In 3 Minuten startklar · Sofort trainieren, ohne App · Server und Datenbank in Deutschland · Von Trainer*innen entwickelt
TRUST CENTER
Vertrauen entsteht nicht durch Versprechen. Sondern durch Nachprüfbarkeit.
Bamboo Dialog verarbeitet Gespräche Ihrer Mitarbeitenden. Deshalb legen wir hier offen, wo diese Daten verarbeitet werden, wer sie einsehen kann und wo unsere Grenzen liegen – einschließlich der Punkte, an denen wir noch arbeiten.
Diese Seite gibt den Überblick. Das vollständige Datenschutz- und Sicherheitskonzept stellen wir Ihrer IT und Ihrem Datenschutzbeauftragten auf Anforderung bereit.
Stand: 14.08.26 · Bezieht sich auf das Datenschutzkonzept in der Fassung vom 14.08.26.
Anwendungsdaten in Deutschland. Transportiert wird global.
Unser Anwendungsserver und unsere Datenbank stehen in Deutschland. Vor dem Upload verschlüsselte Datensicherungen werden zusätzlich höchstens 40 Tage im Cloudflare-Objektspeicher (Region Westeuropa) vorgehalten; Cloudflare kann sie ohne den getrennt verwahrten Schlüssel nicht entschlüsseln.
Hetzner Online GmbH
Anwendungsserver und Datenbank – alle Anwendungsdaten
Deutschland (Nürnberg, Falkenstein)
Technischer Dienstleister
Betrieb, Wartung, Support – administrativer Zugriff auf Anwendung und Datenbank
Deutschland
Cloudflare, Inc.
Reverse-Proxy, Firewall, DDoS- und Bot-Schutz; Objektspeicher für verschlüsselte Sicherungen (höchstens 40 Tage) und Anwendungsdateien
global
ElevenLabs Ltd.
Spracherkennung, Dialog, Sprachausgabe – Audio des Sprachgesprächs
globaler Endpunkt
Anthropic PBC
Erzeugung der Auswertungstexte – ausschließlich Text, niemals Audio
USA
Acumbamail S.L.U.
Versand von System-E-Mails – Name und E-Mail-Adresse
Spanien (EU)
Betrieb und Administration der Plattform erbringen wir über einen beauftragten technischen Dienstleister in Deutschland. Er ist Unterauftragsverarbeiter nach Art. 28 DSGVO, wird im Auftragsverarbeitungsvertrag namentlich benannt und hat technisch Zugriff auf die Datenbank – einschließlich Gesprächsinhalten.
Der Betreiber unserer Rechenzentren ist nach DIN ISO/IEC 27001:2022 zertifiziert; Zertifizierungsstelle ist die SOCOTEC Certification Deutschland GmbH. Zertifiziert ist damit die Rechenzentrumsinfrastruktur – nicht Bamboo Dialog selbst. Wir führen weder eine ISO-27001-Zertifizierung noch eine TISAX-Bewertung noch eine Datenschutz-Zertifizierung nach Art. 42 DSGVO. Wir sagen daher nicht „wir sind ISO-zertifiziert".
Der Weg der Daten
Ein Reverse-Proxy sieht Inhalte im Klartext. Auch das gehört hierher.
Sämtlicher Web-Verkehr zwischen dem Browser und unserem Anwendungsserver läuft über Cloudflare – nicht nur die Anmeldeformulare. Cloudflare beendet dort die TLS-Verschlüsselung und sieht in diesem Moment die Inhalte im Klartext, einschließlich Gesprächsnachrichten, Transkripten und Auswertungen. Von dort wird der Verkehr erneut verschlüsselt an unseren Server geleitet.
Das ist die Funktionsweise eines Reverse-Proxy mit Web Application Firewall und keine Fehlkonfiguration – es ist die Voraussetzung dafür, dass Angriffe im Datenverkehr erkannt werden können. Gesprächsinhalte und Auswertungen speichert Cloudflare dabei nicht; ihre Verarbeitung erfolgt im Transit. Dauerhaft liegen bei Cloudflare ausschließlich vor der Übertragung verschlüsselte Sicherungen sowie Dateien der Anwendung.
Für diese Übermittlung liegt eine tragfähige Grundlage vor: der Auftragsverarbeitungsvertrag von Cloudflare mit den EU-Standardvertragsklauseln in der Fassung 2021 (Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter), ergänzt um eine Zertifizierung nach dem EU-US Data Privacy Framework.
