Eine Datenschutzbehördenprüfung läuft in der Regel über Fragebogen und Dokumentenanforderungen ab. Wer VVT, TOMs, Datenschutzerklärungen und AVVs vollständig vorlegen kann und kooperativ antwortet, demonstriert Compliance-Bereitschaft — das wirkt sich positiv auf den Ausgang aus.
Eine Behördenprüfung ist kein automatisches Bußgeld — aber gute Vorbereitung und kooperatives Verhalten entscheiden darüber, wie das Verfahren endet.
Aufsichtsbehörden prüfen aus verschiedenen Anlässen: Beschwerde eines Betroffenen, der seine Rechte wahrnehmen will. Eigene anlasslose Prüfungen, bei denen bestimmte Branchen oder Themen systematisch untersucht werden. Hinweise von Whistleblowern oder aus Medienberichten. Nachfolgeprüfungen nach früheren Verstößen.
Die Ankündigung einer Prüfung erfolgt in der Regel schriftlich — per Brief oder E-Mail an die im Impressum genannte Adresse oder direkt an den bestellten Datenschutzbeauftragten. Sie enthält meist eine Beschreibung des Anlasses oder des Prüfthemas sowie eine erste Aufforderung zur Stellungnahme oder Dokumentenvorlage. Ab diesem Zeitpunkt beginnt das Verfahren formal.
-
Ankündigung und Fragebogen erhalten
Die Ankündigung sorgfältig lesen. Was ist der Anlass? Welche Dokumente werden konkret angefordert? Welche Frist gilt? Alles dokumentieren. Die Behörde ist Ihr Ansprechpartner — nicht ein Gegner, den es zu umgehen gilt.
-
Internes Team zusammenstellen
Datenschutzbeauftragter, Geschäftsführung und ggf. externer Datenschutz- oder IT-Rechtsanwalt müssen von Beginn an eingebunden sein. Keine Kommunikation mit der Behörde ohne Abstimmung in diesem Kreis.
-
Dokumente zusammenstellen
Verzeichnis von Verarbeitungstätigkeiten (VVT), technische und organisatorische Maßnahmen (TOMs), Datenschutzerklärungen, Auftragsverarbeitungsverträge (AVVs), Einwilligungsnachweise, Incident-Response-Dokumentation — alles was relevant ist, vollständig und aktuell bereitstellen.
-
Antwort sorgfältig formulieren
Vollständig, klar und widerspruchsfrei. Jede Aussage muss durch Dokumente belegbar sein. Wenn etwas nicht vorhanden ist, ehrlich kommunizieren und ggf. erklären, welche Maßnahmen eingeleitet wurden. Behörden schätzen Transparenz mehr als perfekte Dokumentation.
-
Frist einhalten
Fristen der Aufsichtsbehörde sind absolut einzuhalten. Falls die Frist nicht realistisch ist, sofort Fristverlängerung beantragen — begründet und proaktiv. Behörden gewähren Fristverlängerungen in der Regel, wenn der Antrag zeitnah und plausibel begründet gestellt wird.
-
Weitere Kommunikation mit der Behörde
Rückfragen der Behörde vollständig und zeitnah beantworten. Den Kommunikationskanal beibehalten, den die Behörde gewählt hat. Bei persönlichen Terminen oder Begehungen: DSB und ggf. Anwalt dabei.
-
Abhilfemaßnahmen bei festgestellten Verstößen
Wenn die Behörde Verstöße feststellt und Abhilfemaßnahmen fordert, diese unverzüglich umsetzen und den Nachweis der Umsetzung an die Behörde übermitteln. Das zeigt Compliance-Bereitschaft und kann die Sanktion erheblich mildern.
- Verzeichnis von Verarbeitungstätigkeiten (VVT) — vollständig und aktuell
- Technische und organisatorische Maßnahmen (TOMs) — schriftlich dokumentiert
- Datenschutzerklärungen — für alle relevanten Kanäle (Website, App, interne Verarbeitung)
- Auftragsverarbeitungsverträge (AVVs) mit allen relevanten Dienstleistern
- Einwilligungsnachweise — wie und wann Einwilligungen eingeholt wurden
- Dokumentation von Datenpannen (auch nicht gemeldete)
- Bestellungsurkunde des Datenschutzbeauftragten (falls bestellt)
- Datenschutz-Folgenabschätzungen für hochriskante Verarbeitungen
Nach Abschluss der Prüfung gibt die Behörde eine Rückmeldung. Mögliche Ausgänge: Einstellung des Verfahrens ohne Beanstandung — das Unternehmen ist nachweislich compliant. Verwarnung ohne Bußgeld — Verstöße wurden festgestellt, aber die Behörde sieht von einer Geldbuße ab, oft weil das Unternehmen kooperativ war und Abhilfemaßnahmen eingeleitet hat. Anordnung — die Behörde verpflichtet zur Umsetzung bestimmter Maßnahmen innerhalb einer Frist. Bußgeld — bei schwerwiegenden oder wiederholten Verstößen. Alle Entscheidungen der Behörde sind schriftlich und mit Rechtsbehelfsbelehrung — Widerspruch und Klage sind möglich.
Wir prüfen Ihre Datenschutzdokumentation auf Vollständigkeit und Prüfungsreife — bevor es die Behörde tut.
Datenschutz-Dokumentation prüfen lassenHäufige Fragen
Muss ich bei einer Datenschutzbehörden-Prüfung alles offenlegen?
Kann eine Datenschutzbehörden-Prüfung ohne Vorwarnung stattfinden?
Was ist das schlimmstmögliche Ergebnis einer Behördenprüfung?
Brauche ich einen Anwalt bei einer Datenschutzbehörden-Prüfung?
War dieser Artikel hilfreich?