FlowConsent
So funktioniert’sPreiseVergleicheBlogDokumentationAnmeldenFlowConsent testen
FlowConsent testen
Sonstige

Staffbase

PräferenzenOffizielle Website

Staffbase ist eine deutsche Plattform für interne Mitarbeiterkommunikation mit Hauptsitz in Chemnitz. Große europäische Unternehmen nutzen sie für interne News, Mitarbeiterumfragen, zielgerichtete Kommunikation und Erreichung von Mitarbeitern über Web, Mobile und E Mail. Europäische Tenants werden auf AWS in Frankfurt gehostet.

Staffbase bis zur Einwilligung blockierenMeine Website scannen
Überblick

Was macht Staffbase?

Staffbase ist eine führende europäische Plattform für Mitarbeiterkommunikation, 2014 gegründet und in Chemnitz ansässig. Große Unternehmen wie DHL, Audi, Adidas oder Wuerth nutzen Staffbase für interne News, Mitarbeiter Apps, Umfragen und personalisierte Inhaltsauslieferung über Web, Mobile und E Mail. 2021 wurde Bananatag übernommen, um die Suite um E Mail Distribution zu erweitern.

Was Staffbase tut

Staffbase betreibt ein Mandanten SaaS, das ein CMS für interne News, eine Mitarbeiter App für iOS und Android, ein Desktop Intranet (Staffbase Hub), ein E Mail Modul (Staffbase Email) und eine Analytics Ebene kombiniert. Authentifizierung erfolgt über den IdP des Unternehmens (Azure AD, Okta, Google Workspace) via SAML oder OIDC. Inhalte können anhand von HR Attributen zielgerichtet werden.

Daten und Cookies

Staffbase setzt strikt erforderliche Cookies (sb_session, sb_token, sb_csrf) für Authentifizierung und CSRF Schutz. Optionale Funktionalitaets Cookies merken Theme und Leseinstellungen. Lesebestaetigungen, Klick Events und Umfrageantworten werden serverseitig verarbeitet. Das Mobile SDK nutzt Firebase Cloud Messaging oder Apple Push Notification Service für Push, die als technische Subprozessoren agieren, nicht als Werbeanbieter.

DSGVO und ePrivacy

Staffbase verarbeitet Mitarbeiterdaten im Auftrag des Arbeitgebers als Auftragsverarbeiter nach Art. 28 DSGVO. Berechtigtes Interesse des Arbeitgebers ist die typische Rechtsgrundlage für nicht verpflichtende Kommunikation, das Arbeitsverhaeltnis für verpflichtende. In Deutschland erfordern BDSG und Betriebsrat zusätzliche Mitbestimmung. Lesebestaetigungs Analytics müssen klar abgegrenzt werden, um nicht als Mitarbeiterüberwachung qualifiziert zu werden.

Einwilligungspflichten

Strikt erforderliche Cookies sind einwilligungsfrei. Optionale Push Benachrichtigungen, Standort für standortbezogene News und Engagement Analyse, die individuelle Mitarbeiter mit ihrem Verhalten verknüpft, sollten als separat einwilligbare Präferenzen in Staffbase angeboten werden. Public Marketing Widgets, die Staffbase Inhalte auf externe Sites einbinden, müssen über eine CMP gesteuert werden, da Art. 5(3) ePrivacy gilt.

Transfers und Hosting

Europäische Kunden werden in AWS eu central 1 (Frankfurt) gehostet, keine US Transfers in Produktion. Support und Engineering Zugriff außerhalb der EU ist durch das Staffbase DPA und Standardvertragsklauseln geregelt. Der Mobile Push Pfad nutzt Google FCM und Apple APNs als Subprozessoren, die im Staffbase DPA gelistet sind. Kunden sollten die zur Provisionierung gesetzte Region und die Subprozessorliste in der Datenschutzerklärung verifizieren.

Praktische Umsetzung

Schließen Sie das Staffbase DPA ab und fixieren Sie die EU Region. Beteiligen Sie den Betriebsrat vor Aktivierung individueller Engagement Analytics. Beschränken Sie die Sichtbarkeit von Lesebestaetigungen auf aggregierte Dashboards. Konfigurieren Sie SSO mit dem Corporate IdP und deaktivieren Sie native Staffbase Konten wo möglich. Dokumentieren Sie Staffbase, FCM und APNs im Verarbeitungsverzeichnis. Prüfen Sie Umfragetemplates gegen die Betriebsvereinbarung.

Datenschutz

Staffbase und die DSGVO

Staffbase ist als „Präferenzen“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.

Rechtsgrundlage
For internal employee communication: legitimate interest of the employer (Art 6(1)(f) GDPR) or the employment relationship (Art 6(1)(b)) for mandatory communications, plus consent (Art 6(1)(a)) for optional features like push notifications. For embedded widgets on public marketing sites: prior consent under Art 5(3) ePrivacy.
Risikostufe
medium
Anwendbare Vorschriften
GDPR, BDSG, TDDDG (Germany), ePrivacy Directive, CCPA/CPRA, UK GDPR

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist für einen typischen Staffbase Einsatz erforderlich: die Plattform verarbeitet großvolumige Mitarbeiterdaten, kann Profilbilder, Organigrammdaten, Geolocation für Push und Umfrageantworten enthalten. Das DPA muss Grenzen der Mitarbeiterüberwachung, die Rolle des Betriebsrats und etwaige Drittlandzugriffe durch Support detailliert beschreiben. Die Beteiligung des Betriebsrats (Deutschland) bzw. CSE (Frankreich) ist verpflichtend.

