In 10 Fragen zur passenden Datenschutz-Auditmethode

Mit einem Datenschutz-Audit stellen Sie sicher, dass in Ihrem Unternehmen die gesetzlichen Vorgaben aus DSGVO und Co. erfüllt werden. Je nach Ihrer Zielsetzung eignen sich unterschiedliche Auditmethoden. Die folgenden 10 Fragen helfen Ihnen bei der Entscheidung, ob Sie das Audit per Fragebogen oder Interview durchführen.

Kategorie:

Datenschutzmanagement

30. Juni 2023

8 Minuten

Information zur Datenschutz-Auditmethode zur Überprüfung von Compliance

von Dennis Kurpierz, Co-Founder & COO

Audit per Interview vs. Fragebogen – so unterscheiden sich die Auditmethoden

Damit Sie sich für eine Auditmethode entscheiden können, müssen Sie den Prozess gut vorbereiten. Konkretisieren Sie dazu das Ziel und bestimmen den Umfang des Audits: Welche Prozesse möchten Sie untersuchen? Und in welche Abteilungen gilt es dafür zu blicken? Am wichtigsten ist jedoch, die Auditmethode festzulegen. Welche sich am besten eignet, hängt von verschiedenen Faktoren ab. Mithilfe der folgenden 10 Fragen finden Sie die passende Methode für Ihr Datenschutz-Audit.

1. Wie groß ist die Datenschutz-Awareness in Ihrem Unternehmen?

Wenn die Datenschutz-Awareness in Ihrem Unternehmen eher gering ist, sollten Sie die Auditmethode Interview wählen. Denn dabei haben Sie die Möglichkeit, die Befragten stärker anzuleiten und ihre Rückfragen ad hoc zu beantworten. Gibt es Verständnisprobleme aufgrund eines unbekannten Fachbegriffs? Oder benötigt ein:e Mitarbeitende:r zusätzliche Hintergrundinformationen, um eine Frage zu beantworten? Während des Interviews können Sie Unklarheiten aus dem Weg räumen, eventuell notwendige Zusatzinformationen geben und so die Grundlage dafür schaffen, dass Sie qualitativ hochwertige Antworten erhalten.

Außerdem können Sie als Interviewer:in im Gespräch mit Mitarbeitenden selbst festlegen, welche Schwerpunkte Sie setzen und an welchen Stellen Sie Nachfragen stellen möchten. So identifizieren Sie zentrale Prozesse, die aus datenschutzrechtlicher Perspektive für das Audit relevant sind.

2. Wie hoch ist die Digitalkompetenz in Ihrem Unternehmen?

Eine geringe Digitalkompetenz bei den Mitarbeitenden in Ihrem Unternehmen spricht ebenfalls dafür, das Audit per Interview durchzuführen. So können sich die Befragten ganz auf ihre Antworten konzentrieren und Sie können an den entscheidenden Punkten Hilfestellung geben und Rückfragen beantworten. Dies ist insbesondere wichtig, wenn die Mitarbeitenden nicht dafür ausgebildet sind, technische Risiken einzuschätzen. Aus diesem Grund sollten Auditor:innen selbst über eine hohe Digitalkompetenz verfügen. Das versetzt sie in die Lage, die Befragten inhaltlich und methodisch optimal zu unterstützen.

3. Möchten Sie kritische Rückfragen stellen und stark in die Tiefe gehen?

Der Interviewprozess ermöglicht kritische Rückfragen und Schleifen, bei denen ein Thema von mehreren Seiten beleuchtet wird. Dies ist einer der zentralen Vorteile gegenüber einem Datenschutz-Audit mit Fragebogen. Wenn Ihr Anspruch an das DSGVO-Audit ein echter Deep Dive ist, anstatt lediglich einen allgemeinen Eindruck zu gewinnen, eignet sich das Interview als Auditmethode am besten.

4. Soll eine große Anzahl an Personen und Abteilungen befragt werden?

Ein Audit mittels Fragebogen ist besonders tauglich dafür, eine große Anzahl an Mitarbeitenden zu befragen. Beim Erstellen des Audit-Fragebogens ist vernachlässigbar, an wie viele Personen er geschickt wird. Erst bei der Auswertung kommt die Anzahl der auditierten Personen zum Tragen. Wenn Sie ein digitales Tool mit automatisierten Auswertungen nutzen, wird dieser Faktor abgefangen.

Interviews hingegen sind mit einem größeren Aufwand verbunden, vorrangig weil sie individuell terminiert und durchgeführt werden müssen. Daher eignen sie sich eher für intensive Audits mit wenigen Personen als für Befragungen in großem Rahmen.

5. Möchten Sie vergleichbare Daten sammeln, die Sie systematisch auswerten können?

Ein Interview bietet Ihnen die Option, durch spontane Zwischenfragen stark ins Detail zu gehen. Dadurch entwickeln sich die einzelnen Gespräche jedoch teils unterschiedlich, was der Vergleichbarkeit der Antworten schadet. Durch den formalen Aufbau eines Fragebogens hingegen ist er vor allem dienlich bei einer systematische Auswertung. Gerade wenn Sie mit standardisierten Fragen und einem digitalen Tool arbeiten, fällt die Analyse eines Datenschutz-Audits mit Fragebogen extrem leicht.

