Titel: "Verbinde deinen SAP SuccessFactors-Account mit smart!bAV"

Berechtigungen (Scopes):

• Mitarbeitende lesen – "Wir können deine Mitarbeitenden lesen."

Button: "Weiter"

Titel: "API Domain"

Anweisung: "Bitte gib die Domain deines SuccessFactors API-Servers ein."

Eingabefeld: Placeholder z.B. api2.successfactors.eu oder custom.proxy.com

Titel: "Company ID"

Anweisung: "Um deine Unternehmens-ID zu finden, melde dich bei SuccessFactors an, klicke auf dein Profilbild oben rechts und wähle 'Versionsinformationen anzeigen'."

Eingabefeld: Placeholder e.g. SFCPART000420

Dieser Schritt umfasst drei Teilaufgaben:

1. Erstelle einen neuen Benutzer

Der Flow verlinkt auf den detaillierten Leitfaden zur Benutzer-Erstellung (siehe Abschnitt 6).

2. Benutzer verbinden

Eingabefeld: Platzhalter z. B. integration_user

3. Berechtigungen einrichten

1. Suche in SuccessFactors nach OAuth2-Client-Anwendungen verwalten (engl. "Manage OAuth2 Client Applications").
2. Klicke auf Client-Integration registrieren (engl. "Register Client Integration") und gib einen Anwendungsnamen und eine gültige Anwendungs-URL ein.
3. Klicke auf An Benutzer binden (engl. "Bind to Users") und gib die USERID des zuvor erstellten Benutzers ein.
4. Kopiere das X.509-Zertifikat aus dem Flow (Kopier-Button) und füge es ein.
5. Klicke auf Registrieren.

Anweisung: "Nach der Registrierung des Clients sollte er oben auf der Seite erscheinen. Klicke auf 'Anzeigen' und kopiere den 'API-Schlüssel'."

Mindestanforderungen

• SAP SuccessFactors Admin-Zugang Erforderlich
  Nur Administratoren können die erforderlichen Konfigurationsseiten aufrufen.
• OData v2 API aktiviert Erforderlich
  Ist standardmäßig aktiviert.

Deine API Domain hängt davon ab, in welchem Data Center deine SAP SuccessFactors-Instanz gehostet wird.

Häufige Probleme

Kein Admin-Zugang

Nur Administratoren können die für die Integration benötigten Konfigurationsseiten aufrufen. Bitte deinen SuccessFactors-Administrator, den Einrichtungsprozess zu übernehmen.

OData v2 API nicht aktiviert

Sollte sie deaktiviert sein, muss ein SAP-IT-Administrator sie wieder freischalten.

OAuth2-Verbindung schlägt fehl

• Das X.509-Zertifikat wurde nicht aus dem Connection Flow kopiert, sondern in SuccessFactors selbst generiert.
• An Benutzer binden wurde nicht aktiviert oder es wurde die falsche User ID eingegeben.
• Die Berechtigungsrolle ist nicht der richtigen Berechtigungsgruppe zugewiesen.
• Die benötigten API-Berechtigungen fehlen in der Berechtigungsrolle.

403 / Zugriff verweigert

1. Ist die Berechtigungsgruppe dem Integration-User zugewiesen?
2. Ist die Berechtigungsrolle der Berechtigungsgruppe zugewiesen?
3. Enthält die Berechtigungsrolle die Berechtigung "Employee Central HRIS OData API (nur Lesen)"?
4. Wurden die Änderungen mit Änderungen speichern gespeichert?

Titel: "Verbinde deinen Workday-Account mit smart!bAV"

Berechtigungen (Scopes):

• Mitarbeitende lesen – "Wir können deine Mitarbeitenden lesen (Stammdaten, Anstellungen, Status)."
• Organisationen lesen – "Wir können deine Organisationsstruktur (Supervisory Organizations, Cost Centers) lesen."

Button: "Weiter"

Titel: "Workday Tenant URL"

Anweisung: "Bitte gib die URL deiner Workday-Instanz ein - das ist die Domain, unter der du dich bei Workday anmeldest."

