Zuletzt geändert: 18. März 2026
Für die Zwecke dieser Auftragsverarbeitungsvereinbarung ("AVV"):
Diese AVV regelt die Verarbeitung personenbezogener Daten durch Monkaru (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlichen) im Zusammenhang mit der Erbringung des Monkaru-Dienstplanungsdienstes für Mitarbeiter ("der Dienst"), wie in den Nutzungsbedingungen beschrieben.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für folgende Zwecke:
Die Verarbeitung beginnt am Tag der Kontoerstellung durch den Verantwortlichen und dauert für die Laufzeit des Dienstleistungsvertrags an. Nach Beendigung löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten gemäß Abschnitt 11 dieser AVV zurück.
Folgende Kategorien personenbezogener Daten werden im Rahmen dieser AVV verarbeitet:
Hinweis: Der Auftragsverarbeiter verarbeitet keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO), es sei denn, sie werden vom Verantwortlichen ausdrücklich bereitgestellt. Krankmeldungen beschränken sich auf Datumsangaben und enthalten keine medizinischen Diagnosen oder Gesundheitsdetails.
Folgende Kategorien betroffener Personen sind von der Verarbeitung im Rahmen dieser AVV betroffen:
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen personenbezogener Daten in ein Drittland, sofern er nicht durch EU- oder Mitgliedstaatenrecht, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese Rechtsvorschriften, sofern das betreffende Recht eine solche Unterrichtung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Die Weisungen des Verantwortlichen sind in dieser AVV und den Nutzungsbedingungen dokumentiert.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen.
Der Auftragsverarbeiter implementiert geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Abschnitt 7 dieser AVV beschrieben, gemäß Artikel 32 DSGVO.
Der Auftragsverarbeiter beauftragt keinen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner schriftlicher Genehmigung unterrichtet der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern und gibt dem Verantwortlichen damit die Möglichkeit, diesen Änderungen zu widersprechen. Die aktuelle Liste der Unterauftragsverarbeiter ist in Abschnitt 6 dieser AVV aufgeführt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung der Pflicht des Verantwortlichen, Anträgen betroffener Personen auf Ausübung der in Kapitel III der DSGVO (Artikel 15–22) niedergelegten Rechte nachzukommen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
Nach Wahl des Verantwortlichen löscht oder gibt der Auftragsverarbeiter nach Beendigung der Dienstleistungen alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern keine EU- oder mitgliedstaatliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Einzelheiten finden sich in Abschnitt 11.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere EU- oder mitgliedstaatliche Datenschutzbestimmungen verstößt.
Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen. Der Auftragsverarbeiter nutzt derzeit folgende Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Verarbeitete Daten | Standort |
|---|---|---|---|
| Supabase, Inc. | Datenbank-Hosting, Authentifizierung, Dateispeicherung | Alle Anwendungsdaten, Authentifizierungsnachweise | EU |
| IONOS SE | Virtual Private Server (VPS) Hosting | Anwendungsverarbeitung, temporäre Anfragedaten | EU (Deutschland) |
| Stripe, Inc. | Zahlungsabwicklung, Abonnementverwaltung | Rechnungsdaten, Abonnementstatus | USA (EU-US DPF zertifiziert, SCCs) |
| Brevo SAS | Transaktionale E-Mail-Zustellung | E-Mail-Adressen, E-Mail-Inhalte | EU (Frankreich) |
| Functional Software, Inc. (Sentry) | Fehlerverfolgung und Performance-Tracing | Fehlerereignisse, Stack Traces, Performance-Metriken (keine personenbezogenen Daten laut Konfiguration) | EU (Deutschland/Frankfurt) |
| Better Stack, s.r.o. | Verfügbarkeitsmonitoring | HTTP-Antwortcodes, Latenzmetriken (keine personenbezogenen Daten) | EU (Tschechien) |
| Rybbit | Website-Analysen (cookielos) | Seitenaufrufe, Referrer, Gerätetyp, Standort auf Länderebene (keine personenbezogenen Daten, keine Cookies) | EU (Deutschland) |
Der Auftragsverarbeiter erlegte jedem Unterauftragsverarbeiter durch einen Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser AVV festgelegt sind. Wenn ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nachkommt, bleibt der Auftragsverarbeiter dem Verantwortlichen gegenüber für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters vollständig haftbar.
Änderungsbenachrichtigung: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen der Unterauftragsverarbeiterliste. Wenn der Verantwortliche innerhalb von 14 Tagen nach der Benachrichtigung einem neuen Unterauftragsverarbeiter widerspricht, erörtern die Parteien das Anliegen in gutem Glauben. Wird keine Einigung erzielt, kann der Verantwortliche den Dienstleistungsvertrag kündigen.
Der Auftragsverarbeiter implementiert folgende Maßnahmen gemäß Artikel 32 DSGVO, um die Sicherheit der Verarbeitung zu gewährleisten:
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen gemäß DSGVO Artikel 15–22:
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er direkt einen Antrag einer betroffenen Person erhält. Der Auftragsverarbeiter beantwortet solche Anträge nicht ohne vorherige Genehmigung des Verantwortlichen, sofern dies nicht gesetzlich vorgeschrieben ist.
Im Falle einer Datenpanne unternimmt der Auftragsverarbeiter Folgendes:
Der Auftragsverarbeiter stellt sicher, dass alle internationalen Übermittlungen personenbezogener Daten Kapitel V der DSGVO entsprechen:
Diese AVV tritt am Tag der Kontoerstellung durch den Verantwortlichen in Kraft und bleibt für die Dauer des Dienstleistungsvertrags in Kraft. Diese AVV ist automatisch in die Nutzungsbedingungen einbezogen.
Nach Beendigung des Dienstleistungsvertrags kann der Verantwortliche alle personenbezogenen Daten vor der Kontolöschung mit der Datenexportfunktion exportieren. Der Export erfolgt in einem strukturierten, maschinenlesbaren Format (JSON).
Nach Beendigung des Dienstleistungsvertrags, Kontolöschung oder auf förmliche Anfrage gilt folgender Datenlebenszyklus:
Automatisierte Bereinigungsaufgaben laufen täglich. Für das Datenzyklus-Management ist kein manueller Eingriff erforderlich. Zu den endgültig gelöschten Datenarten gehören:
Wichtig: Der Verantwortliche trägt die Pflicht zur Einhaltung der anwendbaren arbeitsrechtlichen Anforderungen bezüglich der Datenspeicherung, bevor er die Kontolöschung einleitet. Der Verantwortliche sollte alle Daten, die für die Einhaltung des Arbeitsrechts erforderlich sind, vor Ablauf des 30-tägigen Wiederherstellungsfensters exportieren. Der Auftragsverarbeiter stellt Datenexport-Tools bereit, legt aber keine Speicherfristen im Auftrag des Verantwortlichen fest.
Die Haftung im Rahmen dieser AVV richtet sich nach den Bestimmungen der Nutzungsbedingungen und des anwendbaren Rechts, insbesondere:
Diese AVV unterliegt dem österreichischen Recht und wird entsprechend ausgelegt, ohne Berücksichtigung von Kollisionsnormen. Alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser AVV ergeben, unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte in Wien, Österreich.
Sofern Bestimmungen dieser AVV mit den Nutzungsbedingungen in Bezug auf Datenschutzangelegenheiten in Konflikt stehen, geht diese AVV vor.
Für Fragen zu dieser AVV oder Datenschutzangelegenheiten wenden Sie sich bitte an:
Datenschutzkontakt
Monkaru
Name: Manuel Istratoaie
E-Mail: support@monkaru.at
Standort: Wien, Österreich
Der Verantwortliche kann auch die zuständige Aufsichtsbehörde kontaktieren:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
E-Mail: dsb@dsb.gv.at
Telefon: +43 1 52 152-0