Artikel über: Benutzer, Rollen & Berechtigungen

Advanced Permission Concept (APC): So konfigurieren Sie Rollen mit Regeln

Ihr Vorteil

Eine einzige APC-Rolle ersetzt häufig mehrere fast-identische Standard-Rollen. Was im Standard-Konzept 15 Rollen verlangt (3 Länder × 5 Funktionen), bilden Sie im APC oft in einer ab. Über die verfügbaren Bedingungstypen können Sie auf Vertragsfelder wie Status, Vertragspartner oder Laufzeitart filtern — das spart Pflegeaufwand und macht das Berechtigungs-Modell skalierbar.

Voraussetzungen

APC ist im Enterprise-Plan enthalten und lässt sich darüber hinaus als separates Modul hinzubuchen. Es ist nicht Bestandteil der Mehrmandantenfähigkeit — beide Module lassen sich unabhängig voneinander nutzen.
APC muss für Ihre Organisation aktiv geschaltet sein — ein Wechsel von Standard auf APC läuft über das Customer-Experience-Team.
Sie benötigen Eigentümer-Status in Ihrer Organisation, um Rollen anzulegen oder zu ändern.

Grundprinzipien

Inclusion-only: Sie definieren, was eine Rolle sehen oder bearbeiten darf — es gibt keine „Verbotsregeln". Was keine Regel abdeckt, ist nicht sichtbar.
Zwei Zugriffsstufen: Lesen und Bearbeiten/Voll (Bearbeiten schließt Lesen ein). „Kein Zugriff" ist im APC keine wählbare Stufe — es ist das Fehlen einer passenden Regel.
Großzügigste Berechtigung gewinnt: Mehrere Regeln pro Rolle sind ODER-verknüpft. Mehrere Rollen pro Person sind ODER-verknüpft. Bearbeiten überschreibt Lesen.

So funktioniert's

1. Rollen-Bereich öffnen

Navigieren Sie zu Einstellungen.

In der linken Seitenleiste finden Sie unter Organisation den eigenen Menüpunkt Rollen. Dort öffnet sich die Karte „Mitgliederrollen (X)" mit dem Untertitel „Rollen festlegen und verwalten, um Organisationszugriff zu steuern".

Neu seit August 2026: Mitglieder, Rollen und Änderungsprotokoll sind eigene Einträge in der Seitenleiste. Vorher lagen sie als Karten innerhalb der Seite „Details zur Organisation".

2. Neue Rolle anlegen

Klicken Sie auf „+ Neue Rolle hinzufügen". Der Dialog „Neue Rolle erstellen" öffnet sich. Tragen Sie oben einen sprechenden Rollennamen ein (z. B. „Legal Vollzugriff" oder „Finance EU – aktive Verträge").

3. Erste Regel definieren

Unter „Regeln:" sehen Sie eine erste Karte mit dem Default-Namen „Regel #1". Den Regelnamen können Sie überschreiben — empfohlen, wenn Sie mehrere Regeln pro Rolle planen.

In der Sektion „Bedingungen:" definieren Sie, wann die Regel greift. Standardmäßig steht hier:

WENN Kategorie ist [Option auswählen]

Über das linke Dropdown wählen Sie das Filterkriterium. Verfügbar sind aktuell 9 Bedingungstypen (alle statisch — sie filtern auf den Wert direkt am Vertrag, nicht am Mitglied):

Bedingungstyp	Typische Werte
Kategorie	Ihre angelegten Vertragskategorien (Arbeitsvertrag, NDA, …)
Status	Aktiv, Entwurf, Inaktiv, Gekündigt, Beendet
Team	Ihre Teams in der Organisation
Laufzeitart	Befristet, Unbefristet, …
Vertragspartner	Ihre Kontakte / Unternehmen
Zahlzyklus	Monatlich, Jährlich, Einmalig, …
Zahlungsart	Überweisung, Lastschrift, …
Art des Vertrages	Ihre Vertragsarten
Art	Allgemeines Art-Feld

Über das rechte Dropdown „Option auswählen" wählen Sie die konkreten Werte. Mit dem „+"-Symbol rechts neben einem ausgewählten Wert ergänzen Sie weitere Werte (z. B. Status ist Aktiv ODER Gekündigt).

Mit „+ Bedingung hinzufügen" kombinieren Sie mehrere unterschiedliche Bedingungen in derselben Regel (UND-verknüpft). Beispiel: Kategorie ist NDA UND Status ist Aktiv UND Team ist Legal.

4. Zugriffsstufe festlegen

Wählen Sie unter „Zugriffsstufe:" per Radio-Button:

Voll (lesen, schreiben & löschen) — vollständiger Zugriff auf Verträge, die der Bedingung entsprechen. In der Rollen-Übersicht erscheint diese Stufe als Vollzugriff.
Leserechte — Sicht auf die Verträge, aber keine Bearbeitung oder Löschung. In der Übersicht als Lesezugriff.

Trifft auf einen Vertrag keine Regel zu, hat die Rolle dort keinen Zugriff — das ist die sichere Default-Logik.

5. Weitere Regeln hinzufügen (das eigentliche APC-Feature)

Klicken Sie unter den Regeln auf „+ Neue Regel", um eine zweite Regel anzulegen.

Mehrere Regeln in einer Rolle werden „oder"-verknüpft: Trifft auf einen Vertrag mindestens eine Regel zu, bekommt die Person den dort definierten Zugriff. Überschneiden sich Regeln, gewinnt die großzügigere Berechtigung (Voll überschreibt Leserechte).

Typische Kombinationen:

Regel #1: Status ist Aktiv → Leserechte (aktive Verträge aller Kategorien sehen)
Regel #2: Kategorie ist Lieferantenvertrag UND Team ist Procurement → Voll (eigene Verträge schreiben)

Eine Rolle mit zwei Regeln = „Aktive Verträge lesen, eigene Lieferantenverträge schreiben". Im Standard-Konzept wären dafür mehrere separate Rollen nötig.

6. Rolle speichern

Klicken Sie unten rechts auf „Erstellen". Die Rolle erscheint in der Mitgliederrollen-Liste und kann ab jetzt neuen oder bestehenden Mitgliedern zugewiesen werden.

Dynamic-Regeln innerhalb von APC

Die oben genannten 9 Bedingungstypen sind alle statisch — Sie hinterlegen feste Werte, die direkt am Vertrag verglichen werden. Wenn Zuständigkeiten an einzelne Personen gebunden sind (typischer Fall: Account Manager mit eigenen Kunden-Pools), nutzen Sie zusätzlich Dynamic-Regeln.

So funktionieren Dynamic-Regeln:

Am Mitglied werden personenbezogene Werte hinterlegt — aktuell die Partner & Accounts (Vertragspartner) dieser Person.
Die Dynamic-Regel referenziert diese Werte: „Vertragspartner = Partner & Accounts des Mitglieds".
Beim Login sieht jede Person nur die Verträge, deren Vertragspartner mit ihren hinterlegten Werten übereinstimmen.

Wichtig:

Dynamic ist kein eigenständiger Modus — sie funktioniert nur innerhalb von APC.
Dynamic ist ein eigenes Zusatzmodul zum APC und muss separat freigeschaltet werden.
Strukturierte Listenfelder erforderlich (kein Freitext, keine Checkbox).
Personenbezogenes Matching aktuell auf „Partner & Accounts (Vertragspartner)" beschränkt. Weitere personenbezogene Felder auf Anfrage.

Was Dynamic NICHT ist:

Bedingungen auf „Standort", „Ersteller/Uploader" oder „Wertebereiche" sind normale statische APC-Regeln — die filtern auf einen festen Wert am Vertrag, kein automatisches Pro-Person-Matching.

Häufige Fragen

In welchem Paket ist APC enthalten?

APC ist Bestandteil des Enterprise-Plans. Unabhängig davon lässt es sich als separates Modul hinzubuchen — sprechen Sie dazu Ihren Customer Success Manager an oder schreiben Sie an support@contracthero.com.

Brauche ich die Mehrmandantenfähigkeit, um APC nutzen zu können?

Nein. APC und die Mehrmandantenfähigkeit (mehrere Gesellschaften in einer Organisation) sind zwei voneinander unabhängige Module. Sie können APC nutzen, ohne mehrere Gesellschaften abzubilden — und umgekehrt.

Gibt es im APC auch die Stufe „Schreiben" wie bei den Standard-Rollen?

Nein. Standard-Rollen kennen seit August 2026 vier Stufen (Kein Zugriff, Leserechte, Schreiben, Voll). Im APC gibt es weiterhin zwei Stufen: Leserechte und Voll. „Kein Zugriff" entsteht im APC dadurch, dass keine Regel greift.

