leocrm/docs/compliance.md

# EU Compliance Betriebsdokumentation

> **Wichtiger Hinweis:** Diese Dokumentation beschreibt die Plattformfunktionen zur Unterstützung der EU-Compliance. Die Plattformfunktionen ersetzen **keine** rechtliche Beratung oder automatische Rechtskonformität. Ein qualifizierter Datenschutzbeauftragter (DPO) oder Rechtsberater muss die Compliance stets im Einzelfall prüfen.

## 1. Rollen und Verantwortlichkeiten

| Rolle | Verantwortung | Plattform-Funktion |
|-------|-------------|-------------------|
| **Datenschutzbeauftragter (DPO)** | Aufsicht über Datenverarbeitung, DPIA-Prüfung, Incident-Management | Zugriff auf Compliance-Tab (admin), AI-Register, DPIA-Export |
| **System-Administrator** | Technische Konfiguration, Retention-Policies, Plugin-Verwaltung | Vollzugriff auf alle Compliance-Endpunkte |
| **AI-Agent-Verantwortlicher (Owner)** | Use-Case-Klassifikation, Risiko-Bewertung | AI-Use-Case-Metadata pro Agent |
| **Mitarbeiter** | Nutzung der AI-Systeme im Rahmen der Use-Case-Metadaten | Kein direkter Compliance-Zugriff |

## 2. Provider-Onboarding

Bevor ein neuer AI-Provider in der Plattform verwendet wird:

1. **Technische Einrichtung**: Provider in den KI-Einstellungen konfigurieren (API-Key, Base-URL)
2. **Use-Case-Metadaten**: Für jeden Agenten, der den Provider nutzt, `ai_use_case_metadata` ausfüllen:
   - `allowed_providers`: Provider-ID eintragen
   - `allowed_models`: Erlaubte Modelle einschränken
   - `intended_purpose`: Zweckbeschreibung
   - `owner`: Verantwortliche Person
3. **Risiko-Klassifizierung**: `risk_class` festlegen (low/medium/high)
4. **Oversight-Policy**: `oversight_policy` konfigurieren (always_required/on_high_risk/never)
5. **DPIA-Export**: DPIA-Template über den Compliance-Tab exportieren und vom DPO prüfen lassen

## 3. Use-Case-Klassifikation

Jeder AI-Agent in der Plattform hat strukturierte Metadaten (`AIUseCaseMetadata`):

| Feld | Beschreibung | Werte |
|-----|-------------|-------|
| `intended_purpose` | Beschreibung des Verwendungszwecks | Freitext (max. 1000 Zeichen) |
| `owner` | Verantwortliche Person (User-ID oder E-Mail) | Freitext |
| `data_categories` | Datenkategorien, die verarbeitet werden | `contact_data`, `email_content`, `calendar`, `tasks`, `dms`, `communication`, `financial`, `public` |
| `allowed_providers` | Erlaubte Provider (leer = alle) | Provider-IDs |
| `allowed_models` | Erlaubte Modelle (leer = alle) | Modellnamen |
| `allowed_actions` | Erlaubte Aktionen (leer = alle) | `read`, `summarize`, `draft`, `send`, `create`, `update`, `delete` |
| `oversight_policy` | Wann menschliche Prüfung erforderlich ist | `always_required`, `on_high_risk`, `never` |
| `risk_class` | Risikoklassifizierung | `low`, `medium`, `high` |
| `human_review_required` | Muss ein Mensch die Ausgabe prüfen? | Boolean |

### Validierung

Die Plattform validiert die Metadaten automatisch (`validate_ai_use_case`):
- `intended_purpose` und `owner` müssen gesetzt sein
- `data_categories` müssen bekannte Werte sein
- `oversight_policy` und `risk_class` müssen gültig sein
- `allowed_models` müssen das konfigurierte Modell enthalten (falls nicht leer)
- `allowed_providers` müssen den konfigurierten Provider enthalten (falls nicht leer)
- `human_review_required` muss mit `oversight_policy` konsistent sein

Warnungen werden im AI-Register angezeigt.

## 4. DPIA / AI-Impact-Checkliste

Die Plattform bietet einen DPIA-Template-Export (`GET /api/v1/compliance/dpia-template?agent_id=...`):

- Vorbefüllt aus den `ai_use_case_metadata` des Agenten
- Enthält: Zweck, Owner, Risiko-Klasse, Oversight-Policy, Datenkategorien, Provider, Modelle, Aktionen
- Enthält Validierungswarnungen
- Enthält Disclaimer: **keine Rechtsberatung**

### DPIA-Checkliste (manuell vom DPO zu vervollständigen):

- [ ] Zweck der Datenverarbeitung dokumentiert
- [ ] Rechtsgrundlage identifiziert (Art. 6 DSGVO, ggf. Art. 9)
- [ ] Datenkategorien katalogisiert
- [ ] Empfänger/Dritte identifiziert
- [ ] Übermittlung in Drittländer ausgeschlossen oder abgesichert
- [ ] Speicherdauer definiert (siehe Retention-Policies)
- [ ] Betroffenenrechte gewährleistet (Auskunft, Löschung, Berichtigung)
- [ ] Technische und organisatorische Maßnahmen (TOMs) dokumentiert
- [ ] Risiko-Bewertung durchgeführt
- [ ] Bei hohem Risiko: Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
- [ ] Menschliche Aufsicht sichergestellt (oversight_policy)
- [ ] Protokollierung und Audit-Trail aktiviert

