Best Practices

┌─────────────────────────────────────────────────────────────────┐
│  1. SECURITY GROUPS IN ENTRA ID ERSTELLEN                       │
│     Azure Portal → Entra ID → Gruppen → Neue Gruppe             │
│     └── KlarKonform-`[TenantName]`-Admin                          │
│     └── KlarKonform-`[TenantName]`-User                           │
│     └── KlarKonform-`[TenantName]`-HR (optional)                  │
│     └── KlarKonform-`[TenantName]`-Accounting (optional)          │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│  2. ADMIN-CONSENT ERTEILEN                                      │
│     Entra ID → Enterprise Applications → KlarKonform            │
│     └── Permissions → Grant admin consent                       │
│     └── Berechtigungen prufen (User.Read.All, etc.)             │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│  3. INITIALE ADMIN-ZUWEISUNG                                    │
│     Mindestens einen Benutzer zur Admin-Gruppe hinzufugen       │
│     └── Idealerweise IT-Leitung + Stellvertretung               │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│  4. ERSTE SYNCHRONISATION                                       │
│     KlarKonform → Mitarbeiter → Von M365 synchronisieren        │
│     └── Alle M365-Benutzer werden importiert                    │
│     └── Rollen werden aus Gruppen abgeleitet                    │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│  5. DSGVO-FELDER ERGANZEN                                       │
│     Fur jeden Mitarbeiter:                                      │
│     └── Mitarbeitertyp setzen                                   │
│     └── Status setzen                                           │
│     └── Remote Worker markieren (wenn zutreffend)               │
│     └── Eintrittsdatum eintragen                                │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│  ✓ SETUP ABGESCHLOSSEN                                          │
│    Mitarbeiter-Modul ist einsatzbereit                          │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│                    DATENQUELLEN-HIERARCHIE                       │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  Microsoft 365 / Entra ID                                       │
│  ────────────────────────                                       │
│  • Vorname, Nachname, Anzeigename                               │
│  • E-Mail-Adresse                                               │
│  • Position, Abteilung                                          │
│  • Telefonnummer                                                │
│  • Adresse                                                      │
│  • Kontostatus                                                  │
│                                                                 │
│                    │                                            │
│                    ▼                                            │
│                                                                 │
│  KlarKonform (erganzt)                                          │
│  ─────────────────────                                          │
│  • Mitarbeitertyp                                               │
│  • Mitarbeiterstatus                                            │
│  • Remote Worker                                                │
│  • DSGVO-Ausnahmen                                              │
│  • Ein-/Austrittsdatum                                          │
│  • Vereinbarungen                                               │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ SYNC-MONITORING CHECKLISTE                                      │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ Nach jeder Synchronisation prufen:                              │
│                                                                 │
│ ☐ Keine Fehlermeldungen aufgetreten                             │
│ ☐ Anzahl synchronisierter Benutzer plausibel                    │
│ ☐ Neue Mitarbeiter erscheinen in der Liste                      │
│ ☐ Letzte-Sync-Zeitstempel aktualisiert                          │
│                                                                 │
│ Bei Problemen:                                                  │
│ ☐ Fehler-Logs prufen                                            │
│ ☐ M365-Verbindung testen                                        │
│ ☐ Admin-Token erneuern (neu anmelden)                           │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ EMPFOHLENE ROLLENVERTEILUNG                                     │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ Admin (2-3 Personen)                                            │
│ ├── IT-Leitung                                                  │
│ ├── Stellvertretung                                             │
│ └── Ggf. Geschaftsfuhrung                                       │
│                                                                 │
│ HR (Personalabteilung)                                          │
│ ├── HR-Leitung                                                  │
│ └── HR-Mitarbeiter mit Personalaktenzugriff                     │
│                                                                 │
│ Accounting (Buchhaltung)                                        │
│ └── Buchhaltungsmitarbeiter (falls DSGVO-relevant)              │
│                                                                 │
│ User (alle anderen)                                             │
│ └── Alle Mitarbeiter automatisch                                │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ QUARTALSWEISER ROLLEN-REVIEW                                    │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ 1. Liste aller Admin-Benutzer exportieren                       │
│    └── Jeder Admin noch berechtigt?                             │
│    └── Ausgeschiedene Admins entfernen                          │
│                                                                 │
│ 2. HR- und Accounting-Rollen prufen                             │
│    └── Noch in der Abteilung tatig?                             │
│    └── Aufgaben erfordern noch die Rolle?                       │
│                                                                 │
│ 3. Dokumentation aktualisieren                                  │
│    └── Wer hat welche Rolle und warum?                          │
│                                                                 │
│ 4. Ergebnis an Geschaftsfuhrung berichten                       │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ ONBOARDING-WORKFLOW                                             │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ VOR dem ersten Arbeitstag:                                      │
│ ☐ M365-Konto erstellen (IT)                                     │
│ ☐ Security Groups zuweisen (IT)                                 │
│ ☐ KlarKonform synchronisieren (Admin)                           │
│                                                                 │
│ AM ersten Arbeitstag:                                           │
│ ☐ DSGVO-Felder erganzen (HR)                                    │
│    ├── Mitarbeitertyp                                           │
│    ├── Status: Aktiv oder Probezeit                             │
│    ├── Eintrittsdatum                                           │
│    └── Remote Worker (wenn zutreffend)                          │
│                                                                 │
│ IN der ersten Woche:                                            │
│ ☐ DSGVO-Vereinbarungen zuweisen (HR)                            │
│    ├── Vertraulichkeitsvereinbarung                             │
│    ├── IT-Nutzungsrichtlinie                                    │
│    └── Remote-Work-Vereinbarung (wenn Remote)                   │
│ ☐ Unterschriften einholen                                       │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ OFFBOARDING-WORKFLOW                                            │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ BEI KUNDIGUNGSEINGANG:                                          │
│ ☐ Austrittsdatum in KlarKonform eintragen                       │
│ ☐ Offene Vereinbarungen prufen                                  │
│                                                                 │
│ AM LETZTEN ARBEITSTAG:                                          │
│ ☐ Status auf "Ausgeschieden" setzen                             │
│ ☐ Rollen entfernen (ausser "User")                              │
│                                                                 │
│ NACH DEM LETZTEN ARBEITSTAG:                                    │
│ ☐ M365-Konto deaktivieren (IT in Entra ID)                      │
│ ☐ KlarKonform synchronisieren                                   │
│ ☐ Kontostatus wird automatisch auf "Deaktiviert"                │
│                                                                 │
│ AUFBEWAHRUNG:                                                   │
│ ☐ Mitarbeiterdatensatz NICHT loschen                            │
│ ☐ Vereinbarungen archivieren (DSGVO-Nachweis)                   │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ MONATLICHER COMPLIANCE-CHECK                                    │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ 1. Mitarbeiter ohne Vereinbarung identifizieren                 │
│    └── Filter: Status = Aktiv, keine Vereinbarung               │
│                                                                 │
│ 2. Remote Worker prufen                                         │
│    └── Haben alle Remote Worker die zusatzlichen                │
│        Vereinbarungen unterschrieben?                           │
│                                                                 │
│ 3. Ablaufende Vereinbarungen                                    │
│    └── Vereinbarungen die in 30 Tagen ablaufen                  │
│                                                                 │
│ 4. Ausgeschiedene Mitarbeiter                                   │
│    └── Status "Ausgeschieden" ohne Austrittsdatum?              │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│ VOR DEM AUDIT                                                   │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ 1 Woche vorher:                                                 │
│ ☐ Vollstandige Synchronisation durchfuhren                      │
│ ☐ DSGVO-Felder aller Mitarbeiter prufen                         │
│ ☐ Vereinbarungsstatus prufen                                    │
│                                                                 │
│ 1 Tag vorher:                                                   │
│ ☐ Mitarbeiterliste exportieren (CSV/PDF)                        │
│ ☐ Rollen-Report erstellen                                       │
│ ☐ Vereinbarungs-Export bereithalten                             │
│                                                                 │
│ Fur den Auditor bereithalten:                                   │
│ ☐ Wie werden Benutzer verwaltet? (M365-Integration)             │
│ ☐ Wie werden Rollen vergeben? (Security Groups)                 │
│ ☐ Wie ist der Onboarding-Prozess?                               │
│ ☐ Wie ist der Offboarding-Prozess?                              │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Level 1: Admin (KlarKonform)
    │
    ├── Sync-Probleme beheben
    ├── DSGVO-Felder korrigieren
    │
    ▼
Level 2: IT (M365/Entra ID)
    │
    ├── Token-Probleme
    ├── Berechtigungsprobleme
    ├── Security Groups verwalten
    │
    ▼
Level 3: Support (KlarKonform)
    │
    └── Technische Probleme der Anwendung