Advanzo App

Ein CRM sammelt früher oder später fast alles, was ein Unternehmen über seine Kontakte weiss: Telefonnummern, Vertragsdetails, Notizen aus Verkaufsgesprächen, manchmal auch heikle Informationen über die finanzielle Situation einer Person. Genau deshalb ist die Frage, wer im System was sehen darf, keine technische Nebensächlichkeit, sondern eine Frage von Datenschutz, Vertrauen und gesundem Menschenverstand. Wer Berechtigungen sauber setzt, schützt nicht nur seine Kundinnen und Kunden, sondern auch das eigene Team vor Fehlern, die teuer werden können.

Warum Berechtigungen mehr sind als eine IT-Frage

In vielen kleinen Unternehmen lautet die stille Standardregel: Alle sehen alles. Das ist bequem, solange das Team aus drei Personen besteht, die ohnehin nebeneinander sitzen. Sobald aber externe Mitarbeitende, Praktikantinnen oder Partner dazukommen, wird aus Bequemlichkeit ein Risiko. Das revidierte Schweizer Datenschutzgesetz (revDSG) verlangt, dass Personendaten nur für jene zugänglich sind, die sie für ihre Arbeit tatsächlich brauchen. Dieses Prinzip heisst «Privacy by Default» und ist seit September 2023 keine Empfehlung mehr, sondern geltendes Recht.

Konkret bedeutet das: Ein Account-Manager braucht Zugriff auf seine eigenen Deals und Kontakte. Ob er auch die Lohnverhandlungen mit einem Grosskunden sehen muss, die ein Kollege führt, ist eine ganz andere Frage. Berechtigungen sind also kein Misstrauensvotum gegenüber dem Team, sondern eine Schutzmassnahme für alle Beteiligten.

Eine gute Berechtigungsstruktur folgt nicht der Frage «Wem vertrauen wir?», sondern der Frage «Wer braucht diese Daten wirklich, um seine Arbeit zu tun?».

Das Prinzip der minimalen Rechte

Die bewährte Grundregel nennt sich «Least Privilege»: Jede Person erhält genau so viele Rechte, wie sie für ihre Aufgabe benötigt, und keines mehr. Statt einzelne Berechtigungen mühsam pro Person zu vergeben, arbeitet man am besten mit Rollen. Eine durchdachte Rollenstruktur könnte so aussehen:

Geschäftsleitung: Vollzugriff inklusive Auswertungen, Exporten und Einstellungen.
Vertrieb: Zugriff auf eigene und dem Team zugewiesene Deals, Kontakte und die Pipeline.
Marketing: Lesezugriff auf Kontaktlisten und Kampagnendaten, aber kein Einblick in Vertragssummen.
Support: Zugriff auf Kontaktdaten und Verlauf, jedoch nicht auf finanzielle Details.
Externe und Gäste: eng begrenzter, zeitlich befristeter Zugang auf klar definierte Bereiche.

Der grosse Vorteil von Rollen: Wenn jemand das Team verlässt oder die Funktion wechselt, ändern Sie die Rolle einmal, statt Dutzende Einzelrechte nachzuziehen.

Heikle Felder besonders behandeln

Nicht alle Daten sind gleich sensibel. Felder mit besonders schützenswerten Informationen, etwa Gesundheitsangaben, Bonitätsbewertungen oder vertrauliche Notizen, sollten enger geschützt sein als eine simple Telefonnummer. Viele CRM-Systeme erlauben Berechtigungen bis auf Feldebene. Nutzen Sie das, wo es sinnvoll ist, statt ein ganzes Modul pauschal zu sperren oder zu öffnen.

Häufige Stolperfallen in der Praxis

Berechtigungen einmal zu setzen reicht nicht. In der Praxis schleichen sich typische Fehler ein, die den Aufwand zunichtemachen:

Verwaiste Zugänge: Ehemalige Mitarbeitende oder Freelancer haben noch aktive Konten. Jeder Austritt gehört in eine Checkliste.
Wuchernde Adminrechte: Aus Bequemlichkeit erhalten zu viele Personen Administratorstatus. Admin-Zugriff sollte die Ausnahme sein, nicht die Regel.
Vergessene Exporte: Wer Daten exportieren darf, kann sie aus dem geschützten System herauslösen. Diese Berechtigung gehört in wenige Hände.
Keine Protokollierung: Ohne Nachvollziehbarkeit lässt sich im Ernstfall nicht klären, wer wann auf welche Daten zugegriffen hat.

Eine einfache Gegenmassnahme ist die regelmässige Überprüfung. Setzen Sie sich zweimal im Jahr einen Termin, an dem Sie alle Rollen und Zugänge durchgehen. Eine halbe Stunde genügt oft, um veraltete Rechte aufzuräumen.

Sicherheit beginnt mit der richtigen Plattform

So wichtig die Konfiguration ist, sie steht und fällt mit dem Fundament. Wo liegen die Daten physisch, und wie transparent geht der Anbieter mit Zugriffen um? Für Schweizer KMU spielt es eine Rolle, ob Kundendaten im Inland gehostet werden und ob sich Berechtigungen ohne ein Informatikstudium verständlich verwalten lassen.

Genau hier setzt Advanzo an: ein KI-gestütztes CRM mit Datenhaltung in der Schweiz, klaren Rollen und einer Bedienung, die der Leitidee «remove complexity, not add it» folgt. KI-Funktionen wie E-Mail-Generierung, «Deal-Scoring» oder automatische Gesprächszusammenfassungen arbeiten dabei innerhalb derselben Berechtigungslogik, sodass Komfort nie auf Kosten der Kontrolle geht. Wer von Anfang an sauber definiert, wer was sehen darf, baut sich ein CRM, das mitwächst, ohne zur Datenschutz-Baustelle zu werden.