Wer darf was in Ihrem CRM

Vier Rollen reichen

Mehr Abstufungen klingen gründlicher und erzeugen in der Praxis nur den Zustand, in dem niemand mehr weiß, wer was sieht — und dann bekommt zur Sicherheit jeder alles. Vier genügen:

1. Inhaber. Darf alles, einschließlich Rollen ändern, Benutzer anlegen und entfernen. Höchstens zwei Personen, und bei zwei aus einem Grund, der weiter unten steht.
2. Mitarbeiter. Darf Kunden, Vorgänge, Notizen und Aufgaben anlegen und ändern. Das ist die Rolle, die fast alle haben.
3. Nur lesen. Sieht alles, ändert nichts.
4. Kein Zugang. Klingt banal und ist eine eigene Rolle, weil es einen Unterschied macht, ob jemand entfernt wurde oder nur stillgelegt — bei einer Karenz, einer Krankheit, einem Saisonarbeiter.

Nur-Lesen ist die nützlichste

Sie wird am seltensten eingerichtet und ist die, die am meisten löst.

Der Mitarbeiter im Büro, der wissen muss, was mit einem Kunden besprochen wurde, bevor er telefonisch verbindet. Der Monteur, der sehen will, was beim letzten Besuch war. Der Steuerberater, der für drei Wochen etwas nachsehen muss. Der Ferialpraktikant.

Ohne diese Rolle passiert immer dasselbe: entweder bekommen diese Leute volle Rechte, weil es einfacher ist — oder sie bekommen gar keinen Zugang, und dann fragen sie per WhatsApp, und die Information wandert aus dem System heraus in ein Telefon. Beides ist schlechter als eine Rolle, die zehn Sekunden Einrichtung kostet.

„Need to know“ ist hier keine Empfehlung

Die Wirtschaftskammer formuliert das für Mitarbeiterdaten so direkt, wie man es selten liest: Zugriff dürfen nur jene Personen erhalten, die diese Informationen für ihre konkrete berufliche Aufgabe unbedingt benötigen, ein allgemeiner oder umfassender Zugriff für alle Mitarbeitenden ist nicht zulässig, und Zugriffsrechte sind regelmäßig zu prüfen und technisch zu beschränken.

Das steht dort über Personaldaten, und das Prinzip dahinter ist dasselbe, das Art. 32 DSGVO für jede Verarbeitung verlangt — also auch für Ihre Kundendaten. Wer einmal verstanden hat, dass die Gehaltsliste nicht für alle offen liegt, hat die Begründung für die Kundenakte schon mitgeliefert.

Zwei Folgen davon sind unangenehm genug, um sie zu kennen. Die Wirtschaftskammer weist darauf hin, dass ein Mitarbeiter, der ohne Grundlage auf fremde Daten zugreift, selbst zum Verantwortlichen für diesen Zugriff wird und Adressat gerichtlicher Straf- und Zivilverfahren sein kann. Und § 62 Abs. 1 Z 1 DSG macht es zur Verwaltungsübertretung mit Geldstrafe bis zu 50 000 Euro, sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung zu verschaffen oder einen erkennbar widerrechtlichen Zugang vorsätzlich aufrechtzuerhalten — der Versuch ist strafbar.

Der zweite Halbsatz ist der, den die meisten überlesen. Er beschreibt nicht den Einbrecher, sondern den Kollegen, dessen Zugang beim Austritt niemand entzogen hat und der ihn weiter benutzt.

Achten Sie darauf, wer Rollen ändern darf

Das ist das eigentliche Recht in jedem System, und es wird beim Einrichten am wenigsten beachtet: wer Rollen vergeben darf, kann sich selbst alles geben.

Behalten Sie das bei einer oder zwei Personen. Zwei, nicht eine — denn die Rolle mit einem einzigen Inhaber ist die, bei der ein verlorenes Passwort oder ein längerer Krankenhausaufenthalt den Betrieb lahmlegt.

Und prüfen Sie, ob Ihr System aufzeichnet, wann wer welche Rolle geändert hat. Eine Rechteänderung ohne Spur ist das Einzige in diesem Beitrag, das Sie hinterher nicht mehr rekonstruieren können.

Für Berufsgeheimnisträger gilt in Österreich etwas anderes als in Deutschland

Jetzt der Teil, der für einen Teil der Leser die ganze Frage verändert — und bei dem ein deutscher Ratgeber Sie zuverlässig in die Irre führt.

In Deutschland macht § 203 StGB den externen Dienstleister, der bei einem Steuerberater oder einer Praxis mitwirkt, selbst strafbar. Diese Vorschrift hat in Österreich keine Entsprechung mit gleichem Inhalt. Wer sie überträgt, überträgt sie falsch — in beide Richtungen.

