Ein Kunde schreibt Ihrem Supportteam eine E-Mail und fragt, welche personenbezogenen Daten Sie über ihn gespeichert haben. Nach der Datenschutz-Grundverordnung (DSGVO) haben Sie in der Regel einen Monat Zeit, um zu antworten. Die Anfrage geht in einem gemeinsamen Postfach ein. Sie wird an die IT weitergeleitet, dann an das Marketing und schließlich an einen Vertriebsleiter, der noch eine Tabelle mit Messekontakten führt. Drei Wochen später fragt jemand, wer für die Zusammenstellung der Antwort verantwortlich ist. Niemand weiß es genau.

In diesem Beispiel liegt kein technisches Problem vor. Die Daten sind vorhanden, und die Systeme funktionieren. Es fehlt eine Vereinbarung darüber, wer für welche Daten verantwortlich ist, welche Regeln gelten und wer bei Unklarheiten entscheidet. Genau diese Vereinbarung schafft Daten-Governance.

Was ist Daten-Governance?

In der Praxis besteht Daten-Governance aus grundsätzlichen Festlegungen. Wer darf den Zugriff auf Kundendaten genehmigen? Welches System enthält die maßgebliche Version eines Kundendatensatzes? Wie lange werden Verträge aufbewahrt, und wer muss die Löschung freigeben? Was geschieht, wenn jemand einen Fehler in einem Bericht findet, auf den sich die Unternehmensleitung stützt? Ein Governance-Programm stellt sicher, dass es für jede dieser Fragen eine abgestimmte Antwort und eine verantwortliche Person gibt. Die Antwort wird an einer festgelegten Stelle dokumentiert.

Ziel sind Daten, auf die Menschen sich verlassen können. Sie müssen hinreichend genau, sicher und für die richtigen Personen verfügbar sein. Außerdem muss der Umgang mit ihnen den gesetzlichen und vertraglichen Pflichten entsprechen.

Ein praktisches Beispiel: Ein Einzelhändler legt fest, dass das Marketingteam für die E-Mail-Adressen der Kunden verantwortlich ist. Die Adressen dürfen nur für die Zwecke genutzt werden, für die sie erhoben wurden. Nach einer festgelegten Dauer der Inaktivität werden sie gelöscht. Supportmitarbeitende dürfen ausschließlich über das Customer-Relationship-Management-System (CRM) darauf zugreifen. Jede dieser Festlegungen ist eine Governance-Entscheidung. Auf diese Aufgaben sind die Data-Governance-Funktionen von Formalize ausgerichtet. Das Speichern und Synchronisieren der Adressen über mehrere Systeme hinweg gehört dagegen zum Datenmanagement.

Daten-Governance und Datenmanagement: Was ist der Unterschied?

Die beiden Begriffe werden häufig synonym verwendet, beschreiben aber unterschiedliche Aufgaben. Daten-Governance legt die Regeln fest. Datenmanagement setzt sie bei der täglichen Arbeit um.

Die Abgrenzung ist nicht starr. Data Stewards und Systemverantwortliche übernehmen häufig Aufgaben in beiden Bereichen. Sie gestalten Regeln mit und wenden sie im Arbeitsalltag an.

Warum ist Daten-Governance wichtig?

Die meisten Organisationen befassen sich mit Daten-Governance, weil ein konkretes Problem auftritt. Zwei Berichte widersprechen sich, die Bearbeitung einer Anfrage im Rahmen eines Audits dauert Wochen oder eine Aufsichtsbehörde verlangt Nachweise. Governance setzt bei den Ursachen dieser Probleme an:

• Vertrauen in die Zahlen: Wenn Definitionen und Verantwortlichkeiten abgestimmt sind, lassen sich Berichte verschiedener Teams leichter miteinander abgleichen.

• Klare Verantwortung: Für jeden wichtigen Datenbestand gibt es eine verantwortliche Person. Alle wissen, wer das ist.

• Datenschutz, Sicherheit und Compliance: Vorschriften wie die DSGVO und Standards wie ISO 27001 erwarten von Organisationen, dass sie ihre Datenbestände kennen. Sie müssen wissen, wer darauf zugreifen kann und warum.

• Weniger Dopplungen: Einheitliche Regeln reduzieren parallel geführte Kopien, widersprüchliche Tabellen und individuelle Behelfslösungen.

• Auditierbarkeit und Risikomanagement: Dokumentierte Governance-Entscheidungen schaffen Nachvollziehbarkeit. Damit lässt sich zeigen, wie Datenrisiken identifiziert und behandelt werden.

• A foundation for analytics and AI: Eine Grundlage für Analysen und KI: Dashboards und Modelle sind nur so zuverlässig wie die Daten, auf denen sie beruhen.

Was sind die Kernbestandteile von Daten-Governance?

Es gibt kein einheitliches offizielles Modell. Die meisten Programme bestehen jedoch aus vier Bausteinen. Diese sind in der Regel gemeint, wenn von den „vier Säulen der Daten-Governance“ die Rede ist.

