recht: Meldeverfahren v2 Phasen 5+7 — DSGVO-Strukturformular, 10-€-Checkout mit KI-Vorprüfung, Triage & Panel-Modal

Phase 7 (Spur D, E2 revidiert): KI-Vorprüfung VOR der Zahlung im Modal —
rot lehnt ohne Zahlung ab, gelb/grün führt zum Stripe-Checkout
(SinglePurchaseType::Change, 10 € netto), nach Zahlungseingang übernimmt
der Webhook die geprüfte Fassung sofort (applyPaid: Snapshot, Sperre,
Verlauf). Nur einmal je PM; Obergrenze legal.change_max_distance_percent
(50 %) verhindert die verdeckte Selbst-Depublizierung.

Phase 5 (Spur B): strukturiertes Schwärzungsformular mit Pflicht-Vorschau
im verifizierten Web-Bereich UND als Modal im Kunden-Panel; Admin-Editor
wird aus payload.redaction vorbefüllt. Umsetzungsmail LegalRequestExecuted
an Antragsteller, Bestätigungsmail PressReleaseChangeApplied (Spur A/D,
neuer abbestellbarer Typ press_release_corrected).

Außerdem:
- Re-Sync-Sperre + Sitemap-Invalidierung fest in depublish() verankert
  (Lücke im bezahlten Webhook-Pfad geschlossen)
- Öffentliche „Rechtliches"-Seite als zweistufige Triage: primär der
  Portal-Anmeldelink, Formular nur Fallback mit Identifizierungs-Hinweis;
  Store auf report/dsgvo/personal_rights gehärtet
- Panel-Button „Ändern/Melden" öffnet Anliegen-Modal (4 Spuren) statt
  des Web-Formulars
- Pressekontakt-Fallback für Legacy-Bestände (30k PMs ohne Verknüpfung):
  Detailseite + pressContactEmail() nutzen PM-Kontakt → Firmen-Kontakt →
  Firmendaten
- Korrektur-Gate entity-fest (Editor-Normalisierung zählt nicht als
  Änderung), toEditorHtml() in Admin-Edit + Korrektur-Panel,
  Wochenlimit-Hinweis in Text und Bremsen-Meldung

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Services/Billing/StripeCheckoutService.php

@@ -469,6 +469,31 @@ class StripeCheckoutService
         return $checkout;
     }
 
+    /**
+     * Stripe-Checkout für eine kostenpflichtige Änderung (Meldeverfahren v2,
+     * Spur D). Ad-hoc-Charge wie die Depublikation; der Webhook übernimmt
+     * die Änderung nach Zahlungseingang (CorrectionService::applyPaid).
+     */
+    public function forChange(User $user, SinglePurchase $purchase): Checkout
+    {
+        $this->syncCustomerFromBillingAddress($user);
+
+        $checkout = $user->checkout(
+            [$this->adHocLineItem($purchase->price_cents, 'Änderung einer veröffentlichten Pressemitteilung')],
+            [
+                ...$this->oneTimeSessionOptions($user),
+                'metadata' => ['single_purchase_id' => (string) $purchase->id],
+            ],
+        );
+
+        $this->recordCheckoutStarted($user, 'Änderung einer veröffentlichten Pressemitteilung', [
+            'kind' => 'press_release_change',
+            'single_purchase_id' => $purchase->id,
+        ]);
+
+        return $checkout;
+    }
+
     /**
      * Stripe-Checkout für eine Wallet-Aufladung. Ad-hoc-Charge über den
      * Netto-Paketpreis (Stripe Tax ergänzt die USt.); die `credit_topup_id`

app/Services/PressRelease/CorrectionRateLimitException.php

@@ -13,6 +13,12 @@ class CorrectionRateLimitException extends Exception
 {
     public function __construct()
     {
-        parent::__construct('Für diese Pressemitteilung wurden zuletzt bereits mehrere Korrekturen gespeichert. Bitte versuchen Sie es später erneut.');
+        $limit = (int) config('legal.corrections_per_week');
+
+        parent::__construct(trans_choice(
+            'Pro Woche ist höchstens eine kostenlose Korrektur je Pressemitteilung möglich — das Limit ist bereits erreicht. Bitte versuchen Sie es später erneut.|Pro Woche sind höchstens :count kostenlose Korrekturen je Pressemitteilung möglich — das Limit ist bereits erreicht. Bitte versuchen Sie es später erneut.',
+            $limit,
+            ['count' => $limit],
+        ));
     }
 }

app/Services/PressRelease/CorrectionService.php

@@ -11,8 +11,11 @@ use App\Models\PressRelease;
 use App\Models\PressReleaseRedactionSnapshot;
 use App\Models\User;
 use App\Services\ActivityLog;
+use App\Services\PressRelease\Classification\ClassificationManager;
+use App\Services\PressRelease\Classification\ClassificationResult;
 use App\Support\WebCaches;
 use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Log;
 
 /**
  * Kleine Korrektur (Meldeverfahren v2, Spur A — Phase 4): Selbstbedienungs-
@@ -30,13 +33,50 @@ class CorrectionService
         private readonly ActivityLog $activityLog,
         private readonly PressReleaseService $pressReleaseService,
         private readonly PressReleaseHtmlSanitizer $sanitizer,
+        private readonly ClassificationManager $classification,
     ) {}
 
+    /**
+     * KI-Vorprüfung des GEÄNDERTEN Inhalts (Spur D, vor der Zahlung): läuft
+     * auf einer nicht gespeicherten Kopie der PM mit den vorgeschlagenen
+     * Werten. Rot → keine Zahlung, Einreichung wird abgelehnt. Fällt der
+     * KI-Anbieter aus, greift der deterministische Fallback (Blacklist) —
+     * wie beim regulären Freigabelauf.
+     *
+     * @param  array<string, string|null>  $newValues
+     */
+    public function precheckProposedContent(PressRelease $pressRelease, array $newValues): ClassificationResult
+    {
+        $proposed = $pressRelease->replicate();
+
+        foreach (self::CORRECTABLE_FIELDS as $field) {
+            if (array_key_exists($field, $newValues)) {
+                $value = (string) ($newValues[$field] ?? '');
+                $proposed->setAttribute($field, $value !== '' ? $value : null);
+            }
+        }
+
+        try {
+            return $this->classification->driver()->classify($proposed);
+        } catch (\Throwable $e) {
+            Log::warning('KI-Vorprüfung (Spur D) fehlgeschlagen — deterministischer Fallback.', [
+                'press_release_id' => $pressRelease->id,
+                'error' => $e->getMessage(),
+            ]);
+
+            return $this->classification->driver('deterministic')->classify($proposed);
+        }
+    }
+
     /**
      * Einstufung klein/groß je Feld — verändert nichts.
      *
+     * `exceeds_paid_limit`: oberhalb von legal.change_max_distance_percent
+     * ist auch die kostenpflichtige Änderung (Spur D) nicht mehr buchbar —
+     * sonst ließe sich der Text faktisch selbst depublizieren.
+     *
      * @param  array<string, string|null>  $newValues
-     * @return array{fields: array<string, array{distance_percent: float, changed: bool}>, max_distance_percent: float, has_changes: bool, is_minor: bool}
+     * @return array{fields: array<string, array{distance_percent: float, changed: bool}>, max_distance_percent: float, has_changes: bool, is_minor: bool, exceeds_paid_limit: bool}
      */
     public function classify(PressRelease $pressRelease, array $newValues): array
     {
@@ -79,6 +119,7 @@ class CorrectionService
             'max_distance_percent' => $maxPercent,
             'has_changes' => $hasChanges,
             'is_minor' => $hasChanges && $allMinor,
+            'exceeds_paid_limit' => $maxPercent > (int) config('legal.change_max_distance_percent'),
         ];
     }
 
@@ -129,21 +170,7 @@ class CorrectionService
                 'fields' => $pressRelease->only(self::CORRECTABLE_FIELDS),
             ], $legalRequest);
 
-            foreach ($classification['fields'] as $field => $meta) {
-                if (! $meta['changed']) {
-                    continue;
-                }
-
-                $value = (string) ($newValues[$field] ?? '');
-
-                if ($field === 'text' && $this->sanitizer->isHtml($value)) {
-                    $value = $this->sanitizer->clean($value);
-                }
-
-                $pressRelease->setAttribute($field, $value !== '' ? $value : null);
-            }
-
-            $pressRelease->save();
+            $this->writeChangedFields($pressRelease, $classification['fields'], $newValues);
             $pressRelease->lockSync('Kleine Korrektur '.$legalRequest->reference());
 
             return $legalRequest;
@@ -176,6 +203,100 @@ class CorrectionService
         return $legalRequest;
     }
 
