HiBob MCP-Server: Claude und ChatGPT mit Bob verbinden

Gibt es einen offiziellen HiBob MCP-Server? (Stand November 2026)

Ja. HiBob betreibt einen eigenen, gehosteten MCP-Server für die HR-Plattform Bob. Auf der Produktseite beschreibt HiBob ihn als Connector, der unterstützte KI-Werkzeuge mit Live-Personaldaten aus Bob verbindet, ohne die gesamte Bob-Datenbank in das KI-Werkzeug zu kopieren. Genannt werden dort ChatGPT, Claude.ai, Claude Desktop und Cursor (abgerufen am 04.11.2026).

Die Anmeldung läuft über OAuth mit dem persönlichen Bob-Zugang. Laut HiBob-Changelog handelt der KI-Client im Namen der angemeldeten Person und kann nur auf Daten zugreifen und nur Aktionen ausführen, die diese Person auch in Bob darf. Was ein MCP-Server grundsätzlich ist, erklärt unser Ratgeber Model Context Protocol.

Was hat sich 2026 beim HiBob MCP-Server geändert?

Der Server hat 2026 seine Anmeldelogik grundlegend gewechselt: vom technischen Service-User zum persönlichen OAuth-Zugang. Wer früh eingestiegen ist, muss umstellen. Die Stationen laut HiBob-Dokumentation:

HiBob schreibt im Changelog unter „Action required“: Wer bisher die Service-User-Einrichtung aus den Developer Docs genutzt hat, soll die MCP-Verbindung auf OAuth umstellen. Ob die OAuth-Version selbst noch als Beta gilt, steht in den öffentlich lesbaren Quellen nicht. HiBob spricht dort von einem schrittweisen Rollout. Es kann also sein, dass die Funktion in Ihrem Bob-Konto noch nicht sichtbar ist.

Was kann der HiBob MCP-Server? Die Bereiche im Überblick

Der HiBob MCP-Server deckt laut Changelog Personen und Organigramm, Zeit und Anwesenheit, Aufgaben, Leistungsbeurteilungen, Ziele, Berichte, Vergütung, Recruiting und Dokumente ab, „and more“. Eine Werkzeugzahl nennen die öffentlichen Quellen nicht. Die Produktseite ergänzt Lernen und stellt klar: Lesen und Schreiben sind möglich, sofern Bob die Aktion ohnehin erlaubt.

• Personen und Organisation: Berichtslinien verstehen, Listen etwa mit Name, Titel, Abteilung und Führungskraft abrufen, Profilangaben aktualisieren.
• Abwesenheiten: Urlaubssalden abfragen und Abwesenheiten beantragen. Fragen wie „Wer aus dem Engineering-Team fehlt nächste Woche?“ nennt HiBob als Beispiel.
• Aufgaben und Freigaben: offene Aufgaben abrufen und bearbeiten, etwa im Onboarding.
• Weitere Module: Anwesenheit, Performance, Ziele, Lernen, Recruiting und Vergütung, jeweils nur, wenn das Modul in Ihrem Unternehmen aktiv ist und die Person die Rechte hat.

Was eine Person konkret kann, hängt also von zwei Dingen ab: den aktivierten Bob-Modulen und ihrer Rolle in Bob. HiBob schlägt als Einstiegsfrage vor: „What Bob MCP capabilities do I have access to?“ Damit sieht jede Person, welche Funktionen ihr zur Verfügung stehen.

Wie regelt HiBob die Berechtigungen?

Die Bob-Berechtigungen bleiben die einzige Quelle der Wahrheit: Was jemand in Bob nicht sehen oder tun darf, geht auch über MCP nicht. Laut HiBob-FAQ prüft Bob bei jeder Anfrage die angemeldete Person und wendet ihre aktuellen Rechte an. Ändern sich Rechte oder verlässt jemand das Unternehmen, greift das sofort. Zwei Personen können dieselbe Frage stellen und unterschiedliche Antworten bekommen.

Für Admins wichtig: Das Einschalten von MCP in Bob macht die Funktion laut HiBob unternehmensweit verfügbar. Wer den Kreis der Nutzenden begrenzen will, tut das in den Admin-Einstellungen des KI-Werkzeugs. Manche KI-Werkzeuge erlauben zusätzlich, einzelne Werkzeuge zu sperren oder vor schreibenden Aktionen eine Bestätigung zu verlangen. Genau dort setzen wir in Projekten an.

Offizieller Server oder eigener MCP-Server auf der HiBob-API?

Für Self-Service im Chat ist der offizielle Server der richtige Start. Ein eigener Server auf der HiBob-API lohnt sich, wenn ein Ablauf ohne Chat laufen soll, Daten aus mehreren Systemen zusammenkommen oder Sie die Werkzeuge enger schneiden wollen, als es die Einstellungen des KI-Werkzeugs zulassen.

Der wichtigste Unterschied steckt in der Zeile „Rechte“. Beim offiziellen Server bringt jede Person ihre eigenen Bob-Rechte mit. Ein eigener Server mit Service-User sieht alles, was dessen Berechtigungsgruppe erlaubt, und muss selbst entscheiden, wer davon was erfährt. Bei HR-Daten ist das keine Nebensache.

Use Cases: Was bringt HiBob mit KI im HR-Alltag?

1. Self-Service ohne Ticket „Wie viele Urlaubstage habe ich noch?“ Mitarbeitende fragen im Chat, Bob antwortet mit ihren eigenen Daten, und der Antrag lässt sich direkt stellen.
2. Abwesenheiten im Team „Wer aus meinem Team ist nächste Woche nicht da?“ Führungskräfte planen, ohne Bob zu öffnen. Sie sehen nur, was ihre Rolle in Bob hergibt.
3. Aufgaben nachhalten „Welche offenen Aufgaben sind mir zugewiesen?“ Hilfreich im Onboarding, wenn viele kleine Schritte an verschiedenen Personen hängen.
4. Listen für HR „Liste Name, Titel, Abteilung und Führungskraft aller aktiven Personen im Produktteam.“ Das Beispiel stammt von HiBob. Für Berichte, die regelmäßig gebraucht werden, ist ein fester Ablauf meist die bessere Wahl.

Die Beispiele orientieren sich an den Fragen, die HiBob auf der Produktseite nennt. HiBob weist dort selbst darauf hin: Die Antworten erzeugt das KI-Werkzeug, Ihr Team sollte sie vor dem Handeln prüfen. Auf der Produktseite wirbt HiBob auch mit der Erkennung von Abwanderungsrisiken. Solche Bewertungen von Personen sehen wir kritisch, dazu mehr im nächsten Abschnitt.

Datenschutz und Betriebsrat: Was ist bei HR-Daten zu beachten?

HR-Daten gehören zu den sensibelsten Daten im Unternehmen, und mit MCP verarbeitet neben HiBob auch der Anbieter des KI-Werkzeugs die abgefragten Inhalte. Für ein tragfähiges Setup achten wir auf diese Punkte (Einordnung, keine Rechtsberatung):

• Zwei Anbieter im Pfad: HiBob sagt in den HiBob AI Terms (Stand November 2025) für seine eigenen KI-Funktionen zu, Kundendaten nicht zum Training von KI-Modellen zu verwenden. Für ChatGPT oder Claude gelten deren eigene Verträge. Auftragsverarbeitung und Verarbeitungsort des KI-Anbieters gehören mit in die Prüfung.
• Besondere Kategorien: Abwesenheitsgründe, Gesundheits- oder Vergütungsdaten verlangen eine enge Rechtevergabe. Prüfen Sie, welche Bob-Rollen Zugriff auf solche Felder haben, bevor MCP unternehmensweit freigeschaltet wird.
• Betriebsrat früh einbinden: Ein KI-Zugang zu Personaldaten kann eine technische Einrichtung sein, die Verhalten oder Leistung überwachen kann. Dann hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das gilt besonders für Auswertungen wie Abwanderungsrisiken.
• Menschliche Kontrolle: Auch HiBob verlangt in den AI Terms für die eigenen KI-Funktionen eine angemessene menschliche Prüfung der Ergebnisse. Für Entscheidungen über Personen gilt das erst recht.

Einen Datenstandort für den MCP-Server nennt HiBob in den öffentlich lesbaren Quellen nicht. Wie Sie einen MCP-Server allgemein sicher aufsetzen, steht in unserem Ratgeber MCP-Server: Sicherheit und DSGVO.

Claude mit HiBob verbinden: die Schritte

Die Einrichtung teilt sich auf drei Rollen auf: Bob-Admin, IT und die einzelne Person. So beschreibt es HiBob auf der Produktseite, und so gehen wir vor:

1. Rechte in Bob prüfen: Vor dem Einschalten klären, welche Rollen welche Felder sehen. MCP übernimmt diese Rechte eins zu eins.
2. Bob MCP aktivieren: Ein Bob-Admin schaltet MCP in Bob ein. Das gilt unternehmensweit.
3. Connector im KI-Werkzeug anlegen: Die IT fügt den HiBob-Connector in Claude, ChatGPT oder Cursor hinzu. Adresse und Anleitung stehen im Bob Help Center, Artikel „Use Bob MCP Server“.
4. Nutzerkreis und Schreibaktionen begrenzen: In den Admin-Einstellungen des KI-Werkzeugs festlegen, wer den Connector nutzt, und, wo möglich, eine Bestätigung vor schreibenden Aktionen verlangen.
5. Anmelden und gegenprüfen: Jede Person meldet sich mit dem eigenen Bob-Zugang an. Mit einer lesenden Frage starten und die Antwort mit Bob abgleichen.

Wie benutzerdefinierte Connectoren in Claude funktionieren, beschreibt Anthropic in der Claude-Hilfe. Prüfen Sie Ihren Claude-Tarif und die Freigaben Ihrer Organisation, bevor Sie den Rollout planen.

Wann lohnt sich ein eigener MCP-Server auf der HiBob-API?

Ein eigener Server lohnt sich, wenn der offizielle Connector Ihren Ablauf nicht abbildet. Die HiBob-API authentifiziert eigene Integrationen über Service-User: Sie erhalten eine ID und ein Token, haben anfangs keinerlei Rechte und bekommen sie über eine eigene Berechtigungsgruppe. OAuth-Apps sind laut HiBob nur freigegebenen Marketplace- und Technologiepartnern vorbehalten. Sinnvoll ist ein eigener Server, wenn:

• Bob-Daten mit anderen Systemen zusammenkommen sollen, etwa Abwesenheiten mit Projektplanung oder Lohnvorbereitung,
• feste Abläufe gefragt sind, zum Beispiel ein wöchentlicher Bericht über offene Onboarding-Aufgaben, der ohne Chat läuft,
• Sie jede Aktion mit Zeitstempel und Person protokollieren oder nur wenige, eng geschnittene Werkzeuge freigeben wollen,
• der KI-Teil lokal laufen soll und Personaldaten keinen Cloud-Assistenten erreichen sollen.

Drei Punkte aus der HiBob-Dokumentation gehören in jede Planung:

• Mengengrenzen: HiBob begrenzt Anfragen je Endpunkt, der Endpunkt v1/people/search etwa auf 50 Anfragen pro Minute, danach folgt HTTP 429. Zusätzlich blockiert eine WAF auffällige Muster fehlgeschlagener Anmeldungen (Rate limiting).
• API-Bedingungen: Die API Terms of Use untersagen, die Daten zu scrapen oder eine Datenbank bzw. dauerhafte Kopie aufzubauen, soweit das für die Integration nicht unbedingt nötig ist. Ein eigener Server sollte also live abfragen statt Bob zu spiegeln. Das Ändern von Daten ist laut Ziffer 5 nur erlaubt, wenn die HiBob-Doku es ausdrücklich vorsieht oder HiBob schriftlich zustimmt.
• Dienstleister: Für die Nutzung der API durch Dritte verlangen die API Terms eine vorherige schriftliche Zustimmung von HiBob (Ziffer 11). Baut ein Dienstleister den Server für Sie, klären wir das vorab mit Ihnen (Einordnung, keine Rechtsberatung).

Community-MCP-Server für HiBob arbeiten in der Regel mit einem Service-User-Token. Ein Token mit weiten HR-Rechten in einem fremden Programm ist ein unnötiges Risiko. Wenn ein eigener Server, dann mit enger Berechtigungsgruppe, wenigen Werkzeugen und auf Ihrer Infrastruktur. Wie das aussieht, beschreibt unser Ratgeber MCP-Server entwickeln lassen.

Was kostet das?

Für den Einstieg mit dem offiziellen Server fällt bei uns vor allem Beratung an: Rechtekonzept in Bob, Datenschutz, Abstimmung mit dem Betriebsrat, Auswahl des KI-Werkzeugs, Test. Ein eigener MCP-Server ist ein Entwicklungsprojekt. Konkret heißt das:

• Erster Use Case klar abgegrenzt, danach schrittweiser Ausbau, meist mit lesenden Werkzeugen als Start.
• Klarer Umfang pro Use Case, kein Stundenroulette. Den Zeitplan legen wir nach dem KI-Check fest.

Ein Festpreisangebot erhalten Sie nach der kostenlosen Erstberatung, abhängig von Werkzeugen, Datenmenge und Betriebsart (lokal oder Cloud).

Häufige Stolperfallen aus der Praxis

• Alte Service-User-Verbindung: Wer im Frühjahr 2026 mit dem Service-User eingestiegen ist, stellt laut HiBob auf OAuth um. Sonst sehen alle Nutzenden die Rechte des Service-Users statt ihrer eigenen.
• Zu weite Bob-Rollen: MCP macht vorhandene Rechte sichtbar. Wer in Bob mehr sieht als nötig, kann das im Chat bequem abfragen. Rechte vor dem Start aufräumen.
• Unternehmensweit freigeschaltet: Das Einschalten in Bob gilt für alle. Den Nutzerkreis im KI-Werkzeug begrenzen, wenn Sie zunächst mit einer Pilotgruppe starten wollen.
• Antworten ungeprüft übernehmen: Urlaubssalden, Listen und Auswertungen aus dem Chat vor Entscheidungen mit Bob abgleichen. HiBob empfiehlt das selbst.

Häufige Fragen

Gibt es einen offiziellen HiBob MCP-Server?

Ja. HiBob betreibt einen gehosteten MCP-Server für Bob. Die Anmeldung läuft seit Juni 2026 über OAuth mit dem persönlichen Bob-Zugang, schrittweise ausgerollt an Kunden. Einrichtung und Werkzeugliste stehen im Bob Help Center.

Welche KI-Werkzeuge funktionieren mit HiBob MCP?

Laut HiBob-Produktseite (Stand November 2026) ChatGPT, Claude.ai, Claude Desktop und Cursor. Ein Admin fügt den HiBob-Connector im KI-Werkzeug hinzu, danach meldet sich jede Person mit dem eigenen Bob-Konto an.

Kann Claude in HiBob Daten ändern?

Ja, wenn Bob der angemeldeten Person die Aktion ohnehin erlaubt, etwa einen Urlaubsantrag stellen oder Profilangaben aktualisieren. Manche KI-Werkzeuge erlauben Admins, vor schreibenden Aktionen eine Bestätigung zu verlangen.

Ist der HiBob MCP-Server noch in der Beta?

Die erste Version vom April 2026 war als Beta gekennzeichnet und lief nur mit einem Service-User. Für die OAuth-Version vom Juni 2026 spricht HiBob von einem schrittweisen Rollout. Einen Beta-Hinweis dazu enthalten die öffentlich lesbaren Quellen nicht.

Kann ich statt des offiziellen Servers einen eigenen MCP-Server bauen?

Ja, auf der HiBob-API mit einem Service-User und eigener Berechtigungsgruppe. Beachten Sie die Mengengrenzen je Endpunkt und die API Terms of Use, unter anderem zum Kopieren von Daten und zur Nutzung durch Dienstleister.

Wo liegen die Daten bei HiBob MCP?

Einen Datenstandort für den MCP-Server nennt HiBob in den öffentlich lesbaren Quellen nicht. Neben HiBob verarbeitet auch der gewählte KI-Dienst die abgefragten Daten. Dessen Vertrag und Verarbeitungsort gehören deshalb mit in die Prüfung.