dev: Paket ohne ZDR-Zusage, Verträge seit Go-Live, ui-06 nachgereicht

OpenAI: Zero Data Retention derzeit nicht beantragbar; DSE-Entwurf nennt die
Standardbehandlung der API (kein Training, bis zu 30 Tage
Missbrauchserkennung) und mögliche Verarbeitung in den USA auf Basis von
SCCs, keine EU-Datenresidenz. Alle Dienstleisterverträge bestehen seit vor
dem Go-Live; die Belege sind Neuausfertigungen vom 13.10.2026. Hetzner
Anlage 1 erweitert. Frage 5 um die Impressumsangabe nach § 18 Abs. 2 MStV
ergänzt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

dev/rechtliches/anwaltspaket-datenschutz-2026-10-12.md

@@ -109,12 +109,12 @@ Bei Kontaktanfragen, Meldungen, Widerrufen, Kündigungen und Buchungsbestätigun
 ### Zurückgestellt: D7, D8, D10
 
 - **D7 Webanalyse im Kundenbereich:** Umami läuft cookielos auf den öffentlichen Seiten. Eine Ausweitung auf den Kundenbereich mit pseudonymer Nutzerkennung ist ausgeschaltet. Aktivierungsbedingungen: Kennung als HMAC, Widerspruchsschalter im Konto, eigener DSE-Absatz.
-- **D8 KI-Vorabprüfung von Bildern:** Code vorhanden, Funktion ausgeschaltet. Vorgesehen: Bild verkleinert (1024 px), ohne Metadaten und ohne Kontobezug an OpenAI, Sichtung auf offensichtliche Probleme (Wasserzeichen von Bildagenturen, unzulässige Inhalte, Person erkennbar ja/nein ohne Identifizierung). OpenAI Ireland Ltd., DPA, Zero Data Retention eingerichtet.
+- **D8 KI-Vorabprüfung von Bildern:** Code vorhanden, Funktion ausgeschaltet. Vorgesehen: Bild verkleinert (1024 px), ohne Metadaten und ohne Kontobezug an OpenAI, Sichtung auf offensichtliche Probleme (Wasserzeichen von Bildagenturen, unzulässige Inhalte, Person erkennbar ja/nein ohne Identifizierung). OpenAI Ireland Ltd. mit DPA; ohne Zero Data Retention (siehe Abschnitt „Automatisierte Inhaltsprüfung“).
 - **D10 Newsletter:** Kampagnenmodul vorhanden, Versand technisch gesperrt. Das Modul wurde im Juli 2026 einmalig für die beiden Relaunch-Mails an Bestandskonten genutzt (Abschnitt 6); seitdem ist der Versand gesperrt. Vorgesehen: nur mit ausdrücklicher Einwilligung (Schalter im Konto, Standard aus, Bestätigung per E-Mail, Protokoll mit Textfassung und Zeitpunkt). Kein Rückgriff auf § 7 Abs. 3 UWG für die 66.368 übernommenen Altkonten (über 99 Prozent Gratiskonten, Nachweis einer Belehrung bei Erhebung nicht führbar).
 
 ### Automatisierte Inhaltsprüfung (bestehender Abschnitt 10/8, Korrektur)
 
-Die DSE nennt OpenAI, Google Gemini und Anthropic Claude. Angebunden ist nur OpenAI; Gemini und Anthropic werden nicht genutzt. Fassung 0.4 nennt nur OpenAI. Das Data Processing Addendum mit OpenAI Ireland Ltd. ist am 13.10.2026 unterzeichnet (Anlage 7); die Textprüfung über OpenAI läuft seit Juli 2026 [Betreiber: früheres DPA vorhanden?]. Zero Data Retention gibt der Betreiber als eingerichtet an. Ein fehlender `store`-Parameter belegt das nicht; Geltungsbereich (Endpunkte, Modelle, Ausnahmen) und Datenresidenz werden vor Übernahme einer Speicherzusage in die DSE durch Organisations- und Projekteinstellungen sowie das DPA belegt (Betriebsnachweis).
+Die DSE nennt OpenAI, Google Gemini und Anthropic Claude. Angebunden ist nur OpenAI; Gemini und Anthropic werden nicht genutzt. Fassung 0.4 nennt nur OpenAI. Das Data Processing Addendum mit OpenAI Ireland Ltd. besteht seit vor dem Go-Live; Anlage 7 enthält eine Neuausfertigung vom 13.10.2026. Zero Data Retention ist für das Konto derzeit nicht beantragbar; OpenAI kündigt sie für neuere Modelle an (Anlage 7). Es gilt daher die Standardbehandlung der API: kein Training mit den Inhalten, Speicherung bis zu 30 Tage zur Missbrauchserkennung. Die Anwendung nutzt `api.openai.com` ohne EU-Datenresidenz (`chat/completions`, `gpt-5.4-mini`); Übermittlungen außerhalb des EWR stützt das DPA auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss (Ziff. 4). Der Textentwurf in Abschnitt 4 ist entsprechend gefasst.
 
