Konzeptkarte

Data Governance — DSGVO & EU-KI-Verordnung für SAP Analytics

Stand 27. September 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist Data Governance?

Die DSGVO (Art. 6, 5 Abs. 1 lit. c, 15-22) und die EU-KI-Verordnung (Art. 9-49, Hochrisikopflichten wirksam ab dem 2027-12-02, Digital-Omnibus in Kraft seit 2026-07-27) binden beide unmittelbar Architekturentscheidungen in SAP Analytics — und jedes Hochrisiko-KI-System erfordert 200-800 Personentage an Compliance-Arbeit.

Worum es geht

Zwei europäische Regularien binden inzwischen jedes SAP-Analytics-Programm, das in der EU eingesetzt wird: die Datenschutz-Grundverordnung (Verordnung EU 2016/679, in Kraft seit Mai 2018) und die Verordnung über Künstliche Intelligenz (Verordnung EU 2024/1689, mit Hochrisikopflichten wirksam ab dem 2027-12-02). Zusammen regeln sie, welche Daten Analytics-Plattformen erheben dürfen, wie KI-Funktionen sie nutzen dürfen und welche Dokumentation jeden Hochrisiko-Einsatz begleiten muss. Der SAP-Analytics-Berater kann dies nicht an das Rechtsteam des Kunden delegieren — die beim Design getroffenen Architekturentscheidungen entscheiden darüber, ob der Kunde compliant ist oder ein messbares regulatorisches Haftungsrisiko trägt.

Die Analytics-Oberfläche der DSGVO. Die vier Säulen, die Analytics direkt betreffen: Rechtsgrundlage (Art. 6 — jede Verarbeitung personenbezogener Daten in einem analytischen Modell benötigt eine dokumentierte Grundlage: Einwilligung, Vertrag, berechtigtes Interesse, rechtliche Verpflichtung), Datenminimierung (Art. 5 Abs. 1 lit. c — Analytics sollte nur das für den Zweck Notwendige vorhalten; eine Story, die die Transaktionshistorie auf Kundenebene zeigt, benötigt eine andere Rechtsgrundlage als aggregierte Umsätze nach Region), Zweckbindung (für Vertriebsanalysen erhobene Daten dürfen ohne neue Rechtsgrundlage nicht für HR-Analysen zweckentfremdet werden) und Rechte der betroffenen Person (Art. 15-22 — Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch; Analytics-Plattformen müssen die Berichtigungs-Kaskade zur vorgelagerten Quelle unterstützen).

Die Oberfläche der EU-KI-Verordnung. Hochrisikosysteme (Art. 6 + Anhang III) — einschließlich KI-Systemen für Kreditwürdigkeitsprüfung, Einstellung, Bildungszugang, Berechtigung zu öffentlichen Leistungen, Strafverfolgung, Justizverwaltung, Migration, biometrische Identifizierung — tragen Pflichten nach Art. 9-49: Risikomanagementsystem, Data Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit, Cybersicherheit. Jedes Hochrisikosystem erfordert laut dem §17.11-Ledger 200-800 Personentage an Compliance-Arbeit (Quelle: angewandte KI-Studie 2025 München und Folgenabschätzung der EU-Kommission).

Warum es zählt

Eine Story, die die Transaktionshistorie auf Kundenebene zeigt, benötigt eine andere Art.-6-Rechtsgrundlage als eine, die aggregierte Umsätze nach Region zeigt — die Granularität selbst verändert die Compliance-Anforderung.
Für Vertriebsanalysen erhobene Daten dürfen aufgrund des Grundsatzes der Zweckbindung nicht ohne neue Rechtsgrundlage für HR-Analysen zweckentfremdet werden.
Hochrisiko-KI-Anwendungsfälle (unter anderem Kreditwürdigkeitsprüfung, Einstellung, biometrische Identifizierung) tragen dokumentierte Pflichten für Risikomanagement, Data Governance und menschliche Aufsicht vor dem Einsatz.