Das österreichische Gegenstück heißt § 121 StGB, „Verletzung von Berufsgeheimnissen“, und sein Anwendungsbereich ist enger, als der Titel vermuten lässt:

1. Es geht nur um Gesundheit. § 121 Abs. 1 StGB erfasst Geheimnisse, die den Gesundheitszustand einer Person betreffen und bei berufsmäßiger Ausübung eines gesetzlich geregelten Gesundheitsberufes, bei der Verwaltung einer Krankenanstalt oder eines anderen Gesundheitsdiensteanbieters oder bei Aufgaben der Kranken-, Unfall-, Lebens- oder Sozialversicherung bekannt geworden sind. Strafrahmen: Freiheitsstrafe bis zu zwei Jahren, bei Vermögensvorteil oder Schädigungsabsicht bis zu drei. Steuerberater, Rechtsanwälte und Apotheker stehen dort nicht, anders als im deutschen § 203.
2. Hilfskräfte sind gleichgestellt. § 121 Abs. 4 StGB stellt den Hilfskräften dieser Personen gleich — „auch wenn sie nicht berufsmäßig tätig sind“ — und die zu Ausbildungszwecken Teilnehmenden. Wer im Gesundheitsbereich arbeitet, muss also nicht nur an die eigene Pflicht denken.
3. Verfolgt wird nur auf Verlangen. Nach § 121 Abs. 6 StGB ist der Täter nur mit Ermächtigung des Verletzten zu verfolgen, und nach Abs. 5 entfällt die Strafbarkeit, wenn die Offenbarung durch ein öffentliches oder ein berechtigtes privates Interesse gerechtfertigt ist.

Für alle anderen Berufe liegt die Pflicht in Österreich im Berufsrecht, und dort adressiert sie meistens nicht den Dienstleister, sondern Sie:

Wirtschaftstreuhänder und Steuerberater. § 80 Abs. 1 WTBG 2017 verpflichtet Berufsberechtigte zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten, und § 80 Abs. 5 WTBG 2017 erklärt das sinngemäß für die Erfüllungsgehilfen des Berufsberechtigten für anwendbar. Die Sanktion ist kein gerichtliches Strafrecht, sondern § 124 Abs. 1 Z 3 WTBG 2017: eine Verwaltungsübertretung mit Geldstrafe bis zu 20 000 Euro, zuständig sind die Bezirksverwaltungsbehörden. Keine Freiheitsstrafe — aber auch nicht folgenlos, und der Begriff „Erfüllungsgehilfe“ ist weiter als „Angestellter“.

Rechtsanwälte. § 9 Abs. 2 RAO dreht die Richtung um: der Rechtsanwalt hat Personen, die nicht selbst Rechtsanwälte sind, zur Verschwiegenheit zu verpflichten und für die verlässliche Einhaltung dieser Verpflichtung hinreichend vorzukehren — und „Entsprechendes gilt für die vom Rechtsanwalt herangezogenen Hilfskräfte“. Die Pflicht trifft die Kanzlei, nicht den Anbieter. Ein Anbieter, bei dem sich diese Vorkehrung nicht treffen lässt, ist damit für eine Kanzlei unbrauchbar, auch wenn ihn selbst niemand bestrafen würde.

Ärztinnen und Ärzte. § 54 Abs. 1 ÄrzteG 1998 bindet die Ärztin oder den Arzt und ihre Hilfspersonen; ein Verstoß ist nach § 199 Abs. 3 ÄrzteG 1998 eine Verwaltungsübertretung mit Geldstrafe bis zu 2 180 Euro, soweit nicht ohnehin ein Gericht zuständig ist — also soweit nicht § 121 StGB greift. Bemerkenswert ist § 54 Abs. 3: das Gesetz lässt die Weitergabe an Auftragsverarbeiter ausdrücklich nur für die Honorar- und Medikamentenabrechnung zu, und auch dort nur mit Speicherung, bei der Betroffene nicht bestimmbar sind. Eine allgemeine Erlaubnis für externe Systeme steht dort nicht.

Was Sie daraus machen sollten, ist eine Frage an jeden Anbieter, den Sie in Betracht ziehen: verpflichtet er sich schriftlich zur Verschwiegenheit über das hinaus, was ohnehin gilt, verpflichtet er seine eigenen Unterauftragnehmer — Rechenzentrum, Hoster, Supportdienstleister — ebenso, und akzeptiert er schriftlich, nach Ihrem Berufsrecht Erfüllungsgehilfe oder Hilfskraft zu sein?

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein beantwortet das nicht. Er regelt Datenschutzrecht; die Verschwiegenheitspflicht steht in Ihrem Berufsrecht und im Strafgesetzbuch, und die drei decken sich nicht. Dass Ihr Dienstleister und dessen Mitarbeiter nach § 6 Abs. 1 DSG ohnehin dem Datengeheimnis unterliegen, ist dabei ein Boden, kein Dach: es ist weniger als das, was Ihnen Ihre Kammer vorschreibt.