+    /**
+     * Führt eine BEZAHLTE Änderung (Spur D) nach Zahlungseingang aus: die
+     * neuen Werte kommen aus dem Payload der bei der Vorprüfung angelegten
+     * Change-Anfrage. Kein Minor-Gate und keine Wochen-Bremse — dafür die
+     * absolute Obergrenze (legal.change_max_distance_percent) und die
+     * bereits bestandene KI-Vorprüfung. Geht sofort live.
+     *
+     * @throws CorrectionTooLargeException wenn die Obergrenze doch reißt
+     */
+    public function applyPaid(PressRelease $pressRelease, LegalRequest $legalRequest, ?User $actor = null): bool
+    {
+        /** @var array<string, string|null> $newValues */
+        $newValues = (array) ($legalRequest->payload['new_values'] ?? []);
+        $classification = $this->classify($pressRelease, $newValues);
+
+        if ($classification['exceeds_paid_limit']) {
+            throw new CorrectionTooLargeException;
+        }
+
+        if (! $classification['has_changes']) {
+            Log::warning('Bezahlte Änderung ohne wirksame Feld-Änderung — nichts zu tun.', [
+                'legal_request_id' => $legalRequest->id,
+                'press_release_id' => $pressRelease->id,
+            ]);
+
+            return false;
+        }
+
+        DB::transaction(function () use ($pressRelease, $legalRequest, $classification, $newValues): void {
+            $legalRequest->forceFill([
+                'status' => LegalRequestStatus::Resolved->value,
+                'payload' => array_merge($legalRequest->payload ?? [], ['fields' => $classification['fields']]),
+                'resolved_at' => now(),
+                'executed_at' => now(),
+            ])->save();
+
+            PressReleaseRedactionSnapshot::capture($pressRelease, [
+                'fields' => $pressRelease->only(self::CORRECTABLE_FIELDS),
+            ], $legalRequest);
+
+            $this->writeChangedFields($pressRelease, $classification['fields'], $newValues);
+            $pressRelease->lockSync('Kostenpflichtige Änderung '.$legalRequest->reference());
+        });
+
+        WebCaches::forgetSitemaps();
+
+        $changedFields = collect($classification['fields'])
+            ->filter(fn (array $meta): bool => $meta['changed'])
+            ->keys()
+            ->implode(', ');
+
+        $this->activityLog->record(
+            ActivityType::Correction,
+            sprintf(
+                'Kostenpflichtige Änderung (%s) nach Zahlungseingang übernommen: Feld(er) %s, max. Distanz %.1f %%.',
+                $legalRequest->reference(),
+                $changedFields,
+                $classification['max_distance_percent'],
+            ),
+            user: $actor,
+            subject: $pressRelease,
+            meta: ['legal_request_id' => $legalRequest->id],
+        );
+
+        $this->pressReleaseService->reprocessAfterContentChange($pressRelease);
+
+        return true;
+    }
+
+    /**
+     * Schreibt die geänderten Felder (Text durch den Sanitizer) auf die PM.
+     *
+     * @param  array<string, array{distance_percent: float, changed: bool}>  $classifiedFields
+     * @param  array<string, string|null>  $newValues
+     */
+    private function writeChangedFields(PressRelease $pressRelease, array $classifiedFields, array $newValues): void
+    {
+        foreach ($classifiedFields as $field => $meta) {
+            if (! $meta['changed']) {
+                continue;
+            }
+
+            $value = (string) ($newValues[$field] ?? '');
+
+            if ($field === 'text' && $this->sanitizer->isHtml($value)) {
+                $value = $this->sanitizer->clean($value);
+            }
+
+            $pressRelease->setAttribute($field, $value !== '' ? $value : null);
+        }
+
+        $pressRelease->save();
+    }
+
     /**
      * Rückgängig machen (Admin): stellt die Feld-Werte aus dem verschlüsselten
      * Snapshot wieder her und hängt gelöste Kontakte wieder an. Bilder werden
@@ -249,13 +370,21 @@ class CorrectionService
     }
 
     /**
-     * Vergleichsbasis: HTML raus, Whitespace normalisiert — reine
-     * Markup-Änderungen zählen nicht als inhaltliche Distanz.
+     * Vergleichsbasis: HTML raus, Entities dekodiert, Whitespace normalisiert
+     * — reine Markup-Änderungen zählen nicht als inhaltliche Distanz. Wichtig,
+     * weil der Editor Bestands-HTML normalisiert (&nbsp; → Leerzeichen,
+     * &amp; → &, <br> → Absätze): ohne Dekodierung zählte jedes betroffene
+     * Wort als Änderung und bläht die Distanz auf.
      */
     private function comparableText(string $value): string
     {
-        $plain = strip_tags($value);
-        $collapsed = preg_replace('/\s+/u', ' ', $plain) ?? $plain;
+        // Blockgrenzen und <br> als Leerzeichen erhalten, damit strip_tags
+        // angrenzende Wörter nicht zu einem verklebt.
+        $spaced = preg_replace('#<br[^>]*>|</(p|div|h[1-6]|li|blockquote|tr|td|th)>#i', ' ', $value) ?? $value;
+        $plain = strip_tags($spaced);
+        $decoded = html_entity_decode($plain, ENT_QUOTES | ENT_HTML5, 'UTF-8');
+        $normalized = str_replace(["\u{00A0}", "\u{202F}", "\u{2007}"], ' ', $decoded);
+        $collapsed = preg_replace('/\s+/u', ' ', $normalized) ?? $normalized;
 
         return trim($collapsed);
     }

app/Services/PressRelease/PressReleaseService.php

@@ -21,6 +21,7 @@ use App\Models\User;
 use App\Scopes\PortalScope;
 use App\Services\ActivityLog;
 use App\Services\Admin\AdminPerformanceCache;
+use App\Support\WebCaches;
 use Illuminate\Support\Carbon;
 use Illuminate\Support\Facades\Auth;
 use Illuminate\Support\Facades\DB;
@@ -391,7 +392,15 @@ class PressReleaseService
      * erhält den Depublikations-Marker — die öffentliche Detail-URL zeigt
      * fortan einen Tombstone (410).
      */
-    public function depublish(PressRelease $pressRelease): void
+    /**
+     * Depubliziert eine veröffentlichte PM (Tombstone bleibt öffentlich).
+     *
+     * Setzt IMMER die Re-Sync-Sperre — sonst würde der nächste Importer-Lauf
+     * die Entfernung überschreiben (Meldeverfahren §7). Aufrufer können über
+     * $syncLockReason einen spezifischeren Grund (z. B. die Vorgangsnummer)
+     * ins Sperr-Protokoll geben.
+     */
+    public function depublish(PressRelease $pressRelease, ?string $syncLockReason = null): void
     {
         $this->assertStatus($pressRelease, [PressReleaseStatus::Published]);
 
@@ -401,6 +410,8 @@ class PressReleaseService
             'status' => PressReleaseStatus::Archived->value,
             'depublished_at' => now(),
         ]);
+        $pressRelease->lockSync($syncLockReason ?? 'Depublikation auf Wunsch des Absenders');
+        WebCaches::forgetSitemaps();
         $this->logStatusChange($pressRelease, $previous, PressReleaseStatus::Archived, 'Depublikation auf Wunsch des Absenders (kostenpflichtige Serviceleistung)', 'depublication');
     }
 

app/Services/Web/ReleaseDetailPageData.php

@@ -2,6 +2,7 @@
 
 namespace App\Services\Web;
 
+use App\Models\Contact;
 use App\Models\PressRelease;
 use App\Scopes\PortalScope;
 use App\Support\WebPortalContext;
@@ -62,6 +63,22 @@ class ReleaseDetailPageData
             abort(404);
         }
 
+        // Legacy-Importe kennen fast keine PM↔Kontakt-Verknüpfung — im
+        // Altsystem hingen Pressekontakte an der FIRMA. Ohne eigenen
+        // PM-Kontakt zeigt die Seite deshalb den Firmen-Kontakt (wie das
+        // Altsystem), statt den Block ganz wegzulassen.
+        if ($release->contacts->isEmpty() && $release->company_id) {
+            $companyContact = Contact::query()
+                ->withoutGlobalScopes()
+                ->where('company_id', $release->company_id)
+                ->orderBy('id')
+                ->first();
+
+            if ($companyContact) {
+                $release->setRelation('contacts', $release->contacts->push($companyContact));
+            }
+        }
+
         $releaseId = $release->getKey();
         defer(static fn () => PressRelease::recordDeferredView($releaseId));