zeitnah.

7-12 Punkte — Mangelhaft: Erheblicher Handlungsbedarf. Ihr Unternehmen ist bei einer Prüfung durch die Aufsichtsbehörde einem hohen Bußgeldrisiko ausgesetzt. Professionelle Unterstützung ist dringend empfohlen.

0-6 Punkte — Kritisch: Ihr Unternehmen hat die DSGVO kaum umgesetzt. Das Risiko für Bußgelder und Schadensersatzansprüche ist akut. Sofortiges Handeln ist erforderlich.

Die häufigsten DSGVO-Verstöße und ihre Konsequenzen

Aufsichtsbehörden in Deutschland und der EU haben seit 2018 tausende Bußgelder verhängt. Die häufigsten Verstöße, die auch kleine und mittlere Unternehmen betreffen, sind:

Fehlende oder unvollständige Datenschutzerklärung: Die häufigste Beanstandung überhaupt. Bußgelder zwischen 5.000 und 50.000 Euro sind keine Seltenheit, hinzu kommen wettbewerbsrechtliche Abmahnrisiken mit Streitwerten ab 7.500 Euro.

Unrechtmäßiger Einsatz von Tracking-Tools: Die Nutzung von Google Analytics, Meta Pixel oder ähnlichen Tools ohne wirksame Einwilligung hat zu zahlreichen Bußgeldern geführt. Die Anforderungen an die Cookie-Einwilligung wurden durch die EuGH-Rechtsprechung kontinuierlich verschärft.

Verspätete Datenpannenmeldung: Die 72-Stunden-Frist wird häufig überschritten, oft weil kein funktionierender Meldeprozess existiert. Bußgelder hierfür können empfindlich ausfallen.

Unrechtmäßige Videoüberwachung: Insbesondere die übermäßige Überwachung von Mitarbeitern oder öffentlichen Bereichen führt regelmäßig zu hohen Bußgeldern — in einem Fall in Niedersachsen beispielsweise 10,4 Millionen Euro gegen ein Unternehmen.

Fehlende AV-Verträge: Die Zusammenarbeit mit Auftragsverarbeitern ohne ordnungsgemäßen Vertrag ist ein häufiger und leicht vermeidbarer Verstoß, der Bußgelder von mehreren tausend Euro nach sich ziehen kann.

Der professionelle DSGVO-Check durch DATUREX

Während ein Selbstcheck einen ersten Überblick gibt, ersetzt er keinen professionellen DSGVO-Check durch einen erfahrenen Datenschutzexperten. Die DATUREX GmbH bietet einen strukturierten DSGVO-Check, der deutlich über einen einfachen Selbsttest hinausgeht.

Was wird beim professionellen DSGVO-Check geprüft?

Dokumentenprüfung: Wir analysieren Ihr Verarbeitungsverzeichnis, Ihre Datenschutzerklärungen, AV-Verträge, TOMs-Dokumentation, Löschkonzept, Einwilligungserklärungen und interne Richtlinien auf Vollständigkeit und Rechtmäßigkeit.

Website-Check: Wir überprüfen Ihre Website auf Datenschutzkonformität — Cookie-Banner, Datenschutzerklärung, Kontaktformulare, eingebundene Drittanbieter, SSL-Verschlüsselung und die korrekte Implementierung von Tracking-Tools.

Technische Überprüfung: Wir bewerten Ihre IT-Sicherheitsmaßnahmen hinsichtlich der DSGVO-Anforderungen — Verschlüsselung, Zugriffskontrolle, Backup-Strategie und Netzwerksicherheit.

Prozessanalyse: Wir prüfen, ob Ihre internen Prozesse für Betroffenenanfragen, Datenpannenmeldung und regelmäßige Datenschutzüberprüfungen funktionieren und dokumentiert sind.

Mitarbeiterinterviews: In Stichproben prüfen wir, ob Datenschutzmaßnahmen in der Praxis gelebt werden und ob die Mitarbeiter ausreichend sensibilisiert sind.

Das Ergebnis: Ihr individueller Maßnahmenplan

Nach Abschluss des DSGVO-Checks erhalten Sie einen vollständigen Bericht mit einer detaillierten Bewertung Ihres aktuellen Datenschutzniveaus, einer priorisierten Liste aller identifizierten Schwachstellen, konkreten und praxisnahen Handlungsempfehlungen für jeden Punkt, einer Zeitplanung für die Umsetzung der Maßnahmen und einer Risikoeinschätzung für jeden identifizierten Mangel.

Online-Check vs. Vor-Ort-Audit — was ist besser?

Beide Ansätze haben ihre Berechtigung und eignen sich für unterschiedliche Situationen.

Online-DSGVO-Check: Schneller und kostengünstiger durchführbar. Eignet sich gut als Ersteinschätzung und für Unternehmen mit überschaubarer Datenverarbeitung. Die Dokumentenprüfung und der Website-Check können vollständig remote erfolgen. Einschränkung: Physische Sicherheitsmaßnahmen und die tatsächliche Umsetzung im Arbeitsalltag lassen sich remote nur eingeschränkt prüfen.

