ausblick crm datenschutz rechte
Manche Entscheidungen trifft man genau einmal. Wie man sich anmeldet, wem Daten gehören, wer was sehen darf: Das lässt sich später kaum noch ändern, ohne alle zu stören, die bereits mit der Software arbeiten. Deshalb legen wir dieses Fundament unserer Immobiliensoftware jetzt fest, vor dem Start am 1. Januar 2027 und vor dem ersten zahlenden Kunden.
Dieser Beitrag beschreibt einen Plan. Gebaut ist davon noch nicht alles, und wir sagen dazu, was vorgesehen ist und was bereits steht.
Zwei Anstöße aus der Praxis
Der erste kam von Maklern selbst. Sie wollen Aufgaben und Projekte nicht einem Benutzerkonto zuweisen, sondern einem Menschen, also ihrer Mitarbeiterin mit Namen. Das klingt nach einer Kleinigkeit und ist eine Grundsatzfrage, denn es entscheidet, worauf im ganzen System alles zeigt.
Der zweite kam vom Datenschutz. Wer eine Plattform betreibt, auf der mehrere Firmen arbeiten, muss erklären können, wer welche Daten sehen kann. Ein Betreiber, der technisch alles sehen darf, ist als Auftragsverarbeiter schwer zu vertreten. Also haben wir die Frage umgedreht und gefragt, wie wenig der Betrieb eigentlich sehen muss.
Wer die Plattform betreibt, ist kein Mitleser
Geplant ist eine klare Trennung. Der Plattformbetrieb kümmert sich um die Technik, legt Firmen an, teilt Speicherplatz und Webadressen zu, richtet Sicherungen ein und stellt Server ein. In die Fachdaten der Firmen, also Kontakte, Objekte und Nachrichten, sieht er nicht hinein.
Ihre Benutzer verwalten die Firmen selbst. Das ist kein Misstrauen gegenüber dem eigenen Betrieb, sondern die einfachste Antwort auf die Frage, wer Zugriff hat: möglichst wenige, und nur dort, wo es die Aufgabe verlangt.
Testfirma und echte Firma sind zweierlei
Jede Firma auf der Plattform ist entweder eine Testumgebung oder ein echter Kunde, und das macht einen Unterschied.
In einer Testumgebung darf der Betrieb frei arbeiten, etwa Passwörter setzen, um mit vielen Testbenutzern Abläufe zu prüfen. Bei einem echten Kunden ist damit Schluss. Dort setzt niemand aus dem Betrieb ein Passwort und ändert kein Benutzerkonto. Eine Einladung und ein vergessenes Passwort laufen ausschließlich per E-Mail an den Menschen, um den es geht.
Der Wechsel von Test auf echt ist eine Einbahnstraße. Dabei verfallen alle bisherigen Passwörter, und die erste Administratorin der Firma bekommt ihre Einladung. Zurück geht es nicht, denn ab diesem Moment liegen dort echte Daten von echten Menschen.
Der Mensch, nicht der Benutzername
Nehmen wir Anna Berger, Maklerin und Inhaberin eines kleinen Büros. In unserer Planung ist sie zuerst eine Person mit Namen, Telefonnummer und E-Mail-Adresse, und erst danach jemand, der sich anmelden kann.
Das hat Folgen im Alltag. Aufgaben, Termine, Nachrichten und Zuständigkeiten gehen immer an die Person, nicht an ein Konto. In Listen steht überall ihr Name, nicht ein Kürzel. Anmeldenamen sehen künftig nur noch die Administratoren der Firma, weil sonst niemand sie braucht.
Zwei Hüte für eine Person
Verwalten und Arbeiten trennen wir in zwei Konten. Ein Administrator-Konto verwaltet Benutzer, Rollen, Teams und Einstellungen, arbeitet aber nicht in Kontakten und Objekten. Ein Mitarbeiter-Konto arbeitet fachlich und verwaltet nichts.
Anna Berger kann beide haben, wie zwei Hüte. Unter jedem Hut sieht sie ihre eigenen Nachrichten und Vorgänge, und unter jedem Hut darf sie genau das, wofür er gedacht ist. Damit sich eine Firma nicht selbst aussperrt, ist das letzte Administrator-Konto geschützt und lässt sich weder löschen noch sperren.
Angemeldet wird mit der Firma
Jede Firma bekommt eine kurze, feste Kennung. Angemeldet wird mit dieser Kennung, dem Benutzernamen und dem Passwort. So kann es in zwei Firmen jeweils eine Anmeldung „info“ oder „büro“ geben, ohne dass sich etwas überschneidet. Die Firmenkennung merkt sich das Programm, eingeben muss man sie nur beim ersten Mal.
Rollen statt Sonderfälle
Mieter, Eigentümer, Käufer, Handwerker und Mitarbeiter sind in unserer Planung keine verschiedenen Arten von Kontakten. Es sind Rollen derselben Person.
Frau Berger kann Eigentümerin einer Wohnung sein und gleichzeitig Mieterin einer anderen. Jede Rolle bringt mit, was zu ihr gehört, ein Mietverhältnis zum Beispiel die Einheit, den Zeitraum und die Miete. Die Person bleibt dieselbe, und niemand muss sie doppelt pflegen.
Das ist zugleich die Grundlage für die geplante Haus- und WEG-Verwaltung. Sie setzt auf derselben Kontaktbasis auf, statt daneben eine zweite anzulegen, und jedes Fachgebiet bekommt seine eigene Sicht auf dieselbe Person.
Das Rechtemodell ist die eigentliche Arbeit
Drei Dinge gehören für uns zusammen.
Die Kontaktverwaltung ist das Rückgrat jeder Installation, also Personen, Firmen, Adressen, E-Mail, Kalender, Aufgaben und Dateien. Fachmodule bauen darauf auf. Ein Hausverwalter muss den Vertriebsteil eines Maklers nicht sehen, der lässt sich ausblenden.
Jeder Datensatz lässt sich mit jedem anderen verknüpfen, etwa als Eigentümer von, Mitarbeiter von oder schlicht gehört zu. Eine solche Verknüpfung verrät dabei nichts, was man nicht sehen darf. Fehlt das Recht, steht dort ein Hinweis und kein Name.
Und es gibt keine stillen Ausweichlösungen. Wenn etwas nicht geht, weil ein Modul fehlt, ein Recht fehlt oder ein Datensatz gelöscht wurde, dann sagt die Oberfläche das samt Grund, schon in der Liste. Sie öffnet nicht ersatzweise etwas anderes. Man soll sich auf das verlassen können, was man sieht.
Ein Protokoll, das keine Schattenkopie ist
Wichtige Aktionen werden protokolliert, also wer wann was getan hat, mit welchem Konto und auf welchem Weg, ob im Programm, über die Website oder über den KI-Assistenten. Einträge lassen sich nachträglich nicht ändern.
Was das Protokoll bewusst nicht enthält, sind Inhalte. Keine Adressen, keine Notizen, keine Feldwerte. Sonst entstünde neben den Daten eine zweite Sammlung derselben Daten, und genau das wollen wir nicht. Jede Firma sieht ihr eigenes Protokoll, der Betrieb nur seine eigenen Plattform-Aktionen. Damit wird die Rechenschaftspflicht der DSGVO etwas, das man vorzeigen kann.
Demo auf Antrag statt Schaufenster
Es wird keine öffentliche Demo geben, in der alle gemeinsam herumklicken. Wer die Software ausprobieren möchte, beantragt über ein Formular eine eigene Demo-Installation. Sie wird aus einer vorbereiteten Vorlage eingerichtet, angepasst und per Einladung übergeben.
Der Grund ist derselbe wie oben. Sobald ein echter Mensch mit eigenen Daten arbeitet, gelten dieselben Schutzregeln wie bei einem Kunden. Später soll ein Skript oder ein KI-Assistent diese Einrichtung übernehmen, und zwar nach denselben Regeln, die auch für einen Menschen gelten.
Erst die Datenbasis, dann die Oberfläche
Zum Schluss der Grundsatz, nach dem wir das umsetzen. Zuerst entstehen die Daten und die Regeln auf dem Server, danach die Oberfläche. Wir bauen keine Bedienkonzepte auf Vorrat.
Die erste Ausbaustufe bringt deshalb nur so viel Oberfläche mit, wie zum Pflegen und Prüfen nötig ist, und zwar nach denselben Mustern wie überall sonst im Programm. Bequemlichkeiten wie eigene Ansichten für Mieter und Eigentümer oder ein schneller Wechsel zwischen den beiden Hüten kommen dann, wenn ein Fachmodul sie wirklich braucht.
Wir halten das für den ehrlicheren Weg. Eine Oberfläche lässt sich jederzeit nachrüsten. Ein Fundament nicht.
