@aegis-scan/skills 0.4.0 → 0.5.0

package/skills/compliance/aegis-native/brutaler-anwalt/references/stack-patterns/payment/stripe-pci-tom.md

@@ -0,0 +1,121 @@
+---
+license: MIT (snippet)
+provider: Stripe Inc. (USA)
+provider-AVV-status: Standardvertrag verfügbar (Stripe DPA + SCC)
+last-checked: 2026-05-01
+---
+
+# Stripe — PCI-DSS-konformer Checkout + DSE-Wording
+
+## 1. PCI-DSS-Strategie: Stripe-hosted Checkout (Pflicht für KMU)
+
+Pflicht-Strategy: **Stripe Elements oder Stripe Checkout** — Karten-Daten passieren **nie** den eigenen Server.
+
+- ✅ `stripe-js` mit `<CardElement />`: Karten-Daten gehen direkt vom Browser zu Stripe
+- ✅ `Stripe.redirectToCheckout()`: hosted-Page bei Stripe
+- ❌ NICHT: Karten-Daten über eigenen Server entgegennehmen — würde PCI-DSS-Audit-Pflicht triggern (Self-Audit oder QSA)
+
+## 2. Compliance-Risiken
+
+| Risiko | Wirkung | Fix |
+|--------|---------|-----|
+| Sub-Processor in USA | Drittland-Transfer | DPA + SCC + DSE-Erwähnung |
+| Risiko-Score-Cookies | TDDDG § 25 | Pre-Consent: kein Stripe-Skript |
+| Webhook-Signatur-Prüfung fehlt | Unauthorized Charge / IDOR | `stripe.webhooks.constructEvent()` Pflicht |
+| `card.number` im Server-Log | PCI-DSS-Verstoss + Datenschutz | Logger sanitisieren |
+
+## 3. Code-Pattern (sanitized)
+
+```ts
+// File: src/app/api/stripe/webhook/route.ts
+// Webhook-Signatur-Verifikation (CWE-345 Schutz)
+import Stripe from 'stripe';
+import { NextRequest, NextResponse } from 'next/server';
+
+export const runtime = 'nodejs';
+
+const stripe = new Stripe(process.env.STRIPE_SECRET_KEY!, { apiVersion: '2025-06-30.basil' });
+
+export async function POST(req: NextRequest) {
+  const sig = req.headers.get('stripe-signature');
+  if (!sig) return NextResponse.json({ error: 'missing signature' }, { status: 400 });
+
+  const buf = await req.text(); // raw body Pflicht für Signatur
+  let event: Stripe.Event;
+  try {
+    event = stripe.webhooks.constructEvent(buf, sig, process.env.STRIPE_WEBHOOK_SECRET!);
+  } catch (err) {
+    return NextResponse.json({ error: `Webhook signature mismatch: ${err}` }, { status: 400 });
+  }
+
+  // Idempotency: bei replay-Webhook keine doppelte Aktion
+  // ... handle event types ...