Vor-Ort-DSGVO-Check: Umfassender und aussagekräftiger. Ermöglicht die Überprüfung physischer Sicherheitsmaßnahmen (Zugangskontrollen, Clean Desk, Aktenvernichtung), persönliche Interviews mit Mitarbeitern und die direkte Einsicht in IT-Systeme. Empfohlen für Unternehmen mit sensiblen Daten, vielen Mitarbeitern oder komplexen IT-Strukturen.

Kombinierter Ansatz: Die beste Lösung kombiniert beide Methoden — eine Remote-Dokumentenprüfung vorab, gefolgt von einem gezielten Vor-Ort-Termin für die Bereiche, die nur vor Ort geprüft werden können. Dies optimiert Kosten und Ergebnis.

Was kostet ein DSGVO-Check?

Die Kosten eines professionellen DSGVO-Checks hängen von Umfang und Tiefe der Prüfung ab:

Basis-Check (Remote): Ab 500 Euro — umfasst die Prüfung der Website, der Datenschutzerklärung und der wichtigsten Dokumente. Geeignet als Einstieg und schnelle Bestandsaufnahme für Kleinunternehmen.

Standard-Check: 1.500 bis 3.500 Euro — vollständige Prüfung aller relevanten Bereiche, Dokumentenanalyse und Ergebnisbericht mit Handlungsempfehlungen. Der ideale DSGVO-Check für die meisten KMU.

Premium-Check (mit Vor-Ort-Termin): 3.500 bis 8.000 Euro — vollständiger Check inklusive Vor-Ort-Prüfung, Mitarbeiterinterviews, technischer Überprüfung und detailliertem Maßnahmenplan mit Priorisierung und Zeitplanung.

Bedenken Sie: Die Kosten eines DSGVO-Checks sind ein Bruchteil der möglichen Bußgelder. Schon ein einzelnes Bußgeld kann die Kosten eines Checks um ein Vielfaches übersteigen. Zudem schützt ein DSGVO-Check auch vor Schadensersatzansprüchen und wettbewerbsrechtlichen Abmahnungen.

Nach dem DSGVO-Check — die nächsten Schritte

Ein DSGVO-Check ist kein einmaliges Projekt, sondern der Startpunkt für ein kontinuierliches Datenschutzmanagement. Nach dem Check sollten Sie die identifizierten Maßnahmen nach Priorität umsetzen — kritische Mängel sofort, mittlere Risiken innerhalb von 3 Monaten, geringfügige Verbesserungen innerhalb von 6 bis 12 Monaten.

Planen Sie regelmäßige Folge-Checks ein — mindestens einmal jährlich oder bei wesentlichen Änderungen in Ihrem Unternehmen. Nur so stellen Sie sicher, dass neue Verarbeitungstätigkeiten, geänderte IT-Systeme oder neue rechtliche Anforderungen zeitnah berücksichtigt werden.

Jetzt DSGVO-Check bei DATUREX anfragen

Die DATUREX GmbH ist Ihr erfahrener Partner für den professionellen DSGVO-Check. Wir prüfen Ihr Unternehmen auf Herz und Nieren und liefern Ihnen einen klaren, praxisorientierten Maßnahmenplan.

Ihr Vorteil: Wenn Sie im Anschluss an den DSGVO-Check die DATUREX GmbH als externen Datenschutzbeauftragten beauftragen, werden die Kosten des Checks vollständig auf die laufende Betreuung angerechnet.

Vereinbaren Sie jetzt Ihren DSGVO-Check — kontaktieren Sie uns für ein unverbindliches Erstgespräch. Wir melden uns innerhalb von 24 Stunden bei Ihnen.

.lwrp.link-whisper-related-posts{

}
.lwrp .lwrp-title{

}.lwrp .lwrp-description{

}
.lwrp .lwrp-list-container{
}
.lwrp .lwrp-list-multi-container{
display: flex;
}
.lwrp .lwrp-list-double{
width: 48%;
}
.lwrp .lwrp-list-triple{
width: 32%;
}
.lwrp .lwrp-list-row-container{
display: flex;
justify-content: space-between;
}
.lwrp .lwrp-list-row-container .lwrp-list-item{
width: calc(25% – 20px);
}
.lwrp .lwrp-list-item:not(.lwrp-no-posts-message-item){

}
.lwrp .lwrp-list-item img{
max-width: 100%;
height: auto;
object-fit: cover;
aspect-ratio: 1 / 1;
}
.lwrp .lwrp-list-item.lwrp-empty-list-item{
background: initial !important;
}
.lwrp .lwrp-list-item .lwrp-list-link .lwrp-list-link-title-text,
.lwrp .lwrp-list-item .lwrp-list-no-posts-message{

}@media screen and (max-width: 480px) {
.lwrp.link-whisper-related-posts{

}
.lwrp .lwrp-title{

}.lwrp .lwrp-description{

}
.lwrp .lwrp-list-multi-container{
flex-direction: column;
}
.lwrp .lwrp-list-multi-container ul.lwrp-list{
margin-top: 0px;
margin-bottom: 0px;
padding-top: 0px;
padding-bottom: 0px;
}
.lwrp .lwrp-list-double,
.lwrp .lwrp-list-triple{
width: 100%;
}
.lwrp .lwrp-list-row-container{
justify-content: initial;
flex-direction: column;
}
.lwrp .lwrp-list-row-container .lwrp-list-item{
width: 100%;
}
.lwrp .lwrp-list-item:not(.lwrp-no-posts-message-item){

