HR Lastenheft Anforderungsanalyse: der gewichtete Weg zur richtigen Software
Ein Lastenheft übersetzt die strategischen Ziele Ihrer Personalabteilung in konkrete, überprüfbare Anforderungen an eine HR-Software, bevor Sie auch nur eine Anbieterwebsite öffnen. Für Unternehmen jeder Größe im deutschsprachigen Raum ist diese Anforderungsanalyse der Schritt zwischen dem strategischen Zielbild aus Phase 1 und der ersten Anbieter-Longlist in Phase 3. In der Beratungspraxis werden für ein mittelständisches Unternehmen häufig fünfzig bis hundertfünfzig gewichtete Anforderungen berichtet, verteilt auf Recruiting, Zeiterfassung, Entgeltabrechnung, Talentmanagement und weitere HR-Module.
Wer ein Lastenheft braucht, und was es von einem Pflichtenheft unterscheidet
Zwei Fragen klären, bevor die eigentliche Anforderungsarbeit beginnt: Wer im Unternehmen ist zuständig, und welches Dokument gehört überhaupt in diese Phase.
Wer ein Lastenheft braucht und wann es in den Auswahlprozess gehört
Ein Lastenheft ist kein Nice-to-have für Konzerne, sondern für jedes Unternehmen sinnvoll, das eine HR-Software strukturiert auswählen möchte, unabhängig von der Betriebsgröße. Verantwortlich ist in der Praxis meist ein kleines Kernteam aus HR-Leitung oder Personalreferent, einer Vertretung der IT sowie, sobald Zeiterfassung, Leistungs- oder Verhaltenskontrolle betroffen sind, dem Betriebsrat. Bei größeren Projekten kommen Einkauf und, falls vorhanden, Datenschutzbeauftragte hinzu.
Zeitlich sitzt das Lastenheft exakt zwischen zwei Phasen. Phase 1 liefert ein Zielbild: Warum wird überhaupt eine neue oder andere HR-Software gesucht, welche strategischen Ziele stehen dahinter, welcher Rahmen an Budget und Zeit gilt. Das Lastenheft übersetzt dieses Zielbild in konkrete, überprüfbare Anforderungen. Ohne dieses Dokument ist die anschließende Longlist-Erstellung in Phase 3 reine Bauchgefühl-Arbeit. Mit einem sauberen Lastenheft lässt sich dagegen jeder Anbieter anhand derselben Kriterien objektiv bewerten.
Lastenheft und Pflichtenheft: der wichtige Unterschied
Das Lastenheft wird vom Auftraggeber, also von Ihrem Unternehmen, erstellt und beschreibt, was Sie von einer Lösung erwarten: den Ist-Zustand, die Ziele und die Anforderungen, sortiert nach Muss- und Wunschkriterien (Quelle: Gründer.de, 2025). Das Pflichtenheft ist die Antwort des Anbieters: Er beschreibt darin, wie er Ihre Anforderungen technisch umsetzen will, inklusive Soll-Konzept, Prozessabläufen und technischer Struktur (Quelle: Gründer.de, 2025; induux Wiki, 2025).
In dieser Phase erstellen Sie ausschließlich das Lastenheft, lösungsneutral formuliert, ohne eine bestimmte Softwarearchitektur vorzugeben. Ein Pflichtenheft folgt erst, wenn ein Anbieter aus der Shortlist ausgewählt wurde. Wer schon im Lastenheft technische Lösungswege vorgibt, schränkt den Anbieterwettbewerb unnötig ein und riskiert, echte Innovationen im Markt zu übersehen.
Was gehört in ein HR-Lastenheft
Ein vollständiges HR-Lastenheft deckt acht Bereiche ab (Quelle: HRlab, 2025; induux Wiki, 2025). Jeder Bereich liefert einen eigenständigen Baustein für den späteren Anforderungskatalog.
Ist-Zustand
Eine ehrliche Bestandsaufnahme der aktuellen Systemlandschaft, bestehender Tools, Schnittstellen und der wichtigsten Schwachstellen. Ohne diesen Abschnitt fehlt Anbietern der Kontext für passende Migrationsszenarien.
Soll-Zustand und Ziele
Die aus Phase 1 übernommenen strategischen Ziele, konkretisiert auf Prozessebene. Was soll nach der Einführung anders, besser oder schneller laufen.
Funktionale Anforderungen nach Modulen
Gegliedert nach Recruiting, Onboarding, Zeiterfassung, Abwesenheitsmanagement, Entgeltabrechnung, Talentmanagement, Personalentwicklung und Reporting. Jede Anforderung sollte mit Ja oder Nein überprüfbar sein, statt vager Schlagworte wie "modernes Reporting".
Nicht-funktionale Anforderungen
Datenhaltung und Hosting-Standort, Verfügbarkeit, Performance bei Stoßzeiten wie der Jahresendabrechnung, Mehrsprachigkeit und mobile Nutzbarkeit.
Schnittstellenanforderungen
Welche Systeme angebunden werden müssen, etwa Lohnbuchhaltung, ERP, Zeiterfassungsterminals oder Single-Sign-on. Auch Format und Frequenz des Datenaustauschs gehören hierhin.
Organisatorische Rahmenbedingungen
Budget, Zeitplan, Projektrollen und Entscheidungswege für das Auswahlprojekt.
Rechtliche Rahmenbedingungen
Die DACH-Pflichtkriterien zu Datenschutz, Mitbestimmung, Barrierefreiheit und KI-Regulierung, ausführlich weiter unten auf dieser Seite.
Bewertungskriterien und Gewichtung
Der Abschnitt, der aus einer Liste von Wünschen erst ein arbeitsfähiges Auswahlinstrument macht, siehe folgender Abschnitt zur Gewichtungsmethodik.
Anforderungen gewichten: MoSCoW und die Muss-Soll-Kann-Methode
Eine unstrukturierte Liste von hundert oder mehr Anforderungen ist für einen fairen Anbietervergleich nutzlos, solange nicht klar ist, welche davon wirklich entscheidend sind. In der DACH-Praxis haben sich zwei verwandte Gewichtungsmethoden durchgesetzt.
Die MoSCoW-Methode unterteilt Anforderungen in vier Kategorien: Must have, also unabdingbare Anforderungen, deren Fehlen das Projekt scheitern lassen würde, Should have für Anforderungen mit hoher Relevanz, die aber nicht erfolgskritisch sind, Could have für Anforderungen mit geringer Relevanz, oft als Nice-to-have bezeichnet, und Won't have für Anforderungen, die aktuell bewusst nicht umgesetzt werden, aber dokumentiert bleiben (Quelle: Wikipedia, MoSCoW-Priorisierung, 2026).
Im deutschsprachigen Beschaffungswesen hat sich parallel die einfachere Muss-Soll-Kann-Methode etabliert, die dieselbe Logik verfolgt, aber häufiger direkt mit einer Punktbewertung verknüpft wird. Wichtig für die Praxis: Definieren Sie die Gewichtungsfaktoren, bevor Sie erste Anbieterinformationen einsehen. Wird die Gewichtung erst im Nachhinein an die Stärken des Wunschanbieters angepasst, verliert der gesamte Auswahlprozess seine Objektivität und lässt sich intern kaum mehr rechtfertigen.
| Kriteriumstyp | Bewertung | Konsequenz für den Anbieter |
|---|---|---|
| Muss-Kriterium | Ja / Nein | Bei Nein scheidet der Anbieter unabhängig von sonstigen Stärken aus dem Verfahren aus. |
| Soll-Kriterium | Punktskala 0 bis 5 × Gewichtungsfaktor | Fließt gewichtet in den Gesamtscore ein, ein Fehlen ist kein Ausschlussgrund. |
| Kann-Kriterium | Punktskala 0 bis 5 × Gewichtungsfaktor | Nice-to-have, wirkt als Zünglein an der Waage bei knappen Entscheidungen. |
So fließt eine für Ihr Unternehmen besonders wichtige Soll-Anforderung, etwa die Integration in ein bestehendes ERP-System, stärker in das Gesamtergebnis ein als eine Anforderung, die zwar wünschenswert, aber nicht geschäftskritisch ist. Die Summe aller gewichteten Punkte ergibt am Ende einen objektiven Score je Anbieter, der die spätere Shortlist-Entscheidung in Phase 3 nachvollziehbar begründet. Dieses Punktbewertungs-Verfahren mit Gewichtungsfaktoren ist im Kern eine Nutzwertanalyse. Eine ausführliche Schritt-für-Schritt-Anleitung inklusive Rechenbeispielen finden Sie auf unserer Seite zur Nutzwertanalyse für HR-Software.
Muster-Struktur für Ihr HR-Lastenheft
Für die praktische Erstellung hat sich diese Kapitelgliederung bewährt. Sie lässt sich problemlos an Unternehmen jeder Größe anpassen. Kleinere Betriebe kürzen einzelne Kapitel, verzichten aber besser nicht auf die Bewertungsmatrix, da genau sie später die meiste Zeit spart.
Management Summary und Projektziele
Ist-Analyse der aktuellen HR-Prozesse und Systeme
Soll-Konzept und strategische Zielsetzung
Funktionale Anforderungen je HR-Modul, nach Muss-, Soll- und Kann-Kriterien
Nicht-funktionale Anforderungen: Sicherheit, Performance, Hosting, Skalierbarkeit
Schnittstellen- und Integrationsanforderungen
DACH-spezifische Compliance-Anforderungen
Budget-, Zeit- und Ressourcenrahmen
Bewertungsmatrix mit Gewichtungsfaktoren
Anhänge: Glossar, Prozessdiagramme, Ansprechpartner
Typische Fehler bei der Anforderungsanalyse
Aus zahlreichen HR-Softwareprojekten lassen sich wiederkehrende Fehlerquellen ableiten (Quelle: FactorialHR, 2025; Dinnova, 2025).
Feature-Listen ohne Bezug zum Geschäftsziel
Wird nur abgefragt, ob ein System eine bestimmte Funktion technisch anbietet, ohne den dahinterliegenden Prozessnutzen zu klären, entstehen Lastenhefte mit hunderten Punkten, von denen am Ende viele irrelevant sind.
Fehlende oder nachträglich manipulierte Gewichtung
Ohne klare Priorisierung wird jede Anforderung gleich behandelt, was die Auswertung verzerrt und Entscheidungen angreifbar macht.
Betriebsrat und Endanwender zu spät einbezogen
Wird die Mitbestimmung erst nach Auswahl eines Favoriten angestoßen, drohen Verzögerungen von mehreren Monaten oder sogar der komplette Neustart des Auswahlprozesses.
Compliance-Anforderungen vergessen oder pauschal abgehakt
Datenschutz, Mitbestimmung und Barrierefreiheit werden oft als ein einzelner Punkt "DSGVO-konform" formuliert, statt konkrete, prüfbare Kriterien zu benennen.
Copy-paste-Kataloge aus dem Internet
Generische Anforderungslisten ohne Anpassung an die eigene Prozesslandschaft führen dazu, dass echte Unterscheidungsmerkmale zwischen Anbietern gar nicht erst abgefragt werden.
Schnittstellen unterschätzt
Gerade die Anbindung an Lohnbuchhaltung, Zeiterfassung und ERP-Systeme entscheidet in der Praxis über den tatsächlichen Erfolg der Einführung, wird im Lastenheft aber häufig nur oberflächlich behandelt.
Das Lastenheft bleibt ein statisches Dokument
Anforderungen ändern sich im Projektverlauf. Wird der Katalog nicht laufend gepflegt, verliert er als Bewertungsgrundlage schnell an Aussagekraft.
DACH-Pflichtkriterien-Checkliste für Ihr HR-Lastenheft
Für den deutschsprachigen Markt gehören folgende rechtliche Anforderungen zwingend in jedes HR-Lastenheft. Die Kriterien basieren, sofern nicht anders angegeben, auf deutschem Recht und sollten grundsätzlich als Muss-Kriterien geführt werden.
DSGVO-Konformität
Die HR-Software verarbeitet in der Regel besonders sensible personenbezogene Daten. Fordern Sie konkrete Nachweise zu Auftragsverarbeitungsverträgen nach Art. 28 DSGVO, zu technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sowie, bei Gesundheitsdaten, zum besonderen Schutz nach Art. 9 DSGVO. Prüfen Sie zusätzlich die Rechtsgrundlage nach § 26 BDSG, insbesondere bei Auswertungs- und Analysefunktionen.
Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
Sobald eine Software geeignet ist, das Verhalten oder die Leistung von Mitarbeitenden zu überwachen, etwa durch Zeiterfassung, Auswertungsfunktionen oder KI-gestützte Analysen, hat der Betriebsrat ein zwingendes Mitbestimmungsrecht (Quelle: Bund-Verlag, 2026; Hammer Rechtsanwälte, 2026). Ergänzend greift § 95 Abs. 2a BetrVG bereits bei KI-Einsatz in Auswahlrichtlinien, unabhängig von der sonst geltenden Unternehmensgrößen-Schwelle. Binden Sie den Betriebsrat bereits während der Lastenhefterstellung ein.
KI-Verordnung (EU AI Act) bei KI-Funktionen
Enthält die Software KI-Komponenten für Recruiting, Bewerber-Scoring, Talentmanagement oder Leistungsbeurteilung, gilt sie nach Art. 6 i.V.m. Anhang III der KI-Verordnung meist als Hochrisiko-KI-System. Die Pflichten für solche Systeme gelten nach der Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27. Juli 2026) erst ab dem 2. Dezember 2027 (Stand: Oktober 2026). Dazu gehören für Betreiber unter anderem menschliche Aufsicht, Protokollierung und die Information der Beschäftigten, für bestimmte Betreiber wie öffentliche Stellen zusätzlich eine Grundrechte-Folgenabschätzung. Fordern Sie schon im Lastenheft eine Konformitätserklärung und die technische Dokumentation des Anbieters.
DEÜV-konforme elektronische Meldeverfahren
Für die Entgeltabrechnung muss die Software die elektronischen Meldungen zur Sozialversicherung nach der Datenerfassungs- und -übermittlungsverordnung unterstützen, inklusive der jeweils aktuellen amtlichen Schnittstellen der Sozialversicherungsträger (Quelle: Lexware, 2025; Hansalog, 2025).
Barrierefreiheit nach WCAG 2.1 AA
Seit dem 28. Juni 2025 gilt in Deutschland das Barrierefreiheitsstärkungsgesetz (BFSG), das digitale Produkte im Verbrauchergeschäft zur WCAG-2.1-AA-Einhaltung verpflichtet (Quelle: Wettbewerbszentrale, 2025). Interne HR-Software fällt rechtlich meist nicht darunter, da sie weder in Anlage 1 noch Anlage 2 BFSG gelistet ist. Öffentliche Arbeitgeber unterliegen dennoch der BITV, und WCAG 2.1 AA lohnt sich als hochgewichtetes Soll-Kriterium für alle Self-Service-Portale.
Datenstandort und Datensouveränität
Ergänzend empfiehlt sich die Anforderung eines Rechenzentrumsstandorts innerhalb der EU, idealerweise in Deutschland oder Österreich, um Rechtssicherheit bei internationalen Datenübermittlungen zu erhöhen.
Besonderheiten für Österreich und die Schweiz
Die übrigen Kriterien basieren auf deutschem Recht. In Österreich regeln § 96 und § 96a Arbeitsverfassungsgesetz (ArbVG) eine vergleichbare Mitbestimmung bei Kontrollmaßnahmen, ergänzt um ein eigenes Barrierefreiheitsgesetz. In der Schweiz gilt anstelle der DSGVO das revidierte Datenschutzgesetz (DSG), in Kraft seit dem 1. September 2023; ein dem BFSG entsprechendes Gesetz existiert dort nicht.
Von Zielen zu Systemanforderungen
Eine flache Liste vermischt Ziele, Wünsche und technische Vorgaben. Nachvollziehbar wird ein Lastenheft, wenn jede Anforderung einer von drei Ebenen zugeordnet ist und sich bis zu einem Geschäftsziel zurückverfolgen lässt. Diese Rückverfolgbarkeit (Traceability) gehört zu den Grundlagen des Requirements Engineering, wie es zum Beispiel das International Requirements Engineering Board (IREB) vermittelt.
Das Warum: Ziel und Kennzahl
Geschäftsanforderungen stammen von Geschäftsführung oder HR-Leitung und sind lösungsneutral. Schwach ist „Wir wollen eine digitale Personalakte“, denn das beschreibt eine Lösung. Besser ist „Die Kosten je Entgeltabrechnung sinken innerhalb von 18 Monaten um einen festgelegten Anteil“. Den Zielwert bestimmen Sie aus Ihren eigenen Ausgangsdaten.
Das Was: Ablauf aus Sicht der Rolle
Nutzeranforderungen beschreiben, was eine Rolle erreichen will, am besten als User Story mit Akzeptanzkriterium. Beispiel: „Als Teamleitung möchte ich Gehaltserhöhungen freigeben und dabei das verbleibende Teambudget sehen.“ Akzeptanzkriterium: Die Budgetdaten kommen tagesaktuell aus dem Controlling. Ein Dropdown-Feld für Kostenstellen ist dagegen Gestaltung.
Das Wie: prüfbare technische Vorgabe
Systemanforderungen richten sich an IT und Informationssicherheit und müssen messbar sein. Schwach ist „Das System soll sicher sein“. Besser: Single Sign-on über OpenID Connect oder SAML 2.0, Verschlüsselung ruhender und übertragener Daten, Betrieb in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum im EU-Rechtsraum.
Ohne Ebene 1 beschaffen Sie Funktionen ohne erkennbaren Nutzen, ohne Ebene 3 ein System, das nicht in Ihre IT-Landschaft passt. Hilfreich ist eine Spalte „Herkunft“ im Anforderungskatalog, in der jede Zeile auf die Geschäftsanforderung verweist, aus der sie abgeleitet wurde. Zeilen ohne Herkunft werden gestrichen oder begründet. Das bremst zugleich den Scope Creep, also das schleichende Wachsen des Katalogs.
Anforderungen mit Nachweis formulieren
„Kann Export“ reicht nicht. Vergleichbar wird eine Anforderung erst, wenn feststeht, womit der Anbieter sie belegt. Ergänzen Sie den Katalog deshalb um eine Spalte für den Nachweis in Demo oder Proof of Value (PoV) und um eine feste Priorität. Die folgenden Zeilen sind Muster, die Sie an Ihre Prozesse anpassen.
| Bereich | Prüfbare Anforderung (Beispiel) | Nachweis in Demo oder PoV | Priorität |
|---|---|---|---|
| Stammdaten | Pflichtfelder für IBAN, Kostenstelle und Arbeitszeitmodell mit Validierung von Länge und Format sowie Dublettenprüfung | Datensatz live anlegen, Fehlermeldung zeigen, Bericht zur Datenqualität | Muss |
| Onboarding | Das Einstellungsereignis löst elektronische Signatur, Benutzeranlage per SCIM und Rollenvergabe aus | Webhook-Protokoll, Signaturstatus, SCIM-Eintrag im Audit-Log | Soll |
| Zeit und Abwesenheit | Feiertags- und Kontingentlogik je Standort, parametrierbare Zuschläge, Änderungsexport für die Lohnabrechnung | Regelwerk live, Plausibilitätsprüfung, Exportdatei | Muss |
| Payroll-Export | Stichtagsverfahren, Vier-Augen-Freigabe, vorab definierte Fehlerquote im Testlauf | Prozesslauf, Exportprotokoll, Fehlerbericht | Muss |
| Reporting | Standardkennzahlen wie Headcount, Fluktuation und Abwesenheitsquote als Dashboard, Export als CSV oder JSON | Dashboard live, Download | Soll |
| Datenschutz | Maschinenlesbarer Datenexport für Auskunftsersuchen, Lösch- und Sperrkonzept, Audit-Trail für kritische Ereignisse | Beispielexport, Richtlinie, Protokolle | Muss |
| Selbstbedienung | Mobile Self-Services für Adresse, Bankdaten und Abwesenheit | Ablauf auf dem Smartphone | Kann |
Lassen Sie bei Muss-Kriterien keine Zusagen auf künftige Produktversionen gelten. Bewertet wird der heutige Produktstand, belegt durch Screenshot, Export oder API-Protokoll. Funktionen aus einer Roadmap sind eine Herstellerangabe ohne Nachweis und gehören höchstens in die Soll-Kategorie.
Identität, Ereignisse und Schnittstellen
Die Anbindung an Identitätsverwaltung, Lohn und Fachsysteme entscheidet im Betrieb oft stärker über den Erfolg als einzelne Funktionen. Ein Häkchen bei „Lohnschnittstelle“ sagt nicht, ob dahinter eine automatische Übergabe oder ein manueller CSV-Export steckt. Legen Sie Mindeststandards fest und verlangen Sie den Nachweis im PoV. Zahlenangaben in diesem Abschnitt sind Beispielwerte, die Sie an Ihr Risiko anpassen.
Single Sign-on und Mehrfaktor-Anmeldung
Single Sign-on über OpenID Connect oder SAML 2.0 an Ihren Identity Provider. Mehrfaktor-Authentisierung muss für administrative Rollen erzwingbar sein, unabhängig von anderen Einstellungen. Das Rollenmodell sollte Rechte je Datenfeld erlauben, nicht nur je Menüpunkt.
SCIM für Zugänge
SCIM 2.0 (RFC 7643 und RFC 7644) legt Benutzer in angebundenen Systemen an, ändert und deaktiviert sie. Legen Sie fest, wie schnell ein Austritt dort wirksam sein muss, bei privilegierten Zugängen etwa binnen Minuten, und prüfen Sie, ob Gruppen und Rollen mitgeführt werden.
Webhooks statt Abfrage im Takt
Statusänderungen wie der Abschluss des Onboardings sollten als Ereignis an Drittsysteme gehen. Fordern Sie signierte Nachrichten, etwa per HMAC, Wiederholungen mit wachsendem Abstand, ein Protokoll fehlgeschlagener Zustellungen und die Möglichkeit, Ereignisse erneut zu senden.
Dokumentierte API
REST oder GraphQL mit einsehbarer OpenAPI-Dokumentation, Filtern, Seitenaufteilung und Zeitstempeln. Bei schreibenden Aufrufen verhindern Idempotenz-Schlüssel, dass eine wiederholte Anfrage nach einem Timeout eine Zahlung oder Änderung doppelt auslöst. Ratenbegrenzungen für Massenläufe wie Bonusrunden sollten dokumentiert sein.
Änderungsexport an die Abrechnung
Verlangen Sie deltafähige Exporte mit Stichtag, festem Schema, Protokoll und Rückmeldung zu abgelehnten Datensätzen. Ob eine Standardschnittstelle etwa zu DATEV automatisch und in beide Richtungen arbeitet, klären Sie mit echten Daten. Mehr dazu unter Payroll-Software.
Führendes System und Historisierung
Legen Sie je Datenobjekt fest, welches System führend ist, um Dubletten zu vermeiden. Fordern Sie eine Historisierung, die Gültigkeitsdatum und Erfassungsdatum trennt, damit rückwirkende Gehaltsänderungen nachvollziehbar in die Abrechnung laufen. Mehrfachzuordnungen (disziplinarisch, fachlich, projektbezogen) und Stellenplanung unabhängig von Personen gehören in Konzernstrukturen dazu.
Weitere funktionale Details je Modul finden Sie in der Übersicht HR-Software-Funktionen. Wie Anbieter ihre Schnittstellen beschreiben, lässt sich in den Profilen etwa von Personio, HRworks oder SAP SuccessFactors nachlesen. Alle Angaben dort sind Herstellerangaben und im PoV zu prüfen.
Souveränität, Ausstieg und neue Pflichten
Sechs Themen, die in Lastenheften häufig fehlen oder mit einem pauschalen „konform“ abgehakt werden (Stand: Oktober 2026).
Der Standort allein reicht nicht
Ein Rechenzentrum in der EU sagt nichts darüber, wer es betreibt und welchem Recht der Betreiber unterliegt. Gehört ein Anbieter zu einem Konzern außerhalb der EU, kann ein Gesetz wie der US CLOUD Act Herausgabepflichten begründen (webhostone). Fragen Sie nach Betreiber, Unterauftragsverarbeitern und Zertifikaten wie ISO/IEC 27001 oder dem BSI-Kriterienkatalog C5.
Zugriffe aus Drittstaaten
Klären Sie, ob Supportpersonal außerhalb der EU auf Produktivdaten zugreifen kann und ob das technisch ausgeschlossen oder nur nach zeitlich begrenzter Freigabe durch Sie möglich ist. Die vertragliche Grundlage bleibt Art. 28 DSGVO, siehe DSGVO und HR-Software.
Exit-Regelung und Data Act
Seit dem 12. September 2025 gilt der Data Act (Verordnung (EU) 2023/2854) mit Regeln zum Anbieterwechsel in den Artikeln 23 bis 31, die auch Software as a Service erfassen (Deloitte Legal). Wechselentgelte sind bis Ende 2026 auf die tatsächlichen Kosten begrenzt und ab Januar 2027 untersagt (webhostone). Ergänzen Sie vertraglich einen vollständigen Export in maschinenlesbaren Formaten samt Dokumenten und Metadaten.
Erklärbarkeit und menschliche Aufsicht
Verlangen Sie bei KI-Funktionen, die Schritte selbständig ausführen, etwa die Terminabstimmung im Recruiting, nachvollziehbare Entscheidungsgrundlagen, ein Protokoll und eine Stelle für menschliches Eingreifen. Einstellung, Kündigung oder Bonus sollten nie ohne menschliche Freigabe feststehen. Der EU AI Act sieht für Hochrisiko-Systeme unter anderem Transparenz (Art. 13) und menschliche Aufsicht (Art. 14) vor, anwendbar für HR nach Anhang III ab 2. Dezember 2027 (KPMG Österreich). Mehr unter EU AI Act und HR.
Richtlinie (EU) 2023/970
Die Richtlinie war bis zum 7. Juni 2026 umzusetzen, Deutschland hat die Frist verfehlt (Personalwirtschaft). Sie verlangt objektive, geschlechtsneutrale Kriterien für gleichwertige Arbeit und Berichte zum Entgeltgefälle, erstmals bis 7. Juni 2027 für Arbeitgeber ab 150 Beschäftigten (Art. 9 der Richtlinie). Planen Sie Stellenbewertung und Auswertung nach Gruppen als Soll-Kriterium ein und prüfen Sie den deutschen Umsetzungsstand vor Vertragsschluss.
Soziale Kennzahlen und CSRD
Ob Sie berichten müssen, hängt vom Berichtskreis ab. Nach der Omnibus-Änderung besteht die Pflicht nur noch für Unternehmen mit mindestens 1.000 Beschäftigten und mindestens 450 Mio. Euro Umsatz (Kleeberg, Februar 2026). Für alle anderen sind Auswertungen zu Fluktuation, Inklusion und Diversität ein Soll- oder Kann-Kriterium, kein Muss.
Wer entscheidet, wer liefert: RACI und Lokalisierung
Anforderungen entstehen im Team. Damit Rückmeldungen nicht im Kreis laufen, legen Sie früh fest, wer ausführt (Responsible), wer entscheidet (Accountable), wer zuarbeitet (Consulted) und wer informiert wird (Informed). Entscheidungen halten Sie in einem Protokoll fest.
| Arbeitspaket | HR | IT und Identität | Payroll | Recht und Datenschutz | Finanzen | Geschäftsführung |
|---|---|---|---|---|---|---|
| Anforderungskatalog | R | C | C | C | C | A |
| Sicherheit, SSO und SCIM | C | R/A | I | C | I | I |
| Lohnexporte | C | C | R/A | I | C | I |
| Datenschutzprüfung | I | C | I | R/A | I | I |
| Kosten und Vertrag | C | C | C | C | R | A |
Die Verteilung ist ein Muster. Die Beteiligung des Betriebsrats richtet sich nach dem BetrVG, siehe Betriebsrat einbinden.
Sprachen in der Anwendung
Sprache je Nutzer umschaltbar, Administrations- und Mitarbeiteroberfläche vollständig übersetzt und nicht nur die Selbstbedienung.
Vorlagen je Sprache
Vertrags-, Dokument- und Mailvorlagen je Sprache mit Versionierung und Platzhaltern für Name, Rolle und Standort.
Datum, Zahl und Währung
Formate je Land und Adressaufbau. Lassen Sie sich in der Demo Beispiele aus Ihren Standorten zeigen.
Regeln je Standort
Feiertage, Urlaubskontingente, Zuschläge und Exportformate je Standort. Für Österreich und die Schweiz gelten andere Rahmen, siehe HR-Software Österreich und HR-Software Schweiz.
Kennzahlen und Demo-Scoring
Demos leben von Bildern, Entscheidungen von Zahlen. Verknüpfen Sie die Anforderungen deshalb mit wenigen Kennzahlen mit klarer Definition und mit einer Bewertung, die jede Demo-Szene mit Akzeptanzkriterium und Beleg versieht.
| Kennzahl | Definition | Beispielzielwert (selbst festlegen) |
|---|---|---|
| First-time-right in der Vorabrechnung | Korrekte Läufe ohne manuelle Nacharbeit geteilt durch alle Läufe | zum Beispiel mindestens 99 % |
| Exportfehlerquote | Abgelehnte Datensätze geteilt durch übertragene Datensätze | zum Beispiel höchstens 1 % im PoV |
| Time-to-Onboard | Median der Tage von der Vertragsunterschrift bis zum eingerichteten Arbeitsplatz | zum Beispiel höchstens 10 Tage |
| Time-to-Provision | Zeit von der Freigabe in HR bis zu den angelegten Zugängen in Drittsystemen | zum Beispiel wenige Stunden, bei Austritt Minuten |
| Self-Service-Quote | Anteil der Stammdatenänderungen, die Mitarbeitende selbst erfassen | zum Beispiel mindestens 70 % |
| Integrationsfehler | Fehlgeschlagene Transaktionen zwischen HR, Lohn und Identitätsverwaltung je Woche | zum Beispiel keine kritischen Fehler |
| Auskunftsersuchen | Bearbeitungszeit von Eingang bis Antwort an die betroffene Person | gesetzlich ein Monat (Art. 12 Abs. 3 DSGVO), intern strenger möglich |
Die Zielwerte sind Beispiele aus der Beratungspraxis, keine Marktbenchmarks. Ermitteln Sie zuerst Ihren Ausgangswert und setzen Sie Ziele relativ dazu.
Beispiel für die Verteilung
Fachlichkeit 40 %, Technik 25 %, Recht und Datenschutz 15 %, Kosten über fünf Jahre 20 %. Legen Sie die Gewichte fest, bevor Sie Angebote sehen. Zur Kostenseite siehe TCO von HR-Software.
0 bis 3 mit Beleg
0 nicht erfüllt, 1 nur mit Workaround, 2 teilweise erfüllt, 3 erfüllt und belegt. Punkte zählen nur mit Beleg. Die 0-bis-5-Skala weiter oben ist gleichwertig, entscheidend ist eine einheitliche Skala.
Definition of Done
Akzeptanzkriterium dokumentiert (erfüllt, nicht erfüllt, nicht gezeigt), Beweis angeheftet (Screenshot, Export, API-Protokoll), Punkte vergeben und begründet.
| Nr. | Demo-Szene | Akzeptanzkriterium | Beleg |
|---|---|---|---|
| 1 | SCIM-Provisionierung | Benutzer wird angelegt, geändert und deaktiviert, Gruppen werden gesetzt, alles innerhalb der festgelegten Zeit | SCIM-Protokoll, Administrationsansicht |
| 2 | Onboarding-Ablauf | Pflichtfelder, Validierungen und elektronische Signatur arbeiten wie beschrieben | Checkliste, Audit-Trail |
| 3 | Änderungsexport Lohn | Stichtag wird eingehalten, wiederholter Export erzeugt keine Dubletten | Datei, Schema |
| 4 | Webhook-Ereignisse | Signatur wird geprüft, bei Fehlern erfolgt eine Wiederholung, erneutes Senden ist möglich | Zustellprotokoll |
| 5 | Auskunftsersuchen | Vollständiger Export aller Daten einer Person innerhalb der Frist | Bericht, Ticket |
Alle Anbieter erhalten dieselben Testdaten und dieselben Aufgaben. Eine Aufzeichnung der Demo und ein Fragenprotokoll verhindern Missverständnisse. Halten Sie die Entscheidung in einem Protokoll mit Ziel, Optionen, Bewertung, Risiken, Beschluss und Belegen fest. Weiterführend: HR-Software Demos bewerten und HR-Software Shortlist.
Weitere Quelle zur Entgelttransparenz: Richtlinie im Amtsblatt und Grant Thornton. Stand: Oktober 2026. Rechtliche Hinweise ersetzen keine Rechtsberatung.
Das Artefakt dieser Phase: der gewichtete Anforderungskatalog
Alles, was Sie in dieser Phase erarbeiten, mündet in ein einziges Arbeitsdokument.
Der gewichtete Anforderungskatalog enthält die oben beschriebene Muster-Struktur bereits vorbefüllt, gegliedert nach Muss-, Soll- und Kann-Kriterien, mit Feldern für Ihre individuelle Gewichtung sowie die DACH-Pflichtkriterien-Checkliste als festen Bestandteil. Eine separate Vorlagenseite gibt es bewusst nicht, denn der Anforderungskatalog gehört inhaltlich untrennbar zu dieser Phase und bleibt hier mit dem passenden Kontext zusammen.
Bei größeren Projektteams empfiehlt sich statt eines starren, von einer Person gepflegten Dokuments eine geteilte Tabelle mit Versionskontrolle oder ein dediziertes Requirements-Tool, damit mehrere Beteiligte parallel und nachvollziehbar an Anforderungen und Gewichtung mitarbeiten können.
Nutzen Sie den ausgefüllten Anforderungskatalog anschließend als direkte Eingabe für unseren KI-gestützten Matching-Algorithmus. Er gleicht Ihre gewichteten Anforderungen automatisiert mit den Profilen hunderter HR-Software-Anbieter ab und liefert Ihnen so bereits eine datengestützte Vorauswahl für die nächste Phase.
Anforderungskatalog anfordern ↓Häufige Fragen zum HR-Lastenheft
Antworten auf die Fragen, die im Projektteam vor und während der Lastenhefterstellung am häufigsten aufkommen (Stand: Oktober 2026).
In der Praxis werden beide Begriffe oft synonym verwendet. Streng genommen ist der Anforderungskatalog der zentrale, meist tabellarische Kern des Lastenhefts, während das Lastenheft als Gesamtdokument zusätzlich Ist-Analyse, Zielsetzung und Rahmenbedingungen umfasst.
Ja, wenn auch in schlankerer Form. Gerade kleine Unternehmen mit begrenzten Ressourcen profitieren davon, Fehlkäufe durch eine klare, wenn auch kompakte Anforderungsliste mit Gewichtung zu vermeiden.
Es gibt keine feste Vorgabe. Entscheidend ist Vollständigkeit statt Umfang. In der Beratungspraxis wird für ein mittelständisches Unternehmen häufig eine Spanne von fünfzig bis hundertfünfzig gewichteten Anforderungen berichtet, verteilt auf die relevanten HR-Module, eine verbindliche Studie dazu gibt es allerdings nicht.
Kern ist ein Team aus HR-Leitung, IT-Vertretung und, sobald Zeiterfassung oder Leistungskontrolle betroffen sind, dem Betriebsrat. Bei größeren Projekten ergänzen Fachbereichsleitungen, Einkauf und Datenschutzbeauftragte das Team.
Er scheidet grundsätzlich aus dem weiteren Auswahlprozess aus, unabhängig davon, wie überzeugend er in anderen Bereichen abschneidet. Diese Konsequenz ist der eigentliche Sinn von Muss-Kriterien.
Prüfen Sie zunächst ehrlich, ob die betreffende Anforderung tatsächlich zwingend war oder im Lastenheft zu strikt formuliert wurde. Oft hilft ein Realitätsabgleich im Projektteam, ob sich die fehlende Funktion durch eine Individualanpassung, eine Schnittstelle zu einem Zusatztool oder einen organisatorischen Workaround kompensieren lässt, ohne das Geschäftsziel zu gefährden. Bleibt die Lücke bestehen, ist es transparenter, das Muss-Kriterium bewusst und dokumentiert zu Soll herabzustufen, als am Ende einen formal durchgefallenen Anbieter auszuwählen oder das Verfahren neu zu öffnen.
Beide Methoden verfolgen dieselbe Grundidee. Die Muss-Soll-Kann-Methode ist im deutschsprachigen Beschaffungswesen etablierter und lässt sich unmittelbar mit einer Punktbewertung verknüpfen, während MoSCoW aus dem internationalen Projektmanagement stammt und mit der zusätzlichen Kategorie Won't have auch bewusst zurückgestellte Anforderungen dokumentiert.
Bereits beim Lastenheft. Sobald absehbar ist, dass die Software geeignet ist, Verhalten oder Leistung von Mitarbeitenden zu überwachen, greift die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Eine frühe Einbindung verhindert Verzögerungen in späteren Projektphasen erheblich.
Ohne Betriebsrat entfällt die Mitbestimmungspflicht nach § 87 BetrVG, nicht aber der Beschäftigtendatenschutz. Die vorgesehene Datenverarbeitung muss weiterhin über eine Rechtsgrundlage nach § 26 BDSG gedeckt sein, insbesondere bei Auswertungs- und Analysefunktionen. Zusätzlich empfiehlt sich eine informelle Einbindung der Mitarbeitenden, etwa über Workshops oder eine kurze Befragung zu Anforderungen, um Akzeptanz zu schaffen und blinde Flecken im Lastenheft zu vermeiden.
Rechtlich verpflichtend ist das BFSG in erster Linie für Produkte und Dienstleistungen im Verbrauchergeschäft. Interne HR-Software fällt meist nicht direkt darunter, öffentliche Arbeitgeber unterliegen jedoch eigenen Barrierefreiheitsvorgaben, und WCAG 2.1 AA als freiwilliges Soll-Kriterium ist auch für privatwirtschaftliche Unternehmen empfehlenswert.
Enthält die geplante Software KI-Komponenten für Recruiting, Bewerber-Scoring, Talentmanagement oder Leistungsbeurteilung, gilt sie in aller Regel als Hochrisiko-KI-System nach Art. 6 i.V.m. Anhang III der KI-Verordnung. Die Pflichten für solche Systeme gelten nach der Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27. Juli 2026) erst ab dem 2. Dezember 2027 (Stand: Oktober 2026). Dazu zählen für Betreiber unter anderem menschliche Aufsicht, Protokollierung und die Information der Beschäftigten, für bestimmte Betreiber wie öffentliche Stellen zusätzlich eine Grundrechte-Folgenabschätzung. Nehmen Sie deshalb schon jetzt eine Konformitätserklärung des Anbieters, verfügbare technische Dokumentation, Protokollierungsfunktionen und Möglichkeiten zur menschlichen Überprüfung jeder KI-gestützten Entscheidung als eigenes Muss-Kriterium in Ihr Lastenheft auf.
Es wird zur Grundlage der Longlist-Erstellung in Phase 3. Anbieter werden anhand der im Lastenheft festgelegten Muss-Kriterien vorgefiltert und anschließend mit den gewichteten Soll- und Kann-Kriterien verglichen.
Geschäftsanforderungen beschreiben das Ziel und die Kennzahl, etwa niedrigere Kosten je Abrechnung. Nutzeranforderungen beschreiben, was eine Rolle erreichen will, meist als User Story mit Akzeptanzkriterium. Systemanforderungen legen prüfbare technische Vorgaben fest, etwa Single Sign-on über OpenID Connect. Jede Systemanforderung sollte sich über eine Nutzeranforderung auf ein Geschäftsziel zurückführen lassen.
Üblich sind Single Sign-on über OpenID Connect oder SAML 2.0, SCIM 2.0 für die Benutzerverwaltung, erzwingbare Mehrfaktor-Anmeldung für Administratoren, eine dokumentierte API mit Idempotenz bei schreibenden Aufrufen, signierte Webhooks, deltafähige Exporte für die Lohnabrechnung und ein vollständiger Audit-Trail. Welche davon Muss-Kriterien sind, hängt von Ihrer IT-Landschaft ab. Wichtig ist, dass jede Vorgabe in der Demo belegbar ist.
Seit dem 12. September 2025 gelten mit dem Data Act Regeln zum Anbieterwechsel, die auch Software as a Service erfassen. Wechselentgelte sind bis Ende 2026 auf die tatsächlichen Kosten begrenzt und ab Januar 2027 untersagt. Regeln Sie im Vertrag zusätzlich einen vollständigen Export in maschinenlesbaren Formaten samt Dokumenten und Metadaten sowie Fristen und Unterstützung beim Wechsel.
Nein. Die Verordnung (EU) 2026/1744 hat den Beginn der Pflichten für Hochrisiko-Systeme nach Anhang III, zu denen KI im Personalwesen zählt, auf den 2. Dezember 2027 verschoben. Die Einstufung selbst ändert sich dadurch nicht. Es lohnt sich, Dokumentation, Protokollierung und menschliche Aufsicht schon jetzt im Lastenheft zu verlangen, statt sie später nachzurüsten.
Ihr Anforderungskatalog steht. Weiter zu Phase 3.
Ihr gewichteter Anforderungskatalog ist die Grundlage für alles Weitere im Auswahlprozess. Tragen Sie Ihre Kriterien direkt in unser KI-gestütztes Matching ein oder springen Sie manuell weiter zur Longlist-Erstellung.