Die humera HR Suite ist eine HR-Plattform für mittelständische Unternehmen mit 50 bis 300 Mitarbeitenden im DACH-Raum. Sie verbindet Personalverwaltung, Recruiting, Zeiterfassung, Entwicklung, Dokumentenmanagement und Analytics in einer Oberfläche — durchgängige Prozesse statt zusammengesteckter Einzeltools. Die Architektur basiert auf Single Tenant mit EU-Hosting, optional als On-Premises-Betrieb.
Personaldaten gehören zu den sensibelsten Daten im Unternehmen. Entsprechend prüfen IT- und Datenschutzverantwortliche HR-Software genauer als andere Anwendungen. In der Praxis entscheiden vier Ebenen:
Architektur. Teilst du eine Systemumgebung mit anderen Kunden oder nicht? Das ist eine technische Eigenschaft, keine Frage der Richtlinie.
Berechtigungen. Wie fein lässt sich steuern, wer welche Daten sehen, bearbeiten und löschen darf?
Nachvollziehbarkeit. Werden Änderungen an Personaldaten protokolliert, und wie lange bleiben sie prüfbar?
Löschung. Gibt es Fristen, und werden sie technisch durchgesetzt? Dauerhafte Aufbewahrung ist kein Sicherheitsmerkmal, sondern ein DSGVO-Risiko.
Zertifizierungen und externe Prüfungen sind wichtige Indikatoren. Sie ersetzen aber keine dieser vier Antworten.
Die humera HR Suite ist eine HR-Plattform für mittelständische Unternehmen mit 50 bis 300 Mitarbeitenden im DACH-Raum. Sie verbindet Personalverwaltung, Recruiting, Zeiterfassung, Entwicklung, Dokumentenmanagement und Analytics in einer Oberfläche — durchgängige Prozesse statt zusammengesteckter Einzeltools. Die Architektur basiert auf Single Tenant mit EU-Hosting, optional als On-Premises-Betrieb.
Vorteile:
Einschränkungen:
Personio ist eine cloudbasierte HR-Software aus München für kleine und mittlere Unternehmen. Die Plattform deckt Personalverwaltung, Recruiting, Zeiterfassung und Lohnvorbereitung ab. Nach Anbieterangaben läuft die Infrastruktur auf Amazon Web Services mit Serverstandorten in der EU, in einer Multi-Tenant-Architektur mit logischer Mandantentrennung.
Vorteile: Etablierte Integrationen über den Marketplace, externe Sicherheitsforschung über das Bug-Bounty-Programm, externer Datenschutzbeauftragter.
Einschränkungen: In einer Multi-Tenant-Architektur teilen mehrere Kunden dieselbe Infrastruktur; die Trennung erfolgt logisch. Erweitertes Reporting erfordert je nach Tarif Zusatzmodule.
Rexx Systems ist ein deutscher HR-Softwareanbieter mit Sitz in Hamburg. Die Lösung adressiert Mittelstand und Konzerne mit Schwerpunkt auf Recruiting, Talentmanagement und Personalverwaltung. Nach Anbieterangaben erfolgt das Hosting über deutsche Partner, und Rexx betreibt ein öffentlich zugängliches Trust Center.
Vorteile: Umfangreiche öffentliche Sicherheitsdokumentation, deutsche Hosting-Partner, regelmäßige externe Penetrationstests, Wahlmöglichkeit zwischen Cloud und On-Premises.
Einschränkungen: Individuelle Anpassungen erfordern häufig Beratungsunterstützung. Ein Teil der Sicherheitsdokumente ist nur auf Anfrage verfügbar.
Hier unterscheiden sich die Ansätze grundlegend. humera arbeitet nach dem Single-Tenant-Prinzip: Jeder Kunde erhält eine eigene, technisch isolierte Instanz. Datentrennung ist damit eine Eigenschaft der Architektur, nicht eine Konfigurationsentscheidung.
Personio setzt nach eigenen Angaben auf Multi-Tenant mit logischer Mandantentrennung — mehrere Kunden nutzen dieselbe Infrastruktur, die Zuordnung erfolgt über eindeutige Kennungen. Beide Modelle sind DSGVO-konform umsetzbar. Für Organisationen mit erhöhtem Schutzbedarf, etwa im Gesundheitswesen, in der Rüstungszulieferung oder bei kritischer Infrastruktur, ist die technische Isolierung häufig eine Anforderung aus dem eigenen Risikomanagement heraus. Frage im Auswahlprozess konkret nach dem Architekturmodell und lass dir die Antwort schriftlich geben.
humera steuert Zugriffe über feingranulare Berechtigungssteuerung, die an Abteilungen und Organisationseinheiten gekoppelt sind, differenziert nach sehen, bearbeiten und löschen. Kontextabhängige Rechte begrenzen den Zugriff auf die eigene Einheit, etwa damit Führungskräfte ihr Team sehen und nicht die Nachbarabteilung. Die Zahl möglicher Rollen- und Berechtigungskonzepte ist nicht begrenzt.