Wir führen diesen Punkt auf, weil ein Reverse-Proxy mit Klartextsicht auf Gesprächsinhalte eine Angabe ist, die Ihr Datenschutzbeauftragter kennen muss – sie ist von außen mit einer DNS-Abfrage prüfbar.
Sprachverarbeitung
Audio berührt weder unseren Server noch den Reverse-Proxy.
Der Browser baut für das Sprachgespräch eine direkte, TLS-verschlüsselte Verbindung zum Sprachdienstleister ElevenLabs auf – über dessen globalen Endpunkt. Das Audio läuft niemals über unseren Anwendungsserver und niemals über Cloudflare. Die Zieladresse ist fest im Quellcode hinterlegt und kann zur Laufzeit nicht umgeleitet werden.
- Audioaufzeichnung ist deaktiviert – fest im Code gesetzt.
- Audio wird nach der Verarbeitung gelöscht.
- Die Aufbewahrung beim Dienstleister ist auf höchstens sieben Tage begrenzt.
Außerhalb Deutschlands liegen zwei begrenzte Datenbestände: das Audio des Sprachgesprächs beim Sprachdienstleister (höchstens sieben Tage) und die verschlüsselten Sicherungen im Cloudflare-Objektspeicher (höchstens 40 Tage).
Eine Änderung dieser Einstellungen erfordert eine Codeänderung und ein Deployment. Kein Administrator und keine Kontoeinstellung kann das umstellen.
Training von KI-Modellen
Warum in unseren Trainings nichts entsteht, das trainiert werden könnte.
Für die Sprachverarbeitung nutzen wir ElevenLabs. Für die Auswertungstexte setzen wir auf Anthropic. Der Trainings- und Modellverbesserungs-Opt-out ist seit dem 12.08.2026 im produktiv genutzten Workspace aktiviert und dokumentiert; er gilt für danach neu bereitgestellte Daten und wirkt nicht rückwirkend. Nach Auskunft des Anbieters gilt die Einstellung workspace-weit für alle ab diesem Zeitpunkt neu bereitgestellten Daten.
Wer was sieht
Rollen und Zugriffsrechte. Ohne Beschönigung.
Das ist der Abschnitt, den Ihr Betriebsrat zuerst lesen wird. Deshalb steht hier, was tatsächlich der Fall ist.
Teilnehmende
Ausschließlich eigene Gespräche, eigene Transkripte und eigene Auswertungen. Daten anderer Beschäftigter sind technisch ausgeschlossen.
HR-Rollen des Unternehmens
Alle Teilnehmenden des eigenen Unternehmens, namentlich: Punktwerte je Bewertungsdimension, der Gesprächsverlauf im Wortlaut, Export mit Namen.
Plattformadministration
Betrieb und Support der Plattform; technisch bedingter Zugriff im Rahmen von Wartung und Fehlerbehebung.
Ausdrückliche Klarstellung: HR-Rollen sehen individuelle, personenbezogene Ergebnisse einschließlich des vollständigen Gesprächswortlauts und können diese exportieren. Eine anonymisierte oder aggregierte Auswertung existiert im System derzeit nicht. Eine Protokollierung dieser Zugriffe besteht derzeit ebenfalls nicht. Der Schutz der Beschäftigten entsteht deshalb nicht durch eine technische Zugriffsbeschränkung, sondern durch die verbindliche Zweckbindung und den Kontrollausschluss in der Betriebsvereinbarung – unsere Mustervorlage regelt genau das.
Mandantentrennung:
Die Daten verschiedener Unternehmen sind strikt getrennt. Ein Zugriff von Unternehmen A auf Daten von Unternehmen B ist technisch ausgeschlossen; die Unternehmenszugehörigkeit ermittelt der Server – der Client kann sie nicht vorgeben.
Unser eigener Zugriff – offen benannt: Für Betrieb, Wartung und Support hat der technische Dienstleister Zugriff auf die Datenbank, einschließlich Gesprächsinhalten. Der Zugriff ist vertraglich auf Betrieb, Fehlerbehebung und Support beschränkt und erfolgt ausschließlich auf unsere Weisung; eine Nutzung zu eigenen Zwecken ist vertraglich ausgeschlossen. Eine systemseitige Protokollierung dieser Zugriffe besteht derzeit nicht. Den Namen des Dienstleisters teilen wir auf Anfrage mit.
