{"id":44993,"date":"2026-08-14T09:00:11","date_gmt":"2026-08-14T07:00:11","guid":{"rendered":"https:\/\/2b-advice.com\/?p=44993"},"modified":"2026-08-14T09:09:33","modified_gmt":"2026-08-14T07:09:33","slug":"ruote-destra-privacy-irm-piattaforma-sistema-di-autorizzazioni","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2026\/08\/14\/rollen-rechte-privacy-irm-plattform-berechtigungssystem\/","title":{"rendered":"Ruoli e diritti: requisiti del sistema di autorizzazioni di una piattaforma Privacy-IRM"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Kurzantwort<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Eine Privacy-IRM-Plattform ben\u00f6tigt ein Berechtigungssystem, das \u00fcber die Unterscheidung zwischen \u201eAdmin\u201c und \u201eUser\u201c hinausgeht. Erforderlich sind insbesondere rollenbasierte, objektbezogene, mandantenf\u00e4hige und statusabh\u00e4ngige Rechte. Nutzer sollten nur auf diejenigen Informationen und Funktionen zugreifen k\u00f6nnen, die sie f\u00fcr ihre jeweilige Aufgabe ben\u00f6tigen. Dies gilt etwa f\u00fcr Verarbeitungst\u00e4tigkeiten, Risiken, Dienstleister, Vorf\u00e4lle, Datenschutz-Folgenabsch\u00e4tzungen, AI-Use-Cases, Ma\u00dfnahmen und Freigaben.<\/p>

Zu ber\u00fccksichtigen sind dar\u00fcber hinaus tempor\u00e4re Berechtigungen, geregelte Administrationsprozesse, eine nachvollziehbare Protokollierung, regelm\u00e4\u00dfige Rechtepr\u00fcfungen und eine belastbare Anbindung an das Identity and Access Management.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Datenschutzsoftware enth\u00e4lt sensible Unternehmensinformationen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Datenschutzsoftware dient regelm\u00e4\u00dfig der Dokumentation und Steuerung von Verarbeitungst\u00e4tigkeiten, technischen und organisatorischen Ma\u00dfnahmen, Auftragsverarbeitern, Betroffenenanfragen, Datenschutzvorf\u00e4llen, Datenschutz-Folgenabsch\u00e4tzungen, L\u00f6schfristen und entsprechenden Nachweisen.<\/p>

Eine Privacy-IRM-Plattform enth\u00e4lt damit jedoch nicht lediglich Verwaltungsdaten. In ihr werden regelm\u00e4\u00dfig sensible Informationen \u00fcber die Datenschutz-, Risiko- und Governance-Strukturen eines Unternehmens verarbeitet.<\/p>

Die Plattform kann erkennen lassen, welche Systeme personenbezogene Daten verarbeiten, welche Dienstleister eingebunden sind und welche Risiken, Schwachstellen oder offenen Ma\u00dfnahmen bestehen. Hinzu kommen gegebenenfalls Informationen \u00fcber Vorf\u00e4lle, Beschwerden, unklare Rechtsgrundlagen, internationale Daten\u00fcbermittlungen und interne Entscheidungen. Bei AI-Governance-Prozessen k\u00f6nnen weitere Angaben zu KI-Use-Cases, Datenquellen, Modellen, Anbietern, Risikoklassen, Freigabebedingungen, Monitoring, Human Oversight und m\u00f6glichen Auswirkungen auf Betroffene enthalten sein.<\/p>

Vor diesem Hintergrund ist auch die Privacy-IRM-Plattform selbst als sch\u00fctzenswertes System zu betrachten. Werden Zugriffsrechte zu weit gefasst, k\u00f6nnen Personen Informationen einsehen, die f\u00fcr ihre konkrete Aufgabe nicht erforderlich sind. Rollen und Rechte sind deshalb nicht lediglich eine Frage der Benutzeradministration, sondern ein wesentlicher Bestandteil der Sicherheits- und Governance-Architektur einer solchen Plattform.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Datenschutzsoftware kann selbst ein Datenschutz- und Sicherheitsrisiko begr\u00fcnden<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein Datenschutzmanagementsystem soll Unternehmen dabei unterst\u00fctzen, Risiken zu erkennen, zu bewerten und zu steuern. Gleichzeitig k\u00f6nnen durch das System selbst Risiken entstehen, wenn Berechtigungen zu weitgehend, dauerhaft oder nicht ausreichend kontrolliert vergeben werden.<\/p>