}
.lwrp .lwrp-list-item .lwrp-list-link .lwrp-list-link-title-text,
.lwrp .lwrp-list-item .lwrp-list-no-posts-message{

};
}

DSGVO-Check für verschiedene Branchen

Die Anforderungen eines DSGVO-Checks variieren je nach Branche erheblich. Während ein E-Commerce-Unternehmen vor allem Cookie-Consent, Tracking und Auftragsverarbeitungsverträge mit Zahlungsdienstleistern prüfen muss, liegt der Fokus im Gesundheitswesen auf dem Schutz besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO.

Handwerk und Mittelstand

Handwerksbetriebe und kleine Mittelständler unterschätzen häufig ihre DSGVO-Pflichten. Bereits die Verwaltung von Kundenkontaktdaten, Mitarbeiterdaten und Lieferanteninformationen erfordert ein strukturiertes Datenschutzmanagement. Ein DSGVO-Check deckt hier typische Schwachstellen auf: fehlende Verarbeitungsverzeichnisse, veraltete Datenschutzerklärungen auf der Webseite, nicht dokumentierte Löschfristen und fehlende Auftragsverarbeitungsverträge mit Cloud-Diensten wie Microsoft 365 oder Lexware.

Arztpraxen und Gesundheitswesen

Im medizinischen Bereich gelten verschärfte Anforderungen an den Datenschutz. Patientendaten unterliegen nicht nur der DSGVO, sondern zusätzlich der ärztlichen Schweigepflicht. Der DSGVO-Check muss hier besonders die elektronische Patientenakte, die Kommunikation mit Laboren und Krankenkassen sowie den physischen Zugangsschutz zu Patientenakten berücksichtigen. Auch die Videoüberwachung in Wartebereichen ist ein häufiger Prüfpunkt.

Online-Handel und E-Commerce

Für Online-Shops ist der DSGVO-Check besonders komplex: Cookie-Consent-Banner müssen rechtskonform implementiert sein, Tracking-Tools wie Google Analytics 4 benötigen eine gültige Rechtsgrundlage, und Newsletter-Anmeldungen müssen das Double-Opt-In-Verfahren nutzen. Zudem müssen Auftragsverarbeitungsverträge mit allen eingebundenen Drittanbietern — von Zahlungsdienstleistern über Versanddienstleister bis zu Marketing-Plattformen — vorliegen und aktuell sein.

Häufig gestellte Fragen zum DSGVO-Check

Wie oft sollte ein DSGVO-Check durchgeführt werden?

Ein vollständiger DSGVO-Check sollte mindestens einmal jährlich erfolgen. Bei wesentlichen Änderungen in der Datenverarbeitung — etwa der Einführung neuer Software, dem Wechsel von Dienstleistern oder organisatorischen Umstrukturierungen — ist ein anlassbezogener Check empfehlenswert. Die DSGVO fordert in Art. 5 Abs. 2 eine fortlaufende Rechenschaftspflicht, die nur durch regelmäßige Überprüfung erfüllt werden kann.

Was kostet ein professioneller DSGVO-Check?

Die Kosten für einen professionellen DSGVO-Check durch einen externen Datenschutzbeauftragten liegen typischerweise zwischen 500 und 3.000 Euro, abhängig von der Unternehmensgröße und Komplexität der Datenverarbeitung. Bei DATUREX GmbH erhalten Sie eine transparente Kostenschätzung im unverbindlichen Erstgespräch. Gemessen an möglichen Bußgeldern von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes ist diese Investition minimal.

Kann ich den DSGVO-Check selbst durchführen?

Grundsätzlich können Unternehmen einen DSGVO-Check intern durchführen — die oben genannte Checkliste bietet dafür einen Einstieg. Allerdings fehlt internen Prüfern oft die nötige Objektivität und das Fachwissen, um alle Risiken zu erkennen. Ein externer Datenschutzbeauftragter bringt Erfahrung aus hunderten Prüfungen mit und kennt typische Schwachstellen, die intern leicht übersehen werden. Wir empfehlen daher eine Kombination: regelmäßige interne Selbst-Checks ergänzt durch jährliche externe Audits.

Was passiert, wenn Mängel festgestellt werden?

Festgestellte Mängel werden in einem Maßnahmenplan dokumentiert und priorisiert. Kritische Verstöße — etwa fehlende Rechtsgrundlagen für die Datenverarbeitung oder Datenschutzverletzungen — müssen sofort behoben werden. Weniger dringende Punkte wie die Optimierung von Datenschutzhinweisen oder die Nachbesserung von Löschkonzepten können in einem realistischen Zeitrahmen umgesetzt werden. DATUREX begleitet Sie von der Analyse bis zur vollständigen Umsetzung.