SAP und Datenschutz: Anwender müssen umdenken

Die neue EU-Datenschutzgrundverordnung (DSGVO) tritt bald in Kraft. Die darin geforderte rechtskonforme Verarbeitung personenbezogener Daten stellt insbesondere SAP-Anwender vor vielfältige Herausforderungen. Abhilfe versprechen gezielte Systemerweiterungen.

Im Mai 2018 ist es soweit: Die neue EU-Datenschutzgrundverordnung (DSGVO) tritt in Kraft. Sie regelt die Verarbeitung personenbezogener Daten neu und stellt damit zahlreiche Unternehmen und öffentliche Stellen in der Europäischen Union vor große Herausforderungen. Diese betreffen zum Beispiel die Vergabe von Aufbewahrungsfristen sowie die revisionssichere Archivierung und das fristgerechte Löschen entsprechender Informationen. Höchste Zeit also, die eigenen Hausaufgaben in Sachen Datenschutz zu erledigen, sonst drohen in naher Zukunft bei Verstößen empfindliche Strafen. So kann die maximale Geldbuße bis zu 20 Mio. Euro oder bis zu 4% des gesamten weltweit erzielten Jahresumsatzes betragen. Dennoch haben laut einer aktuellen Studie der artegic AG unter 338 Geschäftsführern, leitenden Angestellten und Managern über alle Industriezweige hinweg bislang nur 10 Prozent der befragten Unternehmen die DSGVO umgesetzt.

Eine Begründung könnte darin liegen, dass sich die Umsetzung der neuen Regelung durchaus komplex gestaltet. Denn: Auf der einen Seite gelten Mindestaufbewahrungsfristen, auf der anderen Seite aber auch konkrete Zeiträume, nach denen die Löschung bestimmter Daten zu erfolgen hat. Zudem müssen diese vor unbefugtem Zugriff geschützt werden.

Die DSGVO ist mit den Basiswerkzeugen der herkömmlichen Datenarchivierung in SAP nicht umsetzbar. Stattdessen bietet es sich an, das Information Lifecycle Management (SAP ILM) für die Erfüllung der rechtlichen Anforderungen zu nutzen. Die kostenpflichtige Systemkomponente unterstützt dabei, Aufbewahrungsfristen und Ablageorte bei der Datenarchivierung festzulegen sowie terminierte Löschvorgänge zu managen. 

Dezentrale Datenbestände als Hindernis

Das Problem: In vielen Unternehmen sind mit der Zeit komplexe und dezentrale IT-Strukturen entstanden, innerhalb derer ein laufender Austausch zwischen SAP- und IT-Drittsystemen die Regel ist. So ist es oft bereits eine Herausforderung für die Verantwortlichen, im Rahmen einer Bestandsaufnahme zu ermitteln, welche von der Gesetzgebung betroffenen Daten in welchen Systemen vorgehalten und über welche Kanäle sie transferiert werden.

Da Möglichkeiten eines effizienten Dokumentenmanagements in SAP begrenzt sind, setzen zahlreiche Unternehmehen vor allem im Bereich des Enterprise Content Managements (ECM) auf flankierende Lösungen. Bei der Nutzung von SAP ILM als Werkzeug zur rechtskonformen Verwaltung personenbezogener Daten ist es deshalb von elementarer Bedeutung, dass sich eine revisionssichere Archivierung sowie die Vergabe von Aufbewahrungsfristen oder Löschvorgängen auch auf Datenbestände außerhalb von SAP wie beispielsweise externe Archivsysteme ausweiten lässt.

Spezialisierte ECM-Anbieter bieten eine Lösung für das Problem: Passgenaue Konnektoren formen in Kombination mit SAP ILM eine Gesamtlösung, die die Anforderungen des Gesetzgebers erfüllen. Wichtig dabei: Anwender sollten auf eine Zertifizierung entsprechender Lösungen durch SAP achten, damit gewährleistet ist, dass der Austausch mit SAP ILM reibungslos und rechtssicher verläuft. 

