Datenschutz: Wie Governance-Kontrollen sensible Daten schützen

Eine Datenschutzregel erscheint in der Theorie einfach: Verwenden Sie sensible Daten nur für genehmigte Zwecke, speichern Sie sie angemessen, beschränken Sie den Zugriff auf autorisierte Benutzer und löschen Sie sie, wenn sie nicht mehr benötigt werden. Doch diese Regeln lassen sich in einer großen, vernetzten Datenlandschaft nur schwer durchzusetzen, in der dieselbe Tabelle gleichzeitig Analysen, Reporting, Anwendungs-Workflows und KI-Anwendungsfälle für verschiedene Geschäftsbereiche in mehreren Rechtsräumen speisen kann.

Aus diesem Grund ist effektiver Datenschutz auf Data-Governance-Kontrollen angewiesen. Unternehmen benötigen eine Möglichkeit, sensible Daten aufzufinden und zu klassifizieren, den Zugriff einzuschränken, die Zweckbindungen zu wahren, Aufbewahrungsvorschriften anzuwenden und die weitere Verwendung nachzuverfolgen, selbst wenn Daten ihren ursprünglichen Kontext verlassen.

Datenschutz bietet Unternehmen klare Regeln für den verantwortungsvollen Umgang mit Daten und schützt gleichzeitig Einzelpersonen vor unbefugtem Zugriff, Missbrauch oder der Offenlegung ihrer personenbezogenen Daten. In einer Unternehmensdatenumgebung hängt der Datenschutz sowohl von den Richtlinien als auch von deren Durchsetzung ab. Eine Datenschutzrichtlinie kann definieren, wie Daten von Kunden, Mitarbeitern oder Patienten behandelt werden sollen. Diese Vorgaben greifen jedoch nur dann, wenn sie in Governance-Kontrollen über all jene Systeme hinweg übersetzt werden, in denen Daten gespeichert, abgefragt, geteilt und verarbeitet werden.

Aus diesem Grund ist Data Governance die Grundlage für den Datenschutz. Data Governance deckt das Betriebsmodell für Daten als Ganzes ab: Qualität, Data Ownership, Herkunft, Zugriff, Lebenszyklusmanagement und die Durchsetzung von Richtlinien in der gesamten Datenlandschaft. Governance-Praktiken helfen Unternehmen bei der Beantwortung praktischer Datenschutzfragen: Wo genau liegen personenbezogene Daten? Wer kann darauf zugreifen? Welche Nutzungen sind zulässig? Wie lange müssen diese Daten aufbewahrt werden? Was passiert, wenn ein formaler Antrag auf Löschung eingeht?

Ein Datenkatalog kann einem Team mitteilen, wo sich eine E-Mail-Spalte von Kunden liegt und welche Dashboards diese Daten nutzen. Datenschutzkontrollen gehen noch einen Schritt weiter und legen fest, ob diese Spalte für Marketingzwecke verwendet werden darf, ob die Einwilligung diese Nutzung abdeckt, wer die Rohwerte einsehen darf, wie lange die Daten aufbewahrt werden sollen und was passiert, wenn ein formaler Antrag auf Löschung eingeht. Es ist essenziell, dass Privacy Governance richtig dimensioniert ist, da sie in der Regel mit geltenden Vorschriften wie DSGVO, CCPA und HIPAA in Einklang gebracht werden muss, abhängig von der Gerichtsbarkeit und dem Anwendungsfall.

Eine Datenschutzrichtlinie definiert in der Regel die Kontrollen, die zum Schutz personenbezogener und sensibler Daten erforderlich sind. In den meisten Unternehmen bedeutet dies, sich auf fünf Kernbereiche zu konzentrieren: Erkennung und Klassifizierung, zulässige Verwendung, Zugriffsdurchsetzung, Datenaufbewahrung sowie kontinuierliches Monitoring.

1. Data Discovery und Klassifizierung

Datenschutz beginnt damit, zu wissen, welche personenbezogenen Daten vorhanden sind, wo sie gespeichert sind, wie sensibel sie sind und wie sie sich innerhalb der Umgebung bewegen. Eine Richtlinie sollte klar definieren, wie personenbezogene und sensible Daten identifiziert, klassifiziert und gekennzeichnet werden, damit Entwicklungsteams downstream direkt die passenden Kontrollen anwenden können. Dies ist eine grundlegende Voraussetzung. Ein Unternehmen kann für Daten, die es weder auffinden noch von weniger sensiblen Informationen unterscheiden kann, keine effektive Data Governance umsetzen.

2. Zweckbindung und Einwilligung

Eine Datenschutzrichtlinie sollte definieren, warum personenbezogene Daten erhoben werden, welche Verwendungszwecke explizit zulässig sind und wie diese dokumentiert werden. Die Richtlinie sollte auch regeln, wie Einwilligungen erfasst, wie Widerrufe gehandhabt werden und welche Prozesse greifen, wenn ein Team Daten für Zwecke nutzen möchte, die außerhalb der ursprünglichen Rechtsgrundlage liegen.

In Deutschland gilt neben der DSGVO das Bundesdatenschutzgesetz (BDSG), das zusätzliche Anforderungen für die Datenverarbeitung in Unternehmen festlegt. Betriebe, die bestimmte Schwellenwerte überschreiten, sind gemäß BDSG § 38 verpflichtet, einen Datenschutzbeauftragten (DSB) zu bestellen.