1. Menschen und Verantwortung: Dazu gehören Datenverantwortliche, Data Stewards und Personen mit Entscheidungsbefugnissen. Das reicht von einem Governance-Gremium bis zu den Teams, die täglich mit Daten arbeiten.

2. Richtlinien und Standards: Die Regeln für Datenqualität, Zugriff, Klassifizierung, Aufbewahrung und Nutzung.

3. Prozesse und Kontrollen: Wie die Regeln in der Praxis angewendet werden und wie die Organisation ihre Einhaltung überprüft.

4. Technologie und Überwachung: Die Systeme, die Governance durch Überwachung, Nachweise und Berichterstattung unterstützen.

Keiner der vier Bausteine funktioniert allein. Ohne Verantwortliche veralten Richtlinien. Ohne Prozesse müssen die Verantwortlichen improvisieren.

Was ist ein Daten-Governance-Framework?

Ein Daten-Governance-Framework ist ein strukturiertes Modell. Eine Organisation legt damit Governance-Rollen, Richtlinien, Prozesse, Kontrollen und Verantwortlichkeiten fest und verknüpft sie miteinander. Diese Verknüpfung unterscheidet ein Framework von einer Sammlung einzelner Datenrichtlinien. Eine Aufbewahrungsrichtlinie, eine Zugriffsrichtlinie und ein Klassifizierungsschema sind jeweils für sich nützlich. Ein Framework legt jedoch fest, wie sie zusammenhängen, wer bei Widersprüchen entscheidet und wie ihre Einhaltung gemessen wird.

Ein typisches Framework umfasst Verantwortlichkeiten und Entscheidungsbefugnisse, Standards und Richtlinien, Prozesse und Kontrollen sowie Eskalationswege. Hinzu kommen Kennzahlen, anhand derer sich die Wirksamkeit der Governance verfolgen lässt.

Gängige Daten-Governance-Frameworks

Mehrere anerkannte Frameworks bieten Organisationen einen Ausgangspunkt. Keines ist für alle Fälle die beste Wahl. Jedes eignet sich für andere Herausforderungen:

Diese Frameworks schließen sich nicht gegenseitig aus. Viele Organisationen übernehmen ihre Terminologie aus DAMA-DMBOK und Rollen aus dem DGI-Modell. Ihre Kontrollen richten sie an COBIT oder ISO 27001 aus. Dabei orientieren sie sich an den Erwartungen ihrer Auditoren und Aufsichtsbehörden. Weniger entscheidend ist die Wahl des Frameworks. Wichtiger ist, dass seine Verantwortlichkeiten und Kontrollen konsequent angewendet werden. Soll Ihr Data-Governance-Programm auch regulatorische und Compliance-Frameworks wie ISO 27001, NIS-2 oder DORA einbinden? Entdecken Sie die Compliance-Blueprints von Formalize.

So führen Sie Daten-Governance ein

Die vier Komponenten lassen sich in sechs Schritten praktisch umsetzen. Beginnen Sie mit einem begrenzten Umfang und erweitern Sie ihn mit der Zeit:

1. Ziele und Umfang der Governance festlegen

Beginnen Sie mit den wichtigsten Daten. Dazu gehören Daten, die mit regulatorischen Pflichten, dem Vertrauen Ihrer Kunden oder kritischen Geschäftsentscheidungen verbunden sind. Ein klar begrenzter Umfang, etwa personenbezogene Kundendaten oder Daten für die Finanzberichterstattung, ist erfolgversprechender als der Versuch, alle Daten gleichzeitig einzubeziehen.

2. Verantwortung und Zuständigkeiten festlegen

Benennen Sie Datenverantwortliche, die für einen Datenbestand verantwortlich sind und entscheiden, wie er genutzt werden darf. Benennen Sie außerdem Data Stewards, die sich um seine Qualität und den täglichen Umgang damit kümmern. Verankern Sie die Verantwortung in den Fachbereichen. Ordnen Sie sie nicht automatisch der IT zu.

3. Kritische Daten und Anforderungen erfassen

Dokumentieren Sie, welche Daten vorhanden sind, wo sie gespeichert werden und wer sie nutzt. Halten Sie außerdem fest, welche Richtlinien, Risiken und Vorschriften für sie gelten. Bei personenbezogenen Daten überschneiden sich diese Angaben vielfach mit dem Verzeichnis von Verarbeitungstätigkeiten nach der DSGVO.

4. Richtlinien, Standards und Kontrollen definieren

Legen Sie Regeln für Zugriff, Qualität, Klassifizierung, Aufbewahrung und zulässige Nutzung fest. Bestimmen Sie auch, wie Sie deren Einhaltung überprüfen. Eine Richtlinie ohne Kontrolle ist eine Absichtserklärung.

5. Governance in betriebliche Arbeitsabläufe integrieren

Setzen Sie die Regeln in Aufgaben, Freigaben, Überprüfungen und Eskalationswege um, die Teil des regulären Arbeitsalltags sind. Kann ein neues System in Betrieb gehen, ohne dass jemand die darin verarbeiteten Daten überprüft, ist Governance nur dokumentiert, aber nicht praktisch umgesetzt.

