Ein interner oder externer Datenschutzbeauftragter berät den Verantwortlichen nur.
Ein Verzeichnis von Verarbeitungstätigkeiten zeigt bestenfalls die Applikationen, Excel- und weitere Dateien, Datenbanktabellen etc. auf, bei denen die Aufsichtbehörde im Falle des Falles beginnen könnte.

Um strukturelle DSGVO-Verstöße zu beheben, sollten die personenbezogenen Attribute möglichst redundanzfrei gemacht werden und müssen Methoden zur Anzeige, Änderung, Löschung, zeitlichen Kontrolle etc. nachgerüstet werden.

Die Hauptarbeit liegt also darin, die Datenbestände, deren Speicherung und deren Verarbeitung DSGVO-gerecht anzupassen.

Die EU-DSGVO ist schon seit 26.05.2016 in Kraft.
Am 25.05.2018 wurden auch die Sanktionen scharfgeschaltet.

Und falls Sie gerade mal Ihre Website-Datenschutzerklärung geschafft haben, aber Ihre EDV noch nicht so ganz EU-DSGVO-konform ist?:
Dann werden Sie bei den Funktionen anfangen, die Ihnen am meisten Sorgen bereiten: Z.B. Auskünfte zu den gespeicherten Daten eines Betroffenen werden ab Ende Mai massiv auf Sie zukommen. Sie sollten diese innerhalb eines Monats beantworten können, und zwar in einem interoperablen Format - das geht nur noch automatisiert und ist eine Herausforderung für Ihre Entwickler, bei der ich  mich gern nützlich mache mit meiner Erfahrung in UML- und Datenmodellierung, IT-Reverse-Engineering, Java-Architekturen und lange auch in der Programmierung.