> Source: https://worklogx.com/de/subprocessors # Unterauftragsverarbeiter und weitere Dienstleister **Stand: 29.10.2026 · Version 2026-10-29** WorkLogx wird von der Monadion GmbH betrieben. Zur Bereitstellung unserer Dienste setzen wir ausgewählte externe Dienstleister ein. Soweit diese personenbezogene Daten im Auftrag der Monadion GmbH verarbeiten, werden sie als Unterauftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt und vertraglich entsprechend verpflichtet. Nicht jeder nachfolgend genannte Dienstleister ist bei jeder WorkLogx-Nutzung beteiligt. Der konkrete Einsatz hängt von den verwendeten Funktionen und der technischen Konfiguration ab. Bestimmte Anbieter handeln bei einzelnen Verarbeitungsvorgängen ganz oder teilweise als eigenständig Verantwortliche. Diese werden gesondert ausgewiesen. **Verantwortlicher / Anbieter:** **Monadion GmbH** Schönbrunner Straße 181/1 1120 Wien Österreich Datenschutzkontakt: **office@monadion.com** Support: **support@monadion.com** ## Unterauftragsverarbeiter Die folgende Übersicht listet Dienstleister, die personenbezogene Daten im Zusammenhang mit dem WorkLogx-SaaS-Betrieb im Auftrag der Monadion GmbH verarbeiten können. Die vollständigen juristischen Angaben und vertraglichen Vereinbarungen können von den jeweils aktuellen Anbieterdokumenten abweichen; maßgeblich sind die mit dem jeweiligen Anbieter geschlossenen Verträge. | Anbieter | Dienst | Zweck | Betroffene Daten | Verarbeitung / Region | Transfermechanismus | |---|---|---|---|---|---| | Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland | Compute-/Server-Hosting, PostgreSQL auf Monadion-Hetzner-Infrastruktur, Hetzner Object Storage | Betrieb von WorkLogx-Backend, Datenbank, Datei-/Objektspeicher, erzeugte PDFs/Exporte, technische Infrastruktur | Mandantendatenbankinhalte, Benutzer-/Kontodaten, Mitarbeiterdaten, Kunden-/Projektdaten, Formulare/Einreichungen, Dateien/Fotos/Dokumente/Unterschriften, technische Metadaten | Object Storage: Region `fsn1` (Falkenstein). Compute/PostgreSQL: aktuell nachweislich Hetzner Cloud FSN1, Deutschland | Verarbeitung in Deutschland / EU; AVV nach Art. 28 mit Hetzner | | Google LLC / Firebase (Google) | Firebase Authentication | Login, Identitätsverwaltung, E-Mail/Passwort-Authentifizierung, MFA, Authentifizierungstoken | Name (soweit angegeben), E-Mail, Firebase-UID, Authentifizierungsmetadaten, MFA-/Sicherheitsmetadaten, technische Identifikatoren | Google-Infrastruktur; Verarbeitung kann je nach Firebase-Dienst und Google-Infrastruktur im EWR und in Drittländern erfolgen | Firebase Data Processing and Security Terms; für eingeschränkte europäische Übermittlungen geeignete Garantien einschließlich SCC, soweit erforderlich | | OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland | OpenAI API | Optionale WorkLogx-KI-Funktionen, soweit freigeschaltet/genutzt (u. a. Smart Builder, Voice Fill, Submission Review, Backoffice-KI, KI-gestützte Planungs-/Aufgabenvorschläge) | Je nach Funktion: Prompts/Anweisungen, Formularstrukturen, Feldwerte, Quelldokumente, Audiodaten (Voice Fill), Projekt-/Kundeninformationen, Mitarbeiter-/Planungsinformationen | Verarbeitung kann im EWR und außerhalb des EWR stattfinden; OpenAI-Subprozessoren-Infrastruktur ist nicht auf Irland bzw. den EWR beschränkt | OpenAI-DPA und anwendbare Transfermechanismen einschließlich SCC, soweit erforderlich | | Microsoft | Microsoft Graph / Microsoft 365 | Transaktionaler E-Mail-Versand, soweit konfiguriert/aktiviert (z. B. Einladungen, Abwesenheitsbenachrichtigungen, Systemnachrichten) | Empfängeradresse, Empfängername, Betreff, Nachrichteninhalt, in der Nachricht enthaltene WorkLogx-Links/Kontext | Gemäß Microsoft-Tenant-Konfiguration von Monadion und den jeweils anwendbaren Microsoft-Datenstandortzusagen | Microsoft Products and Services Data Protection Addendum; Transfergarantien nach Microsoft-Vereinbarung, soweit erforderlich | Hinweise: - **OpenAI** wird nur eingesetzt, wenn die jeweilige KI-Funktion für das Kundenkonto verfügbar ist und vom Benutzer bzw. Kunden genutzt wird. Die Anwendung setzt, soweit technisch umgesetzt, API-Parameter wie `store: false`. Das bedeutet keine dauerhafte Speicherung über diese API-Funktion; daraus folgt **nicht** automatisch ein Verbot jeder Trainingsnutzung beim Anbieter. Maßgeblich sind die mit OpenAI vereinbarten Business-/API- und Datenschutzbedingungen. - **Microsoft Graph** wird nur verwendet, soweit die Graph-Mail-Integration konfiguriert und aktiviert ist. ## Weitere Empfänger / eigenständig Verantwortliche Bei bestimmten Diensten verarbeitet der jeweilige Anbieter personenbezogene Daten teilweise oder vollständig zu eigenen Zwecken und ist daher nicht ausschließlich als Unterauftragsverarbeiter von Monadion tätig. ### Stripe **Anbieter (für österreichische Kunden u. a.):** Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, sowie weitere Stripe-Gesellschaften je nach erbrachter Zahlungsdienstleistung. **Zweck:** Abonnementabrechnung, Checkout, Rechnungen, USt-/Steuerangaben, Zahlungsabwicklung, Zahlungs-/Missbrauchssicherheit. **Potenzielle Daten:** Rechnungsname, E-Mail, Rechnungsadresse, UID-Nummer, Stripe-Kunden-/Abonnement-IDs, Zahlungsmetadaten, Transaktionsstatus. **Rolle:** Stripe unterscheidet je nach Zweck zwischen Verarbeitung als Data Processor und als Data Controller. Stripe ist daher **nicht ausschließlich** Unterauftragsverarbeiter von WorkLogx. **Ort / Transfer:** Stripe kann Daten global verarbeiten und in die USA sowie andere Rechtsordnungen übermitteln; maßgeblich sind die jeweils anwendbaren Stripe Data Transfers Addenda / Transfergarantien. WorkLogx speichert keine vollständigen Kreditkartendaten. ### Google Places / Google Maps Platform **Anbieter:** Google **Dienst:** Google Places / Google Maps Platform **Zweck:** Adress-Autovervollständigung / Adressvorschläge. **Potenzielle Daten:** eingegebene Adressfragmente, technische Request-Metadaten. **Wichtig:** Die WorkLogx-Mobile-App nutzt Google Places **nicht** zur GPS-Standortverfolgung. Benutzer geben Adressen manuell ein; eingegebene Fragmente können an Google übermittelt werden, um Adressvorschläge zu erhalten. **Rolle:** Für EEA-Kunden gelten gesonderte Google-Maps-Platform-EEA-Bedingungen und Controller-Controller-Datenschutzbedingungen. Google Places wird hier **nicht** automatisch als Art.-28-Unterauftragsverarbeiter von Monadion ausgewiesen. ## Website- und Marketing-Dienstleister Diese Dienste gehören **nicht** allein deshalb zur Unterauftragsverarbeiterkette für WorkLogx-Mandantendaten, weil sie auf der öffentlichen Marketing-Website eingesetzt werden oder vorbereitet sind. Sie verarbeiten keine SaaS-Mandantendaten der WorkLogx-Anwendung unter `app.worklogx.com`. ### Cloudflare (Marketing-Website / DNS) Cloudflare wird für DNS der WorkLogx-Hostnamen genutzt. Die öffentliche Marketing-Website (`worklogx.com` / `www.worklogx.com`) wird derzeit über Cloudflare ausgeliefert (proxied). Die SaaS-Hostnamen `app.worklogx.com` und `api.worklogx.com` sind derzeit **DNS only** und leiten den Anwendungs-HTTP-Verkehr nicht über Cloudflare; sie zeigen auf Hetzner-Infrastruktur. **Zweck:** DNS sowie – für die Marketing-Website – Netzwerk-/Sicherheitsdienste und Auslieferung. **Daten:** DNS-/Netzwerkmetadaten; bei der Marketing-Website zusätzlich Request-Metadaten des Website-Traffics. Keine Klassifikation als Verarbeiter sämtlicher WorkLogx-Mandanteninhalte über `app`/`api`. Eine EU-only-Verarbeitung wird nicht behauptet, soweit Cloudflare Regional Services / Data Localization nicht gesondert gebucht und aktiviert sind. ### Google Tag Manager / Google Analytics 4 **Zweck:** Website-Reichweitenmessung und Marketing-Performance, **soweit** auf der Marketing-Website konfiguriert. **Regeln:** - nur Marketing-Website, - erst nach wirksamer Einwilligung in die entsprechende Cookie-Kategorie, - kein Marketing-Tracking innerhalb von `app.worklogx.com`, - Ablehnung verhindert optionale Analytics-Tags, - Cookie-Einstellungen bleiben später änderbar. Zum Stand dieser Liste ist Google Tag Manager auf der öffentlichen Marketing-Website **nicht** als aktiv konfiguriert erkennbar. Wird GTM/GA später aktiviert, gilt weiterhin nur der consent-basierte Einsatz auf der Marketing-Website. Meta Pixel und LinkedIn Insight Tag werden **nicht** als aktive Dienste ausgewiesen, solange sie nicht produktiv aktiviert sind. ## Änderungen Monadion kann die eingesetzten Unterauftragsverarbeiter ändern oder ergänzen, wenn dies für die Bereitstellung und Weiterentwicklung von WorkLogx erforderlich ist. Soweit WorkLogx personenbezogene Daten als Auftragsverarbeiter verarbeitet, informieren wir betroffene Kunden entsprechend dem vereinbarten Auftragsverarbeitungsvertrag über wesentliche Änderungen bei Unterauftragsverarbeitern. Ein Widerspruch kann innerhalb der im Auftragsverarbeitungsvertrag vorgesehenen Frist aus berechtigten datenschutzrechtlichen Gründen an **office@monadion.com** gerichtet werden. ## Kontakt Fragen zu Unterauftragsverarbeitern und Datenschutz können gerichtet werden an: **Monadion GmbH** Schönbrunner Straße 181/1 1120 Wien Österreich **office@monadion.com** **Stand: 29.10.2026 · Version 2026-10-29**