Zugriffskonzept: Wer sieht was in Monkaru

1. Rollen

Jede Person hat in einer Organisation (einer Abteilung) genau eine Rolle. Eine Person kann in derselben Abteilung zusätzlich als Mitarbeiter:in geführt werden, etwa eine Oberärztin, die plant und selbst Dienste hat; die beiden Rollen werden getrennt geführt und getrennt geschaltet.

Persönliche Daten und Beschäftigungsdaten sind getrennt geschaltet. Admins brauchen für das Ändern von Name, Kürzel, Titel und Kontaktdaten die Berechtigung Persönliche Daten ändern, für Vertragsverlauf, Wochenstunden, Team und die übrigen Beschäftigungsdaten die Berechtigung Beschäftigungsdetails ändern. Mitarbeiter:innen ändern höchstens ihre eigenen persönlichen Daten, nie ihre Beschäftigungsdaten. Wer über einen Beitrittslink beitritt, gibt ebenfalls nur persönliche Daten an; die Beschäftigungsdaten legt die Person fest, die den Beitritt annimmt.

Individuelle Berechtigungen: Inhaber:innen können jede Rollenberechtigung für eine einzelne Person abweichend setzen, in beide Richtungen. Beispiel: die Mitarbeiter:innen sehen standardmäßig keine Krankenstände, die Stationsleitung als Einzelperson schon. Jede individuelle Abweichung ist in den Einstellungen als solche markiert und im Änderungsverlauf protokolliert.

2. Wer sieht was: Datenkategorien je Rolle

Die Tabelle zeigt für jede Datenkategorie, was eine Rolle standardmäßig lesen oder ändern kann. In eckigen Klammern steht der Schalter aus Abschnitt 4, der das ändert. "Serverseitig nicht übertragen" bedeutet: die Daten verlassen die Datenbank nicht in Richtung dieser Rolle, unabhängig davon, was die Oberfläche anzeigt.

3. Änderungen nach der Veröffentlichung und Krankenstand im Detail

Was nach der Veröffentlichung gespeichert wird

• Es gibt keine Stechuhr, keine App-Anmeldung als Anwesenheitsnachweis, keine Aufzeichnung von Kommen- und Gehen-Zeiten, keine Standort-, Geräte- oder biometrischen Daten.
• Der veröffentlichte Plan bleibt unverändert gespeichert. Ändert sich danach ein Dienst, speichert das System den geänderten Dienst daneben und kennzeichnet ihn im Plan; der ursprünglich veröffentlichte Dienst bleibt erkennbar. Nach Ablauf eines Tages hält das System den an diesem Tag geltenden Dienst fest.
• Ändern dürfen Inhaber:innen und Admins. Die Datenbank prüft die Berechtigung bei jedem Schreibvorgang selbst, nicht nur die Oberfläche.

Wer Änderungen sieht

• Jede Mitarbeiter:in sieht unter Mein Dienstplan den geltenden Dienst; geänderte eigene Dienste sind gekennzeichnet, und über die Änderung kommt eine Benachrichtigung in der Anwendung. Wenn der Arbeitgeber es freischaltet, kann sie jede Änderung im eigenen Änderungsverlauf nachlesen, mit oder ohne Namen der ändernden Person.
• Inhaber:innen und Admins sehen Änderungen im Plan und im Änderungsverlauf.
• Mitarbeiter:innen und Betrachter:innen sehen bei anderen Personen den geltenden Dienst, wie ihn auch ein Aushang zeigt: ob ein geplanter Dienst zu einem Urlaub oder, sofern sichtbar, zu einem Krankenstand wurde.

Krankenstand und andere Gesundheitsbezüge

• Ein Krankenstand wird als Abwesenheitsart mit Zeitraum gespeichert. Es gibt kein Feld für Grund oder Diagnose. Notizfelder sind freie Textfelder; ihre Verwendung für Diagnosen ist organisatorisch zu untersagen (siehe Betriebsvereinbarung § 8).
• Krankenstände anderer Personen sind für Mitarbeiter:innen und Betrachter:innen standardmäßig verborgen, in allen Ansichten und Exporten, die diese Rollen erreichen: Teamdienstplan, Besetzungsplan, Urlaubsplan, Tagesübersicht. Das gilt auch dann, wenn der Krankenstand direkt als Dienstart in den Plan gesetzt wurde.
• Schutzzeiträume (Mutterschutz, Schutzfrist, KA-AZG-Schutzgruppe) sind Beschäftigungsdaten ohne Angabe des Grundes, erlauben aber einen Rückschluss. Sie sind nur für Inhaber:innen und Admins sichtbar und werden wie Gesundheitsdaten behandelt.
• Das gilt auch für die Dienst-Verteilung: Für Kolleg:innen erscheint eine Person in einem Schutzzeitraum wie jede andere, ohne Kennzeichnung. Der Server überträgt Mitarbeiter:innen keine Schutzmonate anderer Personen. Nur die betroffene Person selbst sieht ihren eigenen Monat als Schutzmonat gekennzeichnet.
• Eigene Krankenstände sieht jede Person immer selbst.

