Was Sie zum Datenfluss klären müssen, bevor Sie eine Automatisierung beauftragen

Die Aussage, eine Automatisierung sei datenschutzkonform, ist keine Eigenschaft der eingesetzten Software. Sie ist eine Behauptung über den Weg, den Daten nehmen, und dieser Weg lässt sich auf einer Seite aufschreiben. Wer ihn nicht aufschreiben kann, kann die Behauptung auch nicht belegen.

Das ist keine juristische Spitzfindigkeit. Es ist eine Frage, die Sie vor der Beauftragung stellen können, und die Antwort sagt Ihnen mehr über einen Anbieter als jede Referenzliste.

Was ein Datenfluss ist und warum ihn selten jemand kennt

Ein Datenfluss beschreibt, welche Daten an welcher Stelle entstehen, durch welche Systeme sie laufen, wo sie zwischengespeichert werden und wann sie wieder verschwinden. In einer Automatisierung sind das mehr Stationen, als die meisten vermuten.

Angenommen, eine Anfrage kommt über ein Kontaktformular. Sie läuft über den Webserver, wird von einer Automatisierungsplattform abgeholt, dort in einem Ausführungsprotokoll abgelegt, an einen Dienst zur Anreicherung von Firmendaten geschickt, in ein CRM geschrieben und löst eine Benachrichtigung an den Vertrieb aus. Das sind sechs Stationen, und an jeder liegen Name, Mailadresse und Text der Anfrage vor.

Der Grund, warum diesen Weg selten jemand vollständig kennt, ist unspektakulär. Jede einzelne Station hat jemand eingerichtet, der wusste, was er tut. Den ganzen Weg am Stück aufzuschreiben war nie jemandes Aufgabe, weil daraus kein Ticket entsteht und niemand danach fragt, solange alles läuft.

Drei Stellen, an denen der Weg unbemerkt die EU verlässt

Die erste ist die Automatisierungsplattform selbst. Viele Anbieter betreiben Rechenzentren in mehreren Regionen, und welche Region ein Konto nutzt, entscheidet sich bei der Anmeldung. Wer damals die Voreinstellung übernommen hat, hat eine Entscheidung getroffen, ohne sie als solche wahrzunehmen.

Die zweite sind Sprachmodelle und Anreicherungsdienste. Sobald eine Automatisierung eine Mail zusammenfasst, eine Bestellung ausliest oder eine Firma anreichert, verlässt der Inhalt Ihre eigene Infrastruktur. Für die großen Anbieter gibt es europäische Betriebsoptionen, voreingestellt sind sie aber meistens nicht.

Die dritte sind die Protokolle. Eine Automatisierungsplattform speichert bei jedem Durchlauf, was hineinging und was herauskam. Im Fehlerfall ist das nützlich, im Datenschutz ist es die unangenehmste Stelle. Dort liegen vollständige Personendaten, häufig über Monate, in einem System, das im Haus niemand als Datenspeicher betrachtet und das in keinem Löschkonzept auftaucht.

Der Einwand, der oft berechtigt ist

An dieser Stelle kommt regelmäßig der Hinweis, es handele sich doch nur um Geschäftsdaten. Firmenname, Bestellnummer, Artikel, Menge. Das trifft häufig zu und macht die Sache tatsächlich einfacher.

Es hört nur an einer klaren Stelle auf. Sobald ein Ansprechpartner im Datensatz steht, eine persönliche Mailadresse, eine Durchwahl oder eine Notiz auf einem Lieferschein, ist es kein reiner Geschäftsdatensatz mehr. In Logistik und Großhandel ist das der Normalfall, weil an jedem Vorgang ein Mensch hängt. In Kliniken ist die Grenze noch enger, weil dort bereits die Verbindung aus Station, Artikel und Datum Rückschlüsse zulässt.

Der praktische Unterschied ist groß. Ein reiner Bestelldatenfluss lässt sich mit deutlich weniger Aufwand absichern als einer, in dem Beschäftigten- oder Gesundheitsdaten stecken. Deshalb gehört die Frage an den Anfang und nicht in die Abnahme.

Was davon in ein Angebot gehört

Vier Angaben sollten schriftlich vorliegen, bevor Sie unterschreiben.

Erstens die Liste aller beteiligten Dienste mit dem Ort, an dem sie betrieben werden. Zweitens die Aussage, welche personenbezogenen Daten an welcher Station verarbeitet werden. Drittens, wie lange Ausführungsprotokolle aufbewahrt werden und wer sie einsehen kann. Viertens, welche Verträge zur Auftragsverarbeitung nötig sind und wer sie beschafft.

Fehlen diese Punkte, ist das kein Grund, einen Anbieter auszuschließen. Es ist ein Grund, danach zu fragen. Die Antwort kostet am Anfang wenig Aufwand, weil sie ohnehin beim Bauen entsteht. Sie kostet ein Vielfaches, wenn sie im Rahmen einer Prüfung nachgereicht werden muss, denn dann läuft die Automatisierung bereits und jede Korrektur ist ein Umbau am lebenden Prozess.

Ist eine amerikanische Cloud automatisch die falsche Wahl

Nein. Es gibt Rechtsgrundlagen für Übermittlungen in die USA, und die großen Anbieter stellen die nötigen Verträge sowie europäische Betriebsoptionen bereit. Die Frage lautet nicht, ob es zulässig ist, sondern ob es dokumentiert ist und ob Sie es im Zweifel erklären können.

Praktisch heißt das zweierlei. Für einen internen Prozess ohne Personenbezug ist der Aufwand für einen rein europäischen Betrieb selten gerechtfertigt. Sobald Beschäftigtendaten, Bewerbungen, Gesundheitsdaten oder Daten von Klinikpatienten im Spiel sind, dreht sich das um. Dort ist der Aufpreis für europäisches Hosting oder einen Betrieb im eigenen Haus keine Vorsichtsmaßnahme, sondern die günstigere Variante, weil er eine ganze Klasse von Rückfragen von vornherein erledigt.

So bekommen Sie den Datenfluss in kurzer Zeit auf Papier

Nehmen Sie eine bestehende Automatisierung und gehen Sie sie Station für Station durch. Notieren Sie je Station fünf Spalten: welches System, welche Daten, welcher Betriebsort, welche Aufbewahrungsdauer, welcher Vertrag. Mehr als eine Seite braucht das selten, und Sie brauchen dafür niemanden, der Code lesen kann.

Der Nutzen zeigt sich sofort an zwei Stellen. Sie sehen, ob Ihr Verzeichnis von Verarbeitungstätigkeiten noch beschreibt, was tatsächlich passiert. Und Sie haben ein Dokument, das Sie jedem Anbieter vorlegen können, statt in jedem Gespräch von vorn zu erklären, worum es geht.

Die Empfehlung

Behandeln Sie den Datenfluss als Teil der Leistungsbeschreibung, nicht als Anhang zur Abnahme. Verlangen Sie die vier Angaben oben schriftlich, und zwar im Angebot. Ein Anbieter, der Ihnen vor dem Preis sagen kann, wo welche Daten liegen und wie lange, hat Ihren Prozess verstanden. Einer, der auf die Frage mit einem Zertifikat antwortet, hat sie nicht beantwortet, sondern ausgewichen.

Sophera Consulting nimmt diese Aufstellung auf, bevor gebaut wird, hält Betriebsorte, Aufbewahrung und Verträge schriftlich fest und nennt erst danach einen Festpreis, ohne Abo. Den Einstieg dafür gibt es kostenlos im Automations-Check.