HR Software Demo-Fragen bewerten: vom Vorführeffekt zur belastbaren Entscheidung
Die Shortlist steht, die Demo-Termine sind gebucht. In Phase 5 des sechsstufigen Auswahlprozesses entscheidet sich, ob die spätere Wahl auf echten Fakten beruht oder auf einem gut inszenierten Vorführeffekt, denn der teuerste Denkfehler in diesem Schritt ist die Verwechslung von „die Funktion ist vorhanden“ mit „die Funktion ist im Alltag nutzbar“.
Was diese Seite für Phase 5 abdeckt
Diese Seite ist der verbindliche Prozessschritt der sechsphasigen Auswahlserie für Phase 5. Sie führt von der Vorbereitung des Termins über die Durchführung bis zur Bewertung und zum Übergang in die nächste Phase, inklusive der Mitbestimmungs- und Datenschutzpflichten und des Demo-Fragenkatalogs als Artefakt.
Briefing, Szenarien, Testdaten
Schriftliches Briefing, eigene Szenarien mit Drehbuch, realistische Testdaten und eine feste Agenda mit Zeitboxen.
Live-Beweise, Technik, Recht
Live-Konfiguration statt Behauptung, Prüfung von Anmeldung, Schnittstellen und Datenschutz, Mitbestimmung des Betriebsrats und die Prüffragen zum EU AI Act.
Scorecard, PoC, Wirkung
Gewichtete Scorecard mit Rechenbeispiel, Übergang in einen Proof of Concept und eine einfache Wirkungsrechnung als Brücke zum Business Case in Phase 6.
Warum HR-Software-Demos so oft täuschen
Ein Demo-Termin ist aus Sicht des Anbieters eine Verkaufssituation, keine neutrale Produktprüfung, und genau deshalb entscheidet Phase 5 über die Qualität deiner gesamten Auswahl.
Die Vertriebsteams zeigen die Wege durch das System, die am besten aussehen, mit Testdaten, die keine Sonderfälle enthalten, und in einer Reihenfolge, die die eigenen Stärken betont. Das ist kein Vorwurf, sondern die logische Konsequenz der Situation. Für dein Unternehmen bedeutet das: Wenn du dem Anbieter die Regie über Agenda, Szenarien und Tempo überlässt, siehst du am Ende eine Werbeveranstaltung und keine Entscheidungsgrundlage. Die Aufgabe von Phase 5 ist deshalb, die Regie selbst zu übernehmen. Du bestimmst, welche Prozesse gezeigt werden, mit welchen Daten, in welcher Tiefe und nach welchem Maßstab bewertet wird. Nur so werden mehrere Anbieter überhaupt vergleichbar, denn ein Vergleich setzt voraus, dass alle an derselben Aufgabe gemessen werden.
„Feature vorhanden“ ist nicht „Feature nutzbar“
Ein Anbieter bestätigt eine Anforderung mit „ja, das können wir“, zeigt einen Screenshot oder eine Menüoption, und im Protokoll wird die Anforderung als erfüllt abgehakt. Das Problem zeigt sich erst nach dem Kauf, wenn dieselbe Funktion im Live-Betrieb kaum genutzt wird, weil sie eine aufwendige Konfiguration braucht, nur über ein teures Zusatzmodul verfügbar ist oder nur durch den Support des Anbieters gegen Zusatzkosten eingerichtet werden kann.
Freigabe-Workflow ohne Ausnahmeregel
Der Anbieter zeigt im Demo eine Freigabe für einen Urlaubsantrag und bestätigt mehrstufige Workflows. Nicht sichtbar wird, ob eine Ausnahmeregel für eine einzelne Abteilung von der HR-Abteilung selbst angelegt werden kann, oder ob dafür ein Ticket beim Anbieter mit im Schnitt zwei Wochen Bearbeitungszeit nötig ist.
„Flexibles Reporting“ mit SQL-Hürde
Ein generischer Report-Builder wird als flexibles Reporting präsentiert. In der Praxis stellt sich später heraus, dass ein spezifischer Auswertungsbedarf, etwa eine Abweichungsanalyse über mehrere Tarifgruppen, nur mit SQL-Kenntnissen oder einem kostenpflichtigen Consulting-Tag umsetzbar ist.
SSO als teures Enterprise-Add-on
SSO wird im Gespräch als vorhanden bestätigt, taucht aber erst im späteren Angebot als kostenpflichtiges Enterprise-Add-on auf, das im ursprünglich kalkulierten Lizenzpaket nicht enthalten war.
