DSGVO-Anforderungen mit SAP-Standardlösungen umsetzen

By /

Der folgende Beitrag erläutert, wie Unternehmen die Anforderungen der DSGVO in SAP S/4HANA umsetzen können. Es beginnt mit den wichtigsten Datenschutzprinzipien und deren Abbildung im SAP-Standard. Anschließend werden zentrale Handlungsfelder wie Lösch- und Sperrkonzept, Auskunftsrecht, Anonymisierung von Testsystemen, Berechtigungskonzepte und Systemintegration vorgestellt. Ein praxisorientiertes Vorgehensmodell beschreibt die Umsetzung – von der Analyse bis zum Betrieb. Das Fazit betont die Bedeutung eines ganzheitlichen, systemübergreifenden Ansatzes für eine rechtskonforme und effiziente Datenverwaltung.

Regulatorische Vorgaben der DSGVO für IT-Systeme

Die EU-Datenschutz-Grundverordnung (DSGVO) [1] verpflichtet Unternehmen, den Schutz personenbezogener Daten technisch und organisatorisch sicherzustellen. Wesentliche Vorgaben sind unter anderem das Recht auf Löschung und das Recht auf Auskunft für Betroffene. Konkret fordert Art. 17 DSGVO, dass personenbezogene Daten zu löschen sind, sobald der ursprüngliche Zweck ihrer Speicherung entfallen ist Allerdings bestehen häufig gesetzliche Aufbewahrungspflichten (z.B. steuerrechtliche Fristen), die einer sofortigen Löschung entgegenstehen. In solchen Fällen muss die Verarbeitung der Daten eingeschränkt (gesperrt) werden, bis eine Löschung rechtlich zulässig ist. Parallel dazu garantiert Art. 15 DSGVO jeder Person das Recht, auf Anfrage Auskunft darüber zu erhalten, welche personenbezogenen Daten über sie gespeichert und verarbeitet werden – einschließlich der Empfänger der Daten und des Verarbeitungszwecks.

Darüber hinaus schreibt die DSGVO Privacy by Design und Privacy by Default vor (Art. 25 DSGVO). Das bedeutet, dass IT-Systeme von vornherein datenschutzfreundlich konzipiert sein müssen – z.B. durch Datenminimierung, strenge Zugriffskontrollen und Pseudonymisierung in nicht produktiven Umgebungen. Auch das Recht auf Datenportabilität (Art. 20) und erweiterte Transparenzpflichten (Art. 12–15) sind relevante Vorgaben, insbesondere in Kundenmanagement- und Marketingprozessen. Bei Nichteinhaltung der DSGVO drohen erhebliche Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Dass dies keine bloßen Drohgebärden sind, verdeutlichen zahlreiche Verfahren der letzten Jahre gegen Unternehmen unterschiedlichster Branchen. Besonders im Fokus der Aufsichtsbehörden steht dabei immer wieder das Fehlen technischer Lösch- und Sperrkonzepte. Prominentestes Beispiel in Deutschland ist das langjährige Verfahren gegen ein großes Wohnungsunternehmen, bei dem ein Bußgeld von 14,5 Mio. € im Raum steht, da Mieterdaten über Jahre ohne gültigen Zweck gespeichert wurden (vgl. Millionen-Bußgeld: Deutsche Wohnen wieder vorm LG). Doch dieser Fall ist kein Einzelschicksal: Ein Blick in aktuelle Übersichten wie den GDPR Enforcement Tracker oder die deutsche DSGVO-Bußgeld-Datenbank zeigt eine stetig wachsende Liste an Sanktionen. Allein im Jahr 2024 und 2025 wurden vermehrt Bußgelder gegen Unternehmen verhängt, die Auskunftsersuchen ignoriert oder keine automatisierten Löschroutinen implementiert hatten.

Diese Fälle machen deutlich: Unzureichende Datenhygiene ist heute ein kalkulierbares finanzielles Risiko, das durch den Einsatz integrierter Standardlösungen (wie SAP ILM) gezielt minimiert werden kann.

Kurz gesagt: Ein Unternehmen, das personenbezogene Daten (z.B. von Energiekunden) in IT-Systemen verarbeitet, muss unter anderem ein Lösch- und Sperrkonzept, Prozesse zur Auskunftserteilung sowie Maßnahmen für Datenschutz in Test- und Entwicklungssystemen umsetzen, um rechtskonform zu bleiben.