Eingabefeld: Placeholder https://wd5-impl-services1.workday.com

Beispiele für Tenant URLs:

• https://wd5-impl-services1.workday.com (Implementation)
• https://wd3.myworkday.com (Production)
• https://wd5.myworkday.com (Production)

Button: "Weiter"

Titel: "Tenant ID"

Anweisung: "Deine Tenant ID findest du in deiner Workday-URL. Beispiel: Lautet deine URL https://wd5.myworkday.com/sample_company/d/home.htmld, ist deine Tenant ID sample_company."

Eingabefeld: Placeholder z.B. sample_company

Button: "Weiter"

Titel: "Integration System User"

Dieser Schritt umfasst zwei Teilaufgaben:

1. ISU erstellen

Der Flow verlinkt auf den detaillierten Leitfaden zur Anlage des ISU inkl. Sicherheitsgruppe (siehe Abschnitt 5).

2. Credentials eingeben

Eingabefelder:

• Username (text) - "Gib den Username des ISU ein (z.B. ISU_SmartBAV)."
• Password (password) - "Gib das Passwort des ISU ein."

Button: "Integration einrichten"

Mindestanforderungen

• Workday Administrator-Zugang Erforderlich
  Du benötigst Rechte zum Anlegen von Integration System Users und Sicherheitsgruppen.
• Workday Web Services (SOAP API) aktiviert Erforderlich
  Standardmäßig aktiviert in den meisten Tenants.
• Module Human Capital Management (HCM) Erforderlich
• Time Tracking Module Optional
  Nur erforderlich, wenn Zeiterfassungsdaten synchronisiert werden sollen.

Sowohl deine Tenant URL als auch deine Tenant ID findest du in der URL, mit der du dich in Workday einloggst.

Beispiel:

https://wd5.myworkday.com/sample_company/d/home.htmld

• Tenant URL: https://wd5.myworkday.com (alles bis nach .com)
• Tenant ID: sample_company (das Segment nach der Domain)

Häufige Probleme

Kein Admin-Zugang

Nur Workday-Administratoren mit den Rechten zum Anlegen von Integration System Users und Sicherheitsgruppen können die Einrichtung durchführen. Bitte deinen Workday-Administrator, den Prozess zu übernehmen.

"Invalid username and password" beim Connect

• Stelle sicher, dass der ISU im Format username@tenant übergeben wird (Workday erwartet diese Notation in vielen Konstellationen).
• Überprüfe, ob im ISU-Passwort verbotene Sonderzeichen (&, <, >) enthalten sind.
• Prüfe, ob "Do Not Allow UI Sessions" beim ISU aktiviert wurde - das ist korrekt und gewollt.

"Permission denied" bei API-Aufrufen

1. Ist der ISU der Sicherheitsgruppe als Mitglied zugewiesen?
2. Hat die Sicherheitsgruppe die benötigten Domain-Berechtigungen (siehe Abschnitt 6)?
3. Wurden die ausstehenden Sicherheitsrichtlinien-Änderungen tatsächlich aktiviert? Das ist der häufigste Fehler!

Session läuft ab / Integration bricht ab

Setze "Session Timeout Minutes" beim ISU explizit auf 0. Standardwert ist 60 Minuten - das reicht für lange Syncs nicht aus.

Tenant ID nicht eindeutig

Die Tenant ID ist der Pfad direkt nach der Domain in deiner Workday-URL. Bei https://wd5.myworkday.com/acme_corp/d/home.htmld lautet die Tenant ID acme_corp - nicht wd5 und nicht der komplette Pfad.

Passwort läuft ab

Stelle sicher, dass der ISU in "Maintain Password Rules" unter "System Users exempt from password expiration" hinterlegt ist. Andernfalls bricht die Integration nach Ablauf des Passworts ab.

Titel: "Verbinde deinen BambooHR-Account mit smart!bAV"

Berechtigungen (Scopes):

• Mitarbeitende lesen – "Wir können deine Mitarbeitenden-Daten lesen (Stammdaten, Anstellung, Status)."
• Mitarbeiter-Verzeichnis lesen – "Wir können deinen Mitarbeiter-Verzeichnis-Datensatz lesen."

