dev: Entwurf Anwaltspaket Datenschutz (DSE 0.4, Fragen F1–F11)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

dev/README.md

@@ -19,6 +19,7 @@ liegen in `archive/`.
 | `betrieb/api-legacy-paritaet.md` | Verhaltens-Referenz der Legacy-API (`/service/…`), solange connektar die Alt-Pfade nutzt |
 | `sicherheit/` | Sicherheitsaudit 07.10., Entwicklungsplan Sicherheit (Wiedervorlage-Tabelle oben), Entwicklungsplan Spamschutz |
 | `bildrechte/` | Bildnachweis, KI-Kennzeichnung, Beweisarchiv: Entwicklungsplan Fassung 2 und Decision-Update 22.09. — maßgeblich bis Deploy 3 (Rechtstexte) und Blöcke I/J |
+| `rechtliches/` | Anwaltspaket Datenschutz Oktober 2026 (Entwurf): fehlende DSE-Abschnitte, Textentwürfe, Fragen |
 | `changelog/` | Decision-Update Changelog-Automatisierung (04.10., noch nicht begonnen) |
 | `glitch-tip/` | Fehlerprotokoll: API-Abruf, Triage-Ablauf, Regeln, Protokoll der Einträge |
 | `git-deploy-monitoring/` | Projektunabhängiger Baukasten (Git-Deploy, GlitchTip, Monitoring) für andere Laravel-Projekte |

dev/rechtliches/anwaltspaket-datenschutz-2026-10.md

@@ -0,0 +1,218 @@
+# Anwaltspaket Datenschutz und Rechtstexte — Oktober 2026
+
+**Stand:** 09.10.2026 · **Entwurf, vor Versand vom Betreiber zu prüfen**
+**Angebot:** pressekonto.com (Kundenbereich, „Hub“), presseecho.de und businessportal24.com (Portale)
+**Bezug:** Datenschutzerklärung (DSE) Version 0.3 vom 03.07.2026 mit späteren Ergänzungen 5a (21.09.) und 6a (09.10.); AGB 0.6; Decision-Update Bildrechte vom 22.09.2026
+
+Einordnungen in diesem Dokument sind technische Beschreibungen und Vorschläge, keine Rechtsberatung. Jede Frage nennt unseren Standpunkt („Default“), damit Sie bestätigen oder widersprechen können.
+
+---
+
+## 1. Anliegen
+
+Seit Juli sind mehrere Verarbeitungen hinzugekommen, die die DSE noch nicht oder nur pauschal beschreibt. Einige laufen bereits produktiv. Wir bitten um:
+
+1. Prüfung und Freigabe der Textentwürfe in Abschnitt 4 (neue DSE-Fassung 0.4),
+2. Antwort auf die Fragen in Abschnitt 5,
+3. die bereits angekündigte Prüfung des Pakets Bildrechte (Agenda A1–A7, Anlage 1) mit AGB 0.7 und den DSE-Abschnitten 9a/9b in derselben Sitzung.
+
+Die DSE ist eine Datei mit zwei Ausprägungen: Auf dem Hub erscheinen zusätzlich Kundenkonto, Magic-Link-Anmeldung und Stripe (Abschnitte 7–9), auf den Portalen stattdessen Änderungslinks, Medienprivileg und Newsroom. Die Nummerierung unterscheidet sich deshalb je Host (siehe Frage F1).
