Nachhaltigkeitsberichterstattung (CSRD) § 289b HGB: Berichtsdaten anonymisieren – DSGVO-konform anonymisieren (§ 289b HGB)
Die Nachhaltigkeitsberichterstattung nach der CSRD-Richtlinie (2022/2464/EU), umgesetzt unter anderem über § 289b HGB, ist ab dem Geschäftsjahr 2024 für große kapitalmarktorientierte Unternehmen mit mehr als 500 Beschäftigten verpflichtend und stützt sich auf Beschäftigten-, Lieferketten- und Sozialdaten mit Personenbezug. anonym.legal pseudonymisiert diese Daten, damit Berichtsentwürfe und Prüfungsnachweise geteilt werden können, ohne einzelne Beschäftigte und Geschäftspartner offenzulegen.
When this applies
Die Nachhaltigkeitsberichterstattung folgt der CSRD-Richtlinie, deren deutsche Umsetzung an Regelungen wie § 289b HGB anknüpft und eine externe Prüfung der Berichterstattung vorsieht. Ab 2026 sind auch andere große Unternehmen mit mehr als 250 Mitarbeitern sowie ab 2027 bestimmte börsennotierte KMU berichtspflichtig. In dieser Phase tragen Sie Daten zu Belegschaft, Arbeitsbedingungen und Lieferkette zusammen und stimmen Berichtsentwürfe mit dem Prüfungsteam ab. Weil diese Angaben Beschäftigte, Lieferanten-Kontakte und betroffene Personen entlang der Wertschöpfungskette benennen können, entsteht der Bedarf, Personendaten zu schützen, während die berichtspflichtigen Kennzahlen und Sachverhalte erhalten bleiben.
How anonym.legal handles it
- Datengrundlagen zu Belegschaft, Lieferkette und Sozialaspekten sowie die Berichtsentwürfe werden im Originalformat in anonym.legal eingelesen.
- Die Engine durchsucht die Unterlagen und erkennt Namen von Beschäftigten, Lieferanten-Kontakten und betroffenen Personen aus über 267 unterstützten Entitätstypen.
- Die genannten Personen werden konsistent pseudonymisiert, sodass dieselbe Person über Datengrundlagen und Berichtsentwurf hinweg eindeutig zugeordnet bleibt.
- Berichtspflichtige Kennzahlen, Sachverhalte und Angaben ohne Personenbezug bleiben im Klartext erhalten, damit die Prüfung der Nachhaltigkeitsangaben möglich bleibt.
- Die Zuordnung von Pseudonym zu Klarname wird in einer verschlüsselten Mapping-Tabelle mit EU-Datenresidenz festgehalten.
- Die anonymisierten Unterlagen werden zur Abstimmung und Prüfung bereitgestellt und nur bei berechtigter Anforderung re-identifiziert.
What you provide
- Datengrundlagen zu Belegschaft und Arbeitsbedingungen
- Angaben zur Lieferkette und zu betroffenen Personen
- Entwurf der Nachhaltigkeitsberichterstattung
- Prüfungsnachweise zu den Nachhaltigkeitsangaben
Limitations & cautions
- anonym.legal trifft keine Prüfungsaussage; die Prüfung der Nachhaltigkeitsberichterstattung (limited assurance) verantwortet allein der prüfende Wirtschaftsprüfer.
- Die CSRD ist eine europäische Richtlinie; ihre konkrete deutsche Umsetzung, der Anwendungsbereich (Einstieg ab GJ 2024 für PIE > 500 MA) und die Berichtspflichten sind eigenständig zu bestimmen und werden von der Software nicht beurteilt.
- Die Re-Identifikation setzt die sichere Verwahrung des zugehörigen Schlüssels voraus.
- Verstöße gegen DSGVO-Pflichten bei der Verarbeitung personenbezogener Prüfungsdaten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes geahndet werden.
FAQ
Welche Unternehmen sind ab wann zur CSRD-Berichterstattung verpflichtet?
Ab dem Geschäftsjahr 2024 sind große kapitalmarktorientierte Unternehmen mit mehr als 500 Beschäftigten berichtspflichtig. Ab 2026 gilt die Pflicht für weitere große Unternehmen mit mehr als 250 Mitarbeitern oder über 40 Mio. € Umsatz; ab 2027 für bestimmte börsennotierte KMU. Die externe Prüfung der Nachhaltigkeitsberichterstattung erfolgt gemäß § 289b HGB durch einen zugelassenen Wirtschaftsprüfer.
Bleiben die berichtspflichtigen Kennzahlen nach der Anonymisierung erhalten?
Ja, berichtspflichtige Kennzahlen und Sachverhalte ohne Personenbezug bleiben vollständig im Klartext. Nur personenbezogene Angaben werden pseudonymisiert. Die Datenbasis der Nachhaltigkeitsberichterstattung verändert sich dadurch nicht.
Werden Kontaktpersonen aus der Lieferkette geschützt?
Ja, Namen von Lieferanten-Kontakten und betroffenen Personen entlang der Wertschöpfungskette werden als PII erkannt und konsistent pseudonymisiert. Sie zählen zu den über 267 unterstützten Entitätstypen. Nicht automatisch erkannte Angaben können Sie zusätzlich manuell markieren.
Behauptet anonym.legal die Konformität mit der CSRD?
Nein, anonym.legal bereitet ausschließlich die Daten nach Art. 6 Abs. 1 lit. c DSGVO konform auf und trifft keine Aussage zur CSRD-Konformität. Die Beurteilung des Anwendungsbereichs und der Berichtspflichten bleibt Ihre Aufgabe. Die Prüfung der Berichterstattung verantwortet der Wirtschaftsprüfer.