Sicherheit und Datenschutz

Ihre Daten liegen in einem Schweizer Rechenzentrum, sind auch auf dem Datenträger verschlüsselt und werden nach festen Fristen gelöscht. Verbindlich sind der Auftragsbearbeitungsvertrag, die Datenschutzerklärung und die AGB; die Seite «Sicherheit & Datenschutz» fasst sie für Ihre Prüfung zusammen.

Bevor Sie beginnen

Diese Seite richtet sich an alle, die eine Prüfung vorbereiten: Administration, HR, die IT-Sicherheit oder die Datenschutzberatung Ihrer Organisation. Die Zusagen und die Vertragsvorschau sind öffentlich, dafür brauchen Sie kein Konto.

Den abgeschlossenen Vertrag Ihrer Organisation als PDF ruft ein Admin in der Anwendung ab. Die Zwei-Faktor-Anmeldung für alle Konten verlangt ebenfalls ein Admin, und zwar erst, wenn er sie für sich selbst eingerichtet hat.

Für die Daten, die Sie in der Anwendung bearbeiten, ist Ihre Organisation verantwortlich. HR Onboarding bearbeitet sie als Auftragsbearbeiter nach Art. 9 DSG, ausschliesslich nach Ihren Weisungen.

Wo Sie es finden

Die Seite «Sicherheit & Datenschutz» ist in der Fusszeile jeder öffentlichen Seite von hr-onboarding.ch verlinkt.

Direkt öffnen: Sicherheit & Datenschutz (öffnet in neuem Tab)

Schritte

1. Lesen Sie den Abschnitt «Vier Dinge, die wir zusagen».

   • Standort: Anwendung, Daten und Dokumente liegen in einem Rechenzentrum in Genf. Die tägliche Auslagerung der Sicherungen geht in ein zweites Schweizer Rechenzentrum.
   • Verschlüsselung: Die Verbindung zu Ihrem Browser ist verschlüsselt, Datenbestand und Dokumente mit Daten Ihrer Mitarbeitenden und Bewerbenden auch im Ruhezustand. Ausgenommen sind Bilder zur Anzeige, etwa Firmenlogos und Profilfotos.
   • Löschung: Bewerbungsunterlagen werden 180 Tage nach Eingang gelöscht, mit begründeten Ausnahmen. Nach Vertragsende werden Ihre Daten innert 90 Tagen gelöscht oder übergeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
   • Verantwortung: Ihre Organisation bleibt verantwortlich, HR Onboarding bearbeitet die Daten nach Ihren Weisungen. Das regelt der Vertrag.

   Standort, Verschlüsselung und die Frist nach Vertragsende regelt der Vertrag. Die Löschfrist für Bewerbungen steht in Datenschutzerklärung und AGB.

   

2. Klicken Sie oben auf «Auftragsbearbeitungsvertrag lesen». Es öffnet sich die Vorschau der aktuellen Fassung des AuftragsbearbeitungsvertragsVertrag nach Art. 9 DSG: Ihre Organisation bleibt verantwortlich, HR Onboarding bearbeitet die Daten nur nach Ihren Weisungen. Abgeschlossen wird er bei der Registrierung.Nochmals tippen öffnet das Glossar..

   Sie enthält unter anderem die Massnahmen zur Datensicherheit, die Meldung von Verletzungen der Datensicherheit und die Rückgabe und Löschung. Die vollständige Liste der Unterauftragsbearbeiter steht im Vertrag unter Ziffer 6 und im Abschnitt «Wer ausser uns beteiligt ist».

   Den abgeschlossenen Vertrag mit Abschlussdatum ruft ein Admin in der Administration unter «Vertrag & Daten» → «Auftragsbearbeitungsvertrag» als PDF ab.

   

3. Lesen Sie den Abschnitt «Wer was sehen darf, entscheiden Sie». Er beschreibt Rollen, getrennte Mandanten und die Zwei-Faktor-Anmeldung.

   Die Zwei-Faktor-Anmeldung steht jedem Konto offen.

   Ein Admin, der sie für sich selbst eingerichtet hat, kann sie in der Administration unter «Zwei-Faktor-Anmeldung» für die ganze Organisation verlangen. Wer sie danach noch nicht eingerichtet hat, wird bei der nächsten Anmeldung zur Einrichtung geführt. Danach kommt kein Konto mehr ohne zweiten Faktor an Daten, auch keine bereits offene Sitzung.

   

4. Braucht Ihre Prüfung mehr, klicken Sie im Abschnitt «Wenn Ihre IT-Sicherheit Unterlagen braucht» auf «Unterlagen anfordern» (4). Es öffnet sich das Kontaktformular.

   Dazu gehören ein Faktenblatt zur Datensicherheit, das Verzeichnis der Bearbeitungstätigkeiten, das Bearbeitungsreglement und der Meldeprozess bei Verletzungen der Datensicherheit. Die Unterlagen gehen auf Anfrage an identifizierte Organisationen, nicht als Download.

   

Was danach passiert

Der Vertrag wird bei der Registrierung elektronisch abgeschlossen und gilt ab dann. Organisationen, die vorher registriert waren, schliessen ihn in der Administration nach. Eine beidseitig unterzeichnete Fassung auf Papier gibt es auf Wunsch.

Kommt ein weiterer Unterauftragsbearbeiter hinzu, informiert HR Onboarding die Kundenorganisationen vorab. Der Vertrag regelt das Verfahren und Ihr Widerspruchsrecht.

Bei einer Verletzung der Datensicherheit erfahren Sie es unverzüglich, spätestens innert 48 Stunden nach Kenntnis. Sie bekommen die Angaben, die Sie für Ihre eigene Meldung an den EDÖB nach Art. 24 DSG brauchen.

Tipps und typische Fehler

Zwei-Faktor-Anmeldung nicht eingeschaltet: HR Onboarding stellt sie bereit, verlangen muss sie ein Admin, der sie selbst eingerichtet hat. Ein gestohlenes Passwort ist der häufigste Weg in ein System.

Konten Ausgetretener: Deaktivieren Sie sie. Ein Konto, das niemand mehr benutzt, fällt niemandem auf, auch nicht bei fremder Anmeldung.

Sammelkonten: Ein geteiltes Konto macht jede Protokollierung wertlos. Geben Sie allen, die mitarbeiten, ein eigenes Konto.

Unterlagen per Mail weitergeleitet: Ein Lebenslauf als Mail-Anhang liegt danach in Postfächern ohne Löschfrist. Teilen Sie stattdessen den Zugriff in der Anwendung.

Verdacht auf einen Vorfall: Melden Sie eine ungewöhnliche Anmeldung oder eine verdächtige Mail sofort, auch wenn Sie unsicher sind.

Häufige Fragen

Werden Bewerbungsdaten für KI verwendet? Nein. Bewerbungsunterlagen gehen an keinen externen Dienst und an kein Sprachmodell. Der Abgleich mit den Anforderungen einer Stelle ist regelbasiert und läuft auf dem Server in der Schweiz.

Kommt HR Onboarding an unsere Daten? Nur auf Ihre Anfrage, etwa im Supportfall. Der Zugriff läuft über eine ausdrücklich gekennzeichnete Stellvertretung und wird mit Zeitpunkt, Konto und Organisation festgehalten. Ihre Organisation entscheidet, ob das überhaupt möglich ist: Sie kann die Fernwartung auf der Support-Seite jederzeit abschalten oder für ein konkretes Anliegen 7 Tage freigeben. Solange sie aus ist, ist keine Stellvertretung möglich, und eine laufende endet.

Was geschieht, wenn wir kündigen? Ein Admin kann den Datenbestand jederzeit selbst exportieren; Dokumente gibt es einzeln oder auf Anforderung als Gesamtarchiv. Nach Vertragsende werden die Daten nach Ihrer Wahl innert 90 Tagen gelöscht oder übergeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Wie verfügbar ist die Anwendung? Unser Ziel sind 99,0 % im Monatsmittel. Eine Garantie ist das nicht, siehe AGB Ziffer 6. Den aktuellen Stand zeigt die Statusseite.

Wie lange bleibt man angemeldet? Eine Sitzung gilt 8 Stunden, mit «Angemeldet bleiben» bis zu 30 Tage. Wer die Zwei-Faktor-Anmeldung einschaltet, meldet alle anderen Geräte ab.