+
+---
+
+## 2. Übersicht
+
+| Nr. | Verarbeitung | Produktiv | In der DSE | Default Rechtsgrundlage | Default Frist |
+|---|---|---|---|---|---|
+| D1 | Bild-Originale, Rechtebestätigung, Beweisarchiv | seit 28.09.2026 | nein (Entwurf 9a/9b in Anlage 1) | Art. 6 Abs. 1 lit. f; Art. 17 Abs. 3 lit. e | Beweisarchiv 3 Jahre nach Jahresende |
+| D2 | Fehlerprotokoll (GlitchTip, selbst gehostet) | seit 05.10.2026 | nein | Art. 6 Abs. 1 lit. f | 90 Tage |
+| D3 | Anmeldesicherheit: Fehlversuche, Limits, Zwei-Faktor, Passkeys, Google-Login | schrittweise seit Juli, zuletzt 08.10.2026 | nein | Art. 6 Abs. 1 lit. b und f | siehe Text |
+| D4 | E-Mail-Zustellung: Rückläufer, Sperrliste, Abmeldung | seit 15.09.2026 | nur pauschal (Abschnitt 12) | Art. 6 Abs. 1 lit. f (Sperrliste zusätzlich lit. c) | Rückläufer 395 Tage, Sperrliste unbefristet |
+| D5 | Aktivitätsverlauf und API-Zugriffsprotokoll | seit Juli 2026 | nein | Art. 6 Abs. 1 lit. f | 395 bzw. 90 Tage (ab nächstem Release) |
+| D6 | Cloudflare Turnstile | seit 09.10.2026 | ja, Abschnitt 6a als Vorschlag | Art. 6 Abs. 1 lit. f; § 25 Abs. 2 Nr. 2 TDDDG | — |
+| D7 | Webanalyse im Kundenbereich mit pseudonymer Nutzer-ID | **nicht aktiv** | nein | Art. 6 Abs. 1 lit. f? | Umami-Aufbewahrung |
+| D8 | KI-Vorabprüfung von Bildern (OpenAI) | **nicht aktiv** | nein | Art. 6 Abs. 1 lit. f | keine Speicherung beim Anbieter |
+| D9 | IP-Adressen in Vorgangsdaten (Kontakt, Meldungen, Widerruf, Kündigung, Buchungsbestätigung) | seit Juli 2026 | nur „technische Metadaten“ | Art. 6 Abs. 1 lit. f | geplant 90 Tage, danach entfernt |
+| D10 | Newsletter an Kontoinhaber | Versand **gesperrt** | nein | offen (Frage F7) | — |
+
+---
+
+## 3. Sachverhalt je Verarbeitung
+
+### D1 — Bild-Originale, Rechtebestätigung, Beweisarchiv
+
+Ausführlich in Anlage 1 (Decision-Update Bildrechte, Abschnitte 3 und 4) mit Textentwurf 9a/9b. Zwei Abweichungen des tatsächlichen Stands vom dortigen Entwurf:
+
+- Ein Archiveintrag enthält neben dem zuletzt veröffentlichten Stand auch **Name, E-Mail und Telefon der Pressekontakte** der Mitteilung sowie **Name und E-Mail des Einreichers**; der Entwurf nennt nur „Konto und Firma“. Wir würden den Text ergänzen statt das Archiv zu kürzen, weil die Kontaktangaben Teil der veröffentlichten Fassung waren.
+- Die Browser-Kennung (User-Agent) wird auf 250 Zeichen gekürzt, nicht weiter reduziert. Der Entwurf spricht von einer „gekürzten Kennung“.
+
+Weitere Fristen aus diesem Bereich, die die DSE bisher nicht nennt: Entwürfe und nie veröffentlichte, abgelehnte Einreichungen werden 180 Tage nach der letzten Änderung samt Medien gelöscht; Bearbeitungsstände von Korrekturen nach 30 Tagen.
+
+### D2 — Fehlerprotokoll (GlitchTip)
+
+Tritt im Server oder im Browser ein technischer Fehler auf, wird ein Fehlerbericht an eine selbst gehostete GlitchTip-Instanz übermittelt (errors.adametz.media, Server: [Betreiber: Anbieter und Standort ergänzen]).
+
+- **Inhalt:** Fehlermeldung und Programmstelle, aufgerufene Adresse und Herkunftsseite (Abfrageparameter bis auf eine Freigabeliste entfernt, Token und Signaturen ersetzt), Browser und Betriebssystem, Softwarestand, bei angemeldeten Nutzern **nur die interne Nutzer-ID**.
