Wer darf was in Ihrem CRM

Vier Rollen reichen

Mehr Abstufungen klingen gründlicher und erzeugen in der Praxis nur den Zustand, in dem niemand mehr weiß, wer was sieht — und dann bekommt zur Sicherheit jeder alles. Vier genügen:

1. Inhaber. Darf alles, einschließlich Rollen ändern, Benutzer anlegen und entfernen. Höchstens zwei Personen, und bei zwei aus einem Grund, der weiter unten steht.
2. Mitarbeiter. Darf Kunden, Vorgänge, Notizen und Aufgaben anlegen und ändern. Das ist die Rolle, die fast alle haben.
3. Nur lesen. Sieht alles, ändert nichts.
4. Kein Zugang. Klingt banal und ist eine eigene Rolle, weil es einen Unterschied macht, ob jemand entfernt wurde oder nur stillgelegt — bei einer Elternzeit, einer Krankheit, einem Saisonarbeiter.

Nur-Lesen ist die nützlichste

Sie wird am seltensten eingerichtet und ist die, die am meisten löst.

Der Mitarbeiter im Büro, der wissen muss, was mit einem Kunden besprochen wurde, bevor er telefonisch verbindet. Der Monteur, der sehen will, was beim letzten Besuch war. Der Steuerberater, der für drei Wochen etwas nachsehen muss. Der Werkstudent.

Ohne diese Rolle passiert immer dasselbe: entweder bekommen diese Leute volle Rechte, weil es einfacher ist — oder sie bekommen gar keinen Zugang, und dann fragen sie per WhatsApp, und die Information wandert aus dem System heraus in ein Telefon. Beides ist schlechter als eine Rolle, die zehn Sekunden Einrichtung kostet.

Achten Sie darauf, wer Rollen ändern darf

Das ist das eigentliche Recht in jedem System, und es wird beim Einrichten am wenigsten beachtet: wer Rollen vergeben darf, kann sich selbst alles geben.

Behalten Sie das bei einer oder zwei Personen. Zwei, nicht eine — denn die Rolle mit einem einzigen Inhaber ist die, bei der ein verlorenes Passwort oder ein längerer Krankenhausaufenthalt den Betrieb lahmlegt.

Und prüfen Sie, ob Ihr System aufzeichnet, wann wer welche Rolle geändert hat. Eine Rechteänderung ohne Spur ist das Einzige in diesem Beitrag, das Sie hinterher nicht mehr rekonstruieren können.

Für Berufsgeheimnisträger ist das Strafrecht

Jetzt der Teil, der in Deutschland für einen Teil der Leser die ganze Frage verändert — und der in Ratgebern über CRM-Rollen fast nie vorkommt.

Wenn Sie Steuerberater, Rechtsanwalt, Arzt, Zahnarzt, Apotheker, Psychotherapeut oder Angehöriger eines ähnlichen Berufs sind, unterliegen die Geheimnisse Ihrer Klienten § 203 StGB. Wer ein fremdes Geheimnis unbefugt offenbart, das ihm in dieser Eigenschaft bekannt geworden ist, macht sich strafbar. Das ist keine Ordnungswidrigkeit und kein Datenschutzverstoß — es ist eine Straftat.

Drei Dinge daraus sind für Ihre Software entscheidend:

1. Ihre eigenen Mitarbeiter sind kein Problem. Nach § 203 Abs. 3 Satz 1 StGB liegt kein Offenbaren vor, wenn Sie Geheimnisse Ihren berufsmäßig tätigen Gehilfen zugänglich machen. Ein Rollenmodell ordnet das, aber es ist nicht die Grenze.
2. Ein externer Dienstleister darf mitwirken — unter einer Bedingung. § 203 Abs. 3 Satz 2 StGB erlaubt das Offenbaren gegenüber „sonstigen Personen, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken“, soweit dies für die Inanspruchnahme der Tätigkeit erforderlich ist. Ein CRM-Anbieter, bei dem Ihre Mandantendaten liegen, ist so eine mitwirkende Person. Und sie muss ihre eigenen Unterauftragnehmer entsprechend verpflichten.
3. Die mitwirkende Person ist selbst strafbar. § 203 Abs. 4 StGB: wer als mitwirkende Person ein fremdes Geheimnis unbefugt offenbart, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Das gilt auch für den dort tätigen Datenschutzbeauftragten.

Was Sie daraus machen sollten, ist eine Frage an jeden Anbieter, den Sie in Betracht ziehen: verpflichtet er sich schriftlich zur Geheimhaltung im Sinne von § 203 StGB, und verpflichtet er seine eigenen Unterauftragnehmer — Rechenzentrum, Hoster, Supportdienstleister — ebenso? Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein beantwortet das nicht: das ist Datenschutzrecht, § 203 StGB ist Strafrecht, und die beiden decken sich nicht.

Stellen Sie diese Frage, bevor Sie Daten hineinschreiben, und lassen Sie sich die Antwort schriftlich geben. Für Steuerberater kommen zusätzlich die berufsrechtlichen Pflichten der Berufsordnung dazu; Ihre Kammer ist dafür die bessere Adresse als jeder Softwarehersteller.

Wenn jemand geht

Eine Liste von drei Dingen, am Tag des Austritts und nicht in der Woche danach:

1. Zugang entziehen — nicht nur das Passwort ändern, sondern die Rolle auf „kein Zugang“ setzen oder den Benutzer entfernen.
2. Seine Kunden umhängen, mit Namen. Ein Kunde ohne Betreuer ist ein Kunde, den niemand anruft, und das fällt erst in drei Monaten auf. Wie die Übergabe aussieht, steht in Einen Kunden übergeben.
3. Offene Aufgaben übernehmen. Die verschwinden nicht, aber sie bleiben mit seinem Namen stehen — und eine Aufgabe, die den Namen eines Ausgeschiedenen trägt, nimmt niemand in die Hand.

Und was Sie nicht machen: seine Notizen und seine Historie löschen. Die gehören zum Kunden, nicht zu ihm — und für einen Teil davon gibt es ohnehin eine Aufbewahrungsfrist, siehe Kundenliste aufräumen.

Was Sie erklären können müssen

Zum Schluss der Prüfstein, der alles oben zusammenfasst. Wenn ein Kunde Sie anruft und fragt: wer bei Ihnen kann meine Daten sehen? — können Sie das in drei Sätzen beantworten?

Wenn nicht, ist das kein Datenschutzproblem, sondern ein Betriebsproblem, und das Datenschutzproblem kommt danach. Die drei Sätze sind: wer hat Zugang, wer kann Rollen ändern, und wer von außen kommt daran.

Dass Sie das beantworten können müssen, steht auch in Art. 32 DSGVO als Pflicht zu angemessenen technischen und organisatorischen Maßnahmen. Für einen Betrieb mit sechs Leuten ist die angemessene Maßnahme meistens keine Zertifizierung, sondern die vier Rollen von oben und eine Liste, wer welche hat.