Das Wort “Datenschutzgrundverordnung” führt aktuell landauf landab zu Schnappatmung bei Unternehmern. Plötzlich fragen sich alle, was sie eigentlich wirklich mit den personenbezogenen Daten von Kunden und potentiellen Kunden anstellen dürfen. Ist der Newsletterversand oder die Direktwerbung rechtmäßig? Dürfen die Daten für die Zielgruppenanalyse in der einen oder anderen Form genutzt werden?

Neben diesen rechtlich komplexen Fragen steht jedoch noch eine ganz andere Herausforderung: die technische Umsetzung.

• Wie sollen Unternehmen erst einmal die Übersicht über personenbezogene Daten erlangen? Welche Daten liegen vor? Für welche Zwecke werden diese verwendet? Auf welcher rechtlichen Basis erfolgt die Datenspeicherung und -verarbeitung? Liegen vielleicht Daten in den Applikationen, die ich für meine Vertragserfüllung oder Verarbeitungszwecke gar nicht benötige oder abfragen darf (zum Beispiel zur Ethnie, Religion etc.)?
• Wie können Unternehmen nachweisen, dass sie in all ihren Verarbeitungsprozessen DSGVO-konform agieren? Liegen alle Zustimmungen vor? Welche Daten wurden bereits gelöscht?
• Und vor allem: Wie sollen Unternehmen die möglicherweise Tausenden Datenanfragen von Personen beantworten?

Stellen Sie sich vor, Menschen aus der ganzen EU fragen plötzlich bei Ihnen an, welche Daten Sie vorhalten und verarbeiten? Potentiell 512 Millionen EU-Bürger können nunmehr Auskunft über ihre Daten verlangen sowie Änderungen und Löschung der Daten fordern. Bei mehreren Dutzend bis Hundert Applikationen im Unternehmen wird das schnell unübersichtlich ‒ vom Arbeits- und Personalaufwand ganz zu schweigen.

Abb. 1: Die komplexe Datenlandschaft macht eine einfache Abbildung der komplexen Zusammenhänge mittels klassischer Datenmanagementkonzepte unmöglich. Quelle: Eccenca

Übersicht und Handlungsfähigkeit in die Datenlandschaft bringen

Der Grund für den extrem hohen Aufwand ist in den gewachsenen IT-Strukturen in Unternehmen und den Geschäftsmodellen der Softwarehersteller zu suchen. Applikationen oder Backend-Systeme, in denen Daten gespeichert und verarbeitet werden, wurden abteilungs- und zweckspezifisch angeschafft. Jede Applikation verwaltet ihre Daten individuell und häufig in proprietären Datenformaten. Bestehende Datenmanagement-Ansätze bedeuten damit:

1. Datensilos: Die personenbezogenen Daten liegen in einer Vielzahl verschiedener Applikationen vor, die nicht miteinander kompatibel sind.
2. Hohe Kosten: Der Abgleich und die Verknüpfung erfordert selbst beim Einsatz von Data Lakes meist aufwendige Transformationsprozesse oder sehr teure Master-Data-Management-Systeme
3. Datenwidersprüche: Eine sichere, automatisierte Synchronisierung unter allen Systemen ist nicht möglich. Verändern sich Daten in einer Applikation, kann eine Aktualisierung in anderen Applikation nicht sichergestellt werden.

Diese Eigenschaften aktuell typischer Datenmanagement-Ansätze zeigen im Zuge der DSGVO ihre Grenzen. Denn in der Regel liegen zu jeder erfassten Person die Daten in einer Vielzahl von Applikationen. Dort werden sie zu unterschiedlichen Zwecke verarbeitet und genutzt. Diese Datensilos und die Inkompatibilität der Applikationen untereinander führen zu einem extrem hohen Aufwand, wenn den Herausforderungen der DSGVO rechtlich sicher und den Kunden gegenüber zufriedenstellend begegnet werden soll. Die wenigsten Unternehmen können beispielsweise die Verknüpfung zwischen den legalen Grundlagen, erlaubten Verarbeitungsprozessen und eigentlichen Datensätzen herstellen. Kurz: Es fehlt die Daten- und Konformitätstransparenz.

Um diese Verbindung applikationsübergreifend sichtbar machen zu können, braucht es deshalb eine Datenlandkarte. Diese Karte visualisiert die zu einer Person im Unternehmen vorliegenden Daten vollständig, lückenlos und verknüpft jedes Datenobjekt mit den Verarbeitungsprozessen und rechtlichen Grundlagen (Vertrag, Einwilligung, Gesetze). Im Datenmanagement wird deshalb auch vom Data Mapping gesprochen.

Um dieses Mapping im Unternehmen zu realisieren, müssen die Daten bisher aufwendig aus ihren Datensilos herausgeholt werden. Eine Alternative bietet jedoch die semantische Anreicherung der bestehenden Daten mit Metadaten. Diese werden in einem zentralen Datenkatalog verwaltet, ohne die Quelldaten selbst zu berühren. Mit Hilfe der Metadaten-Landkarte können integrative Abfragen zu Personen, Prozessen und Processing Purposes über das komplette Unternehmen hinweg nahezu in Echtzeit gestellt und beantwortet werden. Die Landkarte ermöglicht die umfassende Beantwortung dieser Fragen, ohne selbst ein DSGVO Risiko zu erzeugen und ohne Last auf Personal und Quell-Systeme zu verursachen.

Zudem ermöglichen Bearbeitungskomponenten die zentrale Anpassung und Ergänzungen von Daten. Auf Dashboards kann die allgemeine DSGVO-Konformität im Unternehmen dargestellt und überprüft werden.

Abb. 2: Dashboard mit KPIs zum Reporting der DSGVO-Compliance (hier: in Microsoft BI Power Desktop). Quelle: Eccenca

Semantisches Datenmanagement braucht keine neue IT

Der Ansatz des semantischen Datenmanagements erfordert keinen zusätzlichen Ausbau der IT-Landschaft im Unternehmen. Anstelle die bestehende IT komplett aufzubohren, wird vielmehr ein semantisches Dach über die IT-Infrastruktur gezogen. Über Schnittstellen und Importfunktionen, werden die im Unternehmen vorliegenden Daten in dem zentralen Datenkatalog mit Informationen über die Daten angereichert und referenziert (siehe Abb. 1). Als Datenformat wird hierbei das universelle RDF-Format genutzt.

Jede Applikation im Unternehmen kann Daten in diesen zentralen Datenkatalog importieren und aus ihm exportieren.

Damit entsteht nicht nur ein zentrales Datenmanagementsystem, das die bestehende IT- und Arbeitsprozesse nicht stört. Die zentrale, semantische Datenhaltung garantiert auch eine zeit-, ressourcen- und kosteneffiziente Umsetzung ihrer Rechte und Pflichten im Rahmen der DSGVO. Nicht zuletzt bildet das semantische Datenmanagement die Basis einer sinnvollen Big-Data-Strategie, die auf eine echte Wiederverwendbarkeit und Integration von Unternehmensdaten setzt. Die DSGVO ist für das unternehmerische Big-Data-Management eigentlich nur der Anfang.