+
+  return NextResponse.json({ received: true });
+}
+```
+
+```tsx
+// File: src/components/checkout/StripeButton.tsx
+// Pre-consent OHNE Stripe-Skript-Load
+'use client';
+import { useEffect, useState } from 'react';
+import { loadStripe } from '@stripe/stripe-js';
+
+export function StripeButton({ priceId }: { priceId: string }) {
+  const [stripe, setStripe] = useState<any>(null);
+
+  useEffect(() => {
+    // Erst nach Consent (oder hier explizit beim Klick erst loadStripe rufen)
+    loadStripe(process.env.NEXT_PUBLIC_STRIPE_PUBLISHABLE_KEY!).then(setStripe);
+  }, []);
+
+  async function handleCheckout() {
+    if (!stripe) return;
+    const res = await fetch('/api/stripe/checkout-session', { method: 'POST', body: JSON.stringify({ priceId }) });
+    const { sessionId } = await res.json();
+    await stripe.redirectToCheckout({ sessionId });
+  }
+
+  return <button onClick={handleCheckout}>Zahlungspflichtig bestellen</button>;
+  //                                       ^^^ Pflicht-Wording § 312j Abs. 3 BGB
+}
+```
+
+## 4. AVV / DPA
+
+- **DPA-Link**: https://stripe.com/legal/dpa
+- **SCC**: Modul 2 + 3 (Stripe als Processor + Sub-Processor-Liste)
+- **Sub-Processors**: https://stripe.com/legal/data-processing-providers
+
+## 5. DSE-Wording-Vorlage
+
+> **Zahlungsabwicklung (Stripe).** Für Zahlungen nutzen wir den Service von
+> Stripe Payments Europe Limited (1 Grand Canal Street Lower, Grand Canal
+> Dock, Dublin, Irland) sowie Stripe Inc. (354 Oyster Point Boulevard,
+> South San Francisco, CA 94080, USA) als Auftragsverarbeiter im Sinne
+> von Art. 28 DSGVO. Karten-Daten werden direkt von Ihrem Browser an
+> Stripe übermittelt — wir verarbeiten diese nicht selbst. Für die
+> Datenübermittlung in die USA gelten die EU-Standardvertragsklauseln
+> (Modul 2 + 3) sowie das EU-US Data Privacy Framework (Stripe Inc. ist
+> DPF-zertifiziert). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
+> (Vertragserfüllung). Datenschutz Stripe: https://stripe.com/de/privacy.
+
+## 6. Verify-Commands
+
+```bash
+# Webhook-Konfiguration
+stripe webhooks list
+
+# Test-Webhook lokal
+stripe listen --forward-to https://<your-domain>/api/stripe/webhook
+
+# Verify Pflicht-Header an Webhook-Endpoint
+curl -X POST https://<your-domain>/api/stripe/webhook -H "stripe-signature: invalid"
+# erwarte: 400 mit "signature mismatch"
+```
+
+## 7. Az.-Anker
+
+- BGH I ZR 161/24 (Kuendigungsbutton, 22.05.2025) — § 312k betrifft Stripe-Subscription-Modelle
+- BGH VIII ZR 70/08 (Widerrufsbelehrung) — Pflicht-Belehrung vor Zahlung

package/skills/compliance/aegis-native/brutaler-anwalt/references/stack-patterns/tracking/plausible-pattern.md

@@ -0,0 +1,107 @@
+---
+license: MIT (snippet)
+provider: Plausible Insights OÜ (Estland) — EU-Anbieter
+provider-AVV-status: Standardvertrag verfügbar (DPA)
+last-checked: 2026-05-01
+---
+
+# Plausible Analytics — Cookieless Tracking + DSE-Wording
+
+## 1. Default-Verhalten
+
+- **Cookieless** by default — keine Tracking-Cookies, kein LocalStorage
+- **EU-Hosting**: Server in Deutschland (Hetzner Falkenstein)
+- **IP-Anonymisierung**: serverseitig, keine vollständige IP gespeichert
+- **DNT-Respektierung**: Plausible respektiert Do-Not-Track auf Server-Seite
+- **GDPR-konform** by design: keine personenbezogenen Daten gespeichert (anonyme Aggregate)
+
+## 2. Compliance-Risiken
+
+| Risiko | Wirkung | Fix |
+|--------|---------|-----|
+| Trotz cookieless: Skript-Aufruf von externer Domain | minimaler Drittland-Risk | Selbst-Hosting via Subdomain (siehe Code-Pattern) |
+| Outbound-Link-Tracking | Browser-Telemetrie | per Skript-Variante optional |
+| Custom-Events mit personenbezogenen Daten | Risiko Re-Identifizierung | Events ohne PII (nur Page-Path / Action-Type) |
+
+## 3. Code-Pattern: env-driven, self-hostable
+
+```tsx
+// File: src/components/analytics/Plausible.tsx
+'use client';
+import Script from 'next/script';
+
+export function PlausibleAnalytics() {
+  // env-driven: Default = own-subdomain für ZUSÄTZLICHE Hardenings
+  const host = (
+    process.env.NEXT_PUBLIC_PLAUSIBLE_HOST ?? 'https://plausible.io'
+  ).replace(/\/+$/, '');
+  const domain = process.env.NEXT_PUBLIC_PLAUSIBLE_DOMAIN;
+
+  if (!domain) return null; // fail-soft
+
+  return (
+    <Script
+      strategy="afterInteractive"
+      defer
+      data-domain={domain}
+      data-api={`${host}/api/event`}
+      src={`${host}/js/script.js`}
+    />
+  );
+}
+```
+
+```typescript
+// Custom-Events ohne PII
+const trackPlausibleEvent = (name: string, props?: Record<string, string | number>) => {
+  if (typeof window === 'undefined') return;
+  const w = window as any;
+  if (typeof w.plausible === 'function') {
+    w.plausible(name, { props });
+  }
+};
+
+// OK: trackPlausibleEvent('signup_clicked', { plan: 'pro' });
+// NICHT OK: trackPlausibleEvent('user_login', { email: 'a@b.de' });  // PII-Verbot
+```
+
+## 4. AVV / DPA
+
+- **DPA-Link**: https://plausible.io/dpa.pdf
+- **GDPR-konform-Statement**: https://plausible.io/data-policy
+- **Sub-Processors**: Hetzner (Hosting, DE), Mailgun EU (E-Mail-Versand für Reports)
+
+## 5. DSE-Wording-Vorlage
+
+> **Reichweitenmessung mit Plausible Analytics.** Wir nutzen Plausible
+> Analytics (Anbieter: Plausible Insights OÜ, Tallinn, Estland) als
+> Werkzeug zur anonymen Reichweitenmessung. Plausible setzt **keine
+> Cookies** und speichert **keine personenbezogenen Daten** — IP-Adressen
+> werden serverseitig nicht gespeichert, sondern über einen Hash anonym
+> aggregiert. Die Daten verbleiben in der EU (Hetzner-Server in
+> Deutschland). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes
+> Interesse an aggregierter Reichweitenmessung). Wegen der vollständigen
+> Anonymisierung ist eine Einwilligung nach § 25 TDDDG **nicht
+> erforderlich** (kein Speichern von Informationen in der Endeinrichtung).
+> Datenschutz Plausible: https://plausible.io/privacy.
+
+**Wichtig:** Diese Wording-Variante gilt nur bei Default-Plausible (cookieless + ohne Custom-Events mit PII). Bei Outbound-Link-Tracking + zusätzlichen Skript-Features erweitern.
+
+## 6. Verify-Commands
+
+```bash
+# Cookies-Check (sollte KEINE plausible-Cookies setzen)
+curl -s -c /tmp/cookies.txt https://<your-domain> > /dev/null
+grep -i plausible /tmp/cookies.txt
+# erwarte: kein Treffer
+
+# Skript-Source
+curl -s https://<your-domain> | grep -oE 'data-domain="[^"]+"'
+# erwarte: deine Domain
+```
+
+## 7. Az.-Anker (Cookies allgemein, nicht plausible-spezifisch)
+
+Keine spezifische Az. zu Plausible (zu jung). Allgemein: § 25 TDDDG-Befreiung gilt für Reichweitenmessung mit echter Anonymisierung — kommt aus EDPB Guidelines 2/2023 zur „Audience Measurement"-Ausnahme.
+
+Source: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy_en

package/skills/compliance/aegis-native/brutaler-anwalt/references/templates/AffiliateDisclaimer.tsx.example

@@ -0,0 +1,54 @@
+// MIT-License — anonymized teaching snippet for brutaler-anwalt
+// References: checklisten.md Checkliste 3c (UWG § 5a Abs. 4)
+// Az.-Anker: LG Muenchen I 4 HK O 14302/15 (Influencer-Werbung als "Werbung"/"Anzeige")
+
+// File: src/components/shared/AffiliateDisclaimer.tsx
+// Use: import + render at top of any /empfehlungen, /partnerprogramm, /tipp,
+//      /best-of route. Pflicht: visible above-the-fold + before product listing.
