Mitarbeiter scheidet aus: Odoo-Zugänge richtig sperren

Warum das kein freiwilliger Schritt ist

Der Zugang ausscheidender Personen gehört zur Datensicherheit. In Deutschland und Österreich verlangt Art. 32 Abs. 1 DSGVO geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau; Abs. 4 verlangt Schritte, damit Beschäftigte mit Datenzugang diese nur auf Anweisung verarbeiten. Den Grundsatz nennt Art. 5 Abs. 1 Buchst. f DSGVO; die Verordnung gilt seit 25. Mai 2018. In der Schweiz verlangt Art. 8 Abs. 1 DSG eine dem Risiko angemessene Datensicherheit (in Kraft seit 1. September 2023).

Archivieren beendet den Zugang, ist aber keine Löschung: Wann Daten zu löschen sind, sagt in der EU Art. 5 Abs. 1 Buchst. e DSGVO, in der Schweiz Art. 6 Abs. 4 DSG.

Angaben, die im Folgenden als Community-Quellcode gekennzeichnet sind, belegt der öffentliche Zweig 20.0; sie werden hier nicht auf Enterprise übertragen.

Was Sie vorab brauchen

• Ein Benutzerkonto mit dem Recht Administration: Zugriffsrechte. Benutzer und Rechte verwaltet ein Administrator; die Dokumentation warnt vor Fehlern, nach denen niemand mehr Rechte ändern kann, und empfiehlt dafür Odoo-Support oder einen Business Analyst (Odoo 20.0, Access rights). Aufbau von Benutzern und Rollen: Benutzer anlegen und Gruppen vergeben.
• Den letzten Arbeitstag und die Nachfolge für Aufgaben und Kontakte.
• Eine Liste der Zugänge: Benutzerkonto, Portalzugang, API-Schlüssel, E-Mail-Adresse, Mitarbeiterdatensatz.
• Den Austrittsplan, wenn Sie das Personalmodul nutzen: Personal ‣ Konfiguration ‣ Eintritt-/Austrittsphase (Odoo 20.0, Offboarding).
• Die Gewissheit, dass nach dem Austritt noch ein zweiter Administrator Rechte ändern darf.

Schritt für Schritt: Zugänge schließen

Schritt 1: Offene Aktivitäten übergeben

Aktivitäten hängen an einem Datensatz; daneben gibt es persönliche Aktivitäten ohne Datensatz. Die Dokumentation verlangt beim Austritt, die offenen Aktivitäten abzuschließen (Odoo 20.0, Offboarding, Abschnitt Offboarding).

Wo Aktivitäten anstehen, zeigt Odoo so:

• Die Liste aller geplanten Aktivitäten erreichen Sie über das Uhr-Symbol rechts oben in der Kopfzeile; sie ist nach App gruppiert und nennt je Gruppe die Zahl der überfälligen, der heute fälligen und der künftigen Aktivitäten (Odoo 20.0, Activities, Abschnitt All scheduled activities). Im Community-Zweig 20.0 zeigt sie nur die Aktivitäten des angemeldeten Kontos: Die Übersicht sucht Aktivitäten mit „Zugewiesen an“ = eigenes Konto (Community-Quellcode 20.0, addons/mail/models/res_users.py, _get_activity_groups, und addons/mail/static/src/core/web/activity_menu.js). Für die Aufgaben der ausscheidenden Person ist sie deshalb nicht geeignet.
• Die Aktivitätenansicht einer App, sofern die App eine hat, öffnen Sie ebenfalls über das Uhr-Symbol rechts oben in der Menüleiste. Spalten sind die Aktivitätsarten, Zeilen die Datensätze; grün steht für künftig, orange für heute, rot für überfällig (ebenda, Abschnitt Activity view).

Im Community-Zweig 20.0 gibt es zusätzlich die Aktivitätsübersicht: Einstellungen ‣ Technisch ‣ Aktivitäten. Sie liegt im technischen Menü und erscheint daher erst im Entwicklermodus (Einstellungen ‣ Entwicklertools ‣ Entwicklermodus aktivieren; Odoo 20.0, Developer mode). Der Eintrag listet die Aktivitäten, die Ihr Konto lesen darf (Community-Quellcode 20.0, addons/mail/security/ir.access.csv und addons/mail/views/mail_menus.xml). Der mitgelieferte Filter „Meine Aktivitäten“ führt hier nicht zum Ziel: Er setzt „Zugewiesen an“ auf das angemeldete Konto und zeigt damit Ihre eigenen Aufgaben, nicht die der ausscheidenden Person (Community-Quellcode 20.0, addons/mail/views/mail_activity_views.xml). Entfernen Sie den Filter und suchen Sie stattdessen im Suchfeld „Zugewiesen an“ (Assigned to) nach dem Benutzer der ausscheidenden Person; die Aktivitäten lassen sich über denselben Eintrag auch nach „Zugewiesen an“ gruppieren (ebenda).

Hängen Sie jede offene Aufgabe um: Beim Planen einer Aktivität ist das Feld „Zugewiesen an“ (Assigned to) mit dem eigenen Benutzer vorbelegt und lässt sich auf eine andere Person umstellen (Odoo 20.0, Activities, Abschnitt Schedule Activity form).

Was danach noch auf die Person zeigt, behandelt der Community-Zweig 20.0 beim Archivieren selbst: Aktivitäten an Datensätzen werden freigegeben (Feld „Zugewiesen an“ leer) oder dem Ersteller zugewiesen, persönliche Aktivitäten ohne Datensatz löscht Odoo (Community-Quellcode 20.0, addons/mail/models/res_users.py, action_archive). Verlassen Sie sich darauf nicht. Endzustand: keine offene Aktivität auf ihren Namen.

Schritt 2: Benutzer archivieren

Öffnen Sie Einstellungen ‣ Benutzer & Unternehmen ‣ Benutzer, setzen Sie links das Kontrollkästchen vor dem Benutzer, wählen Sie Aktionen und dann Archivieren und bestätigen Sie den Dialog (Odoo 20.0, Users, Deactivate users). Das ist der von Odoo beschriebene Weg, einen Zugang stillzulegen. Der Benutzer bleibt in Datensätzen, im Chatter und in Protokollen sichtbar; das erhält die Nachvollziehbarkeit.

In einer Enterprise-Datenbank zählt auch der Abonnementplatz: Die Dokumentation nennt das Deaktivieren von Benutzern als Weg, wenn mehr Benutzer angelegt sind als im Abonnement vorgesehen, und räumt ab der Meldung 30 Tage ein, bevor die Datenbank abläuft (Odoo 20.0, Users, Error: too many users).

Schritt 3: Sitzungen und Geräte abmelden

Im Community-Zweig 20.0 beendet das Archivieren laufende Anmeldungen: Odoo bildet den Sitzungsschlüssel unter anderem aus dem Feld active und verlangt für die Anmeldung ein aktives Konto (Community-Quellcode 20.0, odoo/addons/base/models/res_users.py, _get_session_token_fields und _check_uid_passwd); mit dem Archivieren ändert sich der Wert, und die alte Sitzung ist nicht mehr gültig. Prüfen Sie das an einem Testbenutzer.

Den zweiten Weg beschreibt die Dokumentation aus Sicht der Person: Meine Präferenzen ‣ Reiter Sicherheit zeigt die angemeldeten Geräte, „Abmelden“ entfernt ein Gerät nach Bestätigung des Passworts (Odoo 20.0, Users, Revoke devices). Im Benutzerformular sind Geräte und API-Schlüssel nach dem Community-Quellcode 20.0 nur im eigenen Konto sichtbar (res_users_views.xml); klären Sie sie mit der Person, solange sie im Betrieb ist. Zur Absicherung siehe Zwei-Faktor und SSO.

Schritt 4: API-Schlüssel löschen

Ein API-Schlüssel wird für einen Benutzer erzeugt und gehört zu diesem Konto; die JSON-2-Schnittstelle prüft jeden Aufruf gegen die Zugriffsrechte, Datensatzregeln und Feldzugriffe dieses Benutzers sowie gegen den Scope und die Dauer des Schlüssels, nach deren Ablauf er ungültig ist (Odoo 20.0, External JSON-2 API, Abschnitte Access Rights, Key Generation und Manual Key Generation).

Im Community-Zweig 20.0 sind die Schlüssel eines archivierten Benutzers zusätzlich unwirksam: Die Prüfung verbindet die Schlüsseltabelle mit res_users und verlangt ein aktives Konto, den passenden Scope und ein nicht abgelaufenes Ablaufdatum (Community-Quellcode 20.0, odoo/addons/base/models/res_users.py, _check_apikey_credentials). Löschen Sie die Schlüssel trotzdem: Ein nicht gelöschter, noch nicht abgelaufener Schlüssel kann nach dem Reaktivieren des Benutzers wieder greifen (ebenda).

Nach dem Community-Quellcode 20.0 darf der Eigentümer und jeder Systembenutzer Schlüssel löschen (res.users.apikeys.remove); die Auflistung API Keys Listing ist auf die Gruppe Einstellungen beschränkt, einen Menüeintrag dazu belegen die geöffneten Dateien nicht (res_users_views.xml). Bitten Sie die Person, ihre Schlüssel vor dem letzten Tag unter Meine Präferenzen selbst zu entfernen; wie sie entstehen, steht in API-Schlüssel und Zugriff für Schnittstellen.

Schritt 5: Portalzugang entziehen

Kunden und Lieferanten mit Portalzugang sind Portalbenutzer, keine internen Benutzer; ihre Rechte sind vorgegeben und nicht je App einstellbar (Odoo 20.0, Users, User type). Öffnen Sie in der App Kontakte den Kontakt der Person, wählen Sie Aktionen und dann Portalzugriff gewähren; im Fenster „Portal-Zugriffsverwaltung“ entzieht der Knopf „Zugriff widerrufen“ den Zugang (Odoo 20.0, Granting portal access). Die Dokumentation nennt als Anlass ausdrücklich den Fall, dass jemand ausscheidet. Wird der Portalzugang für eine Firma gewährt, erhalten alle ihr zugeordneten Kontakte Zugang; einzelne Kontakte entfernen Sie dort einzeln.

Schritt 6: E-Mail und Benachrichtigungen umstellen

Erstens die Adresse im Benutzerdatensatz: An sie geht die Einladung und bei der Einstellung „Per E-Mail“ auch die Benachrichtigung zu Dokumenten (Odoo 20.0, Users; Community-Quellcode 20.0, addons/mail/models/res_users.py).

Zweitens die Aliasse: Aus einer E-Mail an einen Alias erzeugt Odoo einen neuen Vorgang, bei einem Verkaufsteam etwa eine neue Verkaufschance, die nach der Konfiguration des Teams zugewiesen wird (Odoo 20.0, Manage inbound messages, Abschnitt Email aliases). Tragen Aliasse die Adresse der Person, prüfen Sie daher den Alias selbst, die Zuständigkeit der daraus entstehenden Vorgänge und die Empfänger von Benachrichtigungen; wer eine Nachricht erhält, hängt von den Abonnenten des Datensatzes und ihren Benachrichtigungseinstellungen ab (Odoo 20.0, Communication in Odoo by email). Siehe Mail-Alias.

Drittens ein persönlicher Postausgangsserver, falls Ihre Datenbank ihn freigibt: Im Community-Zweig 20.0 erscheint das Feld „Postausgangsserver“ nur dann, und das Zurückstellen auf den Standardserver löscht den Eintrag (Community-Quellcode 20.0, addons/mail/models/res_users.py). Das Odoo-Konto bei Odoo S.A. bleibt unberührt: Eine Passwortänderung in der Datenbank gilt laut Dokumentation nur lokal, während über das Odoo-Konto die Seite „Meine Datenbanken“ erreichbar ist (Odoo 20.0, Users, Change user password).

Schritt 7: Mitarbeiterdatensatz und Personalprozess abschließen

Nutzen Sie das Personalmodul, dann bildet der Austritt dort einen eigenen Vorgang. Die Dokumentation beschreibt einen Austrittsplan unter Personal ‣ Konfiguration ‣ Eintritt-/Austrittsphase mit Schritten wie Wissensübergabe und Rückgabe von Material; Zutrittskarten und Schlüssel nennt sie im Beispiel, und sie verlangt, beim Austritt Mitarbeiterdatensatz und Aktivitäten abzuschließen (Odoo 20.0, Offboarding).

Im Community-Zweig 20.0 gehört zum Austritt das Fenster „Ende der Zusammenarbeit“ mit „Grund für Beendigung“, „Datum der Entlassung“ und „Mitarbeiter archivieren am“ (addons/hr/views/hr_employee_departure_views.xml). Im Community-Zweig 20.0 archiviert Odoo mit „Anwenden“ den Mitarbeiter und das verknüpfte Benutzerkonto. Ist die Person noch mit einem anderen aktiven Mitarbeiter verknüpft, bleibt das Konto aktiv, und Odoo meldet „Die folgenden Benutzer wurden nicht archiviert, da sie noch mit anderen aktiven Mitarbeitern verknüpft sind“ samt den Namen (addons/hr/models/hr_employee_departure.py, action_register). Die Dokumentation 20.0 beschreibt daneben ein Fenster mit Kontrollkästchen zum Schließen von Aktivitäten (Close Activities); prüfen Sie in Ihrer Datenbank, welches Fenster erscheint. Kontrollieren Sie danach die Benutzerliste; zu Mitarbeiterdaten siehe Mitarbeiterdaten in Odoo und der Datenschutz.