 ---
 
@@ -178,7 +178,7 @@ Stil und Aufbau wie die bestehende DSE. Einordnung: „Hub“ nur auf pressekont
 
 ### 10 (Hub) / 8 (Portale). Automatisierte Inhaltsprüfung (Änderung der Anbieterliste)
 
-> Für die automatisierte Analyse nutzen wir die Programmierschnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. Mit OpenAI besteht ein Vertrag zur Auftragsverarbeitung. [Nur nach Nachweis des Geltungsbereichs:] Die Anbindung ist so eingerichtet, dass OpenAI die übermittelten Inhalte nicht speichert und nicht zum Training von Modellen verwendet (Zero Data Retention). [Datenresidenz EU aktiv: „Die Verarbeitung erfolgt in der EU.“ / sonst: „Eine Verarbeitung in den USA ist möglich; sie erfolgt auf Grundlage von EU-Standardvertragsklauseln.“] Setzen wir künftig weitere Anbieter ein, nennen wir sie hier.
+> Für die automatisierte Analyse nutzen wir die Programmierschnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. Mit OpenAI besteht ein Vertrag zur Auftragsverarbeitung. Nach Angaben von OpenAI werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training von Modellen verwendet und zur Erkennung von Missbrauch bis zu 30 Tage gespeichert. Eine Verarbeitung in den USA ist möglich; sie erfolgt auf Grundlage von EU-Standardvertragsklauseln. Setzen wir künftig weitere Anbieter ein, nennen wir sie hier.
 
