Typische Fehler vermeiden

1. Mitarbeiter in KlarKonform bearbeiten
2. Namen andern
3. Speichern
4. Bei nachster Sync: Alte M365-Daten uberschreiben lokale Anderungen

1. Stammdaten in M365/Entra ID andern
2. KlarKonform synchronisieren
3. DSGVO-spezifische Felder in KlarKonform erganzen

Initiale Synchronisation bei Setup
└── Dann nie wieder synchronisiert
    └── Neue Mitarbeiter fehlen
    └── Namensanderungen nicht ubernommen
    └── Ausgeschiedene noch als aktiv

┌─────────────────────────────────────────────────────────────────┐
│ SYNC-EMPFEHLUNG                                                 │
├─────────────────────────────────────────────────────────────────┤
│ Wochentlich:     Routine-Synchronisation                        │
│ Bei Bedarf:      Nach HR-Anderungen                             │
│ Sofort:          Bei bekannten Anderungen (Neueintritt, etc.)   │
└─────────────────────────────────────────────────────────────────┘

Sync gestartet
└── Fehlermeldung erscheint
    └── Weggeklickt
    └── Problem nicht behoben
    └── Wochen spater: Massive Dateninkonsistenzen

Sync gestartet
└── Fehlermeldung erscheint
    └── Fehler analysieren (Token? Berechtigung? Netzwerk?)
    └── Ursache beheben
    └── Sync erneut ausfuhren
    └── Erfolg verifizieren

Mitarbeiter verlasst Unternehmen
└── Status in KlarKonform auf "Ausgeschieden"
    └── M365-Konto bleibt aktiv
    └── Benutzer kann sich weiter anmelden!

Mitarbeiter verlasst Unternehmen
├── 1. M365-Konto in Entra ID deaktivieren
├── 2. KlarKonform synchronisieren
├── 3. Status auf "Ausgeschieden" setzen
├── 4. Austrittsdatum eintragen
└── 5. Offene Vereinbarungen prufen

Externe Berater
└── DSGVO ignoriert: Ja
    └── Grund: (leer)
    └── Bei Audit: "Warum wurde dieser Benutzer ausgeschlossen?"

Externe Berater
├── DSGVO ignoriert: Ja
└── Grund: "Externer IT-Consultant mit eigenem
            Datenschutzmanagement und separatem AVV.
            Arbeitet nicht mit personenbezogenen Daten
            unserer Kunden/Mitarbeiter."

Mitarbeiter arbeitet regelmasig von zu Hause
└── Remote Worker: Nein (nicht markiert)
    └── Keine IT-Nutzungsvereinbarung fur Home Office
    └── Keine Remote-Work-Vereinbarung
    └── DSGVO-Compliance-Lucke!

Mitarbeiter arbeitet regelmasig von zu Hause
├── Remote Worker: Ja
├── IT-Nutzungsvereinbarung zugewiesen
├── Remote-Work-Vereinbarung zugewiesen
└── BYOD-Vereinbarung (falls private Gerate)

Benutzer mit Admin-Rolle:
├── alice@example.com (IT-Leitung) - OK
├── bob@example.com (Mitarbeiter) - Warum?
├── carol@example.com (Mitarbeiter) - Warum?
├── dave@example.com (Praktikant!) - Problematisch!
└── eve@example.com (Externe!) - Sehr problematisch!

Benutzer mit Admin-Rolle:
├── alice@example.com (IT-Leitung)
└── cio@example.com (Stellvertretung)

Alle anderen: User oder spezifische Rollen (HR, Accounting)

KlarKonform eingerichtet
└── Security Groups in M365: (keine)
    └── Rollenzuweisung: Fehler
    └── Alle Benutzer nur "User"-Rolle

VOR der KlarKonform-Einrichtung in Entra ID erstellen:
├── KlarKonform-[Tenant]-Admin
├── KlarKonform-[Tenant]-User
├── KlarKonform-[Tenant]-HR (optional)
└── KlarKonform-[Tenant]-Accounting (optional)

Gruppen in Entra ID:
├── KlarKonform Admins          (Leerzeichen!)
├── kk-admin                    (Falsches Format!)
└── Admin-KlarKonform-Firma     (Falsches Format!)

Gruppen in Entra ID:
├── KlarKonform-MeineFirma-Admin
├── KlarKonform-MeineFirma-User
├── KlarKonform-MeineFirma-HR
└── KlarKonform-MeineFirma-Accounting

┌─────────────────────────────────────────────────────────────────┐
│ ADMIN-CONSENT ERTEILEN                                          │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│ 1. Azure Portal → Entra ID → Enterprise Applications           │
│ 2. KlarKonform-App suchen                                       │
│ 3. Permissions → "Grant admin consent"                          │
│ 4. Berechtigungen prufen:                                       │
│    ├── User.Read.All                                            │
│    ├── User.ReadWrite.All                                       │
│    ├── Group.Read.All                                           │
│    ├── GroupMember.ReadWrite.All                                │
│    ├── Directory.Read.All                                       │
│    └── Files.Read.All (optional)                                │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Importierte "Mitarbeiter":
├── max.mustermann@example.com      (OK)
├── info@example.com                (Shared Mailbox!)
├── bewerbung@example.com           (Shared Mailbox!)
└── no-reply@example.com            (Service Account!)

Nur echte Mitarbeiter importieren:
├── max.mustermann@example.com
├── anna.schmidt@example.com
└── peter.mueller@example.com

Nicht importieren:
├── Shared Mailboxes
├── Service Accounts
├── Ressourcen-Postfacher
└── Gaste ohne DSGVO-Relevanz

Mitarbeiter geht in Elternzeit
└── Status geandert auf "Elternzeit"
    └── Kein Datum dokumentiert
    └── Keine Notiz

Mitarbeiter geht in Elternzeit
├── Status: "Elternzeit"
├── Beginndatum: 01.03.2026
├── Enddatum (geplant): 28.02.2027
└── Notiz: "Elternzeit genehmigt, M365-Konto bleibt aktiv
            fur E-Mail-Zugang"