Die vier Rollen
Administrator ("Volle Rechte inkl. Benutzerverwaltung") kann alles, was Sekretariat und Empfang können, und zusätzlich: Benutzer einladen, Rollen ändern und Zugänge entziehen; Mitarbeiter-Stammdaten und Dienstplan pflegen; die Buchungsmaske freischalten und gestalten (Buchungsseite); das Kartenterminal registrieren; die E-Mail-Absender-Kennung in den Betriebsdaten setzen; Schließzeiten in den Betriebszeiten anlegen. Jeder Betrieb braucht mindestens einen Administrator; der letzte ist geschützt.
Sekretariat ("Buchungen und Rechnungen") ist die Rolle für das Backoffice: Buchungen anlegen, ändern und stornieren; Gäste und Firmen anlegen und pflegen, Gäste anonymisieren; alle Stammdaten außer Mitarbeitern pflegen (Kategorien, Zimmer, Ratenpläne, Saisons, Preise, Inventar, Artikel, Labels, Tags, Betriebsdaten, Rechnungs-Stammdaten, Mahnstufen); Rechnungen stornieren, Mahnungen erzeugen, DATEV-Export, Kennzahlen und Beherbergungsstatistik; den Channel-Manager bedienen.
Empfang ("Tagesgeschäft (Check-in/-out, Zahlungen)") arbeitet mit bestehenden Buchungen: Zimmer zuweisen, ein- und auschecken, No-Show erfassen, Meldescheine, Posten auf das Folio buchen, Zahlungen am Terminal oder extern erfassen, Kautionen, Rechnungen und Sammelrechnungen ausstellen und versenden, Gast-Notizen, Tags und Labels vergeben, Zimmer sperren und fixieren, Tagesbemerkungen schreiben. Der Empfang legt keine neuen Buchungen an, ändert keine Stammdaten und storniert weder Buchungen noch Rechnungen.
Housekeeping ("Sieht nur Zimmerstatus und Dienstplan") ist die Rolle für das Reinigungsteam. Sie sieht nur Rezeption › Zimmerstatus und den Dienstplan (lesend), dazu das eigene Profil. Im Zimmerstatus darf sie alles: den Reinigungsstatus und die Notiz setzen, Zimmer sperren und die Sperre aufheben, die Reinigungsliste drucken. Gäste, Buchungen, Rechnungen, Zahlungen, Kasse, Kennzahlen, Zeiterfassung und Protokoll sieht sie nicht; auch im Zimmerstatus stehen keine Gastnamen, nur die Personenzahl. Nach der Anmeldung startet sie direkt im Zimmerstatus. Ruft sie eine andere Seite auf, etwa über ein Lesezeichen, erscheint "Kein Zugriff" mit dem Weg zurück zum Zimmerstatus.
Wie die Software Rechte durchsetzt
Rechte wirken auf drei Ebenen. Erstens blendet die Navigation aus, was der Rolle nicht zusteht: Der Empfang sieht weder die Rubriken Preise (mit Channel-Manager) und Berichte (DATEV-Export, Kennzahlen, Beherbergungsstatistik); in den Einstellungen sieht er nur Tags & Labels. Housekeeping sieht nur Zimmerstatus und Dienstplan, keine Einstellungen. Kacheln in den Einstellungen tragen das Abzeichen Nur Admin oder Nur Admin/Sekretariat und erscheinen nur für diese Rollen. Zweitens verbergen Bildschirme ihre Schreib-Bedienelemente: Der Empfang sieht Stammdaten wie Kategorien oder Preise lesend, ohne Buttons zum Anlegen und Speichern; Seiten wie Mitarbeiter oder Buchungsseite leiten andere Rollen ganz zum Dashboard um. Drittens, und das ist die harte Grenze, prüft die Datenbank jede Schreiboperation selbst (Row Level Security). Selbst wer eine Aktion technisch auslöst, erhält ohne passende Rolle eine Fehlermeldung wie "Keine Berechtigung für diesen Betrieb (nur Administrator)."
Die Rechte sind bewusst grob geschnitten: Es gibt keine Einzelrechte, keine Rechte je Bildschirm und keine eigenen Rollen. Wer nur reinigt, bekommt Housekeeping; wer mehr braucht als der Empfang, bekommt Sekretariat; wer Benutzer verwalten soll, Administrator.
Dienstplan und Zeiterfassung
Den Dienstplan sehen alle vier Rollen, ändern darf ihn nur der Administrator. Sekretariat, Empfang und Housekeeping bekommen eine Lesesicht mit dem Abzeichen Nur ansehen: Beginn und Ende der Dienste, zwei Wochen zurück und beliebig weit nach vorn. Frei, Krank, Urlaub und Schule stehen dort ohne Grund nur als "abwesend"; Vermerke, Wünsche und Notizen fehlen. Die Tabs Monat und Besetzung sehen Administrator und Sekretariat.
Die Zeiterfassung (nur mit dem Modul) bedienen Administrator und Sekretariat: Woche, Auswertung, Stundenzettel, Plan gegen Ist und Verstöße, Zeiten nachtragen und korrigieren, Monat prüfen und den Zoll-Nachweis erstellen. Den Tab Monatsabschluss mit Abschließen, Wieder öffnen und Lohnexport sieht nur der Administrator, ebenso Zeitregeln, Zeiterfassungs-Geräte und Mitarbeiter-Stammdaten. Empfang und Housekeeping sehen die Zeiterfassung nicht. Gestempelt wird am Gerät ohne Anmeldung, mit PIN oder Ausweis.
Rechte am Folio und im Tagesgeschäft
Auf dem Gästekonto darf der Empfang alles, was das Tagesgeschäft erfordert: Posten buchen, ändern und entfernen, Zahlungen erfassen, Rechnungen ausstellen und senden. Was nach der Ausstellung einer Rechnung passiert, ist dagegen Backoffice: Stornieren und neu Ausstellen, Erstatten und Mahnen bleiben Sekretariat und Administrator vorbehalten, weil sie in den Rechnungsnummernkreis und die Buchhaltung eingreifen (Rechnungsnummern und Storno (GoBD)).
Betriebsübergreifende Angaben
Anzeigename, Profilbild, E-Mail-Adresse und Passwort gehören zum Konto und gelten in allen Betrieben. Rolle und Standard-Betrieb gehören zur Mitgliedschaft. Wer den Zugang zu einem Betrieb verliert, behält Konto und andere Mitgliedschaften; Konten werden nicht gelöscht.
Plattform-Administratoren
Mitarbeitende von clavenda können einen Betrieb zu Support-Zwecken betreten. Das ist keine weitere Rolle im Betrieb, sondern ein eigener Zugang, der für höchstens acht Stunden Administratorrechte im betretenen Betrieb gibt, einen Grund verlangt und protokolliert wird. Während einer solchen Sitzung sieht die Support-Person selbst einen roten Balken Plattform-Modus mit Grund und Ablaufzeit; die Nutzer des Betriebs werden in der Software nicht benachrichtigt. Jedes Betreten steht im Plattform-Protokoll.
Grenzen
Es gibt keine Zwei-Faktor-Anmeldung, keine Anmeldung über Fremdkonten, am Rechner kein automatisches Abmelden nach Inaktivität (die mobile Ansicht sperrt sich nach 15 Minuten) und keine Übersicht aktiver Sitzungen. Passwörter müssen mindestens 8 Zeichen haben; weitere Regeln erzwingt die Software nicht. Änderungen an Buchungen, Rechnungen, Stammdaten und Mitgliedschaften werden mit der handelnden Person im Audit-Protokoll festgehalten (Audit-Trail und Nachvollziehbarkeit).