Zum Inhalt springen
lurno
Wohlbefinden

Wohlbefinden messen, ohne die Gemessenen zu überwachen.

Fünfzehn Sekunden am Tag für die Menschen, die antworten. Fälle, Gruppenauswertungen und Maßnahmenpläne für die Menschen, die verantwortlich sind. Dazwischen steht eine Architektur, die eine einzelne Antwort unlesbar macht — für eine Führungskraft, für eine Ansprechperson für Wohlbefinden, für eine Organisationsadministration.

Demo buchenWie wir mit Daten umgehen
In Kürze

Wie Lurno Wohlbefinden vertraulich misst

Das Wohlbefindensmodul von Lurno sammelt kurze Check-ins von Mitarbeitenden und zeigt Führungsverantwortlichen nur, was niemanden identifizieren kann. Jede Antwort wird unter einem geschlüsselten Pseudonym gespeichert und nicht unter einem Namen, und die einzige Leserichtlinie auf der Check-in-Tabelle trifft auf die eigene Benutzer-ID der antwortenden Person zu — niemand in der Organisation kann eine einzelne Antwort öffnen, auch keine Führungskraft, keine Ansprechperson für Wohlbefinden und keine Organisationsadministration. Gruppenergebnisse werden erst freigegeben, wenn genug Menschen geantwortet haben: Der Schwellenwert beginnt bei fünf, eine Organisation kann ihn anheben, und weder die Organisation noch Lurno kann ihn senken. Unterhalb des Schwellenwerts wird überhaupt nichts gezeigt — keine kleinere Zahl, kein Durchschnitt. Wohlbefinden bleibt ausgeschaltet, bis eine Administration es für eine bestimmte Organisation einschaltet.

k-Anonymität
Ein Ergebnis ist k-anonym, wenn jede darin beschriebene Person von mindestens k−1 anderen nicht zu unterscheiden ist. Hier gilt: k ist die Zahl der Menschen, die antworten müssen, bevor ein Gruppenergebnis überhaupt erscheint — bei k = 5 erzeugt ein Team aus vier Personen nie ein Diagramm. Das gilt für jeden Balken, nicht nur für die Summe: vier stimme zu und ein stimme überhaupt nicht zu bestehen eine Prüfung auf die Summe und veröffentlichen dann einen Balken der Höhe eins. Zellen, die für eine Veröffentlichung zu klein sind, werden zu einem Sammelposten Sonstige zusammengefasst, statt zu verschwinden — sie einfach wegzulassen würde die Zählungen um genau die verborgene Zahl zu kurz kommen lassen.

Die Unterdrückung geschieht auf dem Server, bevor irgendetwas serialisiert wird. Eine Zahl, die den Browser erreicht hat, ist offengelegt, ganz gleich, was die Oberfläche danach mit ihr macht. Dieselbe Überlegung zieht sich durch Sicherheit und die Berichtsschicht.

Die Person, die antwortet

Wie es sich von innen anfühlt

Zwei Tipper, etwa fünfzehn Sekunden

Wie der Tag gelaufen ist und wie bewältigbar sich die Arbeitslast angefühlt hat. Eine optionale Notiz, die sonst niemand lesen kann. Überspringen kostet nichts, und der Text sagt das auch — keine Strafe für eine unterbrochene Serie, keine Nachfrage.

  • Erinnerungen gibt es nur in der App. Nie per E-Mail, nie auf dem Sperrbildschirm, und nie mit einem Hinweis darauf, wie jemand geantwortet hat.
  • Niemand wird eingeladen, bevor er einer versionierten Teilnahmeerklärung zustimmt. Ein Widerruf beendet künftige Check-ins sofort.
Die Menschen, die verantwortlich sind

Ansprechpersonen für Wohlbefinden bekommen eine Fallliste, kein Dashboard

Fälle mit SLA-Uhren

Anfragen reihen sich mit der ältesten zuerst ein, denn das Warten ist der Teil, der wehtut. Zuweisung, ein Status, eine Risikostufe, eine Frist. Die Warnung vor einer Fristüberschreitung kommt eine Stunde vorher und kommt einmal — sonst schickt ein Fünf-Minuten-Durchlauf zwölf davon pro Stunde.

Gruppenauswertungen, an einen Schwellenwert gebunden

Fragen Sie ein Team, wie die Arbeit läuft. Eine Kampagne darf mehr Privatsphäre verlangen als die Untergrenze der Organisation und nie weniger, und die Zeilen hinter einem Diagramm sind selbst mit der Auswertungsberechtigung nicht lesbar.

Maßnahmenpläne mit Herkunft

Jeder Plan hält fest, aus welcher Frage er stammt, wie viele geantwortet haben und welcher Schwellenwert erreicht sein musste, bevor ihn jemand zu sehen bekam.

Warnungen mit einer Spur der Fürsorgepflicht

Wer benachrichtigt wurde, ob es angekommen ist, ob es bestätigt wurde. Eine Bestätigung wird von einem Handler geschrieben, der weiß, wer ihn aufruft, sie lässt sich also nicht aus einem Browser heraus abstempeln. Eine Warnung, die das System nicht verschickt hat, wird als übersprungen protokolliert und sofort eskaliert.

Eine Regel-Engine, die Daten ist und kein Code

Drei Blattformen und zwei Verknüpfungen: ein Signaltyp, ein verglichener Pfad und das ist N-mal in D Tagen passiert. Keine Ausdruckssprache, kein eval. Ein unbekannter Knoten ist ein Fehler und nie ein stilles Durchwinken.

Aufbewahrung auf zwei Uhren

Jede regulierte Zeile trägt die Aufbewahrungsbedingungen, die galten, als sie geschrieben wurde. Die eine Uhr verwirft die Identität und behält das Pseudonym, damit ein Verlauf sich nicht selbst umschreibt, wenn jemand geht; die andere entfernt die Zeile.

Das Einschalten

Drei Entscheidungen, getroffen von Ihrer Administration

  1. 01

    Das Modul für eine Organisation einschalten

    Standardmäßig aus und bis zum Einschalten aus jeder Seitenleiste heraus. In einem Verbund aus Unterorganisationen wird es einzeln eingeschaltet — eine übergeordnete Organisation schaltet es nicht für die darunter ein.

  2. 02

    Die Leitplanken setzen

    Hinterlegen Sie mindestens einen Unterstützungskontakt, sonst bleiben die Fragen zum Zurechtkommen deaktiviert. Setzen Sie dann den Schwellenwert: Fünf ist die Untergrenze, Sie können ihn anheben, und Sie können ihn nicht senken.

  3. 03

    Fragen, Takt und Zielgruppe wählen

    Alle Mitarbeitenden oder eine Gruppe von mindestens fünf — kleiner, und jedes Ergebnis identifiziert jemanden. Antworten hängen an der Version der Vorlage, eine Bearbeitung ändert also nie, was bereits gefragt wurde.

Die ehrliche Fassung

Wer was sehen kann

Jede Zeile ist eine Row-Level-Security-Richtlinie in Postgres. Wo hier nein steht, wird die Zeile gar nicht erst zurückgegeben.

CapabilityDie Person, die geantwortet hatIhre FührungskraftEine Ansprechperson für WohlbefindenEine Organisationsadministration
Eine einzelne Check-in-Antwort, samt NotizDie einzige Leserichtlinie trifft auf die eigene Benutzer-ID der antwortenden Person zu.YesNoNoNo
Eine Gruppenaufschlüsselung unterhalb des SchwellenwertsKeine kleinere Zahl, kein Durchschnitt, kein auf null gesetztes Diagramm.NoNoNoNo
Eine Gruppenaufschlüsselung ab dem SchwellenwertNoMit der AuswertungsberechtigungMit der AuswertungsberechtigungMit der Auswertungsberechtigung
Die Rohzeilen hinter einer AuswertungEin Lesepfad für Mitarbeitende wurde hier im Juli 2026 entfernt — er hatte es einer Person mit Auswertungsberechtigung erlaubt, namentlich aufzulisten, wer was eingereicht hat.Die eigenenNoNoNo
Ein anonymer Beitrag über StimmeYesNoDer Inhalt, nie die PersonDer Inhalt, nie die Person
Eine Unterstützungsanfrage, die die Person selbst gestellt hatYesNoYesNo
Notizen aus Vier-Augen-GesprächenYesNur wenn sie im Raum istNur wenn sie im Raum istNo

Die Mandantentrennung läuft plattformweit über 868 Row-Level-Security-Richtlinien in 676 Migrationen — in der Datenbank, nicht nur in der Anwendung.

Fragen, die die Beschaffung stellt

Nein. Die einzige Leserichtlinie auf der Check-in-Tabelle trifft auf die eigene Benutzer-ID der antwortenden Person zu, eine Führungskraft, eine Ansprechperson für Wohlbefinden und eine Organisationsadministration bekommen also alle nichts zurück. Antworten werden unter einem Pseudonym geschrieben, die Zeile, die ein Dienstprozess erreichen kann, sagt deshalb nicht, wem sie gehört.

Sehen Sie es mit Ihren eigenen Schwellenwerten.

Wir gehen einen Check-in durch, ein unterdrücktes Diagramm, einen Fall mit laufender Uhr und die Richtlinien darunter.

Demo buchenDie Sicherheitsseite lesen