docs: Audit-Protokoll, KI-Kennzeichnung & Release-Notizen

- dev/optimize/optimize-14-07-2026.md: Security-/Code-Audit inkl.
  Fix-Protokoll (Befunde gegen den Code verifiziert).
- docs/weiteres/KI-Kennzeichnung.md, Pm Tracken.md, Decision-Updates und
  Release-/Entwicklungsplan aktualisiert.

Hinweis: Der Audit-Bericht enthält keine echten Geheimnisse (nur die
öffentlichen Key-Präfixe), aber eine vollständige Befundübersicht.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/Decision-Update Preisstruktur & Veröffentlichungs-Flow.md

@@ -58,6 +58,15 @@ ausgewiesen.
 
 Die Jahrespreise entsprechen exakt **10 Monatsbeiträgen** → kommuniziert als **„2 Monate gratis"** statt als Prozent-Rabatt. Numerisch identisch zu den Bestandszahlen, nur die Darstellung ändert sich. Der konkrete Hebel zieht psychologisch stärker und passt zur Ehrlichkeits-Linie.
 
+### 3.1.1 Klarstellung Laufzeit & Kündigung (Entscheidung 07.07.2026)
+
+Abonnements verlängern sich jeweils automatisch um die **gewählte Laufzeit**:
+
+- **Monatsabo:** verlängert sich monatlich, **monatlich kündbar**.
+- **Jahresabo:** verlängert sich um jeweils **weitere zwölf Monate**, kündbar **zum Ende der jeweiligen Laufzeit**.
+
+Ersetzt die frühere Festlegung aus `legal/Entscheidung.md` E5 (alt), wonach Jahresabos nach der Erstlaufzeit auf monatliche Abrechnung umgestellt wurden. Als Anti-Zombie-Ausgleich bleibt die **Erinnerung vor der Verlängerung** (T8) verpflichtend; die geänderte AGB-Klausel (§ 11 Abs. 2) ist bei der fachanwaltlichen Prüfung erneut vorzulegen.
+
 ### 3.2 PM-Kontingent: Verbrauch
 
 **Der PM-Slot zählt ausschließlich bei Veröffentlichung runter, nicht bei der Prüfung.**

docs/konzept/Konzept Presseportal – Marktposition & Hebel.md

@@ -78,7 +78,9 @@ Diese Liste ist wichtiger als jede Feature-Roadmap. Sie schützt vor Entscheidun
 
 **Botschaft auf der Verkaufsseite:**
 
-> „Keine Mindestlaufzeit. Monatlich kündbar. Faire Preise."
+> „Kein Abo-Zwang. Monatstarife monatlich kündbar. Faire Preise."
+
+_(Aktualisiert 07.07.2026: Jahrestarife verlängern sich um jeweils zwölf Monate und sind zum Laufzeitende kündbar — die Botschaft „monatlich kündbar" gilt nur für Monatstarife, siehe `Decision-Update Preisstruktur` §3.1.1.)_
 
 Direkter Konter gegen openPR (12 Monate Mindestlaufzeit, jährliche Vorauszahlung) und Pressebox (ähnliches Modell). Stärkster Hebel ohne Entwicklungsaufwand – reine Marketingbotschaft.
 
@@ -148,7 +150,7 @@ Credit-System ermöglicht margenstarke Zusatzumsätze nach der Erstbuchung:
 
 **Eckpunkte:**
 
-- Alle Tarife monatlich kündbar
+- Monatstarife monatlich kündbar, Jahrestarife zum Ende der Zwölfmonats-Laufzeit
 - Jahrespreise mit ~15 % Rabatt
 - Credit-System für flexible Add-ons
 - Mengenrabatte ab 3 PMs in 30 Tagen (z. B. 20 % auf nächste PM)

docs/weiteres/Decision-Update Phase-2-Funktionen & Magic-Link-Änderungsprozess.md

@@ -176,7 +176,7 @@ Kosten-Anker bei 1 Credit = 1 € (zu bestätigen):
 |---|---|---|
 |C|Inhaltliche Korrektur|≈ 8 Credits (zu bestätigen)|
 |D|Update/Ergänzung|≈ 4 Credits (zu bestätigen)|
-|G|Depublizieren|**25 Credits** + 24–48 h Bedenkzeit (festgelegt)|
+|G|Depublizieren|**35 Credits** + 24–48 h Bedenkzeit (festgelegt)|
 
 Depublizieren bewusst am teuersten und mit Bedenkzeit, weil irreversibelste Aktion.
 
@@ -198,7 +198,7 @@ Depublizieren bewusst am teuersten und mit Bedenkzeit, weil irreversibelste Akti
 **Bewusst nicht im Scope – Cross-Portal-Veröffentlichung:** Die beiden Portale (presseecho.de, businessportal24.com) sind optisch, inhaltlich und systemisch vollständig getrennt; im Relaunch laufen sie lediglich auf einem gemeinsamen Backend zusammen. Eine PM auf beiden Portalen gleichzeitig zu veröffentlichen ist **kein Feature** – wer in beiden präsent sein will, bucht zwei getrennte Einträge (zwei Slots / zwei Extra-PMs). Das vermeidet Duplicate-Content über die eigenen Domains und passt zur getrennten Zielgruppen-Logik. Kein Phase-2-Punkt, sondern bewusst ausgeschlossen.
 Noch mal ein wichtiger Hintergrund, der noch dokumentiert werden muss. Das sollte auch zukünftig gegebenenfalls geprüft werden.
 
-**In Rev. 3 abgeschlossen:** A/B-Launch ✓ · Boost-Staffel 12/20/35 ✓ · PDF 3 Credits ✓ · G Depublizieren 25 Credits ✓ **In Rev. 4 abgeschlossen:** Extra-PM tier-gestaffelt (19/15/12/10/8) ✓ · Cross-Portal ausgeschlossen ✓
+**In Rev. 3 abgeschlossen:** A/B-Launch ✓ · Boost-Staffel 12/20/35 ✓ · PDF 3 Credits ✓ · G Depublizieren 35 Credits ✓ **In Rev. 4 abgeschlossen:** Extra-PM tier-gestaffelt (19/15/12/10/8) ✓ · Cross-Portal ausgeschlossen ✓
 
 ---
 

docs/weiteres/KI-Kennzeichnung.md

@@ -0,0 +1,135 @@
+# Decision-Update: KI-Kennzeichnung (Art. 50 KI-VO)
+
+**Status:** Entschieden (MVP-ready) **Datum:** 2026-07-08 **Betrifft:** Submit-Flow, Veröffentlichungsansicht, AGB + Veröffentlichungsrichtlinien, Audit-Log **Rechtsrahmen:** Art. 50 Abs. 4 KI-VO · Leitlinienentwurf 08.05.2026 · Code of Practice 10.06.2026 · Stichtag 02.08.2026
+
+---
+
+## Getroffene Entscheidungen
+
+1. **Public-Interest-Frage wird bewusst ignoriert.** Gelabelt wird allein nach dem deklarierten KI-Grad, nicht danach, ob der Inhalt „öffentliches Interesse" berührt. Bewusste Über-Erfüllung, um das Fehlklassifikationsproblem zu eliminieren. Anti-Zombie-konform (Transparenz statt Grauzone).
+2. **Selbst-Deklaration ist Pflicht in jedem Veröffentlichungsprozess.** Kein optionales Feld – ohne vollständige Deklaration kein Submit.
+3. **Deklaration wird versioniert im PM-Log gespeichert** (Audit-Trail als eigentliche Abs.-50-Verteidigung).
+4. **Öffentliches Label spricht in Einreicher-Stimme, nicht in Portalstimme.** Keine Behauptung einer redaktionellen Prüfung durch das Portal. Neutrales ℹ-Icon, kein grünes ✓.
+5. **Keine Nicht-KI-Zertifizierung in Portalstimme.** Abwesenheit von KI wird nicht als Portal-Aussage garantiert.
+
+---
+
+## Eingabemaske (Submit-Flow)
+
+**Text** — Pflichtauswahl (eine Option):
+
+- ⭕ Ohne generative KI erstellt
+- ⭕ Mit KI als Formulierungshilfe erstellt und redaktionell überarbeitet
+- ⭕ Überwiegend mit generativer KI erstellt und anschließend geprüft
+- ⭕ Vollständig KI-generiert (ohne wesentliche menschliche Bearbeitung)
+
+**Bilder** — Pflichtauswahl je Bild:
+
+- ⭕ Originalfoto
+- ⭕ KI-generiertes Bild
+- ⭕ KI-bearbeitetes Bild
+
+**Verbindliche Bestätigung** (Pflicht-Checkbox, blockiert Submit):
+
+- ☑ Ich bestätige, dass meine Angaben zum Einsatz generativer KI vollständig und wahrheitsgemäß sind.
+
+---
+
+## Mapping: Deklaration → öffentliches Label
+
+### Text
+
+|Auswahl|Label?|Öffentlicher Wortlaut|
+|---|---|---|
+|Ohne generative KI|Nein|_(kein Label; alternativ optional, neutral: siehe Hinweis)_|
+|KI als Formulierungshilfe, redaktionell überarbeitet|Nein|_(entspricht dem Entlastungsfall; kein Pflicht-Label)_|
+|Überwiegend KI-generiert, anschließend geprüft|**Ja**|ℹ Nach Angaben des einreichenden Unternehmens wurde diese Pressemitteilung überwiegend mit generativer KI erstellt.|
+|Vollständig KI-generiert|**Ja**|ℹ Nach Angaben des einreichenden Unternehmens wurde diese Pressemitteilung vollständig mit generativer KI erstellt.|
+
+> **Hinweis zur „Ohne KI"-Option:** Standardmäßig **kein** Label (keine Zertifizierung in Portalstimme). Falls doch ein sichtbarer Positiv-Hinweis gewünscht ist, ausschließlich attribuiert: „ℹ Nach Angaben des Einreichers ohne generative KI erstellt." — nie als Portal-Aussage.
+
+### Bilder
+
+|Auswahl|Label?|Öffentlicher Wortlaut|
+|---|---|---|
+|Originalfoto|Nein|_(kein Label)_|
+|KI-generiertes Bild|**Ja**|Bildhinweis: KI-generierte Illustration.|
+|KI-bearbeitetes Bild|**Ja**|Bildhinweis: KI-bearbeitetes Bild.|
+
+> **Bewusste Über-Erfüllung:** Der gesetzliche Deepfake-Trigger greift nur bei fotorealistischer Darstellung, die für echt gehalten werden könnte. Wir labeln pauschal jedes deklarierte KI-Bild (auch stilisiert/abstrakt), weil das für ein Presseportal markenkonform und einfacher ist. Kein Präzisionsanspruch — bewusste Vereinfachung.
+
+**Label-Optik:** Neutrales ℹ-Icon (kein grünes ✓, das als Freigabe/Prüfung gelesen würde). Textlabel am Anfang des Inhalts, Bildhinweis direkt am jeweiligen Bild. Optische Ausrichtung am offiziellen EU-Symbolsatz (Code of Practice, 10.06.2026).