Saubere Testdaten, unsaubere Realität
Im Demo bewertet die KI-Funktion Testkandidaten gegen ein Stellenprofil mit überzeugend sauberen Ergebnissen, weil die Testdaten kuratiert sind. Auf echte, unstrukturierte Lebensläufe mit uneinheitlichen Formaten oder gescannten Dokumenten trifft, sinkt die Trefferqualität, und die Vorauswahl muss manuell nachgeprüft werden.
In allen vier Fällen war die Aussage „die Funktion existiert“ technisch korrekt. Trotzdem führte sie zu einer Fehleinschätzung, weil die eigentliche Frage nicht lautet, ob eine Funktion im Produkt existiert, sondern ob dein Team sie im Alltag ohne externe Hilfe, ohne Zusatzkosten und ohne wochenlange Wartezeit nutzen kann. Eine strukturierte Herangehensweise unterscheidet deshalb konsequent zwischen fünf Reifegraden einer Funktion (Quelle: Umbrex Enterprise Software Selection Playbook, Abschnitt Demo Management, 2026):
Das SSO-Beispiel zeigt den Unterschied zwischen den letzten beiden Stufen besonders deutlich: Eine individuelle Anpassung wird von deinem eigenen Team oder einem beauftragten Dienstleister umgesetzt, während ein Add-on ein zusätzliches, vom Anbieter selbst verkauftes Lizenzpaket ist. Nur die ersten beiden Kategorien, nativ und konfigurierbar, sollten im Scoring als „erfüllt“ gewertet werden, alles andere gehört gesondert notiert.
Die Scorecard: Demos objektiv vergleichbar machen
Ohne eine gemeinsame Bewertungsgrundlage bleibt jeder Demo-Eindruck subjektiv, und subjektive Eindrücke sind zwischen mehreren Teilnehmenden kaum vergleichbar. Eine Scorecard löst das, indem sie vorab festlegt, was bewertet wird und wie stark jedes Kriterium zählt.
Funktions-Fit
Wie vollständig deckt der Anbieter deine geschäftskritischen Prozesse nativ oder konfigurierbar ab.
Usability
Wie intuitiv arbeiten Fachbereich und HR-Team im Alltag mit dem System, ohne Schulungsaufwand.
Integrationen
Wie reibungslos bindet sich die Lösung an bestehende Lohn-, ERP- und Kollaborationssysteme an.
Sicherheit & Compliance
DSGVO-Konformität, Auftragsverarbeitung, Rollen- und Rechtekonzept sowie KI-spezifische Prüfpflichten.
Betrieb & Support
Reaktionszeiten, Update-Zyklen, Sprache des Supports und Verfügbarkeit einer Sandbox-Umgebung.
Total Cost of Ownership
Erste Indikation versteckter Kostenfallen bei einzelnen Funktionen, die vertiefte TCO-Bewertung folgt in Phase 6.
Diese Gewichtung ist die Standardempfehlung von Find-Your-HR für Mittelstandsprojekte und lässt sich an den eigenen Schwerpunkt anpassen. Die vergleichsweise niedrige Gewichtung von Total Cost of Ownership ist an dieser Stelle bewusst gewählt und kein Widerspruch zu den Warnungen vor versteckten Kosten aus dem vorigen Abschnitt: Phase 5 soll versteckte Kostenfallen bei einzelnen Funktionen aufdecken und dokumentieren, während die eigentliche vertiefte Kostenbewertung, also der Vergleich der Gesamtkosten über die gesamte Vertragslaufzeit, erst im Business Case in Phase 6 erfolgt. Wer TCO bereits in Phase 5 stärker gewichten möchte, kann die Verteilung anpassen, sollte dann aber die übrigen Werte entsprechend reduzieren, damit die Summe bei 100 Prozent bleibt.
Innerhalb jeder Kategorie bewertet jede teilnehmende Person unabhängig auf einer Skala von eins bis fünf, mit einer kurzen Definition pro Punktwert, damit eine Vier bei allen Bewertenden dasselbe bedeutet. Diese sogenannte verankerte Skala gilt in der Praxis als wirksames Mittel gegen zu große Streuung zwischen den Bewertenden, weil niemand seine eigene, private Definition von „gut“ anwendet (Quelle: Umbrex Enterprise Software Selection Playbook, 2026).
Wichtig ist außerdem eine Regel, die viele Teams unterschätzen: Bewertet wird nur, was live gezeigt und mit einem Beleg unterlegt wurde, niemals eine mündliche Zusage allein. Eine Roadmap-Ankündigung wird separat vermerkt und fließt nicht in den Score ein. Nach dem Termin gleichen alle Teilnehmenden ihre Einzelbewertungen ab, diskutieren Abweichungen anhand konkreter Beobachtungen und konsolidieren zu einem gemeinsamen Ergebnis, das sich gegenüber Geschäftsführung oder Einkauf begründen lässt.
