Prüfprogramm Datenschutz: technische und organisatorische Maßnahmen.
Wie Sie prüfen, ob die Sicherheit der Verarbeitung personenbezogener Daten dem Risiko angemessen ist und ob die Wirksamkeit der Maßnahmen regelmäßig überprüft wird.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob Verantwortliche und Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten gewährleisten: Risikobetrachtung, Verschlüsselung und Pseudonymisierung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, Wiederherstellung nach Störungen und regelmäßige Überprüfung. Sie beurteilt außerdem, ob Beschäftigte nur auf Weisung mit Daten umgehen und ob Auftragsverarbeiter eingebunden sind.
Geltungsbereich
- Verarbeitungstätigkeiten mit personenbezogenen Daten, ausgewählt nach Risiko, und die dafür eingesetzten Systeme
- Technische Maßnahmen wie Verschlüsselung, Zugriffsschutz, Datensicherung und Protokollierung
- Organisatorische Maßnahmen wie Richtlinien, Schulung, Verpflichtungen und Prozesse für Vorfälle
- Nicht Gegenstand: Rechtmäßigkeit der Verarbeitung, Betroffenenrechte und Datenübermittlung in Drittländer, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Das Risiko für die Rechte und Freiheiten betroffener Personen wird für die Verarbeitungstätigkeiten bewertet, die Bewertung berücksichtigt Eintrittswahrscheinlichkeit und Schwere und ist aktuell. | DSGVO Art. 32(1) und (2) | Für fünf Verarbeitungstätigkeiten die Risikobewertung ansehen und ihre Aktualität sowie die Herleitung des Schutzniveaus prüfen. | Verzeichnis der Verarbeitungstätigkeiten, Risikobewertungen |
| 2 | Die Maßnahmen sind dokumentiert und stehen in angemessenem Verhältnis zum Risiko, Stand der Technik und Implementierungskosten sind berücksichtigt. | DSGVO Art. 32(1) | Maßnahmenkatalog lesen und für drei Verarbeitungstätigkeiten die Zuordnung der Maßnahmen zum Risiko nachvollziehen. | Maßnahmenkonzept, Zuordnung von Risiko und Maßnahme |
| 3 | Personenbezogene Daten werden, wo angemessen, verschlüsselt oder pseudonymisiert, bei Speicherung und Übertragung. | DSGVO Art. 32(1)(a) | Verschlüsselungseinstellungen für Datenbanken, Datensicherungen, mobile Geräte und Übertragungswege einer Stichprobe prüfen. | Konfigurationsauszüge, Konzept zu Verschlüsselung und Pseudonymisierung |
| 4 | Die Vertraulichkeit wird durch ein Berechtigungskonzept gesichert: Zugriff nur für Befugte, nach Erforderlichkeit, mit regelmäßiger Überprüfung. | DSGVO Art. 32(1)(b); ISO/IEC 27001:2022 Anhang A 5.15 | Berechtigungen auf Systemen mit personenbezogenen Daten mit dem Konzept abgleichen und die letzte Überprüfung ansehen. | Berechtigungskonzept, Rechteauszüge, Überprüfungsprotokoll |
| 5 | Integrität der Daten und Systeme wird gesichert, etwa durch Änderungsschutz, Protokollierung und Prüfung auf unbefugte Veränderung. | DSGVO Art. 32(1)(b); ISO/IEC 27001:2022 Anhang A 8.15 | Protokollierung von Änderungen an Datenbeständen und Schutz der Protokolle in zwei Systemen prüfen. | Protokollkonfiguration, Auswertungen |
| 6 | Verfügbarkeit und Belastbarkeit der Systeme sind durch Redundanz, Kapazitätsplanung und Schutz vor Schadsoftware gesichert. | DSGVO Art. 32(1)(b); BSI OPS.1.1.4 | Verfügbarkeitsanforderungen mit der technischen Umsetzung vergleichen und die Abdeckung des Schutzes vor Schadsoftware prüfen. | Architekturübersicht, Verfügbarkeitsberichte, Abdeckung der Schutzsoftware |
