Was sind Benutzerrollen?

Wir zeigen Ihnen den Stellenwert von Benutzerrollen in der CRM-Software im Hinblick auf den Datenschutz..

Customer-Relationship-Management Systeme – auch CRM Systeme genannt - dienen der Handhabung sämtlicher kundenspezifischer Prozesse eines Unternehmens. Dabei kommen zahlreiche hochsensible Daten zum Einsatz. Im Folgenden befassen wir uns näher damit, welche Funktion Benutzerrollen im Schutz dieser Daten bzw. im Datenschutz im allgemeinen einnehmen. Zunächst muss jedoch denifiert werden, worum es sich bei personenbezogenen Daten eigentlich handelt. 

Inhaltsverzeichnis

• Was sind personenbezogene Daten?
• Beispiele für personenbezogene Daten
• Wozu dienen Benutzerrollen?
• Benutzerrollen in der Praxis
• Benutzerrollen in Gruppen und Teams

Was sind personenbezogene Daten? 

Bei der Verarbeitung personenbezoener Daten gelten durch den Gesetzgeber seit Inkrafttreten der DSGVO im Mai 2016 bzw. spätestens seit ihrer Wirksamkeit im Mai 2018 strenge Vorschriften. Laut adito.de stellt eine transparentere Verarbeitung personenbezogener Daten das Kernziel der DSGVO dar. Diese definiert den allgemeinen Oberbegriff „personenbezogene Daten“ in Art. 4 Nr. 1 als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.“, so dsgvo-gesetz.de. Demnach sieht der Gesetzgeber also zum einen eine klare Differenzierung zwischen einer natürlichen Person, also einer Privatperson, und einer Person im juristischen Sinne, also beispielsweise einer Stiftung oder Körperschaft, vor. Bei vertraulichen Informationen juristischer Personen betreffend handelt es sich dementsprechend ausdrücklich nicht um „personenbezogene Daten“. Eingeschlossen sind jedoch beispielsweise der vollständige Name, der Wohnort oder die Personalausweisnummer einer Privatperson.

Beispiele für personenbezogene Daten 

Da sich in der Definition der Ausdruck „alle Informationen“ findet, fallen auch weniger personenspezifische Daten, über die allein sich eine Privatperson nicht eindeutig identifizieren lässt, unter die Datenschutzgrundverordnung. So wird als Beispiel die Erfassung der Arbeitszeit eines Arbeitnehmers genannt – also die genaue Anwesen- bzw. Abwesenheitszeit unter genauer Angabe des jeweiligen Datums bzw. der Uhrzeit. Zudem zählen auch subjektive Informationen wie beispielsweise Arbeitnehmerbeurteilungen, Meinungen, personenbezogenes Feedback oder anderweitige Einschätzungen zu den sogenannten „personenbezogenen Daten“.

Personenbezogene Daten und die DSGVO

Relevant wird der Umgang mit personenbezogenen Daten in Bezug auf CRM-Systeme unter Anderem in Art. 30 der Datenschutzgrundverordnung (DSGVO). Dieser verpflichtet zu einer schriftlichen Dokumentation bzw. Übersicht über sämtliche Verfahren, in denen es der Verarbeitung personenbezogener Daten bedarf – alles vor dem Hintergrund einer möglichst transparenten Datenhandhabung. 

Was droht bei Verstößen?

Bei Nichtbeachten der Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten kann laut dsgvo-gesetz.de im Extremfall ein Bußgeld in Höhe von 10 Mio. Euro bzw. 2% des Jahresumsatzes des jeweiligen Unternehmens durch die zuständige Aufsichtsbehörde verhängt werden. Zudem gilt seit Mai 2018, dass zur Verarbeitung personenbezogener Daten mittels eines CRM Systems eine schriftliche Einwilligung des Kunden eingeholt werden muss. Ebenso müssen die verwendeten Daten auf ausdrücklichen Kundenwunsch gelöscht werden. 

Wozu dienen Benutzerrollen?