## 5. Incident- und DSAR-Ablauf

### AI/Privacy/Security Incidents

Incidents werden über `POST /api/v1/compliance/incidents` erfasst:

1. **Entdeckung**: Mitarbeiter oder System entdeckt einen Vorfall
2. **Erfassung**: Admin erstellt Incident-Eintrag mit:
   - `incident_type`: ai, privacy, security
   - `title`, `description`: Beschreibung des Vorfalls
   - `affected_use_cases`: Betroffene AI-Use-Cases (Agent-IDs)
   - `affected_versions`: Betroffene Versionen
   - `provider`: Betroffener AI-Provider
   - `measures_taken`: Ergriffene Maßnahmen
   - `evidence_refs`: Beweisverweise
   - `status`: open → resolved → closed
3. **Maßnahmen**: Durchführung und Dokumentation der Maßnahmen
4. **Auflösung**: Status auf `resolved` oder `closed` setzen (setzt `resolved_at` und `resolved_by`)
5. **Audit-Trail**: Alle Incident-Mutationen werden im Audit-Log protokolliert

### Data Subject Access Request (DSAR / DSGVO-Auskunft)

Die Plattform bietet einen DSGVO-Export über `GET /api/v1/system-settings/dsgvo-export/{user_id}`:

- Exportiert alle personenbezogenen Daten eines Users
- Enthält: Profil, Kontakte, Audit-Logs, Mail-Accounts, Tasks, Kalender, Kommunikation
- Admin-only

## 6. Retention-Policies (Aufbewahrungsrichtlinien)

Die Plattform verwaltet Retention-Policies über `GET/PATCH /api/v1/compliance/retention-policies`:

| Policy | Standard (Tage) | Beschreibung |
|--------|----------------|---------------|
| `audit_log` | 365 | Aufbewahrung von Audit-Log-Einträgen |
| `backup` | 7 | Aufbewahrung von Backup-Dateien |
| `trash` | 30 | Aufbewahrung von soft-deleted Datensätzen |
| `knowledge` | 365 | Aufbewahrung von Knowledge-Base-Artikeln und -Extraktionen |
| `agent_memory` | 90 | Aufbewahrung von AI-Agent-Memory-Embeddings |

Retention-Werte werden in `system_settings.retention_config` (JSONB) pro Tenant gespeichert.

## 7. Plugin-Anforderungen

Plugins, die AI-Funktionalität bereitstellen, müssen:

- **Use-Case-Metadaten**: `ai_use_case_metadata` für jeden Agenten ausfüllen
- **Tenant-Isolation**: Alle Tabellen benötigen `tenant_id` und RLS
- **Audit-Logging**: Alle Mutationen müssen Audit-Log-Einträge erstellen
- **Data-Policy-Enforcement**: `app/ai/data_policy.py` für Datenkategorien-Prüfung nutzen
- **Transparency-Logging**: `app/ai/transparency.py` für AI-Entscheidungsprotokollierung nutzen
- **Oversight**: `app/ai/oversight.py` für menschliche Aufsicht nutzen

## 8. Grenze: Plattformfunktion ≠ automatische Rechtskonformität

**Die Plattform bietet Werkzeuge zur Unterstützung der EU-Compliance, ersetzt aber nicht:**

- Eine rechtliche Beratung oder Datenschutz-Folgenabschätzung durch einen qualifizierten DPO
- Die Verantwortung des Verantwortlichen (Art. 24 DSGVO)
- Die Pflicht zur Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35 DSGVO)
- Die Meldepflicht bei Datenpannen (Art. 33-34 DSGVO)
- Die Dokumentationspflicht der Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Die Berücksichtigung der AI-Verordnung (EU AI Act) bei Hochrisiko-Systemen

Die Plattformfunktionen sind **Werkzeuge**, die die Compliance-Arbeit erleichtern. Die rechtliche Verantwortung verbleibt beim Betreiber.

## 9. API-Endpunkte

| Endpunkt | Methode | Beschreibung | Berechtigung |
|----------|---------|-------------|-------------|
| `/api/v1/compliance/ai-registry` | GET | AI-Use-Case-Register | system:admin |
| `/api/v1/compliance/dpia-template` | GET | DPIA-Template-Export | system:admin |
| `/api/v1/compliance/incidents` | GET | Incident-Liste | system:admin |
| `/api/v1/compliance/incidents` | POST | Incident erstellen | system:admin |
| `/api/v1/compliance/incidents/{id}` | PATCH | Incident aktualisieren | system:admin |
| `/api/v1/compliance/retention-policies` | GET | Retention-Policies auflisten | system:admin |
| `/api/v1/compliance/retention-policies/{key}` | PATCH | Retention-Policy aktualisieren | system:admin |

## 10. Frontend

Der Compliance-Tab ist in den KI-Einstellungen (`SettingsAI.tsx`) unter dem Tab "Compliance" erreichbar. Er enthält drei Sub-Tabs:

- **AI-Register**: Tabelle aller AI-Agenten mit Use-Case-Metadaten und DPIA-Export-Button
- **Vorfälle**: Incident-Liste mit Erstellungsformular und Auflösungsfunktion
- **Aufbewahrung**: Retention-Policies-Tabelle mit editierbaren Tagen