Data Governance für die DSGVO: So operationalisieren Sie Compliance-Anforderungen

Die DSGVO schreibt Unternehmen vor, was sie mit personenbezogenen Daten tun müssen, gibt aber kein Data Governance-Framework oder Betriebsmodell vor. Diese Lücke ist beabsichtigt – die DSGVO wurde so konzipiert, dass sie branchenübergreifend sowie für Unternehmensgrößen und technische Umgebungen gilt, die für einen einzigen vorgeschriebenen Ansatz zu unterschiedlich sind. Die Verordnung definiert die erforderlichen Ergebnisse, nicht die erforderlichen Methoden.

Um diese Ergebnisse zu erreichen, benötigen Unternehmen mehr als nur eine Richtlinie. Effektive Data Governance für die DSGVO bedeutet, in der Lage zu sein, die personenbezogenen Daten eines Unternehmens zu identifizieren, ihre Nutzung nachzuverfolgen, aufzuzeigen, welche Kontrollen gelten, und Nachweise dafür zu erbringen, dass diese Kontrollen in realen Systemen konsistent funktionieren.

Die DSGVO ist seit Mai 2018 in Kraft. Sie gilt für jedes Unternehmen, das personenbezogene Daten von Einwohner:innen der EU verarbeitet, unabhängig davon, wo das Unternehmen seinen Sitz hat. Die Kernverpflichtungen der Verordnung – zu wissen, welche personenbezogenen Daten Sie besitzen, sicherzustellen, dass sie korrekt sind und nur für definierte Zwecke verwendet werden, sowie sie mit geeigneten Kontrollen zu schützen – erfordern alle, dass ein Unternehmen über operative Systeme verfügt. Der Grundsatz der Rechenschaftspflicht (Artikel 5 Absatz 2) macht dies deutlich: Unternehmen müssen in der Lage sein, nachzuweisen, dass sie die Prinzipien der DSGVO einhalten, und dürfen dies nicht nur behaupten.

Dokumentierte Richtlinien, definierte Rollen, technische Kontrollen und Audit-Aufzeichnungen müssen die Richtlinie mit der tatsächlichen Datenverarbeitung verknüpfen. Ein Audit-Trail ist nach der DSGVO nicht optional.

Sowohl Verantwortliche als auch Auftragsverarbeiter haben unter der DSGVO Verpflichtungen, wobei die Verantwortlichen die größere Rechenschaftspflicht tragen. Wenn ein:e Datenschutzbeauftragte:r (DSB) erforderlich ist, benötigt diese Rolle echte Einblicke in Verarbeitungsaktivitäten, Kontrollen und Risikoentscheidungen – und darf nicht nur eine namentlich genannte Ansprechperson sein.

Der klarste Weg, um zu verstehen, was die DSGVO von einem Governance-Programm verlangt, besteht darin, einzelne Artikel den operativen Fähigkeiten zuzuordnen, die sie implizieren.

Diese Zuordnung ist hilfreich, da die DSGVO als Verordnung und nicht als Implementierungsleitfaden verfasst ist. Sie legt fest, was durchgesetzt werden muss – Daten müssen korrekt sein, die Verarbeitung muss protokolliert werden, der Zugriff muss angemessen sein –, ohne die Systeme oder Prozesse vorzugeben, die diese Durchsetzung ermöglichen. Ein Governance-Programm erfüllt genau diese Funktion.

Artikel 25 verdient besondere Aufmerksamkeit. „Privacy by Design“ erfordert, dass der Datenschutz von Anfang an in die Verarbeitung integriert wird, wobei personenbezogene Daten standardmäßig eingeschränkt und nicht standardmäßig freigegeben werden. Aus Governance-Sicht bedeutet dies eine Klassifizierung bei oder kurz nach der Erfassung, an Datenbestände geknüpfte Kontrollen und eine Richtlinienlogik, die automatisch greift, anstatt sich auf menschliche Einzelfallentscheidungen zu verlassen.

Die DSFA-Anforderungen gemäß Artikel 35 gelten speziell für risikoreiche Verarbeitungen – systematische Überwachung in großem Umfang, besondere Datenkategorien, automatisierte Entscheidungsfindung mit erheblichen Auswirkungen. Nicht jede Verarbeitung erfordert eine DSFA, aber ein Governance-Programm benötigt einen klaren Pfad, um zu erkennen, wann eine solche erforderlich ist, und um sie einer angemessenen Prüfung zuzuführen.

Ein DSGVO-konformes Programm ruht in der Regel auf vier Grundpfeilern: Inventar, Klassifizierung, Durchsetzung von Zugriffsrechten und Überprüfbarkeit.

Personenbezogene Daten können nicht geregelt werden, wenn sie nicht auffindbar sind. Ein Inventar macht sichtbar, welche personenbezogenen Daten existieren, wo sie sich befinden, wie sie sich durch Systeme bewegen und welche Geschäftsprozesse sie nutzen. Dies unterstützt direkt die Dokumentationspflichten nach Artikel 30, bildet aber auch die Grundlage für alles andere: Risikobewertung, Zugriffsprüfung, Aufbewahrungsentscheidungen und Reaktion auf Vorfälle.

Ein Datenkatalog und Lineage-Funktionen machen das Inventar einsatzbereit. Eine Tabelle mit Kunden-E-Mail-Adressen, Support-Transkripten oder gesundheitsbezogenen Attributen sollte nicht nur als technisches Objekt, sondern im Kontext sichtbar sein – woraus sie gespeist wird, was sie speist und welchem Geschäftszweck sie dient. Governance-Entscheidungen hängen davon ab, wie Daten tatsächlich genutzt werden, und nicht nur davon, wo sie gespeichert sind.