Handlungsfelder und SAP-Standardlösungen im Überblick

Im Kontext einer SAP-Systemlandschaft ergeben sich durch die Anforderungen der DSGVO typische datenschutzrechtliche Herausforderungen wie Löschung, Sperrung, Auskunftserteilung und Anonymisierung. Diese lassen sich mit den SAP-Standardfunktionen praxisnah und effizient umsetzen. Der folgende Abschnitt bietet einen kompakten Überblick über die wichtigsten Maßnahmen und Lösungsansätze für eine DSGVO-konforme Datenverarbeitung in SAP-Systemen. [2]

Sperr- und Löschkonzept

Unternehmen müssen definieren, wann welche Daten zu löschen sind und wie sie bis dahin gesperrt (d.h. von der Nutzung ausgenommen) werden. SAP bietet hierfür Information Lifecycle Management (ILM) als integrierte Lösung. Mit SAP ILM Retention Management lassen sich Aufbewahrungsfristen und Löschregeln systemweit definieren und technisch umsetzen. ILM erweitert die klassische Datenarchivierung um regelbasiertes Sperren und endgültiges Löschen personenbezogener Daten. So wird z.B. sichergestellt, dass Kundendaten nach Ablauf der definierten Frist automatisch archiviert und anschließend datenschutzkonform vernichtet werden – nicht zu früh und nicht zu spät.

Wichtig: Aufgrund von DSAG-Initiativen ist das ILM-Lizenzmodul für DSGVO-Zwecke inzwischen ohne zusätzliche Lizenzkosten einsetzbar, was den Einsatz der Standardlösung erleichtert (vgl. EU-DSGVO in SAP-Systemen jetzt lizenzkostenfrei umsetzbar – IT-Onlinemagazin).

Auskunftsrecht der Betroffenen

Auf Anfrage muss ein Unternehmen binnen kurzer Zeit alle personenbezogenen Daten einer Person auffinden und ausgeben können. Hierfür stellt SAP das Information Retrieval Framework (IRF) bereit. Dieses Framework ermöglicht eine gezielte Suche nach personenbezogenen Daten im System und sammelt die Ergebnisse strukturiert für die Auskunft. Insbesondere in SAP for Utilities (IS-U) – also der Energiewirtschaft – berücksichtigt IRF nicht nur Stammdaten (Name, Adresse etc.), sondern auch sektorspezifische Objekte wie Zählerstände, Verträge, Korrespondenzen und Notizen. Mit dem IRF (ebenfalls ohne zusätzliche Lizenz) kann das Auskunftsrecht gemäß Art. 15 DSGVO effizient im SAP-Standard umgesetzt werden.

Anonymisierung von Test- und Schulsystemen

Üblicherweise werden in Projektphasen Kopien des Produktionssystems für Entwicklung, Test oder Schulung eingesetzt. Enthalten diese Kopien echte Kundendaten, entsteht ein hohes Datenschutzrisiko – zumal die Zugriffsbeschränkungen in nicht-produktiven Systemen oft schwächer sind. Daher verlangt die DSGVO ein striktes Entfernen oder Verfälschen personenbezogener Daten außerhalb der Produktionsumgebung. In der Praxis hat sich bewährt, alle persönlichen Daten in Test- und Entwicklungssystemen entweder zu löschen oder zu anonymisieren. SAP bietet hierfür Werkzeuge wie z.B. SAP Test Data Migration Server (TDMS), mit denen Daten bei der Systemkopie selektiv übernommen und sensible Felder unkenntlich gemacht werden. Alternativ können eigene Scrambling-Skripte oder Maskierungsfunktionen eingesetzt werden, um sicherzustellen, dass keine echten Kundendaten im Sandbox- oder QA-System lesbar sind.

Benutzerberechtigungen und Protokollierung

Ein oft unterschätzter Aspekt von Privacy by Default ist ein fein abgestuftes Berechtigungskonzept [3]. Nur berechtigte Nutzer sollen auf personenbezogene Daten zugreifen dürfen. Im Zuge der DSGVO-Umsetzung wird daher empfohlen, das bestehende Rollen- und Berechtigungskonzept zu überprüfen und unnötige Zugriffsrechte einzuschränken. Ergänzend bietet SAP mit Read Access Logging (RAL) ein Werkzeug, um Zugriffe auf sensible Datenfelder mitzuschneiden. So kann nachvollzogen werden, wer wann welche persönlichen Daten angesehen hat – ein wichtiger Baustein für Transparenz und interne Kontrolle. RAL lässt sich flexibel konfigurieren (welche Felder werden überwacht, wie lange die Logs aufbewahrt werden) und hilft, unautorisierte oder ungewöhnliche Zugriffe zu erkennen.

