Datenschutzbehörde kündigt Prüfung an: Wie der Ablauf wirklich ist
Kurz gesagt
Eine Behördenprüfung läuft über Fragebogen und Dokumentenanforderungen ab. Wer Verzeichnis der Verarbeitungstätigkeiten, TOM, Datenschutzerklärungen und Auftragsverarbeitungsverträge vollständig vorlegen kann und kooperativ antwortet, demonstriert Compliance-Bereitschaft — das wirkt sich positiv auf den Ausgang aus.
Warum Behörden prüfen
Aufsichtsbehörden prüfen aus verschiedenen Anlässen: einer Beschwerde eines Betroffenen, eigenen anlasslosen Prüfungen zu bestimmten Branchen oder Themen, Hinweisen aus Medien oder von Whistleblowern, oder Nachfolgeprüfungen nach früheren Verstößen. Die Ankündigung erfolgt meist schriftlich — per Brief oder E-Mail an die im Impressum genannte Adresse oder direkt an den Datenschutzbeauftragten. Ab diesem Zeitpunkt beginnt das Verfahren formal.
Der Ablauf in sieben Schritten
- Ankündigung und Fragebogen erhalten: sorgfältig lesen — Anlass, angeforderte Dokumente, Frist. Die Behörde ist Ansprechpartner, kein Gegner.
- Internes Team zusammenstellen: Datenschutzbeauftragter, Geschäftsführung und ggf. externer Anwalt von Beginn an einbinden. Keine Kommunikation ohne Abstimmung.
- Dokumente zusammenstellen: Verzeichnis von Verarbeitungstätigkeiten, TOM, Datenschutzerklärungen, Auftragsverarbeitungsverträge, Einwilligungsnachweise, Dokumentation von Datenpannen — vollständig und aktuell.
- Antwort sorgfältig formulieren: vollständig, klar, widerspruchsfrei, jede Aussage belegbar. Fehlt etwas, das ehrlich kommunizieren und Abhilfe darlegen.
- Frist einhalten: absolut verbindlich; bei unrealistischer Frist proaktiv und begründet eine Verlängerung beantragen.
- Weitere Kommunikation: Rückfragen vollständig und zeitnah beantworten, den von der Behörde gewählten Kanal beibehalten.
- Abhilfemaßnahmen umsetzen: bei festgestellten Verstößen unverzüglich handeln und den Nachweis übermitteln — das kann die Sanktion erheblich mildern.
Was typischerweise angefordert wird
- Verzeichnis von Verarbeitungstätigkeiten, vollständig und aktuell.
- Technische und organisatorische Maßnahmen, schriftlich dokumentiert.
- Datenschutzerklärungen für alle relevanten Kanäle.
- Auftragsverarbeitungsverträge mit allen relevanten Dienstleistern.
- Einwilligungsnachweise.
- Dokumentation von Datenpannen, auch nicht gemeldeten.
- Bestellungsurkunde des Datenschutzbeauftragten, falls vorhanden.
- Datenschutz-Folgenabschätzungen für hochriskante Verarbeitungen.
Fehler, die die Situation verschlimmern
Unvollständige Antworten wirken wie Vertuschung, widersprüchliche Angaben untergraben die Glaubwürdigkeit, verpasste Fristen können als Nicht-Kooperation gewertet werden. Keine Kommunikation sollte ohne vorherige Abstimmung mit Datenschutzbeauftragtem oder Anwalt erfolgen. Kooperation ist dabei keine Schwäche, sondern Strategie: Aufsichtsbehörden können bei nachgewiesener Compliance-Bereitschaft auf Sanktionen verzichten oder sie mildern.
Mögliche Ausgänge
Nach Abschluss der Prüfung gibt die Behörde eine Rückmeldung — vom Einstellen des Verfahrens ohne Beanstandung über eine Verwarnung ohne Bußgeld bis zu einer Anordnung oder, bei schwerwiegenden Verstößen, einem Bußgeld. Alle Entscheidungen sind schriftlich und mit Rechtsbehelfsbelehrung; Widerspruch und Klage sind möglich.