DSGVO für SAP-Berater: Die eigenen Pflichten
Stand 2026-09-03
In dem Moment, in dem ein SAP-Berater das SuccessFactors-, S/4HANA- oder SAC-System eines Kunden öffnet, um mit personenbezogenen Daten zu arbeiten, wird er zum DSGVO-Auftragsverarbeiter — nicht zum Zuschauer. Auftragsverarbeiter drohen nach Art. 83 Abs. 4 direkte Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, unabhängig von der Compliance des Kunden selbst. Drei Bausteine verändern dieses Risiko: eine unterschriebene Auftragsverarbeitungsvereinbarung (Art. 28) mit allen acht Pflichtklauseln, ein laufend gepflegtes Verzeichnis von Verarbeitungstätigkeiten über alle Mandate hinweg und ein eingeübter Reflex für die 72-Stunden-Frist bei Datenschutzverletzungen. Berater, die dies auf Anfrage vorlegen können, kommen durch ein Procurement-Gate, das zunehmend über mehrjährige Rahmenverträge in Financial Services, Pharma und dem öffentlichen Sektor entscheidet — und verteidigen ihren Tagessatz, statt ihn zu rabattieren.
Was Sie lernen
- Ihre DSGVO-Rolle bestimmen — Auftragsverarbeiter, Verantwortlicher oder gemeinsam Verantwortlicher — bevor das Mandat beginnt
- Eine mit Art. 28 konforme AVV verhandeln und unterzeichnen, die alle acht Pflichtklauseln abdeckt
- Ein eigenes Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter über alle aktiven Mandate hinweg führen
- Einen dokumentierten 72-Stunden-Prozess zur Meldung von Datenschutzverletzungen ausführen, wenn in SAP ein Vorfall mit personenbezogenen Daten auftritt
Ihre Rolle unter der DSGVO: Auftragsverarbeiter, nicht Verantwortlicher
Die Standardannahme ist falsch. Die meisten SAP-Berater gehen davon aus, dass die DSGVO für ihren Kunden gilt, nicht für sie selbst. Nach Verordnung (EU) 2016/679 sind Sie, sobald Sie auf das SAP-System eines Kunden zugreifen und in dessen Auftrag personenbezogene Daten verarbeiten — Gehaltsabrechnungsdaten in SuccessFactors, Kundenstammdaten in S/4HANA, HR-Analytics in SAC —, ein Auftragsverarbeiter (sous-traitant im Französischen). Der Kunde ist der Verantwortliche. Diese Unterscheidung ist enorm wichtig: Sie bestimmt, welche Pflichten persönlich auf Ihnen lasten und welche beim Kunden liegen.
Der entscheidende Test ist, ob Sie entscheiden, warum Daten verarbeitet werden (Verantwortlicher) oder nur wie (Auftragsverarbeiter). Ein Berater, der im Auftrag eines Herstellers einen BW/4HANA-HR-Cube neu konfiguriert, entscheidet nichts über die Zwecke der HR-Verarbeitung — das tut der Hersteller. Der Berater ist der Auftragsverarbeiter. Werden Sie hingegen als unabhängiger Experte beauftragt, eine People-Analytics-Strategie zu entwerfen, und definieren Sie die Datenkategorien und Aufbewahrungsfristen selbst, sind Sie möglicherweise gemeinsam Verantwortlicher (responsable conjoint du traitement). Gemeinsame Verantwortlichkeit ist seltener, trägt aber nach Art. 26 DSGVO eine symmetrische Rechenschaftspflicht. Im Zweifel fragen Sie sich: Wen würde die Aufsichtsbehörde als Erstes anrufen, wenn etwas schiefgeht? Das ist der Verantwortliche.
Voraussetzungen
- Mittlere praktische Erfahrung in SAP-Analytics-Projekten
- Zunächst die Kernkonzepte durchgehen: C064, C066, C062
Lernergebnisse
- Ihre DSGVO-Rolle bestimmen: Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher.
- Mit jedem Kunden eine Auftragsverarbeitungsvereinbarung (AVV) unterzeichnen.
- Die Kernentscheidung des Moduls anwenden: Bestimmen Sie Ihre DSGVO-Rolle, bevor Sie Daten berühren — standardmäßig Auftragsverarbeiter-Status wählen und die Art.
- Die Beherrschung mit dem KPI verfolgen: Vollständigkeit der AVV-Klauseln (Ziel: 8/8 Art).
Vollständiges Modul für Mitglieder. Das vollständige Modul ergänzt: den Entscheidungsrahmen · das durchgehende Szenario · die KPI-Scorecard · die Anti-Muster · die Codeblöcke · die Wissenskontrolle · die Schemata.