Integration einer heterogenen Systemlandschaft

In komplexen Landschaften ist das SAP S/4HANA-System zwar führend für zentrale Stammdaten, doch personenbezogene Daten liegen oft in weiteren Systemen. Dazu zählen beispielsweise SAP Customer Experience (CX)-Lösungen (etwa CRM, C/4HANA-Komponenten), ein angebundenes SAP BW/BI-System für Analysen, oder cloud-basierte Dienste wie die SAP Marketing Cloud für Kampagnen. Eine DSGVO-konforme Umsetzung muss alle diese Systeme einbeziehen. Praktisch bedeutet das: Das Sperr- und Löschkonzept ist über Systemgrenzen hinweg abzustimmen. SAP ILM kann hierbei mehrere Systeme koordinieren, indem z.B. Archivierungsobjekte und Regeln für verschiedene Module definiert werden und ein konsistentes Löschen von Daten über Verbundsysteme hinweg geplant wird. Für Cloud-Anwendungen stellt SAP separate Datenschutz-Funktionen bereit (z.B. Lösch-Transaktionen in SuccessFactors oder APIs für das SAP Customer Data Cloud Profilmanagement). In jedem Fall sollte das führende S/4-System bei Löschanforderungen auch die nachgelagerten Systeme triggern – sei es durch automatische Schnittstellen oder durch definierte Prozesse, damit z.B. ein in S/4 gelöschter Kunde auch in Marketing- und Analytics-Systemen entfernt oder anonymisiert wird.

Projektvorgehen mit SAP-Standardtools

Wie lässt sich ein solches DSGVO-Umsetzungsprojekt in der Praxis strukturieren? Erfahrungswerte aus Transformationsprojekten (z.B. von SAP IS-U auf S/4HANA Utilities) zeigen folgende sinnvolle Vorgehensschritte:

