Zuletzt geändert: 12. Oktober 2026
Für die Zwecke dieser Auftragsverarbeitungsvereinbarung ("AVV"):
Diese AVV regelt die Verarbeitung personenbezogener Daten durch Monkaru (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlichen) im Zusammenhang mit der Erbringung des Monkaru-Dienstplanungsdienstes für Mitarbeiter ("der Dienst"), wie in den Nutzungsbedingungen beschrieben.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für folgende Zwecke:
Die Verarbeitung beginnt am Tag der Kontoerstellung durch den Verantwortlichen und dauert für die Laufzeit des Dienstleistungsvertrags an. Nach Beendigung werden die personenbezogenen Daten gemäß Abschnitt 11 dieser AVV aufbewahrt, herausgegeben und auf dokumentierte Weisung des Verantwortlichen gelöscht.
Folgende Kategorien personenbezogener Daten werden im Rahmen dieser AVV verarbeitet:
Besondere Kategorien (Artikel 9 DSGVO): Bestimmte vom Verantwortlichen bereitgestellte Daten können besondere Kategorien personenbezogener Daten darstellen – insbesondere Abwesenheits- und Krankenstandsdaten (das Faktum krankheitsbedingter Abwesenheit kann auf den Gesundheitszustand schließen lassen, auch ohne Diagnose) sowie der Status "besondere Schutzgruppe" (z. B. Schwangerschaft/Mutterschutz). Der Auftragsverarbeiter verarbeitet solche Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und auf Grundlage der vom Verantwortlichen sicherzustellenden Rechtsgrundlage (insbesondere Artikel 9(2)(b) DSGVO in Verbindung mit arbeits- und sozialrechtlichen Pflichten). Der Dienst erfasst keine medizinischen Diagnosen, Befunde oder sonstigen Gesundheitsdetails; Krankenstände beschränken sich auf Datumsangaben. Für diese Daten gelten dieselben technischen und organisatorischen Maßnahmen wie in Abschnitt 7 beschrieben.
Folgende Kategorien betroffener Personen sind von der Verarbeitung im Rahmen dieser AVV betroffen:
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen personenbezogener Daten in ein Drittland, sofern er nicht durch EU- oder Mitgliedstaatenrecht, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese Rechtsvorschriften, sofern das betreffende Recht eine solche Unterrichtung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Die Weisungen des Verantwortlichen sind in dieser AVV und den Nutzungsbedingungen dokumentiert.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen.
Der Auftragsverarbeiter implementiert geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Abschnitt 7 dieser AVV beschrieben, gemäß Artikel 32 DSGVO.
Der Auftragsverarbeiter beauftragt keinen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner schriftlicher Genehmigung unterrichtet der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern und gibt dem Verantwortlichen damit die Möglichkeit, diesen Änderungen zu widersprechen. Die aktuelle Liste der Unterauftragsverarbeiter ist in Abschnitt 6 dieser AVV aufgeführt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung der Pflicht des Verantwortlichen, Anträgen betroffener Personen auf Ausübung der in Kapitel III der DSGVO (Artikel 15–22) niedergelegten Rechte nachzukommen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
Nach Wahl des Verantwortlichen löscht der Auftragsverarbeiter nach Beendigung der Dienstleistungen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht bestehende Kopien, sofern keine EU- oder mitgliedstaatliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Der Verantwortliche trifft diese Wahl durch dokumentierte Weisung; bis dahin werden die Daten aufbewahrt und nicht automatisch gelöscht. Einzelheiten finden sich in Abschnitt 11.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere EU- oder mitgliedstaatliche Datenschutzbestimmungen verstößt.
Praktische Durchführung: Soweit nicht durch geltendes Recht oder eine Aufsichtsbehörde anders vorgeschrieben, werden Audits mit angemessener Vorankündigung (mindestens 30 Tage), während der üblichen Geschäftszeiten, höchstens einmal pro Kalenderjahr und so durchgeführt, dass der Geschäftsbetrieb nicht unangemessen beeinträchtigt wird; die Kosten trägt der Verantwortliche. Im Anschluss an eine Datenpanne oder bei begründetem Verdacht auf einen Verstoß entfallen die Beschränkungen hinsichtlich Häufigkeit und Vorankündigung.
Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen. Der Auftragsverarbeiter nutzt derzeit folgende Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Verarbeitete Daten | Standort |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Datenbank-Hosting, Authentifizierung, Dateispeicherung | Alle Anwendungsdaten, Authentifizierungsnachweise | Speicherung und primäre Verarbeitung in der EU-Region Frankfurt (vertraglich zugesichert). Zugriff aus Drittländern nur durch berechtigtes Personal, abgesichert durch Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914, Modul 3. |
| IONOS SE | Virtual Private Server (VPS) Hosting | Anwendungsverarbeitung, temporäre Anfragedaten | EU (Deutschland) |
| Stripe, Inc. | Zahlungsabwicklung, Abonnementverwaltung. Nur wenn sich die Organisation für die Online-Zahlung über Stripe (z. B. per Kreditkarte) entscheidet. Im Regelfall rechnen Krankenhäuser und Abteilungen auf Rechnung ab (e-Rechnung); dabei findet keine Übermittlung an Stripe statt. | Rechnungsdaten, Abonnementstatus (E-Mail-Adresse und Kunden-ID der zahlenden Organisation; keine Mitarbeiter-, Dienstplan- oder Abwesenheitsdaten) | USA (EU-US DPF zertifiziert, SCCs) |
| Brevo SAS | Transaktionale E-Mail-Zustellung | E-Mail-Adressen, E-Mail-Inhalte | EU (Frankreich) |
| Functional Software, Inc. (Sentry) | Fehlerverfolgung und Performance-Tracing | Fehlerereignisse, Stack Traces, Performance-Metriken. Zur Datenminimierung konfiguriert: keine automatische PII-Erfassung (sendDefaultPii=false), serverseitiges rekursives Scrubbing von Auth-Material und personenbezogenen Daten vor dem Versand sowie deaktivierte IP-Speicherung. | EU (Deutschland/Frankfurt) |
| Better Stack, s.r.o. | Verfügbarkeitsmonitoring | HTTP-Antwortcodes, Latenzmetriken (keine personenbezogenen Daten) | EU (Tschechien) |
| Rybbit | Website-Analysen (cookielos) | Seitenaufrufe, Referrer, Gerätetyp, Standort auf Länderebene (keine personenbezogenen Daten, keine Cookies) | EU (Deutschland) |
Der Auftragsverarbeiter erlegte jedem Unterauftragsverarbeiter durch einen Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser AVV festgelegt sind. Wenn ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nachkommt, bleibt der Auftragsverarbeiter dem Verantwortlichen gegenüber für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters vollständig haftbar.
Änderungsbenachrichtigung: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen der Unterauftragsverarbeiterliste. Wenn der Verantwortliche innerhalb von 14 Tagen nach der Benachrichtigung einem neuen Unterauftragsverarbeiter widerspricht, erörtern die Parteien das Anliegen in gutem Glauben. Wird keine Einigung erzielt, kann der Verantwortliche den Dienstleistungsvertrag kündigen.
Der Auftragsverarbeiter implementiert folgende Maßnahmen gemäß Artikel 32 DSGVO, um die Sicherheit der Verarbeitung zu gewährleisten:
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen gemäß DSGVO Artikel 15–22:
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er direkt einen Antrag einer betroffenen Person erhält. Der Auftragsverarbeiter beantwortet solche Anträge nicht ohne vorherige Genehmigung des Verantwortlichen, sofern dies nicht gesetzlich vorgeschrieben ist.
Im Falle einer Datenpanne unternimmt der Auftragsverarbeiter Folgendes:
Der Auftragsverarbeiter stellt sicher, dass alle internationalen Übermittlungen personenbezogener Daten Kapitel V der DSGVO entsprechen:
Diese AVV tritt am Tag der Kontoerstellung durch den Verantwortlichen in Kraft und bleibt für die Dauer des Dienstleistungsvertrags in Kraft. Diese AVV ist automatisch in die Nutzungsbedingungen einbezogen.
Mit Beendigung des Dienstleistungsvertrags werden die Daten der Organisation nicht automatisch gelöscht. Sie bleiben gespeichert, damit der Verantwortliche sie weiterhin exportieren, die Nutzung später wieder aufnehmen und seine gesetzlichen Aufbewahrungspflichten (z. B. für Arbeitszeitaufzeichnungen und Lohnunterlagen) erfüllen kann. Nach Vertragsende verarbeitet der Auftragsverarbeiter diese Daten nur noch zur Aufbewahrung, zur Herausgabe und zur Löschung.
Inhaber:innen der Organisation können unter Einstellungen › Allgemein einen vollständigen Datenexport der Organisation (JSON) herunterladen. Das ist auch nach Vertragsende möglich. Der Export erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format. Besteht kein Zugang zur Anwendung mehr, stellt der Auftragsverarbeiter den Export auf Anfrage an support@monkaru.com bereit.
Die Daten der Organisation werden auf dokumentierte Weisung des Verantwortlichen gelöscht. Die Weisung erfolgt zum Beispiel durch eine Anfrage an support@monkaru.com oder dadurch, dass Inhaber:innen die Organisation in der Anwendung löschen. Vor seiner Weisung berücksichtigt der Verantwortliche seine gesetzlichen Aufbewahrungspflichten und exportiert die Daten, die er weiter aufbewahren muss. Eine Pflicht des Auftragsverarbeiters zur Speicherung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten bleibt unberührt. Nach Ausführung der Weisung gilt:
Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform. Für einzelne Datensätze, die während der Nutzung gelöscht werden, gilt das 30-tägige Wiederherstellungsfenster nach Abschnitt 7.4.
Wichtig: Der Verantwortliche ist für die Einhaltung seiner gesetzlichen Aufbewahrungs- und Nachweispflichten verantwortlich (z. B. nach dem Arbeitszeitgesetz und der Bundesabgabenordnung) und legt die Speicherfristen für seine Daten fest. Der Auftragsverarbeiter stellt Datenexport-Werkzeuge bereit, legt aber keine Speicherfristen im Auftrag des Verantwortlichen fest.
Die Haftung im Rahmen dieser AVV richtet sich nach den Bestimmungen der Nutzungsbedingungen und des anwendbaren Rechts, insbesondere:
Diese AVV unterliegt dem österreichischen Recht und wird entsprechend ausgelegt, ohne Berücksichtigung von Kollisionsnormen. Alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser AVV ergeben, unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte in Wien, Österreich.
Sofern Bestimmungen dieser AVV mit den Nutzungsbedingungen in Bezug auf Datenschutzangelegenheiten in Konflikt stehen, geht diese AVV vor.
Für Fragen zu dieser AVV oder Datenschutzangelegenheiten wenden Sie sich bitte an:
Datenschutzkontakt
Monkaru
Name: Manuel Istratoaie
E-Mail: support@monkaru.com
Standort: Wien, Österreich
Der Verantwortliche kann auch die zuständige Aufsichtsbehörde kontaktieren:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
E-Mail: dsb@dsb.gv.at
Telefon: +43 1 52 152-0