◑Zugänge und Rollen

Zwei, und die Aufteilung ist absichtlich einfach:

• Caller — die tägliche Arbeit: Kontakte, Kampagnen, Aufgaben, Telefon.
• Admin — zusätzlich Verwaltung und Systemsteuerung: Zugänge, Postfächer, Rechtliches, Zustellbarkeit, Betriebszustand.

Die Rolle entscheidet, welche Bereiche im Menü erscheinen und welche Handlungen erlaubt sind — nicht, welche Daten es gibt. Ein Caller sieht dieselben Kontakte wie ein Admin.

Vergrößern

Über „+ Neuer User“: E-Mail, Passwort, Rolle.

Das Passwort gilt ab sofort — geben Sie es am besten gleich mit dem Hinweis weiter, es zu ändern. Wo Einladungen eingerichtet sind, ist das der bessere Weg: Dann vergibt die Person ihr Kennwort selbst, und niemand tippt ein Passwort für jemand anderen.

Über „PW Reset“ in der Zeile des Zugangs.

Ein Hinweis, der Verwirrung erspart: Es gibt keine Erfolgsmeldung. Wenn sich das Feld schließt, hat es geklappt.

In der Zeile des Zugangs. Die Änderung greift, sobald die Person die Seite neu lädt oder sich neu anmeldet.

Sparen Sie mit Admin-Rechten. Nicht aus Misstrauen, sondern weil in diesem Bereich die Knöpfe stehen, die etwas Unwiderrufliches tun: Postfächer trennen, Anhänge endgültig löschen, Instanzen anfassen.

Löschen fragt doppelt nach. Danach gilt:

Aufgaben und Verläufe der Person bleiben erhalten, verlieren aber ihre Zuordnung. Es geht also nichts an Arbeit verloren — man sieht hinterher nur nicht mehr, wer es war.

Wenn diese Zuordnung wichtig ist (etwa für Nachweise), ist es besser, den Zugang nur abzuschalten, statt ihn zu löschen.

Der Reihe nach:

1. Zugang abschalten — sofort, am letzten Arbeitstag. Das ist wichtiger als alles Weitere.
2. Postfach prüfen: Lief der Versand über ihre Adresse? Dann laufende Kampagnen auf ein anderes Absenderpostfach umstellen, sonst laufen Antworten ins Leere.
3. Wiedervorlagen und Aufgaben umverteilen — sonst werden sie nicht fällig, sondern fallen einfach niemandem mehr auf.
4. Telefonieprofil freigeben.

Erst danach, und nur wenn es einen Grund gibt, den Zugang löschen.

Im Zugriffsprotokoll. Es hält fest: wer, wann, wo, mit welchem Ergebnis — und lässt sich nach Bereich, Person und Zeitraum filtern. Die Bereichsliste wächst von selbst mit, neue Module tauchen automatisch auf.

Zwei bewusste Lücken sollten Sie kennen:

• Gelesen wird nicht protokolliert. Eine frische Instanz zeigt hier zu Recht wenig.
• Der Inhalt einer Änderung wird nicht gespeichert — er wäre eine zweite, ungeschützte Kopie aller Personendaten.

Technisch ja — ein Zugang ist ein Zugang. Praktisch sollten Sie sich vorher zwei Fragen stellen:

• Braucht die Person wirklich das ganze System? Ein externer Dienstleister, der eine Kampagne schreiben soll, braucht keine Kontaktdaten — die Vorlage lässt sich auch als Datei abstimmen.
• Ist die Verarbeitung gedeckt? Ein Externer mit Zugriff auf personenbezogene Daten ist ein Auftragsverarbeiter; dafür braucht es einen Vertrag.

Wenn beides geklärt ist: Zugang als Caller anlegen, Bereiche über die Navigation aufräumen, und nach Ende der Zusammenarbeit sofort abschalten.

Die Einladung, wo sie eingerichtet ist. Der Grundsatz steht am Feld: Ein Passwort tippt niemand für jemand anderen.

Der Unterschied ist nicht Bequemlichkeit, sondern Zurechenbarkeit: Ein Kennwort, das zwei Menschen kannten, macht jede Zuordnung im Zugriffsprotokoll angreifbar.

Wo Sie ein Passwort setzen müssen, geben Sie es nicht per Mail weiter und bitten Sie darum, es sofort zu ändern.

Die Verwaltungsbereiche: Zugänge, Postfächer, Rechtliches, Zustellbarkeit, Betriebszustand, Systemsteuerung — und, sofern vorhanden, die Kundenverwaltung.

Nicht eingeschränkt sind die Daten: Ein Caller sieht dieselben Kontakte, Kampagnen und Kandidaten wie ein Admin. Wer Datenzugriff einschränken will, kann das über Rollen nicht erreichen — dafür braucht es getrennte Instanzen.

Abschalten in fast allen Fällen: Der Zugang kommt nicht mehr hinein, die Zuordnung von Aufgaben und Verläufen bleibt erhalten.

Löschen nur, wenn es einen Grund gibt — dann verlieren Aufgaben und Verläufe der Person ihre Zuordnung, und das lässt sich nicht rückgängig machen.

Für den Fall „Mitarbeiterin geht“ ist Abschalten am letzten Arbeitstag die richtige und ausreichende Handlung.

Mindestens zwei, höchstens wenige.

Mindestens zwei, weil ein einzelner Admin im Urlaub ein Problem ist — Postfach hängt, Zugang muss angelegt werden, und niemand kommt heran.

Höchstens wenige, weil in diesen Bereichen die Knöpfe stehen, die Unwiderrufliches tun: Anhänge endgültig löschen, Instanzen anfassen, Daten überschreiben.

Mit einer konkreten Frage im Kopf — sonst ist es nur eine lange Liste.

Filtern Sie nach Bereich, Person und Zeitraum. Die typischen Fragen, die es beantwortet: Wer hat diesen Datensatz zuletzt angefasst? Wer hat den teuren Lauf gestartet? Wann wurde exportiert?

Und die Grenzen kennen: Gelesen wird nicht protokolliert, und der Inhalt einer Änderung wird nicht gespeichert — Sie sehen, dass und wer, nicht was vorher dort stand.

Vergrößern

So lange, wie es einen Zweck erfüllt, und nicht länger. Ein Protokoll ohne Ende ist selbst ein Datenschutzproblem: Es sagt über Jahre hinweg, wer wann gearbeitet hat, und taugt damit zur Leistungskontrolle, für die es nie gedacht war.

Zwei Regeln reichen im Alltag:

• Nach hinten begrenzen. Sechs Monate decken den Regelfall ab. Was länger nachwirkt — ein Vorfall, eine Auskunftsanfrage, ein Rechtsstreit —, sichert man einzeln und begründet.
• Nicht zur Personalbeurteilung verwenden. Sobald es einen Betriebsrat gibt, ist eine Auswertung nach Personen mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG) und ohne dessen Zustimmung unzulässig.

Steht ein Betriebsrat im Haus, gehört die Frage, wer das Protokoll wann auswerten darf, in eine Betriebsvereinbarung — vor der ersten Auswertung, nicht nach der ersten Beschwerde.