+- **Nicht enthalten:** IP-Adresse, Name, E-Mail-Adressen (in Fehlertexten automatisch ersetzt), Cookies, Formularinhalte und Request-Bodys. Seit dem nächsten Release werden auch die Begleitdaten von Protokollschritten („Breadcrumbs“) entfernt.
+- Im Browser wird die Fehlerbibliothek erst beim ersten Fehler geladen, ohne Cookies und ohne Sitzungsverfolgung. Die Verbindung geht dann direkt vom Browser zum Fehlerserver.
+- **Frist:** 90 Tage (Einstellung der GlitchTip-Instanz).
+
+### D3 — Anmeldesicherheit
+
+- **Fehlgeschlagene Anmeldungen** mit unbekannter Adresse: nur ein Tageszähler je Einstieg und Quelle, die Quelle als gekürzter, mit geheimem Schlüssel gebildeter Hash der IP-Adresse; Löschung nach 90 Tagen.
+- Fehlgeschlagene Anmeldungen und Sperren **bekannter Konten**: Eintrag im Aktivitätsverlauf (Konto, Grund, gekürzter IP-Hash), Frist wie D5.
+- **Begrenzung von Anmeldeversuchen:** Zähler je IP-Adresse bzw. Adresse und IP im Zwischenspeicher, Verfall nach 1 bzw. 15 Minuten.
+- **Letzte Anmeldung:** Zeitpunkt und IP-Adresse der letzten Anmeldung am Konto, für den Kontoinhaber auf der Sicherheitsseite sichtbar (Hinweis bei fremden Anmeldungen). Wird bei jeder Anmeldung überschrieben, keine Historie.
+- **Zwei-Faktor-Authentifizierung** (Authenticator-App): verschlüsseltes Geheimnis und Wiederherstellungscodes am Konto.
+- **Passkeys:** öffentlicher Schlüssel und technische Kennungen des Authentifikators, vom Nutzer vergebener Name, Zeitpunkt der letzten Nutzung; das Gerät selbst und biometrische Daten verlassen das Gerät nicht.
+- **Anmeldung mit Google:** Bei Nutzung übermittelt Google Name, E-Mail-Adresse und eine Google-Kennung; wir speichern die Kennung am Konto. Google Ireland Ltd. / Google LLC (USA, EU-US Data Privacy Framework).
+- **Abmeldung anderer Geräte:** nur ein Zeitstempel am Konto.
+
+### D4 — E-Mail-Zustellung
+
+- **Rückläufer:** Unzustellbarkeitsmeldungen werden aus einem eigenen Postfach (bei ALL-INKL) abgeholt und ausgewertet: Empfängeradresse, Art und Text der Meldung, interne Referenz der auslösenden Mail. Frist 395 Tage.
+- **Sperrliste:** Adressen, die dauerhaft nicht zustellbar sind oder sich abgemeldet haben, erhalten keine Mails mehr. Die Sperrliste ist unbefristet, solange sie ihren Zweck erfüllt (Zusendung gegen den Willen bzw. an tote Adressen verhindern).
+- **Abmeldung:** Jede Benachrichtigung enthält einen Abmeldelink (auch per Ein-Klick-Abmeldung im Mailprogramm). Für Empfänger ohne Konto (z. B. Pressekontakte) wird die Abmeldung als Eintrag in der Sperrliste gespeichert.
+- Offener technischer Punkt: Die abgeholten Rückläufer-Mails bleiben bisher unbefristet in Ordnern des Postfachs; wir würden sie nach 90 Tagen löschen (Frage F5).
