Was mit den Gesundheitsdaten Ihrer Belegschaft passiert

Rechenzentrum in Frankfurt am Main

Die Plattform läuft bei DigitalOcean in der Region Frankfurt (EU). Dort liegen auch die Datenbank – eine von DigitalOcean verwaltete PostgreSQL-Datenbank – und die Dateien, die Sie hochladen.

Zahlungsdaten bleiben bei Stripe

Bezahlt wird über Stripe. Kartendaten liegen dort, nicht bei uns.

Zertifikate des Rechenzentrums, nicht von EasyBGM: DigitalOcean nennt für den Standort Frankfurt (FRA1) unter anderem ISO 27001 und SOC 2 Type II. Quelle: DigitalOcean, Certification Reports

Jede Firma sieht nur ihre eigenen Daten

Jede Anfrage wird gegen die Firma des angemeldeten Kontos geprüft. Zusätzlich schränkt die Anwendung ihre Datenbankabfragen auf diese Firma ein. Fehlt diese Zuordnung, kommt nichts zurück.

Rollen je Funktion

Manager richten ein und verantworten die Personalthemen, Redakteure betreiben den Alltag. Für jede Funktion ist festgelegt, ab welcher Rolle man sie sehen oder ändern darf. Geprüft wird auf dem Server, nicht nur in der Oberfläche.

Lesezugang für die Geschäftsführung

Die Geschäftsführung kann einen Zugang bekommen, der nur die Kennzahlen für die Geschäftsführung lesen darf – sonst nichts.

Auswertungen erst ab fünf Personen

Befragungen und Gruppenauswertungen zeigen Werte erst, wenn mindestens fünf Personen dahinterstehen. Kleinere Gruppen werden ausgeblendet – auch dann, wenn man sie sonst aus der Summe zurückrechnen könnte.

BEM bleibt vertraulich

Mails zum BEM haben einen neutralen Betreff. Erinnerungen an die Personalabteilung enthalten keine Fall-, Gesprächs- oder Maßnahmendaten, nur den Namen des Empfängers, ein Datum und den Link in die Plattform.

BEM-Inhalte werden gelöscht

Die Inhalte eines BEM-Verfahrens werden drei Monate nach seinem Ende gelöscht, der ganze Vorgang nach drei Jahren. Dazwischen bleibt nur, wann eingeladen wurde und wie die Person reagiert hat.

Die KI sieht nur, was Sie freigeben

Im KI-Datenschutz-Cockpit legen Sie je Datenart fest, was die KI-Assistenz sehen darf. Die Namensliste der Belegschaft ist ab Werk gesperrt. BEM-Daten sind für die KI immer gesperrt und lassen sich nicht freischalten.

Zugangsdaten verschlüsselt

Zugangsdaten zu Ihren HR-Systemen speichern wir verschlüsselt (AES-256-GCM).

Anmelden mit Passkey

Statt mit einem Passwort können Sie sich mit einem Passkey anmelden – per Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Abgewiesene Anmeldungen werden protokolliert

Jeder abgewiesene Anmeldeversuch wird festgehalten. Häufen sie sich, bekommen wir eine Alarm-Mail.

Penetrationstests

Wir prüfen die Plattform mit Penetrationstests auf Schwachstellen.

Automatische Tests vor jeder Auslieferung

Vor jeder neuen Version prüfen automatische Tests unter anderem, dass eine Firma nicht an die Daten einer anderen kommt.

Direkte Anbindung an Ihr HR-System

Personio, rexx, Factorial, Lucca und Kombo verbinden Sie direkt. Mitarbeitende und Fehlzeiten kommen dann per Abgleich aus dem HR-System, statt abgetippt zu werden. Welche Anbindungen enthalten sind, hängt vom Tarif ab.

DATEV-Datei hochladen

Ohne Schnittstelle laden Sie Mitarbeitende und Fehlzeiten als DATEV-Datei hoch.

Unbekannte Fehlzeiten zählen nie als Krankheit

Liefert das HR-System eine Fehlzeitenart, die die Plattform nicht kennt, wird sie übersprungen – nie als Krankheit gezählt.

Dienstleister, die Daten verarbeiten

Nicht alles läuft in Frankfurt. Diese Dienstleister verarbeiten Daten für die Plattform:

• DigitalOceanHosting, Datenbank und Dateien · Frankfurt (EU)
• CloudflareNamensauflösung (DNS) und verschlüsselte Verbindung für Website, App und Schnittstelle: Jede Anfrage an die Plattform läuft über Cloudflare · USA
• ResendVersand der E-Mails der Plattform · USA. Der Vertrag mit Resend ist nicht für besonders geschützte Daten vorgesehen – deshalb stehen in BEM-Mails keine Fall- oder Gesprächsinhalte.
• StripeZahlungsabwicklung
• KI-AnbieterKI-Funktionen wie Assistenz und Übersetzungen. Welches Modell antwortet, stellen wir als Betreiber ein: Flower Labs (Hamburg) und Mistral AI (Paris) in der EU oder OpenAI und Anthropic in den USA. Was die KI über Ihre Belegschaft sehen darf, legen Sie im KI-Datenschutz-Cockpit fest. Das Live-Sprachgespräch läuft über OpenAI (USA) – nur, wenn Ihre Firma es einschaltet und die Übermittlung bestätigt.

Neue Unterauftragsverarbeiter kündigen wir vier Wochen vorher an. Anbindungen, die Sie selbst einschalten – etwa Slack oder Microsoft Teams –, laufen über den jeweiligen Anbieter.