{"id":35001,"date":"2022-09-23T11:01:08","date_gmt":"2022-09-23T09:01:08","guid":{"rendered":"https:\/\/www.d-velop.de\/blog\/?p=35001"},"modified":"2026-02-03T15:57:32","modified_gmt":"2026-02-03T14:57:32","slug":"sap-compliance","status":"publish","type":"post","link":"https:\/\/www.d-velop.de\/blog\/compliance\/sap-compliance\/","title":{"rendered":"SAP Compliance – Wie du deine personenbezogenen Daten rechtskonform archivierst"},"content":{"rendered":"\n

Die Frequenz von digitalen Datenfl\u00fcssen hat sich in den vergangenen Jahren stark erh\u00f6ht. Wir sind nicht nur privat f\u00fcr verschiedenste Dinge online unterwegs, sondern auch Unternehmen digitalisieren sich und ihre Prozesse. Dabei entstehen viele digitale, personenbezogene Daten. Mit der digitalen Bewegung passte die Europ\u00e4ische Union 2018 die Datenschutzgrundverordnung (DSGVO)<\/a> an. Mehr dazu und wie damit im Zusammenhang mit SAP Compliance umgegangen werden kann im folgenden Blog-Artikel.<\/p>\n\n\n\n

<\/span>SAP Compliance \u2013 Was ist das?<\/span><\/h2>\n\n\n\n

Compliance bedeutet ins Deutsche \u00fcbersetzt \u201eEinhaltung\u201c, genaugenommen die Verantwortung zur Einhaltung der gesetzlichen Bestimmungen und unternehmensinternen Richtlinien. Um Compliance in SAP sicherstellen zu k\u00f6nnen, bedarf es einer genauen und sauberen Analyse der internen Prozesse in SAP. Wenn von gesetzlicher Vorschrift gesprochen wird, ist damit vorwiegend die DSGVO gemeint.<\/p>\n\n\n\n

<\/span>DSGVO als Grundlage f\u00fcr SAP Compliance<\/span><\/h2>\n\n\n\n

Die DSGVO ist eine Verordnung der Europ\u00e4ischen Union zur Regelung der Verarbeitung personenbezogener Daten. Dabei soll der Schutz dieser Daten sichergestellt werden sowie auch der freie Datenverkehr innerhalb des europ\u00e4ischen Binnenmarktes.<\/p>\n\n\n\n

Doch was sind denn personenbezogene Daten? Nach Art. 4 Nr. 1 DSGVO<\/a> ist die gesetzliche Definition folgende: \u201e(\u2026) sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person (\u2026) beziehen.\u201c Als identifizierbar wird eine betroffene Person gesehen, die beispielsweise durch einen Namen, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identit\u00e4t dieser nat\u00fcrlichen Person sind, identifiziert werden kann. Informationen eines Unternehmens oder einer juristischen Person, wie eine GmbH, sind somit nicht personenbezogen, sofern sie keine Informationen \u00fcber nat\u00fcrliche Personen enthalten.<\/p>\n\n\n\n

Doch zur\u00fcck zur DSGVO: Im Wesentlichen geht es um genaue Bestimmungen \u00fcber das L\u00f6schen, Sperren und Speichern der personenbezogenen Daten. Insbesondere f\u00fcr die Speicherung gibt es folgende neun Grunds\u00e4tze im Rahmen der DSGVO.<\/p>\n\n\n\n

Grunds\u00e4tze f\u00fcr die Speicherung von personenbezogenen Daten<\/h3>\n\n\n\n

1. Rechtm\u00e4\u00dfigkeit<\/h4>\n\n\n\n

Damit ist lediglich gemeint, dass alle personenbezogenen Daten nach den rechtlichen Vorgaben der DSGVO rechtm\u00e4\u00dfig verarbeitet werden m\u00fcssen.<\/p>\n\n\n\n

2. Nach Treu und Glauben<\/h4>\n\n\n\n

Dieser Grundsatz ist f\u00fcr den Einzelfall bestimmt. Grunds\u00e4tzlich ist aber damit gemeint, dass die Verarbeitung der Daten redlich und anst\u00e4ndig erfolgen muss.<\/p>\n\n\n\n

3. Transparenz<\/h4>\n\n\n\n

Betroffene Personen haben das Recht auf informationelle Selbstbestimmung. Damit ist Art. 15 ff. DSGVO<\/a> gemeint, in dem die betroffene Person vom Verantwortlichen eine Best\u00e4tigung verlangen darf, ob die entsprechenden personenbezogenen Daten verarbeitet werden und falls ja, was beispielsweise die Verarbeitungszwecke sind oder was die geplante Dauer der Speicherung der Daten ist.<\/p>\n\n\n\n

4. Zweckbindung<\/h4>\n\n\n\n

Personenbezogene Daten d\u00fcrfen nur durch einen eindeutigen und legitimen Zweck erhoben werden.<\/p>\n\n\n\n

