aus gegebenem Anlass (Vorbereitung einer Betriebsvereinbarung zum Thema SAP) stellt sich für uns / mich die Frage ob die automatisch erfassten Benutzerkürzel (z. B. bei Auftragsanlage via VA01) prinzipiell nach einem Zeitraum von X Tagen automatisiert löschbar sind , oder ob diese Metadaten so fest mit dem Auftragsdatensatz verknüpft sind, dass diese nicht zu entfernen sind.

Die Frage stellt sich, da nach unserer / meiner Auffassung die Kenntnis, wer einen Auftrag erfasst oder eine Buchung getätigt hat, für die Abwicklung des Auftrags nicht notwendig ist und somit gem. DSGVO zu löschen ist.

Über zahlreiche Rückmeldungen bzw. Meinungen würde ich mich freuen.

Liebe Grüße

Mario

im Standard kenne ich keinen Report der diese Daten (Angelegt von/Geändert von) löscht.

Ich würde dieses auch nicht tun, denn außer im Auftragsbeleg stehen die Daten ja auch in den zugehörigen Änderungsbelegen. Die Daten sind ja auch wichtig wenn die Kollegen die den Auftrag angelegt oder geändert oder gelöscht haben angesprochen werden müssen.

Ist dieses auch wirklich in Zusammenhang mit der DSGVO notwendig ?

Gruß Wolfgang

vielen Dank für Deine schnelle Antwort.

Ich gebe Dir Recht, dass es bei Rückfragen durchaus hilfreich sein kann zu wissen welcher Kollege einen Auftrag bearbeitet hat.

Aber das ist genau das Thema, es ist hilfreich aber nicht zwingend notwendig für die Auftragsabwicklung und da greift unserer Meinung nach der Art. 17 DSGVO in dem es heißt :

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

(a)Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

Der Goldstandard wäre für uns, wenn diese zusätzlichen Daten gar nicht Anfallen würden, aber SAP scheint ja auch nicht der Richtung konfigurierbar zu sein , oder irre ich mich da ?

Ich bin bei Recherche im Netz immer wieder über das Modul ILM gestolpert, wenn es um das Thema Löschfristen ging, bin mir aber nicht nicht sicher ob das für den o.g. Zweck überhaupt brauchbar ist.

Gruß

Mario

(a)Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

- eben das sind sie da ja sonst niemand ermitteln kann wer die Transaktion ausgeführt hat.

ILM denke ich passt speziell im HR oder HCM oder wie das jetzt benannt ist.

Gruß Wolfgang

für HR und HCM gibt es eigene Reports, ILM zielt zusätzlich auf viele andere archivierbare Objekte wie Kreditoren, Debitorten und Aufträge im allgemeinen ab.

Es kann aber auch nicht einzelne Daten aus Objekten rauslöschen.

Oft wird in Zusammenhang mit Userprotokollierung auch über anonyme SAP-User nachgedacht.

Gruß

Saute

in wie fern steht denn die DSGVO (bzw deine Anfrage) in Konflikt mit internen wie externen Wirtschaftsprüfern oder Auditoren???

Wir dürfen selbst nach Austritt der Mitarbeiter nicht die SAP-User-ID löschen!!

Der ILM kann diese Daten nicht beeinflussen.

Hier sollte man überlegen, das es nur die SAP User-Namen als Alias vergeben werden können. Dies hätte sogar den Vorteil, da bei DART-Extrakten z.B. an die Wirtschaftsprüfer auch keine solchen Daten weitergegeben werden können.

Wir haben diese Thema auf der DSAG-Tagung im Frühjahr in Bonn besprochen, da hier relativ viele Fragen aufgekommen sind. Auch können keine User-Namen in der Änderungshistorie von Stammdaten z.B. Anonymisiert werden. Auch hier war der das Ergebnis mit Alias als Anmelde-Namen zu Arbeiten.