presseportale/dev/archive/rechtliches-2026-10/antworten-rueckfragen-anwaltspaket-2026-10-12.md

Antworten auf die Rückfragen zum Anwaltspaket

Korrektur 13.10.2026 (archiviert): Abschnitt 1 ist überholt. Die Juli-Mails wurden über das Newsletter-Modul versendet (21.07. an 10, 22.07. an 954 Konten), nicht über auth:send-go-live-mails. Belege: nachweise/.

Historischer Befund mit Ergänzungen: Die Korrekturen und Antworten präzisieren insbesondere Juli-Versand, OpenAI-Speicherung, Berechtigungen und geplante Portal-Updates. Die frühere Schlussfolgerung aus verbliebenen Reset-Tokens auf nicht versandte Mails ist nicht belastbar; Betreiberangaben und Versandnachweise sind getrennt zu berücksichtigen.

Stand: 12.10.2026 · Gehört zu: anwaltspaket-datenschutz-2026-10.md

Grundlage: Code (Release v1.8.0), Live-Seiten und Summen aus der lokalen Kopie der Live-Datenbank (Stand etwa 07.10.2026; nur Zählungen, keine Personendaten).

Status: ✅ aus Code und Daten beantwortet · ◐ teilweise, Rest beim Betreiber · ✗ nur der Betreiber weiß es

Nr.	Status	Kurzantwort
1	◐	Überwiegend Gratiskonten. Nach Datenlage nicht informiert. Die alte Datenschutzerklärung liegt nicht im Repository.
2	✅	Noch nicht gebaut. Weder Modell noch Protokoll der Überarbeitung stehen fest.
3	✅	Ja. Texte werden auf der Detailseite gekennzeichnet, Bilder am Bild, im Bildnachweis und im Vorschaubild.
4	◐	Credits verfallen technisch nicht. Agency ist monatlich kündbar. Eine Erstattung gibt es im System nicht. Überweisung nur bei Altkunden.
5	◐	OpenAI-Aufrufe ohne Speicherung (store). Ob die Verträge vorliegen, weiß nur der Betreiber. Gemini und Anthropic stehen in der DSE, werden aber nicht genutzt.
6	✅	6 Konten mit Admin-Rechten, davon 3 aktiv. Mails an Nichtkunden werden mit Adresse und Betreff protokolliert.
7	◐	Die Zähler liegen in Redis, nicht im Arbeitsspeicher von PHP. Ob Redis auf die Platte schreibt, zeigt nur der Server.
8	◐	Nutzer-ID nur im Kundenbereich des Hubs, derzeit ausgeschaltet. Die Frist für Rohdaten ist eine Einstellung der Instanz.
9	✅	Einzelunternehmen „adametz.media, Inhaber Kevin Adametz“, so auch im Impressum.

---

1. Altkonten (F7, § 7 Abs. 3 UWG) — ◐

Zahlen

• 66.368 übernommene Konten: 50.485 von businessportal24, 15.883 von presseecho.
• Angelegt zwischen Juli 2010 und Juli 2026; 59.602 davon sind aktiv.
• 46.627 Konten haben mindestens eine Mitteilung veröffentlicht.
• Nur 445 Konten haben je eine Rechnung bekommen. Das sind 887 Rechnungen von 2010 bis 2026, bezahlt per PayPal (475) und Überweisung (rund 300).
• Weit über 99 % sind also Gratiskonten. Auf den alten Portalen war Veröffentlichen kostenlos.

Information bei der Migration

• Nach der Datenlage wurden die Konten nicht informiert. Der Befehl auth:send-go-live-mails erzeugt pro Konto ein Token zum Zurücksetzen des Passworts. Aus dem Juli 2026 liegt genau eines vor, bei rund 60.000 Mails müssten es Zehntausende sein.
• Seit dem 20.07. haben sich nur 23 Altkonten angemeldet.
• Roadmap 5.8 führt die Go-Live-Mails weiter als „Stand unbekannt“.
• Betreiber bitte bestätigen.