| 7 | Nach einem physischen oder technischen Zwischenfall können Verfügbarkeit und Zugang zu den Daten rasch wiederhergestellt werden; die Wiederherstellung wird getestet. | DSGVO Art. 32(1)(c) | Datensicherungs- und Wiederherstellungskonzept lesen und die Ergebnisse des letzten Wiederherstellungstests ansehen. | Sicherungskonzept, Protokoll des Wiederherstellungstests |
| 8 | Die Wirksamkeit der Maßnahmen wird in einem festgelegten Verfahren regelmäßig überprüft, bewertet und evaluiert; Ergebnisse führen zu Maßnahmen. | DSGVO Art. 32(1)(d) | Prüfplan und Berichte der letzten zwölf Monate ansehen und die Umsetzung der Maßnahmen verfolgen. | Prüfplan, Berichte interner und externer Prüfungen, Maßnahmenliste |
| 9 | Personen, die Zugang zu personenbezogenen Daten haben, verarbeiten sie nur auf Weisung und sind zur Vertraulichkeit verpflichtet und geschult. | DSGVO Art. 32(4) | Verpflichtungserklärungen und Schulungsnachweise einer Stichprobe von Beschäftigten prüfen. | Verpflichtungserklärungen, Schulungsnachweise, Weisungen |
| 10 | Mit Auftragsverarbeitern bestehen Verträge, die technische und organisatorische Maßnahmen, Weisungsbindung, Unterauftragsverhältnisse und Kontrollrechte regeln. | DSGVO Art. 28(1) und (3) | Verträge von drei Auftragsverarbeitern anhand einer Checkliste durchsehen und die Anlagen zu den Maßnahmen mit der Praxis abgleichen. | Verträge zur Auftragsverarbeitung, Anlagen zu Maßnahmen, Checkliste |
| 11 | Die Einhaltung durch Auftragsverarbeiter wird kontrolliert, etwa anhand von Nachweisen oder Prüfungen. | DSGVO Art. 28(3)(h) | Nachweise und Kontrollen der letzten zwölf Monate für wesentliche Auftragsverarbeiter ansehen. | Zertifikate, Prüfberichte, Protokolle von Kontrollen |
| 12 | Verletzungen des Schutzes personenbezogener Daten werden erkannt, dokumentiert und fristgerecht bewertet und gemeldet. | DSGVO Art. 33(1) und (5) | Verfahren zu Datenpannen prüfen und Dokumentation sowie Meldungen der letzten zwölf Monate ansehen. | Verfahren, Dokumentation der Verletzungen, Meldungen |
Unterlagen zur Anforderung
- Verzeichnis der Verarbeitungstätigkeiten
- Risikobewertungen zu den Verarbeitungstätigkeiten der Stichprobe
- Maßnahmenkonzept mit Zuordnung zum Risiko
- Berechtigungskonzept und Rechteauszüge
- Verschlüsselungs- und Pseudonymisierungskonzept
- Sicherungskonzept und Protokoll des letzten Wiederherstellungstests
- Verträge zur Auftragsverarbeitung mit Anlagen
- Prüfpläne und Berichte der Überprüfung der Maßnahmen
Typische Feststellungen
- Die Maßnahmen sind nicht an das Risiko der Verarbeitungstätigkeit angebunden, es gibt ein Standardpaket für alle.
- Das Berechtigungskonzept ist nicht umgesetzt, auf Datenbestände mit personenbezogenen Daten greifen zu viele Personen zu.
- Datensicherungen sind nicht verschlüsselt, Wiederherstellungstests fehlen.
- Die Wirksamkeit der Maßnahmen wird nicht regelmäßig überprüft.
- Anlagen zu den technischen und organisatorischen Maßnahmen bei Auftragsverarbeitern sind veraltet oder allgemein gehalten.
- Beschäftigte sind nicht nachweislich verpflichtet und geschult.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen