Selbstauskunft mit externem Token-Zugang einholen

Sie möchten von einem Dienstleister wissen, wie er Ihre Daten schützt, und dieser hat keinen Zugang zum audatis MANAGER. Mit einem externen Token-Zugang füllt Ihr Auftragsverarbeiter eine Selbstauskunft direkt aus, ohne ein Benutzerkonto zu benötigen. Sie erhalten die Antworten unmittelbar im Audit und haben einen dokumentierten Nachweis, wann der Dienstleister seine Angaben gemacht hat. Dieser Artikel zeigt Ihnen, wie Sie einen solchen Zugang anlegen, den Link bereitstellen und den Stand verfolgen.

Was ist ein externer Token-Zugang?

Eine Selbstauskunft ist ein Audit, das nicht Sie als Auditor, sondern eine externe Person ausfüllt. Der typische Fall ist die Prüfung eines Auftragsverarbeiters: Sie schicken einem Dienstleister einen Fragebogen zu seinen technischen und organisatorischen Maßnahmen, und er beantwortet ihn selbst. Genau diese Konstellation verlangt die DSGVO, wenn Sie sich von der Eignung Ihrer Auftragsverarbeiter überzeugen (Art. 28, Art. 32).

Damit eine externe Person mitarbeiten kann, ohne ein Konto im audatis MANAGER zu haben, gibt es den Token-Zugang. Ein Token ist ein persönlicher Link, über den der Empfänger den Fragebogen ohne Anmeldung öffnet und ausfüllt. Jeder Empfänger erhält einen eigenen Link. Nach dem endgültigen Absenden sperrt sich der Link automatisch, sodass die Antworten unverändert dokumentiert bleiben.

Die gesamte Verwaltung dieser Links finden Sie im Audit selbst, im Tab "Externe Zugänge". Dort legen Sie neue Zugänge an, kopieren Links, verfolgen den Status und widerrufen bei Bedarf einen Zugang.

Der Vorteil gegenüber einem per E-Mail verschickten Fragebogen-Dokument: Die Antworten landen direkt strukturiert im Audit, Sie müssen nichts manuell abtippen, und Sie sehen jederzeit, welcher Dienstleister schon geantwortet hat und welcher noch offen ist. Gleichzeitig behält jeder Empfänger nur Zugriff auf das, was Sie ihm freigeben.

Voraussetzungen

Bevor Sie einen externen Zugang anlegen, sollten zwei Dinge vorliegen:

• Ein freigegebener Fragebogen. Der Fragebogen ist das Prüfprogramm der Selbstauskunft. Nur freigegebene Fragebögen lassen sich einem Audit zuweisen. Wie Sie einen Fragebogen anlegen und freigeben, lesen Sie im verwandten Artikel am Ende.
• Ein Audit vom Typ "Selbstauskunft". Legen Sie das Audit an und weisen Sie ihm den freigegebenen Fragebogen zu. Der Tab "Externe Zugänge" ist zwar bei jedem Audit vorhanden, seine Stärke spielt er aber bei Selbstauskünften aus, weil dort externe Befragte den Fragebogen ausfüllen.

Außerdem brauchen Sie mindestens Schreibrechte (Stufe 2) im Audit-Modul, um Zugänge anlegen zu können.

Schritt für Schritt

Schritt 1: Audit öffnen und zum Tab "Externe Zugänge" wechseln

Öffnen Sie das Audit, für das Sie einen externen Zugang anlegen möchten. Die Bearbeitungsseite zeigt fünf Tabs: Allgemeine Daten, Auditoren, Abschluss, Verwendete Fragebögen und Externe Zugänge. Wechseln Sie zum Tab Externe Zugänge.

Schritt 2: Hinweistext lesen

Der Tab beginnt mit einem Hinweisfeld, das die wichtigsten Regeln zu Token-Links zusammenfasst. Lesen Sie es einmal, denn es erklärt das Verhalten, das Sie gleich nutzen: Jeder Link ist persönlich, der Empfänger füllt den Fragebogen ohne Anmeldung aus, und nach dem endgültigen Absenden sperrt sich der Link automatisch.

