Privatsphäre schützen

Transkript

1 Privatsphäre schützen Recht auf Vergessenwerden tritt in Kraft Die Übergangsfirst EU-Datenschutzrecht endet am:

2 Bereit für das neue EU-Datenschutzrecht? Mit dem Recht auf Vergessenwerden hat die Europäische Kommission das Recht von Endverbrauchern gestärkt. Durch das Inkrafttreten der EU-Datenschutz-Grundverordnung (EU-DSGVO) wird eine dauerhafte uneingeschränkte Verarbeitung digitaler Informationen mit Personenbezug reguliert und eingeschränkt. Nach Ablauf der Übergangsfrist zum müssen alle DV-Systeme, die personenbezogene Daten vorhalten und verarbeiten, diese nach Beendigung des Zwecks der Erhebung löschen bzw. diese massiven Zugriffsbeschränkungen unterwerfen.

3 Privatsphäre schützen Recht auf Vergessenwerden tritt in Kraft EU-Verordnung erfordert Umdenken im Umgang mit personenbezogenen SAP-Anwendungsdaten ab Mai 2018 Bußgelder könnten drastisch steigen Bisher galt gemäß Bundesdatenschutzgesetz (BDSG) eine Haftungshöchstgrenze von maximal Euro. Nun tritt unter anderem Art. 83 Abs. 5 der DSGVO in Kraft, der den Aufsichtsbehörden die Möglichkeit gibt, Bußgelder bis zu 20 Millionen Euro beziehungsweise bei Konzernen bis zu vier Prozent des weltweiten Umsatzes des Vorjahres zu verhängen. Diese drastischen Bußgelder sollen abschrecken und laut DSGVO vor allem für Unternehmen anfallen, wobei jedoch die EU-Mitgliedsstaaten jeweils die Möglichkeit haben, andere Sanktionen bei Verstößen festzulegen. Welche SAP-Systemlandschaften betrifft die neue Regelung? Betroffen sind generell alle Unternehmen, da die Verordnung auch in SAP HR Personalsystemen Anwendung fi ndet. Darüber hinaus sind sämtliche Unternehmen mit SAP ERP- und Industrielösungen betroffen, in denen eine B2C-Geschäftsbeziehung (Business-to-Consumer) besteht. Dies sind beispielsweise Versorgungs-, Telekommunikations- und Versicherungsunternehmen. Eine Überprüfung der eigenen Unternehmensprozesse und Datenstrukturen ist generell anzuraten, zumal es für die Umsetzung der Verordnung in SAP ERP- und Industrielösungen keine standardisierte Lösung im Rahmen eines EHP-Packages gibt. Eine Ausnahme bildet der SAP-Lösungsansatz für SAP HCM PA der nach heutigem Kenntnisstand kostenneutral zur Verfügung gestellt wird. Über die Komponente SAP ILM können die Anforderungen der EU-DSGVO im ERP-Umfeld dennoch durch einen SAP-eigenen Lösungsansatz durchgängig erfüllt werden. Neben der bisher bekannten Funktionalität, Businessobjekte bereits bei der Entstehung beziehungsweise beim Archivierungsprozess anhand frei wählbarer Organisationseinheiten mit einer Aufbewahrungsfrist zu versehen, kann nun darüber hinaus auch ein dezidiertes, regelbasiertes Sperren und Löschen von Datenobjekten erfolgen. Synchrones Management von Sperr- und Löschaktionen Werden die PBS archive add ons parallel zu SAP ILM eingesetzt, kann von einem synchronen Verhalten der PBS-Datenzugriffe ausgegangen werden, sobald durch das SAP Retentionmanagement (SAP IRM) eine Sperr- oder Löschaktion auf Stamm- und insbesondere auf archivierte Bewegungsdaten durch SAP ILM erfolgt. Synchron erfolgt seitens PBS automatisch ein Sperren aller relevanten Archivindexdaten. Asynchron können diese Daten anschließend durch einen Löschlauf aus dem PBS-Indexbestand entfernt werden. Unter technischen Aspekten wird in der SAP ILM-Lösung auf das explizite Löschen von personenbezogenen Daten auf der Primärdatenbank verzichtet. Vielmehr werden alle Daten durch den Datenarchivierungsprozess kontrolliert aus der Datenbank entfernt und nach Ablauf der Aufbewahrungsfrist durch den Datenvernichtungsprozess fi nal zerstört. Für Datenobjekte ohne korrespondierendes Archivierungsobjekt wird ein sog. Datenvernichtungsobjekt analog zu einem Datenarchivierungsobjekt generiert.

