Sicherheit & Compliance
Sicherheit ist nicht optional. Bei uns auch nicht.
talenttrends ist von Grund auf für Enterprise-Sicherheitsanforderungen gebaut — mit dokumentierten technischen und organisatorischen Maßnahmen, klar geregelter Auftragsverarbeitung und einem Subprozessor-Stack, der zur Hosting-Wahl passt. Diese Seite gibt Ihnen die Informationen, die Sie für Procurement, Legal und InfoSec brauchen.
Datenresidenz
Wo Ihre Daten verarbeitet werden, bestimmen Sie
talenttrends verarbeitet personenbezogene Daten ausschließlich in den Regionen, die Sie wählen. Cross-Region-Datenflüsse finden grundsätzlich nicht statt — die einzige Ausnahme ist die LLM-Inference, die separat konfiguriert werden kann.
SaaS bei talessio
Hosting in Azure Germany West Central (Frankfurt, DE) oder STACKIT (Schwarz Digits, DE). Beide ausschließlich in der EU. Schrems-II-Risiko adressiert: STACKIT vollständig (kein US-Mutter), Azure über Microsoft-EU-Datenresidenz-Programm und vertragliche Standardvertragsklauseln.
In Ihrer Cloud
Datenresidenz folgt Ihrer Cloud-Subscription. Sie kontrollieren Region, Netzwerk und Verschlüsselung. Wir liefern die Plattform, Sie liefern die Umgebung.
On-Premises
Vollständige Datenresidenz in Ihrem Rechenzentrum. Keine Cross-Cloud-Datenflüsse, keine externen Subprozessoren — außer der LLM-Inference, falls Ask aktiv ist.
Auftragsverarbeitung
Ein AVV nach Art. 28 DSGVO inkl. transparenter Subprozessor-Liste
Wir liefern einen Standard-Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, ergänzt um technische und organisatorische Maßnahmen, Subprozessor-Liste und Datenschutz-Folgenabschätzungs-Beiträge. Der AVV ist im DACH-Markt etabliert und für Anpassungen offen, soweit sie zum gewählten Hosting-Modell passen.
Subprozessoren je Hosting-Modell
Funktion
SaaS Azure
SaaS STACKIT
In Ihrer Cloud
On-Premises
Plattform-Hosting
Microsoft Ireland Operations Ltd.
Schwarz Digits KG (GmbH & Co.)
Ihr Cloud-Provider
Keiner
LLM-Inference (talenttrends Ask)
Amazon Web Services EMEA SARL (Bedrock Frankfurt) und/oder Microsoft Ireland (Azure OpenAI)
Amazon Web Services EMEA SARL (Bedrock Frankfurt) und/oder Microsoft Ireland (Azure OpenAI)
Wahlweise dieselben oder eigenes Modell
Wahlweise dieselben oder eigenes Modell
E‑Mail-Versand
Microsoft Ireland Operations Ltd.
Provider Ihrer Wahl
Provider Ihrer Wahl
Provider Ihrer Wahl
Was im AVV geregelt ist: Zwecke der Verarbeitung, Datenkategorien, Betroffenenkreise, Speicherorte und ‑dauern, technische und organisatorische Maßnahmen (TOM), Subprozessor-Genehmigungsverfahren, Rechte und Pflichten beider Seiten, Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten.
TOM
Maßnahmen, die Art. 32 DSGVO erwartet — und mehr
Die technischen und organisatorischen Maßnahmen (TOM) folgen den Vorgaben des Art. 32 DSGVO und orientieren sich am Stand der Technik. Sie sind in unserem AVV vollständig beschrieben und werden mindestens jährlich überprüft und aktualisiert.
Verschlüsselung in Transit
Alle externen Verbindungen über TLS 1.2 oder höher. HTTP-Strict-Transport-Security aktiviert. Keine Klartext-Endpunkte für Plattform-Zugriffe.
Verschlüsselung at Rest
Customer-Credentials und sensible Datenfelder werden im Anwendungsbereich AES-256 verschlüsselt — zusätzlich zur Verschlüsselung der Hosting-Infrastruktur. Schlüssel werden in dedizierten Key-Management-Diensten (Azure Key Vault, STACKIT Vault) verwaltet.
Zugangs- und Zugriffskontrolle
Pflichtanmeldung mit Multi-Faktor-Authentifizierung für administrative Zugänge. Berechtigungskonzept mit Rollen-Trennung. Zero-Trust-Netzwerk-Zugänge für Operations-Mitarbeitende.
Trennung der Verarbeitung
Mandantenisolation auf Datenebene — jeder Datensatz trägt eine Mandantenkennung, Anfragen sehen ausschließlich die Daten des angefragten Mandanten. Separate Datenbanken pro Mandant.