+
+import React from 'react';
+
+interface AffiliateDisclaimerProps {
+  /** optional override of default copy */
+  text?: string;
+  /** className override for layout-specific styling */
+  className?: string;
+}
+
+const DEFAULT_TEXT =
+  'Werbehinweis: Diese Seite enthält Affiliate-Links (mit * markiert). ' +
+  'Wenn Sie über einen solchen Link einkaufen, erhalten wir eine kleine ' +
+  'Provision. Für Sie entstehen dadurch keine Mehrkosten. Diese Provision ' +
+  'finanziert unsere Arbeit und beeinflusst nicht unsere Empfehlung.';
+
+export function AffiliateDisclaimer({
+  text = DEFAULT_TEXT,
+  className = '',
+}: AffiliateDisclaimerProps) {
+  return (
+    <aside
+      role="note"
+      aria-label="Werbehinweis"
+      className={`affiliate-disclaimer ${className}`.trim()}
+      data-testid="affiliate-disclaimer"
+    >
+      <p>{text}</p>
+    </aside>
+  );
+}
+
+// USAGE (example layout, e.g., src/app/(dashboard)/empfehlungen/layout.tsx):
+//
+//   import { AffiliateDisclaimer } from '@/components/shared/AffiliateDisclaimer';
+//   export default function EmpfehlungenLayout({ children }) {
+//     return (
+//       <>
+//         <AffiliateDisclaimer />
+//         {children}
+//       </>
+//     );
+//   }
+//
+// VERIFY:
+//   curl https://<your-domain>/empfehlungen | grep -ic 'Werbehinweis'
+//   # erwarte: >= 1 Treffer

package/skills/compliance/aegis-native/brutaler-anwalt/references/templates/COMPLIANCE-AUDIT-TRAIL-template.md

@@ -0,0 +1,95 @@
+---
+license: MIT
+purpose: Audit-Trail-Doku-Vorlage. Wird von brutaler-anwalt-Audit als geshippter Bericht erstellt.
+references: SKILL.md Output-Format
+---
+
+# Compliance-Audit-Trail — `<projekt-name>`
+
+**Stand:** `<YYYY-MM-DD>`
+**Auditor:** brutaler-anwalt v`<version>` + `<operator>`
+**Scope:** `<Live-URL / Repo / Doku>`
+**Status:** `<DRAFT / FREIGEGEBEN / IN REMEDIATION>`
+
+---
+
+## 0. Disclaimer
+
+Diese Analyse ist keine Rechtsberatung i.S.d. § 2 RDG (BGH I ZR 113/20 Smartlaw)
+und ersetzt keinen zugelassenen Rechtsanwalt. Output ist technisch-indikativ
+fuer interne Vorpruefung — nicht Beratung Dritter.
+
+---
+
+## 1. Konsolidierte Risiko-Bewertung
+
+`<2-4 Saetze: Wahrscheinlichkeit Abmahnung/Bussgeld binnen 90 Tagen, €-Range,
+kritischste 1-3 Findings, primaerer Hebel.>`
+
+---
+
+## 2. Findings (verified)
+
+| # | Wahrsch. | Kritikalitaet | Bereich | Rechtsgrundlage | €-Range | Status | Fix |
+|---|----------|---------------|---------|-----------------|---------|--------|-----|
+| 1 | `<%>` | `<🔴/🟡/🟢>` | `<Bereich>` | `<§/Art.>` | `<X-Y €>` | verified | `<konkret>` |
+
+---
+
+## 3. Anwalts-Anhang (pro Finding)
+
+### Finding #`<n>`: `<Bereich + Kurzbeschreibung>`
+
+**HUNTER-Befund:**
+`<Was wurde gefunden, wo, wie. Code/Text-Zitat wenn moeglich.>`
+
+**Rechtsgrundlage:**
+- §/Art.: `<konkret>`
+- Az. relevantes Urteil: `<LG/OLG/BGH/EuGH + Datum>` (Source: `<URL>`)
+- Tenor: `<1 Satz>`
+
+**CHALLENGER-Test:**
+- Bedingung A: `<erfuellt/nicht erfuellt>`
+- Bedingung B: `<...>`
