Lückenlos belegbar: Protokoll, Berechtigungen und was wir bewusst nicht versprechen
In Häusern mit Vertraulichkeits- und Nachweispflicht entscheidet sich der Wert einer Software nicht an der Oberfläche, sondern an zwei Fragen: Wer durfte was sehen, und lässt sich das im Nachhinein belegen?
Berechtigungen gelten pro Dokumenttyp
Gesteuert wird über Dokumenttyp mal Team. Wer Finanzdokumente nicht sehen darf, sieht sie nicht in der Liste, nicht in der Detailansicht, nicht in der Originaldatei und auch nicht über den Assistenten. Ein gesperrtes Dokument erscheint auch nicht als gesperrt, es erscheint gar nicht. Schon die Auskunft, dass es das Dokument gibt, wäre eine Auskunft.
Auch die Umwege sind zu
Eine Sperre, die nur für Dokumente gilt, ist keine Sperre. Sie greift deshalb überall dort, wo man auf den Inhalt zurückschließen könnte: Kontakte, Kennzahlen, Suche, Aufgaben, Verlauf und Export. Bei den Kontakten filtert das System vor der Zusammenführung, sonst flössen Angaben aus einem gesperrten Dokument in Telefonnummer und Funktion eines sichtbaren Kontakts ein. Das Recht auf das Adressbuch ist außerdem vom Recht auf die Dokumente getrennt, "Sachbearbeitung ja, Adressbuch nein" ist einstellbar, und der Aufruf der Kontaktübersicht wird protokolliert. Eine Adressliste ist selbst eine Personendatensammlung, ihr Abruf also ein Personenzugriff.
Das Protokoll erfasst auch das Lesen
Aufgezeichnet wird, wer wann was gesehen, geöffnet, geändert, zugewiesen, weitergeleitet oder exportiert hat, einschließlich reiner Lesezugriffe und einschließlich der Schritte in geführten Abläufen. Filterbar nach Aktion, Person und Zeitraum, als CSV exportierbar, und am Dokument selbst liegt derselbe Verlauf als Zeitleiste.
Jede Aktion mit Person und Zeitpunkt, filterbar und exportierbar. Die Integritätsprüfung läuft auf Knopfdruck.
Manipulation fällt auf. Das ist nicht dasselbe wie fälschungssicher
Die Einträge sichern sich gegenseitig ab. Wird einer nachträglich verändert, meldet die Prüfung auf Knopfdruck, an welcher Stelle. Damit ist eine Manipulation nachweisbar. Sie ist nicht unmöglich: Wer die tiefsten Systemrechte hat, käme grundsätzlich daran. Für echte Unveränderbarkeit bräuchte es zusätzliche Vorkehrungen außerhalb des Systems. Wir schreiben das lieber hier hin, als es im Vertrieb zu behaupten und im Prüfungsfall zurückzunehmen.
Löschen und Aufbewahren
Ein Löschbegehren nach DSGVO wird an der Quelle bedient, während das Protokoll prüfbar bleibt. Altes Protokoll lässt sich kürzen, ohne die Prüfbarkeit des verbleibenden Teils zu verlieren. Beides muss gleichzeitig gehen, sonst steht Datenschutz gegen Nachweispflicht.