5. Datenminimierung<\/h4>\n\n\n\n

Die Datenerhebung muss in Betrachtung auf die Menge der Daten auf den Zweck und die notwendige Verarbeitung der Daten beschr\u00e4nkt sein.<\/p>\n\n\n\n

6. Richtigkeit<\/h4>\n\n\n\n

Die personenbezogenen Daten m\u00fcssen sachlich richtig und falls erforderlich, auf dem neuesten Stand sein. Bei unrichtigen Daten sind alle erforderlichen Ma\u00dfnahmen zu treffen.<\/p>\n\n\n\n

7. Speicherbegrenzung<\/h4>\n\n\n\n

Hier gilt der Speicherbegrenzungsgrundsatz, welcher besagt, dass personenbezogene Daten in einer Form gespeichert werden, dass die Identifizierung betroffener Personen nur so lange m\u00f6glich ist, wie es f\u00fcr die Zwecke, f\u00fcr die sie verarbeitet werden, erforderlich ist.<\/p>\n\n\n\n

8. Integrit\u00e4t und Vertraulichkeit<\/h4>\n\n\n\n

Damit ist gemeint, dass personenbezogene Daten in angemessener Sicherheit verarbeitet und gespeichert werden. Das bedeutet, Unbefugte haben keinen Zugriff auf diese Daten, es findet keine unrechtm\u00e4\u00dfige Verarbeitung statt, kein unbeabsichtigter Verlust, Zerst\u00f6rung oder Sch\u00e4digung.<\/p>\n\n\n\n

9. Rechenschaftspflicht<\/h4>\n\n\n\n

Der Verantwortliche f\u00fcr die Erhebung und Verarbeitung personenbezogener Daten ist f\u00fcr die Einhaltung der Grunds\u00e4tze des Datenschutzes verantwortlich. Die Einhaltung muss nach DSGVO nachgewiesen werden k\u00f6nnen. Dies erfolgt durch die Anfertigung von entsprechenden Dokumentationen f\u00fcr die Erf\u00fcllung von datenschutzrechtlichen Vorgaben, wie z.B. einem Verzeichnis von Verarbeitungst\u00e4tigkeiten.<\/p>\n\n\n\n

Hohe Strafen bei Verst\u00f6\u00dfen<\/h3>\n\n\n\n

Das Regelwerk der DSGVO ist gro\u00df und auf den ersten Blick vielleicht auch etwas un\u00fcbersichtlich, doch die Strafen bei Verst\u00f6\u00dfen sind hoch. Gem\u00e4\u00df Art. 83 Abs. 5 lit. a) DSGVO<\/a>, gibt es Geldbu\u00dfen von bis zu 20 Mio. \u20ac oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Gesch\u00e4ftsjahres. Das entscheidet sich immer danach, welcher Betrag h\u00f6her ausf\u00e4llt. Es lohnt sich also, Zeit in die SAP Compliance-Thematik zu investieren. <\/p>\n\n\n\n

<\/span>SAP Compliance Management mit dem Modul SAP ILM<\/span><\/h2>\n\n\n\n

Die Abk\u00fcrzung ILM steht f\u00fcr \u201eInformation Lifecycle Management\u201c und ist ein Modul der SAP, welches urspr\u00fcnglich genutzt wurde, um den Lebenszyklus von Qualit\u00e4tsmanagement-Informationen zu gew\u00e4hrleisten. Heute nutzt die SAP das Modul auch f\u00fcr die Umsetzung der Datenschutzgrundverordnung (DSGVO). Das Modul erm\u00f6glicht die Datenarchivierung, Aufbewahrungsmanagement und die Verwaltung von Datenfl\u00fcssen. \u00dcber L\u00f6sch- und Sperrkonzepte k\u00f6nnen personenbezogene Daten mittels eines Regelwerks gesperrt, archiviert und gel\u00f6scht werden. Damit sollen Datenfl\u00fcsse optimiert, Kosten der IT-Systeme gesenkt und rechtliche Compliance-Risiken, die mit der Erhebung bestimmter Daten einhergehen, minimiert werden.<\/p>\n\n\n\n

<\/span>Die d.velop Compliance-L\u00f6sung f\u00fcr SAP<\/span><\/h2>\n\n\n\n

Unter Einsatz des ILM Moduls des SAP erfolgt die Archivierung der Daten \u00fcber eine ILM-f\u00e4hige Ablage wie zum Beispiel d.velop ilm archiving for SAP Solutions<\/a>. Die Daten bestehen aus den personenbezogenen Belegdaten, optional den zugeh\u00f6rigen ArchiveLink-Verkn\u00fcpfungen und werden zusammen mit den Aufbewahrungs- und L\u00f6schfristen an die Ablage \u00fcbergeben. d.velop ilm archiving for SAP Solutions nimmt die Daten entgegen und legt diese im d.velop storage manager. Anhand der Aufbewahrungs- und L\u00f6schfristen werden die Daten nach Ablauf gel\u00f6scht, sofern kein Legal Hold seitens SAP ILM vorliegt.<\/p>\n\n\n\n

