Datenklassifizierung

Was Datenklassifizierung leistet

Datenklassifizierung ordnet Daten nach Schutzbedarf in Stufen ein und legt damit fest, welche Regeln für ihren Umgang gelten. Statt für jeden Datensatz einzeln zu entscheiden, wird eine Handvoll Stufen gebildet, und jede Stufe bringt feste Vorgaben mit: wer lesen darf, wo gespeichert werden darf, wie lange aufbewahrt wird, ob exportiert werden darf.

Der Nutzen liegt nicht in der Einteilung selbst, sondern in der Entlastung. Wenn klar ist, dass Kundendaten mit Adresse eine bestimmte Stufe haben, muss niemand mehr im Einzelfall über Zugriffsrechte diskutieren. Das ist der eigentliche Zweck.

Typische Stufen

• Öffentlich: Inhalte, die für jeden bestimmt sind, etwa Produkttexte und Bilder.
• Intern: Informationen für alle Mitarbeitenden, aber nicht für außen, etwa Sortimentsplanung.
• Vertraulich: Personenbezogene Daten wie Name, Adresse, Bestellhistorie, dazu Preise und Verträge.
• Streng vertraulich: Besondere Kategorien nach Datenschutzrecht, etwa Gesundheitsdaten, dazu Zugangsdaten und Zahlungsinformationen.

Wichtig ist, dass die Stufe nicht am Datentyp hängt, sondern am Kontext. Eine Lieferanschrift ist im Bestellprozess notwendig und damit vertraulich. In einem Auswertungsbericht ist dieselbe Adresse ohne Zweck und deshalb ein Fehler, auch wenn sie in beiden Fällen dieselbe Adresse ist.

Warum das für Analysen und KI zählt

Daten, die in ein Analysewerkzeug oder in ein Sprachmodell fließen, verlassen den ursprünglichen Zweck. Wer eine Kundendatenbank in ein Werkzeug zur Textgenerierung kopiert, verarbeitet personenbezogene Daten zu einem neuen Zweck, und das braucht eine Rechtsgrundlage. Deshalb ist die Praxis üblich, Daten vor der Nutzung zu reduzieren, also Namen und Adressen zu entfernen und nur Merkmale wie Bestellwert, Kategorie und Region zu verwenden.

Dieselbe Logik gilt für Trainingsdaten. Ein Modell, das aus Kundenanfragen lernt, sieht Inhalte, die möglicherweise nicht dafür vorgesehen waren. Wer die Klassifizierung ernst nimmt, entscheidet vorab, welche Stufe in Trainingsdaten darf und welche nicht. Nachträglich lassen sich Daten aus einem trainierten Modell praktisch nicht entfernen.

Wie eine Einführung aussieht

Der erste Schritt ist eine Bestandsaufnahme: Welche Daten werden wo gespeichert, wer greift zu, wofür werden sie gebraucht. Der zweite Schritt ist die Zuordnung zu Stufen, mit einer benannten verantwortlichen Person je System. Der dritte Schritt sind die Regeln je Stufe, also Zugriff, Speicherort, Aufbewahrungsfrist und Löschweg. Der vierte Schritt ist die Umsetzung im System, damit die Regel nicht nur auf Papier steht.

Ein häufiger Fehler ist eine zu feine Einteilung. Zwölf Stufen werden nicht angewendet. Vier reichen in der Regel. Ein zweiter häufiger Fehler ist die fehlende Automatisierung. Wenn die Klassifizierung manuell gepflegt wird, ist sie nach einem halben Jahr veraltet. Systeme, die Daten automatisch erkennen und markieren, halten die Einteilung lebendig, auch wenn die Erkennung nie vollständig ist.

Der Nutzen zeigt sich, wenn etwas schiefgeht. Wer weiß, welche Daten betroffen sind und welche Pflichten gelten, kann innerhalb von Stunden reagieren. Ohne diese Übersicht beginnt jede Krise mit einer Woche Bestandsaufnahme.