Compliance, Datenschutz & Audit-Bereitschaft
Lebende Doku (CLAUDE.md §Compliance): Belege/Checklisten für Datenschutz, Rechtssicherheit und Audits werden
laufend mitgepflegt — nicht erst zum Audit. Bei jedem relevanten Feature den Compliance-Bezug hier
nachziehen. Risiken parallel im docs/betrieb/Risikoregister.md.
Zielmärkte & relevante Rahmen
Primärmärkte DE · AT · CH (Reihenfolge DE→DACH). Relevante Rahmenwerke, die bei Features proaktiv zu berücksichtigen und ggf. zu flaggen sind:
| Thema | DE | AT | CH | Bezug |
|---|---|---|---|---|
| Datenschutz | DSGVO + BDSG | DSGVO + DSG | revDSG (CH-eigen, kein EU) | OP-DSGVO-1, G-5 |
| E-Signatur | eIDAS (SES/AES/QES) | eIDAS | ZertES (CH-eigen) | OP-SIGN-1, A-2 |
| Beratungsdoku-Pflicht | bestätigt: Versicherungsverm. §34d GewO/§61–62 VVG (IDD) · Finanzanlagenverm. §34f GewO/§18 FinVermV · Immobiliardarlehen §34i GewO | analog | analog | OP-DOMAIN-1 (✅), R6 |
| KI-/Transkriptions-Dienste | AVV + EU-Residenz; keine PII/Art.-9-Daten in US-Cloud ohne Garantien | analog | revDSG | OP-MEET-1, OP-AI-1, RISK-15 |
| Aufbewahrung | GoBD / §147 AO (6–10 J.) + branchenspez. | BAO | OR | OP-AUDIT-1 |
| Datenresidenz | EU | EU | CH/EU (CH = Nicht-EU) | OP-DSGVO-1 |
CH-Hinweis: Schweiz ist nicht EU (revDSG statt DSGVO, ZertES statt eIDAS). Residenz/Recht nicht hartkodieren. US-Transfer-Hinweis: DocuSign (US) → Datenexport prüfen (EU-US Data Privacy Framework / SCC); ggf. EU-Datenresidenz-Option des Anbieters oder PandaDoc-EU-Hosting bevorzugen (OP-SIGN-1). KI-/Transkriptions-Hinweis (RISK-15): Spracherkennung/Zusammenfassung/Grammatik/Beratungsdoku-Checks (Whisper, ChatGPT, Grammarly, Plaud, Krisp, Notion-AI, „Medidentas-GPT") verarbeiten Kunden- und ggf. Gesundheits-/Finanzdaten (Art. 9) — nur mit AVV + EU-Residenz und Zweckbindung; bei Gesprächen keine Vollaufnahme, Hinweis-/Einwilligungspflicht (OP-MEET-1, OP-AI-1).
Datenschutz-Kernpunkte (G-5)
- Datenminimierung: Kunde = Name + CRM-Link; Medidentas hält nur Prozess-Status + Referenzen, nicht die Kundenstammdaten-Kopie (S-1) und nicht die Dokument-Datei (S-2 → NextCloud).
- Auftragsverarbeitung: AV-Verträge mit allen Dritt-Diensten (NextCloud-Hosting, DocuSign/PandaDoc, CRM, E-Mail-Versand) — vor Produktivbetrieb.
- Betroffenenrechte / Löschkonzept: Auskunft, Berichtigung, Löschung — abgestimmt mit den Aufbewahrungsfristen (Beratungsunterlagen/Verträge dürfen nicht vor Fristende gelöscht werden → Audit-Log bleibt append-only, „Löschung" = Sperrung/Anonymisierung nach Frist).
Rechtssicherheit & Audit (G-4)
- Append-only Audit-Log über alle prozessrelevanten Ereignisse (Onboarding-Schritte, Dokument-Status,
Unterschriften, Beratungsprotokolle, Wiedervorlagen). Detail:
docs/architektur/Audit-Log.md. - Nachweisbarkeit der Unterschrift: Signatur-Zertifikat/Audit-Trail des Providers archivieren (zusammen mit dem unterschriebenen Dokument in NextCloud).
Compliance-Tracker (lebend)
Stand: 2026-06-27 (Repo-Init). Status-Legende: ☐ offen · ◐ in Arbeit · ☑ erfüllt/bereit · ➖ n/a (noch nicht relevant).
| # | Rahmen / Anforderung | Status | Beleg / Artefakt | Nächster Schritt | Bezug |
|---|---|---|---|---|---|
| 1 | DSGVO/revDSG — Verarbeitungsverzeichnis | ☐ | — | nach Stack-/Datenmodell-Entscheidung anlegen | OP-DSGVO-1 |
| 2 | AV-Verträge (NextCloud, Signatur, CRM) | ☐ | — | Anbieter wählen → AVV abschließen | A-1, A-2, OP-CRM-1 |
| 3 | eIDAS-Niveau je Dokumenttyp | ◐ | architektur/Unterschriften.md, server/src/domain/signatur-niveau.ts | Matrix gebaut (Slice 4): Vollmacht→QES, Vertrag→AES, Mandat→SES. Rest: Anbieter-CSP-Anbindung je Niveau bestätigen | OP-SIGN-1, RISK-2 |
| 4 | Aufbewahrungs-/Löschkonzept | ☐ | — | Fristen je Dokumenttyp festlegen | OP-AUDIT-1 |
| 5 | Beratungsdoku-Pflichtfelder | ◐ | Lastenheft.md R6 (§4.6) | Branche bestätigt → Pflichtfelder je Themenbereich aus §34d/f/i + VVG §61–62 + FinVermV §18 ableiten | OP-DOMAIN-1 (✅), R6 |
| 5a | Beratungsprotokoll-Rahmendaten | ☐ | Lastenheft.md R6-F11..F20 | Pflichtangaben je Termin: wann (F11), wo/Adresse bzw. Video (F12), Dauer (F13), Analyse-Programm (F14), Empfehlung gefolgt + ggf. Begründung (F15), Risikoaufklärung bestätigt (F16), Unterlagen-Übermittlung (F17), Angaben/Gesundheitsbogen 1:1 vom Kunden (F18, §19 VVG), Verzicht auf Beratungsdoku (F19, §6 Abs. 3/§61 Abs. 2 VVG), Schlusserklärung Kunde (F20 — begrenzter Beweiswert, kein Doku-Ersatz, RISK-20). Modell/UI/D1 bauen; jur. Endabnahme | OP-BERATDOK-1, R6, G-4 |
| 6 | Audit-Log (append-only) | ☑ | architektur/Audit-Log.md, server/src/domain/audit.ts | Gebaut (Slice 6): append-only + Hash-Verkettung + Verify. Rest: Cold-Storage-Archiv/Restore | OP-AUDIT-1, G-4 |
| 7 | KI-/Transkriptions-Dienste: AVV + EU-Residenz | ☐ | architektur/Meeting-Doku-und-Aufgaben.md | Tool/Anbieter wählen → AVV + Residenz prüfen; Einwilligungs-/Hinweis-Flow | OP-MEET-1, OP-AI-1, RISK-15 |
| 8 | KI-Beratungsdoku: Haftungsgrenze dokumentiert | ☐ | Lastenheft.md R6-F08 | Check = Assistenz, Endkontrolle Berater; im UI/Prozess verankern | OP-AI-1, RISK-14 |
Review-Takt: zu Session-/PR-Beginn mitpflegen — bei jedem relevanten Feature die betroffene Zeile nachziehen. Belege git-nah (privates Repo), keine Secrets/PII im Klartext.