| Aufbewahrungsfristen (§132 BAO) | Export-Center (BMD/DEP/Compos/Protokoll), DSGVO / Datenschutz, Registrierkasse (RKSV), Rechnungsmerkmale (§11 UStG) | Teilweise | docs/dsgvo-compliance.md Abschnitt 5: 'Hard-Delete für unverknüpfte Kunden ist aktuell nicht implementiert', 'Nach 7 Jahren: Hard-Delete via Cron' als Zukunftsplan markiert |
| Cookie-/Consent-Banner (Website) | Impressum, AGB, Datenschutz | Nie eingerichtet | grep -rln 'CookieBanner|cookie-consent|CookieConsent' app components → 0 Treffer |
| DSGVO / Datenschutz | Kundenportal, Kunden, Scan-Postfach (Annahme-Eingang), KI-Datenflüsse (welche Daten gehen an welchen Anbieter), Kunden & Fahrzeuge, Impressum, AGB, Datenschutz, Verschlüsselter Secret-Store, Vision-OCR (Zulassungsschein, Belege), DSGVO-Aufbewahrungsfristen (Cron), Zulassungsschein-Aufräumung (Cron), Microsoft Graph (Mail + Kalender), Website-Besucherstatistik, Einverständnis + Unterschrift (Signotec-Pad), Zulassungsschein-Scan + Fahrzeug-Zuordnung | Teilweise | docs/dsgvo-compliance.md (Art.15 Export ✅, Art.17 Anonymisierung ✅, Art.18/21 als TODO markiert); app/api/admin/dsgvo/customers/[id]/export, .../anonymize existieren |
| Hausregel: Kennzeichen ist kein Schlüssel | Fahrzeugannahme, Zulassungsschein-Scan + Fahrzeug-Zuordnung | Live | MEM:kennzeichen-kein-schluessel.md — Prod-DB-Analyse 2026-07-16, 945 Mitnahme-Paare, Regel in CLAUDE.md Hausregel 1 verankert |
| KI-Datenflüsse (welche Daten gehen an welchen Anbieter) | – | Teilweise | lib/ai/provider.ts:97-117 (ANTHROPIC_API_KEY zuerst, dann OPENAI_API_KEY, dann OPENROUTER_API_KEY), lib/ai/pii-scrub.ts direkt gelesen: scrubPII() maskiert E-Mail/IBAN/Telefon/Kennzeichen vor jedem externen Embedding-Call |
| Registrierkasse (RKSV) | CompOS-Export, Kassenbuch, Proforma-/Vorrechnung, fiskaly SIGN AT (Registrierkasse, Schattenbetrieb) | Bewusst aus | MEM:austria-billing-compliance — Owner-Entscheidung B1 2026-06-17: CompOS bleibt die Kasse, RKSV_PROVIDER=none in Prod; MEM:fiskaly-rksv-evaluierung-2026-08-06 bestätigt RKSV_PROVIDER=none live |
| Wer sieht was (Rollen & Sichtbarkeit) | – | Teilweise | lib/admin-auth.ts:288-294 ROLE_PERMISSIONS direkt gelesen: owner=alle, admin=['view','edit_customers','edit_jobs','edit_finance','view_reports'], staff=['view','edit_customers','edit_jobs'], mechanic=['view','edit_jobs'], viewer=['view'] |
| Rechnungsmerkmale (§11 UStG) | Proforma-/Vorrechnung, Rechnungen, Rechnungen & Zahlungen, Angebote, Rechnungen & Mahnwesen (API) | Teilweise | MEM:austria-billing-compliance — '~90% der 11 Rechnungsmerkmale', RC-1..RC-4 als offene Arbeitspakete (Rechnungsnummern-Lücken, Empfänger-UID-Pflicht >10k, Aufbewahrungs-Backdoor, Kleinbetragsrechnung) nicht als 'gebaut' vermerkt |
| Vault-Sichtbarkeitsregel (Hausregel 2) | Hausregeln-Abschnitt in CLAUDE.md, Scan-Postfach (Annahme-Eingang), KI-Datenflüsse (welche Daten gehen an welchen Anbieter), Aufträge, Angebote & Anfragen, KI-Gespraechsverlauf (Bot Meister), Teile, Bestellungen & Lager, Rechnungen & Zahlungen, Rollen & Rechte (Berechtigungskatalog), KI-Assistent (Bot Meister), Öffentliches Chat-Widget, KI-Gedächtnis (Bot Meister Wissen), KI-Anbieter (Bot Meister), SMS-Gateway, KI-Assistent 'Bot Meister' (API), Bühnenmodus / Werkstattplanung, Übergabe + Kundenprotokoll + Verlauf | Teilweise | CLAUDE.md Hausregel 2 + MEM:vault-ki-kein-zugriff.md (Grundregel) + MEM:pad-fernanforderung-live-2026-09-02.md ('fünftes Vault-Leck' in checkBayConflict, Fix gebaut auf separatem Zweig, Merge-Status unklar) |