Datenschutzrechtliche Vorschriften müssen beachtet werden
Bei der Erstellung des Jahresabschlusses nehmen Wirtschaftsprüfer Einblick in eine Vielzahl von Unternehmensunterlagen. Dabei sind auch datenschutzrechtliche Vorschriften zu beachten.
Grundsätzlich steht dem Wirtschaftsprüfer ein Einsichtsrecht nach § 320 Abs. 2 S. 1 HGB zu. Diese Norm besagt, dass der Abschlussprüfer von den gesetzlichen Vertretern alle Aufklärungen und Nachweise verlangen kann, die für eine sorgfältige Prüfung notwendig sind. In beinahe alle Unternehmensunterlagen finden sich allerdings personenbezogene Daten nach § 3 Abs. 1 BDSG, nicht nur der Kunden des Unternehmens sondern insbesondere auch der Mitarbeiter.
Auch wenn § 320 Abs. 2 S. 1 HGB dem Wirtschaftsprüfer ein gemäß den handelsrechtlichen Kommentierungen (bspw. Baumbach/Hopt, HGB, § 320) sehr umfassendes Einsichtsrecht eröffnet, ist dieses dennoch an den datenschutzrechtlichen Zulässigkeitsnormen zu messen.
Übermittlung von Daten an Wirtschaftsprüfer
Die Übergabe von Unternehmensunterlagen an Wirtschaftsprüfer ist datenschutzrechtlich als Übermittlung einzustufen. Zulässig könnte diese Übermittlung sein, wenn alle Mitarbeiter in die Übermittlung der Listen eingewilligt haben. Dies wird in der Regel nicht der Fall sein, sodass eine datenschutzrechtliche Erlaubnisnorm einschlägig sein muss. In Betracht kommt als solche § 28 Abs. 1 S. 1 Nr. 2 BDSG.
Ein berechtigtes Interesse des Unternehmens liegt in der Erstellung eines korrekten und gesetzeskonformen Jahresabschlusses. Dabei ist vor allem auch der Erforderlichkeitsgrundsatz zu beachten. Es darf kein milderes Mittel geben, mit dem der Jahresabschluss mit gleichem Erfolg erstellt werden kann.
So können für bestimmte Angaben auch anhand anonymisierter statistischer Daten nachgewiesen werden. Allerdings ist hier auch zu berücksichtigen, dass es dem Wirtschaftsprüfer selbstverständlich möglich sein muss, die statistischen Angaben zu prüfen. Unternehmen sollten beachten, dass § 320 Abs. 2 S.1 HGB kein dem BDSG vorgehendes Spezialgesetz ist, da es nicht explizit die Verarbeitung personenbezogener Daten regelt. Dies ist für die Subsidiarität des BDSG allerdings zwingend notwendig. Unternehmen sollten sich mit ihrem Datenschutzbeauftragten beraten, welche Informationen für welche Zwecke notwendig sind. Dazu sind von den Wirtschaftsprüfern vor allem die genauen Zwecke zu den angeforderten Daten einzuholen.
Datenschutzrechtliche Gründsätze beachten
Nach der heute geltenden DSGVO ist die Übermittlung personenbezogener Daten an Wirtschaftsprüfer regelmäßig auf Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zu stützen. Gleichzeitig sind die Grundsätze der Datenminimierung, Zweckbindung und Vertraulichkeit nach Art. 5 DSGVO zu beachten. Unternehmen sollten daher prüfen, welche personenbezogenen Daten für die jeweilige Prüfung tatsächlich erforderlich sind, und dem Wirtschaftsprüfer nur die Informationen zur Verfügung stellen, die für die Durchführung der Abschlussprüfung notwendig sind. Soweit möglich, können personenbezogene Angaben pseudonymisiert oder aggregiert bereitgestellt werden, ohne die Prüfbarkeit der Unterlagen zu beeinträchtigen.
Darüber hinaus sollte die Zusammenarbeit mit Wirtschaftsprüfern im Datenschutzmanagement des Unternehmens dokumentiert werden. Hierzu gehört insbesondere die Festlegung der jeweiligen datenschutzrechtlichen Rollen, die Dokumentation der Rechtsgrundlage für die Datenübermittlung sowie die Berücksichtigung der Prüfungstätigkeiten im Verzeichnis der Verarbeitungstätigkeiten. Da Wirtschaftsprüfer regelmäßig einer gesetzlichen Verschwiegenheitspflicht unterliegen, besteht zwar bereits ein hohes Schutzniveau für die verarbeiteten Informationen. Dennoch bleibt das Unternehmen verpflichtet, die Einhaltung der datenschutzrechtlichen Grundsätze während des gesamten Prüfungsprozesses sicherzustellen.
German 
English 
Italian 
French