+- Verdict: `<verified/disputed/false-positive>`
+
+**Risiko-Vektor:**
+- Abmahnung Wettbewerber: `<%>`
+- Behoerden-Bussgeld: `<€-Range, Stufe Art. 83 DSGVO>`
+- Schadensersatz Betroffene: `<Art. 82 DSGVO>`
+- Worst-Case-Frist: `<Tage>`
+
+**Fix:**
+`<Konkrete technische ODER textuelle Massnahme.>`
+
+---
+
+## 4. Verifikations-Status (Skill-Self-Test)
+
+| Verification-Check | Status |
+|--------------------|--------|
+| References geladen (audit-patterns.md + topic-spezifische) | `<✓/✗>` |
+| Jedes Finding hat §/Art. + Az. + Reference-File-Pfad | `<✓/✗>` |
+| Az.-Provenance verifiziert (Source-URL pro Az.) | `<✓/✗>` |
+| HUNTER-Phase fuer alle Inputs durchlaufen | `<✓/✗>` |
+| CHALLENGER-Phase pro Finding | `<✓/✗>` |
+| SYNTHESIZER-Konsolidierung gemacht | `<✓/✗>` |
+| Risk-Klassifikation pro Fix | `<✓/✗>` |
+| Disclaimer am Output-Ende | `<✓/✗>` |
+| Sanitization-Check (keine internen Brand-Refs im Output) | `<✓/✗>` |
+| DEVIL'S ADVOCATE durchgelaufen | `<✓/✗>` |
+| LIVE-PROBE durchgelaufen (falls verfuegbar) | `<✓/✗>` |
+
+---
+
+## 5. Naechste Schritte
+
+| Prio | Aktion | Owner | Frist |
+|------|--------|-------|-------|
+| 🔴 | `<...>` | `<...>` | `<...>` |
+
+---
+
+*Diese Analyse ersetzt keine anwaltliche Beratung. Fuer verbindliche
+Rechtsauskunft empfehle ich die Konsultation eines Fachanwalts fuer
+IT-Recht / Datenschutzrecht.*

package/skills/compliance/aegis-native/brutaler-anwalt/references/templates/DSE-Section-UGC.md.example

@@ -0,0 +1,77 @@
+---
+license: MIT
+purpose: DSE-Block-Vorlage fuer UGC-Plattformen (Vermisst, Marketplace, Forum, Profile).
+references: audit-patterns.md Phase 5c UGC-PUBLIC-PII-AUDIT
+sources: Art. 6 Abs. 1 lit. a + lit. f DSGVO + EuGH C-131/12 Google Spain + DSA Art. 16
+---
+
+# DSE-Section: User-Generated-Content (UGC) — Vorlage
+
+> Dieser Block gehoert in deine Datenschutzerklaerung wenn deine Plattform
+> oeffentlich abrufbare User-Posts hat (Vermisst-Inserate, Marketplace-Listings,
+> Forum-Threads, oeffentliche Profile, oeffentliche Kommentare).
+
+## `<N>`. Nutzer-veroeffentlichte Inhalte (UGC)
+
+### `<N>.1` Welche Daten werden veroeffentlicht?
+
+Wenn Sie als Nutzer einen Beitrag in `<unsere-Plattform>` (z.B. ein
+Vermisst-Inserat, eine Marketplace-Anzeige, einen Forum-Beitrag, ein
+oeffentliches Profil) veroeffentlichen, sind folgende Daten oeffentlich
+abrufbar:
+
+- `<Auflistung der Felder>`, z.B.: Vorname, Stadt, Telefonnummer, E-Mail,
+  Foto, Tier-Daten, freier Text
+
+Diese Daten sind nach Veroeffentlichung **fuer alle Internetnutzer
+einsehbar**, koennen von Suchmaschinen indexiert werden und ggf. von
+Drittanbietern (Wayback Machine, Google Cache) gespeichert werden.
+
+### `<N>.2` Rechtsgrundlage
+
+Art. 6 Abs. 1 lit. a DSGVO — Einwilligung. Die Einwilligung wird beim
+Abschicken des Posting-Formulars durch eine Pflicht-Checkbox eingeholt
+(siehe Posting-Form in der App / auf der Website). Die Checkbox ist nicht
+vorausgewaehlt; ohne aktive Bestaetigung kann kein Post abgeschickt werden.
+
+### `<N>.3` Speicherdauer
+
+`<konkret, z.B.: "Vermisst-Inserate werden 90 Tage nach dem Status
+\"gefunden\" automatisch geloescht. Marketplace-Anzeigen verfallen 30 Tage
+nach Inaktivitaet. Forum-Beitraege werden bis zur expliziten Loeschung durch
+den Nutzer aufbewahrt.">`
+
+Die automatischen Loesch-Cron-Jobs sind dokumentiert (siehe
+`references/templates/data-retention-cron.ts.example` als Pattern).
+
+### `<N>.4` Recht auf Loeschung (Art. 17 DSGVO)
+
+Sie koennen Ihre Beitraege jederzeit selbst loeschen ueber `<Pfad zum
+Loeschen-UI>`. Wir setzen zusaetzlich `X-Robots-Tag: noindex` Header auf
+allen UGC-Detail-Pages mit personenbezogenen Daten — damit Suchmaschinen
+nicht in den Cache nehmen, was Sie spaeter loeschen wollen
+(Az.-Anker: EuGH C-131/12 Google Spain). Wir leiten Loesch-Anfragen
+auf Wunsch auch an Google / Bing / DuckDuckGo weiter
+(siehe Hilfe-FAQ `<URL>` fuer Anleitung).
+
+### `<N>.5` Notice-and-Action gem. DSA (Art. 16)
+
+Bei rechtswidrigen UGC-Inhalten haben Sie ein Notice-and-Action-Recht.
+Reichen Sie eine Meldung ein unter `<URL zum Report-Endpoint>` oder per
+E-Mail an `<email>`. Wir reagieren innerhalb von `<X>` Tagen (DSA Art. 16
+verlangt unverzuegliche Bearbeitung; bei Strafverfolgungs-relevanten
+Inhalten unverzuegliche Behoerden-Meldung).
+
+### `<N>.6` Empfehlung an Nutzer
+
+Wir empfehlen, in oeffentlichen UGC-Posts:
+- nicht die Privatadresse, nur Stadt
+- bevorzugt eine sekundaere E-Mail-Adresse oder Plattform-interne Inbox
+- bei Telefonnummer pruefen ob Kontakt-Formular reicht
+
+`<weitere Branchen-spezifische Hinweise>`
+
+---
+
+*Disclaimer: technisch-indikative Vorlage, keine Rechtsberatung i.S.d. § 2 RDG.
+Vor produktivem Einsatz von Fachanwalt fuer Datenschutzrecht pruefen lassen.*

package/skills/compliance/aegis-native/brutaler-anwalt/references/templates/DSFA-template.md

@@ -0,0 +1,76 @@
+---
+license: MIT
+purpose: Generische DSFA-Vorlage (Art. 35 DSGVO). Anonym, brand-agnostic.
+references: dsgvo.md (DSFA-Trigger-Liste)
+sources: BayLDA-Hinweise zur DSFA + DSK-Whitelist 2018
+---
+
+# Datenschutz-Folgenabschaetzung (DSFA) — Vorlage
+
+> Diese Vorlage erfuellt Art. 35 DSGVO + DSK-Whitelist 2018 + BayLDA-Hinweise.
+> Kein Ersatz fuer anwaltliche Bewertung. Vor Inbetriebnahme der Verarbeitung
+> intern abnehmen lassen (Datenschutzbeauftragter / interner Compliance-Officer).
