Wo stehen Sie mit der Umsetzung der DSGVO?
Viele Unternehmen stehen auch heute noch vor der Herausforderung, die Anforderungen der Datenschutzgrundverordnung (DSGVO) in ihren Systemen umzusetzen. Die DSGVO dient dem Schutz von natürlichen Personen bei der Verarbeitung ihrer personenbezogenen Daten.
Für Energieversorgungsunternehmen betrifft dies u.a. die Verarbeitung von Daten wie Namen, Adressen, Bankverbindungsdaten und Telefonnummern ihrer Kunden und anderen betroffenen natürlichen Personen.
Personenbezogene Daten, für die laut DSGVO kein Verwendungszweck mehr besteht, müssen auch ohne ausdrückliche Anforderung des Betroffenen gelöscht werden. In der SAP-Welt bereitet diese Anforderung einiges an Kopfzerbrechen. Viele Unternehmen betreiben zwar eine Archivierung von Belegen, aber das Löschen von Stammdaten, als Träger der personenbezogenen Daten, stellt technisch noch eine ganz andere Herausforderung dar.
Umsetzung mit SAP ILM
Umsetzung der DSGVO mit SAP ILM. Für das Löschen und Sperren dieser Daten hat die SAP das Produkt SAP Information Lifecycle Management weiterentwickelt. SAP ILM erweitert die bekannten SAP Archivierungsmechanismen und ermöglicht die systematische und massenhafte Löschung von Beleg- und Stammdaten in den Quellsystemen. Das Löschen einiger weniger personenbezogener Daten des Kunden stellt einen hohen Aufwand dar, da das Löschen des SAP-Stammdatenobjektes (z.B. die des SAP IS-U Geschäftspartners) immer ein vorgelagertes Löschen der Beleghistorie erfordert. Entsprechend viel Zeit und Aufwand zu investieren, lohnt sich vor allem für Unternehmen, die die Einführung von SAP ILM nicht nur für DSGVO-Zwecke, sondern auch aus anderen Gründen betreiben wollen.
Umsetzung mit dem cronos DSGVO Toolset
cronos DSGVO Protection - Analyse, Löschen und Sperren. Für Unternehmen mit der Zielsetzung, die Anforderungen rund um das Sperren und Löschen direkt und mit deutlich weniger Aufwand umzusetzen, bietet cronos als Alternative zu SAP ILM auch eigene Werkzeuge an. Diese verzichten auf das Löschen von ganzen Belegen und Stammdaten und setzen stattdessen auf das Löschen der personenbezogenen Daten innerhalb der Stammdatenobjekte — ein vollständig DSGVO-kompatibler, aber deutlich leichtgewichtigerer und auch einfacher zu testender Ansatz.
Anonymisierung von Test- und Qualitätssystemen
cronos DSGVO Mixer. Für den Test und die Qualitätssicherung von neuen Softwareentwicklungen werden Systeme benötigt, die eine ausreichende Datenmenge enthalten, um möglichst viele Testfälle generieren zu können.
Der Einfachheit halber und um möglichst nah an den Gegebenheiten des Produktivsystems zu sein, erfolgt eine vollständige Kopie des Produktivsystems, das als Qualitätssystem zur Verfügung gestellt wird.
Gegenüber Produktivsystemen haben Entwicklungs- und Testsysteme jedoch einen höheren Grad der Exponierung von personenbezogenen Daten nach außen, z. B. durch den Zugriff von externen Entwicklern auf das System. Dieser Umstand stellt deshalb ein großes Risiko dar, die DSGVO zu verletzen.
Die cronos bietet mit dem Testsystemdatenanonymisierungstool die Möglichkeit, personenbezogene Daten in Test- und Entwicklungssystemen zu verfremden, sodass die Anforderungen der DSGVO eingehalten werden, ohne auf bestehende Prozesse oder der Vollständigkeit von Daten verzichten zu müssen.
Beauskunftung
cronos DSGVO Exposer. Betroffene im Sinne der DSGVO haben das Recht darüber eine Auskunft zu erhalten, ob und welche personenbezogenen Daten von ihnen verarbeitet werden.
Da die Daten meist an unterschiedlichen Stellen im System vorzufinden sind, stellt das Zusammentragen aller Information zu einer aggregierten Form für viele Unternehmen eine Herausforderung dar.
Teilweise werden bei der Datenextraktion, aufgrund des Nichtvorhandensein eines automatisierten Prozesses, zu beauskunftende Daten übersehen oder sogar Daten exportiert, die nicht dem Betroffenen zuzuordnen sind.
Nicht zuletzt bietet cronos mit dem Beauskunftungstool die Möglichkeit, alle personenbezogenen Daten eines Geschäftspartners aus dem SAP IS-U vollautomatisiert aufzubereiten und druckfertig zu generieren.
cronos Vorgehensweise
Unabhängig von der Wahl des Werkzeuges zur technischen Umsetzung hat cronos zusammen mit Kunden ein strukturiertes Vorgehensmodell entwickelt und bietet die zugehörige Projektbegleitung als Beratungsprodukt an. Herzstück ist zunächst die Durchführung kurzer Workshops (1-2h) mit den betroffenen Fachbereichen. In diesen werden die DSGVO-relevanten Aspekte der von den Fachbereichen gelebten Prozesse besprochen. Davon ausgehend werden Rollen- und Statusmodell, Lösch- und Sperrmatrizen sowie ein IT-/Schnittstellenkonzept erstellt. Sowohl für die Workshops als auch für die Konzeptdokumente stehen dabei Fragenkataloge bzw. vorformulierte Textbausteine zur Verfügung, die nur noch an die kundenspezifischen Aspekte angepasst werden müssen. Das Vorgehensmodell baut auf diese Weise direkt auf den Erfahrungen aus bereits durchgeführten Kundenprojekten auf.
Initialworkshops für Unentschlossene
Für viele Unternehmen, die noch kein klares Bild von Aufwand und Zeitbedarf für eine Projektumsetzung haben, bietet sich die Durchführung eines DSGVO-Initialworkshops an.
In diesem werden kurze Interviews mit den Fachbereichen und der Unternehmens-IT geführt und daraus ein Gesamtbild über den zu erwartenden Projektaufwand, mögliche Projektabhängigkeiten und Risiken, den Zeitbedarf sowie die Eignung von Werkzeugen abgeleitet.
