BambooHR und die DSGVO: KI-Training, Speicherort und AVV

Trainiert mit Ihren Daten, ohne dokumentierte Abschaltung.

Ja, nur für das KI-Modell des jeweiligen Kunden: BambooHR darf Ihre Daten, Eingaben und Ausgaben nutzen, um die Modelle hinter seinen KI-Funktionen feinzutrainieren und zu trainieren, sagt aber, dass es das nur tut, um Ihnen diese Funktionen bereitzustellen, und dieses Modell nicht für andere Kunden verwendet.

Wortlaut des Anbieters: “To the extent that BambooHR uses customer Data, Input and Output to fine-tune and train the machine learning methods and data models used to provide the Bamboo AI features, it will do so just to provide the Bamboo AI features to you”

Quelle: bamboohr.com8. Improving Bamboo AIGeprüft am 19. Oktober 2026

USA, Kanada oder Irland, je nach Standort und Bedarf des einzelnen Kunden und geltendem Recht; kein Standard genannt.

Wortlaut des Anbieters: “We host customer data in state-of-the-art data centers located in the United States, Canada, or Ireland, depending on the location and needs of the individual customer and applicable laws.”

Quelle: bamboohr.comSecure, International Hosting SitesGeprüft am 19. Oktober 2026

EU-Hosting nicht dokumentiert.

Teilweise: Es wird ein Rechenzentrum in Irland angeboten, das laut BambooHR die Datenanforderungen der EU/des EWR/der Schweiz/des Vereinigten Königreichs erfüllt und je nach Standort und Bedarf des Kunden zugewiesen wird. Eine Einstellung zur Selbstauswahl ist nicht beschrieben.

Wortlaut des Anbieters: “the data center located in Ireland meets all of the data requirements of the European Union, European Economic Area, Switzerland, and the United Kingdom”

Quelle: bamboohr.comSecure, International Hosting SitesGeprüft am 19. Oktober 2026

AVV in den Bedingungen.

Ja. Ein Auftragsverarbeitungsvertrag ist online veröffentlicht und wird 'if applicable and accepted by you' in die Nutzungsbedingungen einbezogen; er enthält EU-Standardvertragsklauseln.

Wortlaut des Anbieters: “the Data Processing Agreement (DPA) (if applicable and accepted by you), are incorporated herein by reference”

Quelle: bamboohr.com6.6 PrivacyGeprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Bamboo HR LLC; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.govSearch 'Bamboo HR'Geprüft am 19. Oktober 2026

Nach Ende eines Abonnements können Sie Ihre Daten 30 Tage lang herunterladen, danach löscht BambooHR sie; Daten des Gehaltsabrechnungsdienstes werden aus rechtlichen und steuerlichen Gründen 7 Jahre aufbewahrt. Speicherdauer während des Abonnements nicht angegeben.

Wortlaut des Anbieters: “you will continue to have the ability to download the information provided, inputted, or uploaded to your databases in the BambooHR® Service by you or on your behalf (“Customer Data”) for thirty (30) days after the effective date of expiration or termination”

Quelle: bamboohr.com2.5 Customer Data Downloads and DeletionGeprüft am 19. Oktober 2026

Nennt ein jährliches SOC-1- und SOC-2-Audit durch Dritte (SOC-2-Type-2-Bericht im Trust Center, unter NDA); auf der Sicherheitsseite ist keine ISO-Zertifizierung genannt (2 genannt).

Wortlaut des Anbieters: “Annual third-party SOC I & II security audit.”

Quelle: bamboohr.comSecurityGeprüft am 19. Oktober 2026