Was der EDPB-Report zum Recht auf Datenlöschung für Ihr SAP S/4HANA-System bedeutet

Was hat der EDPB eigentlich geprüft?

Das European Data Protection Board – die europäische Datenschutzkoordination – hat im vorigen Jahr das Recht auf Löschung nach Art. 17 DSGVO unter die Lupe genommen. Es ist eines der am häufigsten ausgeübten Betroffenenrechte und führt zu den meisten Beschwerden.

Die Fakten: 32 Aufsichtsbehörden befragten 764 Organisationen aus dem öffentlichen und privaten Sektor. Öffentliche Verwaltung, Gesundheitswesen, Finanzen und Einzelhandel waren am stärksten vertreten.

Das Ergebnis: Sieben Probleme tauchten immer wieder auf. Alle betreffen konkret die Art und Weise, wie Unternehmen ihr ERP betreiben.

Warum trifft das Ihr SAP-System?

Weil SAP in den meisten europäischen Unternehmen das System ist, in dem personenbezogene Daten zusammenlaufen. Kundenstammdaten, Lieferanten, Mitarbeitende, Geschäftspartner – alles steckt im ERP. Die meisten Löschanfragen betreffen daher zwangsläufig auch Ihr SAP-System.

Niemand weiß, wo die Daten liegen

Der EDPB beschreibt die Schwierigkeiten der Organisationen, die betroffenen Daten überhaupt zu finden. In gewachsenen SAP-Landschaften verteilen sich personenbezogene Daten über Hunderte von Tabellen, Custom-Erweiterungen und Archivobjekte. Hinzu kommen Daten in angebundenen Systemen außerhalb des ERP, etwa CRM-, HR- oder Dokumentenmanagement-Lösungen. Ein befragtes Unternehmen war der Meinung, E-Mails seien grundsätzlich nicht betroffen. Ein anderes hielt das Schließen eines Benutzerkontos für eine Löschung – obwohl die Daten intern weiterlebten.

Eine S/4HANA-Transformation bietet die Chance, das zu ändern. Wer jetzt ein vollständiges Data Mapping durchführt, dass auch Umsysteme einbezieht, und SAP Information Lifecycle Management (ILM) von Beginn an einplant, schafft die Grundlage für eine wirksame und DSGVO-konforme Daten-Compliance.

Aufbewahrungsfristen: eine Frist für alles geht nicht

Ein klassischer Fehler aus dem Report betrifft Unternehmen, die die längste Frist einer Verarbeitungstätigkeit pauschal auf alle Daten anwenden. Steuerrecht, Handelsrecht, Sozialversicherungsrecht, branchenspezifische Vorgaben – sie alle sehen unterschiedliche Fristen für unterschiedliche Daten vor. Wer das in SAP abbilden will, benötigt differenzierte Retention Rules pro Datenobjekt und Rechtsgrundlage.

Unser Rat: Richten Sie in den Fit-to-Standard-Workshops der Explore-Phase einen eigenen Workstream „Retention & Deletion“ ein. Fachbereich, Rechtsabteilung und IT arbeiten dort gemeinsam an einer „Data Deletion Matrix“ – einer Tabelle, die Datenart, Rechtsgrundlage und Frist verknüpft.

Backups: gelöscht ist nicht gelöscht

Die Hälfte der Aufsichtsbehörden meldete Bedenken im Hinblick auf die Löschung in Backups. Viele Unternehmen verlassen sich auf automatische Überschreibungszyklen – ohne zu prüfen, ob das ausreicht.

Bei RISE with SAP verschärft sich das Problem. Nicht der Hyperscaler selbst ist die Ursache, sondern die zugrundeliegende Betriebsarchitektur. SAP orchestriert den Betrieb und steuert gemeinsam mit dem Hyperscaler die Backup-Strategie. Der Kunde hat darauf keinen direkten Zugriff. Er weiß in der Regel nicht, wie viele Backup-Generationen existieren oder wie lange diese aufbewahrt werden. Die SLAs zwischen Kunde und SAP dokumentieren meist nur Mindestverfügbarkeiten und Recovery-Ziele, nicht aber die Granularität, die ein Löschkonzept nach Art. 17 DSGVO erfordert. Wer den Betrieb dagegen eigenständig führt, auch mit einem Hyperscaler, behält die Kontrolle über seine Backups und kann weiterführende Maßnahmen zur Löschung personenbezogener Daten in den Sicherungen selbst gestalten.

Was viele Unterschätzen: Nach einer Backup-Wiederherstellung leben bereits gelöschte Daten wieder auf. Wer dann nicht nachvollziehen kann, welche Löschungen zwischen Backup-Zeitpunkt und Wiederherstellung stattfanden, hat ein Problem. Die Lösung ist ein Löschprotokoll, das außerhalb des wiederhergestellten Systems liegt – und ein Team, das weiß, was zu tun ist.

Anonymisierung ist kein Freifahrtschein

Einige Unternehmen anonymisieren Daten, statt sie zu löschen – etwa um Analysen weiter nutzen zu können. Das ist grundsätzlich möglich. Allerdings verwechseln viele Unternehmen Pseudonymisierung mit Anonymisierung. Wer nur einen Namen durch eine ID ersetzt, hat diesen nicht gelöscht. Der EDPB arbeitet gerade an neuen Guidelines, die hier Klarheit schaffen sollen.

Unser Tipp: Prüfen Sie, welche historischen Daten wirklich in identifizierbarer Form benötigt werden. SAP ILM bietet Blocking und Deletion – aber keine fertige Anonymisierung. Diesen Baustein müssen Sie selbst gestalten.

Fünf Dinge, die Sie jetzt tun sollten

Wir haben die EDPB-Ergebnisse in fünf konkrete Maßnahmen übersetzt – zugeschnitten auf SAP S/4HANA-Programme:

Das ist kein Papier für die Schublade

Neun Aufsichtsbehörden haben im Rahmen der Prüfung formelle Untersuchungen gestartet. Weitere planen Folgemaßnahmen. Bei Verstößen gegen die Betroffenenrechte drohen Bußgelder von bis zu 20 Mio. EUR – oder 4 Prozent des weltweiten Jahresumsatzes.

Die nächste koordinierte Prüfung 2026 nimmt Transparenz und Information unter die Lupe (Art. 12, 13, 14 DSGVO). Auch das betrifft direkt die Frage, wie Ihr ERP mit Betroffenen kommuniziert.

Drei Dinge, Sie mitnehmen sollten

1. Löschung ist kein Nachgedanke – sie ist ein Architekturprinzip. Planen Sie ILM und Retention Management ab der Explore-Phase ein.
2. Der Report liefert Ihnen den Business Case. Nutzen Sie die dokumentierten Risiken und Enforcement-Beispiele, um Budget und Aufmerksamkeit für ein sauberes Löschkonzept zu sichern.
3. Clean Core und DSGVO verstärken sich gegenseitig: Ein standardisierter S/4HANA-Core ist nicht nur upgradefähig – es ist auch einfacher, diesen DSGVO-konform zu betreiben.

Wie geht es weiter?

Unser Team verbindet SAP-Transformationserfahrung mit Datenschutzexpertise. Gemeinsam prüfen wir, wie gut Ihre Organisation auf Löschanfragen vorbereitet ist – und wo die größten Hebel liegen. Von der Data Deletion Matrix über die ILM-Konfiguration bis zum Betriebsmodell: Wir begleiten Sie. Sprechen Sie uns an!