Ein DSGVO-konformes EAP speichert Mitarbeiterdaten in der EU, erklärt in verständlicher Sprache, wer was sehen kann, sendet Arbeitgebern ausschließlich anonymisierte Berichte und stellt dem Einkauf eine Dokumentation zur Verfügung, die jedem Audit standhält. Die Dokumentation ist die leichtere Hälfte. Die schwierigere Hälfte ist, ob ein Mitarbeiter um 23 Uhr, der von etwas geplagt wird, das er noch niemandem anvertraut hat, dem Vertraulichkeitsversprechen genug Glauben schenkt, um es einzutippen. Traditionelle EAPs verzeichnen im Schnitt rund 5 % Nutzung, und in Branchen wie der Fertigungsindustrie und dem Einzelhandel sinkt diese Rate auf 2 %. Kyan Health liegt bei 10 % bis 40 %. Die Datenschutzarchitektur spielt bei dieser Lücke eine größere Rolle, als die meisten Anbieter-Präsentationen zugeben.
Warum DSGVO-Konformität über Ihre EAP-Nutzung entscheidet
Die Einhaltung der DSGVO treibt die EAP-Nutzung voran, weil Mitarbeiter nur ein Angebot für mentale Gesundheit nutzen, dem sie vertrauen. Vertrauen entsteht durch das Verständnis des Datenschutzmodells und nicht dadurch, dass man ihnen lediglich sagt, dass es existiert.
Hier ist der Punkt, den die meisten Anbieter falsch angehen. Sie schreiben das Datenschutzkonzept für den Einkauf und nehmen an, dass die Mitarbeiter dieses Vertrauen automatisch übernehmen. Das tun sie nicht. Der Einkauf liest einen Auftragsverarbeitungsvertrag. Ein Mitarbeiter liest einen Bildschirm – und zwar genau einmal, während er entscheidet, ob er zugeben soll, dass er Probleme hat.
Das sind zwei völlig unterschiedliche Produkte, und die meisten EAPs liefern nur das erste.
Überlegen Sie, was jemandem tatsächlich durch den Kopf geht. Wird mein Vorgesetzter davon erfahren? Erhält die Personalabteilung eine Liste? Wenn ich das Wort „Burnout“ eingebe, landet das dann irgendwo in einer Akte mit meinem Namen? Ein Angebot kann in jedem Land, in dem Sie tätig sind, aktiv sein und trotzdem bei einer Nutzungsrate von 2 % verharren, weil niemand diese Fragen in einfachen Worten beantwortet hat, die man sich merken kann.
Eine dichte juristische Formulierung erfüllt eine Audit-Anforderung. Für die Person am Entscheidungspunkt tut sie gar nichts. Kyans Analyse des EAP-Nutzungsproblems erklärt, warum reiner Zugang allein niemals Vertrauen schafft, und woran Mitarbeiter glauben müssen, bevor sie den Service überhaupt nutzen.
Was ein EAP tatsächlich DSGVO-konform macht
Ein DSGVO-konformes EAP macht vier Dinge explizit und konsistent: wo die Daten liegen, wer sie verarbeitet, was der Arbeitgeber sehen kann und was mit einer Anfrage nach dem Absenden geschieht.
Beginnen wir mit der rechtlichen Relevanz. Informationen zur mentalen Gesundheit sind sensible Daten im Sinne von Artikel 9 der DSGVO, was höhere Hürden als bei gewöhnlichen personenbezogenen Daten aufstellt. Angstzustände, Trauer, eine scheiternde Ehe, ein Alkoholproblem. Dies sind die sensibelsten Informationen, mit denen ein Arbeitgeber jemals in Berührung kommt, und die einzig richtige Haltung ist, so viel Abstand dazu zu halten, wie es der Service zulässt.
Kyan Health hostet Daten in der EU und gibt keine identifizierbaren Mitarbeiterdaten an den Arbeitgeber weiter. Arbeitgeber sehen anonymisierte Berichte auf Unternehmensebene. Sie sehen nicht, wer gebucht hat oder warum.