+
+## 1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)
+
+| Feld | Wert |
+|------|------|
+| Verantwortlicher | `<Operator-Firma>` |
+| Anschrift | `<vollstaendige-Anschrift>` |
+| Kontakt DSB | `<email-DSB>` (sofern bestellt) |
+| DSFA-Datum | `<YYYY-MM-DD>` |
+| DSFA-Version | `<vN.N>` |
+
+## 2. Beschreibung der Verarbeitung (Art. 35 Abs. 7 lit. a DSGVO)
+
+- **Verarbeitungszweck**: `<Zweck>`
+- **Datenkategorien**: `<Kategorien>` (z.B. Stammdaten, Kontaktdaten, Nutzungsdaten, ggf. besondere Kategorien Art. 9)
+- **Betroffene Personen**: `<Personenkreis>`
+- **Empfaenger**: `<intern>` / `<Auftragsverarbeiter>` / `<Drittland>`
+- **Speicherdauer**: `<Frist>` (mit gesetzlichem Anker)
+- **Rechtsgrundlage**: Art. 6 Abs. 1 lit. `<a/b/c/d/e/f>` DSGVO `<+ Art. 9 lit. X falls relevant>`
+
+## 3. Notwendigkeit + Verhaeltnismaessigkeit (Art. 35 Abs. 7 lit. b)
+
+- **Notwendigkeit**: warum diese Daten?
+- **Datenminimierung**: was wurde weggelassen?
+- **Pseudonymisierung / Anonymisierung**: wo moeglich?
+
+## 4. Risiken fuer Betroffene (Art. 35 Abs. 7 lit. c)
+
+| Risiko-Kategorie | Bewertung | Begruendung |
+|------------------|-----------|-------------|
+| Identitaetsdiebstahl | `<niedrig/mittel/hoch>` | `<...>` |
+| Diskriminierung | `<...>` | `<...>` |
+| Reputations-/Vermoegensschaden | `<...>` | `<...>` |
+| Profiling | `<...>` | `<...>` |
+| Verlust Kontrolle ueber Daten | `<...>` | `<...>` |
+
+## 5. Abhilfemassnahmen (Art. 35 Abs. 7 lit. d)
+
+| Massnahme | Implementierungsstatus | Verify-Command |
+|-----------|------------------------|----------------|
+| Verschluesselung at-rest (TLS, DB) | `<umgesetzt>` | `<curl -sI ...>` |
+| Verschluesselung in-transit | `<umgesetzt>` | `<...>` |
+| Zugriffsbeschraenkung (RBAC) | `<...>` | `<...>` |
+| Audit-Logging | `<...>` | `<...>` |
+| Datenminimierung in Logs | `<...>` | `<...>` |
+| Auto-Cleanup nach Frist | `<...>` | `<...>` |
+| TOMs (Art. 32 DSGVO) | `<verweis>` | `<...>` |
+
+## 6. Konsultations-Pflicht (Art. 36 DSGVO)
+
+- Wenn nach Massnahmen Risiko **weiterhin hoch** → Pflicht, Aufsichtsbehoerde
+  zu konsultieren VOR Beginn der Verarbeitung.
+- Frist Aufsichtsbehoerde: 8 Wochen (verlaengerbar 6 Wochen).
+
+## 7. Review-Frist
+
+DSFA mindestens jaehrlich oder bei wesentlicher Aenderung der Verarbeitung
+ueberpruefen. Naechstes Review: `<YYYY-MM-DD>`.
+
+---
+
+*Disclaimer: Diese Vorlage ist eine technisch-indikative Hilfe, keine Rechtsberatung
+i.S.d. § 2 RDG. Vor produktivem Einsatz von einem Fachanwalt fuer Datenschutzrecht
+oder einem zertifizierten Datenschutzbeauftragten pruefen lassen.*

package/skills/compliance/aegis-native/brutaler-anwalt/references/templates/LostFoundReportForm-consent.tsx.example

@@ -0,0 +1,126 @@
+// MIT-License — anonymized teaching snippet for brutaler-anwalt
+// References: audit-patterns.md Phase 5c UGC-PUBLIC-PII-AUDIT
+// Pattern: Posting-Form mit Pflicht-Checkbox "wird oeffentlich" (Art. 7 DSGVO Einwilligung)
+
+// File: src/components/forms/LostFoundReportForm.tsx (Beispiel: Vermisst-Inserat)
+// Generalisierbar fuer: Marketplace-Inserate, Forum-Threads, oeffentliche Profile.
