Anonymisierung von personenbezogenen Daten in Testsystemen

Der Umgang mit produktiven Kundendaten in SAP IS-U-Testsystemen ist etwas, was bei vielen Unternehmen bislang nicht gerade im Vordergrund stand und auch aktuell eher zweitrangig behandelt wird. Oftmals sogar mit einem latent schlechten Gewissen betrachtet wird, weil die Unternehmen wis-sen, dass es da eigentlich „etwas zu tun“ gäbe, aber die Aufgabe auf die lange Bank geschoben wurde. Jetzt kommt das Thema mit der DSGVO neu auf den Tisch und wirft die Fragen auf, warum sich die Energiewirtschaft mit dem Thema bisher so schwergetan hat und welche Lösungswege es gibt.

Betroffenenrechte und Privacy by Design
Für den Umgang mit Kundendaten in Testsystemen gibt es zwei datenschutzrechtliche Anforderungen: zum einen die Wahrung der konkreten Betroffenenrechte, zum anderen eine etwas abstraktere Anforderung, die neudeutsch als Privacy by Design bezeichnet wird.
In Bezug auf die Betroffenen-rechte kann die rechtliche Lage schnell umrissen werden: Mit Abschluss eines Vertrages, der Erteilung eines Opt-ins oder einer anderen expliziten Zustimmung des Kunden hat dieser der produktiven Nutzung seiner Daten zugestimmt. Ob damit allerdings auch implizit die Nutzung der Daten für Testzwecke abgedeckt ist, wird unterschiedlich beurteilt. Für die einen Betrachter ergibt sich die Zustimmung zur Nutzung für IT-Tests gewissermaßen aus der Sache heraus, weil ohne Systemtests keine zuverlässige Datenverarbeitung möglich ist. Kritischere Stimmen verweisen auf die fehlende explizite Zustimmung, die rechtlich eigentlich einzufordern wäre. In dieser Situation bauen daher viele Energieversorger entsprechende Ergänzungsklauseln in ihre Standardvertragsbedingungen ein, die dann, auf die eine oder andere Weise, auch für Bestandskunden zur Zustimmung gebracht werden müssen. Wenn nun ausschließlich die eigenen produktiven Mitarbeiter auf die Testsysteme (oder Konso-lidierungs- / Qualitätssicherungs-systeme, je nach Namensgebung) Zugriff hätten, wäre damit den Anforderungen der DSGVO Ge-nüge getan. Allerdings tummeln sich auf den nicht produktiven Systemen auch Berater oder andere Systemnutzer, die möglicherweise auch am Berechtigungswesen vorbei auf Daten zugreifen können, beispielsweise über Programmierung. Hier greift dann ergänzend die Verpflichtung zum Privacy by Design: Unternehmen müssen von sich aus ihre IT-Systeme so auslegen, dass Datenschutzverletzungen schon per Systemdesign möglichst er-schwert oder sogar verhindert werden.

 

Lesen Sie den vollständigen Artikel hier: