Zugriff passend zur Verantwortung vergeben.

Ja. Neben den mitgelieferten Systemrollen lassen sich beliebige eigene Rollen anlegen und mit genau den Rechten bestücken, die eine Position braucht — etwa eine Rolle, die Belege prüfen, aber keine Fahrzeuge ändern darf.

Nein. Die Trennung erfolgt auf Datenbankebene, nicht nur über einen Filter in der Abfrage. Ein Benutzer mit Zugang zu mehreren Mandanten wechselt bewusst und arbeitet dann ausschließlich im Kontext des gewählten Mandanten.

Ja, über die standortbezogene Datensicht. Sie wird pro Mandant eingeschaltet, Benutzer bekommen im Benutzer-Editor ihre Standorte zugewiesen, und ab dann sind Listen, Detailaufrufe, Dashboards, Auswertungen und Exporte auf diese Standorte begrenzt. Ein zweiter Schalter entscheidet, ob Datensätze ohne Standortzuordnung sichtbar bleiben. Wir haben die Grenze in vier unabhängigen, gegnerisch angelegten Prüfungen durchgehen lassen, weil eine Sichtbarkeitsgrenze nur so gut ist wie ihre schwächste Tür — was ein Wächter nicht abdeckt, steht ausdrücklich in unserer Dokumentation.

Über Pseudonymisierung: Personenbezug wird entfernt, betriebliche Datensätze wie Buchungen oder Kosten bleiben als anonymisierte Vorgänge erhalten. Aufbewahrungsfristen sind konfigurierbar, ein Hintergrunddienst räumt abgelaufene Daten automatisch auf.