Data Governance

Im Kern beantwortet Data Governance drei Fragen: Wer ist für einen Datenbestand fachlich zuständig, welche Regeln gelten für ihn, und wer entscheidet, wenn Bereiche sich nicht einig sind. Das Referenzwerk DAMA-DMBOK der Data Management Association (DAMA) beschreibt Data Governance als Ausübung von Autorität, Kontrolle und gemeinsamer Entscheidungsfindung über das Management von Datenbeständen, mit Planung, Überwachung und Durchsetzung. Die Norm ISO/IEC 38505-1 von 2017 ordnet die Governance von Daten als Teil der IT-Governance und damit der Unternehmensführung ein und richtet sich ausdrücklich an die Leitungsorgane.

Data Governance ist nicht dasselbe wie Datenmanagement. Governance legt fest, was gelten soll und wer entscheidet. Das Datenmanagement setzt es um, etwa bei Speicherung, Integration, Sicherung und Bereinigung. Datenqualität beschreibt, wie gut die Daten für ihren Zweck taugen. KI-Governance regelt, wer im Unternehmen was mit KI tun darf, und setzt geregelte Daten voraus.

Für Führungskräfte zählt das Thema, weil Entscheidungen auf Daten beruhen und weil KI-Anwendungen genau die Daten verarbeiten, deren Zustand und Zugriffsrechte oft ungeklärt sind. Wenn zwei Abteilungen für denselben Monat verschiedene Umsatzzahlen vorlegen, ist das ein Governance-Problem und kein Rechenfehler. Verantwortung über Abteilungsgrenzen hinweg kann nur die Geschäftsleitung zuweisen.

Die Bausteine von Data Governance.

Ein Data-Governance-Rahmen besteht aus wenigen Bausteinen, die in jeder Größe gleich sind.

Der erste sind Rollen mit Entscheidungsrechten: Wer legt fest, was ein Datenbestand enthalten muss, wer pflegt ihn, wer betreibt die Technik? Der zweite sind Richtlinien und Standards. Dazu gehören gemeinsame Definitionen von Geschäftsbegriffen, etwa was ein aktiver Kunde ist, dazu Formate, Aufbewahrungs- und Löschfristen und eine Einstufung nach Vertraulichkeit.

Der dritte Baustein ist ein Entscheidungsweg für Konflikte. Führen Vertrieb und Buchhaltung einen Kunden unterschiedlich, muss feststehen, wer entscheidet, welches System führend ist. Viele Unternehmen setzen dafür ein Gremium ein, in kleineren reicht eine benannte Person in der Geschäftsleitung.

Der vierte sind Metadaten: ein Verzeichnis, welche Datenbestände es gibt, wo sie liegen, wer zuständig ist und woher die Daten stammen. Diese Herkunft heißt Data Lineage. Der fünfte sind Zugriffsrechte, die in den Systemen eingestellt sind und nicht bloß auf Papier stehen. Der sechste sind Kennzahlen zur Datenqualität, damit sichtbar wird, ob die Regeln wirken.

Fehlt einer dieser Bausteine, bleibt Data Governance ein Dokument.

Rollen: Owner, Steward, Custodian.

Drei Rollen haben sich als gemeinsame Sprache durchgesetzt. Der Data Owner trägt die fachliche Verantwortung für einen Datenbestand. Er legt fest, welche Anforderungen gelten, und entscheidet, wer zugreifen darf. Meist ist das eine Führungskraft aus dem Bereich, der mit den Daten arbeitet, für Kundendaten etwa die Vertriebsleitung.

Der Data Steward kümmert sich im Alltag um den Bestand. Er pflegt Definitionen, beobachtet die Qualität, klärt Fehler mit denen, die Daten erfassen, und stößt Korrekturen an. Der Data Custodian betreibt die Technik: Speicherung, Sicherung, Rechteverwaltung. Diese Rolle liegt meist in der IT oder bei einem Dienstleister.

In kleineren Unternehmen übernimmt eine Person oft mehrere Rollen. Das ist unproblematisch, solange die Zuständigkeit schriftlich feststeht und bekannt ist. Eine Rolle ist keine neue Stelle, sondern eine benannte Aufgabe für bestehende Mitarbeitende, die dafür Zeit bekommen.

Der häufigste Fehler liegt in der Zuordnung: Die IT wird zum Owner erklärt, weil die Daten in ihren Systemen liegen. Fachliche Fragen kann sie aber nicht entscheiden. Data Governance funktioniert, wenn die Fachbereiche Verantwortung tragen und die IT sie technisch umsetzt.

Was Recht und Regulierung verlangen.

Kein Gesetz verlangt von Unternehmen ein Programm namens Data Governance. Mehrere Pflichten lassen sich ohne geklärte Zuständigkeiten aber kaum erfüllen.

Die DSGVO verpflichtet Verantwortliche in Artikel 5 Absatz 2, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Dazu kommen das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 und das Recht auf Löschung nach Artikel 17. Wer nicht weiß, wo personenbezogene Daten liegen, kann sie weder auflisten noch löschen.

Der AI Act überschreibt Artikel 10 mit „Daten und Daten-Governance“. Für Hochrisiko-KI-Systeme müssen Trainings-, Validierungs- und Testdaten geeigneten Verfahren der Daten-Governance unterliegen, unter anderem zu Herkunft, Aufbereitung und der Prüfung auf mögliche Verzerrungen. Der EU Data Act (Verordnung 2023/2854) gilt seit dem 12. September 2025 und regelt unter anderem den Zugang zu Daten vernetzter Produkte. Wer solche Produkte anbietet, muss wissen, welche Daten sie erzeugen.

Eine Verwechslung ist verbreitet: Der Data Governance Act der EU (Verordnung 2022/868), anwendbar seit September 2023, regelt trotz seines Namens nicht die interne Data Governance. Er betrifft die Weiterverwendung von Daten öffentlicher Stellen, Datenvermittlungsdienste und das freiwillige Teilen von Daten für Gemeinwohlzwecke.

Warum KI Data Governance dringlicher macht.

Solange Daten nur in Fachanwendungen und Berichten auftauchten, fielen Lücken in der Data Governance langsam auf. Mit KI-Anwendungen ändert sich das, denn ein Assistent, der Fragen aus internen Dokumenten beantwortet, liest alles, was ihm zugänglich gemacht wird.

Drei Folgen sind typisch. Erstens gibt er veraltete Fassungen ebenso überzeugend wieder wie gültige, wenn niemand festgelegt hat, welche Quelle gilt. Zweitens zeigt er Inhalte Personen, die sie nicht sehen dürften, wenn Zugriffsrechte nicht bei der Suche greifen. Drittens wandern Daten zu externen Modellen, wenn keine Einstufung sagt, welche Daten das Haus verlassen dürfen. Für personenbezogene Daten verlangt die DSGVO dafür eine Rechtsgrundlage und bei Dienstleistern in der Regel einen Vertrag zur Auftragsverarbeitung.

Dazu kommt Schatten-KI: Beschäftigte laden Firmendaten in Werkzeuge, die niemand geprüft hat. Eine klare Einstufung der Daten nach Vertraulichkeit ist die Grundlage, um zu sagen, was in welches Werkzeug darf.

Die Reihenfolge ergibt sich daraus. Bevor eine KI-Anwendung auf einen Datenbestand zugreift, stehen Owner, gültige Quelle und Zugriffsrechte fest. Dieser Schritt gehört in Projektplan und Budget und nicht in die Zeit nach dem Start.

Zentral, dezentral oder föderiert.

Data Governance lässt sich unterschiedlich organisieren. Zentral entscheidet eine Stelle über alle Datenbestände und gibt einheitliche Regeln vor. Das sorgt für Einheitlichkeit, wird aber leicht zum Engpass. Dezentral regeln die Fachbereiche ihre Daten selbst. Das ist schnell und nah an der Arbeit, führt aber zu widersprüchlichen Definitionen, sobald Daten zwischen Bereichen fließen.

Föderiert gibt eine zentrale Stelle wenige verbindliche Standards vor, etwa gemeinsame Kernbegriffe, Sicherheitsregeln und Formate, und die Bereiche setzen sie für ihre Daten um. Dieses Modell ist in größeren Organisationen verbreitet und steht auch hinter dem Ansatz Data Mesh. Kein Modell ist grundsätzlich überlegen. Passend ist, was zu Größe, Systemlandschaft und Entscheidungskultur gehört.

Für den Einstieg im Mittelstand bewährt sich ein enger Zuschnitt. Am Anfang stehen die wenigen Datenbestände, an denen Entscheidungen und Kosten hängen, meist Kunden, Produkte, Aufträge und Finanzkennzahlen, und die Stellen, an denen Bereiche heute über Zahlen streiten. Für sie werden Owner, führendes System und Kernbegriffe festgelegt. Reifegradmodelle helfen, den Stand einzuordnen, schreiben aber keinen Pflichtweg vor.

Woran man eine gute Umsetzung erkennt.

Gute Data Governance zeigt sich im Alltag und nicht im Regelwerk. Für jeden wichtigen Datenbestand ist ein Owner benannt, und die Mitarbeitenden wissen, wen sie fragen müssen. Kernbegriffe sind einmal definiert und werden in Berichten gleich verwendet. Für jeden Bestand steht fest, welches System führend ist.

Zugriffsrechte sind in den Systemen eingestellt und werden regelmäßig überprüft, statt nur in einer Richtlinie beschrieben zu sein. Konflikte zwischen Bereichen haben einen festen Entscheidungsweg. Kennzahlen zur Datenqualität werden gemessen und von den Ownern angeschaut. Neue Anwendungen, auch KI-Anwendungen, durchlaufen vor dem Start eine Prüfung, welche Daten sie lesen dürfen.

Zu den Kosten: Den größten Posten bildet meist nicht die Software, sondern die Arbeitszeit der Fachbereiche für Definitionen, Pflege und Abstimmung. Datenkataloge und Werkzeuge für Herkunft und Rechte erleichtern die Arbeit, ersetzen aber keine Entscheidung. Wer nur das Softwarebudget plant, plant am Aufwand vorbei. Teurer ist auf Dauer oft das Fehlen von Regeln, weil widersprüchliche Zahlen bei jeder Auswertung neue Abstimmung kosten.

Wer einen Dienstleister beauftragt, sollte fragen, wie Owner benannt, Rechte durchgesetzt und Erfolge gemessen werden.

Die Grenze des Begriffs

Data Governance legt Regeln und Zuständigkeiten fest. Sie bereinigt keine Daten und ersetzt kein Datenmanagement. Abzugrenzen ist sie von Datenqualität, die den Zustand der Daten misst, von KI-Governance, die den Einsatz von KI-Systemen regelt, und vom Data Governance Act der EU, der trotz des Namens den Austausch von Daten zwischen Organisationen betrifft. Datenschutz ist nur ein Teil davon, denn Data Governance gilt für alle Daten.