· Bilal Erkin
ClickUp Berechtigungen: Struktur für wachsende Teams
Wie Sie Zugriffe so aufbauen, dass sie mitwachsen, welche Rollen es gibt und warum das Thema auch datenschutzrechtlich zählt.
Bauen Sie Berechtigungen entlang der Struktur auf, nicht entlang von Personen. Wer einzelnen Menschen einzelne Zugriffe erteilt, hat nach einem Jahr ein Geflecht, das niemand mehr überblickt und das bei jedem Ein- und Austritt nachgepflegt werden muss. Dieser Beitrag zeigt den Aufbau, der mitwächst.
Welche Ebenen gibt es?
ClickUp steuert Zugriffe auf zwei Wegen: über die Rolle im Workspace und über die Sichtbarkeit einzelner Bereiche, Ordner und Listen.
| Rolle | Kann | Für wen |
|---|---|---|
| Owner | Alles, einschließlich Abrechnung und Löschung des Workspace | Genau eine Person |
| Admin | Struktur ändern, Personen verwalten, Sichtbarkeiten setzen | Zwei Personen |
| Member | Arbeiten in freigegebenen Bereichen | Alle Mitarbeitenden |
| Guest | Zugriff auf einzelne Listen oder Aufgaben | Externe Beteiligte |
Zwei Admins sind die richtige Zahl. Einer allein ist ein Ausfallrisiko, sobald diese Person im Urlaub oder krank ist. Mehr als drei führen dazu, dass Struktur unkoordiniert geändert wird, und genau das ist die Ursache für die meisten unübersichtlichen Workspaces.
Der Aufbau, der mitwächst
Die Grundregel: Sichtbarkeit wird auf Bereichsebene entschieden, nicht auf Aufgabenebene. Alles andere ist auf Dauer nicht pflegbar.
- Öffentliche Bereiche als Standard. Projekte, Aufgaben, allgemeine Abläufe sind für alle Mitarbeitenden sichtbar. Das ist der Normalfall und senkt die Einstiegshürde.
- Geschlossene Bereiche als Ausnahme. Personal, Geschäftsführung, Vertragsverhandlungen. Zugriff nur für benannte Personen, und die Begründung wird notiert.
- Guests je Liste, nie je Bereich. Ein Kunde bekommt Zugriff auf genau die Liste seines Projekts, nicht auf den Bereich, in dem auch andere Kunden liegen.
Der Vorteil dieses Aufbaus zeigt sich beim Wachstum: Eine neue Person bekommt die Rolle Member und ist damit sofort arbeitsfähig, ohne dass jemand zwanzig Einzelfreigaben setzen muss.
Wann reicht offene Sichtbarkeit nicht mehr?
Spätestens, wenn Daten ins System kommen, die nicht alle sehen dürfen. Die Umstellung muss vorher passieren, nicht danach. Konkrete Auslöser:
- Personalprozesse. Bewerbungen, Gespräche, Kündigungen. Diese gehören in einen geschlossenen Bereich, sobald der erste Vorgang angelegt wird.
- Vertrags- und Preisverhandlungen. Nicht jede Person im Vertrieb muss die Konditionen jedes Kunden sehen.
- Externe im System. Sobald der erste Guest hinzukommt, wird geprüft, was von seiner Liste aus sichtbar ist.
- Wachstum über etwa fünfzig Personen. Ab dieser Größe kennt nicht mehr jeder jeden, und offene Sichtbarkeit wird von Betroffenen anders bewertet.
Warum das auch datenschutzrechtlich zählt
Der Grundsatz der Datenminimierung verlangt, dass nur Zugriff hat, wer ihn für seine Aufgabe braucht. Wenn alle alles sehen, ist das praktisch nicht einzuhalten, und bei einer Prüfung gehört die Frage nach den Zugriffen zu den vier Standardfragen.
Ein dokumentiertes Berechtigungskonzept ist dabei mehr wert als jedes weitere Zertifikat des Anbieters. Es genügt eine Tabelle, die für jeden Bereich festhält, wer Zugriff hat und warum. Was sonst noch zu klären ist, steht im Beitrag zu ClickUp und DSGVO.
Die vier häufigsten Fehler
- Einzelfreigaben auf Aufgabenebene. Funktioniert bei zehn Personen, ist bei fünfzig nicht mehr nachvollziehbar. Entscheiden Sie auf Bereichsebene.
- Alle als Admin. Kommt aus dem Wunsch, niemanden auszubremsen, und führt dazu, dass die Struktur von fünf Personen gleichzeitig geändert wird.
- Guests auf Bereichsebene. Der Kunde sieht dann auch die Projekte anderer Kunden. Das ist der Fehler mit dem größten Schadenspotenzial.
- Austritte nicht nachziehen. Zugriffe ausgeschiedener Mitarbeitender bleiben bestehen, weil das Nachpflegen niemandem gehört. Verankern Sie es im Offboarding, nicht in der guten Absicht.
Ein Ablauf für Ein- und Austritte
Beides gehört als Checkliste ins System, nicht in den Kopf einer Person. Ein tragfähiger Minimalablauf:
| Anlass | Schritte |
|---|---|
| Eintritt | Als Member anlegen, Abteilungsbereich zuweisen, Einweisung terminieren, Aufzeichnung der Schulung schicken |
| Wechsel der Abteilung | Neuen Bereich freigeben, alten entziehen, offene Aufgaben umhängen |
| Austritt | Offene Aufgaben umhängen, Zugriff entziehen, Konto deaktivieren statt löschen, damit die Historie erhalten bleibt |
Der Punkt „deaktivieren statt löschen" ist wichtig: Beim Löschen eines Kontos gehen Zuordnungen in der Vergangenheit verloren, und Auswertungen über abgeschlossene Projekte werden unbrauchbar.
Wie fangen Sie an, wenn schon alles offen ist?
Nicht mit einer großen Umstellung. Der Weg, der in der Praxis funktioniert:
- Bestandsaufnahme: Welche Bereiche gibt es, wer hat wo Zugriff?
- Die zwei bis drei Bereiche identifizieren, die tatsächlich schützenswert sind.
- Nur diese schließen und die Zugriffe begründen.
- Alles andere offen lassen.
Eine flächendeckende Einschränkung erzeugt Widerstand und bringt wenig. Der Nutzen steckt in den wenigen Bereichen, in denen es wirklich darauf ankommt.
Zusammengefasst
Zwei Admins, alle anderen als Member, Sichtbarkeit auf Bereichsebene, Guests immer nur je Liste. Geschlossen wird, was tatsächlich schützenswert ist, und das wird begründet aufgeschrieben. Ein- und Austritte gehören als Checkliste ins System.
Wenn Ihr Workspace gewachsen ist und die Zugriffe unübersichtlich geworden sind, ist der Health-Check der schnellste Weg zu einer Bestandsaufnahme. Die Struktur selbst überarbeiten wir in der Workflow-Optimierung ab 1.500 EUR netto. Für Admins gibt es eine eigene Admin-Schulung.