Datenschutzerklärung bei der Erhebung: Sie liegt nicht im Repository. Quelle wäre das Archiv der alten Portale, zum Beispiel die Wayback Machine für presseecho.de und businessportal24.com 2010–2026. ✗

Bewertung für F7: Wer nie etwas gekauft hat, ist kein Bestandskunde im Sinne von § 7 Abs. 3 UWG. Infrage kämen höchstens die 445 zahlenden Konten, und auch nur mit Hinweis auf das Widerspruchsrecht bei der Erhebung. Das stützt die Empfehlung „nur Opt-in“.

2. Portal-Updates: Modell und dokumentierte Überarbeitung (F10, A6) — ✅

• Noch nicht gebaut. Die Pipeline aus dem Decision-Update Changelog steht auf Roadmap 6.6, nicht begonnen.

• Modell: Für die Portal-Updates ist noch keines festgelegt. Die bestehenden Prüfungen laufen über OpenAI, Standard gpt-5.4-mini (OPENAI_MODEL). Naheliegend ist, dasselbe Modell zu nehmen.

• Überarbeitung, wie geplant:

  • Stufe 3: Admin-Liste zum Streichen, Umformulieren und Freigeben.
  • Stufe 5: manuelle Freigabe des Artikels.
  • Entschieden ist bisher nur „jeder Artikel wird vom Betreiber überarbeitet und freigegeben“ (O4). Diff und Freigabeprotokoll sind noch nicht festgelegt.

• Vorschlag, damit „dokumentierte Überarbeitung“ belegbar ist: pro Artikel speichern

  • den KI-Entwurf und die veröffentlichte Fassung,
  • den Unterschied zwischen beiden,
  • wer freigegeben hat und wann.

  Das kostet wenig, wenn es beim Bau gleich mit angelegt wird.

• Kundenmeldungen (A6): Das Portal bearbeitet Kundentexte nicht (AGB § 7 Abs. 5). Die KI-Angabe ist eine Selbsterklärung des Einreichers, siehe Frage 3.

3. Kennzeichnung von KI-Inhalten in Kundenmeldungen (F10, A6) — ✅

ai_generated gehört zur Bild-Deklaration. Für Texte heißen die Werte mostly_ai und fully_ai.

Texte

• Ist eine Mitteilung als „ganz oder überwiegend mit generativer KI erstellt“ deklariert, steht auf der Detailseite über dem Text ein Hinweiskasten. Er spricht in der Stimme des Einreichers: „KI-generiert: Nach Angaben des einreichenden Unternehmens wurde diese Pressemitteilung ganz oder überwiegend mit generativer KI erstellt.“
• In Listen und Teasern erscheint keine Kennzeichnung.
• Bestand: 9 Mitteilungen mostly_ai, 5.122 none. Rund 176.000 Altmeldungen haben keine Angabe.

Bilder

• Bei ai_generated oder ai_edited gibt es ein Schild am Bild auf der Detailseite: „KI-generiert“ bzw. „KI-bearbeitet“.
• Der Hinweis erscheint außerdem in der Bildinformation, mit Angabe der Quelle der Kennzeichnung, und in der Nachweiszeile der Teaser.
• Er ist auch in das Vorschaubild für soziale Netzwerke eingeblendet.
• Bestand: 24 ai_generated, 8 ai_edited, 7 Altbilder mit KI-Merker.

Lücke

• Die Alt-API (/service/…, connektar) setzt bei Texten selbst „ohne KI“ und bestätigt das im Namen des Kunden.
• API v1 verlangt die Angabe dagegen als Pflichtfeld.
• Siehe Roadmap 2, „connektar ai_declaration“.

