Datenkontrolle im CRM: eigene Google- oder Azure-App, eigener KI-Schlüssel, eigene Rollen

Datenkontrolle im CRM heisst: Du entscheidest, über welche Verträge deine E-Mails, deine Kalender und deine KI-Anfragen laufen, und wer in deinem Team welche Datensätze sieht. In Advanzo setzt du das mit sechs Stellschrauben um: einer eigenen Google- oder Azure-App für Mail und Kalender, einem eigenen Anthropic- oder OpenAI-Schlüssel für die KI, verschlüsselt gespeicherten Zugangsdaten, Workspace-Isolation, eigenen Rollen mit Sichtbarkeitsgruppen, persönlichen API-Tokens und einem Audit-Log.

Dieser Beitrag richtet sich an Geschäftsführerinnen, IT-Verantwortliche und Vertriebsleiter in Schweizer KMU mit 5 bis 50 Personen, die ein CRM einführen wollen und vorher wissen möchten, welche Kontrolle sie über ihre Daten behalten.

Das Problem: Kundendaten laufen über Verträge, die du nicht kennst

Ein CRM mit E-Mail-Sync und KI berührt drei Arten von Daten: den Inhalt deiner Mails und Kalender, die Zugangsdaten zu diesen Konten, und die Texte, die an ein KI-Modell geschickt werden. Bei den meisten Anbietern läuft alles über die Konten des Anbieters. Die Mailverbindung nutzt die App des Anbieters, die KI-Anfragen gehen über den Schlüssel des Anbieters an ein Modell, und welche Person im Team welche Daten sieht, regelt ein Schalter mit zwei Stellungen: Admin oder nicht.

Für ein Treuhandbüro, eine Anwaltskanzlei, eine Personalvermittlung oder einen Versicherungsbroker ist das zu wenig. Diese Betriebe haben Kunden, die fragen, wer ihre Daten verarbeitet. Sie haben Mitarbeitende, die nicht alles sehen sollen. Und sie haben eine IT, die bereits einen Google-Workspace- oder Microsoft-365-Vertrag und vielleicht einen Vertrag mit einem KI-Anbieter hat. Die Frage ist nicht, ob das CRM sicher ist. Die Frage ist, ob du die Verträge und Rechte selbst in der Hand hast.

Die sechs Stellschrauben in Advanzo

Zwei davon laufen ohne dein Zutun. Die anderen vier richtest du ein, und zwar in der Reihenfolge, in der sie unten beschrieben sind. Die ganze Einrichtung dauert für ein Team mit 15 Personen etwa einen halben Tag, den grössten Teil davon braucht die App-Registrierung bei Google oder Microsoft.

Schritt für Schritt: So richtest du die Datenkontrolle in Advanzo ein

Schritt 1: Eigene Google- oder Azure-App registrieren und hinterlegen

1. Registriere in der Google Cloud Console oder im Azure-Portal deines Unternehmens eine eigene App für Advanzo. Deine IT kennt diesen Vorgang von anderen Werkzeugen.
2. Hinterlege die Angaben der App in den Workspace-Einstellungen von Advanzo.
3. Ab jetzt verbinden alle Personen im Workspace ihre Mail und ihren Kalender über deine App. Die Berechtigung erscheint in deiner Google- oder Microsoft-Verwaltung, und du kannst sie dort prüfen und entziehen.

Wer das nicht braucht, verbindet in zwei Klicks über die App von Advanzo. Die eigene Registrierung ist eine Option, keine Pflicht.

Schritt 2: Eigenen Anthropic- oder OpenAI-Schlüssel eintragen

1. Erstelle in deinem Anthropic- oder OpenAI-Konto einen API-Schlüssel. Falls dein Unternehmen noch keinen Vertrag hat, braucht es ein Konto beim Anbieter, dessen Nutzungsbedingungen du selbst prüfst.
2. Trage den Schlüssel in den KI-Einstellungen des Workspace ein. Er wird verschlüsselt gespeichert.
3. Alle KI-Funktionen, von Antwortentwürfen über Deal-Scoring bis zum Autopilot, laufen ab jetzt über deinen Vertrag.

Worauf du beim eigenen Schlüssel achten solltest, steht in Eigener API-Key oder KI-Add-on.

Schritt 3: Rollen mit feinen Berechtigungen definieren

1. Lege eigene Rollen an, zum Beispiel «Verkauf», «Innendienst», «Geschäftsleitung», «Praktikum».
2. Setze pro Rolle und Ressource, was erlaubt ist: Kontakte lesen, Deals bearbeiten, Dokumente senden, Workflows ändern, Einstellungen verwalten.
3. Weise jeder Person genau eine Rolle zu. Admin-Rechte bekommen zwei Personen, nicht alle.

Welche Rechte in der Praxis sinnvoll sind, zeigt Wer darf was sehen: Berechtigungen im CRM richtig setzen.

Schritt 4: Teams und Sichtbarkeitsgruppen für die Datentrennung einrichten

1. Bilde Teams nach Standort, Mandat oder Produktlinie.
2. Lege Sichtbarkeitsgruppen an und ordne Datensätze zu, die nur eine Gruppe sehen soll: etwa die Kunden eines Mandats oder die Deals der Geschäftsleitung.
3. Prüfe mit einem Testnutzer, was eine Person der Rolle «Praktikum» tatsächlich sieht.

Wie Agenturen und Gruppen damit Kundendaten voneinander trennen, beschreibt Datentrennung im Mehrmandanten-CRM.

Schritt 5: Persönliche API-Tokens statt geteilter Zugänge

Wer Advanzo über die REST-API mit anderen Systemen verbindet, erstellt dafür ein persönliches Token. Es gehört einer Person, nicht dem Workspace. Verlässt die Person das Unternehmen, endet der Zugang mit ihrem Konto. Geteilte Passwörter in einem Teamdokument gibt es damit nicht mehr.

Schritt 6: Audit-Log regelmässig lesen

Das Audit-Log protokolliert Änderungen im Workspace. Lies es einmal pro Monat: Wer hat Rollen geändert, wer hat Einstellungen angepasst, wer hat Datensätze gelöscht. Fünf Minuten reichen, um Überraschungen zu vermeiden.

Eigener KI-Schlüssel oder Add-on: Was sich ändert

In beiden Fällen gilt: Die KI schlägt vor, eine Person entscheidet. Der Autopilot legt Vorschläge ins Freigabe-Postfach, der KI-Assistent erstellt Entwürfe, das Deal-Scoring markiert Risiken. Gesendet, verschoben oder angelegt wird nichts ohne Klick.

Checkliste: Datenkontrolle vor dem Start

• Entschieden, ob Mail und Kalender über eine eigene Google- oder Azure-App laufen oder über die App von Advanzo.
• Entschieden, ob die KI über das Add-on oder über einen eigenen Anthropic- oder OpenAI-Schlüssel läuft.
• Eigene Rollen angelegt, und keine Rolle hat mehr Rechte, als die Arbeit verlangt.
• Admin-Rechte bei höchstens zwei Personen.
• Sichtbarkeitsgruppen für Datensätze, die nicht alle sehen sollen, definiert und mit einem Testnutzer geprüft.
• API-Zugriffe nur über persönliche Tokens, keine geteilten Zugänge.
• Ein Termin im Kalender, um das Audit-Log monatlich zu lesen.
• Austrittsprozess festgelegt: Konto deaktivieren, Rolle prüfen, Token enden mit dem Konto.

Mini-Szenario: Treuhand- und Beratungsbüro mit 15 Personen in Luzern

Die fiktive Reussblick Treuhand AG betreut 240 Mandate, von der Einzelfirma bis zur Holding. Zwölf Beraterinnen und Berater, zwei Personen im Backoffice und eine Geschäftsführerin arbeiten mit Microsoft 365. Die IT besteht aus einem externen Partner. Bisher lagen die Kundenkontakte in Outlook und in einer Excel-Liste pro Berater. Zwei Anforderungen waren für das CRM gesetzt: Die Mailverbindung läuft über die eigene Azure-Registrierung, und jeder Berater sieht nur seine Mandate.