+
+'use client';
+
+import { useState, FormEvent } from 'react';
+
+interface LostFoundFormState {
+  petName: string;
+  city: string;
+  contactPhone: string;
+  contactEmail: string;
+  description: string;
+  photo: File | null;
+  // Pflicht-Consent — ohne diesen kein Submit
+  publicConsent: boolean;
+  // Optional zusaetzlich: Speicherdauer-Consent + DSE-Akzeptanz
+  privacyAccepted: boolean;
+}
+
+const initialState: LostFoundFormState = {
+  petName: '',
+  city: '',
+  contactPhone: '',
+  contactEmail: '',
+  description: '',
+  photo: null,
+  publicConsent: false,
+  privacyAccepted: false,
+};
+
+export function LostFoundReportForm() {
+  const [form, setForm] = useState<LostFoundFormState>(initialState);
+  const [error, setError] = useState<string | null>(null);
+  const [submitting, setSubmitting] = useState(false);
+
+  // Submit-Gate — Pflicht-Checkbox + DSE-Akzeptanz
+  const canSubmit =
+    form.publicConsent &&
+    form.privacyAccepted &&
+    form.petName.length > 0 &&
+    form.city.length > 0 &&
+    (form.contactPhone.length > 0 || form.contactEmail.length > 0);
+
+  async function handleSubmit(e: FormEvent) {
+    e.preventDefault();
+    setError(null);
+    if (!canSubmit) {
+      setError('Bitte fuelle alle Pflichtfelder aus und bestaetige beide Hinweise.');
+      return;
+    }
+    setSubmitting(true);
+    try {
+      const fd = new FormData();
+      Object.entries(form).forEach(([k, v]) => {
+        if (v instanceof File) fd.append(k, v);
+        else if (typeof v === 'boolean') fd.append(k, v ? 'true' : 'false');
+        else fd.append(k, String(v));
+      });
+      const res = await fetch('/api/lost-found', { method: 'POST', body: fd });
+      if (!res.ok) throw new Error(`Server returned ${res.status}`);
+      // erfolgreich — redirect / toast
+    } catch (err) {
+      setError(String(err));
+    } finally {
+      setSubmitting(false);
+    }
+  }
+
+  return (
+    <form onSubmit={handleSubmit} className="lost-found-form">
+      {/* ... regular fields ... */}
+
+      {/* PFLICHT-Consent — sichtbar, NICHT vorausgewaehlt */}
+      <fieldset className="consent-block" aria-required="true">
+        <legend>Veroeffentlichungs-Hinweise (Pflicht)</legend>
+
+        <label className="consent-row">
+          <input
+            type="checkbox"
+            checked={form.publicConsent}
+            onChange={(e) => setForm({ ...form, publicConsent: e.target.checked })}
+            required
+          />
+          <span>
+            Ich habe verstanden, dass dieser Beitrag <strong>oeffentlich
+            abrufbar</strong> ist und in Suchmaschinen erscheinen koennte.
+            Telefonnummer/E-Mail werden bewusst veroeffentlicht, damit Finder
+            Kontakt aufnehmen koennen.
+          </span>
+        </label>
+
+        <label className="consent-row">
+          <input
+            type="checkbox"
+            checked={form.privacyAccepted}
+            onChange={(e) => setForm({ ...form, privacyAccepted: e.target.checked })}
+            required
+          />
+          <span>
+            Ich akzeptiere die <a href="/datenschutz" target="_blank">
+              Datenschutzerklaerung</a> und stimme der Verarbeitung gem. Art. 6
+            Abs. 1 lit. a DSGVO zu. Ich kann den Beitrag jederzeit selbst
+            loeschen.
+          </span>
+        </label>
+      </fieldset>
+
+      {error && <div role="alert" className="form-error">{error}</div>}
+
+      <button type="submit" disabled={!canSubmit || submitting}>
+        {submitting ? 'Wird abgeschickt…' : 'Vermisst-Inserat veroeffentlichen'}
+      </button>
+    </form>
+  );
+}
+
+// VERIFY:
+//   - Server-Side: API muss `publicConsent === true` UND `privacyAccepted === true` enforcen
+//     (Client-Disable allein reicht nicht — Browser-Devtools koennen den Disable umgehen).
+//   - Audit-Log: pro Posting consentId + IP-prefix + Zeitpunkt + Form-Version speichern
+//     (Rechenschaftspflicht Art. 5 Abs. 2).