Re-Audit per Magic-Link: warum DSGVO-Tools 2026 Login-frei sein sollten

Inhalt in Kürze

• Ein Link statt eines Logins: Wer ein Audit beantworten soll, bekommt eine Mail mit einem persönlichen Link und braucht kein Konto.
• Vorjahresantworten übernehmen: Beim Re-Audit stehen die alten Antworten bei jeder Frage. Ein Klick übernimmt alle, danach ändert man nur, was nicht mehr stimmt.
• Fünf automatische Stufen: Erinnerungen 30, 14 und 3 Tage vor dem Termin, Eskalation 3 und 14 Tage danach.
• Sicherheit hängt an wenigen Regeln: nicht erratbare Kennung, nur HTTPS, Frist, enger Zweck und Kontrolle darüber, wer den Link hat.

Stand: November 2026 · Autor: Jens Hagel · Lesezeit: 7 Minuten

Ein Audit ist schnell gemacht. Das zweite, ein oder zwei Jahre später, scheitert oft an einer Kleinigkeit: Die Person, die antworten soll, hat kein Konto im Werkzeug, kennt ihr Passwort nicht mehr oder sitzt bei einem Dienstleister. Die Mail mit „Bitte melden Sie sich an“ bleibt liegen, die Erinnerung auch. Dieser Artikel zeigt, wie ein Re-Audit ohne Login funktioniert, welche Sicherheitsregeln dabei gelten und wie wir es in Hugo DSB umgesetzt haben.

Warum Login-Pflicht Re-Audits ausbremst

Stellen Sie sich vor: Ihr externer Datenschutzbeauftragter schreibt im November. „Bitte melden Sie sich in unserem Audit-Werkzeug an, Ihre Zugangsdaten haben Sie im April bekommen.“ Sie haben drei Termine an dem Tag. Das Passwort müssten Sie zurücksetzen. Sie verschieben es auf morgen, und morgen ist es vergessen.

Dazu kommt: Viele Fragen beantwortet gar nicht die Person mit dem Konto. Die Fragen zur IT kennt der IT-Dienstleister, die zur Personalakte die Personalabteilung. Für jede dieser Personen ein Konto anzulegen, lohnt sich für ein Audit im Jahr nicht.

So funktioniert ein Audit-Link

Magic-Links kennen viele aus der Anmeldung bei Werkzeugen wie Slack oder Notion. Für ein Audit läuft es so:

1. Link erzeugen: Der Server erzeugt eine lange, zufällige Kennung und speichert sie zusammen mit dem Audit, den freigegebenen Fragen, der Empfängeradresse und einer Frist.
2. Mail verschicken: Die Kennung steckt in der Adresse, bei Hugo zum Beispiel app.fraghugo.de/pruefen/…. Die Mail sagt, von wem die Bitte kommt, worum es geht und bis wann.
3. Öffnen und prüfen: Bei jedem Aufruf prüft der Server, ob der Link existiert, ob er abgelaufen, zurückgezogen oder schon eingereicht ist.
4. Beantworten: Jede Antwort wird sofort gespeichert. Man kann unterbrechen und über denselben Link weitermachen.
5. Einreichen: Erst wenn alle Fragen beantwortet sind, lässt sich einreichen. Danach ist der Link geschlossen, und der Auftraggeber bekommt eine Nachricht.

Ein Link, der sich nach dem ersten Klick selbst entwertet, klingt sicherer. Für ein Audit ist er unpraktisch: Wer nach zehn Fragen unterbrochen wird, stünde vor einer gesperrten Seite. Bei Hugo bleibt der Link deshalb bis zum Einreichen oder bis zum Fristende nutzbar.

Vorjahresantworten als Ausgangspunkt

Ein Re-Audit fragt meist dasselbe wie das letzte Audit. Ein leerer Bogen zwingt dazu, alles neu zu durchdenken, auch das, was sich nicht geändert hat. Besser ist es, bei jeder Frage die alte Antwort zu zeigen:

• Letztes Mal: Ja. Stimmt das noch, genügt ein Klick.
• Letztes Mal: Nein oder Teilweise. Hier lohnt der zweite Blick: Ist die Maßnahme inzwischen umgesetzt?
• Alle übernehmen. Ein Knopf übernimmt alle alten Antworten auf einmal. Danach ändert man nur die Fragen, bei denen sich etwas getan hat.

Wer im letzten Jahr 80 Fragen beantwortet hat, arbeitet so nicht 80 Fragen durch, sondern die zehn, bei denen sich etwas bewegt hat. Mehr zum Funktionsumfang von Audit-Werkzeugen im Datenschutz-Audit-Software-Vergleich 2026.

Fünf Erinnerungsstufen

Ein Audit-Zyklus funktioniert nicht nach dem Muster „einmal schicken und hoffen“. In Hugo DSB legen Sie beim Start eines Audits fest, nach wie vielen Monaten es wiederholt wird. Ab dann laufen die Erinnerungen automatisch, und mit jedem Abschluss rückt der nächste Termin nach:

Sind die Fragen schon beantwortet, weisen die Erinnerungen nur noch auf den Abschluss in der App hin. Dort werden Punkte berechnet und Maßnahmen aus den offenen Punkten angelegt.