Die Grundsätze der DSGVO lassen sich viel einfacher durchsetzen, wenn personenbezogene Daten bei oder kurz nach der Erfassung konsistent getaggt werden. Die Klassifizierung liefert das Signal, von dem nachgelagerte Kontrollen abhängen. Sobald Daten als personenbezogen, sensibel oder anderweitig getaggt sind, können Maskierungsrichtlinien, Zugriffsregeln, Aufbewahrungsfristen und Monitoring automatisch greifen. Das ist die operative Logik hinter Artikel 25. Die Anforderung besteht darin, den Schutz von Anfang an zu einem Teil des Verarbeitungsdesigns zu machen.

Datenminimierung muss technisch durchgesetzt und nicht nur in einer Richtlinie festgehalten werden. Ein Governance-Programm erfordert eine standardmäßige Zugriffshaltung, die mit Einschränkungen beginnt und Zugriff nur gezielt gewährt, gebunden an Rolle und angegebenen Zweck.

Rollenbasierte Zugriffskontrolle (RBAC), Sicherheit auf Spaltenebene und Maskierung sind die praktischen Mechanismen dafür. Am besten ist es, Richtlinien direkt an die Daten zu knüpfen – so werten Kontrollen die Rolle oder den Zweck der Nutzer:innen aus und geben nur das preis, was für die Aufgabe erforderlich ist, ohne für jedes Feld und jede Abfrage einen neuen Zugriffsfall erstellen zu müssen.

Ein Governance-Programm im Rahmen der DSGVO ist ohne Nachweise unvollständig. Das bloße Vorhandensein von Richtlinien reicht nicht aus. Es muss Aufzeichnungen geben, die belegen, dass die Richtlinie auf tatsächliche Datenzugriffe und Verarbeitungsaktivitäten angewendet wurde.

Zugriffsprotokollierung, Abfrageverlauf und Lineage-basiertes Auditing liefern diesen Nachweis. Wenn ein Unternehmen gefragt wird, welche Nutzer:innen eine Spalte mit personenbezogenen Daten abgefragt haben, ob ein eingeschränktes Attribut in eine nachgelagerte Ansicht geflossen ist oder welche Verarbeitungsaktivität einen bestimmten Geschäftszweck unterstützt hat, müssen die Antworten aus Aufzeichnungen stammen – und nicht aus einer manuellen Rekonstruktion über mehrere Systeme hinweg.

Ein Governance-Programm ist nur so stark wie die Kontrollen, die auf der Datenebene durchgesetzt werden. Snowflake bietet eine Durchsetzungsebene, die Unternehmen dabei unterstützt, Klassifizierung, Zugriffskontrollen und Audit-Aufzeichnungen auf Datenbestände anzuwenden, anstatt sie nur in der Dokumentation existieren zu lassen.

Die Rechenschaftspflicht der DSGVO besagt, dass ein Unternehmen nachweisen muss, dass Kontrollen konsistent auf echte Daten angewendet werden. Eine Plattform, die Richtlinien auf der Datenebene durchsetzt – automatisch und in großem Maßstab –, kann Unternehmen dabei helfen, den Nachweis der Compliance zu erbringen und diesen Prozess zu optimieren.

So ermöglicht Snowflake Horizon beispielsweise eine automatische Data Classification für sensible Daten, die personenbezogene Daten identifiziert und system- sowie benutzerdefinierte Tags zuweist. Tag-based Masking kann verwendet werden, um den Zugriff standardmäßig einzuschränken, was die Umsetzung der in Artikel 25 geforderten „Privacy by Design“ unterstützen kann.

Sicherheit auf Spaltenebene und RBAC setzen die Datenminimierung auf Feldebene durch und stellen sicher, dass Nutzer:innen nur das sehen, was ihre Rolle und der angegebene Zweck erfordern (Artikel 25 und 32). Access History protokolliert jede Abfrage von personenbezogenen Daten – den:die Nutzer:in, die Abfrage, die spezifischen gelesenen oder geschriebenen Spalten – und hilft Unternehmen so bei der Erstellung von Audit-Datensätzen, die den Anforderungen an die Rechenschaftspflicht gemäß Artikel 30 und Artikel 5 Absatz 2 entsprechen. Der Datenkatalog und die Lineage-Funktionen von Snowflake unterstützen das Verarbeitungsverzeichnis, auf dem die Dokumentationspflicht nach Artikel 30 beruht.

Es gibt auch eine grenzüberschreitende Dimension. Kapitel V der DSGVO regelt die Übermittlung personenbezogener Daten an Drittländer und internationale Organisationen. Die Data-Residency-Zusagen von Snowflake binden ruhende Daten standardmäßig an die Bereitstellungsregion der Kund:innen, was Unternehmen bei der Konzeption von Use Cases mit strengen Anforderungen an die Datenresidenz helfen kann – auch wenn die Compliance bei der Datenübermittlung weiterhin vom breiteren rechtlichen und vertraglichen Kontext abhängt, einschließlich Angemessenheitsbeschlüssen, Standardvertragsklauseln oder verbindlichen internen Datenschutzvorschriften, sofern anwendbar.

DSGVO-Compliance wird oft in erster Linie als rechtliches Thema betrachtet. Das Prinzip der Rechenschaftspflicht macht jedoch deutlich, dass es sich auch um ein operatives Thema handelt. Ein Unternehmen, das seine personenbezogenen Daten identifizieren, deren Bewegung nachverfolgen, Zugriffskontrollen durchsetzen und Audit-Datensätze erstellen kann, schafft die operative Grundlage, die Data Governance für die DSGVO nachhaltig macht.