Button: "Weiter"

Titel: "BambooHR Subdomain"

Anweisung: "Bitte gib deine BambooHR Subdomain ein. Das ist der Teil deiner Login-URL vor .bamboohr.com."

Eingabefeld: Placeholder z.B. your-company

Beispiel: Lautet deine Login-URL https://your-company.bamboohr.com, ist deine Subdomain your-company.

Button: "Weiter"

Titel: "API-Schlüssel"

Anweisungen im Flow:

1. Logge dich in dein BambooHR-Konto ein.
2. Klicke auf deinen Namen in der unteren linken Ecke und wähle API-Schlüssel (engl. "API Keys").
3. Klicke auf Neuen Schlüssel hinzufügen (engl. "Add a New Key").
4. Vergib einen Namen (z. B. "smart!bAV") und klicke auf Schlüssel generieren (engl. "Generate Key").
5. Kopiere den angezeigten API-Schlüssel und füge ihn unten ein.

Eingabefeld: API-Schlüssel (Passwort) – "Füge den generierten API-Schlüssel hier ein."

Button: "Integration einrichten"

Mindestanforderungen

• BambooHR Account Erforderlich
  Verfügbar in den Plänen Essentials, Advantage und Pro.
• API-Zugriff aktiviert Erforderlich
  Standardmäßig in den meisten Plänen aktiviert. Der Menüpunkt API-Schlüssel (engl. "API Keys") muss im Benutzermenü sichtbar sein.
• Account-Zugriff "Full Admin" oder mit API-Schlüssel-Berechtigung Erforderlich
  Andernfalls erscheint kein API-Schlüssel-Eintrag im Benutzermenü.

Deine BambooHR-Subdomain ist der erste Teil deiner Login-URL, vor .bamboohr.com.

Beispiele:

Häufige Probleme

"API-Schlüssel"-Eintrag fehlt im Benutzermenü

Dir fehlen die nötigen Account-Rechte. Bitte einen Account Owner oder Full Admin, dir die Berechtigung für API Keys zu erteilen. Alternativ kann der Admin den Key für dich generieren.

"401 Unauthorized" bei der Verbindung

• Stelle sicher, dass du den vollständigen API-Schlüssel kopiert hast (keine Leerzeichen davor oder dahinter).
• Prüfe, ob du die korrekte Subdomain eingegeben hast (ohne https:// und ohne .bamboohr.com).
• Wurde der Schlüssel vielleicht versehentlich deaktiviert? Prüfe in BambooHR unter API-Schlüssel, ob er noch aktiv ist.

API-Schlüssel verloren

BambooHR zeigt jeden API-Schlüssel nur einmal an. Falls du den Schlüssel nicht gesichert hast, musst du einen neuen anlegen. Den alten kannst du anschließend in BambooHR unter API-Schlüssel deaktivieren oder löschen.

Falsche Subdomain eingegeben

Achte darauf, dass du wirklich nur den Teil vor .bamboohr.com eingibst:

• Richtig: your-company
• Falsch: your-company.bamboohr.com
• Falsch: https://your-company.bamboohr.com

Daten werden nur teilweise synchronisiert

BambooHR-API-Keys erben die Berechtigungen des Nutzers, der den Key generiert hat. Wenn nicht alle Mitarbeitenden synchronisiert werden, hat der erzeugende Nutzer möglicherweise nicht auf alle Mitarbeiter Zugriff. Lasse einen Account Owner oder Full Admin den Key neu erstellen.

Titel: "Verbinde deinen HiBob-Account mit smart!bAV"

Berechtigungen (Scopes):

• Mitarbeitende lesen – "Wir können deine Mitarbeitenden-Daten lesen (People, Employment, Lifecycle)."
• Unternehmensstruktur lesen – "Wir können die Unternehmensstruktur (Sites, Departments) lesen."

Button: "Weiter"

Titel: "HiBob Service User"

Dieser Schritt umfasst zwei Teilaufgaben:

1. Service User in HiBob anlegen

Der Flow verlinkt auf den detaillierten Leitfaden (siehe Abschnitt 4 und Abschnitt 5).

2. Credentials eingeben

Eingabefelder:

• Service User ID (text) - "Füge die Service User ID aus HiBob ein."
• Service User Token (password) - "Füge den Token aus HiBob ein."

Button: "Integration einrichten"

Mindestanforderungen

• HiBob Account mit Admin-Rechten Erforderlich
  Du benötigst Zugriff auf die Settings > Integrations sowie auf die Permission Groups.
• Modul "Core HR" aktiv Erforderlich
• Berechtigungen zum Anlegen von Service Users Erforderlich

Häufige Probleme

Kachel "Service-Benutzer" ist nicht sichtbar

Dir fehlen Admin-Rechte oder die Automatisierungs-Funktion ist in deinem HiBob-Plan nicht enthalten. Wende dich an deinen HiBob Account Owner oder HiBob-Support.

Token nicht kopiert oder verloren

Der Service-Benutzer-Token wird in HiBob nur ein einziges Mal angezeigt. Falls verloren: Lösche den Service-Benutzer in HiBob und lege ihn neu an. Der bisherige Token wird damit ungültig.

"401 Unauthorized" beim Verbindungsversuch

• Service User ID und Token korrekt kopiert (keine Leerzeichen)?
• Ist der Service-Benutzer in HiBob noch aktiv (nicht gelöscht oder deaktiviert)?
• Wurde der Service-Benutzer zur Berechtigungsgruppe hinzugefügt? (Häufigster Fehler!)

"403 Forbidden" oder Daten unvollständig

Die Berechtigungsgruppe des Service-Benutzers hat nicht die nötigen Berechtigungen. Prüfe insbesondere:

1. Im Tab Berechtigungen der Berechtigungsgruppe: Sind alle benötigten Lese-/Ansehen-Rechte aktiviert?
2. Im Bereich Mitglieder: Ist der Service-Benutzer wirklich enthalten?
3. Bei "Zugriff auf alle Mitarbeitenden": Ist Alle ausgewählt? (Nicht "Direkte Mitarbeiter" oder eine andere Einschränkung.)

Nur ein Teil der Mitarbeitenden wird synchronisiert

Die Berechtigungsgruppe des Service-Benutzers hat eine Einschränkung in "Zugriff auf alle Mitarbeitenden". Setze sie auf Alle, um alle Mitarbeitenden lesen zu können.

Service-Benutzer vs. API Access Token

Falls du eine alte HiBob-Dokumentation siehst, die Benutzername/Passwort oder einen "API Access Token" beschreibt: Dieser Mechanismus ist veraltet. Kombo unterstützt ausschließlich die neuere Service-Benutzer-Methode.

Titel: "Verbinde deinen ADP Workforce Now-Account mit smart!bAV"

Berechtigungen (Scopes), die dem Kunden angezeigt werden:

• Mitarbeitende lesen – "Wir können deine Mitarbeitenden-Daten lesen (Stammdaten, Anstellungen, Status)."
• Organisationen lesen – "Wir können deine Organisationsstruktur lesen (Legal Entities, Work Locations, Abteilungen & Kostenstellen)."

Button: "Weiter"

Titel: "Zertifikat & Zugangsdaten"

ADP verlangt zusätzlich zu client_id und client_secret ein Zertifikat zur erhöhten Sicherheit. Dieser Schritt umfasst zwei Teilaufgaben:

1. Certificate Signing Request (CSR) erzeugen

Erzeuge nach der Anleitung von ADP einen CSR. Als Ergebnis erhältst du einen Keyfile (.key). Details siehe Abschnitt 4.

2. Keyfile & Scopes an ADP senden

Kopiere die im Connection Flow angezeigte Scope-Liste und sende sie zusammen mit dem Keyfile an deinen ADP-Repräsentanten. Als Antwort erhältst du Zertifikat, Client ID und Client Secret.

Button: "Weiter"

Titel: "API-Zugangsdaten"

Sobald dein ADP-Repräsentant geantwortet hat, füge die erhaltenen Werte in den Connection Flow ein:

Eingabefelder:

• Zertifikat (Certificate) – "Füge das von ADP erhaltene Zertifikat ein."
• Client ID (Text) – "Füge die von ADP erhaltene Client ID ein."
• Client Secret (Passwort) – "Füge das von ADP erhaltene Client Secret ein."

Button: "Integration einrichten"

Mindestanforderungen

• ADP Workforce Now (Nordamerika) Erforderlich
• Signierter Statement of Work (SOW) mit ADP Erforderlich
  Erst nach Unterzeichnung des SOW wird dir ein ADP-Repräsentant zugewiesen, der dich bei der Einrichtung unterstützt.
• Zugang zu einem ADP-Repräsentanten Erforderlich
  Ohne die Unterstützung durch ADP können die Zugangsdaten (Zertifikat, Client ID, Client Secret) nicht erzeugt werden.

Häufige Probleme

Kein Zugang zu einem ADP-Repräsentanten

Der API-Zugang von ADP Workforce Now ist kostenpflichtig und erfordert einen signierten Statement of Work (SOW). Erst danach wird dir ein Repräsentant zugewiesen. Ohne diesen kannst du keine Zugangsdaten erzeugen – wende dich an deinen ADP-Ansprechpartner bzw. Vertrieb.

Falsches Produkt ("ADP Workforce" statt "ADP Workforce Now")

Der Connector unterstützt ausschließlich ADP Workforce Now (nur Nordamerika). "ADP Workforce" ist ein anderes Produkt und wird nicht unterstützt.

Verbindung schlägt fehl / Zertifikat wird nicht akzeptiert

• Wurde das Zertifikat als Datei geteilt? Dann muss der Textinhalt (in einem Texteditor geöffnet) eingefügt werden – nicht die Datei.
• Wurden Client ID und Client Secret vollständig und ohne zusätzliche Leerzeichen kopiert?
• Passt das Zertifikat zu dem Keyfile, den du an ADP gesendet hast?

Fehlende Berechtigungen / Daten unvollständig

Die an ADP übermittelten Scopes stimmen möglicherweise nicht mit den im Connection Flow angezeigten überein. Fordere die Zugangsdaten mit exakt den im Flow angezeigten Scopes erneut an.

Neu angelegte Mitarbeitende erscheinen nicht vollständig

Das Anlegen von Mitarbeitenden in ADP Workforce Now erzeugt zunächst einen "in-progress"-Hire. Der Onboarding-Prozess muss in der ADP-Workforce-Now-Oberfläche abgeschlossen werden, bevor die vollständigen Mitarbeitendendaten über die API abrufbar sind.

Was das für den Arbeitgeber bedeutet

• Das rexx-System erzeugt einen regelmäßigen Personaldaten-Export – häufig existiert ein solcher bereits.
• Die Übertragung erfolgt verschlüsselt, es wird kein Zugriff in das HR-System hinein eröffnet.
• Welche Felder übertragen werden, wird gemeinsam abgestimmt – einschließlich Austritt und Entgeltangaben.
• Kommt der rexx-HR-Konnektor später, lässt sich jederzeit umstellen. Der SFTP-Weg ist keine Sackgasse.

Warum dieser Weg so breit einsetzbar ist

• Nahezu jedes HR-System kann exportieren. Ob Personalsoftware, Lohnprogramm oder Eigenentwicklung – ein Dateiexport ist fast überall vorhanden. Fehlt er oder lässt er sich nicht automatisieren, prüfen wir den Fall gemeinsam.
• Kein Zugriff in Ihr HR-System hinein. Es wird kein API-Zugang zum HR-System geöffnet. Hinweis: Bei Variante B (wir holen die Datei von Ihrem Server ab) ist auf Ihrer Seite eine eingehende Verbindung und in der Regel eine IP-Freigabe erforderlich.
• Freier Feldumfang. Anders als bei Standard-Konnektoren sind die übertragenen Felder frei vereinbar – auch Entgelt- oder Arbeitszeitdaten.
• Etablierter Standard. SFTP ist in Personalabteilungen und Lohnbuchhaltungen seit Jahren üblich – die IT kennt den Weg.
• Unabhängig von Dritten. Der Datenaustausch findet direkt zwischen Arbeitgeber und smart!bAV statt – ohne zwischengeschalteten Integrationspartner und damit ohne dessen Konnektor-Voraussetzungen.

Variante A – Der Arbeitgeber liefert an unseren SFTP Standardfall

Wir stellen einen SFTP-Zugang bereit, das HR-System des Arbeitgebers legt die Exportdatei dort ab (Push).

Variante B – Wir holen vom SFTP des Arbeitgebers

Der Arbeitgeber betreibt einen eigenen SFTP-Server, wir rufen die bereitgestellten Dateien dort ab (Pull).

Dateiformat

• Gebräuchliche Formate: CSV, Excel oder JSON – was das HR-System des Arbeitgebers sauber exportieren kann.
• Konstanter Dateiname: Der Name muss bei jeder Lieferung gleich bleiben – kein Datum, keine laufende Nummer im Dateinamen (also mitarbeitende.csv, nicht mitarbeitende_2026-08-18.csv).
• Vollbestand statt Delta: In der Regel wird der komplette aktuelle Personalbestand geliefert – das ist für beide Seiten robuster als eine Änderungslogik.

Empfohlener Feldumfang

Kadenz

Täglich, wöchentlich oder monatlich – frei vereinbar. Empfehlung: täglich (nachts), damit Ein- und Austritte zeitnah ankommen. Entscheidend ist ein fester Rhythmus, damit ausbleibende Lieferungen auffallen.

• Verschlüsselte Übertragung: SFTP überträgt grundsätzlich verschlüsselt – anders als der Versand von Personallisten per E-Mail, der in der Praxis leider immer noch vorkommt.
• Authentifizierung per SSH-Schlüssel statt Passwort.
• Zusätzliche Dateiverschlüsselung (PGP) ist auf Wunsch möglich, wenn die IT-Sicherheit des Arbeitgebers das verlangt.
• Datensparsamkeit: Es werden nur die vereinbarten Felder übertragen – der Arbeitgeber entscheidet, was die Datei enthält.
• EU-Datenhaltung beim Integrationsdienstleister Kombo, Verarbeitung in smart!bAV im deutschen Rechenzentrum (Hamburg) – Auftragsverarbeitung nach Art. 28 DSGVO.

„Ist der SFTP-Weg schlechter als eine echte Schnittstelle?“

Nein – er ist anders. Eine API-Anbindung liefert Änderungen zeitnah und erfordert weniger Abstimmung. Der SFTP-Weg ist dafür flexibler beim Feldumfang und unabhängig davon, was der Systemhersteller anbietet. Für die bAV-Verwaltung reicht ein täglicher Abgleich vollkommen aus.

„Wie lange dauert die Einrichtung?“

Der technische Teil ist schnell erledigt. Zeit kostet in der Regel die Abstimmung: Feldumfang festlegen, Testdatei erzeugen, Mapping prüfen. Planen Sie länger als bei einem Standard-Konnektor ein – die genaue Dauer hängt vom Arbeitgeber ab.

„Der Arbeitgeber schickt die Liste bisher per E-Mail. Reicht das nicht?“

Der Inhalt ja, der Weg nicht. Personaldaten per E-Mail sind aus Datenschutzsicht kritisch und verursachen manuelle Arbeit auf beiden Seiten. Der Wechsel auf SFTP ist genau derselbe Export – nur automatisiert und verschlüsselt übertragen.

„Was passiert, wenn eine Lieferung ausbleibt?“

Ausbleibende oder fehlerhafte Lieferungen werden erkannt und gemeldet, damit der Bestand nicht unbemerkt veraltet.

„Läuft das auch über die Integrationsplattform?“

Nein. Der SFTP-Weg ist ein eigenständiger Kanal von smart!bAV und kommt ohne die Konnektor-Plattform aus. Genau deshalb ist er auch dann verfügbar, wenn es für das HR-System des Arbeitgebers gar keinen Konnektor gibt.

„Können wir später auf eine echte Schnittstelle wechseln?“

Ja. Der SFTP-Weg ist keine Sackgasse. Kommt für das System des Arbeitgebers später ein Konnektor hinzu oder wird die API-Option nachlizenziert, lässt sich umstellen.