 ### 7 (Portale). Änderungslinks (Änderung)
 
@@ -253,7 +253,7 @@ Je Frage unser Default. Bitte bestätigen, ändern oder begründet verwerfen.
 | 2 | **Einbeziehung 0.7:** Zustimmungsgate mit aktivem Klick je Fassung vor jedem neuen Kauf (Einzelveröffentlichung, Credits, neues Abonnement). Bereits bezahlte Leistungen bleiben ohne neue Zustimmung nutzbar: Abonnenten mit laufender Laufzeit und Kunden mit vor 0.7 erworbenen Credits (FIFO) erhalten „Später entscheiden“ und reichen unter 0.6 ein; „Später“ erzeugt keinen Annahmedatensatz. Stimmt ein Abonnent nicht zu, läuft der Vertrag nach § 15 Abs. 3 unter 0.6 weiter, auch bei automatischer Verlängerung; eine Umstellung erfolgt dann nur durch Änderungskündigung (ordentliche Kündigung zum Laufzeitende nach § 11 Abs. 2 mit Angebot eines neuen Vertrags unter 0.7). Der Dialog im Code kennt heute nur Annahme oder Abbruch; „Später entscheiden“ und der Bestandsschutz werden mit Deploy 3 gebaut (Screenshot des heutigen Stands in Anlage 7). Trägt das die bestehende Vertragslage? Ist die Änderungskündigung der richtige Weg, und welche Mitteilung und Frist sind nötig? Gilt die Anerkennung über den Bild-Schalter mit Fassung und Link zusätzlich als wirksame Erklärung? | Ja / Ja / Ja | |
 | 3 | **Beweisarchiv:** Pauschale Drei-Jahres-Frist nach Jahresende für alle Ereignistypen (Begründung je Typ in Anlage 2)? Originaldatei mit allen Metadaten speichern? Art. 9 Abs. 2 lit. f als Grundlage für Bilder mit besonderen Kategorien? Aufbewahrungssperre und Einschränkung nach Art. 18 getrennt wie in D1? Umgang mit bereits versiegelten Archivpaketen, die Antragsteller-E-Mails enthalten: minimierte Nachfolgefassung mit Integritätsnachweis oder befristete Übergangsaufbewahrung? Abwägung in Anlage 2 ausreichend? | Ja zu allem; Altbestand: Nachfolgefassung | |
 | 4 | **Medienprivileg in der Portal-DSE (Abschnitt 9):** Der Absatz beruft sich mit „soweit“ auf Art. 85 DSGVO und § 57 MStV, während das Portal sonst als Hoster ohne redaktionelle Bearbeitung auftritt. Ist der Absatz in dieser Form unschädlich, oder sollte er auf Archivfunktion und Informationsfreiheit (Art. 17 Abs. 3 lit. a) umgestellt werden? | Behalten, im Einzelfall nie allein darauf stützen | |
-| 5 | **Hoster-Status:** Reichen Richtlinien-Formulierung („automatisierte Prüfung“), Verantwortlich-Zeile am Bild und Preisseiten-Wording, auch mit bezahlten Platzierungen und automatisiertem KI-Scoring? Ist der UrhDaG-Vermerk (Anlage 1, 3.9) tragfähig? Der Status als kleiner Diensteanbieter (§ 2 Abs. 3 UrhDaG) wird dabei nur als Reduzierung einzelner Pflichten verstanden, nicht als Freistellung. Ersetzt in 0.7 „redaktionelle Qualität“ (§ 4 Abs. 4, § 7 Abs. 1) durch „Qualität und Lesbarkeit“. | Ja / Ja | |
+| 5 | **Hoster-Status:** Reichen Richtlinien-Formulierung („automatisierte Prüfung“), Verantwortlich-Zeile am Bild und Preisseiten-Wording, auch mit bezahlten Platzierungen und automatisiertem KI-Scoring? Ist der UrhDaG-Vermerk (Anlage 1, 3.9) tragfähig? Der Status als kleiner Diensteanbieter (§ 2 Abs. 3 UrhDaG) wird dabei nur als Reduzierung einzelner Pflichten verstanden, nicht als Freistellung. Ersetzt in 0.7 „redaktionelle Qualität“ (§ 4 Abs. 4, § 7 Abs. 1) durch „Qualität und Lesbarkeit“. Das Impressum der Portale nennt einen „Verantwortlichen für journalistisch-redaktionelle Inhalte (§ 18 Abs. 2 MStV)“: Schadet die Angabe dem Hoster-Status, oder ist sie wegen geplanter eigener Inhalte (Portal-Updates) nötig? | Ja / Ja / Angabe behalten, auf eigene Inhalte beziehen | |
 | 6 | **Art. 50 KI-VO:** (a) Geplant (C2PA-Prüfung, noch nicht in Betrieb; heute dienen Metadaten der Datei nur als Vorbelegung, die der Einreicher ändern kann): Wird das Portal durch eine aus geprüften Herkunftsdaten gesetzte, nicht abschwächbare Kennzeichnung zum Mitbetreiber nach Abs. 4? Korrekturweg (§ 8a Abs. 4) ausreichend? (b) Geplant (noch nicht gebaut): Eigene „Portal-Updates“ sollen per KI vorformuliert, vom Betreiber überarbeitet und freigegeben werden; gespeichert würden Entwurf, Endfassung, Diff, Freigebender, Zeitpunkt; die Rubrik nennt die KI-Unterstützung. Entfällt damit die Kennzeichnungspflicht? (c) Alt-API setzte bisher „ohne KI“ im Namen des Kunden; wird auf „keine Angabe“ umgestellt. | Nein / Ja / Ja | |
 | 7 | **Boost-Kennzeichnung:** Bezahlte hervorgehobene Platzierung von Kundenmeldungen auf Startseite und Branchenseite. Label „Gebuchte Platzierung“ (en „Booked placement“) am Bild und in Listen, Tooltip „Das Unternehmen hat diesen Platz gebucht. Der Inhalt ist eine Pressemitteilung des Unternehmens.“, Satz auf der Preisseite, Klausel in § 6 Abs. 2. Die Erklärung erscheint am Desktop beim Überfahren, auf Mobil per Tipp auf das Label, und wird von Screenreadern mitgelesen. Die Kopfzeile über dem Aufmacher lautet „Aktuell“ statt bisher „Top-Auswahl“. Screenshots eines Test-Boosts (Startseite, Branchenseite, Mobil, Erklärung) liegen als Anlage 7 bei. Genügt das in der tatsächlichen Darstellung § 5a Abs. 4 UWG, Anhang Nr. 11 UWG und § 22 MStV? | Ja | |
 | 8 | **Fehlerprotokoll im Browser:** lit. f plus § 25 Abs. 2 Nr. 2 TDDDG mit dem in 3a beschriebenen minimalen Datensatz, ohne Einwilligung? | Ja | |
@@ -263,7 +263,7 @@ Je Frage unser Default. Bitte bestätigen, ändern oder begründet verwerfen.
 | 12 | **Lösch- und Änderungsanfragen** (Kontext in Anlage 6): (a) Grenze zwischen unentgeltlicher Erfüllung nach Art. 17 und entgeltlicher Depublikation: Der Preis trägt, wenn kein Betroffenenrecht einer natürlichen Person betroffen ist und ein kostenfreier Weg dafür besteht; bei eigenen Kunden zusätzlich, weil die Archivierung bei Vertragsschluss offengelegt war (§ 13 Abs. 1); bei übernommenem Altbestand ohne eigenen Vertrag ist die Depublikation rechtmäßiger Inhalte juristischer Personen eine freiwillige Leistung ohne Entfernungsanspruch. Hält § 13 Abs. 1 nach § 307? (b) Früher beworbener „kostenfreier Weg über connektar“, der praktisch nicht funktionierte: Irreführung nach § 5 UWG; Aussage entfernt und dokumentiert (Zeitraum, Entfernung). Verjährung: sechs Monate für Mitbewerber- und Verbandsansprüche, ein Jahr für Verbraucheransprüche nach § 9 Abs. 2, wobei Verbraucher hier nicht Kunden sind; vertragliche Ansprüche von Geschäftskunden gesondert. Keine weitere Maßnahme nötig? (c) Realnamen-Änderung: kostenfrei, wenn die genannte natürliche Person oder ein von ihr bevollmächtigtes Unternehmen es verlangt; Kontaktaktualisierung durch das Unternehmen nach Leistungsbeschreibung; sonstige Edits kostenpflichtig. (d) Art. 19 in der Syndikation: Portal benachrichtigt eigene Empfänger (Art. 17 Abs. 2 für die Öffentlichkeit), Verteiler die seinen; gegenseitige Meldung vertraglich. | Ja zu (a) bis (d) | |
 | 13 | **Regresskette:** Gate-Annahme → Upload-Bestätigung (Rolle, Fassung, Konto, Zeitpunkt, IP-HMAC) → Original mit Hash → veröffentlichte Fassung → Archiv mit Hash, täglicher Hash-Export auf getrennten Speicher (Integritätsnachweis, kein qualifizierter Zeitstempel); Partnerbedingungen mit Annahmebeleg. Fehlt ein Glied? | Nein | |
 | 14 | **Syndikationsvertrag:** Entwurf nach der Gliederung in Anlage 5, vorrangig § 2 bis § 5 (Rollen, Schnittstelle, Änderungen, Inhalte) vor dem Partnertermin im Oktober. | Entwurf durch Sie | |
-| später | **KI-Vorabprüfung von Bildern (D8):** Genügen AVV, nachgewiesene Zero Data Retention, Minimierung (1024 px, keine Metadaten, kein Kontobezug) und eine dokumentierte Schwellwertprüfung zur DSFA, oder ist eine förmliche DSFA nötig? Art. 9 bei „Person erkennbar ja/nein“ ohne Identifizierung? | AVV plus Schwellwertprüfung; kein Art. 9 | |
+| später | **KI-Vorabprüfung von Bildern (D8):** Genügen AVV, die Standardspeicherung der API (bis zu 30 Tage, kein Training), Minimierung (1024 px, keine Metadaten, kein Kontobezug) und eine dokumentierte Schwellwertprüfung zur DSFA, oder ist eine förmliche DSFA nötig? Art. 9 bei „Person erkennbar ja/nein“ ohne Identifizierung? | AVV plus Schwellwertprüfung; kein Art. 9 | |
 | später | **Webanalyse im Kundenbereich (D7)** mit HMAC-Kennung und Widerspruch: lit. f ohne Einwilligung? | Ja | |
 | später | **Newsletter (D10):** Opt-in mit Bestätigung und Protokoll ohne IP ausreichend; kein § 7 Abs. 3 UWG für Altkonten. | Ja | |
 

dev/rechtliches/klaerung-anwaltspaket-2026-10-12.md

@@ -18,7 +18,7 @@ Jede Frage bekommt eine von drei Einstufungen:
 
 Betreiberangaben vom 12.10.2026, auf denen dieses Dokument aufbaut:
 
-1. AVV: Hetzner und ALL-INKL liegen vor. Cloudflare (Turnstile) und Stripe sind über deren Standardbedingungen abgedeckt. OpenAI: API über OpenAI Ireland, Zero Data Retention eingerichtet.
+1. AVV: Hetzner und ALL-INKL liegen vor. Cloudflare (Turnstile) und Stripe sind über deren Standardbedingungen abgedeckt. OpenAI: API über OpenAI Ireland mit DPA. *(Korrektur 13.10.2026: Zero Data Retention ist für das Konto derzeit nicht verfügbar; es gilt die Standardspeicherung von bis zu 30 Tagen. Alle Verträge bestehen seit vor dem Go-Live; die Belege in `nachweise/` sind Neuausfertigungen vom 13.10.2026.)*
 2. Die Admin-Konten `@me.com` und `@stern-consulting.eu` sind Altbestände. Einziges aktives Admin-Konto ist das Betriebskonto unter `@pressekonto.com` (Betreiberangabe 13.10.2026). Ablauf der Bereinigung: `nachweise/bn-02-ablauf.md`.
 3. Zustimmungsgate (S12): seit 28.09.2026 mit Deploy 1b live, aber ausgeschaltet (`LEGAL_ACCEPTANCE_GATE=false`). Einschalten mit Deploy 3 zusammen mit AGB 0.7. Die Alt-API (`/service/…`, connektar) prüft das Gate nicht.
 4. Go-Live-Mails im Juli: nicht an alle. Konten mit laufendem Abonnement erhielten eine Mail zu Bestandsschutz und Relaunch; Konten mit Anmeldung im letzten Jahr eine Info-Mail zum Relaunch; beide mit Abmeldelink.
@@ -35,7 +35,7 @@ Betreiberangaben vom 12.10.2026, auf denen dieses Dokument aufbaut:
 | Archiv-Restdaten | Tombstone mit Akteur und Vermerken | Nur Kennungen, Zeitpunkte, Hash; Zugriffsprotokoll 395 Tage (E7) |
 | Archivdatensatz | Drei verschiedene Beschreibungen | Ein Datensatz, in DSE, Paket und Abwägung gleich (Abschnitt 4.4) |
 | Fehlerprotokoll | Absolute Zusage „keine Namen, IPs, Formularinhalte“ | Enger formuliert, Transportlogs getrennt genannt (F2) |
-| KI-Anbieter in DSE 10/8 | OpenAI, Gemini, Anthropic | Nur OpenAI, mit Zero Data Retention |
+| KI-Anbieter in DSE 10/8 | OpenAI, Gemini, Anthropic | Nur OpenAI; Standardspeicherung bis 30 Tage, keine Zero Data Retention (Korrektur 13.10.2026) |
 | Alt-API KI-Angabe | Setzt „ohne KI“ im Namen des Kunden | `not_declared`, keine Erklärung ohne Erklärenden (A6) |
 | Boost-Label | „Top-Platzierung“ | „Gebuchte Platzierung“ mit Erklärung (Abschnitt 6) |
 | AGB § 6 Abs. 2 | Kennt nur Startseiten-Boost | Kategorie-Boost und Kennzeichnung ergänzt (A1) |
@@ -149,13 +149,13 @@ Zugriff: nach Löschung der zwei Altkonten nur noch `@pressekonto.com` und Betre
 |---|---|---|
 | Vertragspartner | OpenAI Ireland Ltd. | Bestätigung in den Organisationseinstellungen |
 | AVV | Online-DPA von OpenAI | Abschlussdatum notieren |
-| Speicherung beim Anbieter | Zero Data Retention eingerichtet (Betreiberangabe) | Schriftliche Bestätigung oder Screenshot der Einstellung; prüfen, ob ZDR auch für Bildeingaben gilt, OpenAI nennt Ausnahmen |
-| Drittlandübermittlung | Datenresidenz EU verfügbar | Ob aktiviert: [ja/nein]; sonst SCC/DPF nennen |
+| Speicherung beim Anbieter | Keine Zero Data Retention (derzeit nicht beantragbar, Stand 13.10.2026); Standardspeicherung bis 30 Tage | Vor Aktivierung erneut prüfen, ob ZDR verfügbar ist und auch für Bildeingaben gilt |
+| Drittlandübermittlung | Keine EU-Datenresidenz (`api.openai.com`) | SCC laut DPA Ziff. 4 |
 | Art. 9 | Prüfung „Person erkennbar ja/nein“ ist keine biometrische Verarbeitung (kein Template, keine Identifizierung) | Bilder können zufällig besondere Kategorien zeigen; Grundlage dann Art. 9 Abs. 2 lit. f (Rechtsverteidigung) oder lit. e (vom Betroffenen veröffentlicht), Einzelfall |
 | DSFA | Keine Pflicht nach DSK-Muss-Liste (keine Bewertung persönlicher Aspekte, keine Überwachung) | Kurze Schwellwertprüfung dokumentieren |
 | Art. 22 | Automatische Ablehnung betrifft ein Bild, keine Person; Weg zum Menschen offen | nichts |
 
-**Frage an den Anwalt:** Genügen AVV, ZDR-Nachweis, Minimierung und die dokumentierte Schwellwertprüfung, oder will er eine förmliche DSFA?
+**Frage an den Anwalt:** Genügen AVV, Standardspeicherung von bis zu 30 Tagen, Minimierung und die dokumentierte Schwellwertprüfung, oder will er eine förmliche DSFA?
 
 ### F10 Art. 50 KI-VO für Portal-Updates · **R+** (zusammen mit A6)
 
@@ -468,7 +468,7 @@ Die drei Sätze aus F8.
 
 Ersetzt die Anbieterliste:
 
-> Für die automatisierte Analyse nutzen wir die Programmierschnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. Die Anbindung ist so eingerichtet, dass OpenAI die übermittelten Inhalte nicht speichert und nicht zum Training von Modellen verwendet (Zero Data Retention). Mit OpenAI besteht ein Vertrag zur Auftragsverarbeitung. [Falls Datenresidenz EU aktiv: Die Verarbeitung erfolgt in der EU. Sonst: Eine Verarbeitung in den USA ist möglich; sie erfolgt auf Grundlage von EU-Standardvertragsklauseln.] Setzen wir künftig weitere Anbieter ein, nennen wir sie hier.
+> Für die automatisierte Analyse nutzen wir die Programmierschnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. Mit OpenAI besteht ein Vertrag zur Auftragsverarbeitung. Nach Angaben von OpenAI werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training von Modellen verwendet und zur Erkennung von Missbrauch bis zu 30 Tage gespeichert. Eine Verarbeitung in den USA ist möglich; sie erfolgt auf Grundlage von EU-Standardvertragsklauseln. *(Fassung 13.10.2026, ohne ZDR)* Setzen wir künftig weitere Anbieter ein, nennen wir sie hier.
 