Die Scorecard in der Praxis: zwei Anbieter, ein knappes Ergebnis
Ein Zahlenbeispiel zeigt, warum Gewichtung und Nachweisregel mehr Einfluss haben als der Gesamteindruck. Alle Werte sind fiktive Beispielwerte von Find-Your-HR und keine Marktdaten.
| Kriterium | Gewicht | Anbieter A (1 bis 5) | Anbieter B (1 bis 5) | Gewichtet A | Gewichtet B |
|---|---|---|---|---|---|
| Funktions-Fit | 30 % | 4 | 5 | 1,20 | 1,50 |
| Usability | 20 % | 3 | 3 | 0,60 | 0,60 |
| Integrationen | 20 % | 4 | 2 | 0,80 | 0,40 |
| Sicherheit & Compliance | 15 % | 5 | 4 | 0,75 | 0,60 |
| Betrieb & Support | 10 % | 3 | 4 | 0,30 | 0,40 |
| Total Cost of Ownership | 5 % | 2 | 4 | 0,10 | 0,20 |
| Summe | 100 % | 3,75 | 3,70 |
Der Abstand von 0,05 Punkten liegt weit unter der Streuung, die zwischen einzelnen Bewertenden normal ist. Eine Entscheidung allein auf die Gesamtsumme zu stützen, wäre deshalb zufällig. Sinnvoll sind drei Zusatzschritte: Erstens werden K.O.-Kriterien wie fehlendes SSO vor der Summenbildung geprüft. Zweitens wird jeder Einzelwert mit seinem Beleg verknüpft, etwa Screenshot, Dokumentationsseite oder Protokollnotiz. Drittens folgt eine Sensitivitätsprüfung, die zeigt, wie stabil die Rangfolge gegenüber Gewichtungen ist.
Im Beispiel kippt das Ergebnis, sobald zehn Prozentpunkte Gewicht von Integrationen auf den Funktions-Fit wandern (40 statt 30 Prozent und 10 statt 20 Prozent): Anbieter A kommt dann auf 3,75, Anbieter B auf 4,00. Die Rangfolge hängt also an einer Gewichtungsfrage, die vor den Demos im Team geklärt und dokumentiert sein muss, nicht erst danach. Wer die Gewichte nach den Terminen anpasst, bewertet das Ergebnis statt der Anbieter.
Eigene Szenarien statt Standard-Drehbuch einfordern
Der wirksamste Hebel gegen die Demo als Verkaufsshow ist, dem Anbieter das Skript aus der Hand zu nehmen.
Statt der Standardpräsentation forderst du zwei bis fünf geschäftskritische Szenarien ein, die exakt deine Prozesse abbilden. Zu jedem Szenario gehört ein kurzes, aber konkretes Drehbuch mit Auslöser, Kernablauf, mindestens einer Ausnahme und der Frage, wie der Vorgang im Audit-Trail sichtbar wird. Sinnvoll ist, diese Szenarien allen Anbietern gleichzeitig und in identischer Fassung zuzusenden, eine Bestätigung des Erhalts einzufordern und die Szenarien danach nicht mehr zu verändern. Nur wenn alle Anbieter exakt dieselbe Aufgabe lösen, ist das Ergebnis überhaupt vergleichbar (Quelle: Umbrex Enterprise Software Selection Playbook, 2026).
Ergänzend lohnt sich der bewusste Wechsel zwischen reiner Behauptung und Live-Beweis. Statt „können Sie XY“ zu fragen, lässt du live ein Feld anlegen, eine Genehmigungsregel ändern oder einen Report neu bauen. So zeigt sich innerhalb weniger Minuten, ob dein HR-Team später wirklich ohne Entwickler oder externen Support arbeitsfähig ist, und genau das ist der Kern der Unterscheidung zwischen vorhanden und nutzbar.
Briefing und Agenda vor dem Termin festlegen
Ein schriftliches Briefing verhindert die Standardpräsentation und gibt den Fragen der Auswahlgruppe festen Raum. Es geht allen Anbietern gleichzeitig und in identischer Fassung zu.
Zielbild und Zeitfenster
Drei bis fünf Business-Outcomes mit Ziel-KPIs, das gewünschte Go-live-Fenster und die Muss-Kriterien der Shortlist.
Wer arbeitet mit dem System
HR-Administration, Payroll, Führungskraft, Mitarbeitende und IT bzw. Identitätsverwaltung, jeweils mit ihren typischen Aufgaben.
Zwei bis drei Szenarien je Prozess
Zum Beispiel Einstellung bis Auszahlung, Abwesenheit, Versetzung und Reporting, jeweils mit einer Ausnahme im Ablauf.