3. Zugriffskontrolle und Datenmaskierung

Nicht jeder Nutzer, jede Rolle oder jeder Workload sollten denselben Zugriff auf personenbezogene Daten haben. Eine Datenschutzrichtlinie sollte festlegen, wer Klartextwerte einsehen darf, wann Daten maskiert werden müssen und wie Zugriffsrechte erteilt, auditiert und kontinuierlich angepasst werden. Diese Kontrollen übersetzen abstrakte Datenschutzanforderungen in durchsetzbare Beschränkungen auf dem Data Layer.

4. Datenaufbewahrung und -löschung

Die DSGVO gewährt betroffenen Personen konkrete Rechte: das Auskunftsrecht (Art. 15), das Recht auf Löschung – auch bekannt als „Recht auf Vergessenwerden" (Art. 17) –, das Berichtigungsrecht (Art. 16) sowie das Widerspruchsrecht (Art. 21). Eine Governance-Richtlinie muss Prozesse definieren, wie das Unternehmen auf solche Anträge fristgerecht reagiert.

In den Datenschutzrichtlinien sollte festgelegt werden, wie lange personenbezogene Daten aufbewahrt werden, wann sie archiviert werden sollen und wie sie gelöscht werden, sobald die Aufbewahrungsfrist abgelaufen ist oder ein gültiger Antrag auf Löschung eingegangen ist. Dies hilft Unternehmen dabei, operative Datenpraktiken mit Datenschutzverpflichtungen in Einklang zu bringen, und verringert das Risiko, dass personenbezogene Daten länger als nötig aufbewahrt werden, nur weil sie technisch verfügbar bleiben.

5. Monitoring und Audit

Eine Datenschutzrichtlinie sollte festlegen, wie der Zugriff auf personenbezogene Daten nachverfolgt wird, wie Ausnahmen überprüft werden und wie das Unternehmen bei Verdacht auf Missbrauch oder Richtlinienverstöße ermittelt. Kontinuierliches Monitoring und Auditierbarkeit sind wichtig, da ein Unternehmen im Rahmen eines Audits, einer Untersuchung oder einer Überprüfung von Vorfällen nachweisen können muss, dass der Zugriff auf personenbezogene Daten im Einklang mit den Richtlinien erfolgte.

KI erhöht den Druck, da sie sowohl die Einsatzmöglichkeiten personenbezogener Daten als auch die Schwierigkeit, diese Verwendungen nachzuverfolgen, vergrößert. Daten, die für den Kundenservice oder die Transaktionsverarbeitung erhoben wurden, können später für das Modelltraining, Prompt Grounding, Feature Engineering oder die automatisierte Entscheidungsunterstützung vorgeschlagen werden. Eine Datenschutzrichtlinie sollte klären, ob diese Verwendung gemäß den geltenden Unternehmensrichtlinien und gesetzlichen Vorgaben zulässig ist, ob sie durch eine Benachrichtigung oder Einwilligung abgedeckt ist und welche Kontrollmaßnahmen gelten, bevor die Daten überhaupt einen KI-Workload erreichen.

Dies ist in der Richtlinienlandschaft nicht nur hypothetisch. Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, und die Umsetzung ist bereits im Gange: Verbote bestimmter KI-Praktiken traten im Februar 2025 in Kraft, Verpflichtungen für Allzweck-KI-Modelle folgten im August 2025, und Anforderungen für KI-Systeme mit hohem Risiko werden voraussichtlich zwischen 2026 und 2027 schrittweise eingeführt. Der Europäischer Datenschutzausschuss (EDSA) dokumentiert weiterhin die aufkommenden KI-Governance-Aktivitäten auf Bundesstaatsebene.

Die Überschneidung zwischen Datenschutz und KI-Governance ist mittlerweile so groß, dass die meisten Unternehmen eine Abstimmung zwischen beiden Bereichen benötigen. Für die Verfasser von Governance-Richtlinien sind die praktischen Konsequenzen klar. Unternehmen, die KI-Governance-Programme aufbauen, sollten in ihren Datenschutzrichtlinien KI-spezifische Verarbeitungszwecke berücksichtigen, Genehmigungswege für Trainings- und Inferenzdaten festlegen, die Datenherkunft sensibler Trainingsdatensätze nachweisen und gegebenenfalls Verfahren zur Löschung und zum erneuten Training einführen. Es kann auch hilfreich sein, zu klären, wie sich Zugriffsbeschränkungen, Maskierungsregeln und Audit-Anforderungen neben Analyse- und Reporting-Workflows auch auf KI-Pipelines erstrecken.

Erfahren Sie, wie Snowflake Datenschutzkontrollen ermöglicht, um sensible Daten zu schützen.

Datenschutz-Governance funktioniert nur, wenn sie eng mit der tatsächlichen Datenutzung verknüpft ist. Die Richtlinie muss Zweck, Zugriff, Aufbewahrung und Rechte auf einer Ebene definieren, hinter der Rechts- und Compliance-Teams stehen können, aber sie muss diese Anforderungen auch an die Systeme knüpfen, die Daten klassifizieren, Maskierungen durchsetzen, den Zugriff einschränken und Vorgänge protokollieren.

Data Governance liefert das notwendige Operating Model für diese Kontrollen. Sie hilft Unternehmen, Datenschutzanforderungen in einheitliche Regeln für den gesamten Datenbestand umzuwandeln, einschließlich der KI-Workflows, die derzeit die Verarbeitung personenbezogener Daten neu gestalten.