Schritt 3: Neuen externen Zugang anlegen

Klicken Sie in der Toolbar auf Neuer externer Zugang. Es öffnet sich das Modal zum Anlegen eines Token-Links mit wenigen, aber wichtigen Feldern.

Achtung: Der Schalter Einladungs-E-Mail mit Link senden ist standardmäßig eingeschaltet. Solange er aktiv ist, verschickt der audatis MANAGER beim Anlegen sofort eine echte E-Mail an die eingetragene Adresse. Im Test- oder Demo-Betrieb und immer dann, wenn Sie den Link lieber selbst weitergeben möchten, schalten Sie diesen Schalter zuerst aus, bevor Sie die übrigen Felder ausfüllen.

Schritt 4: Empfänger eintragen und Zugang konfigurieren

Füllen Sie die Felder des Modals aus:

• Name des Empfängers (Pflicht): Tragen Sie die Ansprechperson oder den Firmennamen ein, zum Beispiel "Mustermann GmbH". Dieser Name identifiziert den Zugang in der Tabelle.
• E-Mail (optional): Nur nötig, wenn Sie die Einladungs-E-Mail automatisch versenden möchten.
• Bereiche (optional): Lassen Sie das Feld leer, sieht der Empfänger alle Bereiche des Fragebogens. Wählen Sie einzelne Bereiche aus, beschränkt sich der Zugang darauf. So kann etwa die IT-Leitung nur die technischen Maßnahmen beantworten und eine andere Person die organisatorischen.
• Gültig bis (optional): Ein Datum, nach dem der Link nicht mehr genutzt werden kann.
• Weitergabe an Dritte erlauben (Schalter, standardmäßig aus): Aktivieren Sie ihn nur, wenn der Empfänger den Link an Kollegen weiterreichen darf.

Klicken Sie anschließend auf Anlegen. Der Zugang erscheint sofort in der Tabelle mit dem Status Aktiv.

Schritt 5: Link bereitstellen

In der neuen Zeile finden Sie ein Kopieren-Symbol. Klicken Sie darauf, um den persönlichen Link in die Zwischenablage zu kopieren. Diesen Link geben Sie nun auf Ihrem üblichen Weg an den Empfänger weiter, etwa per E-Mail.

Tipp: Haben Sie eine E-Mail-Adresse hinterlegt, können Sie die Einladungs-E-Mail auch nachträglich über das Senden-Symbol in der Zeile verschicken, ohne einen neuen Zugang anlegen zu müssen.

Schritt 6: Was der externe Empfänger erlebt

Der Empfänger öffnet den persönlichen Link und landet ohne Anmeldung direkt beim Fragebogen. Er sieht nur die ihm zugewiesenen Bereiche. Wenn er fertig ist, beantwortet er die Fragen und klickt am Ende auf Absenden. Danach ist sein Zugang gesperrt und die Antworten stehen Ihnen im Audit zur Verfügung.

Schritt 7: Status verfolgen

In der Tabelle des Tabs sehen Sie jederzeit, wo jeder Zugang steht. Ein Zugang durchläuft folgende Stände:

• Aktiv: Der Link ist nutzbar, der Empfänger hat noch nicht abgesendet.
• Eingereicht: Der Empfänger hat den Fragebogen abgesendet. Der Zugang ist automatisch gesperrt, und in der Spalte "Eingereicht" steht der Zeitpunkt des Absendens.
• Widerrufen: Sie haben den Zugang manuell gesperrt.

Über die Symbole in der Zeile steuern Sie den Zugang: Link kopieren stellt den Link erneut bereit, Widerrufen sperrt einen aktiven Zugang sofort, und Wieder öffnen reaktiviert einen bereits eingereichten Zugang. Letzteres brauchen Sie, wenn ein Empfänger seine Antworten noch einmal korrigieren soll.

Den Zugang widerrufen Sie zum Beispiel, wenn Sie versehentlich einen Link an die falsche Person verschickt haben oder wenn ein Dienstleister doch nicht an der Selbstauskunft teilnehmen soll. Ein widerrufener Zugang lässt sich nicht mehr öffnen, der Empfänger erhält beim Aufruf des Links keinen Zugriff mehr. Legen Sie in einem solchen Fall einfach einen neuen Zugang für die richtige Person an.

Die Spalten der Tabelle geben Ihnen den vollständigen Überblick: Name, E-Mail, Status, Weitergabe, Erstellt, Gültig bis und Eingereicht. So sehen Sie auf einen Blick, welche Zugänge Sie für welche Bereiche vergeben haben und welche bereits beantwortet wurden.

Häufige Stolperfallen

• Einladungs-E-Mail wird ungewollt verschickt. Der Schalter "Einladungs-E-Mail mit Link senden" ist beim Öffnen des Modals bereits eingeschaltet. Schalten Sie ihn aus, sobald sich das Modal öffnet, wenn Sie noch keine echte E-Mail auslösen möchten.
• Eingereichter Zugang lässt sich nicht mehr bearbeiten. Das ist gewollt: Nach dem Absenden sperrt sich der Link, damit die Antworten unverändert bleiben. Soll der Empfänger noch einmal ran, klicken Sie auf Wieder öffnen.
• Links funktionieren plötzlich nicht. Ist das zugehörige Audit archiviert oder gelöscht, sind alle externen Zugangslinks vorübergehend ungültig. Sobald Sie das Audit wiederherstellen, funktionieren die Links wieder. Legen Sie externe Zugänge daher nur für aktive Audits an.

Häufige Fragen

Wann nutze ich eine Selbstauskunft statt eines normalen Audits?

Eine Selbstauskunft eignet sich, wenn die befragte Person außerhalb Ihrer Organisation sitzt und den Fragebogen selbst ausfüllen soll, ohne ein Konto im audatis MANAGER zu haben. Der klassische Fall ist die Auftragsverarbeiter-Prüfung: Ein Dienstleister beschreibt seine Schutzmaßnahmen selbst. Ein normales Audit füllen Sie oder Ihr Audit-Team dagegen selbst aus.

Muss ich für jeden Empfänger einen eigenen Zugang anlegen?

Ja. Jeder Token-Link ist persönlich und identifiziert über den Namen des Empfängers genau einen Zugang. Wenn mehrere Personen bei einem Dienstleister verschiedene Bereiche beantworten sollen, legen Sie für jede Person einen eigenen Zugang an und beschränken ihn über das Feld "Bereiche" auf den passenden Abschnitt.

Kann der Empfänger seine Antworten nachträglich ändern?

Nicht von sich aus. Nach dem Absenden sperrt sich der Zugang automatisch, der Status wechselt auf "Eingereicht". Möchten Sie dem Empfänger eine Korrektur ermöglichen, klicken Sie in der Zeile auf "Wieder öffnen". Damit reaktivieren Sie den Zugang für eine erneute Bearbeitung.

Was bedeutet das Feld "Bereiche" im Anlege-Modal?

Mit "Bereiche" steuern Sie, welche Abschnitte des Fragebogens der Empfänger zu sehen bekommt. Bleibt das Feld leer, sieht er alle Bereiche. Wählen Sie einzelne Bereiche aus, beschränkt sich sein Zugang darauf. Das ist hilfreich, wenn unterschiedliche Ansprechpartner jeweils nur für bestimmte Themen zuständig sind.

Woran sehe ich, ob und wann ein Dienstleister geantwortet hat?

In der Tabelle des Tabs "Externe Zugänge" zeigt die Spalte "Status" den aktuellen Stand und die Spalte "Eingereicht" den Zeitpunkt des Absendens. Dieser Zeitstempel ist ein belastbarer Nachweis für Ihre Dokumentation, weil er festhält, wann der Auftragsverarbeiter seine Angaben gemacht hat.

Brauche ich eine bestimmte Lizenz für externe Token-Zugänge?

Die Audit-Funktionen einschließlich der externen Zugänge stehen ab der PROFESSIONAL-Lizenz zur Verfügung und sind auch in ENTERPRISE enthalten. Zum Anlegen eines Zugangs benötigen Sie außerdem mindestens Schreibrechte im Audit-Modul.