Auslagerung in der Wirtschaftsprüfung

Warum externe Dienstleister Verantwortung nicht ersetzen

10. April 2019 - Cloud-Systeme, externe IT-Wartung oder digitale Datenverarbeitung gehören inzwischen auch in Wirtschaftsprüfungspraxen zum Alltag. Kaum eine Kanzlei arbeitet heute noch vollständig mit eigener Infrastruktur. Daten liegen auf externen Servern, Software wird von Drittanbietern betreut und zahlreiche Prozesse laufen digital über externe Systeme.

Mit dieser Entwicklung stellt sich jedoch eine zentrale Frage: Wie lassen sich Effizienz und Digitalisierung mit den hohen Anforderungen an Vertraulichkeit und Berufsrecht vereinbaren?

Mit § 50a der Wirtschaftsprüferordnung (WPO) hat der Gesetzgeber hierfür einen rechtlichen Rahmen geschaffen. Wirtschaftsprüferinnen und Wirtschaftsprüfer dürfen bestimmte Tätigkeiten an externe Dienstleister auslagern. Gleichzeitig bleibt die Verantwortung jedoch weiterhin bei der Praxis selbst. Genau darin liegt die eigentliche Herausforderung.

Was § 50a WPO regelt

Der § 50a WPO erlaubt es Wirtschaftsprüfern grundsätzlich, vertrauliche Informationen an externe Dienstleister weiterzugeben, wenn dies für die jeweilige Dienstleistung erforderlich ist. Dazu zählen beispielsweise IT-Dienstleistungen, Cloud-Lösungen oder technische Wartungsarbeiten.

Die Möglichkeit zur Auslagerung bedeutet allerdings keinen Kontrollverlust über berufsrechtliche Pflichten. Wirtschaftsprüfer bleiben weiterhin dafür verantwortlich, dass Vertraulichkeit, Datenschutz und Geheimnisschutz eingehalten werden.

Deshalb müssen bereits bei der Auswahl und vertraglichen Gestaltung von Dienstleistern klare Anforderungen erfüllt werden. Entscheidend ist unter anderem:

• Welche Leistungen konkret ausgelagert werden
• Welche Schutzmaßnahmen der Dienstleister gewährleisten muss
• Welche Kontroll- und Zugriffsrechte die Praxis behält
• Wie Vertraulichkeit und Datenschutz vertraglich abgesichert werden

Zur praktischen Umsetzung stellt das Institut der Wirtschaftsprüfer (IDW) entsprechende Arbeitshilfen und Musterklauseln zur Verfügung, die Wirtschaftsprüfungspraxen bei der rechtssicheren Gestaltung unterstützen sollen.

Besondere Anforderungen bei ausländischen Dienstleistern

Komplexer wird die Situation, wenn externe Dienstleister im Ausland sitzen. In diesen Fällen stellt sich insbesondere die Frage, ob der dortige Geheimnis- und Datenschutz mit dem deutschen Schutzniveau vergleichbar ist.

Innerhalb der Europäischen Union bestehen dafür grundsätzlich gute Voraussetzungen. Die Datenschutz-Grundverordnung (DSGVO) schafft seit 2018 einen weitgehend einheitlichen europäischen Datenschutzrahmen und erleichtert damit viele grenzüberschreitende Dienstleistungen.

Gleichzeitig gibt es Situationen, in denen die Vergleichbarkeit des Geheimnisschutzes rechtlich weniger relevant ist. Das betrifft beispielsweise bestimmte Fernwartungszugriffe oder Daten, die ohne zusätzliche Informationen kaum verständlich sind. Auch zu diesen Konstellationen hat das IDW praxisorientierte Hinweise veröffentlicht.

Warum das Thema häufig unterschätzt wird

Technische Prozesse verändern sich kontinuierlich. Gerade der Beruf von Wirtschaftsprüferinnen und Wirtschaftsprüfern basiert in besonderem Maß auf Vertrauen und Vertraulichkeit. Mandanten müssen sich darauf verlassen können, dass sensible Unternehmensdaten geschützt bleiben, unabhängig davon, ob diese intern verarbeitet oder extern gespeichert werden. Deshalb sind die gesetzlichen Vorgaben zur Auslagerung weit mehr als reine Bürokratie. Sie dienen dazu, die Kontrolle über vertrauliche Informationen auch dann zu sichern, wenn technische Prozesse längst außerhalb der eigenen Praxis stattfinden.