4 Synchrones Verhalten der PBS-Datenzugriffe PBS-Anwendung PBS-personenbezogene Archivindizes Technischer Archivzugriff SAP ADK SAP-Anwendung Ausnahmetabelle Geschäftspartner Erweiterte Berechtigungsprüfung Alternativen zu SAP ILM? Um den Anforderungen der EU-DSGVO gerecht zu werden, darf es letztendlich keine offene Geschäftsbeziehung mehr zwischen Unternehmen und dem Endverbraucher geben. Aus organisatorischer Sicht auf ein SAP-System bedeutet dies, dass alle Bewegungs- und Stammdaten die betriebswirtschaftlichen Voraussetzungen erfüllen müssen, um in einen regulären SAP Standardarchivierungsprozess eingebunden werden zu können. Diese Anforderung gilt sowohl für die Bewegungsdaten als auch für die Stammdaten, unabhängig von sich anschließenden Aufbewahrungsfristen. Kontrolle der Zugriffe auf personenbezogene Daten Mit der Archivierung aller personenbezogenen Prozessdaten wird eine wesentliche Anforderung des eingeschränkten und kontrollierten Datenzugriffs erfüllt. Ein versehentliches oder absichtliches Auslesen bzw. Manipulieren von Personendaten wird durch den Archivierungsprozess erheblich eingeschränkt, da bspw. SQL-Zugriffe via UPDATE und DELETE ausgeschlossen sind. Darüber hinaus bietet das SAP Berechtigungskonzept hier weitreichende Möglichkeiten, Archivdatenzugriffe zu kontrollieren. Bei Bedarf kann der Umfang durch zusätzliche PBSspezifi sche Prüfungen erweitert und somit verschärft werden. Für den Datenzugriff selbst stehen zahlreiche PBS archive add ons zur Verfügung, die auf Stamm- und Bewegungsdatenebene die Auskunftsfähigkeit für zulässige kontrollierte Datenzugriffe erlauben. Auf Stammdatenebene seien hier insbesondere die PBS archive add ons für Debitoren (CCMD), Kreditoren (CVMD) und Stammdatenänderungen erwähnt. Beim SAP-Geschäftspartnerkonzept für Versorgungs-, Telekommunikations- und Versicherungsunternehmen erfolgt der Zugriff auf archivierte Businesspartner über das SAP Archivinformationssystem. PBS trägt dafür Sorge, dass zentrale Transaktionen der Archive add ons CISU (IS-U/CCS) und CFICA (Massenkontokorrent) nahtlos den Zugriff auf die dazugehörigen Bewegungsdaten nur für den relevanten Personenkreis zulassen. PBS Archive Data Conversion Letztendlich müssen sich Unternehmen fl exibel neuen gesetzlichen Anforderungen anpassen, auch in Bezug auf archivierte, personenbezogene SAP-Daten. Gleichzeitig spielen Aspekte, wie etwa branchenspezifi sche Verhaltenskodexe oder die Datensicherheit, so beispielsweise der Schutz vor Missbrauch gespeicherter Bank- und Versicherungsinformationen, eine Rolle. Sensible Daten müssen demnach verschlüsselt werden und dürfen nur einem berechtigten Personenkreis zugänglich sein. Organisatorische Veränderungen, wie die Verschmelzung von Business Units oder ein Carve-out, können ebenfalls eine Anpassung der archivierten Daten erforderlich machen. Eigentlich sorgen Storage-Systeme für die Unveränderbarkeit archivierter Objekte, wie Dokumente, Drucklisten, DART-Files u.a. Diese schützen bei Workfl owprozessen oder gezielten Ablage-Requests alle relevanten Informationen vor absichtlicher oder unabsichtlicher Vernichtung. Im Rahmen eines Retention Managements können Retention Periods (Aufbewahrungsdauer) für einzelne Objektarten defi niert werden. Dafür stehen Lösungen wie der SAP Information Retention Manager (SAP IRM) oder der PBS Content Link zur Verfügung, die sowohl die ArchiveLinkals auch die WebDAV-Schnittstelle zur Datenablage bedienen.

