HR-Daten sind diepersönlichsten Daten,die Sie haben.
Krankmeldungen, Gehalt, Gesprächsnotizen und Persönlichkeitsprofile liegen alle am selben Ort. Deshalb sind Zugriffskontrolle, Aufbewahrung und Nachvollziehbarkeit nichts, was nachträglich angebaut wird — sie sind Teil des Datenmodells.
Die Grundlagen
Drei Dinge, im Datenmodell verankert.
- Daten in der EUBetrieb und Speicherung finden vollständig auf Servern in der EU statt. Ein Auftragsverarbeitungsvertrag (AVV) wird standardmäßig unterzeichnet, und die Unterauftragsverarbeiter sind darin aufgeführt.
- Rollenbasierter ZugriffRollen werden bis auf Feldebene definiert. Eine Führungskraft sieht ihr eigenes Team, die Lohnbuchhaltung sieht Lohndaten, HR-Partner sehen ihre eigenen Einheiten. Niemand sieht mehr als nötig.
- Vollständiges Audit-LogJeder Blick in eine Mitarbeiterakte, jede Änderung und jeder Export wird mit Benutzer, Zeitstempel und Feld protokolliert. Das Log kann nicht bearbeitet werden.
Zugriff
So wenig Zugriff wie möglich, so viel wie nötig.
Berechtigungen werden pro Rolle und pro Feld vergeben — nicht pro Modul. Das ist der Unterschied zwischen einer Teamleitung, die sieht, dass jemand krank ist, und einer, die die Diagnose sieht.
- Rollen mit Berechtigungen bis auf einzelne Felder
- Eingrenzung auf eigene Abteilungen, Standorte oder juristische Personen
- Single Sign-on über Microsoft Entra ID
- Automatische Bereitstellung von Benutzern und Entzug beim Austritt
- Anonymitätsschwellen bei Pulsbefragungen, die Führungskräfte nicht umgehen können
- Simulationsansicht: sehen Sie genau, was eine bestimmte Rolle sehen kann
Aufbewahrung
Löschung, die von selbst geschieht.
Die DSGVO verlangt, dass Sie personenbezogene Daten nicht länger als nötig aufbewahren. In der Praxis ist das die Regel, gegen die die meisten Organisationen verstoßen — nicht absichtlich, sondern weil niemand zum Aufräumen kommt. Komma erledigt das automatisch.
- Aufbewahrungsfristen pro Datentyp: Bewerbende, Ausgeschiedene, Dokumente
- Automatische Löschung oder Anonymisierung nach Ablauf der Frist
- Ausnahmen, wo Gesetze eine längere Aufbewahrung verlangen
- Einwilligungsverwaltung für Bewerbende, mit Ablauf und Erneuerung
- Export Ihrer eigenen Daten in maschinenlesbarem Format, jederzeit
- Vollständiger Export und Löschung bei Vertragsende
Karma und Ihre Daten
Die KI ist eine Assistentin, keine Entscheiderin.
Es gibt gute Gründe, KI im HR skeptisch zu sehen. Das tun wir dagegen.
Fragen
Was Ihre IT- und Compliance-Teams meist fragen.
Wo genau werden die Daten gespeichert?
Auf Servern in der EU. Die konkreten Standorte und Unterauftragsverarbeiter stehen im Auftragsverarbeitungsvertrag, den wir Ihnen vor Vertragsunterzeichnung schicken — nicht danach.
Unterstützen Sie Single Sign-on?
Ja, über Microsoft Entra ID, mit automatischer Benutzerbereitstellung. Wird ein Konto in Entra geschlossen, wird gleichzeitig der Zugang zu Komma geschlossen.
Bekommen wir unsere Daten wieder heraus?
Ja, jederzeit und in maschinenlesbarem Format — nicht nur bei Kündigung. Bei Vertragsende erhalten Sie einen vollständigen Export, und die Daten werden dann nach der von Ihnen festgelegten Frist gelöscht.
Wer bei Komma kann unsere Daten sehen?
Zugriff auf Kundendaten erfordert einen konkreten Supportfall und wird protokolliert. Wir schauen nicht in Ihre Daten, um zu sehen, wie es läuft — und im Audit-Log sehen Sie, ob wir drin waren.
Wie gehen Sie mit Auskunftsersuchen um?
Mitarbeitende können ihre eigenen Daten direkt in der Plattform abrufen. Wenn Sie als Verantwortlicher ein Auskunftsersuchen beantworten müssen, können Sie alles zu einer Person in einem einzigen Export über alle Module zusammenstellen.
Sicherheit und Compliance
Ihre Daten bleiben in Europa.
In der EU gehostet, nach der DSGVO gebaut und bis auf das einzelne Feld prüfbar. Ihr Datenschutzbeauftragter sieht genau, wer was wann geändert hat.
Lesen Sie, wie wir mit Ihren Daten umgehenRollen und Berechtigungen
Legen Sie fest, was jede Rolle sehen und ändern kann
Single Sign-on
Microsoft Entra, eine Anmeldung für alle
Datenaufbewahrung
Datensätze löschen sich nach Ihrem Zeitplan selbst
Audit-Log
Jede Änderung wird mit Person und Zeitpunkt protokolliert
Zugriff simulieren
Sehen Sie das System genau so, wie eine andere Rolle es sieht
Möchten Sie zuerst über Compliance sprechen?
Wir treffen gern Ihre IT oder Ihren Datenschutzbeauftragten, bevor wir das Produkt überhaupt zeigen. Sie brauchen einen Auftragsverarbeitungsvertrag, Sicherheitsdokumentation oder Antworten auf einen Lieferantenfragebogen? Wir schicken es vor einer Demo.