Die DS-GVO als Risiko für den Jahresabschluss

Die hohen Bußgeldrahmen der Datenschutz-Grundverordnung (DS-GVO) verschärfen die wirtschaftlichen Risiken für Unternehmen deutlich. Die Umsetzung der DS-GVO-Vorgaben ist auch vom Wirtschaftsprüfer im Rahmen der Jahresabschlussprüfung eines Unternehmens zu berücksichtigen.

Seit Geltung der DS-GVO werden Unternehmen eine Vielzahl neuer, bußgeldbewehrter Informations-, Transparenz- und Rechenschaftspflichten auferlegt. Ein Gradmesser für deren Umsetzung ist der Jahresabschluss: Eine mangelhafte Implementierung der neuen datenschutzrechtlichen Vorgaben wirkt sich auf die Abschlussprüfung aus. Denn ab einer bestimmten Größe sind Kapitalgesellschaften dazu verpflichtet, ihrem Jahresabschluss einen Lagebericht beizufügen, aus dem sich die Chancen und Risiken der künftigen Entwicklung des Unternehmens ergeben. Sollte das Unternehmen Defizite bei der Umsetzung der DS-GVO aufweisen, ist dies – wie beispielsweise auch im Hinblick auf kartell-, steuer- oder korruptionsrechtliche Themen – entsprechend zu vermerken.

Angesichts des signifikanten Risikopotentials durch die DS-GVO ist das Thema Datenschutz zu einem festen Bestandteil des unternehmensinternen Risikomanagementsystems zu machen – nicht nur, um auf eine etwaige Kontrolle durch die Landesdatenschutzbehörde vorbereitet zu sein, sondern auch, um negative Feststellungen in der Jahresabschlussprüfung zu vermeiden. Es ist davon auszugehen, dass sich die Prüfer an den Prüfungshinweisen des Instituts für Wirtschaftsprüfer (IDW) für Prüfungen nach der DS-GVO und dem Bundesdatenschutzgesetz (IDW PH 9.860.1) orientieren werden, so dass die Thematik im Bereich der Abschlussprüfung voraussichtlich nicht unberücksichtigt bleiben wird. Vermerkt der Abschlussprüfer, dass den Anforderungen des Datenschutzrechts im Unternehmen nicht entsprochen wird, kann dies zur Folge haben, dass Rückstellungen im Hinblick auf die Kosten für die Umsetzung und mögliche Bußgelder zu bilden sind. Auf Geschäftsleitungsebene ist der Datenschutz mit hoher Priorität zu behandeln.

Vor diesem Hintergrund werden nicht nur Unternehmen, sondern auch die zuständigen Datenschutzbehörden auf die ersten Jahresabschlüsse unter Geltung der DS-GVO blicken.