6. Überwachen und kontinuierlich verbessern

Verfolgen Sie Ausnahmen, offene Risiken und Nachweise fortlaufend. So werden Probleme frühzeitig erkannt und nicht erst während eines Audits.

Ein Datenbestand, sechs Schritte. So lässt sich der Ablauf auf die Kundendaten des zuvor beschriebenen Einzelhändlers anwenden:

Diese Dokumentation benötigen Sie, wenn das nächste Mal jemand fragt, warum das Modell die Daten nutzen durfte.

Bewährte Vorgehensweisen für Daten-Governance

Sobald die Grundlagen bestehen, entscheiden einige regelmäßige Vorgehensweisen darüber, ob ein Programm auch nach der ersten Umsetzungsphase fortgeführt wird:

• Messen Sie, was Governance verändert: Verfolgen Sie einige konkrete Kennzahlen. Dazu gehören der Anteil kritischer Daten mit einer benannten verantwortlichen Person, überfällige Überprüfungen oder offene Ausnahmen.

• Binden Sie Regeln in Entscheidungsabläufe ein: Eine Richtlinie wird mit deutlich höherer Wahrscheinlichkeit beachtet, wenn sie in dem Workflow angezeigt wird, in dem die Entscheidung getroffen wird.

• Formulieren Sie verständliche und umsetzbare Richtlinien: Kurze, konkrete Regeln in einfacher Sprache werden angewendet. Dokumente mit 50 Seiten werden abgelegt.

• Halten Sie Entscheidungen nachvollziehbar: Verknüpfen Sie jede Entscheidung mit der umgesetzten Maßnahme und den zugehörigen Nachweisen. So können Sie belegen, warum etwas getan wurde.

• Planen Sie Überprüfungen bei Veränderungen: Neue Vorschriften, neue Systeme und neue Datennutzungen, etwa für KI, erfordern eine erneute Prüfung der Governance.

Daten-Governance, Compliance und KI

Regulatorische Anforderungen gehören zu den wichtigsten Gründen für Daten-Governance. Denn die meisten Vorschriften zum Umgang mit Daten verlangen von Organisationen, deren Einhaltung nachzuweisen. Dieser Nachweis setzt Governance voraus.

Nach der Rechenschaftspflicht der DSGVO müssen Verantwortliche die Datenschutzgrundsätze einhalten und deren Einhaltung nachweisen können. Verzeichnisse von Verarbeitungstätigkeiten, Aufbewahrungsregeln, Zugriffskontrollen und Datenschutz-Folgenabschätzungen gehören zu den Aufgaben der Governance. Informationssicherheitsnormen wie ISO 27001 ergänzen Anforderungen an Asset-Verzeichnisse, Informationsklassifizierung und Zugriffskontrolle.

KI bringt weitere Anforderungen mit sich. Nach der KI-Verordnung müssen Anbieter von Hochrisiko-KI-Systemen Daten-Governance- und Datenverwaltungsverfahren für die Trainings-, Validierungs- und Testdatensätze dieser Systeme anwenden. Dazu gehören Prüfungen der Qualität, Relevanz und möglicher Verzerrungen. Nach dem Digital-Omnibus-Paket zur KI gelten diese Hochrisiko-Pflichten laut Europäischer Kommission ab dem 2. Dezember 2027 für eigenständige Systeme und ab dem 2. August 2028 für KI, die in regulierte Produkte integriert ist.

Auch außerhalb der Hochrisikokategorie ist bei jedem KI-Tool, das personenbezogene Daten nutzt, die DSGVO relevant. Organisationen, die ihre Datenbestände und die dafür geltenden Regeln bereits kennen, sind deutlich besser darauf vorbereitet, KI verantwortungsvoll einzusetzen. Näheres erläutert unsere Seite zur KI-Verordnung

So unterstützt Formalize Ihre Daten-Governance

Formalize konzentriert sich auf die Governance-Ebene. Sie umfasst die Verantwortlichen, Richtlinien, Risiken und Nachweise für den Umgang mit den Daten.

• Verarbeitungstätigkeiten im Kontext: Einträge im Verzeichnis von Verarbeitungstätigkeiten sind mit den zugehörigen Systemen, Lieferanten und Risiken verknüpft. Dazu kommen Workflows für DSFA und Bewertungen von Datenübermittlungen (Transfer Impact Assessments, TIA).

• Richtlinien mit einem Lebenszyklus: Erstellung, Freigabe und Veröffentlichung sowie Nachverfolgung der Kenntnisnahme, einschließlich Versionshistorie.

• Verantwortliche, Freigaben und eine vollständige Aktivitätshistorie: Für jede Richtlinie, Kontrolle und Aufgabe ist eine verantwortliche Person benannt. Berechtigungen werden rollenbasiert vergeben. Jede Entscheidung wird gemeinsam mit den zugehörigen Nachweisen dokumentiert.

• Daten-Governance gemeinsam mit DSGVO, ISO 27001, NIS-2 und der KI-Verordnung, im selben System statt in separaten Tools.