GDPR und Data Governance

Die Debatte um Facebook, Aleksandr Kogan und Cambridge Analytica machte 2018 sichtbar, welche Folgen ein intransparenter Umgang mit personenbezogenen Daten haben kann. Menschen stellen Unternehmen Daten zur Verfügung und erhalten dafür Dienste oder personalisierte Angebote. Voraussetzung für dieses Verhältnis ist jedoch Vertrauen und Transparenz darüber, was mit den Informationen geschieht.

Die GDPR als neuer Rahmen

Seit dem 25. Mai 2018 gilt die europäische Datenschutz-Grundverordnung, international als GDPR bezeichnet. Sie stärkte die Rechte betroffener Personen, erweiterte die Pflichten datenverarbeitender Organisationen und gilt unter bestimmten Voraussetzungen auch für Unternehmen außerhalb der EU. Bei schweren Verstößen drohen erhebliche Sanktionen.

Die Verordnung machte damit deutlich, dass Datenschutz nicht allein eine Aufgabe der Rechtsabteilung ist. Geschäftsprozesse, IT-Systeme und Verantwortlichkeiten müssen gemeinsam betrachtet werden.

Datenpannen und Vertrauensverlust

Bereits vor Inkrafttreten der GDPR hatten öffentlich bekannte Datenschutzvorfälle gezeigt, dass unzureichender Schutz nicht nur rechtliche Folgen hat. Imageschäden und verlorenes Vertrauen können ein Unternehmen langfristig belasten. Die technische Absicherung ist deshalb notwendig, reicht aber ohne klare Regeln und Zuständigkeiten nicht aus.

Data Governance als Lösungsansatz

Data Governance definiert, wer auf welche Daten zugreifen darf, nach welchen Regeln sie verarbeitet werden und wie Entscheidungen nachvollziehbar bleiben. Rollen und Berechtigungen sollten dem Prinzip der geringsten erforderlichen Rechte folgen. Menschen erhalten nur den Zugriff, den sie für ihre Aufgabe tatsächlich benötigen.

Zu den technischen und organisatorischen Maßnahmen gehören unter anderem:

• Verschlüsselung und sichere Übertragung,
• die dauerhafte Vertraulichkeit, Integrität und Verfügbarkeit von Systemen,
• geregelte Wiederherstellungsverfahren,
• regelmäßige Überprüfung der Wirksamkeit von Schutzmaßnahmen,
• dokumentierte Zuständigkeiten und Freigaben.

Welche Maßnahmen angemessen sind, hängt vom jeweiligen Unternehmen, seinen Daten und Risiken ab. Data Governance liefert deshalb kein starres Universalmodell. Sie schafft einen Rahmen, in dem Regeln, Rollen und Kontrollen auf die konkrete Organisation zugeschnitten werden.

Den Datenlebenszyklus beherrschen

Personenbezogene Daten durchlaufen mehrere Phasen: Erhebung, Nutzung, Weitergabe, Archivierung und Löschung. Für jede Phase müssen Zweck, Rechtsgrundlage, Verantwortlichkeit und erlaubte Zugriffe bekannt sein. Nur dann kann eine Organisation Auskünfte erteilen, Löschungen durchführen und Verarbeitungsschritte nachweisen.

Ein Data Steward kann dabei die fachliche Verantwortung für definierte Datenbestände übernehmen. Prozessverantwortliche legen Abläufe fest, während technische Teams Kontrollen und Schnittstellen umsetzen. Entscheidend ist das Zusammenspiel dieser Rollen.

Prozesse statt Einzelmaßnahmen

GDPR-Compliance entsteht nicht durch eine einmalige Bereinigung oder die Installation eines Werkzeugs. Richtlinien müssen in operative Prozesse übersetzt, Zuständigkeiten dauerhaft verankert und Kontrollen regelmäßig überprüft werden.

Data-Governance-Software kann Metadaten, Verantwortlichkeiten und Datenflüsse sichtbar machen. Sie unterstützt die Umsetzung, ersetzt aber weder fachliche Entscheidungen noch eine gelebte Governance-Organisation.

Fazit

Die GDPR verlangt Transparenz und Kontrolle über personenbezogene Daten. Data Governance stellt dafür die organisatorische und technische Grundlage bereit: klare Rollen, definierte Prozesse, kontrollierte Zugriffe und ein nachvollziehbarer Datenlebenszyklus. Je besser diese Elemente verbunden sind, desto verlässlicher lassen sich Datenschutzpflichten im täglichen Betrieb erfüllen.