Anmeldung, Schnittstellen, Datenschutz
Gewünschte SSO-Verfahren, Provisionierung, API-Anforderungen, Datenresidenz in der EU sowie Auftragsverarbeitungsvertrag und technische und organisatorische Maßnahmen.
Was live zu sehen sein muss
Live-Konfiguration eines Felds, eine geänderte Genehmigungskette, Auslösen einer Provisionierung und ein Datenexport zur Auskunft.
Feste Zeitboxen
Die Zeitverteilung steht vorab fest, damit Fragen der Auswahlgruppe nicht am Ende der Präsentation entfallen.
| Block | Dauer | Inhalt |
|---|---|---|
| Einführung | 10 Min. | Ziele, Beteiligte, Ablauf, Regeln für Rückfragen |
| Use-Cases live | 60 Min. | Szenarien nach Drehbuch mit Testdaten und Ausnahmen |
| Integrationen | 10 Min. | Schnittstellen, Anmeldung, Provisionierung, Fehlerbehandlung |
| Sicherheit und Datenschutz | 10 Min. | Rechtekonzept, Speicherort, Subprozessoren, Auskunft und Löschung |
| Fragen und Abschluss | 10 Min. | Offene Punkte, Nachweise, nächste Schritte |
Die Agenda summiert sich auf 100 Minuten und liegt damit innerhalb des empfohlenen Rahmens von 90 bis 120 Minuten. Die Aufteilung ist eine Empfehlung von Find-Your-HR und kein Standard. Bei Anbietern mit mehr als drei Szenarien empfiehlt sich ein zweiter Termin, statt die Szenarien zu verkürzen.
Realistische Testdaten statt Hochglanzbeispiele
Demos überzeugen, wenn sie die eigene Realität abbilden. Dafür braucht es Datensätze mit Sonderfällen und Aufgaben, die live gelöst werden müssen.
Geeignet sind anonymisierte oder frei erfundene Datensätze, die typische Sonderfälle enthalten: mehrere Beschäftigungsverhältnisse bei einer Person, Wechsel zwischen Voll- und Teilzeit im laufenden Monat, unterschiedliche Tarifgruppen und rückwirkende Änderungen. Echte Personaldaten gehören nicht in die Demo-Umgebung eines Anbieters, solange keine Rechtsgrundlage und kein Auftragsverarbeitungsvertrag vorliegen. Genehmigungsflüsse, Reports und Exporte werden entlang der eigenen Richtlinien eingefordert, nicht entlang der Standardkonfiguration.
Jedes Szenario wird aus mehreren Perspektiven gezeigt: aus Sicht der HR-Administration, der Führungskraft und der Mitarbeitenden. Wo mobile Nutzung eine Rolle spielt, etwa bei Genehmigungen oder Zeiterfassung im Außendienst, wird sie auf dem Smartphone vorgeführt. Datenschutzrelevante Abläufe wie Auskunft, Löschung und Audit-Trail gehören in dieselben Szenarien und nicht in einen getrennten Folienblock.
Admin-Änderung
Ein neues Feld mit Sichtbarkeitsregel und Validierung wird live angelegt, ohne Entwickler und ohne Ticket beim Anbieter.
Workflow-Änderung
Eine Genehmigungskette wird angepasst und um einen Ausnahmepfad ergänzt. Gemessen wird die Zeit, nicht die Behauptung.
Provisionierung
Ein Benutzer wird über SCIM angelegt, geändert und deaktiviert. SCIM ist ein HTTP-basiertes Protokoll zur Verwaltung von Identitäten (Quelle: IETF, RFC 7644).
Webhook und Fehlerfall
Ein Ereignis wird mit Signaturprüfung zugestellt. Anschließend wird gezeigt, was bei Fehlern und doppelter Zustellung passiert, also Wiederholversuche und Idempotenz.
Wer am Demo-Termin dabei sein sollte
Eine Demo, die nur vom Fachbereich besetzt wird, übersieht technische und rechtliche Risiken. Eine Demo, die nur von der IT besetzt wird, übersieht, ob die Lösung im Arbeitsalltag praktikabel ist.
Usability & Prozesslogik
Die künftigen Anwenderinnen und Anwender aus HR bewerten Usability, Prozesslogik und Alltagstauglichkeit.
Architektur & Schnittstellen
Prüft Architektur, Schnittstellen, Authentifizierung und Betriebsmodell der Lösung.
Auftragsverarbeitung nach Art. 28
Beurteilt die Verarbeitung personenbezogener Daten und bereitet die Auftragsverarbeitung vor.
Mitbestimmung nach Paragraf 87
Prüft Auswertungsrechte und Anonymisierung, sobald eine technische Überwachungseinrichtung möglich ist.