Die Einrichtung: Der IT-Partner registriert die Azure-App in zwei Stunden. Die Geschäftsführerin erstellt einen Anthropic-Schlüssel über den bestehenden Firmenvertrag und trägt ihn ein. Vier Rollen werden angelegt, zwölf Sichtbarkeitsgruppen nach Beraterportfolio, eine Gruppe für die Geschäftsleitung. Der KI-Verbrauch läuft über den Anthropic-Vertrag, den der IT-Partner ohnehin verwaltet.

Typische Fehler bei der Datenkontrolle

• Alle werden Admin: Es ist bequem, und es macht jede Rolle wertlos. Zwei Admins reichen für ein Team mit 50 Personen.
• Sichtbarkeitsgruppen nachträglich einführen: Wer erst nach dem Import 3'000 Datensätze zuordnen muss, verschiebt die Aufgabe. Erst Gruppen, dann Import.
• Den KI-Schlüssel im Teamchat teilen: Der Schlüssel wird einmal im Workspace eingetragen und sonst nirgends gespeichert. Wer ihn in einer Nachricht weitergibt, macht die Verschlüsselung in Advanzo nutzlos.
• Eigene App registrieren, ohne die Berechtigungen zu dokumentieren: Die IT soll wissen, welche Rechte die App hat und wo sie entzogen werden. Sonst steht die Registrierung in einem Jahr ohne Verantwortlichen da.
• Audit-Log nur im Ernstfall öffnen: Dann ist es zu spät, um Muster zu erkennen. Monatlich fünf Minuten sind genug.
• Sicherheit versprechen, die das Werkzeug nicht ausweist: Sag deinen Kunden, was belegbar ist: verschlüsselte Zugangsdaten, getrennte Workspaces, eigene App, eigener KI-Schlüssel, Rollen, Tokens, Audit-Log. Mehr nicht.
• KI-Nutzung ohne Regel im Team: Auch mit eigenem Schlüssel gehört ins Team eine Absprache, welche Inhalte an die KI gehen. Der Mensch bleibt in der Verantwortung, nicht der Schlüssel.

Häufige Fragen

Was bringt eine eigene Google- oder Azure-App gegenüber der App von Advanzo?

Die Mail- und Kalenderverbindung läuft über eine Registrierung in deinem eigenen Google- oder Microsoft-Konto. Deine IT sieht die Berechtigung in der eigenen Verwaltung und kann sie dort prüfen und entziehen. Die Funktionen sind dieselben wie mit der App von Advanzo, die in zwei Klicks verbunden ist.

Wie werden mein KI-Schlüssel und meine Zugangsdaten gespeichert?

Zugangsdaten und API-Schlüssel werden bei der Übertragung und bei der Speicherung verschlüsselt. Der Schlüssel wird einmal im Workspace eingetragen. Danach sollte er an keiner anderen Stelle liegen, auch nicht in einer Nachricht oder einem Dokument.

Wie fein lassen sich Berechtigungen einstellen?

Du legst eigene Rollen an und setzt pro Ressource, was eine Rolle darf: zum Beispiel Kontakte lesen, Deals bearbeiten, Dokumente senden oder Einstellungen verwalten. Teams und Sichtbarkeitsgruppen regeln zusätzlich, welche Datensätze eine Person überhaupt sieht.

Sind meine Daten von anderen Kunden getrennt?

Ja. Jeder Workspace ist auf der Datenebene von allen anderen isoliert. Wenn du mehrere Workspaces führst, etwa für verschiedene Firmen einer Gruppe, gilt das auch zwischen deinen eigenen Workspaces.

Was ist, wenn eine Person das Unternehmen verlässt?

Du deaktivierst ihr Konto im Workspace. Damit enden ihr Zugang und ihre persönlichen API-Tokens. Ihre Kontakte, Deals und Aktivitäten bleiben im Workspace, damit das Team sie weiter betreuen kann. Im Audit-Log bleibt nachvollziehbar, was vor dem Austritt geändert wurde.

Wenn du das in Advanzo ausprobieren willst: advanzo.app.