Datenschutzinformation
für Betroffene
KPMG AG Wirtschaftsprüfungsgesellschaft

www.kpmg.deDatenschutzinformat ion für Betroffene

Die KPMG AG Wirtschaftsprüfungsgesellschaft (KPMG) setzt die Vorgaben der Europäischen
Datenschutz-Grundverordnung (EU DS-GVO) und sonstige rechtliche Anforderungen zum Schutz
personenbezogener
Datenum.
Insbesondere
sind
technische
undorganisatorische
Sicherheitsmaßnahmen implementiert, die den aktuellen Sicherheitsstandards entsprechen.
Mit den nachfolgenden Datenschutzhinweisen informieren wir über die Verarbeitung personenbezogener
Daten durch KPMG im Rahmen unserer allgemeinen Geschäftstätigkeit und zum Zwecke derLeistungserbringung im Mandatsverhältnis sowie über die Betroffenenrechte:

1.

Wer ist für die Datenverarbeitung verantwortlich?
KPMG AG Wirtschaftsprüfungsgesellschaft
Heidestraße 58
10557 Berlin
Telefon: +49 30 2068-0
Fax: +49 30 2068-2000
E-Mail: information@kpm g.de2.

Wie erreiche ich den Datenschutzbeauftragten?
Entweder unter der unter 1. genannten Post-Adresseoder per E-Mail (Adresse: de-datenschutz@kpmg.com).

3.

Welche personenbezogenen Daten verarbeiten wir?
Unter dem Begriff „personenbezogene Daten“ in diesem Dokument sind personenbezogene
Daten im Sinne der Definition des Art. 4 Nr. 1 EU DS-GVO zu verstehen. Dies sind alle
Informationen, die sich auf einen Menschen (eine natürliche Person) beziehen und mit denen
dieser Mensch direkt oder indirekt identifiziert werden kann.
Im Rahmen unserer allgemeinen Geschäftstätigkeit und zum Zwecke der Leistungserbringung fürunsere Mandanten verarbeiten wir in der Regel neben Kontaktdaten wie Name, Anschrift,
Telefonnummer und E-Mail-Adresse auch Informationen wie Bankdaten und Zahlungsdaten,
außerdem ggf. weitere Angaben zu persönlichen und beruflichen Verhältnissen, soweit diese fürdie Leistungserbringung eine Rolle spielen.
In vielen Fällen ist es im Rahmen unserer Tätigkeiten nicht möglich bzw. unverhältnismäßig, mit
anonymisierten oder pseudonymisierten Daten zu arbeiten. Auch aufgrund gesetzlicher undberufsrechtlicher Vorgaben sind wir verpflichtet, bestimmte personenbezogene Daten einerPerson,
z.B. zur Umsetzung der Verpflichtungen aus dem Geldwäschegesetz sowie
berufsrechtlicher Unabhängigkeitsanforderungen, zu verarbeiten.

© 2024 KPMG AG Wirtschaftsprüfungsgesellschaft, eine Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG -Organisation unabhängiger Mitgliedsfirmen,
die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalt en. Der Name KPMG und das Logo sind Marken,
die die unabhängigen Mitgliedsfirmen der globalen KPMG-Organisation unter Lizenz verwenden.

2Datenschutzinformat ion für Betroffene

4.

Zu welchem Zweck verarbeiten wir personenbezogene Daten und auf welcher rechtlichen
Grundlage?
Als Wirtschaftsprüfungsgesellschaft verarbeiten wir personenbezogene Daten im Rahmen unserer
allgemeinen Geschäftstätigkeit und zum Zwecke der Leistungserbringung für unsere Mandanten
in den Bereichen Wirtschaftsprüfung, Steuerberatung und Unternehmensberatung (§ 2 WPO)
aufgrund einer der nachfolgend aufgeführten Rechtsgrundlagen:a)Einwilligung des Betroffenen (Art. 6 Abs. 1 S.1 lit. a), Art. 7 EU DS-GVO)
Bei bestimmten fachlichen Leistungen (z.B. Steuerberatung für ins Ausland entsendeteMitarbeiter) und Tätigkeiten aus dem Bereich unserer allgemeinen Geschäftstätigkeit (z.B.
KPMG-Newsletter) stützt KPMG die Verarbeitung personenbezogener Daten auf eine
informierte Einwilligung des Betroffenen, die ausdrücklich von diesem eingeholt wird.

b)Erfüllung vertraglicher Pflichten (Art. 6 Abs. 1 S. 1 lit. b) EU DS-GVO)
Die Verarbeitung personenbezogener Daten erfolgt zur Durchführung eines Vertrages bzw.
bereits bei Anbahnung eines Vertragsverhältnisses mit einer natürlichen Person. Umfang undEinzelheiten der Datenverarbeitung ergeben sich aus dem jeweiligen Vertrag undgegebenenfalls den dazugehörigen Auftragsbedingungen.

