Muster einer Betriebsvereinbarung: Dienstplanung

Parteien

Betriebsvereinbarung über den Einsatz der Dienstplanungssoftware Monkaru, abgeschlossen zwischen

[Rechtsträger der Krankenanstalt], [Anschrift], vertreten durch [Name, Funktion] (im Folgenden "Arbeitgeber"),

und dem

[Betriebsrat / Angestelltenbetriebsrat / Betriebsausschuss] der [Krankenanstalt, Standort], vertreten durch [Name, Funktion] (im Folgenden "Betriebsrat").

Präambel

Der Arbeitgeber setzt in der/den Abteilung(en) [Abteilung(en)] die cloudbasierte Software Monkaru zur Dienst-, Besetzungs- und Urlaubsplanung ein. Ziel ist eine rechtskonforme, faire und nachvollziehbare Planung nach dem Krankenanstalten-Arbeitszeitgesetz (KA-AZG) und dem Arbeitszeitgesetz (AZG), weniger Planungsaufwand und Transparenz für die Beschäftigten über ihre eigenen Dienste.

Die Parteien sind sich einig, dass das System nicht der Leistungs- oder Verhaltenskontrolle der Beschäftigten dient. Sie schließen diese Vereinbarung, um den Einsatz des Systems, die Verwendung der Daten und die Rechte der Beschäftigten verbindlich zu regeln.

§ 1 Geltungsbereich

1. Räumlich und fachlich: Diese Vereinbarung gilt für den Einsatz von Monkaru in der/den Abteilung(en) [Abteilung(en)] der [Krankenanstalt, Standort]. Eine Ausweitung auf weitere Abteilungen erfolgt durch schriftlichen Beitritt, der dem Betriebsrat mitgeteilt wird, oder durch Ergänzung dieser Vereinbarung.
2. Persönlich: Sie gilt für alle Arbeitnehmer:innen im Sinne des § 36 ArbVG, deren Daten in Monkaru verarbeitet werden, sowie sinngemäß für Personen, die Monkaru als Planer:innen oder Lesende nutzen.
3. Sachlich: Sie regelt den Einsatz sämtlicher Funktionen von Monkaru gemäß § 3 einschließlich der Änderungen nach der Veröffentlichung, der Auswertungen und der Protokollierung.

§ 2 Rechtsgrundlage und Zweck der Vereinbarung

1. Diese Vereinbarung wird als Betriebsvereinbarung gemäß § 96 Abs 1 Z 3 ArbVG (Einführung von Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer:innen, sofern diese die Menschenwürde berühren) und gemäß § 96a Abs 1 Z 1 ArbVG (Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten der Arbeitnehmer:innen, die über die Ermittlung von allgemeinen Angaben zur Person und fachlichen Voraussetzungen hinausgehen) abgeschlossen.
2. Die Parteien gehen davon aus, dass die Planung der Dienste und die Prüfung der Arbeitszeitgrenzen für sich genommen der Erfüllung gesetzlicher Pflichten dient (KA-AZG, AZG, ARG) und die Menschenwürde nicht berührt. Weil das System darüber hinaus Auswertungen über die Dienstverteilung ermöglicht, jede Änderung mit handelnder Person protokolliert und Gesundheitsdaten (Krankenstände) enthält, schließen die Parteien diese Vereinbarung vorsorglich nach beiden Bestimmungen ab.
3. Diese Vereinbarung ist zugleich eine Kollektivvereinbarung im Sinne des Art. 88 Abs 1 DSGVO. Sie enthält spezifische Vorschriften zur Verarbeitung personenbezogener Beschäftigtendaten und zur Wahrung der Menschenwürde, der berechtigten Interessen und der Grundrechte der Beschäftigten (Art. 88 Abs 2 DSGVO).
4. Bestehende Betriebsvereinbarungen über die Lage und Verteilung der Arbeitszeit, verlängerte Dienste, Durchrechnungszeiträume und Opt-Out (§ 97 Abs 1 Z 2 ArbVG, § 4, § 4a, § 11b KA-AZG) bleiben unberührt. Monkaru wird so konfiguriert, dass es die dort vereinbarten Grenzen abbildet.

