Nachdem wir im Blog-Beitrag Datenschutz mit SAP: Der lange Weg zur Routine die Voraussetzungen betrachtet haben, die es zur Umsetzung der Datenschutzgrundverordnung braucht, richten wir unseren Blick nun auf die Sperrung und Löschung mit SAP Information Lifecycle Management (ILM).

Folgende Hinweise gilt es zu beachten:

Datenbereinigung

Das Sperren und Vernichten von Daten im SAP erfolgt nur nach Durchlauf von mehreren automatischen Prüfungen. So soll sichergestellt werden, dass nur Daten gesperrt oder vernichtet werden, zu denen tatsächlich kein offenes Geschäft mehr besteht. Im Ergebnis der Sperr- und Löschläufe werden daher häufig Fälle erkannt, in denen die Geschäftsprozesse in größerem Stil nie sauber zum Abschluss kamen. Bei der dann erfolgenden Datenbereinigung ist zu berücksichtigen, dass jede Änderung zu einer Verschiebung der Sperr- und Löschfristen führt.

Datenvernichtung

Sind für Daten alle Fristen und Zwecke abgelaufen, müssen sie unwiederbringlich vernichtet werden. Dabei ist wichtig, dass die Entscheidung zur Vernichtung von den Dateneigentümern bis hin zur Geschäftsführung mitgetragen wird. Häufig begegnet man einer zögerlichen Haltung, die zur Folge hat, dass Entscheidungen aufgeschoben werden. Das kann aber ernsthafte datenschutzrechtliche Konsequenzen nach sich ziehen.

Mehr zum Thema im Blog-Beitrag Datenschutz mit SAP ILM: Der lange Weg zur Routine

Verknüpfte Dokumente: Zu vielen Belegen gibt es verknüpfte Dokumente, die im Dokumentenarchiv gespeichert sind. Wird ein Beleg vernichtet, müssen auch die dazugehörigen Dokumente vernichtet werden. Der Auslöser muss dabei aus dem SAP-System kommen, da nur dort die Verknüpfungen bekannt sind. Die SAP hat in diesem Jahr neue Funktionalitäten bereitgestellt, sodass erst jetzt Erfahrungen dazu gesammelt werden können. Wichtig ist dabei, dass die eingestellten Aufbewahrungsfristen im Archiv nicht wesentlich über den Fristen der SAP-ILM-Regelwerke liegen, da dies eine Vernichtung der Dokumente verhindert.

Legal Hold

Das SAP ILM enthält Funktionen, die bestimmte Vorgänge vor der Vernichtung bewahrt, wenn zu diesen anhängige Rechtsverfahren laufen. Dafür werden nicht nur weiterhin die Stammdaten, sondern alle Informationen zu dem jeweiligen Vorgang benötigt. Bei großen Unternehmen mit vielen Geschäftspartnern kann dies einen erheblichen Aufwand bei der Anlage der Fälle bedeuten. Es ist daher wichtig, frühzeitig einen Überblick zu gewinnen und diese Funktionen von Anfang an in Tests einzubeziehen.

Kundenspezifische Tabellen / AddOns

Kundenspezifische Tabellen und Tabellen in eigenen Namensräumen können ebenfalls personenbezogene Daten enthalten. Dies sollte in der Analyse festgestellt werden. Für diese Tabellen gibt es keine ILM-Objekte im Standard, über die eine Sperre oder Löschung erfolgen kann. Es ist also erforderlich, hierfür eigene Objekte zu erstellen. Betrifft das sehr viele Tabellen, bietet GISA die eigens entwickelte Lösung GISA DSGVO Data Deletion Tool (D3T) für eine vereinfachte Erzeugung kundenspezifischer ILM-Objekte.

Sie haben Fragen oder Anmerkungen zum Thema? Dann kommen Sie gern auf uns zu! Gerne unterstützen wir Sie auch – zum Beispiel mit unserem Einstiegsworkshop zur Umsetzung der Anforderungen der DSGVO. Mehr erfahren!

Ingrid Gottwald

Ingrid Gottwald ist im Bereich ECM & Compliance als Beraterin tätig. Sie hat einen Bachelor of Science im Fach Technische BWL mit dem Schwerpunkt Informationsmanagement. Seit 2011 berät sie Unternehmen zur IT-Umsetzung rechtlicher Anforderungen wie GoBD, DSGVO und elektronischer Rechnungslegung.