Ein Punkt, den fast niemand prüft und der in Österreich ausdrücklich geregelt ist: § 6 Abs. 5 DSG verbietet, ein zugunsten des Verantwortlichen bestehendes Aussageverweigerungsrecht dadurch zu umgehen, dass man sich an seinen Auftragsverarbeiter hält — etwa durch Sicherstellung oder Beschlagnahme automationsunterstützt verarbeiteter Dokumente. § 9 Abs. 3 RAO sagt dasselbe für Rechtsanwälte, samt Vernehmung von Hilfskräften. Fragen Sie Ihren Anbieter, was er tut, wenn jemand genau das versucht — und lassen Sie sich die Antwort schriftlich geben, bevor Sie Daten hineinschreiben.

Und nehmen Sie diese Antwort nicht von einem Softwarehersteller ab, sondern von Ihrer Kammer. Für das Berufsrecht ist sie die bessere Adresse, und zwar auch dann, wenn der Hersteller freundlich und ausführlich antwortet.

Wenn jemand geht

Eine Liste von drei Dingen, am Tag des Austritts und nicht in der Woche danach:

1. Zugang entziehen — nicht nur das Passwort ändern, sondern die Rolle auf „kein Zugang“ setzen oder den Benutzer entfernen. Das ist der Punkt, an dem § 62 Abs. 1 Z 1 DSG von oben wieder auftaucht: ein erkennbar widerrechtlich aufrechterhaltener Zugang ist eine Verwaltungsübertretung, und Sie haben ihn offen gelassen.
2. Seine Kunden umhängen, mit Namen. Ein Kunde ohne Betreuer ist ein Kunde, den niemand anruft, und das fällt erst in drei Monaten auf. Wie die Übergabe aussieht, steht in Einen Kunden übergeben.
3. Offene Aufgaben übernehmen. Die verschwinden nicht, aber sie bleiben mit seinem Namen stehen — und eine Aufgabe, die den Namen eines Ausgeschiedenen trägt, nimmt niemand in die Hand.

Zwei Dinge gelten weiter, auch wenn der Vertrag beendet ist. Das Datengeheimnis muss nach § 6 Abs. 2 DSG ausdrücklich auch nach Beendigung des Arbeitsverhältnisses eingehalten werden — darum gehört dieser Satz in die Verpflichtungserklärung am ersten Arbeitstag und nicht in ein Gespräch am letzten. Und § 11 Abs. 1 UWG stellt es unter Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bis zu 720 Tagessätzen, wenn ein Bediensteter Geschäfts- oder Betriebsgeheimnisse, die ihm durch das Dienstverhältnis zugänglich geworden sind, während der Geltungsdauer des Dienstverhältnisses zu Wettbewerbszwecken weitergibt; nach § 11 Abs. 2 UWG trifft dieselbe Strafe den, der solche Geheimnisse danach verwertet oder weitergibt.

Praktisch heißt das: die Kundenliste, die am Tag vor der Kündigung exportiert wird, ist kein Kavaliersdelikt — und eine Rolle ohne Exportrecht ist billiger als jedes Verfahren darüber.

Und was Sie nicht machen: seine Notizen und seine Historie löschen. Die gehören zum Kunden, nicht zu ihm — und für einen Teil davon gibt es ohnehin eine Aufbewahrungsfrist, siehe Kundenliste aufräumen.

Was Sie erklären können müssen

Zum Schluss der Prüfstein, der alles oben zusammenfasst. Wenn ein Kunde Sie anruft und fragt: wer bei Ihnen kann meine Daten sehen? — können Sie das in drei Sätzen beantworten?

Wenn nicht, ist das kein Datenschutzproblem, sondern ein Betriebsproblem, und das Datenschutzproblem kommt danach. Die drei Sätze sind: wer hat Zugang, wer kann Rollen ändern, und wer von außen kommt daran.

Dass Sie das beantworten können müssen, steht in Art. 32 DSGVO als Pflicht zu angemessenen technischen und organisatorischen Maßnahmen — und in Österreich zusätzlich in Ihrer Aufsichtspflicht als Arbeitgeber. Die Wirtschaftskammer bringt es auf den Punkt: es reicht nicht, die Mitarbeitenden auf das Datengeheimnis hinzuweisen; Sie müssen konkrete Anweisungen erteilen, wie mit personenbezogenen Daten umzugehen ist, und so schulen, dass sie selbst erkennen, wann sie unberechtigt verarbeiten.

Für einen Betrieb mit sechs Leuten ist die angemessene Maßnahme meistens keine Zertifizierung, sondern die vier Rollen von oben, eine Liste, wer welche hat, und ein Satz dazu, wen man fragt, bevor man etwas weitergibt.