Konzernabschlussprüfung § 317 HGB: Konzernunterlagen pseudonymisieren – DSGVO-konform anonymisieren (§ 317 HGB)
Die Konzernabschlussprüfung nach § 317 HGB ist eine gesetzliche Pflichtprüfung des nach § 290 HGB aufstellungspflichtigen Konzernabschlusses und umfasst Reporting Packages, Konsolidierungsunterlagen und Intercompany-Nachweise mehrerer Tochtergesellschaften mit Personendaten. Bei kapitalmarktorientierten Unternehmen schreibt die EU-Verordnung 537/2014 eine Prüferrotation nach spätestens 10 Jahren vor. anonym.legal pseudonymisiert diese Daten konzernweit konsistent, ohne Beschäftigte und Geschäftspartner offenzulegen.
When this applies
Die Prüfung des Konzernabschlusses nach § 317 HGB erstreckt sich auf die in den Konzernabschluss einbezogenen Tochtergesellschaften. In dieser Phase liefern die Einheiten Reporting Packages, Konsolidierungsbuchungen und Nachweise zu Intercompany-Beziehungen an die Konzernzentrale und das Konzernprüfungsteam. Die Unabhängigkeit des Abschlussprüfers ist nach § 319a HGB gefährdet, wenn Honorare aus einem einzelnen Unternehmen mehr als 30 % der gesamten Jahreseinnahmen des Prüfers ausmachen. Weil diese Unterlagen länderübergreifend Namen von Beschäftigten, Geschäftsführern und Geschäftspartnern enthalten, entsteht der Bedarf, Personendaten konzernweit einheitlich zu schützen, während Salden und Konsolidierungssachverhalte vollständig erhalten bleiben.
How anonym.legal handles it
- Reporting Packages, Konsolidierungsunterlagen und Intercompany-Nachweise der Tochtergesellschaften werden im Originalformat in anonym.legal eingelesen.
- Die Engine durchsucht die Unterlagen aller Einheiten und erkennt Namen, Funktionen und Kontodaten aus über 267 unterstützten Entitätstypen.
- Die Beteiligten werden konzernweit konsistent pseudonymisiert, sodass dieselbe Person über alle Tochtergesellschaften und Reporting Packages hinweg eindeutig zugeordnet bleibt.
- Salden, Konsolidierungsbuchungen und Intercompany-Sachverhalte ohne Personenbezug bleiben im Klartext erhalten, damit die Konsolidierung prüfbar bleibt.
- Die Zuordnung von Pseudonym zu Klarname wird einheitlich in einer verschlüsselten Mapping-Tabelle mit EU-Datenresidenz festgehalten.
- Die anonymisierten Unterlagen werden im Konzernprüfungsdatenraum bereitgestellt und nur bei berechtigter Anforderung des Konzernabschlussprüfers re-identifiziert.
What you provide
- Reporting Packages der einbezogenen Tochtergesellschaften
- Konsolidierungsunterlagen und Überleitungsrechnungen
- Intercompany-Nachweise und Saldenabstimmungen
- Liste der einbezogenen Einheiten und Ansprechpartner
Limitations & cautions
- anonym.legal trifft keine Prüfungsaussage; das Konzernprüfungsurteil verantwortet allein der Wirtschaftsprüfer nach § 322 HGB.
- Die Abgrenzung des Konsolidierungskreises und die Vollständigkeit der einbezogenen Einheiten liegen in Ihrer Verantwortung.
- Die konzernweite Konsistenz setzt voraus, dass alle Einheiten dieselbe Mapping-Tabelle nutzen; die Schlüsselverwahrung obliegt Ihnen.
- Verstöße gegen DSGVO-Pflichten bei der Verarbeitung personenbezogener Prüfungsdaten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes geahndet werden.
FAQ
Wann gilt die externe Rotationspflicht für den Konzernabschlussprüfer?
Gemäß der EU-Abschlussprüferverordnung 537/2014 gilt für kapitalmarktorientierte Unternehmen (PIEs) eine Rotationspflicht nach spätestens 10 Jahren; mit Joint Audit verlängert sich die Frist auf maximal 24 Jahre. Die APAS (Abschlussprüferaufsichtsstelle) überwacht seit 2016 die Einhaltung dieser Vorschriften in Deutschland. Für nicht kapitalmarktorientierte Konzerne gilt die Rotationspflicht der EU-Verordnung nicht.
Wird dieselbe Person über mehrere Tochtergesellschaften hinweg gleich pseudonymisiert?
Ja, die Pseudonymisierung erfolgt konzernweit konsistent über eine gemeinsame Mapping-Tabelle. Dieselbe Person erhält in jeder Einheit dasselbe Pseudonym, sodass Intercompany-Bezüge nachvollziehbar bleiben. So bleiben Konsolidierungssachverhalte über alle Reporting Packages hinweg prüfbar.
Bleiben Intercompany-Salden für die Konsolidierung lesbar?
Ja, Salden, Buchungen und Sachverhalte ohne Personenbezug bleiben vollständig im Klartext. Nur personenbezogene Daten werden pseudonymisiert. Die Zahlenbasis der Konsolidierung verändert sich dadurch nicht.
Können Unterlagen aus dem EU-Ausland einbezogen werden?
Ja, die Verarbeitung und Speicherung erfolgt mit EU-Datenresidenz und ist auf DSGVO-Konformität nach Art. 6 Abs. 1 lit. c DSGVO ausgelegt. Reporting Packages aus mehreren Einheiten lassen sich so im selben Datenraum zusammenführen. Nicht automatisch erkannte Angaben können Sie zusätzlich manuell markieren.