FAQ · Konzern, Rollen und Mandanten
Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Konzerneinheiten angehören?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Datensphären bleiben getrennt, sobald jedes Datenobjekt einer fachlich verpflichteten Rechtseinheit und einem konkreten Zweck zugeordnet ist. Wir trennen die Sphäre des Auftraggebers mit Einstufung, Risikoentscheidung und Freigabe von der Sphäre des Auftragnehmers mit Leistungssteuerung und von der des operativen Erbringers mit Betriebsnachweisen.
Gemeinsame Anbieter- oder Vertragsstammdaten teilen wir kontrolliert. Vertrauliche Bewertungen, Vorfälle, Anhänge und Entscheidungsprotokolle erhalten eine begründete Zugriffsmatrix. Bei Datentransfers zwischen den Sphären klären wir, wer welchen Nachweis liefert, auf welcher Rechts- und Vertragsgrundlage das geschieht und wer ihn weitergeben darf. Listen, Suche, Schnittstelle, Benachrichtigung und Export testen wir mit Nutzern jeder Konzerneinheit.
In der Praxis
Wir prüfen einen Konzern-Dreiecksfall mit drei Testkonten und einem vertraulichen Anhang.
- Datenverantwortung und Freigabehoheit sind je Objekt festgelegt.
- Geteilte Stammdaten sind von vertraulichen Entscheidungen getrennt.
- Querzugriffe und Exporte laufen als Negativtests.
Nachweis: Als Nachweis entstehen eine Datenfluss- und Berechtigungsmatrix sowie ein Testprotokoll je Konzerneinheit.
Belege
- Vorgehen von Markus Junge, Qvestcon