Wissen Sie, wie lange personenbezogene Daten gespeichert werden dürfen und wie sich diese anonymisieren lassen? Für ein DSGVO-konformes Arbeiten mit einem ERP-System oder CRM-System kann dieses Wissen mitunter zwingend notwendig sein, denn für den Einsatz von ERP ist Datenschutz ein wesentliches Thema.
In diesem Beitrag haben wir beide Systeme verglichen: ERP vs. CRM: Definition, Unterschiede und Kombination
Das Wichtigste in Kürze:
Personenbezogene Daten müssen DSGVO-konform gehandhabt werden.
Für ERP-Systeme spielt die DSGVO eine wesentliche Rolle, da diese eine Vielzahl sensibler Daten verwalten. Für einige Zwecke genügt es dem System jedoch, Datensätze in anonymisierter Form verarbeiten zu können.
Daten gelten erst dann als anonymisiert, wenn sie nicht länger einer natürlichen Person zugeordnet werden können.
Die DSGVO in ERP Anwendungen zu berücksichtigen ist über zahlreiche Zusatzfunktionen möglich.
Inhaltsverzeichnis:
Was ist die DSGVO eigentlich?
Die DSGVO (Datenschutzgrundverordnung) beschreibt den rechtlichen Rahmen, in dem personenbezogene Daten gespeichert und weiterverarbeitet werden dürfen. Sie gilt innerhalb der Mitgliedstaaten der EU und ist auch unter dem englischsprachigen Ausdruck GDPDR (General Data Protection Regulation) bekannt.
Unternehmen mit Sitz außerhalb der europäischen Grenzen müssen sie ebenfalls berücksichtigen, wenn sie Daten von EU Bürgern verarbeiten. Ziel ist die Gewährleistung des freien Datenverkehrs.
Die formulierten Bestimmungen sind für alle Arten von Unternehmen bindend, die sensible Daten natürlicher Personen speichern. Verstöße werden mit empfindlichen Bußgeldern geahndet.
Zu Ihrem Vorteil kann die Datenschutzverordnung softwaregestützt umgesetzt werden.
Was beinhaltet die DSGVO – Checkliste für Software-Anforderungen
Das Recht auf Löschung: Eine Person kann die Löschung der sie betreffenden Daten verlangen, wenn es keinen offensichtlichen Verwahrungsgrund gibt. In der Praxis wird diesem Anliegen mit einer nicht wiederherstellbaren automatisierten Löschung oder einem Anonymisierungsvorgang begegnet.
Datenübertragbarkeit: Gespeicherte Daten müssen den betreffenden Personen auf Wunsch in einem zugänglichen Format ausgehändigt werden können.
Informationspflicht und Transparenz: Die Erhebung der Daten selbst und deren Weiterverarbeitung hat transparent und in leicht nachvollziehbarer Form zu erfolgen. Die Betroffenen müssen sich jederzeit darüber bewusst sein können, was mit ihren Daten geschieht und dass ihre Daten zur dauerhaften Einsicht erhoben wurden.
Auskunftspflicht: Der Zweck der Datennutzung und der Inhalt der erhobenen Werte darf hinterfragt werden. In Bezug auf die Prozesse der Datenerhebung sind Unternehmen damit zu Auskunft verpflichtet, auch wenn es im Nachhinein zu einer Rechtsprüfung kommt, es also infrage steht, ob personenbezogene Rechte gewahrt wurden.
Arbeitnehmerdatenschutz: Der Datenschutz der Arbeitnehmer wird durch die Verordnung erweitert. Mitarbeiterdaten dürfen nur für die Bewertung von Bewerben und wenn für das Arbeitsverhältnis erforderlich genutzt werden.
Recht auf Widerspruch: Niemand ist gezwungen, seine Daten zu übermittelt. Der Datennutzung kann widersprochen werden.
Was bedeutet Anonymisieren im Sinne der DSGVO?
Einstmals personenbezogene Klardaten gelten als anonymisiert, wenn es in Folge eines Anonymisierungsprozesses nicht mehr möglich ist, sie einer bestimmten Person zuzuordnen.