Checkliste für den Austritt

• Benutzer archivieren: Einstellungen ‣ Benutzer & Unternehmen ‣ Benutzer → Kontrollkästchen → Aktionen → Archivieren, bis das Band „Archiviert“ erscheint.
• Aktivitäten übergeben: Aktivitätenansicht der App prüfen und jede offene Aufgabe umhängen; die Liste am Uhr-Symbol zeigt im Community-Zweig 20.0 nur die Aktivitäten des angemeldeten Kontos und taugt dafür nicht. Im Community-Zweig 20.0 zusätzlich die Aktivitätsübersicht (Einstellungen ‣ Technisch ‣ Aktivitäten, Entwicklermodus) öffnen: dort den Filter „Meine Aktivitäten“ entfernen und über „Zugewiesen an“ nach dem Benutzer der ausscheidenden Person filtern.
• Schlüssel zurückholen: API-Schlüssel löschen (Eigentümer oder Systembenutzer, Community-Zweig 20.0), Geräte unter Meine Präferenzen ‣ Sicherheit abmelden, physische Schlüssel und Zutrittskarten zurücknehmen.
• Mail umstellen: Adresse, Aliasse und Empfänger der Benachrichtigungen prüfen, persönlichen Postausgangsserver zurückstellen, Zugang zum Odoo-Konto bei Odoo S.A. getrennt regeln.
• Portalzugang entziehen: Kontakte → Kontakt → Aktionen → Portalzugriff gewähren → „Zugriff widerrufen“.
• Personal abschließen: Austritt erfassen und anwenden, Mitarbeiterdatensatz archivieren.
• Rechte kontrollieren: mindestens zwei Administratoren behalten, die Zugriffsrechte ändern dürfen.

So prüfen Sie das Ergebnis

• Öffnen Sie den Benutzerdatensatz; im Community-Zweig 20.0 trägt das Formular das Band „Archiviert“ (Community-Quellcode 20.0, res_users_views.xml).
• Eine Anmeldung mit dem alten Login muss im Community-Zweig 20.0 scheitern, weil Odoo ein aktives Konto verlangt und das Feld active in den Sitzungsschlüssel eingeht (Community-Quellcode 20.0, odoo/addons/base/models/res_users.py).
• In der Aktivitätenansicht der App und, im Community-Zweig 20.0, in der Aktivitätsübersicht (Einstellungen ‣ Technisch ‣ Aktivitäten, Entwicklermodus) mit dem Filter „Zugewiesen an“ = Benutzer der Person darf keine Aktivität der Person mehr offen stehen. Die Liste am Uhr-Symbol taugt dafür nicht: Sie zeigt nur die Aktivitäten des angemeldeten Kontos (Community-Quellcode 20.0, addons/mail/models/res_users.py, _get_activity_groups).
• Ein Aufruf der JSON-2-Schnittstelle mit dem alten Schlüssel muss als Authentifizierungsfehler enden: HTTP 401 „Invalid apikey“ (Odoo 20.0, External JSON-2 API). Der Zugang zur externen API ist laut dieser Seite nur in den Custom-Tarifen enthalten, nicht in One App Free oder Standard (ebenda).
• Im Kontakt zeigt das Fenster „Portal-Zugriffsverwaltung“ den Knopf „Zugriff gewähren“, wenn der Zugang entzogen ist.

Wenn etwas nicht klappt

Symptom	Ursache	Lösung
Meldung „Die folgenden Benutzer wurden nicht archiviert …“ (Community-Zweig 20.0)	Person ist noch mit einem anderen aktiven Mitarbeiter verknüpft	Mitarbeiterdatensatz prüfen, Benutzer nötigenfalls einzeln archivieren
Schnittstelle arbeitet mit dem alten Schlüssel weiter	Der Schlüssel kann einem anderen Konto gehören und dort weiter gelten	Prüfen Sie, welchem Benutzer der Schlüssel gehört, und löschen Sie ihn bei diesem (Eigentümer oder Systembenutzer, Community-Zweig 20.0)
„Invalid apikey“ trotz gültigem Schlüssel	Im Community-Zweig 20.0 ist der Benutzer archiviert; die Prüfung verlangt ein aktives Konto	Benutzer reaktivieren oder einen anderen Benutzer verwenden
Benachrichtigungen gehen weiter an die Person	Adresse im Benutzerkonto oder Empfänger der Benachrichtigungen sind unverändert	Adresse, Aliasse und Abonnenten prüfen (Schritt 6)
Niemand kann Zugriffsrechte ändern	Der letzte Administrator wurde archiviert	Odoo-Support kontaktieren; künftig zwei Administratoren halten

Wann Sie Hilfe holen sollten

Holen Sie Odoo-Support oder Ihren Odoo-Partner dazu, wenn der letzte Administrator archiviert wurde, wenn Rechte oder Datensatzregeln in einer Datenbank mit mehreren Unternehmen geändert werden und wenn Sie den Austritt mit dem Personalmodul automatisieren wollen. Welche Daten zu löschen und welche aufzubewahren sind, entscheiden Ihre Steuerberatung und Ihre Datenschutzbeauftragte; das Vorgehen im Werkzeug beschreibt Daten in Odoo bereinigen und löschen.