SAP-Einsatz datenschutzkonform gestalten Datenschutz für SAP

Der Einsatz von SAP stellt für die Unternehmen nicht nur aus organisatorischer sondern auch aus Datenschutzsicht eine Herausforderung dar. In diesem Beitrag geht es um die grundsätzliche Bedeutung des Datenschutzes im Zusammenhang mit SAP R/3. Es wird dargelegt, warum der Datenschutz eine so große Bedeutung für den Einsatz der SAP-Software hat. In diesem Zusammenhang wird auch auf die rechtlichen Grundlagen des Datenschutzgesetztes eingegangen.

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

SAP SE

Das SAP-System hat sich in den vergangenen zehn Jahren zu der am weitesten verbreiteten Softwarelösungen für die IT-technische Unterstützung der kaufmännischen Serviceprozesse in Groß- aber zunehmend auch in mittelständischen Firmen entwickelt.

SAP R/3 gehört zur Kategorie der „Enterprise Ressource Planning“-Systeme (ERP). Die klassischen Kernmodule von SAP reichen dabei vom Einkauf, der Lagerhaltung über das externe und interne Rechnungswesen bis hin zum Personalwesen. Die durch diese SAP-Module gespeicherten Daten sind nicht nur aus unternehmenspolitischer sondern auch aus datenschutzrechtlicher Sicht besonders schützenswürdig. In den letzen zehn Jahren sind aber auch immer mehr Spezialmodule für die verschiedenen Wirtschaftssparten hinzugekommen.

Die Komplexität von SAP ergibt sich zum Einen aus der Vielzahl der Datenbanktabellen, in denen die Daten gespeichert werden. SAP bringt kein eigenes Datenbanksystem, sondern setzt ein gesondertes System, wie z.B. Oracle voraus. Insgesamt werden mehrere Tausend Datenbanktabellen verwaltet, deren Dokumentation ebenso tausende Seiten umfasst.

Mit der SAP eigenen Auswertesprache ABAP (Allgemeiner Berichtsaufbereitungsprozessor) sowie Standardabfragekommandos (SQL-Queries) lassen sich die gespeicherten Daten fast beliebig zu komplexen Datensammlungen zusammenfassen. In diesem Zusammenhang ist auch die Protokollierung wesentlicher Aktivitäten im SAP (Anlegen, Verändern und Löschen von Daten) als wesentliche Quelle für die Entstehung von personenbezogenen Daten zu nennen.

Der Zugriffsschutz für das SAP-System und die darin gespeicherten Daten wird durch das SAP-eigene Berechtigungssystem realisiert, das für sich wiederum ein sehr komplexes Gebilde darstellt. Das Herz des Berechtigungssystems stellen ca. 1000 Berechtigungsobjekte dar, die von SAP fest vorgegeben sind und die jeweils mit bestimmten Werten versehen werden. Diese sind hunderten von Profilen und Sammelprofilen zugeordnet, wobei beliebig viele kundeneigene Profile zusätzlich erstellt werden können.

Seite 2: Datenschutzrelevante Prozesse beim Einsatz von SAP

Datenschutzrelevante Prozesse beim Einsatz von SAP

Bereits vor dem Einsatz von SAP-Systemen ist zu klären, welche datenschutzrelevanten Prozesse mit SAP abgebildet werden sollen. Dabei sind zunächst alle Prozesse zu berücksichtigen, in denen personenbezogene Daten gespeichert werden, so z.B. im Personalbereich. Aber auch solche Prozesse sind zu berücksichtigen, in denen aus der Verknüpfung bzw. der Auswertung von Daten personenbezogene Daten gewonnen werden können, z.B. Leistungsauswertungen.

Das Bundesdatenschutzgesetz aber auch das Mitbestimmungsgesetz macht es erforderlich, dass vor dem Einsatz von SAP-Systemen die Zustimmung sowohl des betrieblichen Datenschutzbeauftragten als auch des Betriebsrates eingeholt werden muss. Beide Institutionen sind per Gesetz unabhängig von ihrer jeweiligen Geschäftsleitung und damit auch nicht weisungsgebunden.

Es ist also nicht zulässig, zunächst einmal mit der Datenverarbeitung in SAP zu beginnen und dann sukzessiv den Zustimmungs- bzw. den Mitbestimmungsprozess abzuwickeln. Aus ihrer Unabhängigkeit heraus können sowohl der Datenschutzbeauftragte als auch der Betriebsrat eine nicht genehmigte Datenverarbeitung in SAP per Gerichtsbeschluss untersagen lassen.

Anforderungen des Datenschutzgesetzes

Das Bundesdatenschutzgesetz stellt insbesondere auch für den Einsatz von SAP-Systemen eine Vielzahl von Anforderungen auf, von denen einige wesentliche im Folgenden beispielhaft genannt werden.

Zusätzlich zur grundsätzlich erforderlichen Zustimmung vor dem Produktivbeginn ist in §28 BDSG geregelt, dass der Zweck der Datenverarbeitung schon vor deren Nutzung - also schon bei der Erhebung - konkret festgelegt werden muss. Und auch nur zu diesem vorher definierten Zweck, oder mehreren, dürfen die Daten später auch verarbeitet werden. Dies ist insbesondere im Zusammenhang mit den angesprochenen vielfältigen Auswertemöglichkeiten im SAP von erheblicher Relevanz.

In §3 des BDSG wird das Postulat der Datensparsamkeit erhoben. Danach sollten so wenig wie möglich personenbezogene Daten verarbeitet werden. Wenn also der Zweck der Datenverarbeitung auch mit anonymisierten Daten zu erreichen ist, hat die Verarbeitung von personenbezogenen Daten zu unterbleiben.

Ein weiteres wesentliches Prinzip, nämlich das der Transparenz, wird in §4 BDSG festgelegt. Danach muss jederzeit bekannt sein, welche Daten zu welchem Zweck verarbeitet (erhoben, gespeichert und verarbeitet) werden. Hierzu ist das in §4 vorgeschriebene Verzeichnis aufzustellen und zu führen.

Fazit

Zwar stellt das Bundesdatenschutzgesetz zunächst einige rechtliche Hürden für den datenschutzkonformen Einsatz von SAP-System auf. Die Vielzahl der Unternehmen, die SAP im Einsatz haben zeigt jedoch, dass es bei einem entsprechend geplanten und durchgeführten Einführungsprojekt durchaus möglich ist, die unternehmensbezogenen und die datenschutzrechtlichen Anforderungen an den Einsatz von SAP-Systemen unter einen Hut zu bringen.

(ID:2012662)