+
+---
+
+## Audit-Log (pro PM-Version)
+
+Unveränderlich an die konkrete Veröffentlichung gebunden speichern:
+
+- gewählte Text-Option
+- gewählte Bild-Option(en) je Bild
+- Bestätigungshäkchen (true) + Timestamp
+- User-ID / Firmenprofil-ID
+- PM-Version (bei Re-Publish oder substanzieller Änderung ab 02.08.2026 neuer Trigger → neuer Log-Eintrag)
+
+Zweck: belastbarer Nachweis „Kunde hat am Datum X Option Y deklariert und bestätigt". Ohne Persistenz ist die Klausel wertlos.
+
+---
+
+## Vertragliche Verankerung
+
+Platzierung in **AGB _und_ Veröffentlichungsrichtlinien** (Single-Source, Section-Flags, per Domain gerendert). Die Gewährleistung + Sperr-/Entfernungsrecht brauchen den bindenden AGB-Anker; Richtlinien allein tragen schwächer.
+
+**Klausel „Einsatz generativer KI":**
+
+- Nutzer ist verpflichtet, den Einsatz generativer KI bei Erstellung oder wesentlicher Bearbeitung von Texten, Bildern oder sonstigen Inhalten wahrheitsgemäß anzugeben.
+- Nutzer versichert, dass sämtliche Inhalte geltendes Recht sowie Rechte Dritter (Urheber-, Marken-, Persönlichkeits-, Datenschutzrecht) nicht verletzen.
+- KI-generierte oder KI-bearbeitete Bilder sind entsprechend zu kennzeichnen. _(Der konditionale Nachsatz „sofern im Veröffentlichungsprozess vorgesehen" wird gestrichen — die Deklarationspflicht gilt unbedingt, nur der Mechanismus liegt beim Betreiber.)_
+- Der Betreiber ist berechtigt, unzutreffend gekennzeichnete oder rechtswidrige Inhalte zu sperren, zu kennzeichnen oder zu entfernen sowie bei wiederholten Verstößen den Zugang einzuschränken.
+
+---
+
+## Offene Anwaltsfrage (nicht durch dieses Update gelöst)
+
+**Betreiber-Rolle nach Abs. 4:** Hält die vertragliche Verantwortungszuweisung das Portal tatsächlich aus der Mit-Betreiber-Rolle heraus? Klausel = richtiger Baustein, aber „Klausel vorhanden" ≠ „Frage geklärt". Bleibt Punkt 1 der Anwaltsagenda.
+Antwort:
+Szenario 1 – Das klassische Presseportal (aus meiner Sicht dein Fall)
+
+Der Nutzer:
+
+* erstellt oder lädt die Pressemitteilung hoch,
+* entscheidet über den Inhalt,
+* gibt an, ob KI verwendet wurde,
+* veröffentlicht im eigenen Namen.
+
+Du als Portal:
+
+* stellst lediglich die Plattform bereit,
+* speicherst die Inhalte,
+* veröffentlichst sie technisch.
+
+Hier sehe ich gute Argumente dafür, dass ihr nicht Betreiber des KI-Systems im Sinne des AI Acts seid, sondern lediglich Hosting- bzw. Plattformanbieter. Die KI wurde vom Nutzer verwendet (z. B. ChatGPT, Claude oder Gemini), nicht von euch.
+
+
+Szenario 2 – Ihr bietet eigene KI-Funktionen an
+
+Beispielsweise:
+
+* “Pressemitteilung automatisch schreiben”
+* “Titel mit KI generieren”
+* “Text verbessern”
+* “SEO automatisch erstellen”
+
+Dann wird die Sache deutlich komplizierter.
+
+Je nachdem, wie diese Funktion ausgestaltet ist, könnt ihr hinsichtlich dieser KI-Funktion selbst als Betreiber (Deployer) auftreten oder zumindest eigene Pflichten aus dem AI Act auslösen.
+---
+
+## Revisit-Bedingungen
+
+Dieses Update neu bewerten, wenn:
+
+- der Code of Practice / die Kommissions-Leitlinien final im Amtsblatt konkretere Label-Vorgaben bringen,
+- die Abs.-2-Frist-Verschiebung (maschinenlesbare Markierung, voraussichtlich 02.12.2026) final publiziert wird und Metadaten-Pflichten für Betreiber berührt,
+- eine nationale Durchführungsregelung (DE) über Art. 50 hinausgeht,
+- Betriebsdaten zeigen, dass Kunden systematisch falsch deklarieren (→ ggf. Stichproben-/Nachschärfungsprozess).

docs/weiteres/Pm Tracken.md

@@ -0,0 +1 @@
+Wichtig ist, dass Ereignisse an einer Pressemitteilung auch gelockt werden, d.h. so etwas, wie wenn es über die Sharing Buttons oder Aufrufe geht