Beispieltext für Ihr Banner

Dieses Intranet nutzt Staffbase für interne Kommunikation, Benachrichtigungen und Umfragen. Strikt erforderliche Cookies halten die Sitzung und laden Inhalte. Optionale Funktionen wie Push Benachrichtigungen, Analyse von Lesebestaetigungen und personalisierte Inhaltsauslieferung benötigen Ihre separate Einwilligung, die jederzeit in den Staffbase Präferenzen anpassbar ist.
Cookies und Tracker

Was Staffbase setzt und kontaktiert

Tracking-Methode
JavaScript widget embedded into the host page (or a native mobile SDK) that loads a Staffbase content card, branch and tracks employee interactions through first party and third party requests to Staffbase tenant URLs. Authentication is handled via SAML, OIDC or Staffbase native accounts.
Serverstandort
European Union by default for European customers: production tenants are hosted on AWS in eu central 1 (Frankfurt). US and APAC tenants are available on AWS in us east 1 and ap southeast 1. The region is locked at tenant provisioning and visible in the tenant URL.

Gesetzte Cookies (4)

NameTypLaufzeitZweck
sb_sessionStrictly NecessarySessionFirst party session cookie used to maintain the authenticated browser session on the Staffbase tenant.
sb_tokenStrictly Necessary8 to 24 hoursFirst party authentication token issued by Staffbase or the corporate IdP after SSO login.
sb_csrfStrictly NecessarySessionFirst party CSRF protection cookie used to mitigate cross site request forgery on form submissions.
sb_localePreferences1 yearFirst party preference cookie storing the language selected by the employee.

Kontaktierte Drittanbieter-Domains (6)

  • staffbase.com
  • app.staffbase.com
  • cdn.staffbase.com
  • api.staffbase.com
  • fcm.googleapis.com
  • push.apple.com
Fragen

Häufige Fragen zu Staffbase

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

Welche Cookies setzt Staffbase?

Staffbase setzt strikt erforderliche Cookies sb_session (Browser Session), sb_token (Authentifizierungs Token, typischerweise 8 bis 24 Stunden) und sb_csrf (Session, CSRF Schutz). Optionale Cookies merken Theme und Sprache. Das Mobile SDK nutzt keine Cookies, sondern Tokens von Firebase Cloud Messaging und Apple Push Notification Service.

Brauchen Mitarbeiter eine Einwilligung?

Strikt erforderliche Cookies zur Authentifizierung benötigen keine Einwilligung. Optionale Push Benachrichtigungen, Standort für standortbezogene News und Analytics, die Engagement einzelnen Mitarbeitern zuordnet, sollten als separate Präferenzen in Staffbase angeboten und einwilligungspflichtig sein.

Was ist die Rechtsgrundlage für die Mitarbeiterdaten?

Vertragserfüllung (Art. 6(1)(b) DSGVO) für verpflichtende Kommunikation (HR, Arbeitsschutz, Richtlinien). Berechtigtes Interesse des Arbeitgebers (Art. 6(1)(f)) für nicht verpflichtendes Engagement, mit dokumentierter Interessenabwägung und Beteiligung des Betriebsrats. Einwilligung (Art. 6(1)(a)) für optionale Funktionen.

Werden Daten außerhalb der EU verarbeitet?

Europäische Tenants laufen in AWS Frankfurt, ohne Produktiv Transfer in die USA. Support und Engineering Teams können den Tenant von außerhalb der EU unter Standardvertragsklauseln erreichen. Firebase Cloud Messaging und Apple Push umfassen Google und Apple als Subprozessoren mit eigenen Transfermechanismen.

Ist eine DSFA erforderlich?

Ja. Staffbase verarbeitet Mitarbeiterdaten in großem Umfang, kann Verhaltens Analytics (Lesebestaetigungen, Click Maps) enthalten und kann als Werkzeug systematischer Mitarbeiterüberwachung gelten. Eine DSFA ist empfohlen und oft gesetzlich verpflichtend. Der Betriebsrat (Deutschland) und der CSE (Frankreich) sind zu beteiligen.

Wie setze ich Staffbase konform um?

Schließen Sie das EU DPA und fixieren Sie die Region. Konfigurieren Sie SSO über den Corporate IdP und deaktivieren Sie native Staffbase Konten. Beschränken Sie Engagement Analytics auf aggregierte Dashboards. Beteiligen Sie den Betriebsrat vor Aktivierung individueller Tracking Funktionen. Dokumentieren Sie Staffbase, FCM und APNs im Verzeichnis und der Datenschutzerklärung für Beschäftigte.

Welche Alternativen zu Staffbase gibt es?

Vergleichbare europäische Plattformen sind Beekeeper (Schweiz), Workvivo (Irland, Teil von Zoom), LumApps (Frankreich) und Speakap (Niederlande). Im Microsoft Umfeld sind Viva Engage oder Yammer Alternativen. Jede hat eigene Hosting Region, DPA und Funktionsumfang.

Wie aktualisiere ich die Cookie Richtlinie?

Listen Sie die drei strikt erforderlichen Cookies (sb_session, sb_token, sb_csrf) mit Dauer und Zweck. Erwähnen Sie optionale Funktionscookies (Theme, Sprache). Auf Mobile dokumentieren Sie FCM und APNs mit ihren Transfermechanismen. Die Beschäftigten Datenschutzerklärung sollte zudem Engagement Analytics und Widerspruchsoptionen beschreiben.

Gleiche Kategorie

Weitere Dienste: Sonstige

Ganze Kategorie ansehen

Applied CSR24

Analyse

DoorLoop

Marketing

CloudSponge

Notwendig

Countable

Sonstige

Buildertrend

Präferenzen

Merlin

Präferenzen

Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

Mein Banner erstellenMeine Website scannen