6. Wie groß ist die Bereitschaft, Maßnahmen für mehr Datenschutz zu ergreifen?

Wenn die Bereitschaft der Mitarbeitenden, zusätzliche Maßnahmen für mehr Datenschutz in Ihrem Unternehmen umzusetzen, eher gering ist, ist ein Fragebogen weniger das Mittel der Wahl für das Audit: Bei einem Fragebogen fällt es leichter, Fragen oberflächlich oder ausweichend zu beantworten. Verschaffen Sie sich daher zunächst einen Überblick über die Akzeptanz für Datenschutz, bevor Sie sich für eine der beiden Auditmethoden entscheiden. Engagierte Mitarbeitende können auch bei einem schriftlichen Fragebogen qualitativ hochwertige Antworten geben, die Ihren Ansprüchen genügen.

Falls Datenschutz in Ihrem Unternehmen keinen guten Stand hat, lohnt es sich, seine Bedeutung zunächst in einem anderen Format zu vermitteln. Dies kann mit einem Vortrag oder in einem offenen Forum geschehen.

7. Möchten Sie eine unmittelbare Momentaufnahme von Prozessen im Unternehmen bekommen?

Eine unmittelbare Momentaufnahme gewinnen Sie am besten, wenn Sie die Mitarbeitenden interviewen. Dann beantworten sie Ihre Fragen nämlich direkt und intuitiv. Wenn Sie ihnen jedoch einen Fragebogen vorlegen, haben sie mehr Zeit, sich Antworten zu überlegen, die sie für richtig oder angebracht halten. Dabei besteht die Gefahr, dass diese Antworten die angestrebte ideale Praxis widerspiegeln und nicht die Realität des täglichen Geschäfts. Zudem haben die Mitarbeitenden so die Möglichkeit und die Zeit, sich untereinander abzusprechen – das könnte das Ergebnis verfälschen, auch wenn dies nicht in mutwilliger Absicht geschieht.

8. Wie viel Zeit und Ressourcen können Sie aufbringen?

Ein Interview-gestütztes Datenschutz-Audit erfordert mehr Ressourcen, als wenn Sie es mittels eines Fragebogens realisieren. Die Terminvereinbarung, die Durchführung und erst recht die Auswertung erfordern mehr Zeit, wenn das Audit mithilfe von persönlichen Gesprächen geschieht. Klären Sie daher vor der Entscheidung für eine der beiden Auditmethoden, wie viel Zeit und Ressourcen Sie aufbringen können und möchten.

9. Gibt es schwerwiegende Konflikte, für die eine Anonymisierung der Befragten nötig ist?

In manchen Fällen existieren in einem Unternehmen in Datenschutzfragen große Konflikte. Um dem Problem auf den Grund zu gehen, sollten Sie dann bei Ihrem Audit geschickt vorgehen. Eine Anonymisierung der Antworten hilft mitunter dabei, besonders ehrliche Antworten zu erhalten. So haben Mitarbeitende die Gelegenheit, auf Vergehen bestimmter Abteilungen hinweisen, ohne sich um ihre Rolle im Unternehmen sorgen zu müssen. Dieser Schutz der Identität ist nur beim Datenschutz-Audit per Fragebogen möglich.

10. Möchtest Sie ein persönliches Vertrauensverhältnis zu den Befragten aufbauen?

Gerade wenn Umstrukturierungen und Prozessänderungen zu erwarten sind, ist es oft hilfreich, ein persönliches Vertrauensverhältnis zu den betroffenen Mitarbeitenden aufzubauen. Dafür eignet sich ein Interview, bei dem Sie von Angesicht zu Angesicht mit den Personen sprechen und kommunikative Nähe erzeugen können.

Gut zu wissen:

Es macht einen Unterschied, ob Sie den Ist- oder den Soll-Zustand in Ihrem Unternehmen untersuchen. Wenn der Ist-Zustand auditiert wird, ist es sinnvoll, mit dem verantwortlichen Fachbereich in die Systeme hineinzusehen. Dann kommt es auf direkte Kommunikation und einen gemeinsam koordinierten Prozess an.

Die richtige Auditmethode für Ihre Ziele

Die genannten 10 Fragen unterstützen Sie dabei, die richtige Auditmethode für Ihr Unternehmen zu finden. Bedenken Sie dabei, dass auch eine Kombination beider Formen umsetzbar ist. Sie können sich beispielsweise erst mit einem Fragebogen einen allgemeinen Überblick verschaffen und etwaige Konfliktfelder identifizieren, die Sie danach konkret in Interviews untersuchen. Welche Auditmethode Sie wählen, hängt dabei von den Mitarbeitenden und den verfügbaren Ressourcen ab. Worauf Sie abgesehen von der passenden Auditmethode zudem achten müssen, erfahren Sie in unserem umfassenden Artikel zum Thema Datenschutz-Audit. Wichtig ist, das Ziel nicht aus den Augen zu verlieren: Prozesse datenschutzrechtlich zu optimieren und Ihr Unternehmen damit voranzubringen.

Auf dieser Seite

Primary Item (H2)

Porträt einer Person mit Bart im beruflichen Umfeld vor einer modernen Wand.

Über den Autor

Dennis Kurpierz

Co-Founder & COO von caralegal

Dennis Kurpierz ist Mitgründer und Chief Operating Officer von caralegal und kennt durch seine langjährige Erfahrung als Senior Consultant und Lead Project Manager bei der ISiCO Datenschutz GmbH die Kundenbedürfnisse sowie Pain Points und Herausforderungen im Datenschutzmanagement. Als Product Owner setzt er dieses Fachwissen in der Produktentwicklung von caralegal um.