4. Credits, Kündigung, Erstattung, Überweisung — ◐

• Verfall:
  • AGB § 5 Abs. 2: mindestens drei Jahre ab Ende des Kaufjahres.
  • Im Code gibt es weder einen Verfall noch die versprochene Erinnerungsmail. Credits verfallen derzeit also nie.
  • Die Erinnerung muss vor dem ersten möglichen Ablauf gebaut sein. Für Käufe aus 2026 ist das der 31.12.2029.
• Agency (199 €/Monat) wird wie alle Tarife monatlich oder jährlich bezahlt. Bei monatlicher Zahlung ist er nach AGB § 11 Abs. 2 monatlich kündbar.
• Erstattung:
  • Das System hat keinen Ablauf dafür. Die Status „refunded“ sind angelegt, werden aber nirgends gesetzt.
  • In den Daten seit Go-Live: keine erstattete Zahlung, 17 bezahlte und 3 stornierte Rechnungen.
  • Bisherige Fälle liefen, wenn überhaupt, im Stripe-Dashboard. Wie sie abgerechnet wurden, weiß nur der Betreiber. ✗
• Überweisung:
  • Für Neukunden nur Stripe.
  • Überweisung gibt es nur für Altkunden mit Bestandsschutz („MAN-Kreis“): 23 alte Zahlungsvereinbarungen, bisher 3 MAN-Rechnungen.
  • „FMI“ kommt im Code und in den Altdaten nicht vor. Bitte die Abkürzung erklären. ✗

5. Auftragsverarbeitungsverträge, OpenAI (D2, D4, D6, D8, F9) — ◐

• Verträge: Ob sie abgeschlossen sind, weiß nur der Betreiber. ✗ Wo man sie üblicherweise abschließt:

  • Hetzner: online in Robot bzw. der Cloud Console. Die DSE behauptet in Abschnitt 3, dass er besteht.
  • ALL-INKL: im KAS-Kundenbereich.
  • Cloudflare: Die Customer-DPA ist Teil der Nutzungsbedingungen.
  • Stripe: Die DPA ist Teil des Services Agreement. Laut DSE ist Stripe für die Zahlungsabwicklung aber selbst verantwortlich.

• OpenAI:

  • Die drei Prüfungen (Klassifizierung, Inhaltsbewertung, Bild-Vorabcheck) rufen chat/completions ohne store-Parameter auf. Die Anfragen werden damit nicht für spätere Verwendung gespeichert.
  • Ob ein DPA abgeschlossen ist und ob Zero Data Retention beantragt wurde, steht nicht im Code. Beides sind Einstellungen der Organisation bei OpenAI. ✗
  • Ohne Zero Data Retention bewahrt OpenAI Anfragen bis zu 30 Tage zur Missbrauchskontrolle auf.

  API über OpenAI Ireland https://openai.com/de-DE/index/offering-zero-data-retention-for-frontier-models/ https://openai.com/de-DE/index/expanding-data-residency-access-to-business-customers-worldwide/ Um die Option „Keine Datenaufbewahrung“ (Zero Data Retention / ZDR) für die Prüfung Ihrer Pressemitteilungen zu aktivieren, müssen Sie die KI über die OpenAI API an Ihr Presseportal anbinden. Für die neueste Generation der Frontier-Modelle nutzt OpenAI das Verfahren Private Safety Processing (PSP). Dadurch werden missbräuchliche Muster vollautomatisch erkannt, ohne dass OpenAI Ihre Prompts oder die Texte der Pressemitteilungen dauerhaft aufbewahrt oder für menschliche Reviews speichert. "das ist gemacht worden. Eine andere Möglichkeit besteht derzeit nicht."

• Befund DSE Abschnitt 10/8: Dort stehen „Google Gemini“ und „Anthropic Claude“. Beide sind nicht angebunden. Es läuft nur OpenAI, beziehungsweise ohne Schlüssel eine regelbasierte Prüfung. In Fassung 0.4 sollte nur OpenAI stehen, mit einer Formulierung für künftige Anbieter.