Der oder die Datenschutzbeauftragte bereitet die spätere Auftragsverarbeitung nach Artikel 28 DSGVO vor, inklusive Fragen zu Subunternehmern, Speicherort und Löschkonzept. Ein Auftragsverarbeitungsvertrag muss dabei nach Artikel 28 Absatz 3 DSGVO mindestens folgende Inhalte regeln: Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, die getroffenen technischen und organisatorischen Maßnahmen sowie Regelungen zu etwaigen internationalen Datentransfers. Diese Mindestinhalte lassen sich bereits während der Demo abfragen, weil der Anbieter dann noch keinen fertigen Vertragsentwurf vorgelegt hat, an dem sich nachträglich schwerer etwas verhandeln lässt.
Der Betriebsrat hat bei der Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, ein eigenständiges Mitbestimmungsrecht nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz, und zwar unabhängig davon, ob eine Überwachung tatsächlich beabsichtigt ist. Die meisten modernen HR-Systeme, von Zeiterfassung bis Performance-Modulen, fallen unter diese Regelung. Wird der Betriebsrat erst nach der Kaufentscheidung einbezogen, drohen spätere Verzögerungen bis hin zu einer gerichtlichen Unterlassungsverfügung gegen den produktiven Einsatz der Software (Quelle: Paragraf 87 Abs. 1 Nr. 6 BetrVG, Gesetzestext bei gesetze-im-internet.de, ergänzend eingeordnet bei Kluge Seminare, Stand 2022). Eine frühe Einbindung bereits in Phase 5 verhindert genau dieses Risiko und liefert zusätzlich wertvolle Fragen für die Demo, etwa zu Auswertungsrechten oder zur Anonymisierung von Kennzahlen.
Zusätzliche Prüfpflichten nach dem EU AI Act
Viele Demos zeigen inzwischen KI-gestützte Funktionen: automatisiertes CV-Screening, Matching-Scores zwischen Bewerbendem und Stellenprofil oder sogar Chatbot-gestützte erste Interviews. KI-Systeme für Einstellung und Auswahl von Personen gehören nach Anhang III Nummer 4 der EU-KI-Verordnung zu den Hochrisiko-Systemen. Die zugehörigen Pflichten für Anbieter und Betreiber wurden durch den Digital Omnibus verschoben: Für eigenständige Hochrisiko-Systeme nach Anhang III gilt nun der 2. Dezember 2027 statt des 2. August 2026. Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft (Quelle: White & Case, Stand: Oktober 2026). Für die Demo ändert das wenig: Anbieter, die Recruiting-KI verkaufen, sollten ihre Einstufung und Dokumentation schon heute erklären können, denn ein Vertrag mit mehrjähriger Laufzeit reicht über das neue Datum hinaus. Die Pflicht der Arbeitgeber zur Förderung von KI-Kompetenz (Artikel 4) wurde durch den Omnibus abgeschwächt, bleibt aber als Maßnahmenpflicht bestehen.
Hochrisiko-Einordnung
Ist das eingesetzte System nach Artikel 6 in Verbindung mit Anhang III der KI-Verordnung als Hochrisiko-KI-System einzustufen, und wie begründet der Anbieter diese Einordnung?
Konformitätsbewertung
Liegt eine Konformitätsbewertung vor, und kann der Anbieter die zugehörige Dokumentation, etwa die technische Dokumentation oder die EU-Konformitätserklärung, auf Anfrage vorlegen?
Menschliche Kontrolle
Wie wird die vorgeschriebene menschliche Aufsicht über automatisierte Entscheidungen konkret sichergestellt, und an welcher Stelle im Prozess kann ein Mensch die KI-Empfehlung übersteuern?
Information der Bewerbenden
Wie und wann werden Bewerbende darüber informiert, dass eine KI-gestützte Vorauswahl oder Bewertung stattfindet?
Diese Fragen gehören ebenso in den Demo-Fragenkatalog wie die Fragen zu Sicherheit und Datenschutz, weil eine unzureichend geprüfte Hochrisiko-KI-Funktion ein eigenständiges rechtliches und reputatives Risiko darstellt, unabhängig davon, wie überzeugend sie im Termin wirkt. Das Beispiel des Matching-Scores aus dem Abschnitt zum zentralen Denkfehler zeigt zusätzlich, warum eine rein rechtliche Prüfung nicht reicht: Selbst ein Anbieter, der alle AI-Act-Fragen sauber beantwortet, muss noch nachweisen, dass die Funktion auch mit den unstrukturierten Daten deines eigenen Bewerbermanagements zuverlässig arbeitet.
Was zu Integration und Sicherheit sichtbar sein sollte
Integrationen entscheiden über die Alltagstauglichkeit, Sicherheit und Datenschutz über die Freigabefähigkeit. Beides lässt sich im Termin prüfen, wenn die Anforderungen vorher feststehen.
| Thema | Was gezeigt werden sollte | Maßstab oder Quelle |
|---|---|---|
| Anmeldung | SSO über SAML 2.0 oder OpenID Connect, Mehrfaktor-Anmeldung, Rollenzuordnung aus der Organisation | OASIS SAML 2.0, OpenID Connect Core 1.0 (OpenID Foundation) |
| Provisionierung | Anlegen, Ändern und Deaktivieren von Benutzern über SCIM | IETF RFC 7644 |
| API | Dokumentation, Authentifizierung, Rate Limits, Fehlercodes, Ereignisse per Webhook | Herstellerdokumentation, Prüfung in der Sandbox |
| Rechtekonzept | Rollen nach dem Prinzip der minimalen Rechte, Audit-Trail, Admin-Rolle ohne Zugriff auf Gehaltsdaten | OWASP Application Security Verification Standard |
| Betroffenenrechte | Auskunft und Kopie, maschinenlesbarer Export, Löschung nach Fristen | Art. 15, 17 und 20 DSGVO |
| Auftragsverarbeitung | Speicherort, Subprozessoren, technische und organisatorische Maßnahmen | Art. 28 und 32 DSGVO |
Herstellerangaben zu Sicherheit gelten erst als Nachweis, wenn Dokumentation, Zertifikat oder Live-Konfiguration vorliegen. Bei Schnittstellen zu Lohn und Zeitwirtschaft sind vier Punkte entscheidend: ob nur Änderungen statt kompletter Datensätze übertragen werden (Deltalogik), ob Rückmeldungen bei Fehlern automatisch ankommen, wie Abbruch und Wiederholung geregelt sind und ob Protokolle für Audits vorliegen. Die rechtliche Einordnung steht auf der Seite zur DSGVO in der HR-Software, die funktionale Breite auf der Seite zu den HR-Software-Funktionen, die Abrechnungsseite zur Payroll-Software.
Remote-Demos und Aufzeichnung
Findet der Demo-Termin remote statt, was inzwischen der Regelfall ist, kommt eine zusätzliche Frage hinzu: Wird der Termin aufgezeichnet, und ist diese Aufzeichnung selbst datenschutzrechtlich relevant? Sobald in der Aufzeichnung Gesicht, Stimme oder Wortbeiträge von Teilnehmenden auf beiden Seiten erkennbar sind, verarbeitet die Aufzeichnung personenbezogene Daten, und es braucht dafür eine Rechtsgrundlage sowie in der Regel die informierte Zustimmung aller Teilnehmenden vor Beginn der Aufnahme. Wer eine Aufzeichnung zur internen Nachbereitung nutzen möchte, klärt das am besten bereits in der Einladung zum Termin und nennt dabei Speicherort und Löschfrist der Aufnahme.
Rote Flaggen im Demo-Termin
Bestimmte Muster im Demo-Termin sind zuverlässige Warnsignale. Jedes Signal für sich rechtfertigt noch keinen Ausschluss, mehrere gemeinsam sind jedoch ein klarer Hinweis, genauer nachzuhaken oder den Anbieter von der weiteren Prüfung auszuschließen.
Nur Folien statt Live-Konfiguration
Der Anbieter zeigt ausschließlich Folien oder ein vorab aufgezeichnetes Video und lehnt eine Live-Konfiguration ab.
Ausweichende Technikantworten
Fragen zu Single-Sign-on, SCIM-Provisionierung oder API-Limits werden ausweichend beantwortet, ohne Verweis auf eine technische Dokumentation.
Unklarer Speicherort, kein AVV-Entwurf
Der Speicherort der Daten oder die Liste der Subunternehmer bleibt auch auf Nachfrage unklar, und ein Entwurf für den Auftragsverarbeitungsvertrag kann nicht vorgelegt werden.
„Geht alles“ ohne Beleg
Auf jede Anforderung folgt ein uneingeschränktes „geht alles“, ohne Referenzkunden, Sandbox-Zugang oder verbindliche Zusage im Angebot.
Ablehnung der eigenen Szenarien
Der Anbieter weicht der Bitte aus, die von dir vorbereiteten eigenen Szenarien durchzuspielen, und bleibt stattdessen beim eigenen Standarddrehbuch.
Grüne Flaggen und Bias im Bewertungsteam
Neben den Warnsignalen gibt es Muster, die für eine belastbare Zusammenarbeit sprechen. Ebenso wichtig ist, dass das eigene Team nicht selbst verzerrt bewertet.
Live-Beweise und offene Grenzen
Der Anbieter zeigt Funktionen im Live-System, nennt Grenzen und Workarounds ohne Nachfrage und trennt Roadmap von Bestand.