c)

Erfüllung gesetzlicher Vorgaben (Art. 6 Abs. 1 S.1 lit. c) EU DS-GVO)
Als Wirtschaftsprüfungsgesellschaft unterliegt KPMG gesetzlichen Vorgaben, aus denen sicheine Verpflichtung zur Verarbeitung personenbezogener Daten ergeben kann (z.B.
Wirtschaftsprüferordnung, Berufssatzung für Wirtschaftsprüfer/vereidigte Buchprüfer,Geldwäschegesetz). KPMG ist auf Basis dieser Vorgaben insbesondere zur
ordnungsgemäßen Aufbewahrung und Dokumentation aller Leistungen verpflichtet undarchiviert Unterlagen und Arbeitsergebnisse in entsprechenden IT-Systemen und, soweit
erforderlich, auch in Papierform. Um unsere berufsrechtlich gebotene Unabhängigkeit zu
gewährleisten, führen wir bei der Auftragsannahme Konfliktprüfungen durch, bei denen
ebenfalls personenbezogene Kontaktdaten verarbeitet werden.

d)Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f) EU DS-GVO)
KPMG verarbeitet im Rahmen des allgemeinen Geschäftsbetriebs und zum Zwecke derLeistungserbringung für unsere Mandanten personenbezogene Daten auf Basis einerInteressensabwägung, sofern die schutzwürdigen Interessen der betroffenen Personen
nicht überwiegen. Ein konkretes Interesse von KPMG liegt hier maßgeblich in der Erbringung
unserer vertraglichen Verpflichtungen gegenüber unseren Mandanten. KPMG verarbeitet
personenbezogene Daten, die von Mandanten zur Verfügung gestellt werden, grundsätzlich
nur insoweit, wie dies für die Leistungserbringung auch tatsächlich erforderlich ist.
Zur Wahrung der schutzwürdigen Interessen der von der Datenverarbeitung durch KPMG
betroffenen Personen trägt maßgeblich bei, dass KPMG als Wirtschaftsprüfungsgesellschaft
und Berufsgeheimnisträger zwingenden gesetzlichen Bestimmungen des Berufsrechts
sowie einer Berufsaufsicht unterliegt und gehalten ist, alle Leistungen, einschließlich derdamit zusammenhängenden Verarbeitung personenbezogener Daten, unabhängig,gewissenhaft und verschwiegen zu erbringen. Alle Mitarbeiter von KPMG sind auf dieEinhaltung der datenschutzrechtlichen Vorgaben geschult und zur gebotenen Vertraulichkeit
verpflichtet. Die technischen und organisatorischen Maßnahmen von KPMG zum Schutz
personenbezogener Daten sind ISO 27001-zertifiziert.

Eine Verarbeitung von personenbezogenen Daten in Ergänzung zu den vorgenannten Zwecken(z.B. zur Optimierung und Qualitätssicherung der Mandatsbearbeitung einschließlich Training von© 2024 KPMG AG Wirtschaftsprüfungsgesellschaft, eine Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG -Organisation unabhängiger Mitgliedsfirmen,
die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalt en. Der Name KPMG und das Logo sind Marken,
die die unabhängigen Mitgliedsfirmen der globalen KPMG-Organisation unter Lizenz verwenden.

3

Datenschutzinformat ion für Betroffene

KPMG KI-Anwendungen) führt KPMG, soweit dies nicht auf anderen Rechtsvorschriften odereiner Einwilligung der Betroffenen basiert, in Übereinstimmung mit Art. 6 Abs. 4 DSGVO durch.

5.

Wem werden personenbezogene Daten offengelegt?
Unter Wahrung der gesetzlichen und berufsrechtlichen Verschwiegenheitsverpflichtungen können
folgenden Empfängern personenbezogene Daten offengelegt werden:••••

Mitgliedsgesellschaften des weltweiten KPMG-Netzwerks („KPMG International“). EineÜbersicht über alle Mitglieder von KPMG International und deren Standorte ist unter
folgendem Link zu finden.
Tochtergesellschaften oder assoziierten Unternehmen von KPMG, z.B. die KPMG ITService GmbH, die Betrieb und Steuerung der KPMGIT-Infrastruktur übernimmt.
Soweit erforderlich, Behörden, Gerichten oder anderen öffentlichen Stellen im In- undAusland.
Weiteren IT-Dienstleis tern und anderen Auftragsverarbeitern streng zweckbezogen, wie
z.B. Hosting, Cloud-Services, Aktenvernichtung, Archivierung, fachbezogene Dienstleister(z.B. im Rahmen von Steuerberatungsmandaten), Public Relations (z.B. Versand vonNewslettern, Mandanteninformationen, Studien).

