Datenschutz beim Kunden: Zugriff, Speicherung, Rückgabe
Stand 2026-09-03
Wer personenbezogene Daten eines Kunden abfragen, exportieren oder verändern kann — auch in einer Testumgebung —, gilt nach Art. 28 DSGVO bereits als Auftragsverarbeiter, unabhängig davon, wie der Vertrag es nennt. Die Lücke, die Berater und Kunden tatsächlich Bußgelder kostet, ist nicht fehlendes Bewusstsein, sondern die fehlende Auftragsverarbeitungsvereinbarung: Die belgische Datenschutzbehörde sanktionierte 2021 einen Auftragsverarbeiter genau wegen dieses Versäumnisses, und Art. 83 deckelt DSGVO-Bußgelder auf bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Dieses Modul liefert die drei Dinge, die die Lücke vor Tag eins schließen — eine Checkliste zur Auftragsverarbeitungsvereinbarung, ein Protokoll für begrenzte Zugriffsanfragen und eine schriftliche Löschbestätigung —, sodass dokumentierte Datenschutzdisziplin zum Satzargument in der Verhandlung wird, statt zur Compliance-Nachbetrachtung nach Unterschrift des SOW. Bei Mandaten im Finanzsektor und im Gesundheitswesen, wo DORA und sektorale Regeln inzwischen dokumentierte Kontrollen von Drittparteien verlangen, entscheidet diese Vorbereitung zunehmend darüber, ob man auf die Shortlist kommt oder nicht.
Was Sie lernen
- Bestimmen, ob Ihre Rolle in einem SAP-Analytics-Mandat eine Datenverarbeitung nach Art. 28 DSGVO darstellt, die erforderlichen Vertragsbestimmungen identifizieren und die Lücke erkennen, wenn einem Untervertrag eine konforme AVV fehlt
- Anforderungen an die Zugriffsbegrenzung festlegen, die zu Ihrem konkreten Liefergegenstand passen, und zeitlich begrenzte, rollenbeschränkte Zugangsdaten verhandeln, die Ihre persönliche regulatorische Exposition minimieren
- Regeln der Datensouveränität auf Ihre Arbeitspraxis anwenden, einschließlich Geräteverschlüsselung, Cloud-Speicher-Beschränkungen, Umgang mit Testdaten und den Genehmigungsanforderungen für grenzüberschreitenden Datenverkehr
- Ein Datenausgangsprotokoll nach Mandatsende durchführen, das Bestandsaufnahme, sichere Löschung, schriftliche Bestätigung und die vertraglichen Bestimmungen umfasst, die die Löschung durchsetzbar machen
Warum das anders ist als allgemeines DSGVO-Bewusstsein
Jede europäische Fachperson hat irgendeine Form von DSGVO-Schulung durchlaufen. Was diese Schulungen typischerweise nicht abdecken, ist das spezifische Risikoprofil eines SAP-Analytics-Beraters: eine Rolle, die routinemäßig auf große Mengen strukturierter personenbezogener Daten zugreift, in Systemen, die dafür ausgelegt sind, diese Daten abfragbar, verknüpfbar und exportierbar zu machen, über eine Kundeninfrastruktur hinweg, die Sie nicht besitzen, in einem Zeitrahmen, den Sie nicht kontrollieren, in einem rechtlichen Kontext, den Sie vielleicht nie geprüft haben.
Eine SAP-Analytics-Cloud-Story, die auf Live-BW-Daten mit Kostenstellenzuordnungen von Mitarbeitenden basiert, ist eine Verarbeitungstätigkeit. Eine Datasphere-View, die Kundenkaufhistorie mit Treuestufenzuordnungen verknüpft, ist eine Verarbeitungstätigkeit. Ein BPC-Konsolidierungsmodell, das Personalbestandsdaten aus dem HR-System einliest, ist eine Verarbeitungstätigkeit. In jedem dieser Fälle gilt: Wenn Ihr Kunde der Verantwortliche ist, sind Sie möglicherweise der Auftragsverarbeiter — und Art. 28 DSGVO stellt spezifische, verpflichtende Vertragsanforderungen an diese Beziehung, die viele Beratungsverträge nicht adressieren.
Voraussetzungen
- Mittlere praktische Erfahrung in SAP-Analytics-Projekten
- Zunächst die Kernkonzepte durchgehen: C008, C067, C016
Lernergebnisse
- Getrennten, verschlüsselten Speicher pro Kundenmandat aufbauen.
- Ein Prüfprotokoll für Datenzugriffe und Kopien führen.
- Die Kernentscheidung des Moduls anwenden: Wie Sie Ihre Rolle klassifizieren, bevor Sie Daten berühren.
- Die Beherrschung mit dem KPI verfolgen: AVV-Abdeckung (Ziel: 100 % der Mandate mit Berührung personenbezogener Daten haben eine unterzeichnete AVV nach Art. 28, bevor Zugriff gewährt wird; Warnsignal: Jeglicher Live-Zugriff liegt vor der Unterzeichnung der AVV).
Vollständiges Modul für Mitglieder. Das vollständige Modul ergänzt: den Entscheidungsrahmen · das durchgehende Szenario · die KPI-Scorecard · die Anti-Muster · die Codeblöcke · die Wissenskontrolle · die Schemata.