+
+### D5 — Aktivitätsverlauf und API-Zugriffsprotokoll
+
+- **Aktivitätsverlauf** (nur für Administratoren): Registrierungen, Anmeldungen mit Anmeldeweg, Statuswechsel von Mitteilungen, eingehende Anfragen, Mailversand mit Empfänger und Betreff, Administratorhandlungen. Enthält Namen und E-Mail-Adressen im Klartext. Zweck: Nachvollziehbarkeit, Missbrauchserkennung, Support. Kunden sehen ihre eigenen Anmeldungen auf der Sicherheitsseite. **Frist: 395 Tage** (ab dem nächsten Release, bisher keine).
+- **API-Zugriffsprotokoll:** je Anfrage an die Programmierschnittstelle Konto, Token, Methode, Pfad, Statuscode, Dauer, **IP-Adresse und User-Agent**. Zweck: Betrieb, Missbrauchserkennung, Abrechnungsnachweis. **Frist: 90 Tage** (ab dem nächsten Release, bisher keine).
+
+### D6 — Cloudflare Turnstile
+
+Abschnitt 6a ist seit 09.10.2026 als Vorschlag live. Ergänzend zum Text: Unser Server übermittelt bei der Prüfung zusätzlich die IP-Adresse des Nutzers an Cloudflare („remoteip“). Ist Cloudflare nicht erreichbar, wird das Formular angenommen und intern markiert.
+
+### D7 — Webanalyse im Kundenbereich (nicht aktiv)
+
+Umami (selbst gehostet, cookielos) läuft heute nur auf den öffentlichen Seiten. Geplant: auch im Kundenbereich, wahlweise mit **pseudonymer Nutzer-ID** („user-123“, ohne Name und E-Mail), um Bedienprobleme einem Konto zuordnen zu können, sowie mit Ladezeit-Messwerten (Web Vitals). Das widerspräche dem heutigen Satz „Es werden keine Nutzerprofile erstellt“ (Abschnitt 5). Wir schalten das erst nach Ihrer Antwort ein (Frage F6).
+
+### D8 — KI-Vorabprüfung von Bildern (nicht aktiv)
+
+Hochgeladene Bilder würden verkleinert (lange Kante 1024 px), ohne Metadaten und ohne Dateiname, Konto oder sonstige Kennung an OpenAI übermittelt und auf offensichtliche Probleme gesichtet (z. B. Wasserzeichen von Bildagenturen, unzulässige Inhalte, ob Personen erkennbar sind — keine Identifizierung). Das Ergebnis speichern wir mit der Rechtebestätigung (9a). Einschalten erst nach Abschluss eines Auftragsverarbeitungsvertrags und Freigabe des Absatzes.
+
+### D9 — IP-Adressen in Vorgangsdaten
+
+Bei Kontaktanfragen, Meldungen nach dem Meldeverfahren, Widerrufen, Kündigungen und Buchungsbestätigungen speichern wir die IP-Adresse des Absenders im Klartext, bisher ohne eigene Frist. Zweck: Missbrauchsabwehr und Nachweis des Eingangs. Vorschlag: IP-Adresse nach 90 Tagen entfernen, der Vorgang selbst folgt seiner fachlichen Frist (Meldedaten drei Jahre, Vertragsdaten gesetzliche Aufbewahrung).
+
+### D10 — Newsletter an Kontoinhaber (Versand gesperrt)
+
+Es gibt ein Kampagnenmodul für Mails an Kontoinhaber. Der Versand ist technisch gesperrt. Wir planen künftig nur Mails mit ausdrücklicher Einwilligung (Opt-in-Schalter im Konto, standardmäßig aus), z. B. einen monatlichen Rückblick auf Neuerungen.
+
+---
+
+## 4. Textentwürfe für die DSE 0.4
+
+Stil und Aufbau wie die bestehende DSE. Abschnittsnummern vorläufig; die Einordnung je Host klärt Frage F1. Platzhalter in eckigen Klammern.
+
+### 3a. Fehlerprotokoll (neu, nach Abschnitt 3)
+
+> Um technische Fehler schnell zu erkennen und zu beheben, übermitteln unsere Server und — nur wenn in Ihrem Browser ein Fehler auftritt — Ihr Browser einen Fehlerbericht an eine von uns selbst betriebene Fehlerdatenbank (GlitchTip) auf einem Server bei [Anbieter, Standort].
+>
+> Dabei werden insbesondere verarbeitet:
+> - Fehlermeldung, betroffene Programmstelle und Zeitpunkt,
+> - die aufgerufene Seite und die Herkunftsseite, bereinigt um Zugangs- und Bestätigungscodes,
+> - Browser, Betriebssystem und Softwarestand,
+> - wenn Sie angemeldet sind, Ihre interne Kundennummer.
+>
+> IP-Adressen, Namen, E-Mail-Adressen, Cookies und Formularinhalte werden nicht übermittelt; E-Mail-Adressen in Fehlermeldungen werden vor der Übermittlung unkenntlich gemacht. Im Browser wird die Fehlerkomponente erst beim Auftreten eines Fehlers geladen und setzt keine Cookies.
+>
+> Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und fehlerfreien Betrieb unseres Angebots. Fehlerberichte werden nach 90 Tagen gelöscht.
+
+### 7a. Anmeldung und Kontosicherheit (neu, Hub, nach Abschnitt 7)
+
+> Zum Schutz Ihres Kontos verarbeiten wir bei der Anmeldung folgende Daten:
+> - Zeitpunkt und IP-Adresse Ihrer letzten Anmeldung; beides sehen Sie auf der Seite „Konto-Sicherheit“, damit Ihnen fremde Anmeldungen auffallen. Die Angabe wird bei jeder Anmeldung überschrieben.
+> - Ihre Anmeldungen mit Zeitpunkt und Anmeldeweg (Passwort, Magic-Link, Google, Passkey) sowie fehlgeschlagene Anmeldeversuche und Sperren Ihres Kontos in unserem internen Aktivitätsverlauf. Die IP-Adresse wird dort nur als gekürzter, mit einem geheimen Schlüssel gebildeter Prüfwert gespeichert.
+> - Anmeldeversuche mit Adressen, zu denen kein Konto besteht, zählen wir nur als Tagessumme je Quelle (ebenfalls als gekürzter Prüfwert der IP-Adresse).
+> - Für die Begrenzung von Anmeldeversuchen zählen wir Fehlversuche je IP-Adresse für höchstens 15 Minuten im Arbeitsspeicher.
+>
+> Wenn Sie die Zwei-Faktor-Authentifizierung einrichten, speichern wir das Geheimnis Ihrer Authenticator-App und Ihre Wiederherstellungscodes verschlüsselt. Wenn Sie einen Passkey anlegen, speichern wir dessen öffentlichen Schlüssel, technische Kennungen des Authentifikators, den von Ihnen vergebenen Namen und den Zeitpunkt der letzten Nutzung; Ihr privater Schlüssel und biometrische Merkmale verlassen Ihr Gerät nicht. Über Hinzufügen und Entfernen eines Passkeys informieren wir Sie per E-Mail.
+>
+> Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung eines sicheren Kundenkontos) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugten Zugriffen). Einträge im Aktivitätsverlauf löschen wir nach 395 Tagen, Tagessummen fehlgeschlagener Anmeldungen nach 90 Tagen. Zwei-Faktor-Daten und Passkeys löschen wir, wenn Sie sie entfernen, spätestens mit Ihrem Konto.
+>
+> **Anmeldung mit Google.** Wenn Sie „Mit Google anmelden“ wählen, übermittelt uns Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Ihren Namen, Ihre E-Mail-Adresse und eine Google-Kennung; die Kennung speichern wir an Ihrem Konto, um Sie bei der nächsten Anmeldung zuzuordnen. Für die Anmeldung bei Google gilt dessen Datenschutzerklärung. Eine Übermittlung an Google LLC in den USA ist möglich; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
+
+### 7b. Aktivitätsverlauf und Programmierschnittstelle (neu, Hub)
+
+> Für die Nachvollziehbarkeit von Vorgängen, die Missbrauchserkennung und den Support führen wir einen internen Aktivitätsverlauf, auf den nur Administratoren Zugriff haben. Er enthält insbesondere Registrierungen und Anmeldungen, Statuswechsel von Pressemitteilungen, eingegangene Anfragen, versandte Benachrichtigungen mit Empfänger und Betreff sowie Handlungen von Administratoren. Einträge werden nach 395 Tagen gelöscht.