Bei der Einbindung von Dienstleistern in Datenverarbeitungsprozesse von KPMG werden die
hohen KPMG-Datenschutzstandards vertraglich auf die Dienstleister übertragen. Bei
Auftragsdatenverarbeitungsverhältnissen gemäß Art. 28 EU DS-GVO werden gesetzlich normierte
Datenschutzverträge vereinbart.

6.

Werden Daten in ein Drittland oder an eine internationale Organisation übermittelt?
Eine Übermittlung personenbezogener Daten in Staaten außerhalb des EuropäischenWirtschaftsraums (EWR) findet nur statt, soweit dies im Rahmen der Mandatsbetreuung
notwendig ist, auf Basis einer Einwilligung, zur Erfüllung rechtlicher Anforderungen (z.B.
berufsrechtliche Interessenskollisionsprüfungen) oder durch Einschaltung von Auftragsverarbeitern.
Jede Mitgliedsgesellschaft von KPMG International hat sich verpflichtet, datenschutzrechtliche
Mindeststandards einzuhalten. Die wesentlichen Verpflichtungen dazu sind in der KPMGDatenschutzrichtlinie und in den Vertragsklauseln zum Datenschutz (Inter Firm Data Transfer
Agreement - IFDTA) von KPMG International enthalten. Das IFDTA enthält insbesondere auch alle
Module der aktuellen EU-Standardvertragsklauseln, die von der EU-Kommission am 4. Juni 2021
gemäß Art. 46 Abs. 2 lit. c DSGVO veröffentlicht wurden. Das IFDTA verpflichtet entsprechend
KPMG Mitgliedsgesellschaften weltweit bei nicht-EU/EWR-Datentransfers
auf dieseRegelungen.
Auch bei KPMG-externen Dienstleistern (einschließlich des Einsatzes von Cloud-Diensten)außerhalb der EU/des EWR wird das nach dem EU-Datenschutzrecht erforderliche angemessene
Datenschutzniveau durch Einhaltung der Vorgaben der Art. 45 ff. EU DS-GVO - in der Regel durch
Vereinbarung der EU- Standardvertragsklauseln (EU Model Clauses) im Sinne des Art. 46 Abs. 2lit. c) EU DS-GVO - gewährleistet.

© 2024 KPMG AG Wirtschaftsprüfungsgesellschaft, eine Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG -Organisation unabhängiger Mitgliedsfirmen,
die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalt en. Der Name KPMG und das Logo sind Marken,
die die unabhängigen Mitgliedsfirmen der globalen KPMG-Organisation unter Lizenz verwenden.

4Datenschutzinformat ion für Betroffene

7.

Wie lange werden personenbezogene Daten gespeichert?
KPMG speichert personenbezogene Daten, solange diese für die Durchführung des jeweiligen
Leistungsverhältnisses benötigt werden. Dies steht unter dem Vorbehalt gesetzlicher bzw.
berufsrechtlicher Aufbewahrungspflichten (z.B. zehn Jahre gemäß § 51b Abs. 2 WPO).

8.

Welche Datenschutzrechte haben Betroffene?
Betroffenen stehen Auskunftsrechte gemäß Art. 15 EU DS-GVO über die Verarbeitung ihrer
personenbezogenen Daten durch KPMG (falls eine Verarbeitung stattfindet, u.a. auch über denZweck der Verarbeitung, etwaige Empfänger und die voraussichtliche Dauer der Speicherung),
Rechte auf Berichtigung unrichtiger Daten (Art. 16 EU DS-GVO), Löschung (Art. 17 EU DS-GVO),
Einschränkung der Verarbeitung und Datenübertragbarkeit der eingebrachten Daten (Art. 18, 20
EU DS-GVO) sowie das Recht auf Widerspruch gegen eine Verwendung für Marketingzweckeund aufgrund einer Verarbeitung berechtigten Interesses (Art. 21 EU DS-GVO) zu. Einmal erteilte
Einwilligungen können gegenüber KPMG jederzeit mit Wirkung für die Zukunft widerrufen
werden. Zur Wahrung dieser Rechte kann sich jeder Betroffene an den Datenschutzbeauftragten
von KPMG wenden (siehe Ziff. 2). Daneben besteht auch ein Beschwerderecht bei einer
Datenschutzaufsichtsbehörde. Betroffene können ihre Beschwerde an die Behörde ihres
Wohnsitzes, grundsätzlich aber auch an jede andere Datenschutzaufsichtsbehörde richten.
Zuständige Datenschutzaufsichtsbehörde für KPMG ist die Berliner Beauftragte für Datenschutzund Informationsfreiheit.

© 2024 KPMG AG Wirtschaftsprüfungsgesellschaft, eine Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen,
die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalt en. Der Name KPMG und das Logo sind Marken,
die die unabhängigen Mitgliedsfirmen der globalen KPMG-Organisation unter Lizenz verwenden.