§ 3 Beschreibung des Systems

Monkaru ist eine Webanwendung des Anbieters Monkaru, Inhaber Manuel Istratoaie, Wien (im Folgenden "Anbieter"), die über den Browser genutzt wird. Sie umfasst:

1. Dienstplanung: Erstellung, Abstimmung und Veröffentlichung monatlicher Dienstpläne; Änderungen nach der Veröffentlichung gemäß § 7; Prüfung jeder Zuteilung vor dem Speichern gegen die konfigurierten Grenzen nach KA-AZG und AZG (tägliche Ruhezeit, Ausgleichsruhe, Wochenruhe, Höchstarbeitszeit, Durchrechnung, Opt-Out, Schutzgruppen) und gegen betriebliche Dienstregeln.
2. Automatische Planung (Auto-Füllen): Erstellt auf Anforderung einer Planer:in einen Planvorschlag unter Berücksichtigung der Regeln, der Besetzung, der abgegebenen Dienstpräferenzen und einer gleichmäßigen Verteilung belastender Dienste. Der Vorschlag wird von der Planer:in geprüft und freigegeben oder verworfen. Das System trifft keine Entscheidung mit Rechtswirkung für Beschäftigte ohne menschliche Freigabe.
3. Besetzungsplan: Zuordnung geplanter Dienste zu Räumen, Arbeitsplätzen oder Funktionen.
4. Ausfall-Manager: Fällt eine Person aus oder bleibt eine Besetzung offen, kann die Planung Beschäftigte fragen, ob sie einspringen. Die Beschäftigten sagen in der Anwendung oder über einen persönlichen, einmal gültigen Link in der Anfrage-E-Mail zu oder ab; eine auf anderem Weg gegebene Zustimmung hält die Planung fest. Der Plan ändert sich erst, wenn die Planung die Änderung umsetzt; eine Umsetzung kann zurückgenommen werden, solange der betroffene Dienst nicht begonnen hat. Findet sich niemand, kann die Planung einen Dienst anordnen oder unter mehreren geeigneten Personen auslosen; beides wird als Entscheidung des Arbeitgebers festgehalten. Wo die Wochenruhe durch das Einspringen nicht eingehalten werden kann, kann die Planung, sofern eingeschaltet, eine Ersatzruhe in der Folgewoche festlegen (§ 6 ARG). Beschäftigte können freiwillig Tage markieren, an denen sie einspringen könnten (Einspring-Bereitschaft). Der Ausfall-Manager steht für veröffentlichte Monate zur Verfügung und listet die offenen Zeitfenster der Pflichtbesetzungen ab dem laufenden Tag; gefragt wird erst, wenn die Planung einen Rundruf sendet. Personen aus anderen Teams, mit anderer Position oder ohne die verlangten Skills schlägt er nur vor, wenn die Planung das für das einzelne Zeitfenster einschaltet; die Regeln zu Ruhezeiten und Arbeitszeitgrenzen werden dabei nicht gelockert, und Personen einer Schutzgruppe, die von einer Besetzung ausgeschlossen ist, werden nie vorgeschlagen.
5. Mitwirkung der Beschäftigten: Abgabe von Dienstpräferenzen (Abstimmung), Anträge auf Urlaub, Abwesenheit und Diensttausch, Einsicht in den eigenen Plan, Kalenderexport. Abgelehnte Dienste werden bei der Planung stark vermieden; die Zahl der Ablehnungen je Person und Monat legt der Arbeitgeber fest. Ein trotzdem zugeteilter abgelehnter Dienst zählt in der Belastungswertung (§ 6) doppelt, ein gewünschter einfach; freiwillig übernommene Dienste zählen normal. Dienstpräferenzen sind keine Zusage: Besetzung, Ruhezeiten und Arbeitszeitgrenzen gehen vor.
6. Abwesenheiten und Urlaubsplanung: Urlaub, Krankenstand, Zeitausgleich und sonstige Abwesenheiten als Zeitraum mit Art, ohne Grund oder Diagnose; Urlaubsplan.
7. Auswertungen: Statistik je Beschäftigter (Soll- und geplante Stunden, Dienste nach Art, Abwesenheiten); Verteilung von Nacht-, Wochenend- und Feiertagsdiensten (Fairness-Tabelle) gemäß § 6; Kennzeichnung von Regelverstößen im Plan.
8. Export des Dienstplans als PDF und Excel.
9. Protokollierung: Änderungsverlauf aller Änderungen mit handelnder Person und Werten vorher und nachher, von der Datenbank geschrieben und gegen nachträgliche Änderung gesichert; Sicherheitsprotokoll der Anmeldungen.

Das System hat keine Stechuhr, keine Anwesenheitserkennung, keine Standortbestimmung, keine Erfassung von Geräten, Kameras, Tastatur oder Bildschirm, keine biometrischen Verfahren und keine Schnittstelle zu Zutritts- oder Telefonanlagen. Lesezugriffe der Beschäftigten auf den Plan werden nicht protokolliert.

Die Systembeschreibung des Anbieters, das Zugriffskonzept und die Liste der Unterauftragsverarbeiter sind als Anlagen 1, 2 und 6 Bestandteil dieser Vereinbarung.

§ 4 Verarbeitete Daten

In Monkaru werden ausschließlich die folgenden Kategorien personenbezogener Daten der Beschäftigten verarbeitet:

Nicht verarbeitet werden: Patientendaten, Diagnosen oder sonstige medizinische Angaben zu Beschäftigten, Standortdaten, biometrische Daten, private Kontaktdaten, Daten über Familienangehörige, Gewerkschaftszugehörigkeit oder Betriebsratstätigkeit.

Freitextfelder (Notizen zu Diensten, Anträgen und Einspringanfragen) dürfen keine Angaben zu Gesundheit, Diagnosen, Gründen eines Krankenstands oder sonstige besondere Kategorien personenbezogener Daten enthalten. Der Arbeitgeber weist alle berechtigten Personen darauf hin und überprüft die Einhaltung stichprobenartig gemeinsam mit dem Betriebsrat.

§ 5 Zwecke, Zweckbindung und Verwertungsverbot

Die Daten dürfen ausschließlich für folgende Zwecke verwendet werden:

1. Erstellung, Abstimmung, Veröffentlichung und Anpassung des Dienstplans und des Besetzungsplans;
2. Einhaltung der Arbeitszeit- und Ruhezeitvorschriften nach KA-AZG, AZG, ARG, Mutterschutzgesetz und den anwendbaren Kollektivverträgen und Betriebsvereinbarungen;
3. Nachvollziehbarkeit der Planung und ihrer Änderungen, auch gegenüber der Arbeitsinspektion;
4. [Optional] Weitergabe des veröffentlichten Dienstplans samt Änderungen an die Lohnverrechnung als Grundlage der Entgeltermittlung;
5. Bearbeitung von Anträgen der Beschäftigten (Urlaub, Abwesenheit, Tausch, Dienstpräferenzen);
6. gleichmäßige Verteilung belastender Dienste (§ 6);
7. Sicherheit und Nachvollziehbarkeit des Systems (Protokollierung) sowie Erfüllung datenschutzrechtlicher Pflichten.

Verwertungsverbot: Die in Monkaru verarbeiteten Daten, insbesondere Änderungen nach der Veröffentlichung, Abwesenheiten, Protokolldaten und Auswertungen, dürfen nicht zur Leistungs- oder Verhaltenskontrolle, zur Bewertung einzelner Beschäftigter, für Rankings oder als Grundlage für personelle Maßnahmen (Ermahnung, Verwarnung, Versetzung, Kündigung, Entlassung) verwendet werden.

Ausgenommen sind: (a) die Verwendung des veröffentlichten Dienstplans samt Änderungen als solche für die Entgeltermittlung und für gesetzliche Nachweispflichten; (b) die Verwendung im Einzelfall bei begründetem Verdacht vorsätzlich falscher Eintragungen, nach vorheriger Information des Betriebsrats und unter Gewährung des rechtlichen Gehörs der betroffenen Person; (c) Auskünfte, zu denen der Arbeitgeber gesetzlich verpflichtet ist. Daten, die unter Verstoß gegen diese Bestimmung erhoben oder verwendet wurden, dürfen in arbeitsrechtlichen Verfahren nicht verwertet werden.

