dev: Interessenabwägung Beweisarchiv (Entwurf), Anwaltspaket mit Hetzner Falkenstein und Backup-Rotation 14 Tage

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

dev/bildrechte/Decision-Update_Bildrechte_Beweisarchiv_2026-09-22.md

@@ -154,7 +154,7 @@ Version `richtlinien` in `legal_documents` hochzählen.
 >
 > Zugriff auf das Archiv haben nur Administratoren des Anbieters; jeder Zugriff wird protokolliert. Das Archiv wird für keinen anderen Zweck verwendet und nicht an Dritte weitergegeben, außer zur Rechtsverteidigung an unsere rechtlichen Berater oder auf gesetzlicher Grundlage an Behörden und Gerichte.
 >
-> Archiveinträge werden drei Jahre nach dem Ende des Jahres, in dem der Inhalt entfernt wurde, automatisch gelöscht. Läuft zu einem Inhalt eine rechtliche Auseinandersetzung, bleibt der Eintrag bis zu deren Abschluss einschließlich eines Rückgriffs bestehen. Die Löschung wird ohne Inhalt protokolliert. Sicherungskopien werden innerhalb von vier Wochen überschrieben; nach einer Wiederherstellung aus einer Sicherung werden bereits gelöschte Einträge erneut entfernt.
+> Archiveinträge werden drei Jahre nach dem Ende des Jahres, in dem der Inhalt entfernt wurde, automatisch gelöscht. Läuft zu einem Inhalt eine rechtliche Auseinandersetzung, bleibt der Eintrag bis zu deren Abschluss einschließlich eines Rückgriffs bestehen. Die Löschung wird ohne Inhalt protokolliert. Sicherungskopien werden innerhalb von 14 Tagen überschrieben *(korrigiert 09.10.2026, Backup-Rotation 14 Tage)*; nach einer Wiederherstellung aus einer Sicherung werden bereits gelöschte Einträge erneut entfernt.
 
 **Zeile für Abschnitt 13 (Speicherdauer):**
 

dev/rechtliches/anwaltspaket-datenschutz-2026-10.md

@@ -50,7 +50,7 @@ Weitere Fristen aus diesem Bereich, die die DSE bisher nicht nennt: Entwürfe un
 
 ### D2 — Fehlerprotokoll (GlitchTip)
 
-Tritt im Server oder im Browser ein technischer Fehler auf, wird ein Fehlerbericht an eine selbst gehostete GlitchTip-Instanz übermittelt (errors.adametz.media, Server: [Betreiber: Anbieter und Standort ergänzen]).
+Tritt im Server oder im Browser ein technischer Fehler auf, wird ein Fehlerbericht an eine selbst gehostete GlitchTip-Instanz übermittelt (errors.adametz.media). Der Server steht bei der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland); auf demselben Server läuft die Webanalyse Umami.
 
 - **Inhalt:** Fehlermeldung und Programmstelle, aufgerufene Adresse und Herkunftsseite (Abfrageparameter bis auf eine Freigabeliste entfernt, Token und Signaturen ersetzt), Browser und Betriebssystem, Softwarestand, bei angemeldeten Nutzern **nur die interne Nutzer-ID**.
 - **Nicht enthalten:** IP-Adresse, Name, E-Mail-Adressen (in Fehlertexten automatisch ersetzt), Cookies, Formularinhalte und Request-Bodys. Seit dem nächsten Release werden auch die Begleitdaten von Protokollschritten („Breadcrumbs“) entfernt.
@@ -108,7 +108,7 @@ Stil und Aufbau wie die bestehende DSE. Abschnittsnummern vorläufig; die Einord
 
 ### 3a. Fehlerprotokoll (neu, nach Abschnitt 3)
 
-> Um technische Fehler schnell zu erkennen und zu beheben, übermitteln unsere Server und — nur wenn in Ihrem Browser ein Fehler auftritt — Ihr Browser einen Fehlerbericht an eine von uns selbst betriebene Fehlerdatenbank (GlitchTip) auf einem Server bei [Anbieter, Standort].
+> Um technische Fehler schnell zu erkennen und zu beheben, übermitteln unsere Server und — nur wenn in Ihrem Browser ein Fehler auftritt — Ihr Browser einen Fehlerbericht an eine von uns selbst betriebene Fehlerdatenbank (GlitchTip) auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Deutschland).
 >
 > Dabei werden insbesondere verarbeitet:
 > - Fehlermeldung, betroffene Programmstelle und Zeitpunkt,
@@ -172,6 +172,8 @@ Stil und Aufbau wie die bestehende DSE. Abschnittsnummern vorläufig; die Einord
 > - IP-Adressen aus Formularanfragen werden nach 90 Tagen entfernt.
 > - Entwürfe und nie veröffentlichte, abgelehnte Pressemitteilungen werden 180 Tage nach der letzten Änderung gelöscht.
 > - Beweisarchiv zu entfernten Inhalten und Bildern (Abschnitte 9a, 9b): drei Jahre nach Ende des Jahres der Entfernung, bei laufender Auseinandersetzung bis zu deren Abschluss.
+>
+> Geänderter Satz am Ende von Abschnitt 13: „Gelöschte Daten können in Sicherungskopien noch bis zu 14 Tage enthalten sein.“ (bisher „bis zu vier Wochen“; gleiche Korrektur im Entwurf 9b: „Sicherungskopien werden innerhalb von 14 Tagen überschrieben“).
 
 ---
 
@@ -195,24 +197,26 @@ Stil und Aufbau wie die bestehende DSE. Abschnittsnummern vorläufig; die Einord
 
 ## 6. Weitere Punkte für dieselbe Sitzung
 
-- **Paket Bildrechte** (Anlage 1, Abschnitt 7): Agenda A1–A7, AGB 0.7 (§ 8a, § 9), DSE 9a/9b, Bestätigungstext v3, Zustimmungsgate für Bestandskunden; dazu die vier offenen Fragen zu Löschanfragen.
+- **Paket Bildrechte** (Anlage 1, Abschnitt 7; Interessenabwägung Anlage 2): Agenda A1–A7, AGB 0.7 (§ 8a, § 9), DSE 9a/9b, Bestätigungstext v3, Zustimmungsgate für Bestandskunden; dazu die vier offenen Fragen zu Löschanfragen.
 - **Syndikationsvertrag** als Standarddokument (Roadmap 3.5).
-- **Boost-Platzierung:** Hinweis zur Kennzeichnung bezahlter Platzierungen (Anlage 3).
+- **Boost-Platzierung:** Hinweis zur Kennzeichnung bezahlter Platzierungen (Anlage 4).
 - **Refund-Regel** für Buchungen festschreiben (heute Einzelfall über Stripe).
 
 ---
 
 ## 7. Vor dem Versand vom Betreiber zu klären
 
-- Anbieter und Standort des Servers für GlitchTip und Umami (sys.adametz.media / errors.adametz.media) eintragen.
-- Bestätigen: Rotation der Datensicherungen tatsächlich „bis zu vier Wochen“ (Abschnitt 13); Webserver-Zugriffsprotokoll bei Ploi ist abgeschaltet — Abschnitt 3 beschreibt dennoch Server-Logs mit 14 Tagen (Fehlerprotokoll des Webservers?).
-- Interessenabwägung zum Beweisarchiv (Decision-Update 4.4) als eigenes Dokument beilegen — die DSE 9a sagt „Eine dokumentierte Abwägung liegt vor“.
+- ~~Anbieter und Standort des Servers für GlitchTip und Umami~~ — Hetzner, Falkenstein (Betreiber, 09.10.2026).
+- ~~Rotation der Datensicherungen~~ — **14 Tage** (Betreiber, 09.10.2026). Die DSE sagt bisher „bis zu vier Wochen“ (Abschnitt 13), der Entwurf 9b „innerhalb von vier Wochen überschrieben“ — beides in 0.4 auf 14 Tage (siehe Abschnitt 4, Zeilen für 13).
+- Offen: Webserver-Zugriffsprotokoll bei Ploi ist abgeschaltet — Abschnitt 3 beschreibt dennoch Server-Logs mit 14 Tagen (gemeint ist das Fehlerprotokoll des Webservers?).
+- Interessenabwägung zum Beweisarchiv als eigenes Dokument beilegen: Entwurf [`interessenabwaegung-beweisarchiv-2026-10.md`](interessenabwaegung-beweisarchiv-2026-10.md), vom Betreiber zu prüfen, zu datieren und abzuzeichnen.
 - Screenshots: Bild-Upload-Formular mit Rechtebestätigung, Nachweiszeile unter dem Bild, Sicherheitsseite.
 - Umsetzung D9 (IP-Fristen) und die Löschfristen aus D5 vor Inkrafttreten der DSE 0.4 live haben (D5: nächstes Release).
 
 ## Anlagen
 
 1. Decision-Update Bildrechte und Beweisarchiv vom 22.09.2026 (`dev/bildrechte/Decision-Update_Bildrechte_Beweisarchiv_2026-09-22.md`), Abschnitte 3, 4, 7, 8
-2. Aktuelle DSE (Fassung 0.3 mit 5a und 6a), AGB 0.6
-3. Boost-Platzierung (`dev/archive/release/boost-platzierung-offen.md`)
-4. Screenshots (siehe Abschnitt 7)
+2. Interessenabwägung Beweisarchiv (`dev/rechtliches/interessenabwaegung-beweisarchiv-2026-10.md`)
+3. Aktuelle DSE (Fassung 0.3 mit 5a und 6a), AGB 0.6
+4. Boost-Platzierung (`dev/archive/release/boost-platzierung-offen.md`)
+5. Screenshots (siehe Abschnitt 7)

dev/rechtliches/interessenabwaegung-beweisarchiv-2026-10.md

@@ -0,0 +1,90 @@
+# Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO
+
+## Bild-Originale, Rechtebestätigung und Beweisarchiv
+
+**Verantwortlicher:** [Name/Firma und Anschrift wie in Abschnitt 1 der Datenschutzerklärung]
+**Angebot:** pressekonto.com, presseecho.de, businessportal24.com
+**Fassung:** Entwurf vom 09.10.2026 · **in Kraft gesetzt am:** [Datum] · **nächste Überprüfung:** [Datum, spätestens 12 Monate]
+
+Dieses Dokument hält die Abwägung fest, auf die sich die Abschnitte 9a und 9b der Datenschutzerklärung stützen („Eine dokumentierte Abwägung liegt vor“). Es dient dem Nachweis nach Art. 5 Abs. 2 DSGVO und wird auf Anfrage der Aufsichtsbehörde vorgelegt. Grundlage ist die Kurzfassung im Decision-Update Bildrechte vom 22.09.2026 (Abschnitt 4.4), abgeglichen mit dem technischen Stand vom 09.10.2026.
+
+---
+
+## 1. Gegenstand der Verarbeitung
+
+| Teil | Was | Wann | Wie lange |
+|---|---|---|---|
+| A | Hochgeladene **Originaldatei** eines Bildes mit ihren Metadaten (z. B. Kameradaten, Urheberangaben, Herkunftsdaten), die **veröffentlichte Fassung** mit Bildnachweis und KI-Kennzeichnung, das Ergebnis der automatischen **Herkunftsauswertung** | bei jedem veröffentlichten Bild einer Pressemitteilung | solange die Mitteilung mit dem Bild veröffentlicht ist |
+| A | **Rechtebestätigung** des Hochladenden: Zeitpunkt, bestätigter Wortlaut und AGB-Fassung, Konto bzw. API-Zugang, Firma, Übermittlungsweg, Prüfsumme der Datei, Angaben zu Bildnachweis und KI, ein mit geheimem Schlüssel gebildeter Prüfwert der IP-Adresse (HMAC), Browserkennung (auf 250 Zeichen gekürzt) | bei jedem Bild-Upload | wie oben |
+| B | **Beweisarchiv:** zuletzt veröffentlichter Stand der Mitteilung einschließlich der darin genannten Pressekontakte (Name, E-Mail, Telefon), Angaben zum Einreicher (Konto, Name, E-Mail, Firma), die Daten aus Teil A zu den Bildern, Zeitpunkte von Veröffentlichung und Entfernung, Grund als Kategorie, bei Änderungen der vorherige und der neue Stand, bei Meldeverfahren die E-Mail-Adresse des Antragstellers | wenn eine Mitteilung oder ein Bild aus dem öffentlichen Angebot entfernt, ersetzt oder geändert wird | drei Jahre nach Ende des Jahres der Entfernung; bei laufender Auseinandersetzung bis zu deren Abschluss |
+| B | **Zugriffsprotokoll** zum Archiv: Administrator, Aktion, angegebener Zweck, Zeitpunkt | bei jedem Zugriff | [Frist festlegen — bisher unbefristet] |
+
+**Nicht erfasst:** Bilder, die hochgeladen, aber nie veröffentlicht werden (sofortige Löschung mit Löschung oder Ersetzung), Entwürfe ohne Veröffentlichung, Nutzungs- oder Verhaltensdaten.
+
+**Betroffene Personen:** Kontoinhaber und ihre Mitarbeiter (Einreicher), in Mitteilungen genannte Pressekontakte, auf Bildern abgebildete Personen, Urheber und Rechteinhaber, Antragsteller im Melde- und Löschverfahren.
+
+---
+
+## 2. Berechtigtes Interesse
+
+1. **Nachweis gegenüber Rechteinhabern:** Macht ein Urheber oder Lizenzgeber Ansprüche wegen eines veröffentlichten Bildes geltend (§§ 97 ff. UrhG), muss belegbar sein, welche Datei mit welchen Angaben eingereicht wurde und was der Kunde dazu bestätigt hat.
+2. **Nachweis gegenüber abgebildeten Personen** (§§ 22, 23 KUG) und Betroffenen, auch bei Schadensersatzforderungen nach Art. 82 DSGVO.
+3. **Rückgriff gegen den Kunden**, der die Rechte zugesichert hat (AGB § 8 Abs. 2, künftig § 8a).
+4. **Nachweis gegenüber Behörden und Gerichten**, insbesondere zu Melde- und Abhilfeverfahren nach dem Digital Services Act und zur KI-Kennzeichnung (Art. 50 KI-VO).
+5. **Nachvollziehbarkeit der eigenen KI-Kennzeichnung**, die das Portal aus den Herkunftsdaten setzt.
+
+Diese Interessen sind rechtlich anerkannt (Rechtsdurchsetzung und -verteidigung) und konkret: Bildrechte-Abmahnungen sind bei Presseportalen ein typisches Risiko, und nach einer Entfernung auf Antrag liegt der Inhalt sonst nirgends mehr vor.
+
+---
+
+## 3. Erforderlichkeit
+
+| Datum | Warum erforderlich | Geprüfte mildere Mittel |
+|---|---|---|
+| Originaldatei mit Metadaten | Nur das Original zeigt, welche Urheber- und Herkunftsangaben der Kunde mitgeliefert hat; die öffentlichen Varianten sind verkleinert und ohne Metadaten | Nur Prüfsumme und Metadatenauszug speichern: belegt die Identität einer vorgelegten Datei, aber nicht deren Inhalt, wenn der Anspruchsteller ein abweichendes Bild vorlegt. **Rückfallebene**, falls die Abwägung anders ausfällt: Originale ohne Herkunftsdaten auf Prüfsumme und Auszug reduzieren (Decision-Update Abschnitt 8) |
+| Rechtebestätigung mit Wortlaut, Fassung, Konto, Zeitpunkt | Belegt, wer was wann zugesichert hat — Grundlage des Rückgriffs | keines; ohne diese Angaben ist die Bestätigung nicht nachweisbar |
+| IP-Prüfwert und Browserkennung | Zusätzlicher Beleg, dass die Bestätigung aus der Sitzung des Kontos stammt (z. B. bei bestrittener Abgabe durch einen Mitarbeiter) | IP im Klartext — verworfen; nur HMAC mit geheimem Schlüssel. Browserkennung: weitere Kürzung möglich (Frage an den Anwalt) |
+| Archiv: letzter veröffentlichter Stand mit Pressekontakten | Belegt, was öffentlich war, auch nach Löschung auf Antrag | Nur Text ohne Kontaktangaben — verworfen, weil die Kontaktangaben Teil der beanstandeten Veröffentlichung sein können |
+| Archiv: bei Änderungen alter und neuer Stand | Belegt Umfang und Zeitpunkt einer Korrektur | nur der neue Stand — verworfen, die Korrektur wäre nicht belegbar |
+| Frist drei Jahre nach Jahresende | Entspricht der regelmäßigen Verjährung (§§ 195, 199 BGB) für Ansprüche aus Urheber-, Persönlichkeits- und Vertragsrecht | kürzere Frist: Ansprüche könnten nach Löschung des Nachweises noch geltend gemacht werden |
+
+---
+
+## 4. Abwägung mit den Interessen der Betroffenen
+
+**Art der Daten:** überwiegend Daten, die zuvor öffentlich waren (Mitteilung, Bild, Pressekontakt) oder geschäftlich vom Kunden selbst angegeben wurden. Keine besonderen Kategorien nach Art. 9 DSGVO, sofern ein Bild nicht ausnahmsweise solche erkennen lässt. Original-Metadaten können Standortdaten und Geräteseriennummern enthalten; sie werden nicht veröffentlicht.
+
+**Vernünftige Erwartungen:** Der Hochladende gibt die Bestätigung ausdrücklich und wird dabei auf AGB und Datenschutzerklärung hingewiesen. Bei einem Presseportal ist erwartbar, dass Veröffentlichungen und Zusicherungen zu Bildrechten dokumentiert werden. Pressekontakte und abgebildete Personen rechnen nicht mit einer Archivierung nach der Entfernung; die Archivierung ist aber nicht öffentlich und dient allein der Rechtsverteidigung.
+
+**Auswirkungen auf die Betroffenen:** gering. Das Archiv erweitert die Kenntnis niemandes; es ist nicht öffentlich, wird für keinen anderen Zweck verwendet und nicht ausgewertet. Für Antragsteller einer Löschung bleibt der öffentliche Zustand entfernt.
+
+**Schutzmaßnahmen:**
+
+- Archiv verschlüsselt (AES-256) mit eigenem Schlüssel, getrennt vom Anwendungsschlüssel, außerhalb des öffentlich erreichbaren Speichers
+- Zugriff nur für Administratoren, nur mit Angabe eines Zwecks, jeder Zugriff protokolliert
+- Originaldateien nie öffentlich; öffentliche Bildfassungen ohne Standort-, Geräte- und technische Metadaten
+- IP-Adresse nur als HMAC
+- automatische Löschung nach Fristablauf mit inhaltslosem Löschvermerk; nach einer Wiederherstellung aus der Sicherung werden bereits gelöschte Einträge erneut entfernt; Sicherungen werden nach 14 Tagen überschrieben
+- Datensparsamkeit: nie veröffentlichte Bilder und Entwürfe werden nicht archiviert
+- Verlängerung über die Frist hinaus nur bei dokumentierter rechtlicher Auseinandersetzung (Legal Hold), danach neue Frist ab Abschluss
+
+**Betroffenenrechte:** Auskunft wird erteilt. Löschanträge zu Archiveinträgen werden unter Berufung auf Art. 17 Abs. 3 lit. e DSGVO abgelehnt, solange die Frist läuft; der öffentliche Inhalt wird entfernt. Bei einem Widerspruch nach Art. 21 DSGVO wird im Einzelfall geprüft, ob zwingende schutzwürdige Gründe (Rechtsverteidigung) überwiegen; das Ergebnis wird am Vorgang vermerkt.
+
+---
+
+## 5. Ergebnis
+
+Die Interessen des Verantwortlichen an Nachweis, Rechtsverteidigung und Rückgriff überwiegen. Die Daten sind auf das für diese Zwecke Erforderliche beschränkt, überwiegend zuvor öffentlich, nicht öffentlich zugänglich, verschlüsselt und zugriffsprotokolliert gespeichert und werden nach einer an der Verjährung ausgerichteten Frist automatisch gelöscht. Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO; für die Aufbewahrung trotz Löschantrag auf Art. 17 Abs. 3 lit. e DSGVO.
+
+---
+
+## 6. Offene Punkte und Überprüfung
+
+- [ ] Frist für das Zugriffsprotokoll des Archivs festlegen (Vorschlag: wie der Archiveintrag, Löschung mit dessen Löschvermerk).
+- [ ] Restore-Übung durchführen (Roadmap 5.1): Die Zusage „nach einer Wiederherstellung werden gelöschte Einträge erneut entfernt“ ist technisch umgesetzt, aber noch nicht in einer Übung nachgewiesen.
+- [ ] Anwaltliche Prüfung (Agenda A4: pauschale Drei-Jahres-Frist für alle Ereignistypen, Speicherung des Originals).
+- Überprüfung dieses Dokuments: nach der Anwaltsantwort, bei Einführung der C2PA-Prüfung (Block I), bei Bildern im Newsroom (Block J) und spätestens nach 12 Monaten.
+
+---
+
+**Abgezeichnet:** [Name], [Funktion], [Ort, Datum]