add-on: Data protection (GDPR) checklist

[Fluory]

Checklist from the control center (Entwicklungsplan/templates/addons/datenschutz.md, fluory-system 2.1), activated in project-profile.yml. Tick items as they are implemented; each item is proven in the PR that implements it. The checklist text is copied verbatim (German).

---

Add-on: Datenschutz (bei Personen- oder vertraulichen Unternehmensdaten)

Privacy by Design & by Default: standardmäßig nur die Daten verarbeiten, die für den
Zweck nötig sind – nach Umfang, Zugriff, Speicherdauer und Sichtbarkeit. Vor der
ersten echten Datenverarbeitung, nicht nach dem Launch.
Tiefe bei Bedarf: research/security-architektur.md (DSGVO-Abschnitt, EDPB-/OWASP-Quellen).

Vor echten Daten

• Datenklassifikation (docs/technical/data-model.md): öffentlich / intern / vertraulich / personenbezogen – mit Zweck je Kategorie
  • Evidence (chore(governance): audit the add-on checklists #10–#16 against the delivered pilot #65 audit, 2026-10-02): docs/technical/data-model.md – class per column (public / internal / confidential / personal) and a "Purpose" line per table
• Datenminimierung: nur erheben, was der Zweck verlangt; Rollen-/Zugriffsmodell
  • Evidence: six header fields + positions only (schema v2, ADR-0001 D8); roles admin/clerk with server-side authorize() (src/features/identity/authorize.ts); tenant isolation by forced RLS (D7, tests/integration/rls-guard.test.ts); logs carry IDs and codes only (tests/integration/log-privacy.test.ts)
• Aufbewahrungs- und Löschfristen je Datenart; Backup-Konzept
  • gap → decision-needed(privacy): retention and deletion periods per data type #112 (retention is an open question for the customer in data-model.md), backup → ops(db): backup for the showcase database and one rehearsed restore #108
• Testdaten synthetisch/anonymisiert; keine Produktivdaten in KI-Prompts oder Agenten-Tools
  • Evidence: AGENTS.md "Synthetic data only"; eval cases generated (services/ai/evals/make_cases.py) and synthetic samples (src/features/samples/data/); the showcase runs on synthetic data only (exceptions register, chore(deploy): showcase on Vercel + Supabase with the AI service on Vercel and a Gemini free-tier key (exception) #67)

DSGVO-Betriebspflichten (sobald personenbezogene Daten real werden)

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30) anlegen – gilt praktisch auch für Kleingewerbe mit Kundendaten; TOMs dokumentieren
  • n/a (no real personal data yet) – due before the first real customer data
• AVV mit jedem Provider, der Daten verarbeitet: Hosting, Mail, Analytics – und der LLM-Anbieter (Auftragsverarbeiter! Datenresidenz/EU-Region als Default, Trainingsausschluss, ggf. Drittlandtransfer prüfen)
  • n/a (no real personal data yet) – Vertex eu with zero data retention is the planned default (D8); the free-tier exception is synthetic-only and dated (chore(deploy): showcase on Vercel + Supabase with the AI service on Vercel and a Gemini free-tier key (exception) #67)
• Betroffenenrechte als testbarer Ablauf: Auskunft und Löschung einmal real durchspielen, nicht nur Fristen notieren
  • n/a (no real personal data yet) – the deletion run is part of decision-needed(privacy): retention and deletion periods per data type #112
• 72h-Meldepflicht (Art. 33) steht im Incident-Ablauf (Add-on Betrieb) – mit Kontaktweg zur Aufsichtsbehörde
  • gap → docs(ops): incident process with the GDPR 72-hour step #111
• DSFA-Trigger-Check (Art. 35) bei hohem Risiko (Profiling, sensible Daten, große Mengen)
  • n/a (no real personal data yet) – no profiling or special categories in the product scope
• Datenschutzinformation für Nutzer, sobald es echte Nutzer gibt
  • n/a (no real users yet – showcase invite-only for the orchestrator)

Audit summary (#65): 3 proven · 5 n/a · 2 gaps (#112 incl. backup #108, #111).

[Fluory]

Audit #65 – Zusammenfassung

3 belegt · 5 n/a · 2 Lücken.

• Lücken:
  • decision-needed(privacy): retention and deletion periods per data type #112 Aufbewahrungs- und Löschfristen. Das ist eine Entscheidung für dich bzw. den Kunden; Backup siehe ops(db): backup for the showcase database and one rehearsed restore #108.
  • docs(ops): incident process with the GDPR 72-hour step #111 Der 72-Stunden-Schritt nach DSGVO Art. 33 fehlt im Incident-Ablauf.
• n/a: Alle DSGVO-Betriebspflichten greifen erst mit echten Personendaten. Heute gibt es nur synthetische Daten, und den Showcase nutzt nur der Orchestrator.

Die Belege je Punkt stehen im Issue-Text.

---

Generated by Claude Code