Checklisten

Checkliste Offboarding externer Mitarbeitender

Für: Inhaber, Projektleiter und IT-Verantwortliche, die mit Freelancern und Partnern arbeiten.

Kurz erklärt

Beim Offboarding Externer werden alle Zugriffe am letzten Arbeitstag entzogen, Daten auf Fremdgeräten gelöscht oder zurückgegeben, geteilte Konten und Passwörter gewechselt, die Geheimhaltung schriftlich bestätigt und im Zugriffsprotokoll dokumentiert. Vergessene Zugänge sind der häufigste Datenschutzvorfall in KMU.

Der Freelancer, der vor einem Jahr das Projekt verlassen hat, kann sich noch einloggen. Niemand hat es gemerkt, weil nichts passiert ist. Das ist kein Sicherheitskonzept, sondern Glück — und nach revDSG eine Verletzung der Datensicherheit, sobald es ein Auditor prüft.

Entzug am Tag, nicht in der Woche

Zugriffe werden am letzten Arbeitstag um 17 Uhr entzogen, nicht «demnächst». In Flenio gibt es dafür einen Schalter am Mitglied: Externe verlieren damit sofort jeden Zugriff auf Projekte und Dateien, der Verlauf bleibt erhalten.

Geteilte Passwörter sind ab jetzt kompromittiert

Jedes Konto, dessen Passwort der Externe kannte, wird gewechselt. Ohne Ausnahme. Das ist der Grund, warum geteilte Konten von Anfang an vermieden werden: Ein Offboarding mit 15 Passwortwechseln macht niemand.

Berufsgeheimnis endet nicht mit dem Vertrag

Für Kanzleien, Ärzte und Treuhänder gilt: Der Externe unterstand als Hilfsperson dem Berufsgeheimnis (StGB Art. 321). Die Erinnerung daran gehört ins Abschlussgespräch — schriftlich.

Häufige Fragen

Was, wenn der Externe die Daten auf dem eigenen Laptop hat?

Löschung verlangen und schriftlich bestätigen lassen. Besser: von Anfang an nur im Tool arbeiten, keine lokalen Kopien. Das ist auch der Grund für Rollen mit eingeschränktem Download.

Muss ich das Offboarding dokumentieren?

Das revDSG verlangt angemessene Datensicherheit; ein Zugriffsprotokoll mit Datum des Entzugs ist der Nachweis dafür. Bei einem Vorfall ist es die erste Frage des EDÖB.

Wie schnell nach Projektende?

Am Tag des Projektendes. Wenn ein Folgeprojekt kommt, wird der Zugriff neu erteilt — bewusst und dokumentiert.