Was beim Datenschutz zu klären ist, bevor Sie einen Prozess mit Personendaten automatisieren

Die Frage, die vor Automatisierungsprojekten mit Personendaten am häufigsten gestellt wird, lautet sinngemäß: "Dürfen wir das überhaupt?" Sie ist selten das eigentliche Problem. Bewerbungen an Führungskräfte verteilen, Patientenanfragen vorsortieren, Kundendaten zwischen zwei Systemen abgleichen, all das ist zulässig, wenn es sauber aufgesetzt wird. Schwierig wird es an einer anderen Stelle. Nämlich dort, wo vor dem Projekt niemand festgelegt hat, wo die Daten nach der Verarbeitung liegen bleiben und wer dafür zuständig ist.

Wer diese Punkte vor der Beauftragung klärt, bekommt ein belastbares Angebot. Wer sie danach klärt, bekommt eine Nachforderung.

Eine Automatisierung ist ein zusätzlicher Ort, an dem Daten liegen

Jede Automatisierungsplattform speichert, was durch einen Ablauf geflossen ist. Das ist Absicht und nicht Nachlässigkeit, denn ohne diese Ausführungshistorie lässt sich nicht nachvollziehen, warum ein Vorgang nachts um drei abgebrochen ist. Der Preis dafür ist, dass jeder einzelne Durchlauf eine vollständige Kopie der verarbeiteten Daten enthält, mit Anhängen, Freitexten und allem, was ein Absender sonst noch hineingeschrieben hat.

Damit entsteht ein zweiter Speicherort neben dem Fachsystem. Im Bewerbertool, im Patientenverwaltungssystem und in der Buchhaltung ist die Aufbewahrung in der Regel geregelt. Für die Ebene darüber ist häufig niemand zuständig, weil sie in keinem Verarbeitungsverzeichnis auftaucht. Angenommen, ein Betrieb löscht abgelehnte Bewerbungen nach sechs Monaten, während die Automatisierungsplattform ihre Historie ein Jahr lang aufbewahrt. Dann ist die Frist auf dem Papier eingehalten und in der Sache nicht.

Das ist kein Grund, auf Automatisierung zu verzichten. Es ist ein Grund, die Aufbewahrungsdauer der Automatisierungsebene genauso schriftlich festzulegen wie die des Fachsystems.

Auskunft und Löschung betreffen jede Kopie

Ein Auskunftsersuchen nach Artikel 15 der Datenschutz-Grundverordnung fragt nicht nach dem führenden System, sondern nach allen Daten, die ein Unternehmen zu einer Person verarbeitet. Für eine Löschung gilt dasselbe. Wer nur im Fachsystem nachsieht, antwortet unvollständig, ohne es zu merken.

Praktisch heißt das: Für jeden automatisierten Ablauf muss vorher feststehen, welche personenbezogenen Felder er überhaupt anfasst, wie lange die Ausführungshistorie aufbewahrt wird und wer sie im Ernstfall durchsucht. Diese drei Angaben passen auf eine halbe Seite. Sie zu erstellen dauert Minuten, solange der Ablauf frisch gebaut ist, und Stunden, wenn zwei Jahre später jemand danach fragt.

Was Sie über die Kette hinter der Plattform wissen müssen

Sobald eine Automatisierung über einen externen Dienst läuft, kommt ein Auftragsverarbeiter hinzu. Wird zusätzlich ein Sprachmodell eingesetzt, um eine E-Mail zu lesen oder einen Freitext zu strukturieren, kommt ein weiterer hinzu. Verantwortlich bleibt Ihr Unternehmen.

Vor der Beauftragung gehören deshalb vier Fragen auf den Tisch. Über welche Anbieter läuft die Verarbeitung? Wo stehen deren Server? Gibt es zu jedem einen Vertrag zur Auftragsverarbeitung? Und werden Ihre Daten dort zum Training verwendet, oder ist das vertraglich ausgeschlossen? Ein Anbieter, der diese vier Fragen nicht innerhalb eines Tages beantworten kann, sagt damit etwas über seine Arbeitsweise aus.

Für Kliniken, Praxen und medizinische Versorgungszentren kommt die Schweigepflicht hinzu. Hier lautet die Frage nicht nur, ob ein Vertrag vorliegt, sondern ob die Verarbeitung überhaupt außer Haus stattfinden darf. Diese Entscheidung fällt früh, weil sie die gesamte Bauweise bestimmt. Ein Ablauf, der vollständig im eigenen Haus läuft, kostet mehr und ist in sensiblen Bereichen häufig der einzig gangbare Weg.

Sparsamkeit ist günstiger als Absicherung

Der wirksamste Hebel ist unspektakulär: Ein Ablauf sollte nur die Felder anfassen, die er tatsächlich braucht.

Für eine Eingangsbestätigung genügt die Adresse des Absenders. Der Lebenslauf muss dafür nicht durch dieselbe Automatisierung laufen. Für eine Terminvergabe genügen Name und Kontaktweg, nicht der Grund des Termins. Wer diesen Zuschnitt vor dem Bau festlegt, spart doppelt. Weniger Felder bedeuten weniger Aufwand für Absicherung, kürzere Prüfungen und ein deutlich kleineres Problem, falls doch einmal etwas schiefgeht.

Der zweite Hebel sind Fehlermeldungen. Bricht ein Ablauf ab, verschicken viele Plattformen die betroffenen Daten im Klartext an ein Sammelpostfach. Damit landen Personendaten in einem Postfach, das nie für sie gedacht war, und niemand räumt es je auf. Eine Meldung, die nur Vorgangsnummer und Fehlerpunkt nennt, reicht für die Behebung vollständig aus.

Was davon in ein Angebot gehört

Ein Angebot für einen Prozess mit Personendaten sollte drei Dinge ausdrücklich benennen: welche Daten verarbeitet werden, wie lange sie auf der Automatisierungsebene liegen und über welche Anbieter der Ablauf läuft. Fehlen diese Punkte, ist der Preis nicht vergleichbar, weil offenbleibt, ob die Absicherung eingerechnet wurde.

Rechnen Sie damit, dass ein Ablauf mit Personendaten mehr kostet als derselbe Ablauf ohne. Der Unterschied steckt nicht in der Fachlogik, sondern in Protokollierung, Zugriffsrechten, Aufbewahrung und der Frage, was bei einem Abbruch geschieht. Das ist der Teil, an dem zuletzt gespart werden sollte, und der erste, der in einem auffällig günstigen Angebot fehlt.

Sophera Consulting sieht sich vor dem Bau an, welche Felder ein Prozess wirklich braucht, hält Aufbewahrung, beteiligte Anbieter und Zuständigkeiten schriftlich fest und baut den Ablauf danach zum Festpreis, ohne Abo und mit Dokumentation zur Übergabe. Der Einstieg dafür ist der kostenlose Automations-Check.

Die Empfehlung

Behandeln Sie die Automatisierungsebene wie ein weiteres System, das Daten speichert, denn genau das ist sie. Legen Sie vor dem ersten Angebot drei Dinge fest: welche personenbezogenen Felder der Prozess braucht, wie lange die Ausführungshistorie aufbewahrt wird und wer im Haus für diese Ebene zuständig ist.

Diese drei Festlegungen kosten Sie eine Stunde. Sie machen Angebote vergleichbar, sie verhindern die häufigste Nachforderung im Projekt, und sie sind die Antwort, die Sie parat haben müssen, wenn eine Aufsichtsbehörde oder ein Betroffener fragt.