 ### 7 (Portale) Änderungslinks (Änderung)
 
@@ -533,7 +533,7 @@ Was dem Anwalt tatsächlich vorgelegt wird, sortiert nach Gewicht. Alles andere
 | 12 | Löschanfragen 1 bis 4 | Wie Abschnitt 4 | Handover |
 | 13 | Regresskette vollständig? | Mit den drei Ergänzungen aus A7 | A3, A7 |
 | 14 | Syndikationsvertrag nach Gliederung Abschnitt 8 entwerfen oder prüfen | Entwurf durch Anwalt | Roadmap 3.5 |
-| Später | KI-Bildprüfung: AVV, ZDR, Schwellwertprüfung ausreichend oder DSFA? | AVV plus Schwellwertprüfung | F9 |
+| Später | KI-Bildprüfung: AVV, 30-Tage-Speicherung, Schwellwertprüfung ausreichend oder DSFA? | AVV plus Schwellwertprüfung | F9 |
 | Später | Umami Kundenbereich, Newsletter: Aktivierungsbedingungen | Wie F6, F7 | |
 
 Als Information, keine Frage: F1, F3-Fristen, F4, F6, F7, F11, die Entscheidungen E1 bis E9, die DSE-Entwürfe aus Abschnitt 9.

dev/rechtliches/nachweise/README.md

@@ -22,16 +22,16 @@ Screenshots und Verträge (`*.png`, `*.pdf`) sind von Git ausgeschlossen und lie
 | `ui-03-bild-nachweiszeile.png` | ✅ | Hub-Ansicht mit Bestätigungsprotokoll („Rechte bestätigt am …, img-confirm-v2, AGB 0.6, form“) |
 | `ui-04-bild-detailfenster.png` | ✅ | Portal: Detailfenster und Zeile „Foto: … · KI-generiert“ unter dem Bild |
 | `ui-05-konto-sicherheit.png` | ✅ | enthält die eigene IP des Betreibers |
-| `ui-06-zustimmungsgate-dev.png` | ☐ | fehlt noch: Dialog „Neue Fassung unserer Bedingungen“ beim Einreichen. Lokal: `LEGAL_ACCEPTANCE_GATE=true` (steht in der lokalen `.env`), Testkonto mit aktiver Buchung, dessen Zeilen in `legal_document_acceptances` entfernen, dann Mitteilung ▸ „Zur Prüfung einreichen“. `ui-06b-buchung-agb-annahme.png` (✅) zeigt die AGB-Annahme beim Kauf, passend zu Frage 2 |
+| `ui-06-zustimmungsgate-dev.png` | ✅ | Dialog beim Einreichen mit „Neue Fassung unserer Bedingungen“ (AGB 0.6, Richtlinien 0.2). Dazu `ui-06b-buchung-agb-annahme.png` (✅): AGB-Annahme beim Kauf, passend zu Frage 2 |
 | `ui-07-ki-hinweis-text.png` | ✅ | Hinweiskasten über dem Text |
 | `avv-hetzner.pdf` | ✅ | Auswertung in [`bn-06-vertraege.md`](bn-06-vertraege.md) |
 | `avv-all-inkl.pdf` | ✅ | dito |
 | `cloudflare-dpf-2026-10-13-1.png`, `-2.png` | ✅ | Active – Re-certification under Review |
 | `cloudflare-dpa.pdf` | ✅ | |
-| `openai-dpa.pdf` | ✅ | unterzeichnet 13.10.2026 |
-| `openai-zdr.png` | ☐ | |
-| `openai-residency.png` | ☐ | Live nutzt laut Code `api.openai.com`, nicht den EU-Endpunkt |
-| [`bn-06-vertraege.md`](bn-06-vertraege.md) | ◐ | Vertragsübersicht; Abschlussdaten Hetzner/ALL-INKL offen |
+| `openai-dpa.pdf` | ✅ | Neuausfertigung 13.10.2026, DPA besteht seit vor dem Go-Live |
+| `openai-zdr.pdf` | ✅ | OpenAI-Artikel: ZDR für das Konto derzeit nicht beantragbar → DSE ohne ZDR-Zusage |
+| `openai-residency.png` | – | entfällt: `api.openai.com`, keine EU-Datenresidenz |
+| [`bn-06-vertraege.md`](bn-06-vertraege.md) | ✅ | Vertragsübersicht; alle Verträge seit vor dem Go-Live |
 | `openai-endpoints.md` | ◐ | aus dem Code; Live-Werte über BN-01 |
 | `stripe-dpa.pdf` | ✅ | |
 | `avv-fehlt.md` | – | nicht nötig, alle Verträge liegen vor |

dev/rechtliches/nachweise/bn-01-release-und-schalter.md

@@ -34,3 +34,26 @@ Die `grep`-Zeile gibt nur Schalter und Fristen aus, keine Schlüssel. Fehlt ein
 | AGB / DSE / Richtlinien laut `legal_documents` | aktive Fassungen | 0.6 / 0.3 / 0.2 | |
 