+>
+> Wenn Sie unsere Programmierschnittstelle (API) nutzen, protokollieren wir je Anfrage Ihr Konto und den verwendeten Zugangsschlüssel, die aufgerufene Funktion, das Ergebnis, die Dauer sowie IP-Adresse und Browser- bzw. Programmkennung. Das Protokoll dient dem Betrieb, der Missbrauchserkennung und dem Nachweis der Nutzung und wird nach 90 Tagen gelöscht.
+>
+> Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; bei der API-Nutzung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.
+
+### 12a. Zustellbarkeit und Abmeldung (Ergänzung zu Abschnitt 12)
+
+> Erhalten wir eine Meldung, dass eine E-Mail nicht zugestellt werden konnte, werten wir sie automatisch aus und speichern die Empfängeradresse, die Art und den Text der Meldung sowie eine interne Referenz der betroffenen E-Mail. Adressen, die dauerhaft nicht erreichbar sind, nehmen wir in eine Sperrliste auf und senden keine weiteren E-Mails an sie.
+>
+> Jede Benachrichtigung enthält einen Link zur Abmeldung; Ihr Mailprogramm kann die Abmeldung auch direkt auslösen. Haben Sie kein Kundenkonto — zum Beispiel als in einer Pressemitteilung genannter Pressekontakt —, speichern wir Ihre Abmeldung in derselben Sperrliste.
+>
+> Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der zuverlässigen Zustellung und darin, keine unerwünschten oder unzustellbaren E-Mails zu versenden. Für die Beachtung Ihrer Abmeldung ist die Speicherung zudem erforderlich, um Ihren Widerspruch dauerhaft umzusetzen. Zustellmeldungen löschen wir nach 395 Tagen; Einträge der Sperrliste bleiben bestehen, solange sie für diesen Zweck erforderlich sind.
+
+### 6 — Ergänzung zur Kontaktaufnahme (IP-Adresse)
+
+> Zum Schutz vor Missbrauch speichern wir bei Kontaktanfragen, Meldungen, Widerrufen und Kündigungen über unsere Formulare die IP-Adresse, von der die Anfrage gesendet wurde, und löschen sie nach 90 Tagen. Die übrigen Angaben speichern wir, solange es zur Bearbeitung und Dokumentation des Vorgangs erforderlich ist.
+
+*(setzt die Umsetzung von D9 voraus)*
+
+### 5 — Ergänzung Webanalyse im Kundenbereich (nur falls D7 eingeschaltet wird)
+
+> Im Kundenbereich auf pressekonto.com setzen wir Umami ebenfalls ein. Damit wir Bedienprobleme erkennen und beheben können, ordnen wir die Nutzung dort einer pseudonymen Kennung Ihres Kundenkontos zu (zum Beispiel „user-123“); Name und E-Mail-Adresse werden nicht übermittelt. Außerdem erfassen wir Ladezeiten der Seiten. Für die öffentlichen Seiten der Portale bleibt es bei der Erfassung ohne Personenbezug.
+
+### 9a — Ergänzung KI-Vorabprüfung von Bildern (nur falls D8 eingeschaltet wird)
+
+> Hochgeladene Bilder übermitteln wir in verkleinerter Form, ohne Metadaten und ohne Angaben zu Ihrem Konto an [OpenAI, L.L.C. / OpenAI Ireland Ltd.], wo sie automatisiert auf offensichtliche Probleme gesichtet werden (zum Beispiel Wasserzeichen von Bildagenturen, unzulässige Inhalte, ob Personen erkennbar sind; eine Identifizierung von Personen findet nicht statt). Eine Speicherung beim Anbieter zu eigenen Zwecken erfolgt nicht. Das Ergebnis speichern wir mit der Rechtebestätigung.