Personio arbeitet mit rollenbasierter Zugriffskontrolle und vordefinierten Rollen. Rexx Systems dokumentiert Zugriffskontrollen im Rahmen der ISO-Zertifizierung. Welche Granularität du tatsächlich brauchst, hängt von deiner Organisation ab: Prüfe im Test, ob sich eure sensibelsten Fälle abbilden lassen — etwa Gehaltsdaten, BEM-Vorgänge oder Personalgespräche.
humera protokolliert Änderungen an Personaldaten mit Zeitstempel und verantwortlicher Person und hält zeitliche Verläufe nachvollziehbar. Damit sind interne Kontrollen und externe Prüfungen belegbar.
Personio stellt nach eigenen Angaben ein Audit-Log für persönliche Informationen, Lohnabrechnung und Zugriffsrechte bereit. Rexx Systems führt Transaktions- und Zugriffsprotokollierung im Rahmen der technisch-organisatorischen Maßnahmen.
Ein Hinweis zur Abgrenzung: Änderungsprotokolle und Zugriffsprotokolle sind nicht dasselbe. Ein Änderungsprotokoll zeigt, wer welchen Datensatz verändert hat. Ein Zugriffsprotokoll erfasst zusätzlich Lesezugriffe. Frage bei jedem Anbieter explizit nach, was protokolliert wird und wie lange die Protokolle aufbewahrt werden.
Alle drei Anbieter verarbeiten Daten in der EU, die Infrastrukturpartner unterscheiden sich. humera hostet in der EU und bietet zusätzlich einen On-Premises-Betrieb — relevant, wenn interne Richtlinien oder Kundenanforderungen eine Cloud ausschließen.
Personio betreibt die Infrastruktur nach eigenen Angaben auf Amazon Web Services mit EU-Serverstandorten. Rexx Systems arbeitet mit deutschen Hosting-Partnern und bietet ebenfalls On-Premises an.
Personio und Rexx Systems weisen beide eine ISO-27001:2022-Zertifizierung aus und lassen externe Penetrationstests durchführen. humera weist aktuell keine ISO-27001-Zertifizierung aus und stützt die Sicherheitsargumentation auf Architektur, Berechtigungskonzept, Protokollierung und Betriebsmodell.
Wichtig für die Einordnung: ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem, also Prozesse und Verantwortlichkeiten. Das Zertifikat sagt nichts darüber aus, ob deine Daten in einer eigenen oder einer geteilten Instanz liegen. Beide Aspekte sind relevant und ersetzen sich nicht gegenseitig.
| Kriterium | humera | Personio | Rexx Systems |
|---|---|---|---|
| Architekturmodell | Single Tenant | Multi-Tenant, logische Trennung | nach Anbieterangaben Multi-Tenant |
| Eigene Instanz pro Kunde | ✓ | ✗ | nicht ausgewiesen |
| On-Premises-Betrieb möglich | ✓ | ✗ | ✓ |
| Datenverarbeitung in der EU | ✓ | ✓ | ✓ |
| Granulare Rollen- und Berechtigungssteuerung | ✓ | ✓ | ✓ |
| Änderungsprotokoll für Personaldaten | ✓ | ✓ | ✓ |
| Zugriffsprotokoll für Lesezugriffe | nicht ausgewiesen | ✓ | ✓ |
| Archivierung nach eigenen Löschfristen | ✓ | ✓ | nicht ausgewiesen |
| Mandantenfähigkeit für mehrere Gesellschaften | ✓ | teilweise | ✓ |
| ISO 27001 zertifiziert | ✗ | ✓ (27001:2022) | ✓ (27001:2022) |
| Öffentliches Trust Center | ✗ | ✓ | ✓ |
| Konfiguration ohne Beraterprojekt | ✓ | ✓ | mit Beratungsunterstützung |
Alle Angaben zu Drittanbietern nach öffentlich verfügbaren Herstellerinformationen, Stand Juli 2026. „Nicht ausgewiesen" bedeutet, dass der Anbieter dazu keine öffentliche Angabe macht — nicht, dass die Funktion fehlt. Prüfe die für dich entscheidenden Punkte im eigenen Auswahlprozess.
Einen ausführlicheren Funktionsvergleich findest du in unserem Anbietervergleich.
Diese Fragen führen im Auswahlprozess schneller zu belastbaren Antworten als jede Featureliste:
Wer auf mehrere dieser Fragen ausweicht, ist unabhängig von der Zertifikatslage ein Risiko.
Die humera HR Suite verbindet einen technischen Architekturvorteil mit operativer Eigenständigkeit. Die Single-Tenant-Architektur gibt dir eine eigene, abgeschottete Umgebung. Das unterscheidet humera von Multi-Tenant-Lösungen, bei denen mehrere Kunden dieselbe Infrastruktur nutzen und die Trennung logisch erfolgt. Wenn dein Risikomanagement oder ein Kunde eine Cloud ausschließt, läuft die Suite auch im eigenen Rechenzentrum.
Für HR-Teams im Mittelstand kommt ein zweiter Punkt dazu: Berechtigungen, Rollen und Archivierungsfristen konfiguriert dein Team selbst in der Oberfläche, ohne IT-Ticket und ohne Beraterprojekt. Datenschutz bleibt damit im Alltag steuerbar, statt an einer Projektwarteschlange zu hängen.
Wir sagen dabei offen, was wir nicht haben: eine ISO-27001-Zertifizierung weisen wir aktuell nicht aus. Was wir liefern, ist eine überprüfbare Architektur, ein belastbares Rechtekonzept und ein Änderungsprotokoll, das in Prüfungen trägt.
Sieh dir an, wie das in deinem Kontext aussieht: Termin vereinbaren — 30 Minuten mit Architektur- und Rechtefragen im Fokus, gern gemeinsam mit deiner IT.
Bei Single Tenant erhält jeder Kunde eine eigene, technisch isolierte Instanz der Software. humera nutzt dieses Modell: Deine Personaldaten liegen in einer eigenen Umgebung, nicht in einer gemeinsamen Datenbank mit anderen Unternehmen. Bei Multi-Tenant teilen sich mehrere Kunden eine Infrastruktur, die Trennung erfolgt logisch über Kennungen. Beide Modelle sind DSGVO-konform umsetzbar, unterscheiden sich aber im Isolationsniveau.
Nein. ISO 27001 zertifiziert ein Managementsystem für Informationssicherheit — also Prozesse, Rollen und Kontrollen. Es sagt nichts darüber aus, ob deine Daten in einer eigenen oder einer geteilten Instanz liegen. Prüfe beides getrennt.
Du stimmst Zugriffsrechte auf Rollen, Abteilungen und Organisationseinheiten ab und unterscheidest dabei zwischen sehen, bearbeiten und löschen. In humera lassen sich Rechte kontextabhängig begrenzen, sodass Führungskräfte ihr eigenes Team sehen und keine fremden Datensätze. Das senkt das Risiko unbefugter Einsicht bei sensiblen Daten wie Gehalt oder Gesundheitsangaben.
EU-Hosting stellt sicher, dass personenbezogene Daten innerhalb der EU verarbeitet und gespeichert werden. Das vereinfacht die Einhaltung der DSGVO, weil keine Drittlandtransfers mit zusätzlichen Schutzmaßnahmen zu begründen sind. humera verarbeitet Daten in der EU und bietet zusätzlich einen On-Premises-Betrieb.
Ein Änderungsprotokoll dokumentiert, wer welchen Datensatz wann verändert hat. Ein Audit- oder Zugriffsprotokoll erfasst darüber hinaus Ereignisse wie Lesezugriffe oder Rechteänderungen. humera protokolliert Änderungen an Personaldaten mit Zeitstempel, verantwortlicher Person und zeitlichem Verlauf. Frage bei jedem Anbieter nach, welche Ereignisarten erfasst und wie lange sie aufbewahrt werden.
Das hängt von der Datenart ab: Für Lohnunterlagen und steuerrelevante Dokumente gelten gesetzliche Aufbewahrungsfristen, Bewerberdaten sind dagegen nach Abschluss des Verfahrens zügig zu löschen. Wichtig ist, dass die Software Fristen abbilden und durchsetzen kann. In humera hinterlegst du Aufbewahrungs- und Löschfristen in der Archivierung, statt sie manuell zu überwachen. Die konkreten Fristen für euren Fall klärt dein Datenschutzbeauftragter.
Die humera HR Suite ist für mittelständische Unternehmen mit 50 bis 300 Mitarbeitenden im DACH-Raum gebaut. Unter 50 Mitarbeitenden ist ein schlankeres Tool meist die bessere Wahl. Für internationale Konzernstrukturen sind Lösungen mit globalem Fokus geeigneter. Wie sich die Suite im Alltag anfühlt, siehst du in der interaktiven Produkttour.