 **Muss stimmen, damit das Paket zutrifft:** `IMAGE_PRECHECK` aus (das Paket nennt D8 „ausgeschaltet“; in der lokalen Entwicklungsumgebung ist es an), `NEWSLETTER_SENDING_ENABLED` aus, `UMAMI_IDENTIFY_USERS` aus, `LEGAL_ACCEPTANCE_GATE` aus (laut Paket ausgeschaltet bis Deploy 3), `IMAGE_RIGHTS_V2` an (D1 „aktiv seit 28.09.2026“).
+
+
+
+
+Laravel Framework 12.69.3
+v1.9.0
+APP_ENV=production
+SESSION_DRIVER=redis
+CACHE_STORE=redis
+OPENAI_API_URL=https://api.openai.com/v1/chat/completions
+OPENAI_MODEL=gpt-5.4-mini
+IMAGE_RIGHTS_V2=false
+IMAGE_PRECHECK=false
+IMAGE_PRECHECK_STAGE=1
+LEGAL_ACCEPTANCE_GATE=false
+ARCHIVE_RETENTION_YEARS=3
+NEWSLETTER_SENDING_ENABLED=false
+UMAMI_ENABLED=false             # Webseiten
+UMAMI_PORTAL_ENABLED=false     # erst nach DSE-Anpassung
+UMAMI_IDENTIFY_USERS=false     # erst nach DSE-Anpassung
+agb: 0.6 ab 2026-07-03 00:00:00
+datenschutz: 0.3 ab 2026-07-03 00:00:00
+richtlinien: 0.2 ab 2026-09-22 00:00:00

dev/rechtliches/nachweise/bn-06-vertraege.md

@@ -2,16 +2,16 @@
 
 **Stand:** 13.10.2026 · Belege liegen als PDF/PNG in diesem Ordner (nicht im Repository, siehe `.gitignore`).
 
+**Abschluss:** Alle Verträge wurden vor dem Go-Live am 20.07.2026 geschlossen (Betreiberangabe 13.10.2026). Die Belege sind Neuausfertigungen bzw. Downloads vom 13.10.2026; daher tragen alle dieses Datum.
+
 | Dienst | Vertragspartner | Dokument | Fassung / Datum im Beleg | Übermittlung in Drittland | Anmerkung |
 |---|---|---|---|---|---|
-| Hosting, GlitchTip, Umami (Server) | Hetzner Online GmbH, Gunzenhausen | `avv-hetzner.pdf`, AV-Vertrag nach Art. 28 DSGVO, Kundennummer im Beleg | Fassung 1.2 vom 16.02.2026; von Hetzner gezeichnet „Gunzenhausen, den 13.10.2026“ | keine; Verarbeitung nur in EU/EWR (§ 3), Unterauftragnehmer außerhalb der EU nur für Standorte USA/Singapur | Unterschriftsfeld des Auftraggebers leer (Online-Abschluss). **Anlage 1** nennt nur „Personenstammdaten, Vertragsstammdaten“ und „Kunden und Interessenten“; deckt Website-Besucher (IP), Pressekontakte und Bilddaten nicht ausdrücklich ab. |
+| Hosting, GlitchTip, Umami (Server) | Hetzner Online GmbH, Gunzenhausen | `avv-hetzner.pdf`, AV-Vertrag nach Art. 28 DSGVO, Kundennummer im Beleg | Fassung 1.2 vom 16.02.2026; von Hetzner gezeichnet „Gunzenhausen, den 13.10.2026“ | keine; Verarbeitung nur in EU/EWR (§ 3), Unterauftragnehmer außerhalb der EU nur für Standorte USA/Singapur | Unterschriftsfeld des Auftraggebers leer (Online-Abschluss). **Anlage 1** am 13.10.2026 im Konto erweitert: Personenstamm-, Kommunikations-, Vertragsstamm-, Protokoll- sowie Abrechnungs- und Zahlungsdaten. Betroffene laut Formular nur „Kunden und Interessenten des Auftraggebers“; weitere Gruppen bietet das Formular nicht an. |
 | E-Mail (Versand, Rückläufer-Postfach) | ALL-INKL.COM – Neue Medien Münnich, Friedersdorf | `avv-all-inkl.pdf`, Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 | Stand 25.08.2026; Datum im Beleg 13.10.2026; Kundennummer im Beleg | keine genannt | Unterauftragnehmer Neue Medien Münnich GmbH. |
 | Turnstile | Cloudflare, Inc. | `cloudflare-dpa.pdf` (DPA als Teil der Nutzungsbedingungen, Annahme per Klick) | ohne Datum im Beleg | USA: EU-US Data Privacy Framework, Status am 13.10.2026 „Active – Re-certification under Review“, nächste Rezertifizierung fällig 15.09.2027 (`cloudflare-dpf-2026-10-13-1.png`, `-2.png`); zusätzlich SCCs im DPA | — |
-| Textprüfung (KI) | OpenAI Ireland Ltd. (Kunde mit Sitz im EWR) | `openai-dpa.pdf`, OpenAI Data Processing Addendum, DocuSign | beidseitig unterzeichnet am 13.10.2026; Organisations-ID im Beleg | Weitergabe an OpenAI-Gesellschaften außerhalb des EWR auf Basis von SCCs oder Angemessenheitsbeschluss (Ziff. 4) | Feld „Title“ beim Kunden mit „Herr“ ausgefüllt statt Funktion. ZDR und Datenresidenz sind im DPA nicht geregelt; Nachweis offen (`openai-zdr.png`, `openai-residency.png`). |
+| Textprüfung (KI) | OpenAI Ireland Ltd. (Kunde mit Sitz im EWR) | `openai-dpa.pdf`, OpenAI Data Processing Addendum, DocuSign | Neuausfertigung, beidseitig unterzeichnet am 13.10.2026; Organisations-ID im Beleg | Weitergabe an OpenAI-Gesellschaften außerhalb des EWR auf Basis von SCCs oder Angemessenheitsbeschluss (Ziff. 4) | Feld „Title“ beim Kunden mit „Herr“ ausgefüllt statt Funktion. Keine Zero Data Retention: derzeit nicht beantragbar; `openai-zdr.pdf` ist der OpenAI-Artikel vom 19.08.2026 (Update 22.09.2026), der ZDR für neuere Modelle ankündigt. Keine EU-Datenresidenz (`api.openai.com`). |
 | Zahlungen | Stripe | `stripe-dpa.pdf`, Data Processing Agreement als Teil des Stripe-Vertrags | „Last updated: September 28, 2026“ | Regelungen im DPA | Stripe ist je nach Verarbeitung Auftragsverarbeiter oder selbst Verantwortlicher; die DSE beschreibt Stripe als eigenständig verantwortlich. |
 