Eingabe- und Verarbeitungs-Audit
Alle administrativen Aktionen und Datenzugriffe durch Endnutzer werden vollständig protokolliert — mit User, Zeitstempel, Aktion, Resultat. Retention nach Vertrag.
Datenschutz-Vorfälle
Etablierter Reaktionsprozess inkl. 72-Stunden-Meldung nach Art. 33 DSGVO. Forensik-Verfahren dokumentiert, Lessons-Learned-Schleife etabliert.
Identity
Authentifizierung über die Wege, die Sie heute betreiben
talenttrends integriert sich in Ihre bestehende Identity-Landschaft. Wir bringen keinen eigenen Identity-Provider mit und verlangen keine Schatten-Verwaltung — wir nutzen, was Sie haben.
Cornerstone
Micro Apps werden über Cornerstone OAuth 2.0 authentifiziert — dieselbe Anmeldung, die der Anwender für Cornerstone selbst nutzt. Kein zweites Login, kein zweites Passwort.
Enterprise SSO
SAML 2.0 und OpenID Connect für Administration und Plattform-Konfiguration. Anbindung an Microsoft Entra ID (Azure AD), Okta, andere IdPs auf Anfrage.
Mehrfaktor-Authentifizierung
Time-based One-Time-Passwords (TOTP), Authenticator-Apps, WebAuthn / Passkeys für administrative Konten. Erzwingbar je Rolle.
Berechtigungs-Durchreichung: Berechtigungen aus Cornerstone werden in den Micro Apps und talenttrends Ask-Anfragen vollständig durchgesetzt. Wer in Cornerstone bestimmte Daten nicht sehen darf, sieht sie auch in einer Micro App oder einer talenttrends Ask-Antwort nicht.
KI-Sicherheit
Was Ihr LLM sieht, was es nicht sieht und wie Sie das überprüfen können
talenttrends Ask und andere LLM-gestützte Funktionen arbeiten auf einer fest definierten Datenschnittstelle — nicht auf einem freien Zugriff zu Ihren HR-Daten. Was das LLM verarbeitet, ist transparent und nachvollziehbar.
Berechtigungs-basierte Datensicht
Jede Anfrage gegen die talenttrends Ask-Datenbasis wird mit den Berechtigungen des anfragenden Nutzers ausgeführt. Wer im Cornerstone-Portal nur seine Direct Reports sehen darf, sieht in talenttrends Ask auch nur seine Direct Reports.
PII-Schutz
Personenidentifizierbare Felder werden separat klassifiziert. Anfragen, die solche Felder unaggregiert ausliefern würden, werden mit einer klaren Nutzerrückmeldung abgelehnt. Sie können den Schutz pro Spalte konfigurieren.
Kein Modelltraining mit Ihren Daten
Vertraglich ausgeschlossen — sowohl bei AWS Bedrock als auch bei Azure OpenAI / Anthropic. Ihre HR-Daten werden nicht zur Verbesserung von Drittparteimodellen verwendet.
Ask ist nach unserer Bewertung kein
Compliance
Wer zertifiziert ist, wer compliant ist, und was das für Sie bedeutet.
Compliance-Aussagen müssen ehrlich sein, damit sie tragen. Hier ist, was Sie konkret bekommen — differenziert nach den Standards, die Procurement oder Legal von uns erwartet.
Standard
Status
Pfad
DSGVO / GDPR
talenttrends ist als Verarbeitung DSGVO-konform aufgesetzt.
AVV nach Art. 28 DSGVO, TOM nach Art. 32, Meldungs-Prozess nach Art. 33, Right-to-be-Forgotten nach Art. 17 implementiert, Datenschutz-freundliche Grundeinstellungen.
ISO/IEC 27001
Compliant über STACKIT-Hosting-Pfad.
Schwarz Digits hält die ISO-27001-Zertifizierung; Auditbericht auf Anfrage.
BSI C5
Compliant über STACKIT-Hosting-Pfad.
Schwarz Digits hält das BSI-C5-Testat; Auditbericht auf Anfrage.
SOC 2 Type II
Compliant über Azure-Hosting-Pfad.
Microsoft hält die SOC-2-Type-II-Zertifizierung; Bericht über Microsoft-Service-Trust verfügbar.
EU AI Act (Art. 50)
Compliant.
Transparenzpflicht erfüllt; Hochrisiko-Einstufung nach unserer Bewertung nicht zutreffend.
Interessiert?
Reden Sie mit Ihrer InfoSec und unserem Team gemeinsam
Ein Tag, strukturiert. Wir bringen alle Unterlagen mit — AVV, TOM-Beschreibung, Subprozessor-Liste, Auditberichte unserer Hosting-Provider — und gehen mit Ihrem InfoSec-Team alle K.O.-Fragen durch. Bis nichts mehr offen ist.