4. Alle Schalter und ihre Standardwerte

Diese Tabelle dokumentiert die tatsächlich in Monkaru verfügbaren Berechtigungen mit ihren Standardwerten in der genannten Version. Sie wird mit jeder Version der Anwendung abgeglichen.

5. Protokollierung

Nicht protokolliert werden: Lesezugriffe einzelner Personen auf den Plan, Verweildauer, Bildschirminhalte, Standort oder Gerät.

6. Zugriff des Anbieters

• Der Anbieter ist kein Mitglied der Organisation und sieht den Dienstplan einer Abteilung nicht über die Oberfläche. Seine Verwaltungskonsole beschränkt sich auf Kundenkonten und Lizenzen, Rechnungen, Betroffenenanfragen (Auskunft, Löschung) und die Wiederherstellung oder endgültige Löschung von Datensätzen aus dem Papierkorb auf Wunsch des Verantwortlichen.
• Technischer Zugriff auf die Datenbank besteht für Betrieb, Fehlerbehebung und Sicherheitsvorfälle und ist auf die in der Auftragsverarbeitungsvereinbarung genannten Personen und Zwecke beschränkt. Er erfolgt nur auf Weisung des Verantwortlichen oder zur Erfüllung der Vertragspflichten.
• Fehlerberichte an das Monitoring enthalten keine personenbezogenen Nutzdaten (Übertragung personenbezogener Standardfelder ist deaktiviert).
• Der Anbieter hält derzeit keine SOC-2- oder ISO-27001-Zertifizierung.

7. Empfohlene Einstellung für den Betrieb mit Betriebsvereinbarung

1. Lohndaten verwalten nur an die Personen vergeben, die in Anlage 3 der Betriebsvereinbarung genannt sind, bevorzugt als individuelle Freigabe statt für alle Admins.
2. Admins auf ihre Teams einschränken, wenn eine Abteilung mehrere Teams führt.
3. Abwesenheiten anderer Mitarbeiter:innen einsehen ausgeschaltet lassen; wo eine Stationsleitung Krankenstände braucht, individuell freigeben.
4. Für Betrachter:innen Absenzen, Krankenstände und Zeitausgleich anzeigen ausgeschaltet lassen.
5. Dienst-Verteilung einsehen für Mitarbeiter:innen nur nach Absprache mit dem Betriebsrat einschalten, bevorzugt ohne Namen (eigene Werte neben dem Abteilungsdurchschnitt). Alle Mitarbeiter:innen mit Namen anzeigen nur, wenn die Betriebsvereinbarung das ausdrücklich vorsieht.
6. Mit dem Betriebsrat festlegen, ob Mitarbeiter:innen Monate schon im Entwurf und in der Abstimmung sehen (Dienstpläne einsehen in der Phase Entwurf bzw. Abstimmung). Eingeschaltet sehen sie Änderungen früh; ausgeschaltet sehen sie nur den veröffentlichten Plan.
7. Mit dem Betriebsrat festlegen, ob künftige und ausgetretene Mitarbeiter:innen Dienstpläne außerhalb ihres Vertrags sehen (Dienstpläne außerhalb des eigenen Vertrags einsehen). Ausgeschaltet sieht eine neue Person den Plan erst ab ihrem Eintrittsmonat.
8. Eigenen Änderungsverlauf einsehen und Sehen, wer eine Änderung gemacht hat für Mitarbeiter:innen einschalten: Transparenz über Änderungen am eigenen Dienst ist die wirksamste Kontrolle der Kontrolle.
9. Die Liste der Personen mit Lohndaten verwalten und der individuellen Abweichungen jährlich mit dem Betriebsrat durchgehen.

Weitere Unterlagen für Betriebsrat und Datenschutz

• Muster einer Betriebsvereinbarung Dienstplanung (§ 96, § 96a ArbVG)
• DSFA-Arbeitshilfe für die Dienstplanung (Art. 35 DSGVO)
• Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)
• Beschaffungsunterlagen: Hosting, Sicherheit, Preise