Sichtbare Admin-Ergonomie
Rollenmodell, Rechtevergabe und Audit-Trail sind ohne lange Suche auffindbar und für HR ohne Entwickler bedienbar.
Strukturierte Antworten
Fragen zu Sicherheit, Datenschutz und Integration werden mit Dokumentation, Referenzen und klaren Zuständigkeiten beantwortet.
Zur Vermeidung von Verzerrungen helfen vier Regeln. Die Reihenfolge der Anbieter wird rotiert, weil der erste und der letzte Termin im Gedächtnis stärker nachwirken. Sprecherinnen und Sprecher im Bewertungsteam wechseln. Moderation und Bewertung liegen bei verschiedenen Personen. Und jede Person bewertet zuerst allein, bevor die Gruppe diskutiert, damit sich niemand an der ersten Wortmeldung orientiert. Bewertungsbögen, Fragen und Notizen werden gesichert. Eine Aufzeichnung kommt nur in Frage, wenn alle Beteiligten vorab zugestimmt haben, wie im Abschnitt zu Remote-Demos beschrieben.
Vom Demo-Tag zum Proof of Concept und zur Wirkungsrechnung
Ein fokussierter Proof of Concept prüft Leistung, Datenqualität, Integrationen und Admin-Ergonomie unter Realbedingungen. Er folgt direkt auf die Demo-Bewertung.
| Baustein | Empfehlung |
|---|---|
| Dauer | 2 bis 4 Wochen |
| Umfang | 2 bis 3 Kernprozesse, zum Beispiel Einstellung bis Auszahlung, Abwesenheit und Reporting, dazu ein Integrationsnachweis |
| Daten | Anonymisierte oder erfundene Datensätze mit den Sonderfällen aus den Demo-Szenarien |
| Akzeptanzkriterien | Ziel-KPIs je Prozess, etwa Durchlaufzeit, Fehlerquote, Self-Service-Nutzung und Qualität der Exporte |
| Compliance | Entwurf des Auftragsverarbeitungsvertrags, technische und organisatorische Maßnahmen, Subprozessoren, Löschung und Datenresidenz in der EU |
Für die Wirkungsrechnung werden schon vor den Demos Ist-Werte erhoben, etwa die Durchlaufzeit im Onboarding oder die Zahl der Korrekturen in der Abrechnung. Ein Rechenbeispiel von Find-Your-HR mit fiktiven Werten: Spart ein digitaler Abwesenheitsantrag fünf Minuten je Vorgang und fallen 12.000 Vorgänge im Jahr an, entspricht das 60.000 Minuten oder 1.000 Stunden. Multipliziert mit dem internen Stundensatz ergibt sich ein erster Zeitgewinn. Hinzu kommen indirekte Effekte wie schnellere Einarbeitung, weniger Schattenlösungen und eine bessere Datenbasis.
Solche Werte gehören mit Annahmen dokumentiert und werden in Phase 6 mit den Gesamtkosten verglichen. Welche Kostenblöcke dazugehören, zeigt die Seite zum TCO einer HR-Software, die Aufbereitung für die Geschäftsführung die Seite zum Business Case.
Der Demo-Fragenkatalog
Damit du in jedem Termin dieselben Fragen in derselben Tiefe stellst, unabhängig davon, wie überzeugend der jeweilige Vertriebsauftritt ist, bündelt der Demo-Fragenkatalog die entscheidenden Fragen zu Funktions-Fit, Konfigurierbarkeit, Integrationen, Sicherheit und Datenschutz, KI-Einsatz sowie Betrieb und Support in einer Struktur, die du direkt für die Scorecard aus diesem Artikel nutzen kannst.
Häufige Fragen zur strukturierten Demo-Bewertung
Für einen Anbieter mit mehreren eigenen Szenarien sind neunzig bis hundertzwanzig Minuten realistisch. Kürzere Termine reichen selten aus, um über reine Behauptungen hinauszukommen und echte Live-Konfiguration zu sehen. Plane zusätzlich Pufferzeit für Rückfragen der Fachabteilung, der IT und des Datenschutzes ein.
Nein. Eine mündliche Zusage wird im Scoring nicht als erfüllt gewertet, sondern nur eine live gezeigte oder anderweitig belegte Funktion, etwa durch eine technische Dokumentation oder eine vertraglich fixierte Zusage im Angebot. Alles andere gehört als offene Frage in die Nachverfolgung.
Deshalb werden die Szenarien vorab schriftlich fixiert und allen Anbietern in identischer Fassung zugesandt. Wenn jeder Anbieter dieselbe Aufgabe erhält, spielt der zeitliche Abstand zwischen den Terminen für die Vergleichbarkeit eine untergeordnete Rolle, solange die Bewertungskriterien unverändert bleiben.
Rechtlich entsteht das Mitbestimmungsrecht erst bei der tatsächlichen Einführung. Praktisch lohnt sich eine frühere Einbindung trotzdem, weil sich Anforderungen des Betriebsrats zu Auswertungsrechten oder Anonymisierung oft erst aus der konkreten Systemansicht ergeben und sich so leichter in die Anbieterauswahl einarbeiten lassen als nach einer bereits gefallenen Entscheidung.
Ein solches Feature wird in der Scorecard gesondert markiert und nicht wie eine native, im Grundpaket enthaltene Funktion bewertet. Der Zusatzaufwand fließt zudem in die Kategorie Total Cost of Ownership ein, damit der scheinbar günstigere Anbieter nicht unbewusst bevorzugt wird.
Sinnvoll ist eine Person, die selbst nicht fachlich befangen ist, etwa aus dem Projektmanagement oder dem Einkauf. Diese Person sammelt die Einzelbewertungen, moderiert die Diskussion bei größeren Abweichungen und dokumentiert das konsolidierte Ergebnis inklusive der Begründung für die Geschäftsführung.
Das ist selbst ein Bewertungssignal. Ein Anbieter, der nicht bereit ist, deine tatsächlichen Prozesse durchzuspielen, zeigt entweder wenig Vertrauen in die eigene Konfigurierbarkeit oder wenig Interesse an einer fairen Prüfung. Beides ist relevant für die Entscheidung.
Zwischen vier und acht Personen sind für die meisten Mittelstandsprojekte ein guter Rahmen: mehrere Vertreter aus dem Fachbereich für unterschiedliche Prozesse, eine Person aus der IT, eine aus dem Datenschutz und, wo relevant, ein Mitglied des Betriebsrats. Größere Runden erschweren die Konsolidierung, kleinere Runden erhöhen das Risiko blinder Flecken.
Bei mehr als fünf Anbietern auf der Shortlist lohnt sich oft ein kurzer Vorfilter über eine schriftliche Selbstauskunft zu den wichtigsten Muss-Kriterien, bevor die aufwendigeren, mit eigenen Szenarien geplanten Demo-Termine stattfinden. So bleibt der Aufwand für dein Team überschaubar, ohne die Sorgfalt der eigentlichen Bewertung zu verringern.
Für eigenständige Hochrisiko-Systeme nach Anhang III, zu denen KI für Einstellung und Auswahl gehört, gilt nach dem Digital Omnibus der 2. Dezember 2027 statt des 2. August 2026. Die Änderungsverordnung wurde am 24. Juli 2026 veröffentlicht und trat am 27. Juli 2026 in Kraft (Stand: Oktober 2026). Die Prüffragen gehören trotzdem schon jetzt in den Demo-Termin, weil Verträge über das neue Datum hinaus laufen.
Nach der Konsolidierung der Scorecard werden ein bis zwei Anbieter für einen Proof of Concept von zwei bis vier Wochen ausgewählt. Er umfasst zwei bis drei Kernprozesse und einen Integrationsnachweis, nutzt anonymisierte Daten und misst vorab definierte Akzeptanzkriterien. Parallel werden Entwurf des Auftragsverarbeitungsvertrags, technische und organisatorische Maßnahmen und Subprozessoren geprüft.
Zu zeigen sind die Einrichtung von SSO über SAML 2.0 oder OpenID Connect und die Provisionierung per SCIM, also Anlegen, Ändern und Deaktivieren eines Benutzers (IETF RFC 7644). Dazu kommen die API-Dokumentation mit Authentifizierung und Rate Limits sowie das Verhalten bei Fehlern, etwa Wiederholversuche bei Webhooks. Reine Folien oder Zusagen ohne Live-Konfiguration zählen nicht als Nachweis.
Ausgangspunkt sind Ist-Werte aus dem laufenden Betrieb, etwa Bearbeitungszeit je Vorgang und Zahl der Vorgänge im Jahr. Ein Beispiel mit fiktiven Werten: Fünf Minuten weniger bei 12.000 Abwesenheitsanträgen ergeben 1.000 Stunden im Jahr. Mit dem internen Stundensatz bewertet, wird daraus ein erster Zeitgewinn, der in Phase 6 den Gesamtkosten gegenübergestellt wird.
So geht es weiter
Mit einer ausgefüllten Scorecard aus mehreren vergleichbaren Demo-Terminen hast du die Grundlage für Phase 6, die Aufbereitung als Business Case für die Geschäftsführung, gelegt. Oder du prüfst per KI-Matching in wenigen Minuten eine auf deine Anforderungen zugeschnittene Vorauswahl, die genau die Kriterien berücksichtigt, die du in der Demo mit eigenen Szenarien überprüfen kannst.