+
+### 13 — neue Zeilen in der Liste der Speicherfristen
+
+> - Fehlerberichte (Abschnitt 3a) werden nach 90 Tagen gelöscht.
+> - Einträge im Aktivitätsverlauf werden nach 395 Tagen gelöscht, Tagessummen fehlgeschlagener Anmeldungen nach 90 Tagen, das API-Zugriffsprotokoll nach 90 Tagen.
+> - Zustellmeldungen werden nach 395 Tagen gelöscht; Einträge der Sperrliste bleiben bestehen, solange sie erforderlich sind.
+> - IP-Adressen aus Formularanfragen werden nach 90 Tagen entfernt.
+> - Entwürfe und nie veröffentlichte, abgelehnte Pressemitteilungen werden 180 Tage nach der letzten Änderung gelöscht.
+> - Beweisarchiv zu entfernten Inhalten und Bildern (Abschnitte 9a, 9b): drei Jahre nach Ende des Jahres der Entfernung, bei laufender Auseinandersetzung bis zu deren Abschluss.
+
+---
+
+## 5. Fragen
+
+| Nr. | Frage | Unser Default |
+|---|---|---|
+| F1 | Nummerierung je Host: Die Bild-Abschnitte 9a/9b betreffen Uploads im Kundenbereich (Hub) und veröffentlichte Bilder (Portale). Gemeinsamer Abschnitt auf beiden Hosts mit eigener Nummer? | Ja, auf beiden Hosts als eigener Abschnitt hinter „Automatisierte Inhaltsprüfung“ |
+| F2 | Reicht für das Fehlerprotokoll (3a) lit. f ohne Einwilligung, auch für die Übermittlung aus dem Browser (§ 25 TDDDG: Laden der Fehlerkomponente erst im Fehlerfall, keine Speicherung auf dem Endgerät)? | Ja |
+| F3 | Aktivitätsverlauf mit Klarnamen und Adressen 395 Tage — verhältnismäßig, oder kürzere Frist für Anmeldeereignisse (z. B. 180 Tage)? | 395 Tage einheitlich, gleiche Frist wie Abschnitt 5a |
+| F4 | IP-Adresse der letzten Anmeldung im Klartext am Konto, für den Kunden sichtbar — vertretbar unter lit. f/b? | Ja, ohne Historie |
+| F5 | Sperrliste unbefristet, abgeholte Rückläufer-Mails im Postfach 90 Tage — tragfähig? Ist für die Sperrliste lit. c (Beachtung des Widerspruchs) neben lit. f zu nennen? | Ja / lit. f genügt |
+| F6 | Webanalyse im Kundenbereich mit pseudonymer Nutzer-ID (D7): lit. f ohne Einwilligung möglich, oder Einwilligung nötig? Muss der Satz „Es werden keine Nutzerprofile erstellt“ dann allgemein entfallen? | lit. f, Satz auf die Portale beschränken |
+| F7 | Newsletter an Kontoinhaber (D10): Reicht ein Opt-in-Schalter im Konto (Standard aus) mit Bestätigung per E-Mail? Ist Bestandskundenwerbung nach § 7 Abs. 3 UWG für die Altkonten aus den früheren Portalen (rund 60.000) überhaupt in Betracht zu ziehen? | Nur Opt-in, kein Rückgriff auf § 7 Abs. 3 UWG |
+| F8 | Turnstile (6a): Text freigeben; zusätzliche Übermittlung der IP-Adresse durch unseren Server ergänzen? | Ja, ergänzen |
+| F9 | KI-Vorabprüfung von Bildern (D8): reicht der AVV mit OpenAI und der Absatz, oder ist wegen der Prüfung „Personen erkennbar“ eine weitergehende Prüfung nötig (Art. 9 DSGVO, biometrische Daten)? | AVV und Absatz genügen; es findet keine Identifizierung statt |
