SAP-Stammdaten DSGVO-konform managen, finden, verfremden und löschen

Personenbezogene Daten finden sich in verteilten SAP-Landschaften und über Schnittstellen angebundenen Systemen an vielen Stellen. Sie zu finden, um beispielsweise Auskunftsrechten nachkommen zu können, sie zu verfremden, zu pseudonymisieren oder zu löschen sind keine einfache Aufgaben.

Wir fragten Henrik Stammer, Geschäftsführer von EPI-USE Labs, wie Unternehmen die Anforderungen der DSGVO an zentraler Stelle regeln können und welche Aspekte der Datenschutzgrundverordnung beachtet werden müssen.

Herr Stammer, wie weit sind die SAP-Anwenderunternehmen bei der Umsetzung der DSGVO?

Henrik Stammer: Seit dem 25. Mai 2018 haben viele Unternehmen die Dringlichkeit der Umsetzung der EU-Datenschutzgrundverordnung (DSGVO/GDPR) Regularien erkannt und erste Projekte und Konzepte mit Juristen und Fachanwendern erarbeitet.

Aktuell scheitern die Projekte aber noch an der fachlichen Umsetzung, da die am Markt verfügbaren Lösungen teilweise zu komplex sind und nicht flexibel an die individuellen Anforderungen des Unternehmens angepasst werden können.

Wir haben frühzeitig erkannt, dass Unternehmen eine schnelle, schlanke und flexible Lösung zur Umsetzung der DSGVO-Anforderungen in SAP- und Non-SAP-Systemen benötigen. Aus dieser Anforderung heraus haben wir, zusammen mit unseren Kunden, die „DSGVO / GDPR Compliance Suite für SAP“ entwickelt.

Welche offenen Flanken sollten aus Ihrer Sicht jetzt angegangen werden?

Aus unserer Sicht müssen Unternehmen, die noch kein Konzept für das Auskunftsrecht und das Recht auf Vergessenwerden erarbeitet haben, jetzt dringend handeln.

Für alle Unternehmen, die hier bereits tätig geworden sind gilt es nun, die wichtigste offene Flanke zur schließen: die produktive Umsetzung der DSGVO in der SAP Systemlandschlaft.

Seit Mai sehen sich viele Unternehmen mit Anfragen zum Auskunftsrecht konfrontiert.

Wie findet man heraus, in welchen SAP- und Sub-Systemen personenbezogene Daten gespeichert werden?

Unsere Produkte und Lösungen basieren auf dem SAP Datenmodell, das wir bereits vor über 30 Jahren „verinnerlicht“ haben. Dieses Fachwissen und unsere langjährige Erfahrung haben wir in die Entwicklung der Tools unserer „DSGVO/GDPR Compliance Suite“ einfließen lassen.

Durch dieses SAP Datenmodell können wir sicherstellen, dass wir alle personenbezogenen Daten in einem SAP System finden, verfremden und auch löschen können.

Mit Data Disclose, einem Tool unserer „DSGVO/GDPR Compliance Suite“, finden wir in zwei einfachen und schnellen Schritten die personenbezogenen Daten über Systemgrenzen hinweg und bereiten diese Daten in einer verschlüsselten PDF Datei auf.

Wie gehen Sie mit personenbezogene Daten in Produktivsystemen und nicht-produktiven Systemen um?

In Produktivsystemen werden personenbezogene Daten mit unserem Tool Data Redact verfremdet. In nicht-produktiven Systemen werden personenbezogene Daten mit Data Secure logisch konsistent pseudonymisiert, um Entwicklern und Fachabteilungen valide Testdaten liefern zu können.

In nicht-produktiven Systemen kommt es besonders auf die Qualität der Testdaten an. Diese Qualität gewährleisten wir durch verschiedene Algorithmen, die die Daten logisch konsistent pseudonymisieren. Die Produktivdaten werden so unkenntlich gemacht, dass in den dazugehörigen Testsystemen kein Rückschluss mehr auf den Originaldatensatz im Produktivsystem gezogen werden kann.

Können Sie bei weiteren Aspekten der Datenschutzgrundverordnung unterstützen?

Mit Data Secure, unserem Tool zur Pseudonymisierung von Daten in nicht-produktiven Systemen, ermöglichen wir unseren Kunden ihre Daten in Test- und Entwicklungssystemen im Rahmen der DSGVO so zu pseudonymisieren bzw. zu anonymisieren, dass diese den Compliance-Richtlinien entsprechen.

Ein weiterer Aspekt bzw. Schritt wäre die Reduzierung der Daten in nicht-produktiven Systemen durch eine selektive Datenkopie. Somit sinkt das Risiko von personenbezogenen Daten in nicht-produktiven Systemen.

Mit einem Satz ausgedrückt: Was wird für Sie in den kommenden 12 Monaten das dominierende Thema in der SAP-Community?

Die konsequente Umsetzung der DSGVO Konzepte und die unternehmensspezifische Anpassung der Konzepte und Regelwerke nach Abmahnungen wegen Verstößen gegen die DSGVO.

Vielen Dank für das Gespräch, Herr Stammer!

Die Fragen stellte Helge Sanden, Chefredakteur des IT-Onlinemagazins.

Anzeige