5 Haftungs- und Garantieansprüche können eine wesentlich längere Aufbewahrungsdauer (bis zu 30 Jahren) notwendig machen als die gesetzlich vorgeschriebene Frist von 10 Jahren. Dies betrifft jedoch in der Regel nicht alle Daten, sondern lediglich einzelne Datenobjekte bzw. Datentypen. Ändern sich Compliance-Anforderungen für Geschäftsdaten, die mit einem Änderungsschutz versehen sind, erfolgt der Konvertierungsprozess durch Fortschreibung in eine neue Archivdatei. Nicht mehr benötigte Altarchivdatenbestände werden im SAP-Standard logisch gelöscht. Archivdaten mit System verändern Notwendige Anpassungen, wie Verschlüsselung, Maskierung und Datenumsetzung, beziehen sich normalerweise auf eine Vielzahl von Archivierungsobjekten. In SAP ERP gibt es mehr als 350 Archivierungsobjekte. Aus diesem Grund hat sich PBS für eine generische Archivdatenkonvertierung entschieden. Die unterschiedlichen Konvertierungsaufgaben können zentral konfi guriert und über einen Freigabeprozess von den Fachabteilungen validiert werden. Die Dokumentation der durchgeführten Änderungen erfolgt direkt im entsprechenden Archiv-File, so dass auch bei einer Portierung in eine andere Systemlandschaft die Anpassung der Archivdaten transparent bleibt. Sichern Sie sich jetzt ab! Falls Sie weitere Informationen benötigen, senden Sie einfach eine an Auf Wunsch stellen wir Ihnen auch kostenlose Testversionen der Produkte zur Verfügung! Gerne laden wir Sie auch zu unserem PBS-Informationstag ( , Bensheim) ein. Dort können Sie direkt mit unseren Experten die für Sie beste Lösung diskutieren. Anmeldung unter: pbs-software/anmeldung Archivdatenkonvertierung SAP ADK File (old) PBS archive data conversion suite conversion extraction masking encryption deletion SAP ADK File (new)

6 PBS Software GmbH Die PBS Software GmbH ist ein führender Anbieter von Ergänzungslösungen, die Ihr SAP-System in den Bereichen Datenarchivierung, Nearline Storage, Information Lifecycle Management sowie zur revisionssicheren Datenablage, Datenextraktion und Systemstilllegung verbessern. Seit über 25 Jahren setzen namhafte Kunden im In- und Ausland die Lösungen erfolgreich ein. International gilt die PBS Software GmbH als ausgewiesener Experte für komplexe, integrierte Zugriffe auf heiße und kalte Daten. Durch ihre innovativen Nearline-Storage-Lösungen verbessert die PBS Software GmbH die Analysemöglichkeiten für sehr große Datenvolumina (Big Data) und ist für aktuelle und zukünftige Anforderungen im SAP-Umfeld bestens aufgestellt. PBS-Lösungen sind von SAP zertifi ziert und die PBS Software GmbH ist seit vielen Jahren SAP-Partner (aktuell im SAP Partner- Edge Build-Programm). Auf unserer Webseite fi nden Sie eine komplette Übersicht über die verfügbaren PBS-Lösungen. PBS Software GmbH Schwanheimer Straße 144 a Bensheim Telefon: pbs-software.com info@pbs-software.com