Ein Plattform-Diagramm ist sehr wenig wert, wenn der Anbieter es nicht auf den Weg des Mitarbeiters übertragen kann. Jeder Einstiegspunkt erzeugt eine andere Dateninteraktion: die App, das Care Navigation System, ein Gespräch mit einem lizenzierten Therapeuten, die Berichtsebene. Bitten Sie einen Anbieter, jeden einzelnen Schritt durchzugehen und zu erklären, was erfasst wird, wo es gespeichert wird und wer damit in Berührung kommt. Vage Antworten auf diese Frage sind bereits die Antwort.
Für mehr Kontext dazu, wie sich das zugrunde liegende Modell verändert hat, lesen Sie über traditionelles versus modernes EAP-Design und wie ein modernes EAP im Jahr 2026 aussieht.
Ein einziges Datenschutzmodell für alle europäischen Einheiten
Ein modernes EAP sollte ein einheitliches Datenschutzmodell für alle europäischen Einheiten nutzen, mit Dokumentationen auf Länderebene, die zeigen, wie es in den jeweiligen regulatorischen Rahmenbedingungen angewendet wird.
Ein Mitarbeiter in München und einer in Madrid sollten am selben Punkt ihrer Journey dieselbe Erklärung zur Vertraulichkeit in ihrer jeweiligen Landessprache erhalten. Abweichungen an dieser Stelle sind kein bloßes Lokalisierungsdetail. Sie erwecken bei den Menschen den Verdacht, dass das Versprechen verhandelbar ist.
Zwei praktische Prüfungen: Stellen Sie erstens sicher, dass lizenzierte Therapeuten in dem Land ansässig sind, in dem es die lokalen Richtlinien erfordern. Zweitens: Vergleichen Sie die Texte, die sich an die Mitarbeiter richten, mit dem Vertrag und den Antworten für den Einkauf. Wenn diese drei Stellen die Vertraulichkeit unterschiedlich beschreiben, merken Mitarbeiter das irgendwann, und die Version, die sie glauben werden, ist die am wenigsten beruhigende.
Entscheiden Sie dann, wer nach der Vertragsunterzeichnung für die Überprüfung zuständig ist. Strukturen verschieben sich, Funktionen werden veröffentlicht, Vorschriften ändern sich. Prüfen Sie diese Punkte erneut, wenn sich etwas ändert, und nicht nur bei der Auswahl des Anbieters.
Das Dokumentationspaket, das der Einkauf anfordern sollte
Der Einkauf sollte ein einziges, überprüfbares Dokumentenpaket erwarten, das die Verarbeitung, Unterauftragsverarbeiter, Hosting, Vertraulichkeitsbedingungen, Arbeitgeber-Berichte und KI-Governance abdeckt.
Fragen Sie nach:
Dem Auftragsverarbeitungsvertrag, der das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter beschreibt
Dokumenten zu Unterauftragsverarbeitern, in denen jeder Akteur und seine Rolle genannt werden
Details zum Hosting, die angeben, wo jede Datenkategorie physisch liegt
Vertraulichkeitsbedingungen, die genau regeln, was der Arbeitgeber sehen kann und was nicht
Spezifikationen zur Berichterstattung, die genau zeigen, welche Daten im Dashboard des Arbeitgebers landen
KI-Governance-Richtlinien, die den Zweck, die Grenzen und die menschliche Aufsicht abdecken
Einem definierten Prozess zur Benachrichtigung, wenn sich einer der oben genannten Punkte wesentlich ändert
Der Teil, der wichtiger ist als die Liste selbst: Diese Dokumente müssen miteinander übereinstimmen. Der Vertrag, die Datenschutzerklärung, die technische Erläuterung und die für Mitarbeiter bestimmten Texte sollten alle dieselbe Geschichte darüber erzählen, wo Daten liegen und wer sie sieht. Wenn sie das nicht tun, rettet das auch keine Zertifizierung, denn ein Zertifikat bescheinigt einen Prozess und nicht die Kohärenz Ihrer Nachweise.
