HiBob und die DSGVO: KI-Training, Speicherort und AVV

Trainiert nicht mit Ihren Daten.

Nein. HiBob erklärt, Kundendaten, die von seinen KI-Funktionen verarbeitet werden, würden nicht zum Training von KI-Modellen genutzt, und seine KI-Dienstleister dürften ihre Modelle nicht damit trainieren.

Wortlaut des Anbieters: “Customer Data processed by HiBob AI Features is not used to train artificial intelligence models.”

Quelle: hibob.com2. Data Usage and PrivacyGeprüft am 19. Oktober 2026

EU: Rechenzentren von Amazon Web Services in Irland (Hauptstandort) und Deutschland (Backup).

Wortlaut des Anbieters: “HiBob uses AWS data centers in Ireland (main) and Germany (backup).”

Quelle: hibob.comWhat is HiBob doing to meet security standards? Data Hosting LocationGeprüft am 19. Oktober 2026

EU-Hosting nicht dokumentiert.

Das Hosting erfolgt standardmäßig in der EU (AWS Irland und Deutschland), und die Liste der Unterauftragsverarbeiter zeigt Verarbeitungsorte in der EU; eine gesonderte EU-Einstellung oder die Wahl einer Region außerhalb der EU wird nicht beschrieben.

Wortlaut des Anbieters: “HiBob uses AWS data centers in Ireland (main) and Germany (backup).”

Quelle: hibob.comData Hosting LocationGeprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. Ein Data Processing Addendum ist fester Bestandteil der Subscription Terms, von HiBob bereits unterzeichnet und zur Gegenzeichnung durch den Kunden verfügbar.

Wortlaut des Anbieters: “This Data Protection Addendum has been pre-signed by an authorized signatory on behalf of HiBob and is available for execution by counter-signature”

Quelle: hibob.comData Processing AddendumGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich unter https://www.hibob.com/privacy/hibob-subsidiaries-and-sub-processors/ (November 2025): 8 Konzerngesellschaften und 23 Zeilen mit Drittanbietern (19 Unternehmen) in den Listen für Kerndienste, optionale und modulspezifische Dienste. Genannte KI-Anbieter: OpenAI, Microsoft (Azure OpenAI), Amazon Web Services (gehostete KI-Modelle).

Wortlaut des Anbieters: “The following tables provide information regarding HiBob’s corporate affiliates and third-party Sub-processors that may have access to Personal Data”

Quelle: hibob.comHiBob Subsidiaries and Sub-ProcessorsGeprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Hibob; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.govSearch 'Hi Bob'Geprüft am 19. Oktober 2026

Kundendaten, die an KI-Anbieter gesendet werden, werden nicht gespeichert oder protokolliert. Nach Vertragsende löscht HiBob personenbezogene Daten autorisierter Nutzer innerhalb von 30 Tagen, und der Kunde kann innerhalb von 14 Tagen nach Kündigung eine Kopie anfordern. Speicherfristen während der Laufzeit sind nicht angegeben.

Wortlaut des Anbieters: “HiBob shall in accordance with its DPA, delete Personal Data held about any Authorized User within thirty (30) days from the date of termination.”

Quelle: hibob.com12.4 Effects of TerminationGeprüft am 19. Oktober 2026

ISO 27001, ISO 27018, ISO 42001, SOC 1 Type 2 und SOC 2 Type 2 (5 genannt); auch HIPAA- und GDPR-Konformität werden aufgeführt.

Wortlaut des Anbieters: “HiBob follows industry best practices, including ISO 27001, ISO27018, ISO42001, HIPAA, GDPR, SOC2 type 2, and SOC1 type 2”

Quelle: hibob.comEncryption at every stepGeprüft am 19. Oktober 2026

Ja. Admins können KI-Funktionen über die Seite AI Settings gezielt deaktivieren oder aktivieren und den Zugriff auf bestimmte Funktionen nach Rolle beschränken.

Wortlaut des Anbieters: “Admins can selectively disable or enable features through the AI Settings page.”

Quelle: hibob.comOpt-out control for AI featuresGeprüft am 19. Oktober 2026