Mitbestimmung im Betriebsrat
Eine Zustimmung Ihres Gremiums ist nötig, was wir hiermit verdeutlichen.
Da Bamboo Dialog messbare Ergebnisse zur Nutzerleistung liefert, unterliegt der Einsatz laut Betriebsverfassungsgesetz der Mitbestimmungspflicht. Dies ist ein Standardprozess für digitale Tools zur Kompetenzanalyse. Solche Systeme benötigen rechtlich immer die Einbeziehung der Mitarbeitervertretung, um Transparenz und Fairness im Unternehmen sicherzustellen.
Korrekte Nutzung
Unzulässiger Einsatz
Förderung von Lernprozessen und individuelle Entwicklung • Feedback für Nutzer • Identifikation von globalem Wissensbedarf in Teams
Leistungskontrolle und Verhaltenskritik • Basis für Gehaltsfragen oder personelle Konsequenzen • Internes Ranking oder Benchmarking von Personen
Wir entlasten Ihre Rechtsabteilung durch eine fertige Vorlage zur Betriebsvereinbarung. Dieses Dokument definiert präzise die Zugriffsrechte, die Zweckbindung sowie klare Regeln zur Datenverwertung und Löschung.
Technische Schutzmaßnahmen
Wir setzen auf nachprüfbare Sicherheitsstandards statt reiner Siegel. Hier finden IT-Experten die Fakten zur Systemhärtung.
Datenschutz
– Nutzerpasswörter sind mittels Argon2id und individuellen Salts kryptografisch gesichert.
– API-Keys zu Drittsystemen liegen durchgehend AES-256-GCM verschlüsselt vor.
– Session-Handling via httpOnly/secure Cookies über TLS-Verbindungen.
Datenintegrität
– Eingehende Signale werden mittels HMAC-SHA256 validiert, um Identitätsdiebstahl zu verhindern.
– Jede Nutzeranfrage durchläuft eine strikte Schemavalidierung gegen Code-Injection.
– Der Authentifizierungs-Tag bei AES-256-GCM schützt vor Änderungen.
Ausfallsicherheit & Kontrolle
– Infrastruktur in Deutschland mit integriertem Schutz gegen Überlastungsangriffe.
– Boot-Sperre bei fehlenden Schlüsseln verhindert unbefugtes Auslesen der Festplatten.
– Einheitliche Fehlermeldungen erschweren das Ausspähen von Nutzerkonten.
- Die Anmeldung privilegierter Rollen (Administration und Personalwesen) ist durch Multi-Faktor-Authentifizierung über eine Authenticator-App (TOTP, z. B. Microsoft Authenticator) abgesichert.
KI-Aufklärung
Alle Lernenden starten das Training mit der KI vollkommen bewusst und eigenständig; es findet keine automatische Kontaktaufnahme statt. Das Interface zeigt permanent alle Parameter des Szenarios an. Eine Verwechslung mit echten Gesprächspartnern ist durch die funktionale Gestaltung des Portals ausgeschlossen.
Vor jedem Start erfolgt ein deutlicher Hinweis auf den KI-Einsatz, der initial explizit bestätigt werden muss. Diese Bestätigung protokollieren wir rechtssicher. Auch während des laufenden Gesprächs bleibt der KI-Hinweis dauerhaft sichtbar – zusammen mit Szenario und verbleibender Trainingszeit. Damit erfüllen wir die strengen Anforderungen der europäischen KI-Verordnung.
Das System trifft keinerlei automatisierte Personalentscheidungen. Die Daten dienen lediglich als Feedback zur persönlichen Weiterentwicklung ohne rechtliche Bindung. Um diesen Zustand rechtlich zu zementieren, ist die Zweckbindung in der Betriebsvereinbarung zentrales Element unserer Sicherheitsarchitektur.
Wie lange was gespeichert bleibt
Audio des Sprachgesprächs
Bei ElevenLabs, höchstens 7 Tage – in unserer Infrastruktur wird kein Audio gespeichert
Inhalte im Transit bei Cloudflare
Keine Speicherung
Transkripte und Auswertungen
Regellöschfrist: 12 Monate nach Gesprächsabschluss. Ein täglich laufender automatischer Löschlauf entfernt ältere Gespräche einschließlich Auswertung; jeder Lauf wird protokolliert. Zusätzlich können Teilnehmende einzelne Gespräche oder ihre gesamte Historie jederzeit selbst löschen.
Datensicherungen
Höchstens 40 Tage, automatische Löschung über eine Lifecycle-Regel – gelöschte Daten sind damit spätestens 40 Tage nach der Löschung auch aus den Sicherungen entfernt
Konten
Löschung auf Anforderung und bei Vertragsende
Über Datenschutzvorfälle, die Ihre Daten betreffen, informieren wir Sie unverzüglich, damit Sie Ihre Meldepflichten nach Art. 33 DSGVO einhalten können.
Was gilt – und was nicht
Mit uns als Anbieter schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – einschließlich der Anlage mit den technischen und organisatorischen Maßnahmen und der vollständigen Liste unserer Unterauftragsverarbeiter. Sie erhalten ihn vor Vertragsschluss und können ihn jederzeit über das Formular unten anfordern. Unsere Unterauftragsverarbeiter: Hetzner Online GmbH (Deutschland), technischer Dienstleister (Deutschland), Cloudflare (global), ElevenLabs (globaler Endpunkt), Anthropic (USA), Acumbamail (Spanien, EU).
Mit Anthropic besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (im Unternehmenseinsatz Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter), der automatisch Bestandteil der Nutzungsbedingungen ist;; nach den geltenden Geschäftsbedingungen nutzt Anthropic die Inhalte nicht zum Training. Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die Standardvertragsklauseln. Die Einbindung neuer Unterauftragsverarbeiter zeigen wir Ihnen nach Art. 28 DSGVO vorab an.
Woran wir arbeiten
Wir legen diese Punkte offen, statt sie zu verschweigen – eine ehrliche Lücke ist prüfbar, eine falsche Zusicherung nicht.
Individuell unterzeichneter AVV mit ElevenLabs
Nur im Enterprise-Tarif verfügbar; es gilt das publizierte Standard-Addendum mit den EU-Standardvertragsklauseln (Modul 3) über die Nutzungsbedingungen.
EU-Endpunkt bei ElevenLabs
Enterprise-only, nicht im Einsatz. Kompensation: keine Aufzeichnung, Löschung nach höchstens 7 Tagen, im Code fest gesetzt.
Trainings-Opt-out bei ElevenLabs
Seit 12.08.2026 aktiviert und dokumentiert; ergänzende kontobezogene Anbieterbestätigung ausstehend.
Zugriffsprotokollierung für HR-Zugriffe
Nicht vorhanden. Kompensation: organisatorische Begrenzung und Verwertungsverbot über die Betriebsvereinbarung.
Wenn Ihr Rollout einen dieser Punkte zwingend erfordert, benennen Sie ihn – wir prüfen den Wechsel in die entsprechenden Enterprise-Tarife.
Unterlagen und Kontakt
Ihre IT will es genauer wissen? Bekommt sie.
Unser Datenschutz- und Sicherheitskonzept beschreibt detailliert die technischen und organisatorischen Maßnahmen (TOM), die Datenflüsse zwischen den Systemen sowie das Berechtigungskonzept. Wir stellen diese Unterlagen Unternehmen für ihre interne Prüfung gerne zur Verfügung. Bitte nutzen Sie das Formular, um die gewünschten Dokumente anzufordern.
Für schriftliche Rückfragen zu spezifischen Sicherheitsaspekten oder zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) erreichen Sie unsere Experten über die unten genannten Kontaktwege. Wir bemühen uns um eine zeitnahe Beantwortung fachlicher Anfragen Ihrer IT-Sicherheit oder Revision.
Verantwortliche Stelle: die akademie GbR Wilhelm-Köhler Strasse 50 , Schongau
Datenschutz: datenschutz@bamboodialog.de
Kontaktstelle Sicherheit: Piotr Hajdas - piotr.hajdas@bamboodialog.de
Stand dieser Seite: 14.08.26 . Bezieht sich auf das Datenschutz- und Sicherheitskonzept, Fassung 1.9. Wir aktualisieren beide bei jeder Änderung an Sprachverarbeitung, Berechtigungskonzept, Unterauftragsverarbeitern oder Löschfristen.