Barrierefreiheit zählt ebenfalls. Dokumente, die über unzusammenhängende Seiten verstreut sind, verlangsamen die Prüfung und schwächen Ihre Argumentation, wenn Sie die Entscheidung ein Jahr später verteidigen müssen. Kyans Fragen an einen EAP-Anbieter eignen sich hervorragend als Struktur für Gespräche mit Dienstleistern, bevor Verträge zur finalen Prüfung vorliegen. Anstatt diese Liste selbst zu erstellen, fasst der EAP Buyer’s Guide 132 Fragen aus echten Ausschreibungen zusammen – inklusive der Information, wie oft sie gestellt werden und wie sich eine ungenügende Antwort anhört. Kostenlos und anbieterneutral.
KI-Leitplanken und der EU-KI-Akt
KI in einem EAP benötigt eine dokumentierte Governance: einen erklärten Zweck für jede Funktion, definierte Grenzen, transparenten Umgang mit Daten und eine benannte menschliche Verantwortung.
KAI ist der KI-gestützte Care Guide von Kyan. Seine Rolle liegt in der Navigation und Ersteinschätzung. Er leitet Menschen an die richtige Unterstützung weiter und ist zu Zeiten verfügbar, in denen sonst niemand da ist. KAI stellt keine Diagnosen und ersetzt keinen lizenzierten Therapeuten.
Diese Unterscheidung muss klar formuliert werden, da der EU-KI-Akt strenge Grenzen für Systeme zieht, die mit Gesundheit zu tun haben, und weil Mitarbeiter zu Recht skeptisch gegenüber Chatbots für mentale Gesundheit sind. Wenn ein Anbieter impliziert, dass eine KI-Funktion Diagnosen stellt oder Ergebnisse garantiert, sagt Ihnen das einiges über den Rest seiner Governance.
Fragen Sie, wo KI im Weg des Mitarbeiters auftaucht, welche Daten sie berührt, wo diese Daten gehostet werden und wer verantwortlich ist, wenn etwas schiefgeht. Produkttexte, Datenschutzdokumente und Governance-Materialien sollten exakt dieselben Grenzen ziehen. Wenn das Marketing mutiger formuliert ist als der AV-Vertrag, glauben Sie dem AV-Vertrag.
Dieselbe Klarheit fördert die Akzeptanz. Menschen zögern, wenn sie nicht wissen, was eine KI-Funktion mit ihren Eingaben macht. Eine klar definierte Rolle nimmt diese Unsicherheit. Mehr über KAIs Rolle bei Kyan.
So bewerten Sie DSGVO-konforme EAP-Anbieter
Prüfen Sie Datenschutz, Arbeitgeber-Sichtbarkeit, Dokumentation, Berichterstattung und KI-Governance als ein zusammenhängendes Modell und nicht als separate Posten beim Einkauf.
Beginnen Sie mit der direkten Frage: Kann ein Arbeitgeber feststellen, wer den Dienst genutzt hat oder warum? Vergleichen Sie diese Antwort dann mit dem Vertrag, den Datenschutzdokumenten und einer Live-Demo der Berichterstattung. Die meisten Datenschutz-Versprechen fallen bei der Demo in sich zusammen, weil ein Dashboard Ihnen zeigt, was der Anbieter tatsächlich gebaut hat, und nicht das, was in der Präsentation versprochen wurde.
Bitten Sie um eine gefilterte Ansicht einer kleinen Kohorte. Wenn ein Dashboard die Daten bis auf ein Team von sechs Personen herunterbrechen kann, ist eine Identifizierung von Einzelpersonen möglich, ganz gleich, was in den Richtlinien steht.
Käufer, die Lyra Health, Spring Health oder Modern Health in die engere Wahl ziehen, sollten alle Anbieter demselben Test unterziehen und die Antworten direkt miteinander vergleichen. Kyan Health hostet Daten in der EU, teilt keine identifizierbaren Mitarbeiterdaten mit Arbeitgebern und ermöglicht einen ersten Termin in weniger als drei Tagen. Kyans 11 Kriterien für die Auswahl eines EAP-Anbieters und diese Anbieterübersicht für globale Teams bieten Ihnen einen breiteren Rahmen. Details zur Berichterstattung finden Sie unter was Arbeitgeber tatsächlich sehen können.
Häufig gestellte Fragen
Was macht ein EAP DSGVO-konform?
Ein DSGVO-konformes EAP behandelt Daten zur mentalen Gesundheit als sensible Daten gemäß Artikel 9, hostet sie rechtmäßig, dokumentiert jeden Auftragsverarbeiter und beschränkt die Sichtbarkeit des Arbeitgebers auf anonymisierte Berichte. Es sollte in einer für den Mitarbeiter verständlichen Sprache ohne Fachchinesisch erklären, wo die Daten liegen, wer sie verarbeitet und was beim Arbeitgeber ankommt. Die rechtliche Dokumentation und die für Mitarbeiter bestimmten Texte müssen dasselbe Modell beschreiben.
Kann mein Arbeitgeber sehen, ob ich das EAP genutzt habe?
Bei einem richtig gestalteten EAP: Nein. Kyan Health teilt keine identifizierbaren Mitarbeiterdaten mit Arbeitgebern. Die Personalabteilung erhält anonymisierte Berichte auf Unternehmensebene, die Nutzungsmuster zeigen, aber keine Namen oder Gründe für die Kontaktaufnahme. Lassen Sie sich dies schriftlich bestätigen, bevor Sie einen Dienst nutzen, und prüfen Sie den Wortlaut im Vertrag und nicht auf der Marketingseite, da diese beiden Quellen manchmal voneinander abweichen.
Müssen EAP-Daten in der EU gehostet werden?
Nicht zwingend, aber das Hosting in der EU schließt ein erhebliches Risiko aus und verkürzt die Prüfung. Die DSGVO erlaubt Datenübermittlungen außerhalb der EU unter bestimmten Mechanismen, aber jeder dieser Mechanismen bringt zusätzliche Dokumentation, strenge Prüfungen und Unsicherheiten mit sich, die sich später ändern können. Kyan Health hostet Daten in der EU. Wenn ein Anbieter woanders hostet, fragen Sie nach, welcher Übermittlungsmechanismus gilt und was passiert, wenn dieser für ungültig erklärt wird.
Welche Dokumente sollten wir von einem EAP-Anbieter anfordern?
Fordern Sie den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, Details zum Hosting, die Vertraulichkeitsbedingungen für Mitarbeiter, Spezifikationen zur Berichterstattung, KI-Governance-Unterlagen und Nachweise über eventuelle Zertifizierungen an. Vergleichen Sie diese dann miteinander. Widersprüche zwischen dem Vertrag, den Datenschutzhinweisen und den für Mitarbeiter bestimmten Texten wiegen schwerer als jedes einzelne Zertifikat, da sie zeigen, dass das Modell intern nicht konsistent gelöst ist.
Wie gilt der EU-KI-Akt für ein EAP?
Der EU-KI-Akt legt Pflichten bezüglich Transparenz, menschlicher Aufsicht und Risikoklassifizierung fest, wobei Systeme im Gesundheitsbereich einer strengeren Kontrolle unterliegen. Für ein EAP bedeutet dies, dass jede KI-Funktion einen dokumentierten Zweck, definierte Grenzen und eine benannte menschliche Verantwortung benötigt. Fragen Sie nach, wo KI im Weg des Mitarbeiters vorkommt, welche Daten sie verarbeitet und wie man an jedem Punkt einen Menschen erreichen kann.
Zusammenfassend
Zwei Parteien müssen überzeugt werden. Der Einkauf benötigt Beweise, dass die Zusagen einer Prüfung standhalten. Die Mitarbeiter benötigen einen Grund, der Plattform Dinge anzuvertrauen, die sie noch nie laut ausgesprochen haben. Die meisten Anbieter entwickeln für die erste Partei und hoffen, dass die zweite folgt. Das tut sie nicht, und eine geringe Nutzungsrate ist das, was zwölf Monate später auf dem Dashboard sichtbar wird. Kyan Health ist ein modernes EAP, das so konzipiert ist, dass dieselbe Datenschutzarchitektur beide Anforderungen erfüllt.
Sie führen eine Ausschreibung durch? Starten Sie mit dem Fragenkatalog oder buchen Sie eine Demo und fordern Sie uns heraus.
Barbra Okafor
Content and Growth Marketing Manager