Kernpunkte

DSGVO (EU 2016/679) — in Kraft seit Mai 2018; Rechtsgrundlage nach Art. 6, Datenminimierung nach Art. 5(1)(c), Betroffenenrechte nach Art. 15-22, gilt für jedes Analysemodell mit personenbezogenen Daten.
EU AI Act (EU 2024/1689) — Hochrisikopflichten wirksam ab 2027-12-02 (Digital-Omnibus, in Kraft seit 2026-07-27); Pflichten für KI mit allgemeinem Verwendungszweck wirksam ab 2027-08-02 laut §17.11-Ledger.
Hochrisikobereiche nach Anhang III — Kredit, Einstellung, Bildung, öffentlicher Dienst, Strafverfolgung, Justiz, Migration, biometrische Identifizierung; 200-800 Personentage Compliance-Arbeit je Hochrisikosystem.
Pflichten nach Art. 9-49 — Risikomanagementsystem, Datenverwaltung, technische Dokumentation, Aufzeichnungspflicht, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit.
Bußgelder — bis zu 7 % des weltweiten Umsatzes bei Verstößen gegen verbotene Systeme, 3 % bei Hochrisiko-Nichtkonformität nach dem AI Act; DSGVO-Bußgelder erreichen separat bis zu 4 % des weltweiten Umsatzes oder 20 Mio. Euro.
Seit dem 22.09.2026 inventarisiert SAPs AI Agent Hub Joule-Agenten/LLMs/MCP-Server und klassifiziert das AI-Act-/NIST-Risiko automatisch — ein Startinventar, kein Ersatz für die Frage nach der Rechtsgrundlage nach Art. 6 DSGVO.
Der Klassifizierungstest des AI Act hängt davon ab, wofür ein Score genutzt wird (Beschäftigung, Kredit, wesentliche Dienstleistungen), nicht davon, wie ausgefeilt das zugrunde liegende Modell ist.

Begriffe auf dieser Seite

Rechtsgrundlage (Art. 6 DSGVO): Die rechtliche Grundlage, unter der personenbezogene Daten verarbeitet werden — eine von sechs: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigtes Interesse; je Verarbeitungstätigkeit im Verarbeitungsverzeichnis dokumentiert (Art. 30).
Hochrisiko-KI-System (Art. 6 EU AI Act): Ein als hochriskant nach Anhang III oder als Sicherheitskomponente nach Anhang I eingestuftes KI-System; trägt die vollen Pflichten nach Art. 9-49, einschließlich Risikomanagement, Datenverwaltung, technischer Dokumentation und menschlicher Aufsicht.
Anhang III: Die Liste des AI Act mit acht Hochrisiko-Anwendungsfallbereichen: biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung, öffentliche Dienste, Strafverfolgung, Migration, Justiz; jedes KI-System in diesen Bereichen ist hochriskant.
Datenschutzbeauftragter (DPO): Die nach der DSGVO vorgeschriebene Rolle für Organisationen mit systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien; der DPO berät zur Compliance und ist Ansprechpartner für die Aufsichtsbehörde.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Eine Rechtsgrundlage, die eine Verarbeitung erlaubt, wenn sie einem echten Geschäftsbedarf angemessen ist und eine dokumentierte Interessenabwägung zugunsten des Verantwortlichen gegenüber den Interessen der betroffenen Person ausfällt.
Verarbeitungsverzeichnis (Art. 30 DSGVO): Das dokumentierte Verzeichnis, das jeder Verantwortliche über seine Verarbeitungstätigkeiten führen muss, einschließlich der jeweils herangezogenen Rechtsgrundlage — das Artefakt, in dem eine Art.-6-Entscheidung für ein Analysemodell festgehalten wird.
AI Agent Hub (SAP): SAPs anbieterübergreifendes Register und Governance-Schicht für Agenten, LLMs und MCP-Server; seit dem 22.09.2026 klassifiziert dessen AI Governance Assistant das EU-AI-Act-/NIST-Risiko automatisch neu, wenn sich ein inventarisiertes Szenario ändert.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.