wer kann alles auf unsere Daten im Dossier zugreifen

Zugriff ist eine Organisationskhoice, keine Plattformkhoice

Wir bestimmen nicht, wer auf das Kettendossier zugreifen kann. Das regelt die Organisation selbst, pro Benutzer und pro Rolle. Jemand, der nur Identitätsdaten eintragen darf — wie den Firmennamen oder die Registrierungsnummer der Eintragung — muss keinen Zugriff auf beispielsweise den ISO 27001-Status oder die Antworten gegenüber Banken haben. Diese Trennung wird empfohlen, sobald mehrere Kollegen an Listen mitarbeiten, denn nicht jede Abteilung benötigt dieselben Daten, um ihre Aufgabe zu erfüllen.

In der Praxis funktioniert das mit Rollen: ein Administrator, der Konten erstellt und Rechte vergibt, und Benutzer, die nur lesen oder auch bestätigen können. Vertrauliche Felder — denken Sie an Umsatzzahlen oder Details zur Haftungsversicherung — können separat geschützt werden, auch für Benutzer, die ansonsten Zugriff auf das Dossier haben. Wer das einstellt und wie streng, ist eine Entscheidung der Organisation. Wir speichern die Daten und zeigen sie dem, der dafür autorisiert ist; wir treffen keine inhaltliche Entscheidung darüber, wer welches Feld sieht.

Warum wir hier keine Rolle spielen

Das ergibt sich aus der Struktur der Plattform: Wir bauen die Antwortseite, wir melden uns nie bei einem Kundenportal an und wir lesen keine eingereichten Fragelisten. Die Zugriffskontrolle für das eigene Dossier ist daher wie die Verwaltung von der Sektor, in dem das Unternehmen tätig ist oder die Anzahl der MitarbeiterDaten und Einstellungen des Kunden, nicht etwas, über das wir ein Urteil fällen. Dies ist unabhängig von den Anforderungen, die in Fragelisten selbst über Zugriffskontrolle als Kontrollmaßnahme vorhanden sein können — wie in Annex A der ISO/IEC 27001 oder in den zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie genannt. Diese Anforderungen beziehen sich darauf, wie die eigene Organisation des Kunden strukturiert ist, nicht auf die Einstellungen innerhalb dieser Plattform.