6. Aktivitätsverlauf (F3) — ✅

• Zugriff:
  • Jeder mit Admin-Zugang sieht den Verlauf unter Admin ▸ Berichte ▸ Aktivität. Eine eigene Berechtigung gibt es dafür nicht.
  • Admin-Zugang haben die Rollen admin und editor sowie der Super-Admin-Merker.
  • Betroffen sind 6 Konten, davon 3 aktiv:
    • das Konto unter @pressekonto.com (letzte Anmeldung 07.10.2026),
    • eines unter @me.com (14.07.2026),
    • eines unter @stern-consulting.eu (letzte Anmeldung 2012).
  • Die drei inaktiven (@stern-tours.de, @googlemail.com, @gmx.at) sind gesperrt.
  • Bitte prüfen, ob die beiden aktiven Fremdkonten dir gehören. Wenn nicht: Admin-Rolle entziehen. Seit v1.4 brauchen Admins zwar einen zweiten Faktor, das ändert aber nichts an der Frage des Zugriffs.
• Mails an Nichtkunden:
  • Ja. Jede versendete Mail wird mit Empfängeradresse und Betreff protokolliert, als „Handelnder“ steht der Kontoname oder sonst die Adresse.
  • Das betrifft auch Pressekontakte ohne Konto. 5.007 von 7.642 Mail-Einträgen gehören zu keinem Konto.
  • Ein Name erscheint bei Nichtkunden nur, wenn er im Betreff steht.
  • Seit v1.8 gilt eine Löschfrist von 395 Tagen.

7. Speicher der Anmeldebegrenzung (F4, Text 7a) — ◐

• Wo die Zähler liegen: Sie laufen über den Laravel-Cache. Der steht laut Vorlage auf Redis (CACHE_STORE=redis), ebenso die Sessions. Den Wert in der Live-.env bitte bestätigen.

• Was gezählt wird:

  • Fehlversuche je IP-Adresse: 15 Minuten, Sperre ab 20.
  • Zusätzlich Versuche je Kombination aus E-Mail-Adresse und IP: 1 Minute, höchstens 5.
  • Text 7a nennt nur die IP-Adresse.

• „Im Arbeitsspeicher“ stimmt nur eingeschränkt. Redis hält die Daten im Arbeitsspeicher, schreibt je nach Konfiguration aber Sicherungen auf die Platte (RDB/AOF). Prüfen auf dem Server:

  redis-cli CONFIG GET save
  redis-cli CONFIG GET appendonly
  

  ✗

• Vorschlag für 7a: „… für höchstens 15 Minuten in einem Zwischenspeicher; die Einträge verfallen danach automatisch.“ Damit stimmt der Text unabhängig von der Redis-Konfiguration.

• Getrennt davon gibt es die Tageszählung fehlgeschlagener Anmeldungen (failed_login_tallies, 90 Tage). Sie steht bereits im Paket.

8. Umami (F6) — ◐

• Wo die Nutzer-ID gesetzt wird:
  • Nur im Kundenbereich auf dem Hub (Routen me.*), nie während eines Support-Zugriffs auf ein Kundenkonto.
  • Nur wenn UMAMI_PORTAL_ENABLED und UMAMI_IDENTIFY_USERS an sind. Beide sind derzeit aus (Roadmap 3.6).
  • Auf den Portalen gibt es nie eine Nutzer-ID.
• Form der ID: user-<Datenbank-ID>, unverschlüsselt. Pseudonym nur gegenüber Umami; der Betreiber kann sie direkt zuordnen. Falls der Anwalt es verlangt, lässt sie sich mit einem Prüfwert (HMAC) verschleiern.
• Frist für Rohdaten:
  • Die Anwendung legt keine fest; sie ist eine Einstellung der Instanz auf sys.adametz.media.
  • Nach meinem Kenntnisstand löscht Umami ohne eigene Einrichtung nichts automatisch.
  • Bitte auf der Instanz prüfen und eine Frist festlegen, zum Beispiel 13 Monate, passend zu 5a. ✗

9. Verantwortlicher (DSE Abschnitt 1) — ✅

• Einzelunternehmen, ohne eigene Rechtsform.
• Schreibweise: „adametz.media, Inhaber: Kevin Adametz, In der Lake 4, 33739 Bielefeld“. So steht es in DSE, AGB § 1 Abs. 2 und Impressum (§ 5 DDG, USt-IdNr. DE298729654).
• „Adametz Media“ kommt in den Rechtstexten nicht vor.
• Bitte bestätigen, dass sich daran nichts ändert, etwa durch eine Gründung.