Ein Fachbereich kann beispielsweise Zugriff auf die von ihm verantworteten Verarbeitungst\u00e4tigkeiten ben\u00f6tigen. Daraus folgt jedoch nicht ohne Weiteres, dass auch s\u00e4mtliche Verarbeitungst\u00e4tigkeiten anderer Unternehmensbereiche einsehbar sein m\u00fcssen. Ein lokaler Datenschutzkoordinator ben\u00f6tigt gegebenenfalls Zugriff auf die ihm zugeordnete Gesellschaft oder den jeweiligen Standort, nicht jedoch zwingend auf vertrauliche Vorf\u00e4lle anderer Gesellschaften.<\/p>

Entsprechendes gilt f\u00fcr weitere Rollen. Legal ben\u00f6tigt insbesondere Informationen mit Vertrags- und Haftungsbezug. IT Security ben\u00f6tigt technische Angaben. Das Management ben\u00f6tigt regelm\u00e4\u00dfig verdichtete Risiko- und Entscheidungsinformationen. Ein externer Datenschutzbeauftragter ben\u00f6tigt Zugriff auf die f\u00fcr seine T\u00e4tigkeit relevanten Vorg\u00e4nge, ohne dass daraus automatisch ein uneingeschr\u00e4nkter Zugriff auf s\u00e4mtliche im System dokumentierten Inhalte folgt.<\/p>

Die DSGVO verlangt bei der Sicherheit der Verarbeitung geeignete technische und organisatorische Ma\u00dfnahmen, mit denen ein dem Risiko angemessenes Schutzniveau gew\u00e4hrleistet wird. Zu ber\u00fccksichtigen sind dabei insbesondere Vertraulichkeit, Integrit\u00e4t, Verf\u00fcgbarkeit und Belastbarkeit der Systeme sowie Risiken einer unbefugten Offenlegung oder eines unbefugten Zugangs.<\/p>

Diese Anforderungen sind nicht nur f\u00fcr diejenigen Systeme relevant, die innerhalb des Verzeichnisses von Verarbeitungst\u00e4tigkeiten dokumentiert werden. Sie sind auch bei dem System zu ber\u00fccksichtigen, in dem Verarbeitungst\u00e4tigkeiten, Risiken, Vorf\u00e4lle und Ma\u00dfnahmen selbst verwaltet werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Least Privilege in Privacy Operations<\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Das Prinzip des Least Privilege sieht vor, Zugriffsrechte auf dasjenige Ma\u00df zu beschr\u00e4nken, das f\u00fcr die Erf\u00fcllung einer konkreten Aufgabe erforderlich ist. NIST beschreibt Least Privilege entsprechend als Sicherheitsprinzip, nach dem Zugriffsrechte auf das f\u00fcr die jeweilige Aufgabenerf\u00fcllung notwendige Minimum begrenzt werden.<\/p>

F\u00fcr Privacy Operations bedeutet dies, dass Rollen nicht allein aus Gr\u00fcnden der Vereinfachung mit umfassenden Rechten ausgestattet werden sollten.<\/p>

Ob ein Fachbereich umfassende Einsichtsrechte ben\u00f6tigt, ist ebenso zu pr\u00fcfen wie die Frage, ob ein Datenschutzkoordinator organisationsweit Schreibrechte erhalten muss oder Legal standardm\u00e4\u00dfig auf s\u00e4mtliche Vorg\u00e4nge zugreifen sollte. Abh\u00e4ngig vom jeweiligen Aufgabenbereich k\u00f6nnen weitergehende Zugriffe erforderlich sein. Sie sollten jedoch nicht ohne Pr\u00fcfung als Standard vorgesehen werden.<\/p>

Least Privilege soll die Aufgabenerf\u00fcllung nicht unn\u00f6tig erschweren. Ma\u00dfgeblich ist vielmehr, welche Informationen und welche Aktionen eine Rolle tats\u00e4chlich ben\u00f6tigt, um die ihr zugewiesenen Aufgaben wahrnehmen zu k\u00f6nnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Ein Rollenmodell allein reicht regelm\u00e4\u00dfig nicht aus<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Viele Systeme verf\u00fcgen \u00fcber ein Rollenmodell. Die blo\u00dfe Existenz von Rollen sagt allerdings noch wenig dar\u00fcber aus, wie differenziert Zugriffe tats\u00e4chlich gesteuert werden k\u00f6nnen.<\/p>

Ein Modell, das lediglich zwischen Administrator, Manager, User und Read-only unterscheidet, d\u00fcrfte f\u00fcr komplexe Privacy-IRM-Prozesse regelm\u00e4\u00dfig nicht ausreichen. Die Rolle allein beantwortet insbesondere nicht, auf welches Objekt sich eine Berechtigung bezieht, f\u00fcr welchen Mandanten sie gilt, welchen Status ein Vorgang aufweist und welche konkrete Aktion zul\u00e4ssig ist.<\/p>

Ein Nutzer kann beispielsweise Owner einer Verarbeitungst\u00e4tigkeit und gleichzeitig Reviewer einer Ma\u00dfnahme sein. In einer anderen Gesellschaft darf dieselbe Person m\u00f6glicherweise ausschlie\u00dflich lesend zugreifen. F\u00fcr einen bestimmten Datenschutzvorfall kann vor\u00fcbergehend eine zus\u00e4tzliche Berechtigung erforderlich sein. Im Rahmen eines Freigabeprozesses kann ein Nutzer kommentieren d\u00fcrfen, ohne selbst \u00fcber die Freigabe entscheiden zu k\u00f6nnen. Ein Auditor kann Nachweise einsehen, ohne diese ver\u00e4ndern zu d\u00fcrfen.<\/p>

Solche Konstellationen sind insbesondere in gr\u00f6\u00dferen Organisationen regelm\u00e4\u00dfig zu ber\u00fccksichtigen. Eine Privacy-IRM-Plattform ben\u00f6tigt deshalb neben Rollen eine Rechtearchitektur, die unterschiedliche Zugriffsdimensionen miteinander verbindet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Rechte nach Rollen, Objekten, Mandanten, Status und Aktionen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Eine belastbare Berechtigungslogik sollte mehrere Dimensionen ber\u00fccksichtigen.<\/p>

Zu pr\u00fcfen ist zun\u00e4chst die Rolle des Nutzers. Dabei kann es sich beispielsweise um einen Fachbereichs-Owner, Datenschutzbeauftragten, Legal Reviewer, IT-Security-Reviewer, eine Managementrolle, einen Auditor, einen externen Berater oder einen Administrator handeln.<\/p>

Daneben ist das jeweilige Objekt ma\u00dfgeblich. Ein Zugriff kann sich etwa auf eine Verarbeitungst\u00e4tigkeit, einen Dienstleister, ein System, eine Ma\u00dfnahme, einen Vorfall, eine Betroffenenanfrage, eine Datenschutz-Folgenabsch\u00e4tzung, einen AI-Use-Case, ein Risiko oder einen Bericht beziehen.<\/p>

Weiterhin ist der organisatorische Kontext zu ber\u00fccksichtigen. Ein Objekt kann einer Gesellschaft, einem Standort, einer Business Unit, einem Projekt oder einem Team zugeordnet sein. Je nach Organisationsstruktur k\u00f6nnen mehrere dieser Ebenen gleichzeitig relevant sein.<\/p>

Auch der Status des Vorgangs kann die zul\u00e4ssigen Aktionen beeinflussen. Zu unterscheiden sind etwa Entwurf, Pr\u00fcfung, R\u00fcckgabe, Freigabe, Eskalation, Abschluss oder Archivierung.<\/p>

Schlie\u00dflich ist zu bestimmen, welche Aktion die betreffende Rolle ausf\u00fchren darf. Dazu geh\u00f6ren insbesondere Lesen, Bearbeiten, Kommentieren, Pr\u00fcfen, Freigeben, Ablehnen, Eskalieren, Exportieren, L\u00f6schen oder die Vergabe von Rechten.<\/p>

Erst aus dem Zusammenspiel dieser Dimensionen l\u00e4sst sich ein Berechtigungssystem ableiten, das den jeweiligen Governance-Prozess angemessen abbildet.<\/p>

Ein Fachbereichs-Owner kann beispielsweise eine Verarbeitungst\u00e4tigkeit in seiner Gesellschaft bearbeiten, solange sie sich im Entwurfsstatus befindet. Nach der Einreichung zur Pr\u00fcfung kann es erforderlich sein, \u00c4nderungen einzuschr\u00e4nken. R\u00fcckfragen und Erg\u00e4nzungen m\u00fcssen weiterhin m\u00f6glich sein, w\u00e4hrend die eigentliche Freigabe dem zust\u00e4ndigen Reviewer oder Approver vorbehalten bleibt. Nach Abschluss sollte zudem geregelt werden, auf welchem Weg \u00c4nderungen an einer bereits freigegebenen Version vorgenommen werden k\u00f6nnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Die Berechtigungsmatrix als Pr\u00fcfgrundlage<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Bei der Auswahl einer Privacy-IRM-Plattform sollte deshalb nicht lediglich gefragt werden, ob das System Rollen unterst\u00fctzt. Aussagekr\u00e4ftiger ist die Frage, ob Rollen nach Aktionen, Objekten, Mandanten, Status und Freigaben gesteuert werden k\u00f6nnen.<\/p>

Eine vereinfachte Berechtigungsmatrix kann beispielsweise wie folgt aufgebaut sein:<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t