Teams & Benutzer

Die Teams liegen unter „Settings → Teams". Links steht die Liste, rechts die Einstellungen des Teams, das du angeklickt hast. Die Zahl hinter dem Namen ist die Zahl seiner Mitglieder.

Ein neues Team bekommt seinen Namen im Feld „Team name". Darunter kannst du unter „Copy categories from" ein vorhandenes Team wählen. Dann startet das neue Team mit denselben Haupt- und Unterkategorien. „Create team" legt es an.

Das erste Team ist das Team der Kunden. Jedes weitere ist ein Fachteam dahinter. Einem Melder ist nicht zuzumuten, selbst die zuständige Abteilung zu wählen. Er legt sein Ticket beim ersten Team ab, und von dort wird es weitergegeben.

Umstellen kannst du das jederzeit. Die Karte „Customer permissions" legt je Team fest, was Kunden dort dürfen. Sie hat zwei Schalter: „Can create new tickets and see their own tickets" und „Can see their own tickets of this team in the dashboard and in reports". Sobald einer davon an ist, sehen Kunden das Team. Nur wenn beide aus sind, taucht das Team beim Kunden gar nicht auf.

Die Karte „Agent Permissions" gilt für die Bearbeiter dieses Teams. Sie hat drei Schalter: Tickets verwalten, Kategorien verwalten und die Berichte dieses Teams sehen. Ohne den ersten kann ein Bearbeiter in diesem Team keine Tickets anlegen, bearbeiten oder kommentieren und keine Anhänge hochladen. Ohne den zweiten verschwindet der Eintrag mit den Kategorien des Teams aus seiner Seitenleiste. Ohne den dritten lassen die Berichte dieses Team weg. Jede Änderung steht im „Audit log" des Teams.

Die Karte „Agents" führt die Mitglieder. Trotz der Überschrift stehen dort auch die Kunden des Teams. Über die Auswahl darüber und „Add Agent" kommt jemand dazu, mit „Remove" wieder heraus. Wer hinzugefügt oder entfernt wird, muss sich einmal ab- und wieder anmelden.

„Default e-mail language" ist die Sprache, in der dieses Team schreibt. Sie greift, wenn eine Mailregel „Team default language" wählt.

Der Schalter „Active" nimmt ein Team aus dem Betrieb. Es verschwindet aus der Seitenleiste und steht in keiner Auswahl mehr. Gelöscht ist es damit nicht.

„Delete" entfernt ein Team nur, solange kein Ticket mehr offen ist. Sonst nennt das System den Grund und tut nichts.

Die Karte „Audit log" hält jede Änderung am Team fest, mit Name und Zeitpunkt.

Basic führt ein Team. Professional kennt keine Grenze.

Die Konten liegen unter „User management". Die Liste zeigt Name und Anmeldenamen, die E-Mail-Adresse, das Team mit der Abteilung darunter und die Rolle.

„New user" öffnet das Formular. Pflicht sind Vorname, Nachname, Anmeldename und E-Mail-Adresse. Dazu kommt ein Passwort. Mit Professional kannst du stattdessen den Haken „Send login details by e-mail" setzen.

Mit dem Haken vergibst du kein Passwort. Der neue Benutzer bekommt eine Mail mit seinem Anmeldenamen und einem zeitlich begrenzten Link und setzt sein Passwort selbst. Passwörter verschickt das System nie.

Die Rolle entscheidet alles Weitere. „Admin" und „Agent" sind beide Bearbeiter und zählen auf dasselbe Kontingent. Ein Administrator darf als Werkseinstellung mehr. Fast jede einzelne Berechtigung lässt sich umstellen. Die Ausnahmen stehen in der Karte „Rollen und das Berechtigungskonzept". Die Rolle „Admin" vergibt oder entzieht nur ein Administrator. Das gilt auch am eigenen Konto. „Edit user" ändert nur das Team, das im Formular steht. Teams, in die die Person über „Add Agent" gekommen ist, bleiben erhalten.