  1. Bestandsaufnahme und Konzeption: Zu Beginn steht eine gründliche Analyse, welche personenbezogenen Daten in welchen Tabellen und Dokumenten vorhanden sind. Dabei werden gemeinsam mit den Fachbereichen die Aufbewahrungsfristen und Löschregeln pro Datenobjekt festgelegt (unter Berücksichtigung rechtlicher Vorgaben, z.B. 10 Jahre für Abrechnungsdaten im Energieversorger-Umfeld). Dieses konzeptionelle Lösch- und Sperrkonzept bildet die Basis für alle weiteren Schritte. Parallel sollten Verantwortlichkeiten geklärt und die Betroffenenrechte (Auskunft, Berichtigung, etc.) pro Prozess verortet werden.
  2. Einrichtung von SAP ILM: Im nächsten Schritt wird SAP Information Lifecycle Management im S/4HANA-System aktiviert und konfiguriert. Dazu gehört das Anlegen von ILM-Regeln für jedes relevante Datenobjekt (z.B. Geschäftspartner, Vertragsdaten, Bewegungsbelege). Die Regeln definieren, wie lange Daten aufbewahrt werden dürfen/müssen und was danach mit ihnen geschieht (Sperren oder Löschen). Wo vorhanden, werden bestehende Archivierungsobjekte aus der klassischen Datenarchivierung mit ILM-Retention-Regeln erweitert. Zudem wird ein ILM-fähiges Speichersystem (Archivspeicher) angebunden, um archivierte Daten revisionssicher abzulegen. Wichtig ist auch, technische Löschprogramme für die finale und endgültige Löschung zu planen – in SAP erfolgt dies typischerweise in zwei Stufen: erst Archivierung, dann physische Löschung nach Freigabe.
  3. Umsetzung der Auskunftserteilung: Parallel zur Löschkonfiguration richtet man das Information Retrieval Framework ein. Es werden sogenannte IRF-Modelle definiert, die auf den Datenstrukturen des Systems basieren und festlegen, welche Tabellen und Felder bei einer Auskunftsanfrage durchsucht werden. Für SAP Utilities gibt es vordefinierte Inhalte, die z.B. Vertriebs-, Geräte- und Kundenservice-Daten abdecken. Das IRF wird getestet, indem exemplarische Auskunftsersuchen durchgespielt werden – etwa: „Welche Daten haben wir zu Kunde X?“ – und überprüft, ob alle relevanten Informationen (Stammdaten, Vertragsdaten, Briefwechsel, Anhänge etc.) gefunden und in verständlicher Form ausgegeben werden.
  4. Anpassung von Berechtigungen und Logging: Bevor produktiv mit echten Daten gearbeitet wird, sollte das Berechtigungskonzept an die neuen Prozesse angepasst werden. Beispielsweise benötigen nur wenige Administratoren Zugriff auf ILM-Konfiguration und Archivdaten. Die meisten Endanwender sollen gesperrte Datensätze gar nicht mehr sehen dürfen. SAP bietet die Möglichkeit, gesperrte Datensätze auszublenden, damit sie im Tagesgeschäft nicht verwendet werden können. Gleichzeitig wird Read Access Logging aktiviert und konfiguriert, um die Zugriffe auf sensible Felder wie personenbezogene Stammdaten mitzuschreiben. Dies unterstützt die Compliance-Kontrolle und hilft ggf. bei Nachweisen gegenüber Aufsichtsbehörden.
  5. Umsetzung in angebundenen Systemen: Ein großer Teil der Arbeit besteht darin, das Löschkonzept über die Grenzen des S/4HANA-Systems hinaus auszurollen. Für jedes verbundene System (z.B. SAP BW, CRM, Marketing Cloud) wird geprüft, wie dort personenbezogene Daten gehandhabt werden. Soweit möglich, kommen auch hier Standardfunktionen zum Einsatz – z.B. das Löschen von Geschäftspartnern in der Marketing Cloud über das Data Privacy Work Center, oder das Bereinigen historischer Daten im BW durch regelmäßige Archivierung. Falls die Systeme integriert sind, werden Schnittstellen definiert: etwa könnte das führende S/4-System beim Löschen eines Kunden einen Trigger senden, der in nachgelagerten Systemen einen korrespondierenden Löschvorgang auslöst. Wichtig ist, dass am Ende konsistente Ergebnisse vorliegen – der Betroffene soll systemübergreifend „vergessen“ werden, und zwar überall dort, wo kein berechtigter Grund zur Aufbewahrung mehr besteht.
  6. Tests, Schulung und Betrieb: Abschließend durchläuft das neue Datenschutz-Setup umfangreiche Tests. Insbesondere Löschläufe werden zunächst in einer Testumgebung simuliert, um sicherzustellen, dass keine benötigten Daten versehentlich entfernt werden und dass Reports weiterhin funktionieren. Mitarbeiter werden geschult, wie mit Betroffenenanfragen umzugehen ist – z.B. wie eine Datenauskunft mithilfe des IRF erstellt wird – und welche neuen Richtlinien für die Datenhaltung gelten. Im laufenden Betrieb sollte das Unternehmen regelmäßige Kontrollen durchführen, ob die Löschfristen eingehalten werden (z.B. anhand von ILM-Protokollen) und ob neue personenbezogene Datenquellen hinzugekommen sind, die ins Konzept aufzunehmen sind. Eine gut dokumentierte DSGVO-Umsetzung ist nicht nur im Prüfungsfall wertvoll, sondern trägt auch zu effizienteren Datenprozessen bei (Stichwort Datenhygiene und schlanke Datenbank).

Zusammenfassung und Fazit

Die Umsetzung der DSGVO-Anforderungen in einem SAP-System erfordert ein ganzheitliches Vorgehen. Mit den SAP-Standardtools – allen voran ILM für Lösch- und Aufbewahrungsregeln sowie IRF für Auskunftserteilungen – lassen sich die gesetzlichen Pflichten technisch sauber abbilden. Entscheidend ist ein abgestimmtes Zusammenspiel aller Systeme in der Landschaft und ein durchdachtes Konzept, das rechtliche Vorgaben in konkrete Prozesse übersetzt. So kann das Unternehmen seine Kundendaten rechtskonform und effizient verwalten und gleichzeitig das Vertrauen der Kunden in den Datenschutz stärken.

Weblinks

References

  1. European Parliament and Council European Union (2016): Regulation (EU) 2016/679 (General Data Protection Regulation). ELI: urlhttps://eur-lex.europa.eu/eli/reg/2016/679, 2016, (Official consolidated version).
  2. Volker Lehnert and Iwona Luther and Björn Christoph and Carsten Pluder (2017): Datenschutz mit SAP: SAP Business Suite und SAP S/4HANA. Rheinwerk Verlag, Bonn, Germany, 2017, ISBN: 978-3-8362-5989-7, (1. Auflage).
  3. Maria Spöri and Jamsheed Bahser (2023): Berechtigungen in SAP S/4HANA und SAP Fiori: Umfassendes Handbuch zum Berechtigungswesen in SAP S/4HANA. Rheinwerk Verlag, Bonn, Deutschland, 2023, ISBN: 978-3-8362-9334-1, (1. Auflage).

Leave a Comment

Your email address will not be published. Required fields are marked *

Scroll to Top