Durch die Verbindung von d.velop archiveLink for SAP Solutions und d.velop ilm archiving for SAP Solutions kann gew\u00e4hrleistet werden, dass ArchiveLink Dokumente vor Ablauf der ILM Aufbewahrungs- und L\u00f6schfristen gel\u00f6scht werden.<\/p>\n\n\n\n

\"d.velop<\/a>
d.velop ilm archiving for SAP Solutions <\/figcaption><\/figure>\n\n\n\n

In der Praxis<\/strong>: Wenn es um personenbezogene Daten geht, stellen wir uns in erster Linie, insbesondere Daten aus dem Personalbereich in Unternehmen vor. Doch auch innerhalb von Beschaffungs- und Vertriebsprozessen kommen personenbezogene Daten vor. Wie schon im vorherigen Abschnitt erw\u00e4hnt, schreibt die DSGVO mit dem Speicherbegrenzungsgrundsatz vor, dass personenbezogene Daten nach \u201eZeit der Zweckbestimmung\u201c gel\u00f6scht werden m\u00fcssen.<\/p>\n\n\n\n

Erh\u00e4lt man beispielsweise eine eingehende Bestellung, auf der personenbezogene Daten enthalten sind, bearbeitet daraufhin den Auftrag, verschickt die Waren und versendet im Anschluss die Rechnung. Nach der Bezahlung der Ware durch den Kunden ist der Vorgang abgeschlossen. Demnach m\u00fcssten die personenbezogenen Daten gel\u00f6scht werden.<\/p>\n\n\n\n

Im Rahmen der Einf\u00fchrung eines SAP ILM Moduls, erarbeitest du gemeinsam mit deinem ILM-Beratungspartner ein L\u00f6schkonzept gem\u00e4\u00df den Richtlinien der DSGVO. Die oben beschriebene ggf. kontr\u00e4re Rechtslage, die l\u00e4nderspezifisch sehr unterschiedlich sein kann, f\u00fchrt dazu, dass es zwangsl\u00e4ufig zu L\u00f6schkonflikten kommt. Die DSGVO verlangt das L\u00f6schen der Informationen, das L\u00e4nderrecht in Deutschland, wie zum Beispiel das HGB <\/a>oder BGB<\/a>, verlangen aber eine entsprechende Aufbewahrungspflicht.<\/p>\n\n\n\n

Genau da setzt das d.velop ILM archiving Modul an. Dieses sorgt daf\u00fcr, dass die in deinem SAP-ILM-Regelwerk definierten L\u00f6schkonzepte, entsprechend der l\u00e4nderspezifischen Rahmenparameter, auf die archivierten Dokumente und Belege angewendet wird. Wenn eine L\u00f6schung nicht zul\u00e4ssig ist, weil es fest definierte Aufbewahrungsfristen oder ggf. einen Legal-Hold gibt, werden die jeweiligen Dokumente f\u00fcr die Allgemeinheit gesperrt und sind nur noch f\u00fcr dedizierte Personen einsehbar. Nach Ablauf der Aufbewahrungspflicht werden die Dokumente automatisch gel\u00f6scht.<\/p>\n\n\n\n

\"Zertifikat<\/a>
Seit 2011 haben wir die zertifizierte SAP ILM Schnittstelle im Produktportfolio. Die aktuelle Rezertifizierung erfolgte im Juli 2022<\/figcaption><\/figure>\n\n\n\n

<\/span>Die Herangehensweise f\u00fcr dein SAP Compliance Management<\/span><\/h2>\n\n\n\n

F\u00fcr dein SAP Compliance Management wird die ILM-Schnittstelle zus\u00e4tzlich neben der ArchiveLink-Schnittstelle ben\u00f6tigt. Die klassische Dokumentenablage erfolgt \u00fcber unsere ArchiveLink-Schnittstelle. Unter Einsatz unserer ILM-Schnittstelle d.velop ILM archiving, werden Dokumente zur Archivierung direkt abgewickelt und in den Bereich storage manager geschrieben. Ist in den Regelwerken definiert, dass bestimmte Dokumente gel\u00f6scht werden sollen, m\u00fcssen wir mit dem klassischen SAP ILM Modul manuell abpr\u00fcfen, ob die Dokumente gel\u00f6scht werden d\u00fcrfen. Unser Produkt d.velop ILM archiving sorgt daf\u00fcr, dass die im ILM Modul festgelegten Regeln auch entsprechend automatisiert umgesetzt werden.  <\/p>\n\n\n\n

<\/span>Sch\u00fctze dich durch SAP Compliance vor hohen Strafen<\/span><\/h2>\n\n\n\n

Sicherlich gibt es spannendere Themen, als sich mit der DSGVO-konformen Archivierung personenbezogener Daten in SAP auseinanderzusetzen. Doch es wird sich lohnen, denn der Aufwand daf\u00fcr h\u00e4lt sich in Grenzen und sch\u00fctzt vor hohen Geldstrafen.  <\/p>\n\n\n\n

\n