Wenn du als Unternehmen überlegst, sensible Projekt-, Kunden- oder Personaldaten auf monday.com zu verwalten, stellt sich früher oder später eine Frage: Wo landen diese Daten eigentlich, und welche Gesetze greifen dabei? Für Schweizer KMU ist das nicht nur eine DSGVO-Frage – seit September 2023 gilt zusätzlich das revidierte Schweizer Datenschutzgesetz (nDSG), das eigene Anforderungen mitbringt. Dieser Beitrag zeigt dir, was monday.com allgemein in Sachen Datenschutz und Sicherheit konkret bietet, wo die Grenzen liegen und was das für dein Unternehmen bedeutet.

Weitere Infos direkt von monday.com:

• Trust Center von monday.com – Zertifikate, Berichte und Richtlinien zum Download
• Security and Privacy FAQs – Fragen & Antworten zu Sicherheit und Datenschutz
• AI FAQs – Fragen & Antworten speziell zu den AI-Funktionen von monday.com

Ist monday.com DSGVO- und DSG-konform?

monday.com erfüllt die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) und überprüft die eigenen Praktiken laut eigenen Angaben regelmässig durch interne Rechts- und Datenschutzteams.

Wichtig zu wissen: Wenn dein Unternehmen Personendaten von Personen in der Schweiz bearbeitet, greift das DSG unabhängig davon, wo die Daten technisch verarbeitet werden. Bietest du zusätzlich Waren oder Dienstleistungen in der EU an oder beobachtest das Verhalten von Personen in der EU, greift parallel auch die DSGVO. Für den Datentransfer zwischen der EU und der Schweiz gibt es seit Januar 2024 einen erneuerten Angemessenheitsbeschluss der EU-Kommission auf Basis des DSG – das erlaubt Datenübermittlungen ohne zusätzliche Standardvertragsklauseln (SCC).

Welche Sicherheitszertifizierungen und Compliance-Programme hat monday.com?

monday.com weist aktuell folgende Zertifizierungen und Compliance-Programme aus:

• ISO 27001, ISO 27017, ISO 27018, ISO 27032, ISO 27701
• SOC 1 Type II, SOC 2 Type II, SOC 3
• HIPAA
• GDPR, CCPA
• Weitere Programme wie LGPD, PIPEDA, TX-RAMP, FedRAMP, CSA, DPF, OAIC und DORA

Die Zertifizierungen werden laufend erweitert – Penetrationstests und Sicherheitsaudits durch unabhängige Drittanbieter finden nach eigenen Angaben jährlich statt, dynamische Sicherheitstests (DAST) laufen mindestens wöchentlich. Alle Zertifikate und Berichte kannst du im Trust Center von monday.com einsehen.

Wie verschlüsselt monday.com meine Daten?

monday.com verwendet folgende Verschlüsselungsmethoden für Kundendaten:

• Ruhende Daten ("Data at rest") werden mit AES-256 verschlüsselt.
• Daten in Übertragung über offene Netzwerke werden mit TLS 1.3 (mindestens TLS 1.2) verschlüsselt.
• Benutzerpasswörter werden gehasht und mit einem zusätzlichen geheimen Wert versehen ("gesalzen").

Für Enterprise-Kunden mit erhöhten Anforderungen bietet monday.com zudem das Zusatzmodul "Guardian" an, das zusätzliche Verschlüsselungskontrollen wie eine organisationsspezifische Verschlüsselungsebene sowie die Möglichkeit eigener Schlüssel (Bring Your Own Key) umfasst.

Wie schützt monday.com den Zugriff auf mein Konto?

Neben der Datenverschlüsselung spielt der Kontozugriff eine zentrale Rolle. monday.com bietet dafür:

• Anmeldung über Benutzername/Passwort oder externe Identitätsanbieter wie Google SSO (Pro- und Enterprise-Pläne), Okta, OneLogin und benutzerdefiniertes SAML 2.0 (nur Enterprise)
• Optionale Zwei-Faktor-Authentifizierung (2FA) per SMS oder Authenticator-App, die Kontoadministratoren aktivieren können
• Konfigurierbare Passwortrichtlinien mit mindestens 8 Zeichen, optional mit Pflicht zu Ziffern, Klein- und Grossbuchstaben

Kreditkartendaten werden auf monday.com selbst nicht gespeichert: Zahlungen laufen über einen PCI-DSS-zertifizierten externen Abrechnungsdienstleister, wodurch monday.com selbst keine eigene PCI-DSS-Zertifizierung benötigt. Die Sicherheitsarbeit wird laut eigenen Angaben von einem dedizierten Security-Team sowie einem "Security Forum" mit Vertretern aus Infrastruktur, Entwicklung, Operations und IT gesteuert.