Data processing — draft

Vereinbarung zur Auftragsbearbeitung

Fassung 7. Oktober 2026. Dieser Entwurf ist noch nicht zur Annahme durch Kunden freigegeben. Die Angaben in den Anlagen müssen vor Verwendung vervollständigt und die Vereinbarung rechtlich geprüft werden. Sie ergänzt den Softwarevertrag einschliesslich eines kostenlosen Piloten; sie ersetzt weder AGB noch Datenschutzerklärung.

Vertragsparteien

Auftraggeber und Verantwortlicher: die im Vertragsabschluss bezeichnete Firma mit offizieller Bezeichnung und Rechnungsadresse. Vertreten durch die dort bezeichnete, vertretungsberechtigte Person.

Auftragsbearbeiter: Maximilian Nebel, Einzelunternehmen, Anbieter von PROJEKT FLOW, Korrespondenzadresse Speerstrasse 34, 8805 Richterswil, Schweiz. Datenschutzkontakt info@projektflow.ch. Vor Freigabe sind die aktuelle eingetragene Firmenbezeichnung und Registeranschrift einzusetzen; der derzeitige Websitehinweis nennt einen noch ausstehenden Wechsel von Nebel Nutrition Labs zu NEBEL PROJEKT FLOW.

Gegenstand und Dauer

PROJEKT FLOW verarbeitet Personendaten im Auftrag der Firma zur Bereitstellung der vereinbarten Softwarefunktionen: Kunden- und Projektverwaltung, Einsatzplanung, Zeiterfassung, Rapporte, Dokumente, Zusammenarbeit und gegebenenfalls Zeitarbeit. Der konkrete Umfang folgt dem gewählten Arbeitsbereich und den aktivierten Funktionen. Die Vereinbarung gilt während der Verarbeitung einschliesslich einer vereinbarten Rückgabe- und Löschphase nach Vertragsende.

Betroffene Personen sind Mitarbeitende, temporäre Mitarbeitende, Ansprechpartner von Kunden, Lieferanten und Einsatzbetrieben sowie gegebenenfalls Bewerbende, wenn ein entsprechendes Modul tatsächlich vereinbart und aktiviert wurde. Datenarten und Verarbeitungsvorgänge stehen in Anlage 1.

Für eigene Vertragsverwaltung, Abrechnung und gesetzlich erforderliche Nachweise kann PROJEKT FLOW selbst verantwortlich sein. Diese Verarbeitung ist in der Datenschutzerklärung getrennt beschrieben und darf nicht zur Zweckausweitung von Kundendaten dienen.

Weisungen und Zweckbindung

PROJEKT FLOW verarbeitet die anvertrauten Daten nur auf dokumentierte Weisung der Firma. Der vereinbarte Funktionsumfang und dessen bestimmungsgemässe Nutzung bilden die Grundweisung. Weitere Weisungen sind von berechtigten Personen über info@projektflow.ch zu erteilen und nachvollziehbar zu dokumentieren. Dies gilt auch für Übermittlungen ins Ausland.

PROJEKT FLOW nutzt die Daten nicht für eigene Werbung, den Verkauf von Daten oder das Training eines allgemeinen KI-Modells. Verlangt anwendbares Recht eine darüber hinausgehende Verarbeitung, informiert PROJEKT FLOW die Firma vorher, soweit eine solche Information rechtlich zulässig ist. Bei einer mutmasslich rechtswidrigen Weisung informiert PROJEKT FLOW die Firma unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit rechtlich möglich.

Die Firma sorgt für die Zulässigkeit ihrer Datenerhebung, erforderliche Informationen an Betroffene und rechtmässige Weisungen. Sie erfasst nur erforderliche Daten und vergibt persönliche Zugänge. Besonders schützenswerte Daten sind nicht Gegenstand allgemeiner Einsatzhinweise; ein zusätzlicher Verarbeitungsumfang bedarf vorheriger Abstimmung und geeigneter Schutzmassnahmen.

Vertraulichkeit und Sicherheit

PROJEKT FLOW verpflichtet zugriffsberechtigte Personen auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher. Zugriffe werden auf den erforderlichen Umfang begrenzt. Vertraulichkeit gilt auch nach Ende der Tätigkeit.

PROJEKT FLOW gewährleistet eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen. Anlage 2 beschreibt die konkret vereinbarten Massnahmen, insbesondere Firmenabgrenzung, Rollen, geschützte Übertragung, Speicherung, Wiederherstellung und regelmässige Wirksamkeitsprüfung. Änderungen dürfen das vereinbarte Schutzniveau nicht senken. Erhebliche Änderungen werden der Firma mitgeteilt.

Unterauftragnehmer und Ausland

Die Firma genehmigt allgemein den Einsatz der in der freigegebenen Anlage 3 bezeichneten Unterauftragnehmer für die dort genannten Aufgaben. PROJEKT FLOW schliesst mit ihnen geeignete Vereinbarungen mit mindestens gleichwertigen Datenschutzpflichten ab und bleibt gegenüber der Firma für deren vertragsgemässe Verarbeitung verantwortlich.

Neue oder ersetzte Unterauftragnehmer werden der Firma rechtzeitig vor ihrem Einsatz in Textform mitgeteilt, sodass ein begründeter datenschutzbezogener Einspruch vor Verarbeitung möglich ist. Bei Einspruch suchen die Parteien eine geeignete Alternative. Ist keine möglich, werden die betroffenen Funktionen nicht unter dem beanstandeten Unterauftragnehmer fortgeführt; die Parteien regeln die Beendigung des betroffenen Leistungsumfangs und die Datenrückgabe.

Auslandübermittlungen erfolgen nur unter Einhaltung der anwendbaren Voraussetzungen. Anlage 3 bezeichnet Empfänger, Länder und den jeweiligen Übermittlungsmechanismus. Geeignete Standarddatenschutzklauseln, erforderliche Schweizer Anpassungen, Transferprüfungen und ergänzende Massnahmen sind gegebenenfalls gesondert zu vereinbaren. Diese Vereinbarung allein ersetzt solche Garantien nicht.

Rechte der Betroffenen und Unterstützung

PROJEKT FLOW unterstützt die Firma durch geeignete technische und organisatorische Massnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung und gegebenenfalls Herausgabe oder Übertragung. Direkt bei PROJEKT FLOW eingehende Anfragen zu anvertrauten Daten werden unverzüglich an die zuständige Firma weitergeleitet. PROJEKT FLOW antwortet nicht eigenständig in deren Namen, ausser auf entsprechende Weisung oder aufgrund einer gesetzlichen Pflicht.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt PROJEKT FLOW die Firma bei Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen, Behördenkonsultationen und Meldungen von Datenschutzverletzungen. Die Unterstützung muss so erfolgen, dass gesetzliche Fristen eingehalten werden können.

Datensicherheitsverletzungen

PROJEKT FLOW informiert die Firma unverzüglich nach Bekanntwerden einer Verletzung der Sicherheit anvertrauter Personendaten. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, mögliche Folgen, ergriffene oder geplante Massnahmen und einen Ansprechpartner. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt. Vorfälle und Abhilfemassnahmen werden dokumentiert.

Die Firma beurteilt ihre Melde- und Informationspflichten als Verantwortliche. PROJEKT FLOW erfüllt daneben eigene gesetzliche Pflichten. Keine Partei verzögert eine notwendige Meldung, um zunächst einen vollständigen Untersuchungsbericht abzuwarten.

Nachweise und Kontrollen

PROJEKT FLOW stellt die zur Prüfung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht angemessene Kontrollen einschliesslich Inspektionen durch die Firma oder eine von ihr beauftragte unabhängige prüfende Person. Nachweise und geeignete Prüfberichte können eine Vor-Ort-Prüfung ergänzen. Termin, Vertraulichkeit und Schutz anderer Kunden werden abgestimmt; gesetzliche Kontrollrechte dürfen nicht vereitelt werden. Bei konkreten Vorfällen oder behördlichen Anforderungen sind kurzfristige Kontrollen möglich.

Rückgabe und Löschung

Nach Ende des Auftrags gibt PROJEKT FLOW die anvertrauten Daten nach Wahl der Firma zurück oder löscht sie und löscht vorhandene Kopien, soweit keine anwendbare gesetzliche Aufbewahrungspflicht entgegensteht. Formate, Fristen, Sicherungskopien und Bestätigung der Erledigung werden in Anlage 4 verbindlich festgelegt. Während einer erforderlichen Restaufbewahrung werden Daten gesperrt und nur für den gesetzlich zulässigen Zweck verarbeitet.

Ein abgelaufener Testzugang oder eine Kontopause ist keine Löschung. Exportierte Kopien bei der Firma oder anderen zulässigen Empfängern liegen nicht mehr allein im Einflussbereich von PROJEKT FLOW. Bei gemeinsamen Einsatznachweisen sind die eigenständigen Pflichten der beteiligten Firmen zu berücksichtigen.

Verhältnis zum Softwarevertrag und anwendbares Recht

Bei Widersprüchen zu anderen Vertragsbestimmungen hat diese Vereinbarung für die Auftragsbearbeitung Vorrang. Im Übrigen gelten die Bedingungen des Softwarevertrags, soweit sie zwingende Datenschutzpflichten nicht beschränken. Es gilt das anwendbare Schweizer Datenschutzrecht und, soweit sachlich und räumlich anwendbar, die DSGVO, insbesondere Artikel 28. Eine Annahme dieser Vereinbarung ist keine Einwilligung in Werbung und keine pauschale Zustimmung der Mitarbeitenden zur Datenverarbeitung.

Annahme und Nachweis

Die Vereinbarung kann durch eine ausdrückliche elektronische Erklärung der vertretungsberechtigten Person angenommen werden. Der Abschlussnachweis bezeichnet beide Parteien, Person und Konto, Zeitpunkt, Annahmeerklärung sowie die unveränderbar archivierte Fassung dieser Vereinbarung und ihrer Anlagen. Die Firma erhält eine speicherbare Vertragskopie. Wesentliche neue Vertragsinhalte werden nicht durch Austausch eines Links rückwirkend vereinbart.

Quellen für die rechtliche Prüfung

[EDÖB zur Auftragsbearbeitung](https://www.edoeb.admin.ch/de/outsourcing-auftragsdatenbearbeitung)

[EDÖB zu Auslandübermittlungen](https://www.edoeb.admin.ch/de/bekanntgabe-von-personendaten-ins-ausland)

[DSGVO insbesondere Artikel 28](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu)

Anlagen zur Vereinbarung

Fassung 7. Oktober 2026. Zusammen mit der Vereinbarung zu verwenden. Die offenen Punkte sind Freigabebedingungen und dürfen nicht ungeprüft als erfüllte Zusagen veröffentlicht werden.

Anlage 1 Verarbeitung und Datenarten

Vorgänge: Erheben, Speichern, Ordnen, Abrufen, Berechtigen, Bearbeiten, Synchronisieren, Exportieren, vereinbartes Weitergeben und Löschen. Der tatsächliche Umfang richtet sich nach dem aktivierten Paket. Bewerbungen und weitere neue Funktionen sind vor Aktivierung gesondert aufzunehmen.

Anlage 2 Sicherheitsmassnahmen zur Freigabe

Die vorhandenen Angaben aus der Datenschutzerklärung beschreiben verschlüsselte Übertragung, Rollen und Firmenabgrenzung sowie private Dateispeicher. Das ist noch kein unabhängiger Sicherheitsnachweis.

Keine Zertifizierung, vollständige EU-Speicherung oder vollständige Ende-zu-Ende-Verschlüsselung behaupten, solange dies nicht nachgewiesen ist.

Anlage 3 Empfänger und Verträge zur Freigabe

Diese Übersicht folgt der derzeitigen Datenschutzerklärung. Sie ist vor Verwendung mit den tatsächlich verwendeten Anbieterverträgen, Kontoeinstellungen und Unterauftragnehmerlisten abzugleichen. Insbesondere müssen genaue juristische Vertragspartner, Länder und anwendbare Transfergarantien ergänzt werden.

Stripe verarbeitet Zahlungs- und Abrechnungsdaten abhängig vom Zweck als eigener Verantwortlicher oder Auftragsbearbeiter. Nur soweit Stripe im konkreten Datenfluss Unterauftragnehmer ist, wird es entsprechend in die genehmigte Liste aufgenommen. Vertragspartner, Rollen und Übermittlungen gesondert prüfen.

Für jeden Auslandtransfer dokumentieren: Datenarten, Empfänger, Länder, Angemessenheitsentscheidung oder sonstige Garantie, gegebenenfalls Standardklauseln mit Schweizer Anpassungen, erforderliche Bewertung und ergänzende Massnahmen. Ein Anbieterlink allein ersetzt keinen Vertragsnachweis.

Anlage 4 Aufbewahrung und Vertragsende zur Freigabe

Die folgenden Fristen sind noch festzulegen. Keine davon ist als bereits bestehende automatische Löschung zugesagt.

Freigabe durch den Anbieter

Vor Verwendung erforderlich: aktuelle Anbieteridentität, vollständige Anlagen, rechtliche Prüfung, vertragliche Absicherung der Dienstleister und praktische Nachweise der Sicherheits- und Löschabläufe. Freigebende Person, Datum und endgültige Vertragsfassung intern archivieren. Die Vertragskopie darf danach keine offenen Entwurfsfelder enthalten.

Technisch geprüfter Stand vom 7. Oktober 2026

Die Projektmetadaten bestätigen für die Supabase-Datenbank die Region eu-central-1 (Frankfurt). Die Organisation nutzt den kostenlosen Tarif. Eine konkrete Backupaufbewahrung und ein Wiederherstellungstest sind damit noch nicht nachgewiesen. Laut Supabase enthalten Datenbanksicherungen keine hochgeladenen Storage-Dateien; diese benötigen eine eigene Sicherung.

Unvollständige Registrierungen werden nach 24 Stunden bei einer weiteren Registrierungsanfrage bereinigt. Das ist keine garantierte Löschung exakt nach 24 Stunden. Ein vollständiger Firmenexport und ein festes automatisches Löschverfahren nach Vertragsende sind im geprüften Code noch nicht vorhanden. Die vorhandene manuelle Firmenlöschung benötigt einen praktischen Nachweis einschliesslich Dateien und Benutzerkonten.