Es dürfen also keine Verbindungen vorliegen, die es beispielsweise ermöglichen würden, einzelne Datensätze über ein Register rückwirkend bestimmten Personen zuzuordnen.
Pseudonymisierte Daten sind demnach nicht anonym.
Innerhalb von Geschäftsprozessen werden Sie meist Daten anonymisieren lassen, die ursprünglich aus konkreten persönlichen Angaben hervorgegangen sind. Rechtlich unterliegen die nach der Anonymisierung verbleibenden Daten nicht weiterhin der DSVGO, da keinerlei Personenbezug mehr besteht.
Warum ist die DSGVO für die Nutzung von ERP-Systemen relevant?
Damit ein ERP-System in der Lage ist, betriebsinterne Prozesse zusammenhängend abzubilden, benötigt es Zugang zu relevanten Datensätzen aus allen Abteilungen. Davon sind grundlegend sämtliche Stammdaten zu
Kunden,
Lieferanten,
Interessenten,
Mitarbeitern
und Geschäftspartner betroffen.
Ihre Angaben gelten per Definition als personenbezogen und fallen demnach unter die DSGVO.
Im Umkehrschluss muss das ERP-System in der Lage sein, eine eindeutige Dokumentation der Datenerhebungs- und Datenaustauschprozesse zu gewährleisten. Trotz Einsatz der Software müssen die den Einzelpersonen unter der DSVGO garantierten Rechte erhalten bleiben.
Erreicht wird dies über ein permanent aktuell gehaltenes Datenverschlüsselungssystem. Dazu gehört die sichere Verwaltung von Zugriffsrechten.
DSGVO-konformes arbeiten mit einem ERP-System: Darauf kommt es an
Moderne ERP-Systeme verfügen über datenschutzkonforme Erweiterungen, die sich nahtlos in die übrigen Anwendungsprozesse einfügen. Deren Anlage erlaubt Automatisierungsprozesse, die entsprechenden Anfragen sofort und lückenlos nachkommen. Bei der ERP Beschaffung sind diese Kriterien unbedingt zu beachten.
Zu den relevanten Funktionen gehören:
Datenschutzrelevante Eingabefelder in Formularen (Eignen sich perfekt zur direkten Auswahl, wenn Sie über das System personenbezogene Daten anonymisieren wollen.)
1. Unmittelbare Ergänzung des Datums bei Aufnahme von Daten 2. Zeitpunkt der Erhebungsinformation an den Kunden 3. Feld für Aufnahme der Herkunft der Daten 4. Widerspruch Direktwerbung
Mitarbeiterfreundliche Auskunftsfunktionen für Datenschutzauskünfte mit entsprechenden Suchmasken
Allgemeine Anonymisierungsfunktionen
Möglichkeit zur rückstandslosen Datenlöschung
Datenschutzeinstellungen als Eingabevorschläge
Sichere Verwaltung von Zugriffsrechten
Erkennen und Zusammenführen/Löschen von Duplikaten
Automatische Anlage eines Verfahrensverzeichnisses zur transparenten Datennutzungsdokumentation
Die Munixo von Novicon bietet Ihnen eine DSGVO-konforme ERP-Software mit allen Features, die für ein rechtssicheres Arbeiten notwendig sind.
Wenn Sie mehr zur Prozessoptimierung mit ERP erfahren möchten, lesen Sie den passenden Beitrag.
Wie kann ein ERP-System bei der Anonymisierung der Daten helfen?
Verfügt Ihr ERP-System über Mechanismen, die ihm helfen, gezielt datenschutzrelevante Eintragungen zu einem Objekt zu erkennen, können Sie diese zu Zwecken der Anonymisierung direkt ansteuern. Derartige Funktionen gehören oft zu den Vorteilen eines ERP-Systems.
Durch die Vernetzung des Gesamtsystems erreichen Sie, dass bei diesen Prozessen keine ausgelagerten oder in unterschiedlichen Abteilungen verwalteten Daten zurückbleiben. Wichtige Kennzahlen in diesem Zusammenhang sind:
Die Datenherkunft
Die Herkunft der aufgenommenen Daten erfassen Sie direkt bei deren Abfrage. Dazu eignen sich als datenschutzrelevant markierte Formularfelder, über die die Identität des Auskunftsgebenden vermerkt wird. Sie benötigen diese Angaben zur Verifizierung der Echtheit von Auskünften und für spätere Rückfragen.
