Datenschutz für SAP

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

SAP SE

Datenschutzrelevante Prozesse beim Einsatz von SAP

Bereits vor dem Einsatz von SAP-Systemen ist zu klären, welche datenschutzrelevanten Prozesse mit SAP abgebildet werden sollen. Dabei sind zunächst alle Prozesse zu berücksichtigen, in denen personenbezogene Daten gespeichert werden, so z.B. im Personalbereich. Aber auch solche Prozesse sind zu berücksichtigen, in denen aus der Verknüpfung bzw. der Auswertung von Daten personenbezogene Daten gewonnen werden können, z.B. Leistungsauswertungen.

Das Bundesdatenschutzgesetz aber auch das Mitbestimmungsgesetz macht es erforderlich, dass vor dem Einsatz von SAP-Systemen die Zustimmung sowohl des betrieblichen Datenschutzbeauftragten als auch des Betriebsrates eingeholt werden muss. Beide Institutionen sind per Gesetz unabhängig von ihrer jeweiligen Geschäftsleitung und damit auch nicht weisungsgebunden.

Es ist also nicht zulässig, zunächst einmal mit der Datenverarbeitung in SAP zu beginnen und dann sukzessiv den Zustimmungs- bzw. den Mitbestimmungsprozess abzuwickeln. Aus ihrer Unabhängigkeit heraus können sowohl der Datenschutzbeauftragte als auch der Betriebsrat eine nicht genehmigte Datenverarbeitung in SAP per Gerichtsbeschluss untersagen lassen.

Anforderungen des Datenschutzgesetzes

Das Bundesdatenschutzgesetz stellt insbesondere auch für den Einsatz von SAP-Systemen eine Vielzahl von Anforderungen auf, von denen einige wesentliche im Folgenden beispielhaft genannt werden.

Zusätzlich zur grundsätzlich erforderlichen Zustimmung vor dem Produktivbeginn ist in §28 BDSG geregelt, dass der Zweck der Datenverarbeitung schon vor deren Nutzung - also schon bei der Erhebung - konkret festgelegt werden muss. Und auch nur zu diesem vorher definierten Zweck, oder mehreren, dürfen die Daten später auch verarbeitet werden. Dies ist insbesondere im Zusammenhang mit den angesprochenen vielfältigen Auswertemöglichkeiten im SAP von erheblicher Relevanz.

In §3 des BDSG wird das Postulat der Datensparsamkeit erhoben. Danach sollten so wenig wie möglich personenbezogene Daten verarbeitet werden. Wenn also der Zweck der Datenverarbeitung auch mit anonymisierten Daten zu erreichen ist, hat die Verarbeitung von personenbezogenen Daten zu unterbleiben.

Ein weiteres wesentliches Prinzip, nämlich das der Transparenz, wird in §4 BDSG festgelegt. Danach muss jederzeit bekannt sein, welche Daten zu welchem Zweck verarbeitet (erhoben, gespeichert und verarbeitet) werden. Hierzu ist das in §4 vorgeschriebene Verzeichnis aufzustellen und zu führen.

Fazit

Zwar stellt das Bundesdatenschutzgesetz zunächst einige rechtliche Hürden für den datenschutzkonformen Einsatz von SAP-System auf. Die Vielzahl der Unternehmen, die SAP im Einsatz haben zeigt jedoch, dass es bei einem entsprechend geplanten und durchgeführten Einführungsprojekt durchaus möglich ist, die unternehmensbezogenen und die datenschutzrechtlichen Anforderungen an den Einsatz von SAP-Systemen unter einen Hut zu bringen.

(ID:2012662)