So erfassen Sie Datenflüsse von Kunden vor der Anbindung einer Messaging-Plattform

Beginnen Sie mit der Customer Journey, nicht mit dem Anbieterfragebogen

Eine Datenflussübersicht lässt sich anhand von drei Fragen erstellen: Woher stammen die Informationen, wie bewegen sie sich und wo landen sie? Dieser übergeordnete Ansatz wird im Leitfaden von Accountable zur Erfassung von Datenflüssen beschrieben: https://www.accountablehq.com/post/how-to-map-data-flows-a-beginner-s-step-by-step-guide. Beginnen Sie bei einem Messaging-Dienst mit der Customer Journey und überlegen Sie, welche Informationen die geplante Einrichtung bei jedem Schritt empfangen oder erzeugen könnte.

Der Umfang hängt von Ihren Arbeitsabläufen ab. Mögliche Aspekte sind Nachrichtentexte, Anhänge, Antworten aus automatisierten Abläufen, Weiterleitungsdetails, Tags, Gesprächsprotokolle, Bewertungen, betriebliche Analysen und exportierte Berichte. Nutzen Sie diese Punkte als Anregungen für Ihre eigene Prüfung, nicht als Aussage, dass jeder Kanal alle Datentypen gleich verarbeitet.

• Welche Kanäle ziehen Sie für den Start in Betracht, und welche Nachrichtentypen könnten über die jeweiligen Kanäle eingehen?
• Könnten Kunden personenbezogene, finanzielle, gesundheitsbezogene oder anderweitig sensible Informationen senden, selbst wenn Sie diese nicht anfordern?
• Könnte der Ablauf Dateien, strukturierte Antworten, interne Notizen oder Kennzeichnungen sowie für Berichte oder den Servicebetrieb erstellte Datensätze umfassen?
• Welchem Zweck dient jedes Element, etwa der Beantwortung einer Anfrage, der Weiterleitung an eine Abteilung oder der Auswertung des Servicebetriebs?

Verfolgen Sie den Datenfluss von der Erfassung bis zum Ziel

Zeichnen Sie den geplanten Ablauf als praktische Übung in der richtigen Reihenfolge auf und benennen Sie die Systeme oder Beteiligten bei jedem Übergang. Eine mögliche Abfolge ist: Übermittlung durch den Kunden, Verarbeitung durch den Kanal, Weiterleitung durch die Plattform, Zugriff durch Mitarbeitende, Speicherung, Analyse, Export und spätere Löschung. Ergänzen Sie Verzweigungen, wenn Ihr Arbeitsablauf automatisierte Schritte, die Verarbeitung von Dateien oder die Übergabe an eine Person umfasst.

Halten Sie für jede Phase fest, welche Informationen betroffen sind, warum sie verwendet werden, welche Partei sie verarbeitet, wohin sie als Nächstes gelangen und auf welcher Quelle Ihr Verständnis beruht. Der Überblick von Complyan beschreibt die Festlegung des Umfangs, die Ermittlung der Datenverarbeiter und die Erfassung personenbezogener Daten als Bestandteile eines Verfahrens zur Datenflussanalyse: https://complyan.com/what-is-data-flow-mapping-and-why-does-your-organization-need-it/. Kennzeichnen Sie nicht bestätigte Details, statt Lücken mit Annahmen zu füllen.

• Erfassung: Was könnte ein Kunde übermitteln, und welche Angaben fordert der Arbeitsablauf von ihm an?
• Weiterleitung und Automatisierung: Welche Abteilungen, Mitarbeitenden oder automatisierten Schritte könnten die Unterhaltung erhalten oder darauf reagieren?
• Speicherung und Zugriff: Welche Systeme oder Parteien könnten Gesprächsprotokolle oder Dateien speichern, und was müssen Sie zum Zugriff noch klären?
• Berichte und Export: Welche Analysen, Protokolle oder Berichte könnten verfügbar sein, und könnten Mitarbeitende diese an anderer Stelle ablegen?
• Aufbewahrung und Löschung: Was möchte Ihre Organisation aufbewahren, und welche Fragen zur Aufbewahrung oder Löschung durch andere Parteien sind noch offen?