+| F10 | Art. 50 Abs. 4 KI-VO für automatisch vorformulierte Eigenartikel („Portal-Updates“), die der Betreiber vor Veröffentlichung überarbeitet und freigibt — entfällt die Kennzeichnungspflicht durch die redaktionelle Verantwortung? Gleiche Frage für Kundenmeldungen (A6) | Ja, bei dokumentierter Überarbeitung |
+| F11 | Versionierung: Die DSE trägt noch „Version 0.3 vom 03.07.2026“, obwohl 5a und 6a ergänzt wurden. Neue Fassung 0.4 mit Änderungshinweis genügt? | Ja |
+
+---
+
+## 6. Weitere Punkte für dieselbe Sitzung
+
+- **Paket Bildrechte** (Anlage 1, Abschnitt 7): Agenda A1–A7, AGB 0.7 (§ 8a, § 9), DSE 9a/9b, Bestätigungstext v3, Zustimmungsgate für Bestandskunden; dazu die vier offenen Fragen zu Löschanfragen.
+- **Syndikationsvertrag** als Standarddokument (Roadmap 3.5).
+- **Boost-Platzierung:** Hinweis zur Kennzeichnung bezahlter Platzierungen (Anlage 3).
+- **Refund-Regel** für Buchungen festschreiben (heute Einzelfall über Stripe).
+
+---
+
+## 7. Vor dem Versand vom Betreiber zu klären
+
+- Anbieter und Standort des Servers für GlitchTip und Umami (sys.adametz.media / errors.adametz.media) eintragen.
+- Bestätigen: Rotation der Datensicherungen tatsächlich „bis zu vier Wochen“ (Abschnitt 13); Webserver-Zugriffsprotokoll bei Ploi ist abgeschaltet — Abschnitt 3 beschreibt dennoch Server-Logs mit 14 Tagen (Fehlerprotokoll des Webservers?).
+- Interessenabwägung zum Beweisarchiv (Decision-Update 4.4) als eigenes Dokument beilegen — die DSE 9a sagt „Eine dokumentierte Abwägung liegt vor“.
+- Screenshots: Bild-Upload-Formular mit Rechtebestätigung, Nachweiszeile unter dem Bild, Sicherheitsseite.
+- Umsetzung D9 (IP-Fristen) und die Löschfristen aus D5 vor Inkrafttreten der DSE 0.4 live haben (D5: nächstes Release).
+
+## Anlagen
+
+1. Decision-Update Bildrechte und Beweisarchiv vom 22.09.2026 (`dev/bildrechte/Decision-Update_Bildrechte_Beweisarchiv_2026-09-22.md`), Abschnitte 3, 4, 7, 8
+2. Aktuelle DSE (Fassung 0.3 mit 5a und 6a), AGB 0.6
+3. Boost-Platzierung (`dev/archive/release/boost-platzierung-offen.md`)
+4. Screenshots (siehe Abschnitt 7)

dev/roadmap.md

@@ -83,7 +83,9 @@ oder Release versehen.
 
 Mehrere Datenverarbeitungen laufen bereits, ohne dass die Datenschutzerklärung
 sie nennt. Das ist der größte offene Block und am besten **ein** Paket an den
-Anwalt.
+Anwalt. **Entwurf liegt vor:** [`rechtliches/anwaltspaket-datenschutz-2026-10.md`](rechtliches/anwaltspaket-datenschutz-2026-10.md)
+(Sachverhalt D1–D10, Textentwürfe DSE 0.4, Fragen F1–F11; vor dem Versand
+Abschnitt 7 des Pakets erledigen).
 
 | # | Punkt | Quelle | Aufwand |
 |---|---|---|---|