# PROJEKT FLOW Anlagen zur Auftragsbearbeitung Entwurf

Fassung 7. Oktober 2026. Zusammen mit der Vereinbarung zu verwenden. Die offenen Punkte sind Freigabebedingungen und dürfen nicht ungeprüft als erfüllte Zusagen veröffentlicht werden.

## Anlage 1 Verarbeitung und Datenarten

| Bereich | Daten | Verarbeitung und Zweck |
|---|---|---|
| Zugänge | Name, geschäftliche E-Mail, Konto, Rolle, Firmenzuordnung | Anmeldung, Berechtigungen und Zusammenarbeit |
| Kunden und Aufträge | Kontaktdaten, Adresse, Objekt, Auftrag, Unterlagen | Planung, Dokumentation und Abwicklung |
| Personal und Planung | Name, Zuordnung, Einsatzzeit, Verfügbarkeit, Urlaub | Einsatzplanung; private Begründungen nicht allgemein sichtbar machen |
| Zeiten und Rapporte | Arbeitsbeginn, Ende, Pausen, Beschreibung, Material, Fotos, Transkript | Nachweise, Prüfung und Abrechnung |
| Kommunikation | Nachrichten, ausgewählte Auftragsmails und Anhänge | Zusammenarbeit zum Auftrag |
| Dokumente | Offerten, Rechnungen, Firmenbankverbindung, Freigaben | Erstellung und Verwaltung von Geschäftsunterlagen |
| Zeitarbeit | beteiligte Firmen, zugewiesene Person, Tätigkeit, Ort, Zeitraum, bestätigte Stunden | vereinbarter Austausch für einen Einsatz |

Vorgänge: Erheben, Speichern, Ordnen, Abrufen, Berechtigen, Bearbeiten, Synchronisieren, Exportieren, vereinbartes Weitergeben und Löschen. Der tatsächliche Umfang richtet sich nach dem aktivierten Paket. Bewerbungen und weitere neue Funktionen sind vor Aktivierung gesondert aufzunehmen.

## Anlage 2 Sicherheitsmassnahmen zur Freigabe

Die vorhandenen Angaben aus der Datenschutzerklärung beschreiben verschlüsselte Übertragung, Rollen und Firmenabgrenzung sowie private Dateispeicher. Das ist noch kein unabhängiger Sicherheitsnachweis.

| Massnahme | Vor Vertragsfreigabe zu dokumentieren |
|---|---|
| Firmenabgrenzung | Tests gegen Zugriff einer anderen Firma über Datenbank, API und Dateilinks; Testdatum und Ergebnis |
| Rollen | Matrix für Mitarbeitende, Büro, Projektleitung, Firmenadmin und Plattformadmin |
| Adminschutz | Mehrfaktor-Anmeldung, individuelle Konten, Entzug ausgeschiedener Zugänge |
| Support | erlaubte Supportzugriffe, Vertraulichkeit, Dokumentation und Verantwortliche |
| Übertragung und Speicherung | tatsächlich eingesetzte Verschlüsselung und Zuständigkeit für Schlüssel |
| Sicherungen | Umfang, Zugriff, Wiederherstellungstest, Sicherungsfrist und Löschung |
| Betrieb | Updates, Schwachstellenbehandlung, Monitoring und Vorfallprozess |
| Geräte und Offline-Daten | Daten bei Abmeldung, offene Zeiteinträge, verlorene und gemeinsam genutzte Geräte |
| Aufnahmen | lokaler Verarbeitungsweg, etwaige Speicherung, Lebensdauer von Audiodaten |

Keine Zertifizierung, vollständige EU-Speicherung oder vollständige Ende-zu-Ende-Verschlüsselung behaupten, solange dies nicht nachgewiesen ist.