Damit sichern Sie sich gegen Folgen von Identitätsdiebstahl und unerlaubten Zugangs ab. Im Verlauf der Anonymisierung werden diese Angaben mit entfernt, um Rückschlüsse auf die betreffende Person aus Kombinationsvorgängen zu vermeiden.
Zeitpunkt der Datenerhebung
Der Zeitpunkt der Datenerhebung vermittelt wesentliche Informationen zu deren Aktualität. Schließlich können sich Aspekte wie Familiennamen ändern, wodurch unter Umständen Widersprüche entstehen. Durch eine geordnete Datenaufnahme lassen sich entstandene Komplikationen aufklären.
Zudem werden personenbezogene Daten bindend nur für festgeschriebene Zeiträume gespeichert. Im Anschluss müssen sie in der Regel rückstandslos gelöscht oder anonymisiert werden.
Kann das System deren Erfassungszeitpunkt automatisch speichern und beobachten, ist es auch in der Lage, Sie über eine Reminder-Funktion auf Handlungsbedarf aufmerksam zu machen.
Möglichkeit Direktwerbung zu widersprechen
Ein Feld, in dem der Kunde mittels eines Formularhäkchens seine Zustimmung zu Direktwerbung gibt, ist mitunter sehr hilfreich. Solche ist nicht automatisch gestattet und bedarf aus Sicht der Datenverordnung der aktiven Zustimmung. Haben Sie diese mit Hilfe des Systems protokolliert, sind sie abgesichert.
Zudem können die Daten direkt dem Verteiler der Marketingabteilung zugeordnet werden. Diese findet dann unkompliziert eine Auflistung möglicher Ansprechpartner vor. Widerspricht der Kunde, erfolgt keine Datenweitergabe. Der Marketingabteilung wird kein Zugriff gewährt.
Feld für Notizen
Mit einem Feld für Notizen behelfen Sie sich in Bezug auf unvorhersehbare oder seltene Eventualitäten. Hier können abweichende Bestimmungen für seltene Anfragen z.B. aus dem Ausland hinterlegt werden oder bedingte Rechte (Vormundschaft …).
Diese Angaben sind in der Regel ebenfalls sehr konkret und gelten gleichsam als personenbezogen, da sie leicht zu einer bestimmten Person führen. Im Falle einer Löschung ist es günstig, sie automatisch mit als datenschutzrelevant erfassen zu können.
Fazit
Datenschutzkonform zu arbeiten bringt viele kleine Einzelschritte mit sich, die in manueller Form in ihrer Gesamtheit viel Zeit kosten und schnell unübersichtlich werden. ERP-Systeme sind besten dazu geeignet, diese zusätzlichen Aufgaben in bestehende Abläufe zu integrieren.
Andersherum ist es jedoch gerade ihre Fähigkeit, zugleich mit einer Vielzahl von Datensätzen zu agieren, die sie für Datenrechtsverletzungen anfällig macht. In diesem Sinne spiel Anonymisierung für ERP-Systeme eine tragende Rolle.
FAQ
Wann müssen Daten pseudonymisiert werden?
Pseudonymisierte Daten sind teilweise durch Entfremdungsprozesse anonymisiert. Sie können jedoch mit Hilfe eines Schlüssels oder Codes mit einer bestimmten Person identifiziert werden.
Dies ist wesentlich, wenn Zugriffsrechte innerhalb der Unternehmenssoftware eingeschränkt oder nur für bestimmte Personengruppen gewährt werden sollen. Auch für statistische Erhebungen können derart gemanagte Daten sinnvoll sein.
Ist Anonymisierung umkehrbar?
Echte Anonymisierung sollte nicht umkehrbar sein. Rechtskonform ist ein solcher Schritt nur, wenn die tatsächliche Löschung aller datenschutzrelevanten Angaben gewährleistet ist.
Tauchen Sie tiefer ein und entdecken Sie weitere fesselnde Inhalte: