Das Wichtigste in Kürze

• monday.com bietet eine EU-Datenregion, gehostet bei AWS in Frankfurt, für Enterprise-Konten sowie für Standard- und Pro-Konten, die seit dem 23. Januar 2023 erstellt wurden. So bleiben die Workspace-Daten in europäischer Infrastruktur.
• Ein unterzeichneter Auftragsverarbeitungsvertrag (AVV, englisch DPA) und Standardvertragsklauseln (SCC) erfüllen deine DSGVO-Pflichten gegenüber monday.com als Auftragsverarbeiter.
• Der Speicherort der Daten ist nur ein Teil der DSGVO-Konformität: Zugriffskontrollen, Aufbewahrungsfristen und Berechtigungseinstellungen müssen alle bewusst konfiguriert werden.
• Alle führenden Projektmanagement-Plattformen sind SaaS-Anbieter mit Hauptsitz in den USA. Den Unterschied macht, wie gut deine Implementierung die DSGVO vom ersten Tag an berücksichtigt.
• Ein strukturiert arbeitender Implementierungspartner verankert DSGVO-konforme Standardeinstellungen in deinem monday.com-Setup, sodass Compliance von Anfang an eingebaut ist und nicht nachträglich angeflanscht wird.

monday.com ist DSGVO-konform und bietet eine EU-Datenregion (AWS, Frankfurt) für Enterprise sowie für Standard- und Pro-Konten, die seit dem 23. Januar 2023 erstellt wurden. Deine Workspace-Daten können also in europäischer AWS-Infrastruktur liegen, statt ausschließlich auf US-Servern verarbeitet zu werden. Du kannst einen unterzeichneten Auftragsverarbeitungsvertrag (AVV) und Standardvertragsklauseln (SCC) erhalten, um deine Pflichten nach Art. 28 DSGVO zu erfüllen. Allerdings ist der Speicherort der Daten nur ein Teil des Compliance-Bildes. Zugriffsberechtigungen, Datenaufbewahrung, die Verwaltung von Unterauftragsverarbeitern und Workflow-Automatisierung müssen alle bewusst konfiguriert werden. Eine saubere monday.com-Implementierung legt diese Standards vom ersten Tag an fest, nicht erst, wenn dein Datenschutzbeauftragter sie bei einem Audit bemängelt.

Hostet monday.com Daten in der EU?

Ja, abhängig vom Plan. Mit der EU-Datenregion von monday.com können berechtigte Konten (Enterprise sowie Standard- oder Pro-Konten, die seit dem 23. Januar 2023 erstellt wurden) ihre Workspace-Daten, einschließlich Board-Items, Dateianhängen und Updates, in einer Cloud-Infrastruktur in Europa speichern. monday.com läuft auf Amazon Web Services (AWS), und die EU-Datenregion leitet deine Primärdaten an AWS in Frankfurt statt an Regionen in den USA.

Ein paar Punkte, die du darüber wissen solltest, was die EU-Datenresidenz abdeckt und was nicht:

• Primäre Workspace-Daten: Board-Items, Spalten, Updates und hochgeladene Dateien im Ruhezustand sind von der Wahl der EU-Datenresidenz abgedeckt.
• Support und operativer Zugriff: An Support-Anfragen und bestimmten operativen Prozessen können weiterhin globale Teams von monday.com beteiligt sein. Die Details findest du im AVV.
• Unterauftragsverarbeiter: monday.com veröffentlicht eine Liste seiner Unterauftragsverarbeiter, von denen einige in den USA sitzen. Das ist bei Enterprise-SaaS üblich. Datenübermittlungen an diese Unterauftragsverarbeiter sind durch die SCC im AVV abgedeckt.
• Planvoraussetzung: Die EU-Datenregion ist für Enterprise sowie für Standard- und Pro-Konten verfügbar, die am oder nach dem 23. Januar 2023 erstellt wurden. Nur bei Enterprise-Konten werden die Daten, einschließlich der Daten bei Unterauftragsverarbeitern, ausschließlich in der EU-Region gehostet. Wenn dein Konto älter ist oder du diese vollständige Garantie brauchst, gehört ein Planwechsel zu deiner Compliance-Roadmap.

Kläre die Anforderungen an die Datenresidenz schon in der Beschaffungsphase, nicht erst beim Go-live. Wenn deine Branche mit sensiblen personenbezogenen Daten arbeitet (HR, Gesundheitswesen, Finanzdienstleistungen), wird dein Datenschutzbeauftragter genau diese Frage stellen. Wer die Antwort parat hat, spart Zeit.

Ist monday.com DSGVO-konform?

Ja. monday.com verfügt über eine dokumentierte Compliance-Grundlage, die die wesentlichen Anforderungen an einen SaaS-Auftragsverarbeiter nach DSGVO abdeckt:

• Auftragsverarbeitungsvertrag: Auf Anfrage erhältlich. Er deckt die Pflichten nach Art. 28 ab, einschließlich Zweckbindung, Sicherheitsanforderungen, Kontrolle der Unterauftragsverarbeiter und Prüfrechten.
• Standardvertragsklauseln: Im AVV enthalten für Übermittlungen personenbezogener Daten außerhalb des EWR. Sie erfüllen die Anforderungen an grenzüberschreitende Übermittlungen, die sich aus dem Schrems-II-Urteil ergeben haben.
• Sicherheitszertifizierungen: monday.com ist nach ISO 27001 zertifiziert und verfügt über eine SOC-2-Type-II-Attestierung. Beides fordern Einkaufsteams in Großunternehmen und Datenschutzbeauftragte regelmäßig als Nachweis für Sicherheitskontrollen an.
• Betroffenenrechte: Die Plattform unterstützt dich dabei, DSGVO-Rechte (Auskunft, Löschung, Datenübertragbarkeit) auf Workspace- und Item-Ebene zu erfüllen.

Eine wichtige Einordnung: Die Compliance-Dokumentation von monday.com macht das Unternehmen zu einem rechtmäßigen Auftragsverarbeiter. Deine Organisation ist der Verantwortliche. Ob du deine Pflichten in der Praxis erfüllst, entscheiden deine Konfigurationsentscheidungen.

Was enthält der AVV von monday.com?

Der Auftragsverarbeitungsvertrag deckt die Anforderungen nach Art. 28 ab, die deine Rechtsabteilung und dein Datenschutzbeauftragter dokumentiert sehen wollen:

• Umfang, Art und Zweck der Verarbeitung
• Kategorien personenbezogener Daten und betroffener Personen
• Dauer der Verarbeitung und Weisungen zur Datenaufbewahrung
• Technische und organisatorische Maßnahmen (TOM)
• Liste der Unterauftragsverarbeiter und Pflichten zur Benachrichtigung bei Änderungen
• Prüfrechte und Zugang zu Zertifizierungsberichten Dritter
• Verfahren zur Bearbeitung von Auskunfts- und Löschanfragen betroffener Personen

Fordere den AVV direkt bei monday.com an, während der Vertragsverhandlung oder bei der Verlängerung. Wenn du mit einem monday.com-Partner wie Tryve arbeitest, kann dein Implementierungsteam den AVV gemeinsam mit deiner Rechtsabteilung prüfen und seine Bedingungen auf deinen konkreten Konfigurationsplan übertragen.

Wie konfigurierst du monday.com DSGVO-konform?

Hier wirken sich Implementierungsentscheidungen direkt auf deine Compliance aus. Den meisten Organisationen, die mit Standard- oder Vorlageneinstellungen live gehen, fehlen Konfigurationsschritte, die für die DSGVO wichtig sind. Typische Lücken:

Zugriff und Berechtigungen

• Lege Board-Berechtigungen (privat, teilbar oder Haupt-Board) nach der Sensibilität der Daten auf dem Board fest, nicht nach Bequemlichkeit für das Team.
• Nutze Berechtigungen auf Spaltenebene, um die Sichtbarkeit personenbezogener Datenfelder auf die Rollen zu beschränken, die sie wirklich brauchen.
• Ordne Nutzer Teams zu und arbeite mit rollenbasiertem Zugriff, damit HR-Daten, Kundendatensätze und Finanzinformationen nicht im gesamten Workspace sichtbar sind.

Gäste und externer Zugriff

• Gastnutzer haben standardmäßig einen eingeschränkteren Zugriff. Prüfe trotzdem, auf welche Boards sie zugreifen können, bevor du Freelancer oder externe Partner hinzufügst.
• Dokumentiere in deinem Verzeichnis von Verarbeitungstätigkeiten (VVT), warum externe Parteien Zugriff auf Boards mit personenbezogenen Daten haben.

Datenaufbewahrung und Löschung

• monday.com setzt keine automatischen Aufbewahrungsfristen durch. Du bist dafür verantwortlich, einen Prozess einzurichten, der Datensätze nach Ablauf deiner festgelegten Aufbewahrungsfrist löscht oder anonymisiert.
• Die Planung des Change-Managements für deinen monday.com-Rollout sollte ein dokumentiertes Verfahren für Löschanfragen betroffener Personen innerhalb der Plattform enthalten. Wer ist für diesen Prozess verantwortlich, und wie lange dauert er?

Offboarding von Nutzern

• Wenn jemand das Unternehmen verlässt, sollte das monday.com-Konto deaktiviert und alle personenbezogenen Daten in den Items dieser Person geprüft werden. Nimm das in deine HR-Offboarding-Checkliste auf.
• Automatisierungsregeln können Offboarding-Aufgaben auslösen, sobald sich ein HR-Status ändert. Das verringert das Risiko, dass verwaiste Konten mit Zugriff auf personenbezogene Daten offen bleiben.

Umgang mit sensiblen Daten

• Verwende private Boards für alle Daten, die nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten gehören, etwa Gesundheitsdaten oder biometrische Daten.
• Erfasse jedes Board in deinem Workspace, das personenbezogene Daten enthält, in deinem VVT. Das ist keine einmalige Aufgabe: Das Verzeichnis muss aktuell bleiben, während sich deine monday.com-Umgebung weiterentwickelt.

Ein Praxisbeispiel dafür, wie eine große europäische Organisation komplexe Daten- und Governance-Anforderungen in monday.com abbildet, findest du hier: wie Tryve eine maßgeschneiderte Lösung für Sibelga gebaut hat.

Wie schneidet monday.com bei der EU-Compliance im Vergleich zu Asana, ClickUp und Smartsheet ab?

Die ehrliche Antwort: Alle vier Plattformen sind SaaS-Anbieter mit Hauptsitz in den USA und weitgehend ähnlicher DSGVO-Ausrichtung. Jede bietet einen AVV, SCC für grenzüberschreitende Übermittlungen und EU-Datenresidenz im Enterprise-Tarif. Auf dem Papier verschafft dir keine einen klaren Compliance-Vorteil gegenüber den anderen.

Der eigentliche Unterschied liegt darin, wie stark deine Implementierung die DSGVO von Anfang an berücksichtigt:

Für europäische Enterprise-Teams hebt sich monday.com durch die Tiefe seines Berechtigungsmodells und seiner Automatisierungsmöglichkeiten ab. Beides ist für die DSGVO relevant: Granulare Berechtigungen setzen Regeln für den Datenzugriff ohne Workarounds durch, und Automatisierung macht Compliance-Prozesse (Offboarding, Erinnerungen an Aufbewahrungsfristen, Zugriffsprüfungen) ohne manuelle Kontrolle operativ umsetzbar.

Asana, ClickUp und Smartsheet können die grundlegenden DSGVO-Anforderungen ebenfalls erfüllen. Die Wahl der Plattform ist weniger wichtig als die Qualität der Implementierung. Eine gut konfigurierte monday.com-Umgebung schlägt eine schlecht konfigurierte Version jeder anderen Plattform.

Was solltest du vor deinem europäischen Rollout klären?

Geh diese Checkliste vor dem Go-live mit deinem Datenschutzbeauftragten und deinem Implementierungspartner durch:

• Hat deine Organisation den AVV von monday.com unterzeichnet?
• Hast du die EU-Datenresidenz gewählt (falls deine Risikobewertung das erfordert)?
• Hat deine Rechtsabteilung oder dein Datenschutzbeauftragter die Liste der Unterauftragsverarbeiter geprüft und akzeptiert?
• Hast du im VVT dokumentiert, welche Boards und Spalten personenbezogene Daten enthalten?
• Sind die Board-Berechtigungen nach Datensensibilität festgelegt, nicht nach operativer Bequemlichkeit?
• Gibt es einen definierten Aufbewahrungs- und Löschprozess für personenbezogene Daten in monday.com?
• Gibt es ein Offboarding-Verfahren für Nutzer, das die Schließung des monday.com-Kontos einschließt?
• Hast du festgelegt, wie Auskunfts- und Löschanfragen betroffener Personen erfüllt werden?

Wenn du das Projekt noch planst: Die Compliance-Konfiguration beeinflusst sowohl die Kosten einer monday.com-Implementierung als auch den Zeitplan der Implementierung. Wer sie beim Setup überspringt, muss sie später nachholen, und das kostet mehr und schafft unnötige Risiken. Der richtige Ausgangspunkt ist ein strukturierter Implementierungsprozess, der dein regulatorisches Umfeld vom ersten Tag an berücksichtigt.

Bereit für eine monday.com-Implementierung mit eingebauter EU-Compliance?

DSGVO-Konformität mit monday.com ist erreichbar und dauerhaft haltbar. Sie hängt aber von bewussten Konfigurationsentscheidungen ab, nicht nur von einem unterzeichneten AVV im Vertragsordner. Tryve arbeitet mit mittelständischen und großen Unternehmen in ganz Europa daran, monday.com-Umgebungen aufzubauen, die operative und Compliance-Anforderungen von Anfang an erfüllen, mit der Dokumentation und den Prozessen, damit das auch so bleibt.

Buch ein kostenloses Erstgespräch mit Tryve, um deine Anforderungen an EU-Daten zu besprechen und ein klares Bild davon zu bekommen, wie eine konforme monday.com-Implementierung für deine Organisation aussieht.

Sprich mit Tryve

Tryve ist monday.com Platinum Partner. Jedes Projekt beginnt mit einer strukturierten Discovery-Session, die sich an deinen tatsächlichen Prozessen orientiert, nicht an einer generischen Vorlage. Unsere Senior-Consultants begleiten dich bis zur echten Akzeptanz, nicht nur bis zum Go-live. Buch ein kostenloses Erstgespräch.

Quellen

• monday.com: Start einer EU-Datenregion in Deutschland
• monday.com Support: Datenresidenz
• monday.com Data Processing Addendum (AVV)
• monday.com Trust Center: Datenschutz
• monday.com Support: FAQ zu Sicherheit und Datenschutz
• Asana: EU-Rechenzentrum
• ClickUp Help: Daten-Hosting
• Smartsheet: Datenresidenz in Smartsheet Regions