 ## Offen
 
-- **Abschlussdatum:** Alle Belege tragen das Datum 13.10.2026. Bei OpenAI ist das das Unterschriftsdatum. Bei Hetzner und ALL-INKL kann es das Abrufdatum oder das Abschlussdatum sein. Das tatsächliche Abschlussdatum steht im Hetzner-Konto (Robot/Konsole, Bereich Datenschutz) und im KAS. [Betreiber eintragen]
-- **Hetzner Anlage 1** im Konto um die tatsächlichen Datenarten und Betroffenen ergänzen, soweit das Formular es zulässt.
-- **OpenAI:** Nachweis zu Zero Data Retention und Datenresidenz.
+- Wiedervorlage: ZDR bei OpenAI erneut prüfen, sobald beantragbar; dann DSE-Abschnitt zur Inhaltsprüfung anpassen.

dev/rechtliches/nachweise/openai-endpoints.md

@@ -11,6 +11,7 @@
 | KI-Vorabprüfung von Bildern (D8) | `OpenAiImagePrecheckDriver` | `chat/completions` (Bild als base64) | `IMAGE_PRECHECK_MODEL`, sonst `OPENAI_MODEL` | nur mit `IMAGE_PRECHECK=true` |
 
 - Alle Anfragen enthalten nur `model`, `response_format: json_object` und `messages`. Authentifizierung per API-Schlüssel, ohne `OpenAI-Organization`- oder `OpenAI-Project`-Header. Welche Organisation und welches Projekt gelten, bestimmt also der Schlüssel.
-- Basis-URL ist `api.openai.com`, nicht `eu.api.openai.com`. Ein Projekt mit EU-Datenresidenz setzt nach OpenAI-Dokumentation den EU-Endpunkt voraus. Prüfen, bevor „Verarbeitung in der EU“ in die DSE kommt (`openai-residency.png`).
+- Basis-URL ist `api.openai.com`, nicht `eu.api.openai.com`; es gibt keine EU-Datenresidenz. Die DSE nennt deshalb eine mögliche Verarbeitung in den USA auf Grundlage von Standardvertragsklauseln.
+- Keine Zero Data Retention (Stand 13.10.2026, siehe `bn-06-vertraege.md`).
 - Andere KI-Anbieter (Gemini, Anthropic) sind nicht angebunden. Sie stehen nur in Kommentaren als „folgt später“.
 - Fällt OpenAI aus, prüft die Anwendung regelbasiert weiter (`deterministic`), ohne einen anderen Anbieter.