Verantwortung DATEV Zugangsmedien (Smart-card/-login)

[#1]

Guten Morgen,

vielleicht gibt es hier eine fundierte Meinung zu folgendem Thema. Wer trägt die Verantwort für DATEV Zugangsmedien?

Wir bestellen Zugangsmedien für Mitarbeiter von Mandaten, richten dazu Rechte in DUO (z.B. auch für den Bereich Lohn) ein und nun verläßt der Mitarbeiter das Unternehmen.  Der Mandant teilt uns das natürlich nicht mit. Was nun?

Im Idealfall nimmt der Mitarbeiter sein Zugangsmedium nicht mit. Aber wenn doch, weil darauf auch keiner achtet, dann hat er weiterhin Zugriff.

Wer hat in dieser Situation die Sorgfaltspflicht, bzw. trägt die Verantwortung? Wir bekommen das Ausscheiden von Mitarbeitern in den meisten Fällen gar nicht mit, so dass wir gar nicht zeitnah handeln können.

Nun gibt es bei diesem Thema noch einen weiteren Aspekt. Macht es einen Unterschied, wenn der Mandant im MigMag ist? Dann könnte er Zugangsmedien kündigen. Aber muss er das dann auch, oder müssen wir?

Ohne MigMag kann der Mandant das nicht. Aber sind wir dann in der Verantwortung?

Gerne würde ich dazu mal Eure Meinung hören.

Vielen Dank!

Chris

[#2]

Da stimmt aus meiner persönlichen Meinung heraus etwas Grundsätzliches, unter Anderem, nicht mit der DSGVO. Wer ist für die RVO, etc. verantwortlich? Ihr Chef, der Admin, iwo muss das doch fixiert sein. Wünsche schnelles Gelingen.

[#3]

Meine Meinung

(aber ich bin weder Anwalt für GDPdU Angelegenheiten noch anders Qualifiziert für rechtliche Fragen 😇).

Ob MigMag oder nicht. Wir arbeiten in der Rechteverwaltung aus einem Auftrag heraus.

Den Auftrag (z.B. Zugangsmedium bestellen und Rechte einrichten) erhalten wir von jemandem der nach unserer Kenntnis dazu befugt ist solche Entscheidungen zu treffen. Alternativ würden wir diesen Auftrag erstmal an die entsprechend befugte Stelle weiterleiten und auf einen validen Auftrag warten.

Wenn die befugte Stelle, neben wir mal an es ist die Geschäftsleitung des Mandanten, also so einen Auftrag erteilt, weis diese ja auch welche Personen was können und dürfen. Sie kann also auch einschätzen was jemand können und dürfen darf.

Um so etwas einschätzen zu können, muss natürlich auch auch eine Übersicht vorhanden sein wer betriebsinterner (z.B. Mitarbeiter) und wer betriebsexterner (Dienstleister, oder eben ausgeschiedener) ist.

Und wenn nicht gewollt ist, das ein betriebsexterner Zugriff auf Betriebsinterna hat, müssten ja entsprechende Schritte erfolgen (z.B. Meldung an uns, das Miterbeiter X zu Datum X ausscheiden wird und zu diesem Zeitpunkt Berechtigungen zu entfernen und der Zugang zu kündigen ist.)

Wenn so eine Meldung trotz Kenntnis des befugten unterbleibt, wird es wohl gewollt, oder zumindestens geduldet sein, dass die Berechtigungen weiterbestehen.

Grüße