## Anlage 3 Empfänger und Verträge zur Freigabe

Diese Übersicht folgt der derzeitigen Datenschutzerklärung. Sie ist vor Verwendung mit den tatsächlich verwendeten Anbieterverträgen, Kontoeinstellungen und Unterauftragnehmerlisten abzugleichen. Insbesondere müssen genaue juristische Vertragspartner, Länder und anwendbare Transfergarantien ergänzt werden.

| Anbieter | Aufgabe | Bisheriger Standortshinweis | Noch zu bestätigen |
|---|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateien, Echtzeit | Projektregion Frankfurt | juristische Einheit, DPA, weitere Verarbeitungsorte, Unterauftragnehmer |
| Vercel | Website, Funktionen, technische Protokolle | auch USA | DPA, Funktionsregionen, Supportorte, Transfergrundlage |
| Resend | System- und Auftragsmails | primäre Verarbeitung USA | DPA, Speicherfristen, Transfergrundlage |
| Google Workspace | geschäftliche Kommunikation und Support | konfigurationsabhängig international | Vertragsfassung, Regionseinstellungen, relevante Datenflüsse |

Stripe verarbeitet Zahlungs- und Abrechnungsdaten abhängig vom Zweck als eigener Verantwortlicher oder Auftragsbearbeiter. Nur soweit Stripe im konkreten Datenfluss Unterauftragnehmer ist, wird es entsprechend in die genehmigte Liste aufgenommen. Vertragspartner, Rollen und Übermittlungen gesondert prüfen.

Für jeden Auslandtransfer dokumentieren: Datenarten, Empfänger, Länder, Angemessenheitsentscheidung oder sonstige Garantie, gegebenenfalls Standardklauseln mit Schweizer Anpassungen, erforderliche Bewertung und ergänzende Massnahmen. Ein Anbieterlink allein ersetzt keinen Vertragsnachweis.

## Anlage 4 Aufbewahrung und Vertragsende zur Freigabe

Die folgenden Fristen sind noch festzulegen. Keine davon ist als bereits bestehende automatische Löschung zugesagt.

| Datenart oder Ablauf | Verbindlich festzulegen |
|---|---|
| Nicht abgeschlossene Registrierungen | vorhandene 24-Stunden-Regel und anfrageabhängige Bereinigung prüfen |
| Testanfragen ohne Abschluss | Frist nach letzter Bearbeitung; automatische oder manuelle Bereinigung |
| Operative Firmendaten nach Vertragsende | Exportformat, Exportfenster, Löschfrist und Bestätigung |
| Sprachaufnahmen | Im geprüften Sprachmemo-Modul keine serverseitige Speicherung. Audio wird im Browser verarbeitet und beim Übernehmen, Verwerfen oder Verlassen freigegeben. Gespeicherte Transkripte gehören zum Rapport; deren Frist ist noch festzulegen. |
| Protokolle und Support | konkrete Fristen je Zweck |
| Sicherungskopien | maximale Restdauer und Umgang mit Wiederherstellung gelöschter Daten |
| Eigene gesetzliche Nachweise | Dokumentarten und gesetzlich erforderliche Dauer getrennt bestimmen |
| Gemeinsame Einsatznachweise | Zuständigkeit und eigenständige Aufbewahrung der beteiligten Firmen |

## Freigabe durch den Anbieter

Vor Verwendung erforderlich: aktuelle Anbieteridentität, vollständige Anlagen, rechtliche Prüfung, vertragliche Absicherung der Dienstleister und praktische Nachweise der Sicherheits- und Löschabläufe. Freigebende Person, Datum und endgültige Vertragsfassung intern archivieren. Die Vertragskopie darf danach keine offenen Entwurfsfelder enthalten.

## Technisch geprüfter Stand vom 7. Oktober 2026

Die Projektmetadaten bestätigen für die Supabase-Datenbank die Region eu-central-1 (Frankfurt). Die Organisation nutzt den kostenlosen Tarif. Eine konkrete Backupaufbewahrung und ein Wiederherstellungstest sind damit noch nicht nachgewiesen. Laut Supabase enthalten Datenbanksicherungen keine hochgeladenen Storage-Dateien; diese benötigen eine eigene Sicherung.

Unvollständige Registrierungen werden nach 24 Stunden bei einer weiteren Registrierungsanfrage bereinigt. Das ist keine garantierte Löschung exakt nach 24 Stunden. Ein vollständiger Firmenexport und ein festes automatisches Löschverfahren nach Vertragsende sind im geprüften Code noch nicht vorhanden. Die vorhandene manuelle Firmenlöschung benötigt einen praktischen Nachweis einschliesslich Dateien und Benutzerkonten.