Lösungen wie der nscale ERP connector ILM von der Bielefelder Ceyoniq Technology GmbH fungieren dabei beispielsweise als webDAV-basierter Speicher. Mit einem solchen Konnektor können Daten revisionssicher archiviert und mit entsprechenden Aufbewahrungsfristen oder Sperrkennzeichen (Stichwort „Legal Hold“) versehen werden. Bei Ablauf der definierten Fristen ist es möglich, Daten bei Bedarf automatisiert zu löschen oder zu sperren. Zudem bietet die Kombination aus SAP ILM und Konnektor die Möglichkeit, SAP-Altsysteme abzuschalten. Die Daten und Dokumente aus diesen Altsystemen werden dafür in einem Retention Warehouse SAP System bis zum Ablauf der Aufbewahrungsfrist verfügbar gehalten. Dadurch lassen sich die Kosten für den Betrieb von SAP-Altsystemen minimieren. 

Datenarchivierung mit SAP ILM: Angeschlossene Lösungen wie der nscale ERP connector ILM fungieren als webDAV-basierter Speicher.  

Medienbrüche auflösen, Systeme konsolidieren

Die DSGVO bietet eine gute Gelegenheit, die Themen Datenarchivierung und Informationsmanagement im SAP-Umfeld grundsätzlich auf den Prüfstand zu stellen. In vielen Unternehmen ist SAP das führende System, doch wird zugleich ein großer Umfang prozessrelevanter Informationen in diversen flankierenden IT-Systemen vorgehalten – sei es, um fehlende ECM-Funktionalitäten zu kompensieren oder SAP-Anwendungen von einem zu hohen Datenaufkommen zu entlasten. Das führt in der Praxis zu Medienbrüchen und damit zu Reibungsverlusten bei der Informationsbereitstellung. Ein verzweigtes System aus Informationsinseln steht deshalb nicht nur der Umsetzung der DSGVO im Wege, es verursacht oftmals auch unnötige Kosten entlang der gesamten Prozesskette eines Unternehmens.

Immer mehr Unternehmen streben deshalb eine zentrale Informationsplattform an, die prozessrelevante Informationen und Dokumente jederzeit verfügbar macht. Spezialisierte ECM-Lösungen nehmen diese Rolle in der Unternehmens-IT von SAP-Anwendern ein. Durch die Verknüpfung mit der SAP-zertifizierten Schnittstelle ArchiveLink können über SAP ILM auch Aufbewahrungsfristen und Sperrkennzeichen auf abgelegte SAP-Dokumente gesetzt werden. Dadurch wird ein späteres automatisches Löschen erst möglich gemacht. 

Schritt für Schritt zur zentralen Informationsplattform

Führende, auf SAP-Anwender zugeschnittene ECM-Systeme sind somit in der Lage, heterogene Datensilos zusammenzuführen und Dritt- sowie SAP-Altsysteme schrittweise abzuschalten. Im Idealfall verfügen entsprechende Lösungen über Zugriffsmöglichkeiten auf Drittsysteme, sofern diese über die zertifizierte Schnittstelle ArchiveLink mit SAP verknüpft sind. ECM-Systeme mit einer breiten Schnittstellenbasis bieten sehr viele Möglichkeiten, heterogene IT-Landschaften auf einer Plattform zu verbinden. Offene Schnittstellen stehen zugleich für eine hohe Zukunftssicherheit. Daher sind ECM-Systeme, die bereits jetzt CMIS unterstützen, für SAP S/4 HANA gut vorbereitet, da die kommende SAP-DMS-Umgebung, das SAP Document Center, genau diese Schnittstelle benötigt.

So können Anwender nicht nur Informationen aus anderen Systemen in SAP aufrufen, sondern diese parallel und automatisiert im ECM-System revisionssicher ablegen. Dadurch werden Daten aus Alt-Archiven bei Bedarf zugänglich gemacht und ohne zusätzlichen Aufwand in Form einer „schleichenden Migration“ auf die zentrale Informationsplattform transferiert. IT-basierte Konsolidierungsprojekte lassen sich auf diesem Wege äußerst schlank durchführen.

Jedes Unternehmen sollte die Einhaltung von Compliance-Anforderungen als Chance sehen, um durch die Einführung einheitlicher Prozesse und einer zentralen Compliance-Kontrolle Optimierungspotentiale zu heben. Erst auf Basis dieser Maßnahmen lassen sich spürbar Kosten einsparen und eine einheitliche und zukunftsweisende Digitalisierungsstrategie umsetzen. ECM-Systeme bieten eine hervorragende Grundlage dafür, da sie genau auf die Zusammenführung von Daten aus unterschiedlichen Anwendungen und die Integration in vorhandene Fachverfahren ausgelegt sind.

Autor: Michele Barbato, Produktmanager Ceyoniq Technology GmbH