§ 6 Fairness-Tabelle und Belastungsverteilung

1. Monkaru zeigt Planer:innen je Beschäftigter die Anzahl und Verteilung von Nacht-, Wochenend- und Feiertagsdiensten sowie eine Belastungskennzahl über den Planungszeitraum (Fairness-Tabelle) und berücksichtigt diese Verteilung bei der automatischen Planung.
2. Zweck ist ausschließlich eine gleichmäßige und nachvollziehbare Verteilung belastender Dienste zugunsten der Beschäftigten. Die Kennzahlen sind keine Leistungskennzahlen und dürfen nicht für Vergleiche außerhalb der Planung, für Beurteilungen oder für Maßnahmen nach § 5 verwendet werden.
3. Die Fairness-Tabelle (in der Anwendung: Dienst-Verteilung) ist standardmäßig nur für Inhaber:innen und Admins sichtbar. Betrachter:innen sehen sie nie. Mitarbeiter:innen sehen sie nur, wenn die Organisation es freigibt, und zwar [nur die eigenen Werte neben dem Abteilungsdurchschnitt / alle Mitarbeiter:innen mit Namen / gar nicht]. Schutzzeiträume anderer Personen (etwa Mutterschutz) sind für Kolleg:innen in keiner Variante erkennbar. Eine Freigabe für Mitarbeiter:innen kann jederzeit zurückgenommen werden. Wie stark Auto-Füllen die Belastung berücksichtigt, legt die Planung bei jedem Planungslauf in den erweiterten Einstellungen fest.
4. Jede Beschäftigte kann ihre eigene Dienstverteilung im eigenen Plan einsehen und Auskunft über die eigenen Kennzahlen verlangen.
5. Einspringzähler: Monkaru zählt je Beschäftigter die umgesetzten Einsprünge aus einer Zusage oder Anordnung (Absagen nie) und zeigt die Monatszahl Planer:innen in der Dienst-Verteilung. Der Ausfall-Manager fragt Personen, die in den letzten 90 Tagen häufiger als der Median der Abteilung eingesprungen sind, später, damit Mehrarbeit gleichmäßig verteilt wird. Für den Zähler gilt Abs 2 ebenso: Er ist keine Leistungs- oder Zuverlässigkeitskennzahl.

§ 7 Änderungen nach der Veröffentlichung

1. Nach der Veröffentlichung bleibt der veröffentlichte Plan unverändert gespeichert. Ändert sich ein Dienst, etwa durch einen Krankenstand, einen Tausch oder ein Einspringen, speichert das System den geänderten Dienst daneben und kennzeichnet ihn im Plan; der ursprünglich veröffentlichte Dienst bleibt erkennbar. Nach Ablauf eines Tages hält das System den an diesem Tag geltenden Dienst fest.
2. Monkaru ist keine Zeiterfassung. Es erfasst weder Anwesenheit noch Kommen- und Gehen-Zeiten. Die Aufzeichnung der Arbeitszeit nach § 11 KA-AZG und § 26 AZG erfolgt [im bisherigen System / auf folgende Weise: Beschreibung].
3. Änderungen in veröffentlichten Monaten nehmen nur Inhaber:innen und Admins vor. Das System prüft die Berechtigung bei jedem Schreibvorgang in der Datenbank.
4. Jede Änderung wird mit Zeitpunkt, handelnder Person sowie Wert vorher und nachher unveränderbar protokolliert. Dieses Protokoll ist von der Löschfrist des allgemeinen Änderungsverlaufs ausgenommen und bleibt für die Dauer der Nutzung verfügbar.
5. Einsicht und Einwände: Ändert sich der eigene Dienst in einem veröffentlichten Monat, wird die Beschäftigte in der Anwendung benachrichtigt; unter "Mein Dienstplan" sieht sie den geltenden Dienst, die Änderung ist gekennzeichnet. Der Arbeitgeber schaltet für alle Beschäftigten die Berechtigungen "Eigenen Änderungsverlauf einsehen" und "Sehen, wer eine Änderung gemacht hat" ein, damit jede Änderung des eigenen Dienstes samt handelnder Person nachvollzogen werden kann. Einwände gegen eine Änderung können binnen [14 Tagen] bei [Funktion] erhoben werden; die Entscheidung wird begründet.

§ 8 Krankenstand und Gesundheitsdaten

1. Krankenstände werden ausschließlich als Abwesenheitsart mit Zeitraum erfasst. Grund, Diagnose, behandelnde Ärzt:innen oder Inhalte einer Krankmeldung werden nicht erfasst, auch nicht in Freitextfeldern (§ 4).
2. Rechtsgrundlage ist Art. 9 Abs 2 lit b DSGVO in Verbindung mit den arbeits- und sozialrechtlichen Pflichten des Arbeitgebers (insbesondere Entgeltfortzahlung und Dienstplanung) und dieser Vereinbarung als Kollektivvereinbarung nach Art. 88 DSGVO.
3. Krankenstände, Zeitausgleich und sonstige Abwesenheiten anderer Personen sind für Beschäftigte und Betrachter:innen standardmäßig ausgeblendet, und zwar in allen Ansichten, die diese Rollen erreichen. Sichtbar ist nur, dass eine Person an dem Tag nicht im Dienst ist. Urlaube sind, wie an einem Aushang, sichtbar.
4. Der Arbeitgeber darf die Sichtbarkeit von Krankenständen für andere Personen nur für die in Anlage 3 genannten Funktionen freigeben (z. B. Stationsleitung für ihr Team). Eine Freigabe für alle Beschäftigten einer Abteilung bedarf der Zustimmung des Betriebsrats.
5. Schutzzeiträume (Mutterschutz, Schutzfrist, KA-AZG-Schutzgruppe) werden als Zeitraum ohne Grund erfasst, sind nur für Inhaber:innen und Admins sichtbar und dürfen ausschließlich für die Einhaltung der Schutzvorschriften bei der Planung verwendet werden.
6. Ausfall-Manager: Er nennt bei einem offenen Zeitfenster weder die abwesende Person noch den Grund. Rundrufe, Anfragen und Antworten sind nur für Inhaber:innen und Admins sichtbar; Admins mit Teambeschränkung sehen nur die ihrer Teams. Anfragen an Beschäftigte und deren E-Mails nennen weder die abwesende Person noch den Grund des Ausfalls.

§ 9 Zugriffsberechtigungen

1. Der Zugriff auf Daten richtet sich nach dem Zugriffskonzept des Anbieters (Anlage 2). Es gilt der Grundsatz der geringsten notwendigen Berechtigung.
2. Der Arbeitgeber führt in Anlage 3 die Liste der Personen mit den Rollen Inhaber:in und Admin, jeweils mit Funktion, zugewiesenen Teams und den vergebenen sensiblen Berechtigungen ("Lohndaten verwalten", "Dienstplanstatus ändern", "Abwesenheiten anderer einsehen"). Individuelle Abweichungen von den Rollenberechtigungen werden ebenfalls in Anlage 3 geführt.
3. Admins werden auf die Teams beschränkt, für die sie planen, sofern die Abteilung mehrere Teams führt.
4. Änderungen an Anlage 3 werden dem Betriebsrat binnen [einer Woche] schriftlich mitgeteilt. Der Betriebsrat kann die Berechtigungseinstellungen jederzeit gemeinsam mit dem Arbeitgeber in der Anwendung einsehen. Arbeitgeber und Betriebsrat überprüfen Anlage 3 mindestens [jährlich].
5. Betrachter:innen-Zugänge für Personen außerhalb der Abteilung (z. B. Pflegeleitung, Portier) werden nur mit den in Anlage 3 genannten Sichtbarkeiten eingerichtet; Krankenstände und sonstige Abwesenheiten bleiben für sie ausgeblendet.
6. [Optional] Der Betriebsrat erhält einen Betrachter:innen-Zugang mit den in Anlage 3 festgelegten Sichtbarkeiten, um die Einhaltung dieser Vereinbarung zu prüfen.

§ 10 Rechte und Information der Beschäftigten

1. Jede Beschäftigte wird vor der ersten Verarbeitung ihrer Daten schriftlich über das System, die verarbeiteten Daten, die Zwecke, die Empfänger, die Speicherdauer und ihre Rechte informiert (Art. 13 DSGVO). Der Arbeitgeber stellt dazu ein Informationsblatt zur Verfügung, das mit dem Betriebsrat abgestimmt ist.
2. Jede Beschäftigte hat jederzeit Einsicht in den eigenen Plan einschließlich gekennzeichneter Änderungen, die eigenen Abwesenheiten und, nach Freischaltung gemäß § 7, den eigenen Änderungsverlauf. Sie kann den eigenen Plan als Kalender exportieren.
3. Die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch nach Art. 15 bis 21 DSGVO werden gegenüber dem Arbeitgeber als Verantwortlichem geltend gemacht; Ansprechstelle ist [Datenschutzbeauftragte:r / Funktion, Kontakt]. Der Anbieter unterstützt den Arbeitgeber bei der Beantwortung binnen der gesetzlichen Fristen.
4. Beschäftigte werden in der Nutzung des Systems geschult. Die Nutzung erfolgt während der Arbeitszeit. Niemand ist verpflichtet, ein privates Gerät zu verwenden oder außerhalb der Arbeitszeit auf das System zuzugreifen. Benachrichtigungen (z. B. Plan veröffentlicht, Antrag entschieden, eigener Dienst geändert) werden innerhalb der Anwendung angezeigt. E-Mails versendet das System für Einladungen und die Kontoverwaltung sowie für Benachrichtigungen und Einspringanfragen; diese beiden kann jede Person in ihrem Profil einzeln abschalten. Push-Nachrichten auf das Mobiltelefon versendet das System nicht.
5. Beschäftigten entsteht aus der Wahrnehmung ihrer Rechte nach dieser Vereinbarung kein Nachteil.

§ 11 Rechte des Betriebsrats

1. Der Betriebsrat erhält vor Inbetriebnahme und danach bei jeder wesentlichen Änderung: die Systembeschreibung, das Zugriffskonzept, die Auftragsverarbeitungsvereinbarung mit technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter, die Datenschutz-Folgenabschätzung und die Liste der berechtigten Personen (Anlagen 1 bis 6).
2. Der Betriebsrat kann vom Arbeitgeber die Vorlage der Konfiguration der Berechtigungen und der Arbeitszeitregeln in der Anwendung verlangen und diese gemeinsam einsehen.
3. Der Betriebsrat erhält auf Verlangen, höchstens [quartalsweise], aggregierte Auswertungen ohne Personenbezug (z. B. Verteilung der Nacht- und Wochenenddienste je Team, Anzahl der im Plan gekennzeichneten Regelverstöße), um die Einhaltung der Arbeitszeitvorschriften zu überwachen (§ 89 ArbVG).
4. Der Betriebsrat wird über Sicherheitsvorfälle, die Beschäftigtendaten betreffen, unverzüglich nach Kenntnis des Arbeitgebers informiert.
5. Der Betriebsrat kann zur Beurteilung des Systems eine sachverständige Person beiziehen (§ 39 Abs 5 ArbVG) und den Anbieter zu einer Präsentation und Fragerunde einladen.

§ 12 Datensicherheit, Auftragsverarbeitung und Datenstandort

1. Der Arbeitgeber ist Verantwortlicher im Sinne der DSGVO, der Anbieter Auftragsverarbeiter. Der Arbeitgeber schließt mit dem Anbieter eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO (Anlage 4).
2. Datenbank und Authentifizierung werden in der EU-Region Frankfurt am Main (Supabase), die Anwendungsserver in Deutschland (IONOS SE) betrieben. Die Daten werden dort gespeichert und primär in der EU verarbeitet. Der Datenbankanbieter Supabase Pte. Ltd. (Singapur) ist vertraglich verpflichtet, die Daten in Frankfurt zu speichern und primär dort zu verarbeiten; Zugriff erhält nur berechtigtes, zur Vertraulichkeit verpflichtetes Personal, alle Zugriffe werden protokolliert. Soweit dabei ein Zugriff aus einem Drittland erfolgt, etwa für Betrieb und Support, ist er durch Standardvertragsklauseln abgesichert. Die übrigen in Anlage 6 genannten Unterauftragsverarbeiter mit Sitz außerhalb der EU verarbeiten Beschäftigtendaten nur in EU-Regionen und auf Grundlage von Standardvertragsklauseln beziehungsweise des EU-US-Datenschutzrahmens.
3. Technische und organisatorische Maßnahmen umfassen insbesondere: verschlüsselte Übertragung (TLS 1.3) und Speicherung (AES-256), rollenbasierte Zugriffskontrolle mit Durchsetzung in der Datenbank (Row-Level-Security, einschließlich Teambeschränkungen), Passwörter mit mindestens 12 Zeichen, optionale Zwei-Faktor-Authentifizierung, die eingeschaltet jeden Datenzugriff schützt, automatische Abmeldung bei Inaktivität, keine Skripte Dritter in der angemeldeten Anwendung, tägliche Sicherungen, Protokollierung aller Änderungen, Erkennung und Behandlung von Sicherheitsvorfällen.
4. Der Anbieter meldet Verletzungen des Schutzes personenbezogener Daten dem Arbeitgeber binnen 72 Stunden; der Arbeitgeber informiert den Betriebsrat gemäß § 11 und die betroffenen Beschäftigten nach Art. 34 DSGVO.
5. Änderungen der Unterauftragsverarbeiter werden vom Anbieter mindestens 30 Tage im Voraus angezeigt; der Arbeitgeber leitet die Anzeige an den Betriebsrat weiter.
6. Der Arbeitgeber weist die Beschäftigten an, Zugangsdaten nicht weiterzugeben, und empfiehlt allen Personen mit den Rollen Inhaber:in und Admin, die Zwei-Faktor-Authentifizierung für ihr Konto zu aktivieren. Die Zwei-Faktor-Authentifizierung ist für jedes Konto verfügbar; ihre Aktivierung liegt bei der jeweiligen Person und kann in der Anwendung nicht zentral vorgeschrieben werden.

§ 13 Speicherdauer und Löschung

Der Arbeitgeber exportiert die Dienstpläne [jährlich / bei Vertragsende] in einem dauerhaften Format (PDF oder Excel) und verwahrt sie für die gesetzlichen Fristen außerhalb des Systems, wenn die Nutzung endet.

§ 14 Änderungen des Systems

1. Der Anbieter entwickelt das System laufend weiter. Fehlerbehebungen, Änderungen der Oberfläche und Erweiterungen innerhalb der in § 3 beschriebenen Funktionen bedürfen keiner Änderung dieser Vereinbarung.
2. Wesentliche Änderungen, nämlich neue Kategorien personenbezogener Daten, neue Auswertungen mit Personenbezug, neue Schnittstellen zu anderen Systemen, eine Änderung des Datenstandorts, die Aufzeichnung der tatsächlich geleisteten Arbeitszeit in Monkaru (etwa eine Stechuhr-Funktion) oder die Übergabe von Daten an die Lohnverrechnung aus Monkaru, werden dem Betriebsrat vor Aktivierung mitgeteilt und dürfen erst nach Ergänzung dieser Vereinbarung genutzt werden. Bis dahin bleiben sie in der Abteilung deaktiviert.
3. Der Arbeitgeber holt vom Anbieter bei jeder Versionsänderung des Zugriffskonzepts (Anlage 2) die aktuelle Fassung ein und übermittelt sie dem Betriebsrat.

§ 15 Pilotphase und Evaluierung

1. Das System wird zunächst für [sechs Monate] ab Inbetriebnahme in der/den Abteilung(en) nach § 1 als Pilot betrieben. Während der Pilotphase gelten alle Bestimmungen dieser Vereinbarung.
2. [Optional] Während der Pilotphase wird die Fairness-Tabelle (§ 6) für Mitarbeiter:innen nicht freigegeben. [Optional] Ein vorgelagerter Testbetrieb erfolgt ausschließlich mit pseudonymisierten Daten.
3. Spätestens [einen Monat] vor Ende der Pilotphase evaluieren Arbeitgeber und Betriebsrat den Einsatz gemeinsam, insbesondere: Einhaltung des Verwertungsverbots, Anzahl und Art der Einwände gegen Änderungen (§ 7 Z 5), Rückmeldungen der Beschäftigten, Berechtigungsliste, Regelverstöße vor und nach Einführung. Die Beschäftigten werden dazu befragt.
4. Nach der Evaluierung wird die Vereinbarung fortgesetzt, angepasst oder der Einsatz beendet.

§ 16 Streitbeilegung

1. Meinungsverschiedenheiten über die Auslegung oder Anwendung dieser Vereinbarung werden zunächst zwischen [Funktion des Arbeitgebers] und dem Betriebsrat binnen [zwei Wochen] besprochen.
2. Kommt keine Einigung zustande, kann jede Partei in Angelegenheiten des § 96a ArbVG die Schlichtungsstelle nach § 144 ArbVG anrufen. In Angelegenheiten des § 96 Abs 1 Z 3 ArbVG entscheidet ausschließlich die Einigung der Parteien.
3. Bei begründetem Verdacht eines Verstoßes gegen das Verwertungsverbot (§ 5) kann der Betriebsrat verlangen, dass die betreffende Funktion (z. B. eine Auswertung) bis zur Klärung deaktiviert wird.

§ 17 Inkrafttreten, Dauer und Kündigung

1. Diese Vereinbarung tritt mit Unterzeichnung durch beide Parteien, frühestens am [Datum], in Kraft und wird auf unbestimmte Zeit abgeschlossen.
2. Sie kann von jeder Partei unter Einhaltung einer Frist von drei Monaten zum Monatsletzten schriftlich gekündigt werden (§ 96 Abs 2 ArbVG). Eine Nachwirkung nach § 32 Abs 3 ArbVG tritt hinsichtlich der nach § 96 Abs 1 Z 3 ArbVG zustimmungspflichtigen Maßnahmen nicht ein. Mit Wirksamwerden der Kündigung sind die Auswertungen nach § 6 einzustellen, bis eine neue Vereinbarung vorliegt.
3. Die Parteien verpflichten sich, im Fall einer Kündigung unverzüglich Verhandlungen über eine Nachfolgeregelung aufzunehmen.

§ 18 Schlussbestimmungen

1. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.
2. Diese Vereinbarung wird im Betrieb gemäß § 30 ArbVG kundgemacht und jeder betroffenen Beschäftigten in elektronischer Form zugänglich gemacht.
3. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem Zweck der unwirksamen Bestimmung möglichst nahekommt.
4. Die Anlagen 1 bis 6 sind Bestandteil dieser Vereinbarung.

Unterschriften

Anlage 1: Systembeschreibung des Anbieters

Die Systembeschreibung ergibt sich aus § 3 und § 4 dieser Vereinbarung sowie aus den Beschaffungsunterlagen des Anbieters (monkaru.com/beschaffung, Abschnitte Leistungsgegenstand, Hosting und Datenstandort, Datenschutz, Informationssicherheit). Der Arbeitgeber legt die Fassung mit Stand [Datum] bei.

Anlage 2: Zugriffskonzept

Zugriffskonzept "Wer sieht was in Monkaru" des Anbieters, Version [Version] vom [Datum], abrufbar unter monkaru.com/vorlagen/zugriffskonzept-dienstplanung. Es enthält die Rollen, die Zugriffsmatrix nach Datenkategorie, die vollständige Liste der Berechtigungsschalter mit Standardwerten, die Protokollierung und die empfohlene Einstellung für den Betrieb mit Betriebsvereinbarung.

Anlage 3: Berechtigte Personen

Stand: [Datum]. Zu aktualisieren bei jeder Änderung (§ 9).

Spalte "Lohndaten verwalten": Export der Auswertungen. Ansprechstelle für Einwände gegen Änderungen (§ 7 Z 5): [Funktion, Kontakt]. Ansprechstelle für Betroffenenrechte (§ 10 Z 3): [Funktion, Kontakt].

Anlage 4: Auftragsverarbeitungsvereinbarung

Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO zwischen dem Arbeitgeber und dem Anbieter samt technischen und organisatorischen Maßnahmen, unterzeichnet am [Datum]. Die aktuelle Fassung des Anbieters ist unter monkaru.com/dpa abrufbar.

Anlage 5: Datenschutz-Folgenabschätzung

Datenschutz-Folgenabschätzung des Arbeitgebers nach Art. 35 DSGVO für die Verarbeitungstätigkeit "Dienst- und Arbeitszeitplanung mit Monkaru", Fassung vom [Datum], erstellt auf Grundlage der Arbeitshilfe des Anbieters (monkaru.com/vorlagen/dsfa-dienstplanung). Der Standpunkt des Betriebsrats nach Art. 35 Abs 9 DSGVO ist darin dokumentiert.

Anlage 6: Unterauftragsverarbeiter des Anbieters

Stand der Liste: [Datum]. Die aktuelle Liste ist Teil der Auftragsverarbeitungsvereinbarung (monkaru.com/dpa).

Weitere Unterlagen für Betriebsrat und Datenschutz

• DSFA-Arbeitshilfe für die Dienstplanung (Art. 35 DSGVO)
• Zugriffskonzept: Wer sieht was in Monkaru (Rollen und Berechtigungen)
• KA-AZG einfach erklärt: Arbeitszeit & Ruhezeiten im Spital
• Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)
• Beschaffungsunterlagen: Hosting, Sicherheit, Preise