Fragen gezielt an andere geben

Der zweite Anwendungsfall ist alltäglicher: Im laufenden Audit stößt man auf Fragen, die jemand anderes besser beantworten kann. In Hugo DSB wählen Sie dafür im Audit „Fragen an Externe senden“, markieren die Fragen, tragen Adresse und Frist ein, und die Person bekommt einen Link nur zu diesen Fragen.

Im Audit sehen Sie danach, ob der Link geöffnet und ob er eingereicht wurde. Antworten, die über einen Link kamen, sind gekennzeichnet. Ändern Sie eine davon in der App, gilt sie als Ihre eigene.

Sicherheit und Art. 32 DSGVO

Ein Link ohne Login ist so sicher wie das Postfach, in dem er landet. Das ist kein Grund gegen ihn, aber ein Grund für klare Regeln. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für Audit-Links heißt das:

• Nicht erratbare Kennung: lang und aus einem kryptographischen Zufallsgenerator. Bei Hugo sind es 64 Zeichen.
• Nur HTTPS: Der Link wird ausschließlich verschlüsselt übertragen.
• Enger Zweck: Der Link öffnet nur die freigegebenen Fragen dieses einen Audits, keine anderen Daten des Unternehmens.
• Frist und Abschluss: Nach Fristende oder nach dem Einreichen ist der Link geschlossen.
• Bewusster Empfänger: Schicken Sie Links nur an Personen, die für Ihr Unternehmen antworten dürfen, und bitten Sie sie, den Link nicht weiterzuleiten.
• Nachvollziehbarkeit: Erstellt, zuletzt geöffnet und eingereicht stehen mit Zeitpunkt im Audit.

Für ein Audit mit besonders sensiblen Inhalten, etwa zu Gesundheitsdaten von Beschäftigten, kann ein Login trotzdem die bessere Wahl sein. Die Entscheidung gehört in Ihre Risikobewertung.

Aus der Praxis

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Wo Links ohne Login sonst sinnvoll sind

Das Muster passt überall, wo jemand außerhalb des Werkzeugs einmalig etwas beantworten oder lesen soll:

• Antworten auf Betroffenenanfragen: Die Person ruft die Antwort über einen geschützten Link ab, statt sie als Mailanhang zu bekommen. Mehr im DSAR-Portal-Vergleich.
• Jahresbericht teilen: Ein Lese-Link für die Geschäftsleitung, 30 Tage gültig. Mehr im Artikel zum DSB-Tätigkeitsbericht.
• Fragen an Dienstleister: IT-Dienstleister oder Personalabteilung beantworten ihren Teil eines Audits, ohne dass Sie Konten verwalten.

Fazit: Ihr nächster Schritt

Wenn Sie ein Audit-Werkzeug auswählen, fragen Sie nicht nur nach den Fragenkatalogen. Fragen Sie, wie die Antwortenden zum Fragebogen kommen, ob sie die Antworten vom letzten Mal sehen und wer erinnert wird, wenn nichts passiert.

Häufige Fragen (FAQ)

Was ist ein Magic-Link?

Ein persönlicher Link mit einer langen Zufallskennung, der per E-Mail verschickt wird. Wer ihn öffnet, kommt direkt zum Formular, ohne Passwort und ohne Konto. Der Link ist befristet und lässt sich nur für die Aufgabe nutzen, für die er erstellt wurde.

Wie sicher ist ein Audit-Link ohne Login?

So sicher wie das Postfach, in dem er landet. Entscheidend sind eine nicht erratbare Kennung, eine Übertragung nur per HTTPS, eine Frist und ein enger Zweck: Der Link öffnet nur die Fragen dieses Audits, nichts sonst. Ob das für Ihr Audit angemessen ist, entscheiden Sie im Rahmen von Art. 32 DSGVO nach dem Risiko der abgefragten Inhalte.

Warum antworten mehr Leute, wenn kein Login nötig ist?

Weil die erste Hürde wegfällt. Wer ein Passwort zurücksetzen oder ein Konto anlegen muss, verschiebt die Aufgabe. Ein Link in der Mail führt direkt zur ersten Frage, und jede Antwort wird sofort gespeichert. Man kann also in fünf Minuten anfangen und später weitermachen.

Was bringt die Vorjahresantwort im Re-Audit?

Bei jeder Frage steht, was beim letzten Audit geantwortet wurde. Mit einem Klick lassen sich alle alten Antworten übernehmen. Danach ändert man nur, was sich wirklich geändert hat, statt den ganzen Bogen neu auszufüllen.

Wie läuft die Erinnerung bei Hugo DSB ab?

30 Tage vor dem Termin kommt die erste Mail mit dem Link, 14 und 3 Tage vorher je eine Erinnerung. Ist das Re-Audit 3 Tage überfällig, geht eine Mail auch an die Administratoren des Unternehmens, nach 14 Tagen eine Eskalation an die Geschäftsleitung. Sind die Fragen schon beantwortet, verweisen die Erinnerungen nur noch auf den Abschluss in der App.

Stand: Ablauf, Erinnerungsstufen und Sicherheitsmerkmale am 5. November 2026 im Hugo-Code geprüft.