Erfassen Sie jede Partei einzeln

An einer Kundengespräch können Ihre Organisation, eine Messaging-Plattform und ein oder mehrere Kanalanbieter beteiligt sein. Unterscheiden Sie diese Parteien in Ihrer Übersicht und notieren Sie, was Ihrer Kenntnis nach jede Partei empfängt, verarbeitet, speichert, weiterleitet oder verfügbar macht. Klären Sie Fragen zu Verantwortlichkeiten und Kontrollen mit der jeweiligen Partei und innerhalb Ihrer Organisation.

webchat.vip bietet einen gemeinsamen Posteingang für Unterhaltungen über WebChat und WhatsApp sowie Werkzeuge zur Organisation von Mitarbeitenden, Abteilungen und Weiterleitungen. Automatisierte Abläufe können validierte Antworten erfassen, Verzweigungen enthalten und Gespräche an Mitarbeitende übergeben. Dies sind Plattformfunktionen; für sich genommen belegen sie nicht, wie ein Kanalanbieter Informationen verarbeitet, und ersetzen nicht die Prüfung durch Ihre Organisation.

webchat.vip erfasst betriebliche Analysen, Gesprächsprotokolle, Bewertungen und exportierbare Berichte. Dateien werden in einem isolierten Apification-Cloud-Unterkonto für jeden Omnichannel-Dienst gespeichert. Fragen zu Zugriff, Aufbewahrung, Löschung oder sonstiger Verarbeitung sollten Sie anhand von Informationen klären, die für Ihren geplanten Dienst und Arbeitsablauf gelten. Leiten Sie aus diesen Funktionen keine weiteren Details ab. Telegram ist ein architektonischer Erweiterungspunkt und kein aktiver Produktionskanal.

• Organisation: Welche Zwecke, Arbeitsabläufe, Mitarbeiterrollen und internen Richtlinien gelten für die geplante Nutzung?
• Messaging-Plattform: Welche Informationen können Sie über Plattformfunktionen und Vereinbarungen erhalten, die für die einzelnen Phasen Ihrer Übersicht relevant sind?
• Kanalanbieter: Welche Fragen zur Verarbeitung von Nachrichten, Anhängen, Kontodaten sowie zur Aufbewahrung oder Löschung müssen Sie dem Anbieter separat stellen?
• Weitere Ziele: Werden im geplanten Arbeitsablauf tatsächlich Daten an ein internes System oder einen anderen Dienst gesendet, der in die Übersicht gehört?

Machen Sie aus offenen Punkten konkrete Fragen

Nutzen Sie die Übersicht, um Fragen für Ihre eigene Prüfung sowie an den zuständigen Anbieter oder Kanalanbieter zu formulieren. Bitten Sie um Unterlagen oder schriftliche Erläuterungen, die sich auf den geplanten Dienst, Kanal und Arbeitsablauf beziehen. Wenn eine Antwort die Frage nicht abdeckt, halten Sie den Punkt als nicht bestätigt fest, statt ihn als geklärt zu behandeln.

Die folgenden Fragen sind Beispiele und keine Aussage darüber, dass eine bestimmte Kontrolle oder ein bestimmtes Dokument existiert. Ihre Organisation kann entscheiden, welche Fragen für den eigenen Prüfungsumfang relevant sind und welche Nachweise vor dem weiteren Vorgehen benötigt werden.