Basic hat zwei Bearbeiter-Plätze. Wie du sie verteilst, ist deine Sache: entweder ein Administrator und ein Bearbeiter oder zwei Administratoren. Kunden zählen nicht mit, sie sind in beiden Ausgaben unbegrenzt.

Verlässt jemand die Firma, klickst du in seiner Zeile auf das Archiv-Symbol. Das Konto wird gesperrt. Anmelden geht damit nicht mehr.

Ein gesperrtes Konto steht in der Ansicht „Archived" und trägt dort die Marke „locked". In der Ansicht „Active" ist es nicht mehr zu sehen.

Ein gesperrtes Konto belegt keinen Bearbeiter-Platz mehr, und es steht in keiner Zuweisen-Auswahl. Bereits zugewiesene Tickets behalten ihren Bearbeiter und seinen Namen.

Dieselbe Schaltfläche heißt in der Ansicht „Archived" dann „Restore" und gibt das Konto wieder frei. In Basic braucht das wieder einen freien Platz.

Das Schlüsselsymbol setzt ein Passwort zurück. Der durchgestrichene Schild setzt die Zwei-Faktor-Anmeldung zurück. Das neue Passwort steht danach einmal auf dem Bildschirm. Verschickt wird es nicht.

Das Zurücksetzen von Passwort oder Zwei-Faktor-Anmeldung hebt nur die kurze Sperre nach Fehlversuchen auf. Ein archiviertes Konto bleibt gesperrt. Es bekommt keine Einladung und keine Mail zum Zurücksetzen. Zurück kommt es nur über „Restore".

Archivieren lässt sich jederzeit rückgängig machen. Ist jemand endgültig gegangen, lösche das Konto zusätzlich mit dem Papierkorb-Symbol „Delete account". Erst ab dem Löschen läuft die Zeit bis zur automatischen Anonymisierung.

Kunden sind in Basic und in Professional unbegrenzt. Sie belegen keinen Bearbeiter-Platz.

Ein Kundenkonto entsteht auf drei Wegen. Du legst es selbst unter „User management" an. Mit Professional kannst du die Person dabei per Mail einladen. Der zweite Weg ist die Selbstregistrierung. Der dritte ist die erste Anmeldung über SSO oder ein Verzeichnis. Dabei entsteht das Konto von selbst.

Den Schalter dafür findest du unter „Settings → Security" in der Karte „Self-registration". Als Werkseinstellung ist er aus. Eingeschaltet steht auf der Anmeldeseite ein Link „Register".

Wer sich selbst registriert, bekommt immer die Rolle „Customer". Eine andere Rolle lässt sich auf diesem Weg nicht vergeben.

Mit Professional bekommt ein selbst registrierter Kunde nach der Begrüßung eine zweite Mail. Mit dem Link darin bestätigt er seine Adresse. Bis dahin trägt sein Konto in der Liste den Hinweis „not confirmed".

Du kannst eine Adresse auch selbst bestätigen. In Basic ist das der einzige Weg, weil Basic keine Mails verschickt. In der Zeile des Kontos steht dann ein Knopf mit einem Briefsymbol: „Mark email as confirmed". Tu das nur, wenn du weißt, dass die Adresse der Person gehört.

Für ein internes Ticket-System lässt du den Schalter besser aus. Sonst legt sich jeder ein Konto an, der die Adresse kennt.

Ein Kunde sieht nur seine eigenen Vorgänge. Das sind die Tickets, die er selbst angelegt hat. Dazu kommen die Tickets, die ein Bearbeiter oder eine Mail für seine bestätigte Adresse angelegt hat. Ein Ticket, das ein anderer Kunde mit seiner Adresse anlegt, sieht er nicht. Haben zwei Konten dieselbe Adresse, sehen beide diese Tickets.

Ist seine Adresse noch nicht bestätigt, steht über seiner Ticketliste ein Hinweis. Mit „Send confirmation email" fordert er den Link neu an. Den Hinweis gibt es nur, wenn das System Mails verschicken kann.

Seine Seitenleiste ist kurz: seine Tickets, ein neues Ticket, die Wissensdatenbank. Einstellungen bekommt er nicht zu Gesicht. Ist am Team der Schalter „Can see their own tickets of this team in the dashboard and in reports" an, stehen in seiner Seitenleiste zusätzlich das Dashboard und die Berichte.

Was er in einem Team darf, steht am Team. Nur wenn dort beide Kundenschalter aus sind, gibt es dieses Team für ihn nicht.

Eine Person kann fragen, welche Daten du über sie speicherst. Die Datenauskunft sammelt alles davon in einer ZIP-Datei.

Du startest sie unter „User management". Jede Zeile hat ein Dateisymbol mit Pfeil und dem Hinweis „Export personal data". Es öffnet die Auskunft zu diesem Konto.

Manche Personen haben kein Konto. Sie haben dir nur geschrieben, oder ein Bearbeiter hat ein Ticket mit ihrer Adresse angelegt. Für sie gibt es oben auf der Seite „Export by e-mail address". Dort trägst du die Adresse ein und klickst auf „Search". Gesucht wird nach einem Konto oder einer Adresse, nie nach einem Namen.

Die Suche über die Adresse findet weniger als die Suche über das Konto. Sie findet nur, wo die Adresse selbst steht, zum Beispiel als Anfragender eines Tickets oder als Absender einer Mail. Die Suche über das Konto findet zusätzlich alles, was am Konto hängt. Gehört die Adresse zu einem Konto, sagt der Dialog das und bietet „Use this account" an. Danach zeigt er den Namen der Person und die Adresse des Kontos.

Bevor du etwas herunterlädst, zeigt der Dialog die Funde, gezählt je Bereich. Bereiche sind zum Beispiel Tickets, Zeitbuchungen, Zufriedenheitsabfragen und das Sicherheitsprotokoll. Findet er nichts, steht dort „No data found for this person.", und es gibt keinen Download. Gehört die Adresse zu einem Konto und hat selbst keine Funde, zeigt der Dialog keine Funde und keinen Download. Er zeigt den Kasten mit „Use this account". Administratoren sehen darunter zusätzlich den Bereich „Anonymize". Ihn erklärt die Karte „Personen anonymisieren".

„Download" erzeugt die ZIP-Datei. Darin steht je Bereich eine JSON-Datei, damit die Daten maschinell lesbar sind. Dazu kommen die Dateien aller gefundenen Anhänge. „overview.html" zeigt den wichtigsten Inhalt in lesbarer Form. Dort steht an jedem Ticket, warum es dabei ist („Why this ticket is included"). „README.txt" ist für die Person geschrieben und erklärt, was in der Datei steht.

Ein Ticket, das die Person betrifft, kommt vollständig mit. Dazu gehören auch Kommentare und Änderungen anderer Personen. Interne Notizen sind ebenfalls enthalten und als intern markiert. Hat die Person per Mail auf das Ticket einer anderen Person geantwortet, trägt es die Marke „Replied by e-mail to someone else’s ticket". Ein Ticket, an dem die Person die letzte Änderung gemacht hat, kommt ebenfalls mit. Unter „Why this ticket is included" steht dann „Last person to change the ticket".

Prüfe die Auskunft deshalb, bevor du sie weitergibst. Schwärze Daten anderer Personen, wo es nötig ist. Der Dialog erinnert daran. Die „README.txt" enthält diesen Hinweis nicht, weil sie an die Person geht.

Tickets, die in ein Archiv verschoben wurden, werden nicht durchsucht. Deine Archive prüfst du getrennt. Auch daran erinnert der Dialog.

Passwörter und Schlüssel der Zwei-Faktor-Anmeldung sind nicht Teil der Auskunft.

Jeder Download wird aufgezeichnet: wer ihn gestartet hat, für welche Person und wann. Die Aufzeichnung enthält keinen Inhalt der Auskunft. Die Suche davor wird nicht aufgezeichnet.

Ein Bearbeiter, der das Recht bekommt, braucht zusätzlich „Users: manage accounts". Sonst erreicht er die Seite „User management" nicht. Der Rolle „Customer" lässt sich das Recht nicht geben.

Der Bereich „Survey consents and unsubscribes" enthält jede Einwilligung und Abmeldung zur Zufriedenheitsumfrage mit Datum, Kanal und Ticket. „overview.html" zeigt den vollständigen Verlauf in einem eigenen Abschnitt. Wurde die Person nach einer Abmeldung anonymisiert, findet die Auskunft über ihre Adresse die verbliebene Abmeldung. In der Spalte „E-mail address" steht dann „Anonymized (address removed)".

Manche Daten dürfen nicht für immer bleiben. Verlässt jemand deine Firma oder verlangt eine Person die Löschung ihrer Daten, anonymisierst du sie. Name und E-Mail-Adresse werden dann durch einen Platzhalter wie „Anonymized user 3" ersetzt. Die Tickets bleiben. Berichte, Fristen, Zeitbuchungen und Zufriedenheitswerte zählen weiter.

Jede Person bekommt ihre eigene Nummer. Zwei Einträge mit derselben Nummer stammen von derselben Person. Aus der E-Mail-Adresse wird „anonymized-3@anonymized.invalid". An eine solche Adresse lässt sich keine Mail zustellen. Das System lässt sie deshalb beim Versand aus. Der Platzhalter ist englisch gespeichert und bleibt in jeder Sprache englisch.

Es gibt zwei Wege. Der automatische Weg anonymisiert gelöschte Konten nach einer festen Zahl von Monaten. Der sofortige Weg anonymisiert eine einzelne Person sofort, zum Beispiel nach einem Löschantrag.

Den automatischen Weg findest du unter „Settings → Security" in der Karte „Data protection". Der Schalter „Anonymize deleted users automatically" ist als Werkseinstellung aus. Neben „after" trägst du die Zahl der Monate ein. Erlaubt sind 1 bis 120, die Werkseinstellung ist 36. „Save" speichert eine geänderte Zahl.

Die Zeit zählt ab dem Tag, an dem ein Konto gelöscht wurde. Das System prüft alle zehn Minuten, ob ein Lauf fällig ist. Gelaufen wird einmal am Tag, bei der ersten Prüfung nach 03:00 in der Zeitzone unter „Settings → General Settings". Jedes gelöschte Konto, dessen Zeit um ist, wird dabei anonymisiert.

Wenn du den Schalter einschaltest, öffnet sich zuerst ein Fenster. Es nennt die gelöschten Benutzer, die der nächste Lauf anonymisiert, jeweils mit dem Tag der Löschung. Tippe ANONYMIZE in das Feld und klicke auf „Confirm". Erst dann ist der Schalter an. Ist es in dieser Zeitzone schon nach 03:00, folgt der erste Lauf innerhalb von etwa zehn Minuten.

Dasselbe Fenster erscheint, wenn du die Zahl der Monate bei eingeschaltetem Schalter verkürzt. Zum Ausschalten braucht es keine Bestätigung.

Die Zeit beginnt erst, wenn ein Konto gelöscht wird. Archivieren reicht dafür nicht. Ein archiviertes Konto ist nur gesperrt und kann jederzeit zurückkommen, zum Beispiel nach einer Elternzeit. Zum Löschen klickst du unter „User management" in der Zeile des Kontos auf das Papierkorb-Symbol „Delete account".

Ein Fenster sagt vorher, was folgt. Ist die automatische Anonymisierung an, nennt es die Zahl der Monate. Ein gelöschtes Konto steht in der Ansicht „Archived" und trägt dort die Marke „Deleted". Das Symbol „Restore account" holt es zurück. Für Administratoren und Bearbeiter braucht das in Basic einen freien Platz. Wird das Konto später erneut gelöscht, beginnt die Zeit von vorn.

Das eigene Konto hat kein Papierkorb-Symbol. Ein Administratorkonto kann nur ein Administrator löschen oder archivieren. Der letzte aktive Administrator lässt sich weder löschen noch archivieren.

Wenn jemand endgültig gegangen ist, lösche deshalb das Konto und archiviere es nicht nur. Ein Konto, das seit mehr als einem Jahr archiviert ist, zeigt in seiner Zeile ein Kalender-Symbol. Sein Hinweis erinnert daran, das Konto zu löschen.

Der sofortige Weg liegt im Dialog der Datenauskunft, im Bereich „Anonymize" unter den Funden. Du öffnest den Dialog aus der Zeile eines Kontos oder über „Export by e-mail address" für eine Person ohne Konto.

Gehört die Adresse zu einem Konto, klicke zuerst auf „Use this account". Nur dann wird das Konto selbst anonymisiert. Ein Lauf über die Adresse allein ersetzt die Adresse dort, wo sie gespeichert ist, und lässt das Konto unverändert.

Tippe ANONYMIZE in das Feld und klicke auf „Anonymize". Ein aktives Konto wird zuerst gelöscht und dann anonymisiert. Das eigene Konto lässt sich nicht anonymisieren. Der letzte aktive Administrator auch nicht.

Danach trägt die Zeile die Marke „Anonymized". Ein solches Konto lässt sich nicht mehr bearbeiten, wiederherstellen oder reaktivieren. Nur die Datenauskunft bleibt. Die Anonymisierung darfst du erneut laufen lassen. Die Nummer bleibt dieselbe, und seitdem zurückgespielte Daten werden mit erfasst.

Der Haken „Also clear the content of tickets this person requested" geht weiter. Die Zahl in Klammern ist die Zahl dieser Tickets. Ihre Texte werden geleert und ihre Anhänge gelöscht. Tickets anderer, in denen die Person nur geantwortet hat, werden nur anonymisiert.

Prüfe vorher deine Aufbewahrungspflichten. In Deutschland müssen zum Beispiel Geschäftsbriefe sechs Jahre aufbewahrt werden. Der Dialog erinnert daran. Der automatische Weg anonymisiert nur. Inhalte leert er nie.

Ließ sich eine Datei nicht vom Server löschen, nennt der Dialog die Zahl. Der Lauf gilt trotzdem als erledigt. Einen zweiten Versuch macht das System nicht von selbst.

Jeder Lauf wird aufgezeichnet, mit Zeitpunkt, Nummer des Platzhalters und dem, was geändert wurde. Beim sofortigen Weg steht dort auch, wer ihn gestartet hat. Die Aufzeichnung enthält weder den Namen noch die E-Mail-Adresse der Person.

Anonymisieren braucht das Recht „Anonymize people". Als Werkseinstellung haben es nur Administratoren. Nutzen kann es nur ein Administrator. Der Rolle „Customer" lässt es sich nie geben. Für den Dialog der Datenauskunft braucht es zusätzlich „Data export (data subject request)".

Das System behält Personendaten nur so lange wie nötig. Eine Person wird anonymisiert, wenn sie ausscheidet oder es beantragt. Ausgeschieden ist ein gelöschtes Konto oder ein externer Kontakt, der lange keinen Kontakt mehr hatte. Einen Antrag erledigst du im Dialog der Datenauskunft mit „Anonymize".

Tickets selbst haben keine Frist. Ihr Inhalt behält seinen Zweck, zum Beispiel als Kundenhistorie. Berichte und Zeitbuchungen zählen weiter.

Alle Fristen stehen unter „Settings → Security" in der Karte „Data protection". Sie hat drei Blöcke: „Deleted accounts", „External contacts" und „Security log retention". Jeder Block hat einen Schalter, eine Frist und „Save". Der Block „Security log retention" hat zwei Schalter und zwei Fristen. Darunter steht „Archives". Nach einer Wiederherstellung kommt „Restore from a backup" dazu, sobald der nächste Lauf um 03:00 gelaufen ist. Bis dahin zeigt die Karte den Hinweis „… will be applied again tonight at 03:00." Den ersten Block erklärt die Karte „Personen anonymisieren". Dort steht auch der Mustertext für deine Datenschutzerklärung. Unter der Beschreibung der Karte „Data protection" steht der Link „Data protection guide for operators". Der Leitfaden enthält Vorlagen für das Verzeichnis von Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen und das Löschkonzept.

Unter jedem Block steht eine Zeile „Last run". Sie nennt Datum und Uhrzeit des letzten nächtlichen Laufs und wie viele Personen oder Einträge er bearbeitet hat. „0 done" heißt, es gab nichts zu tun. „Not run yet" steht dort, solange die Aufgabe noch kein Ergebnis hat. Ist ein Schalter aus, läuft seine Aufgabe nicht.

Ist die Zeile orange, hat die Aufgabe nicht alles geschafft. Bei „skipped" nennt sie, wie viele Personen, Einträge oder Dateien übersprungen wurden. Bei „Archives" sind das gesperrte oder beschädigte Dateien. Bei „failed" ist die ganze Aufgabe gescheitert. Der Satz dahinter sagt, was zu tun ist. Lautet er „Details are in the server log.", lies das Protokoll des Servers. Unter Linux zeigt es der Befehl „sudo podman logs container-backend-1". Nennt er den Schlüssel der Anonymisierung, folge dem Abschnitt „Wenn der Schlüssel nicht lesbar ist" weiter unten. Was übersprungen wurde, versucht der nächste nächtliche Lauf erneut.

Es gibt drei Rollen: „Admin", „Agent" und „Customer". Weitere lassen sich nicht anlegen. Dafür lässt sich fast jede einzelne Berechtigung frei vergeben. Die Ausnahmen stehen weiter unten.

Du findest die drei unter „Settings → General Settings" im Reiter „Role". Umbenennen lassen sie sich nicht.

Was eine Rolle darf, steht an einer anderen Stelle: unter „Settings → Security" in der Karte „Permission concept".

Jede Zeile ist eine Funktion, jede Spalte eine Rolle. Ein Haken erlaubt sie. Unter dem Namen steht der interne Schlüssel; für die Bedienung brauchst du ihn nicht.

Die Liste ist lang. Sie reicht von der Benutzerverwaltung über den Zugang zu den einzelnen Einstellungsseiten bis zur Zeiterfassung.

Die Spalte „Agent Team" ist der Sonderfall. Sie wird erst bedienbar, wenn in derselben Zeile der Haken bei „Agent" steht. Wählst du dort ein Team, gilt die Berechtigung nur für Bearbeiter dieses Teams.

Der Rolle „Admin" lässt sich keine Berechtigung nehmen. Der Haken steht nach dem Speichern wieder da. So kann sich niemand aus dem eigenen System aussperren. Ändern kann die Tabelle nur ein Administrator. Das gilt für alle Einstellungen der Seite „Security". Wer die Seite sonst öffnen darf, sieht sie schreibgeschützt. Sechs Berechtigungen lassen sich der Rolle „Customer" nie geben: „Users: manage accounts", „Data export (data subject request)", „Anonymize people", „Security log", „Settings: Security" und „Settings: Single sign-on".

Mit „Save" gilt die Änderung sofort. Wer betroffen ist, merkt es beim nächsten Klick.

Drei Listen beschreiben den Menschen und nicht das Ticket: Abteilung, Position und Standort.

Angelegt werden sie unter „Settings → General Settings" in der Karte „Drop-down lists". Für alle drei ist die Bedienung dieselbe.

Zugewiesen werden sie am Konto. Im Formular unter „User management" heißen die Felder „Department", „Position" und „Location".

In der Benutzerliste steht die Abteilung unter dem Team. Position und Standort siehst du im Formular des Kontos.

Der Standort hat eine zweite Verwendung. Am Ticket gibt es das Feld „Location", und es greift auf dieselbe Liste zu.

Jede der drei Listen hat einen Eintrag, den du nicht löschen kannst. Er heißt „None selected or available" und trägt die Marke „Mandatory".

Löschst du einen anderen Eintrag, rücken alle Menschen, die ihn trugen, auf diesen Platzhalter. Es bleibt also niemand mit einem Verweis ins Leere zurück.

Übersetzt wird nicht hier, sondern in einem Zug über die Übersetzungsseite. Der englische Name ist der Anker, an dem die Übersetzungen hängen.