Ein ERP-System wie Odoo bündelt viele personenbezogene Daten an einem Ort. Kundenadressen, Ansprechpartner, Kommunikationsverläufe und je nach genutzten Apps auch Mitarbeiterdaten. Damit wird Odoo zu einem wichtigen Baustein in Ihrem Datenschutzkonzept.
Dieser Artikel gibt eine allgemeine Orientierung, welche Themen Sie bei Einführung und Betrieb im Blick haben sollten. Er ersetzt keine Rechtsberatung. Für verbindliche Einschätzungen wenden Sie sich bitte an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten oder an eine fachkundige Rechtsberatung.
Auftragsverarbeitung klären
Wenn ein externer Anbieter Ihre Daten speichert oder verarbeitet, ist in der Regel ein Vertrag zur Auftragsverarbeitung erforderlich. Wer dieser Anbieter ist, hängt vom Hosting ab:
- Bei Odoo Online und Odoo.sh ist Odoo selbst der Anbieter. Prüfen Sie die entsprechenden Vertragsunterlagen von Odoo.
- Beim eigenen Server in einem Rechenzentrum ist es der Hosting-Anbieter.
- Wenn ein Dienstleister Zugriff auf Ihr System hat, etwa für Support oder Entwicklung, kann auch hier eine Vereinbarung nötig sein.
Vergessen Sie dabei nicht angebundene Dienste wie E-Mail-Versand, Zahlungsanbieter oder andere Schnittstellen. Auch sie verarbeiten unter Umständen personenbezogene Daten.
Serverstandort und Datenübermittlung
Wo Ihre Daten physisch liegen, ist für viele Unternehmen eine zentrale Frage. Klären Sie bei den Odoo-Angeboten, in welcher Region Ihre Datenbank gehostet wird und ob Sie diese auswählen können. Beim eigenen Server bestimmen Sie den Standort selbst.
Achten Sie außerdem darauf, ob Daten an Dienste außerhalb der EU übermittelt werden, etwa durch Schnittstellen oder Zusatzfunktionen. Ob und unter welchen Bedingungen das zulässig ist, sollte Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter bewerten. Denken Sie auch an Datensicherungen: Auch Backups enthalten personenbezogene Daten und sollten an einem Ort liegen, der Ihren Anforderungen entspricht.
Zugriffsrechte nach dem Prinzip der Erforderlichkeit
Nicht jede Person im Unternehmen muss alles sehen. Odoo bietet ein Rechtesystem, mit dem Sie Zugriffe je App und Rolle steuern können. Ein bewährter Grundsatz lautet: Jede Person erhält die Rechte, die sie für ihre Aufgaben braucht, und nicht mehr.
- Legen Sie fest, wer Personaldaten, Gehaltsinformationen oder sensible Kundendaten sehen darf.
- Vergeben Sie Administratorrechte nur an wenige Personen.
- Deaktivieren Sie Zugänge ausgeschiedener Mitarbeitender umgehend.
- Prüfen Sie Rechte regelmäßig, etwa einmal im Jahr.
Denken Sie dabei auch an externe Personen. Portalzugänge für Kunden oder Zugänge für Dienstleister sollten nur so lange bestehen, wie sie tatsächlich gebraucht werden. Ein klar dokumentiertes Rollenkonzept hilft, auch gegenüber Prüfern nachvollziehbar zu zeigen, wer worauf zugreifen kann.
Löschkonzept: Archivieren ist nicht Löschen
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Gleichzeitig gibt es gesetzliche Aufbewahrungsfristen, zum Beispiel für Rechnungen. Ein Löschkonzept regelt, welche Daten wann gelöscht werden.
Für Odoo ist ein Punkt besonders wichtig: Wenn Sie einen Datensatz archivieren, verschwindet er nur aus den normalen Ansichten. Die Daten bleiben in der Datenbank erhalten. Archivieren ist also kein Löschen. Echtes Löschen ist nicht immer möglich, wenn ein Datensatz mit anderen verknüpft ist, etwa ein Kontakt mit gebuchten Rechnungen. Planen Sie daher, wie Sie mit solchen Fällen umgehen.
- Welche Datenarten speichern wir in Odoo?
- Welche Aufbewahrungsfristen gelten dafür?
- Wer ist für das Löschen zuständig, und wie wird es dokumentiert?
- Wie gehen wir mit Anfragen von Betroffenen auf Auskunft oder Löschung um?
Protokolle und Nachvollziehbarkeit
Odoo dokumentiert an vielen Datensätzen Änderungen und Nachrichten im sogenannten Chatter. So lässt sich nachvollziehen, wer wann was geändert hat. Das ist hilfreich für die Nachvollziehbarkeit. Gleichzeitig sind diese Verläufe selbst Daten, die unter Ihr Löschkonzept fallen.
Klären Sie außerdem, welche technischen Protokolle auf Server-Ebene entstehen und wie lange sie aufbewahrt werden. Bei Odoo Online und Odoo.sh liegt das überwiegend in der Hand von Odoo, beim eigenen Server bei Ihnen.
Beziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten schon in der Planungsphase ein. Viele Fragen lassen sich vor der Einrichtung leichter klären als im laufenden Betrieb, etwa welche Felder überhaupt gebraucht werden.
Checkliste für die Einführung
- Verträge zur Auftragsverarbeitung mit allen beteiligten Anbietern prüfen.
- Serverstandort und mögliche Datenübermittlungen klären.
- Rollen und Zugriffsrechte vor dem Start festlegen.
- Löschkonzept für die Daten in Odoo erstellen oder ergänzen.
- Verzeichnis der Verarbeitungstätigkeiten um Odoo erweitern.
- Mitarbeitende zum Umgang mit Daten im System informieren.
joradix ersetzt keine Datenschutzberatung, unterstützt Sie aber bei der technischen Umsetzung in Odoo, etwa bei Rechtekonzepten und der Einrichtung. Sprechen Sie uns gern an.