• Zugriff: Welche Informationen gibt es zu Zugriffsmöglichkeiten, Rollen oder Berechtigungen der Mitarbeitenden für den geplanten Dienst?
• Weitere Parteien und Speicherung: Welche Parteien oder Speichervereinbarungen sollte Ihre Organisation für diesen Ablauf kennen, und welche Einschränkungen des Geltungsbereichs gelten?
• Aufbewahrung und Löschung: Welche Informationen gibt es zu Unterhaltungen, Dateien, Berichten und Exporten, und welche Parteien beschreiben die jeweiligen Prozessschritte?
• Vorfälle: Welche dokumentierten Informationen gibt es zum Umgang mit Vorfällen, zu Benachrichtigungen und zu Ansprechpartnern?
• Exporte: Was kann exportiert werden, wer kann einen Export veranlassen und welches interne Verfahren gilt für exportierte Kopien?
• Geltungsbereich: Beziehen sich die Antworten auf die konkreten Kanäle, Dienste und Arbeitsabläufe in Ihrer Übersicht?

Prüfen Sie Erfassung und Zugriff im Hinblick auf Ihren Arbeitsablauf

Nutzen Sie die Übersicht als Anlass, zu prüfen, ob jedes Datenelement in Ihrem Arbeitsablauf einem klaren Zweck dient. Fragen Sie zum Beispiel, ob sich eine Anfrage auch ohne einen bestimmten Anhang oder eine bestimmte Antwort bearbeiten ließe und ob Kunden eine geeignete Alternative haben. Ihre Organisation sollte diese Fragen im jeweiligen Kontext bewerten.

Teams können mit webchat.vip Mitarbeitende, Abteilungen, Weiterleitungen, Zeitpläne, Service-Level, Vorlagen und Tags organisieren. Überlegen Sie, welche Rollen in Ihrer eigenen Einrichtung welche Informationen und Handlungsmöglichkeiten benötigen, und fragen Sie dann, ob die geplante Konfiguration und die verfügbaren Unterlagen dieses Modell abdecken. Behandeln Sie eine Produktfunktion allein nicht als Nachweis dafür, dass ein bestimmter Zugriffsansatz angemessen ist.

• Lässt sich die Anfrage bearbeiten, ohne diese Information zu erfassen?
• Welche Mitarbeitenden müssen für ihre Arbeit die Unterhaltung, Anhänge oder sensiblen Details sehen?
• Welches interne Verfahren sollte gelten, wenn Mitarbeitende Informationen exportieren?
• Wie übergibt Ihr Arbeitsablauf eine Unterhaltung an eine Person, wenn ein automatisierter Ablauf das Anliegen eines Kunden nicht bearbeiten kann?

Nutzen Sie die Übersicht für die Startprüfung Ihrer Organisation

Wenn Ihre Organisation eine Prüfung vor dem Start durchführt, kann die Übersicht helfen, offene Fragen zu erkennen. Sie könnten für jeden Punkt die betroffenen Daten und Prozessphasen, die angeforderten Informationen oder Nachweise, eine verantwortliche Person und einen Zieltermin festhalten. Ihre Organisation kann entscheiden, welche Punkte vor dem Start geklärt werden müssen und welche im Rahmen einer genehmigten Nachbearbeitung erledigt werden können.

Eine Datenflussübersicht ist eine Grundlage für eine Entscheidung, aber kein Nachweis dafür, dass eine Einrichtung sicher oder geeignet ist. Wenn ein für Ihre Organisation wichtiger Zielort, Zugriffsweg oder eine Erwartung zur Löschung unklar bleibt, kann die zuständige Person entscheiden, ob der Arbeitsablauf ausgesetzt oder eingegrenzt und eine weitere Prüfung eingeholt werden soll.

• Welche Kanäle, Datentypen, Zwecke und Details des Arbeitsablaufs fallen in den Prüfungsumfang?
• Sind wichtige Teile des Datenflusses noch nicht bestätigt, und wer kümmert sich um die Klärung?
• Wann sollte die Übersicht erneut geprüft werden, zum Beispiel bei Änderungen an Kanälen, automatisierten Abläufen, Abteilungen, Anbietern, Exporten oder Datennutzungen?
• Wer in Ihrer Organisation sollte offene Fragen zu Datenschutz, Sicherheit, Dienstverhalten oder Dokumentation prüfen?
• Wer darf entscheiden, ob ein Arbeitsablauf ausgesetzt oder geändert wird, wenn neue Informationen außerhalb des geprüften Umfangs liegen?