Es kann zwischen Vor-Ort-Audits, Self-Audits und schriftliche Audits unterschieden werden. Bei Vor-Ort-Audits wird der Auftragsverarbeiter besucht und mittels einer vorher erstellten Checkliste hinsichtlich der organisatorischen und technischen ergriffenen Maßnahmen zur Einhaltung der Anforderungen der DSGVO geprüft. Bei einem Self-Audit verpflichtet sich der Auftragnehmer regelmäßig sich selbst zu prüfen und die Ergebnisberichte an den Auftraggeber zu senden. Bei einem schriftlichen Audit durch den Auftraggeber versendet dieser unter einer Fristsetzung (i.d.R. 3-4 Wochen) eine Checkliste mit expliziten Fragestellungen zu den, durch den Auftragnehmer ergriffenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten.