Im August 2018 wurde der IDW Prüfungshinweis 9.860.1 zur Prüfung der Grundsätze, Verfahren und Maßnahmen nach der EU-Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz veröffentlicht. Er enthält u.a. Beispiele für Prüfungshandlungen zur Beurteilung der Angemessenheit und Wirksamkeit der eingerichteten Grundsätze, Verfahren und Maßnahmen.

Praxis-Info!

Die EU-Datenschutz-Grundverordnung (DS-GVO) und das neue Bundesdatenschutzgesetz (BDSG) stellen Unternehmen vor die Herausforderung, ihre datenschutzrelevanten Verfahren und Maßnahmen anzupassen. Zugleich steigt der Bedarf für eine Prüfung dieser technischen und organisatorischen Verfahren und Maßnahmen durch einen Wirtschaftsprüfer.

In IDW PS 860 hat das Institut der Wirtschaftsprüfer e.V. (IDW) die Grundsätze festgelegt, nach denen IT-Prüfungen außerhalb der Abschlussprüfung durchzuführen sind, bei denen Wirtschaftsprüfer unbeschadet ihrer Eigenverantwortlichkeit die Prüfung von IT-Systemen außerhalb der Abschlussprüfung planen, durchführen sowie darüber Bericht erstatten. Um den Anforderungen sowohl der DS-GVO als auch des BDSG Rechnung zu tragen, wurde im August 2018 der IDW Prüfungshinweis 9.860.1 zur Prüfung der Grundsätze, Verfahren und Maßnahmen nach der DS-GVO und dem BDSG veröffentlicht. Der Prüfungshinweis wurde vom Fachausschuss für Informationstechnologie (FAIT) erarbeitet und verabschiedet sowie vom Hauptfachausschuss (HFA) billigend zur Kenntnis genommen.

IDW PH 9.860.1 bezieht sich sowohl auf Prüfungen einer „Erklärung zu den Grundsätzen, Verfahren und Maßnahmen nach der DSGVO und dem BDSG“ als auch auf direkte Prüfungen der etablierten datenschutzspezifischen Grundsätze, Verfahren und Maßnahmen. Die Zielsetzung einer solchen Prüfung kann eine Angemessenheitsprüfung sowie gegebenenfalls zusätzlich eine Wirksamkeitsprüfung sein. Der Prüfungshinweis umfasst Regelungen zum Gegenstand der Prüfung, zu den zu beachtenden Kriterien der datenschutzrechtlichen Vorgaben und zu den Besonderheiten bei der Auftragsannahme, bei der Prüfungsdurchführung sowie bei der Berichterstattung des Wirtschaftsprüfers. In Anlage 1 sind die Grundsätze, Verfahren und Maßnahmen, die zur Einhaltung der datenschutzrechtlichen Vorgaben festgelegt werden können bzw. sollten, ausführlich dargestellt und werden jeweils mit beispielhaften Prüfungshandlungen verknüpft, die zur Beurteilung der Angemessenheit bzw. Wirksamkeit herangezogen werden können. Die weiteren Anlagen zu IDW PH 9.860.1 enthalten Beispiele für die Formulierung von Prüfungsvermerken bzw. Prüfungsberichten, die auf Basis der vorgenommenen Prüfung erstellt werden.

WP/StB Dr. Julia Busch, Prokuristin der Dr. Kleeberg & Partner GmbH WPG StBG, München (www.kleeberg.de)

BC 1/2019 

becklink412626