Mit Inkrafttreten der DSGVO werden somit auch neue Anforderungen an existente CRM Systeme gestellt. Die meisten gängigen CRM Systeme verfügen laut adito.de beispielsweise bereits über ein Rollen- und Berechtigungskonzept, über welches abgewickelt wird, welcher Nutzer Zugriff auf Kundendaten hat bzw. diese exportieren oder löschen kann. Somit erhält ein Anwender durch das System automatisch keine Berechtigung zur Einsicht bestimmter Daten, sofern dies nicht durch seine Benutzerrolle und die damit verbundenen Rechte definiert ist. 

Benutzerrollen auch im Interesse des Unternehmen 

Dies dient nicht nur einem sicheren Umgang mit sensiblen, kundenspezifischen Daten, sondern soll zudem verhindern, dass für das Unternehmen wichtige Kundendaten im CRM System unabsichtlich bearbeitet oder gelöscht werden. Die Vergabe der jeweiligen Benutzerrolle liegt idealerweise zunächst dem Profil des jeweiligen Mitarbeiters zugrunde. So wird durch das Mitarbeiterprofil definiert, ob er Zugang zu CRM-Daten des Vertriebs, des Kundenservices oder einer anderen Abteilung erhält. Zudem wird die hierarchische Stellung des Mitarbeiters innerhalb des Unternehmens und seine damit verbundenen Aufgaben bei der Vergabe einer Benutzerrolle miteinbezogen. So erhält ein Vertriebsleiter eine andere Rolle als ein Auszubildender im Vertrieb. 

Benutzerrollen in der Praxis 

Ein Beispiel für die Benutzerrollen innerhalb einer CRM-Software stellt Microsoft Dynamics 365 for Customer Engagement dar. Hier wird zwischen unterschiedlichen Sicherheitsrollen differenziert, welche den Zugriff auf verschiedene Datensatztypen ermöglichen oder verweigern. Dabei besteht die Möglichkeit, einem einzelnen Anwender mehrere Sicherheitsrollen zuzuweisen. Somit erhält er alle Rechte jeder der ihm zugewiesenen Rollen. 

Aufgabenbasierte Rechte und Rechte auf Datensatzebene

Microsoft unterscheidet dabei zwischen Rechten auf Datensatzebene und aufgabenbasierten Rechten. Rechte auf Datensatzebene bestimmen, welche Aufgaben der jeweilige Nutzer mit einem bestimmten Datensatz ausüben kann. So kann eine Vielzahl der Nutzer Einsicht in den Datensatz haben, während nur eine geringe Zahl der Mitarbeiter dazu berechtigt ist, ihn zu bearbeiten oder zu löschen. Bei aufgabenbasierten Rechten handelt es sich laut docs.microsoft.com um das allgemeine Recht, eine bestimmte Aufgabe auszuführen, wie beispielsweise das Recht zur Änderung des Produktkatalogs. 

Benutzerrollen in Gruppen und Teams 

Unabhängig von der jeweiligen CRM-Software kommt des Weiteren besonders bei größeren Unternehmen oftmals eine zusätzliche Unterteilung in Gruppen oder Teams zum Tragen. Innerhalb des Vertriebs kann es beispielsweise bei international tätigen Unternehmen durchaus sinnvoll sein, Gruppen beispielsweise nach geographischen Regionen oder anderen unternehmensspezifischen Kriterien auszurichten. In diesem Fall benötigen Anwender, welche Kunden in Nordeuropa betreuen, allein aus Gründen der Übersichtlichkeit und des effizienteren Arbeitens keine Zugriffberechtigung auf Kundendaten des asiatischen Kundenstammes. 

Fazit: Benutzerrollen für Datenschutz und Transparenz

Zusammenfassend lässt sich festhalten, dass Benutzerrollen zweierlei Funktionen erfüllen. Zum einen unterstützen sie Unternehmen bei der DSGVO-konformen Handhabung sensibler, personenbezogener Daten. Zum anderen sorgen sie jedoch auch für Transparenz. So ist in jedem Fall deutlich, welcher Mitarbeiter Zugriff auf welchen Bereich des CRM-Systems hat. Die Mitarbeiter profitieren zudem durch eine übersichtliche, nutzerfreundliche Oberfläche, da ausschließlich für sie relevante Funktionen zur Verfügung stehen.