Zuletzt aktualisiert: 12. Oktober 2026
Monkaru ("wir", "uns" oder "unser") respektiert Ihre Privatsphäre und verpflichtet sich zum Schutz Ihrer personenbezogenen Daten. Diese Datenschutzerklärung erläutert, wie wir Ihre Informationen erheben, verwenden, offenlegen und schützen, wenn Sie unsere Dienstplanungsanwendung für Mitarbeiter nutzen.
Diese Richtlinie entspricht der Datenschutz-Grundverordnung (DSGVO) und anderen anwendbaren Datenschutzgesetzen.
Hinweis zur Rolle als Auftragsverarbeiter: Soweit Sie als Kunde (z. B. Krankenhaus oder Abteilung) personenbezogene Daten Ihrer Mitarbeiter in Monkaru eingeben und verwalten, handelt Monkaru ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO. Verantwortlicher für diese Daten bleiben Sie als Kunde. Die Verarbeitung erfolgt auf Grundlage einer Auftragsverarbeitungsvereinbarung (AVV), die wir unseren Kunden bereitstellen. Weitere Informationen finden Sie in unserer Auftragsverarbeitungsvereinbarung.
Angaben zu Krankenständen und zu besonderen Schutzgruppen können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Wir behandeln sie mit entsprechender Sorgfalt: Krankenstände anderer Personen sind für Mitarbeiter:innen und Betrachter:innen standardmäßig nicht sichtbar, und die Organisation legt fest, wer sie sehen darf.
Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:
Wir verwenden die erhobenen Informationen für folgende Zwecke:
Wir geben Ihre Informationen in folgenden Umständen weiter:
Für den Betrieb setzen wir folgende Dienstleister ein:
Die vollständige Liste mit Zweck und Standort steht in Abschnitt 6 der Auftragsverarbeitungsvereinbarung.
Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte.
Wir speichern Ihre Daten für folgende Zeiträume:
| Datenart | Speicherfrist | Rechtsgrundlage |
|---|---|---|
| Aktive Kontodaten | Dauer Ihres Kontos | Vertrag (Art. 6(1)(b) DSGVO) |
| Daten einer Organisation nach Vertragsende (Mitarbeiter, Dienstpläne, Ist-Zeiten, Abwesenheiten, Einstellungen) | Bleiben gespeichert, bis die Organisation die Löschung anweist; keine automatische Löschung | Auftragsverarbeitung für die Organisation (Art. 28 DSGVO); gesetzliche Aufbewahrungspflichten der Organisation |
| Gelöschte Elemente (Mitarbeiter:innen, Dienste, Räume, Besetzungen, Dienstplaneinträge, Abwesenheiten) | 30 Tage aufbewahrt, dann beim nächsten wöchentlichen Bereinigungslauf endgültig gelöscht | Berechtigtes Interesse (Art. 6(1)(f) DSGVO): Wiederherstellung versehentlich gelöschter Daten |
| Aktivitätsprotokolle | 90 Tage in der App zugänglich, danach im Archiv; insgesamt bis zu 2 Jahre ab dem Eintrag, dann endgültig gelöscht | Berechtigtes Interesse (Art. 6(1)(f) DSGVO): Nachvollziehbarkeit von Änderungen und Sicherheit |
| Änderungsverlauf der Ist-Zeiten | Ohne feste Frist, solange die Organisation ihre Daten bei Monkaru führt | Auftragsverarbeitung für die Organisation (Art. 28 DSGVO): macht ihre Arbeitszeitaufzeichnungen nachvollziehbar |
| Audit-Protokolle (Sicherheitsereignisse) | 2 Jahre, dann endgültig gelöscht | Rechtliche Verpflichtung und berechtigtes Interesse |
| DSGVO-Datenanfragen | 5 Jahre nach Abschluss | Gesetzliche Dokumentationspflicht |
Gelöschte Daten werden zunächst nur ausgeblendet und 30 Tage aufbewahrt. Gelöschte Mitarbeiter:innen, Dienste, Räume und Besetzungen können Inhaber:innen und Admins in dieser Zeit über den Papierkorb der jeweiligen Seite wiederherstellen. Gelöschte Dienstplaneinträge und Abwesenheiten lassen sich nicht über einen Papierkorb wiederherstellen. Nach 30 Tagen löscht ein wöchentlicher, automatischer Bereinigungslauf die Daten endgültig und unwiderruflich.
Wird der Vertrag einer Organisation beendet, werden ihre Daten nicht automatisch gelöscht. Die Organisation kann die Nutzung später wieder aufnehmen, und für viele Daten gelten gesetzliche Aufbewahrungspflichten (z. B. für Arbeitszeitaufzeichnungen und Lohnunterlagen). Inhaber:innen der Organisation können unter Einstellungen › Allgemein weiterhin einen vollständigen Datenexport der Organisation (JSON) herunterladen. Gelöscht werden die Daten auf dokumentierte Weisung der Organisation als Verantwortliche, zum Beispiel auf eine Anfrage an den Support, unter Beachtung ihrer gesetzlichen Aufbewahrungspflichten. Einzelheiten regelt Abschnitt 11 der Auftragsverarbeitungsvereinbarung.
Aktivitätsprotokolle sind 90 Tage lang in der Anwendung zugänglich. Danach werden sie automatisch in ein Archiv verschoben, das über die Anwendungsoberfläche nicht zugänglich ist. Zwei Jahre nach dem Eintrag werden sie endgültig gelöscht. Ausgenommen sind Änderungen an Ist-Zeiten: Sie bleiben gespeichert, solange die Organisation ihre Daten bei Monkaru führt, weil sie die Arbeitszeitaufzeichnungen der Organisation nachvollziehbar machen.
Wichtig: Als Nutzer unseres Dienstes sind Sie verantwortlich für die Einhaltung der anwendbaren arbeitsrechtlichen Anforderungen, einschließlich etwaiger Datenspeicherungspflichten. Wir stellen die oben beschriebenen Speichermechanismen bereit, aber der Verantwortliche bleibt zuständig für die Festlegung angemessener Speicherfristen für seinen spezifischen rechtlichen Kontext.
Sie haben folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen (DSGVO Artikel 17). Dabei unterscheiden wir zwei Arten von Daten:
Hinweis: Das 30-tägige Wiederherstellungsfenster gilt für Löschungen in der Anwendung, etwa wenn ein Admin eine Mitarbeiter:in oder einen Dienst entfernt. Die Löschung Ihres Kontos ist davon getrennt und wirkt sofort.
Um diese Rechte auszuüben, kontaktieren Sie uns bitte unter den unten angegebenen Informationen oder nutzen Sie die Datenschutzverwaltungsseite.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung zu verbessern:
Wenn Sie sich mit Zwei-Faktor-Authentifizierung (2FA) anmelden, können Sie sich für "Dieses Gerät 30 Tage lang merken" entscheiden. Wenn Sie diese Option anwählen, setzen wir ein Sicherheits-Cookie (mfa_trusted_device), das Ihnen ermöglicht, die 2FA-Code-Eingabe bei nachfolgenden Anmeldungen vom selben Browser zu überspringen.
Der Cookie-Hinweis (Profilmenü › Cookie-Einstellungen) listet alle Cookies auf. Weil wir außer dem Vertrauenswürdiges-Gerät-Cookie nur technisch notwendige Cookies setzen, gibt es dort keine weiteren Einstellungen. Cookies können Sie jederzeit über Ihre Browsereinstellungen löschen.
Wir implementieren angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten:
Die Datenbank mit allen Dienstplan-, Abwesenheits- und Mitarbeiterdaten liegt in Deutschland (Frankfurt), verarbeitet werden die Daten primär in der EU. Soweit einzelne Daten außerhalb der EU verarbeitet werden, ist das durch Standardvertragsklauseln (SCC) beziehungsweise das EU-US Data Privacy Framework abgesichert.
Datenbankanbieter: Vertragspartner für Datenbank und Anmeldung ist Supabase Pte. Ltd. (Singapur). Supabase ist vertraglich verpflichtet, die Daten in Frankfurt zu speichern und primär dort zu verarbeiten. Zugriff erhält nur berechtigtes, zur Vertraulichkeit verpflichtetes Personal; alle Zugriffe werden protokolliert. Soweit dabei ein Zugriff aus einem Drittland erfolgt, etwa für Betrieb und Support, ist er durch Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 abgesichert.
Zahlungsabwicklung: Im Regelfall rechnen Krankenhäuser und Abteilungen auf Rechnung ab (e-Rechnung, SEPA-Überweisung). Dabei werden keine Daten an Stripe übermittelt. Stripe, Inc. (Vereinigte Staaten) wird nur eingesetzt, wenn sich eine Organisation für die Online-Zahlung über Stripe (z. B. per Kreditkarte) entscheidet. Nur dann verarbeitet Stripe Abrechnungsmetadaten (E-Mail-Adresse, Kunden-ID, Abonnementstatus) für die Zahlungs- und Abonnementverwaltung. Es werden in keinem Fall Dienstplan-, Abwesenheits- oder Mitarbeiterdaten an Stripe weitergegeben.
Die Übermittlung an Stripe ist durch folgende Schutzmaßnahmen abgesichert:
Im Falle einer Datenschutzverletzung gilt je nach Art der Daten:
In beiden Fällen ergreifen wir geeignete Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu begrenzen.
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir Sie durch:
Wir verwenden Rybbit, ein datenschutzfreundliches, cookieloses Analysetool, das in der EU (Deutschland) gehostet wird, um zu verstehen, wie unsere Website genutzt wird, und um unsere Dienste zu verbessern. Rybbit verwendet keine Cookies und verfolgt keine einzelnen Nutzer über Sitzungen hinweg. Ihre IP-Adresse wird beim Seitenaufruf nur kurz verarbeitet, um das Land zu bestimmen, und nicht gespeichert. Die Analysen erfolgen auf Grundlage unseres berechtigten Interesses (Art. 6(1)(f) DSGVO), ohne Einwilligung, weil keine Cookies gesetzt und keine Nutzerprofile gebildet werden.
Wir verwenden die Google Search Console zur Überwachung der Indexierung und Site-Gesundheit. Die Search Console setzt für Besucher keine Cookies und stellt uns als Website-Betreibern aggregierte Berichte zur Verfügung.
Wenn Sie Fragen zu dieser Datenschutzerklärung oder unseren Datenpraktiken haben, kontaktieren Sie uns bitte:
Verantwortlicher
Monkaru, Inhaber Manuel Istratoaie
Vorgartenstraße 223A/2/58, 1020 Wien, Österreich
E-Mail: support@monkaru.com
Sie haben auch das Recht, eine Beschwerde bei Ihrer zuständigen Datenschutzbehörde einzureichen, wenn Sie der Ansicht sind, dass wir die anwendbaren Datenschutzgesetze nicht eingehalten haben.
Wenn Sie personenbezogene Daten von Mitarbeitern oder Unternehmensvertretern in den Dienst eingeben oder verwalten (z. B. Namen, E-Mail-Adressen, Kennungen, Dienstpräferenzen, Verfügbarkeit und damit zusammenhängende Personaldaten), bestätigen Sie als Verantwortlicher, dass Sie alle erforderlichen Genehmigungen, Einwilligungen oder sonstige rechtmäßige Grundlagen gemäß anwendbarem Recht, Kollektivverträgen und internen Unternehmensrichtlinien eingeholt haben, um uns diese Daten bereitzustellen und sie für die in dieser Datenschutzerklärung beschriebenen Zwecke verarbeiten zu lassen.
Wir handeln als Ihr Auftragsverarbeiter und verlassen uns auf Ihre Angaben zur Genehmigung und Rechtsgrundlage. Sie bleiben allein verantwortlich für die Einhaltung als Verantwortlicher, einschließlich der Einhaltung etwaiger lokaler Gesetze oder Richtlinieneinschränkungen, die für Ihre Organisation gelten.