Welche Bedingungstypen kann APC?

Aktuell 9 statische Bedingungstypen: Kategorie, Status, Team, Laufzeitart, Vertragspartner, Zahlzyklus, Zahlungsart, Art des Vertrages und Art. Mehrere Werte pro Bedingung sind möglich (ODER innerhalb einer Bedingung), mehrere Bedingungen pro Regel sind UND-verknüpft, mehrere Regeln pro Rolle sind ODER-verknüpft. Zusätzlich gibt es Dynamic-Regeln für personenbezogenes Matching.

Wie verkettet APC mehrere Regeln in einer Rolle?

„Oder"-Logik mit höchster Berechtigung gewinnt. Trifft mindestens eine Regel auf einen Vertrag zu, hat die Person Zugriff. Sind mehrere Regeln auf denselben Vertrag anwendbar, setzt sich die großzügigste Zugriffsstufe durch (Voll vor Leserechte).

Kann eine Person mehrere Rollen tragen?

Ja. Die Sichtbarkeiten werden als Vereinigungsmenge addiert — eine Person mit den Rollen „Finance" und „Procurement" sieht alle Verträge, die mindestens eine der beiden Rollen freigibt. Auch hier gilt: höchste Berechtigung gewinnt.

Was passiert, wenn ich eine Regel oder Bedingung lösche?

Die Änderung wirkt sofort. Mitglieder mit dieser Rolle verlieren oder gewinnen die entsprechenden Zugriffe beim nächsten Seitenrefresh. Die Vertragsdaten selbst bleiben unverändert.

Kann ich „alles außer X" verbieten?

Nein. ContractHero arbeitet ausschließlich mit Inclusion-Logik — Sie definieren, was eine Rolle sieht, nicht was sie nicht sehen darf. „Alle Stati außer Entwurf" bilden Sie ab, indem Sie Status ist Aktiv ODER Inaktiv ODER Gekündigt ODER Beendet in einer Bedingung einschließen.

Was ist der Unterschied zwischen einer statischen APC-Bedingung und Dynamic?

Statische Bedingungen vergleichen Vertragswerte mit festen Werten in der Regel (z. B. Vertragspartner ist Acme GmbH). Dynamic-Regeln vergleichen Vertragswerte mit personenbezogenen Werten am Mitglied — die Regel ist dieselbe für alle Personen, aber das Ergebnis pro Person individuell.

Unterstützen Sie beim Setup?

Ja. Beim Onboarding gehen wir Ihr APC-Modell gemeinsam durch — viele Kunden senden uns vorab eine Excel-Tabelle (Personen × Kategorien/Teams × Zugriffsstufe), daraus bauen wir die Rollen-Struktur auf.

Gut zu wissen

Sprechende Regelnamen sparen später Zeit. „Aktive Verträge lesen", „Lieferanten schreiben", „Entwurfs-Bereich" sind später wiederfindbar — „Regel #2" nicht.
Status-Bedingung ist mächtig. Eine Rolle, die nur „Status ist Aktiv" sieht, blendet alte Entwürfe und beendete Verträge automatisch aus. Praktisch für externe Auditoren oder rotierende Verantwortliche.
Klein starten, dann erweitern. Beginnen Sie mit einer Regel pro Rolle, testen Sie das Verhalten, und ergänzen Sie weitere Regeln nur, wenn der Anwendungsfall es verlangt. Komplexe Regelketten sind schwerer zu debuggen.
Or-Logik bewusst nutzen. Die zweite Regel mit „Voll" auf einer breiten Kategorie überschreibt vorhandene Lese-Restriktionen — das kann gewollt sein, ist aber häufig ein Stolperfall bei Audits.
Eigentümer brauchen keine Rolle. Wer Eigentümer ist, hat automatisch vollen Zugriff auf alles — eine zusätzliche APC-Rolle bringt nichts und stiftet nur Verwirrung.
Default ist „kein Zugriff". Was keine Regel abdeckt, ist nicht sichtbar — sicherheitsbewusste Default-Logik, aber bedeutet auch, dass Sie beim Anlegen einer Rolle aktiv definieren müssen, was sichtbar werden soll.
Dynamic ist mächtig und still. Eine fehlerhaft konfigurierte Dynamic-Regel meldet keinen Fehler, sondern führt zu falscher Sichtbarkeit. Testen Sie nach jeder Änderung mit einem realen Mitgliedskonto.