# PROJEKT FLOW Vereinbarung zur Auftragsbearbeitung Entwurf Fassung 7. Oktober 2026. Dieser Entwurf ist noch nicht zur Annahme durch Kunden freigegeben. Die Angaben in den Anlagen müssen vor Verwendung vervollständigt und die Vereinbarung rechtlich geprüft werden. Sie ergänzt den Softwarevertrag einschliesslich eines kostenlosen Piloten; sie ersetzt weder AGB noch Datenschutzerklärung. ## Vertragsparteien Auftraggeber und Verantwortlicher: die im Vertragsabschluss bezeichnete Firma mit offizieller Bezeichnung und Rechnungsadresse. Vertreten durch die dort bezeichnete, vertretungsberechtigte Person. Auftragsbearbeiter: Maximilian Nebel, Einzelunternehmen, Anbieter von PROJEKT FLOW, Korrespondenzadresse Speerstrasse 34, 8805 Richterswil, Schweiz. Datenschutzkontakt info@projektflow.ch. Vor Freigabe sind die aktuelle eingetragene Firmenbezeichnung und Registeranschrift einzusetzen; der derzeitige Websitehinweis nennt einen noch ausstehenden Wechsel von Nebel Nutrition Labs zu NEBEL PROJEKT FLOW. ## Gegenstand und Dauer PROJEKT FLOW verarbeitet Personendaten im Auftrag der Firma zur Bereitstellung der vereinbarten Softwarefunktionen: Kunden- und Projektverwaltung, Einsatzplanung, Zeiterfassung, Rapporte, Dokumente, Zusammenarbeit und gegebenenfalls Zeitarbeit. Der konkrete Umfang folgt dem gewählten Arbeitsbereich und den aktivierten Funktionen. Die Vereinbarung gilt während der Verarbeitung einschliesslich einer vereinbarten Rückgabe- und Löschphase nach Vertragsende. Betroffene Personen sind Mitarbeitende, temporäre Mitarbeitende, Ansprechpartner von Kunden, Lieferanten und Einsatzbetrieben sowie gegebenenfalls Bewerbende, wenn ein entsprechendes Modul tatsächlich vereinbart und aktiviert wurde. Datenarten und Verarbeitungsvorgänge stehen in Anlage 1. Für eigene Vertragsverwaltung, Abrechnung und gesetzlich erforderliche Nachweise kann PROJEKT FLOW selbst verantwortlich sein. Diese Verarbeitung ist in der Datenschutzerklärung getrennt beschrieben und darf nicht zur Zweckausweitung von Kundendaten dienen. ## Weisungen und Zweckbindung PROJEKT FLOW verarbeitet die anvertrauten Daten nur auf dokumentierte Weisung der Firma. Der vereinbarte Funktionsumfang und dessen bestimmungsgemässe Nutzung bilden die Grundweisung. Weitere Weisungen sind von berechtigten Personen über info@projektflow.ch zu erteilen und nachvollziehbar zu dokumentieren. Dies gilt auch für Übermittlungen ins Ausland. PROJEKT FLOW nutzt die Daten nicht für eigene Werbung, den Verkauf von Daten oder das Training eines allgemeinen KI-Modells. Verlangt anwendbares Recht eine darüber hinausgehende Verarbeitung, informiert PROJEKT FLOW die Firma vorher, soweit eine solche Information rechtlich zulässig ist. Bei einer mutmasslich rechtswidrigen Weisung informiert PROJEKT FLOW die Firma unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit rechtlich möglich. Die Firma sorgt für die Zulässigkeit ihrer Datenerhebung, erforderliche Informationen an Betroffene und rechtmässige Weisungen. Sie erfasst nur erforderliche Daten und vergibt persönliche Zugänge. Besonders schützenswerte Daten sind nicht Gegenstand allgemeiner Einsatzhinweise; ein zusätzlicher Verarbeitungsumfang bedarf vorheriger Abstimmung und geeigneter Schutzmassnahmen. ## Vertraulichkeit und Sicherheit PROJEKT FLOW verpflichtet zugriffsberechtigte Personen auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher. Zugriffe werden auf den erforderlichen Umfang begrenzt. Vertraulichkeit gilt auch nach Ende der Tätigkeit. PROJEKT FLOW gewährleistet eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen. Anlage 2 beschreibt die konkret vereinbarten Massnahmen, insbesondere Firmenabgrenzung, Rollen, geschützte Übertragung, Speicherung, Wiederherstellung und regelmässige Wirksamkeitsprüfung. Änderungen dürfen das vereinbarte Schutzniveau nicht senken. Erhebliche Änderungen werden der Firma mitgeteilt. ## Unterauftragnehmer und Ausland Die Firma genehmigt allgemein den Einsatz der in der freigegebenen Anlage 3 bezeichneten Unterauftragnehmer für die dort genannten Aufgaben. PROJEKT FLOW schliesst mit ihnen geeignete Vereinbarungen mit mindestens gleichwertigen Datenschutzpflichten ab und bleibt gegenüber der Firma für deren vertragsgemässe Verarbeitung verantwortlich. Neue oder ersetzte Unterauftragnehmer werden der Firma rechtzeitig vor ihrem Einsatz in Textform mitgeteilt, sodass ein begründeter datenschutzbezogener Einspruch vor Verarbeitung möglich ist. Bei Einspruch suchen die Parteien eine geeignete Alternative. Ist keine möglich, werden die betroffenen Funktionen nicht unter dem beanstandeten Unterauftragnehmer fortgeführt; die Parteien regeln die Beendigung des betroffenen Leistungsumfangs und die Datenrückgabe. Auslandübermittlungen erfolgen nur unter Einhaltung der anwendbaren Voraussetzungen. Anlage 3 bezeichnet Empfänger, Länder und den jeweiligen Übermittlungsmechanismus. Geeignete Standarddatenschutzklauseln, erforderliche Schweizer Anpassungen, Transferprüfungen und ergänzende Massnahmen sind gegebenenfalls gesondert zu vereinbaren. Diese Vereinbarung allein ersetzt solche Garantien nicht. ## Rechte der Betroffenen und Unterstützung PROJEKT FLOW unterstützt die Firma durch geeignete technische und organisatorische Massnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung und gegebenenfalls Herausgabe oder Übertragung. Direkt bei PROJEKT FLOW eingehende Anfragen zu anvertrauten Daten werden unverzüglich an die zuständige Firma weitergeleitet. PROJEKT FLOW antwortet nicht eigenständig in deren Namen, ausser auf entsprechende Weisung oder aufgrund einer gesetzlichen Pflicht. Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt PROJEKT FLOW die Firma bei Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen, Behördenkonsultationen und Meldungen von Datenschutzverletzungen. Die Unterstützung muss so erfolgen, dass gesetzliche Fristen eingehalten werden können. ## Datensicherheitsverletzungen PROJEKT FLOW informiert die Firma unverzüglich nach Bekanntwerden einer Verletzung der Sicherheit anvertrauter Personendaten. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, mögliche Folgen, ergriffene oder geplante Massnahmen und einen Ansprechpartner. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt. Vorfälle und Abhilfemassnahmen werden dokumentiert. Die Firma beurteilt ihre Melde- und Informationspflichten als Verantwortliche. PROJEKT FLOW erfüllt daneben eigene gesetzliche Pflichten. Keine Partei verzögert eine notwendige Meldung, um zunächst einen vollständigen Untersuchungsbericht abzuwarten. ## Nachweise und Kontrollen PROJEKT FLOW stellt die zur Prüfung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht angemessene Kontrollen einschliesslich Inspektionen durch die Firma oder eine von ihr beauftragte unabhängige prüfende Person. Nachweise und geeignete Prüfberichte können eine Vor-Ort-Prüfung ergänzen. Termin, Vertraulichkeit und Schutz anderer Kunden werden abgestimmt; gesetzliche Kontrollrechte dürfen nicht vereitelt werden. Bei konkreten Vorfällen oder behördlichen Anforderungen sind kurzfristige Kontrollen möglich. ## Rückgabe und Löschung Nach Ende des Auftrags gibt PROJEKT FLOW die anvertrauten Daten nach Wahl der Firma zurück oder löscht sie und löscht vorhandene Kopien, soweit keine anwendbare gesetzliche Aufbewahrungspflicht entgegensteht. Formate, Fristen, Sicherungskopien und Bestätigung der Erledigung werden in Anlage 4 verbindlich festgelegt. Während einer erforderlichen Restaufbewahrung werden Daten gesperrt und nur für den gesetzlich zulässigen Zweck verarbeitet. Ein abgelaufener Testzugang oder eine Kontopause ist keine Löschung. Exportierte Kopien bei der Firma oder anderen zulässigen Empfängern liegen nicht mehr allein im Einflussbereich von PROJEKT FLOW. Bei gemeinsamen Einsatznachweisen sind die eigenständigen Pflichten der beteiligten Firmen zu berücksichtigen. ## Verhältnis zum Softwarevertrag und anwendbares Recht Bei Widersprüchen zu anderen Vertragsbestimmungen hat diese Vereinbarung für die Auftragsbearbeitung Vorrang. Im Übrigen gelten die Bedingungen des Softwarevertrags, soweit sie zwingende Datenschutzpflichten nicht beschränken. Es gilt das anwendbare Schweizer Datenschutzrecht und, soweit sachlich und räumlich anwendbar, die DSGVO, insbesondere Artikel 28. Eine Annahme dieser Vereinbarung ist keine Einwilligung in Werbung und keine pauschale Zustimmung der Mitarbeitenden zur Datenverarbeitung. ## Annahme und Nachweis Die Vereinbarung kann durch eine ausdrückliche elektronische Erklärung der vertretungsberechtigten Person angenommen werden. Der Abschlussnachweis bezeichnet beide Parteien, Person und Konto, Zeitpunkt, Annahmeerklärung sowie die unveränderbar archivierte Fassung dieser Vereinbarung und ihrer Anlagen. Die Firma erhält eine speicherbare Vertragskopie. Wesentliche neue Vertragsinhalte werden nicht durch Austausch eines Links rückwirkend vereinbart. ## Quellen für die rechtliche Prüfung [EDÖB zur Auftragsbearbeitung](https://www.edoeb.admin.ch/de/outsourcing-auftragsdatenbearbeitung) [EDÖB zu Auslandübermittlungen](https://www.edoeb.admin.ch/de/bekanntgabe-von-personendaten-ins-ausland) [DSGVO insbesondere Artikel 28](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu)