Nutzer und Zugriffsrechte

Ein Konto gehört einer Agentur oder einem externen Datenschutzbeauftragten und enthält alle betreuten Mandanten. Mitarbeitende arbeiten mit eigenen Zugängen in diesem Konto. Geteilte Sammel-Logins gibt es nicht, und Mandanten selbst bekommen keinen Zugang.

Eigentümer und Mitglieder

Genau ein Zugang ist Eigentümer des Kontos. Er hat immer Zugriff auf alle Mandanten. Entfernen oder in der Rolle ändern kann man ihn nicht. Alle weiteren Personen werden per E-Mail eingeladen und erscheinen anschließend in der Mitgliederliste. Bis zur Annahme steht die Einladung auf „ausstehend“ und kann erneut versendet werden.

Einladen, entfernen und Rollen ändern kann nur der Eigentümer. Ein Mitglied kann sich selbst aus dem Konto entfernen, aber niemanden sonst.

Bei der Einladung wird eine Rolle vergeben: Administrator, Mitglied oder Betrachter. Sie ist als Kennzeichnung im Team gedacht. Praktisch wirksam abgegrenzt wird innerhalb des Kontos über die Zuordnung zu Mandanten (siehe unten und den Abschnitt „Was hier nicht geleistet wird“).

Einschränkung auf bestimmte Mandanten

Für jedes Mitglied legen Sie fest, welche Mandanten es sehen und bearbeiten darf. Das ist der Mechanismus für Konstellationen wie „diese Werkstudentin betreut nur drei Kunden“ oder „der freie Mitarbeiter sieht nur das Projekt, für das er beauftragt ist“.

Das Modell ist ein Ausschluss, keine Freischaltung:

• Ohne Zuordnung sieht ein Mitglied alle Mandanten, auch künftig hinzukommende.
• Sobald mindestens ein Mandant zugeordnet ist, sieht es nur noch diese. Neue Mandanten sind dann nicht automatisch enthalten und müssen bei Bedarf ergänzt werden.
• Eine leere Auswahl hebt die Einschränkung wieder auf.
• Der Eigentümer lässt sich nicht einschränken.

Die Zuordnung verwaltet der Eigentümer in der Mitgliederliste. Dort ist je Mitglied auf einen Blick sichtbar, ob es alle oder nur eine bestimmte Anzahl Mandanten sieht.

Wo die Einschränkung greift

Die Prüfung sitzt an einer einzigen Stelle im Backend, und alle mandantenbezogenen Zugriffe gehen durch sie hindurch: Listen und Übersichten ebenso wie Detailaufrufe, Scans, Befunde, Dokumente, Berichte und Exporte. Ein Mitglied bekommt einen nicht zugeordneten Mandanten deshalb nicht nur „nicht angezeigt“, sondern beim direkten Aufruf eine Ablehnung.

Vorgelagert bleibt die Trennung zwischen Konten. Ein Mandant eines fremden Kontos existiert für einen Zugang schlicht nicht, unabhängig von jeder Zuordnung.

Was kontoweit bleibt

Zwei Dinge sind ausdrücklich nicht mandantenscharf und daher dem Eigentümer vorbehalten:

• die Verwaltung der Mandanten-Zuordnungen selbst, denn sonst könnte sich ein eingeschränktes Mitglied selbst freischalten;
• Schlüssel und Webhooks der Programmierschnittstelle. Ein Schlüssel gilt immer für das gesamte Konto. Dürfte ein eingeschränktes Mitglied einen anlegen, wäre die Einschränkung damit ausgehebelt.

Die Auslastungsanzeige der Tarifgrenzen bleibt ebenfalls kontoweit. Sie zählt den Bestand des Kontos, nicht den sichtbaren Ausschnitt.

Mandanten bekommen keinen Zugang

Für die Kundenseite ist kein Login vorgesehen. Was ein Mandant sehen soll, läuft über einen widerrufbaren geteilten Bericht. Der ist lesend, ohne Konto und ohne Sicht auf andere Mandanten.