rebreak-monorepo/docs/internal/PRIVACY_POLICY_USER_NOTES.md

Rebreak — Privacy-Policy User-Notes (DSB-Begleitdokument)

Stand: 2026-05-09 Verfasser: Hans Müller (externer DSB i.V.) Adressat: Chahine Brini (Inhaber Rebreak / künftig Raynis GmbH) Kontext: Begleitnotiz zur veröffentlichten Datenschutzerklärung v1 vom 09.05.2026

---

ACHTUNG — HIGH-PRIO Flag

User wünscht ausdrücklich KEIN separates Consent-UI für die Stufe-1-Übertragung von Lyra-Chat-Inhalten an Groq/Anthropic. Die Transparenz wird ausschließlich über § 11 Abs. 2–3 der Datenschutzerklärung sowie die übergeordnete Art. 9 Abs. 2 lit. a- Einwilligung beim Lyra-Onboarding hergestellt.

DSB-Bewertung: Vertretbar bei Stufe 1, da kein Klarname/keine E-Mail/keine Account-ID übermittelt wird. Voraussetzung: das Lyra-Onboarding muss eine echte, granulare, vorab-eingeholte Einwilligung sein (nicht im AGB-Sammelhaken). Sobald identifizierende Inhalte im Chat stehen, ist Stufe 2 Pflicht. Ziel-Datum für Stufe 2: Q3 2026 (siehe Migrations-Plan unten).

---

1. TODO — DPA / AVV-Status der 12 Sub-Auftragsverarbeiter

#	Anbieter	Sitz	DPA-Status	TIA	Action
1	Hetzner Online GmbH	DE (EU)	TODO — Standard-AVV vorbereitet	n/a	Bei Hetzner: Anhang 4 + 5 ausfüllen, gegenzeichnen lassen
2	Stripe Payments Europe Ltd.	IE (EU) → Stripe Inc. (USA)	TODO — Stripe-DPA online akzeptieren (Dashboard)	TODO leichtgewichtig	https://stripe.com/legal/dpa
3	Groq, Inc.	USA	OFFEN — auf Groq-DPA warten / via Sales anfragen	TODO PFLICHT	Hoch-Prio: Groq Sales kontaktieren falls kein Self-Service DPA
4	Anthropic PBC	USA	TODO — Anthropic Commercial-Terms + DPA-Addendum	TODO PFLICHT	https://www.anthropic.com/legal/commercial-terms
5	OpenRouter, Inc.	USA	OFFEN — DPA-Verfügbarkeit unklar, ggf. nicht produktiv nutzen	TODO PFLICHT	Falls keine SCCs verfügbar: Provider rauswerfen
6	Cartesia, Inc.	USA	OFFEN — DPA anfordern	TODO PFLICHT	Falls TTS optional: erst aktivieren, wenn DPA vorliegt
7	ElevenLabs Inc.	USA	TODO — ElevenLabs Enterprise-DPA	TODO PFLICHT	https://elevenlabs.io/dpa
8	Deepgram, Inc.	USA	TODO — Deepgram-DPA via Account-Manager	TODO PFLICHT	Falls STT optional: erst aktivieren, wenn DPA vorliegt
9	Cloudflare, Inc.	USA (EU-Edge)	TODO — Cloudflare-DPA online	leichtgewichtig	https://www.cloudflare.com/cloudflare-customer-dpa/
10	Apple Inc. (APNs)	USA	abgedeckt durch Apple Developer Program License Agreement	leichtgewichtig	Existierender ADP-Vertrag enthält DPA-Anhang
11	Google LLC (FCM)	USA	TODO — Firebase-DPA via Console	leichtgewichtig	https://firebase.google.com/terms/data-processing-terms
12	Infisical Inc.	USA	TODO — DPA falls verfügbar; ohne Endnutzer-PII niedrige Prio	n/a	Niedrige Prio (nur tech-Secrets, keine Endnutzer-Daten)

Zusammenfassung: 0 von 12 DPAs aktuell formal abgeschlossen. Empfehlung: Hetzner + Stripe + Anthropic + Groq + Cloudflare + Firebase als Top-6 priorisieren (decken die materiellen Drittland-Übertragungen ab). Realistisches Zeitfenster: 4–6 Wochen.

---

2. Anwalt-Review-Checkliste — 3 kritische Punkte

Ich (DSB) bin kein Rechtsanwalt. Folgende Passagen sind vor produktiver Veröffentlichung der Policy zwingend durch eine im IT-/Datenschutzrecht spezialisierte Kanzlei zu prüfen.

2.1 Pro-Trial als Gegenleistung für demographische Daten — Risk: HOCH

Stelle: § 5 Abs. 4 Datenschutzerklärung („Pro-Trial-Reward") Norm: Art. 7 Abs. 4 DSGVO (Kopplungsverbot), EDSA-Leitlinien 05/2020 Risiko: Aufsichtsbehörden bewerten „Vorteil gegen Datenpreisgabe" zunehmend restriktiv. Argumentation „Pro-Features gehen über Kernleistung hinaus" ist tragfähig, aber nicht risikolos. Anwaltsfrage: Reicht die transparente Darstellung + jederzeitige Widerrufsmöglichkeit + keine-Kopplung-an-Kernfunktion-Klausel zur Rechtfertigung? Empfehlung: alternative Formulierungen (z. B. „Anerkennung" statt „Belohnung"), ggf. Ergänzung um pseudonyme Erhebungs-Variante als Default.

2.2 LLM-Übertragung Stufe 1 ohne separates Consent-UI — Risk: MITTEL

Stelle: § 11 Abs. 2–3 Norm: Art. 9 Abs. 2 lit. a DSGVO, Erwägungsgrund 32 (Granularität der Einwilligung), Art. 12 DSGVO (Verständlichkeit) Risiko: Aufsichtsbehörden könnten argumentieren, dass die spezifische Drittland-Übertragung von Gesundheitsdaten an US-LLM-Anbieter eine eigene, granulare Einwilligung erfordert. Anwaltsfrage: Reicht die übergeordnete Lyra-Onboarding-Einwilligung + transparente Darstellung in der Datenschutzerklärung aus? Falls nein: Mindest-Anforderung an UI-Hinweis (z. B. einmalige In-Chat-Notiz „Lyra-Antworten werden via US-Anbieter generiert", ohne Klick-Block) festlegen. User-Position: kein separates Consent-UI gewünscht — Anwalt soll konkret ja/nein dazu sagen.

2.3 Übergangsklausel Einzelunternehmer → Raynis GmbH — Risk: MITTEL

Stelle: § 1 Abs. 2 Norm: Art. 7 DSGVO (Einwilligung gegenüber konkretem Verantwortlichen), § 25 UmwG / Asset-Deal-Mechanik, Erwägungsgrund 42 DSGVO Risiko: Bestehende Einwilligungen wurden gegenüber „Chahine Brini, einzelkaufmännisch" erteilt. Ein einseitiger „Geht-auf-die-GmbH-über"-Hinweis kann nach Aufsichtsbehörden- Lesart unzureichend sein — insbesondere bei Art. 9-Daten. Anwaltsfrage: Reicht eine vorab-Information per E-Mail + In-App-Notice zur Übertragung der Einwilligung auf die GmbH, oder muss eine erneute aktive Bestätigung („Re-Consent") eingeholt werden? Gilt unterschiedliche Behandlung für Art. 6 vs. Art. 9 Daten? Wir empfehlen, als Default einen Re-Consent-Flow vorzubereiten und ggf. nicht zu nutzen, falls Anwalt Entwarnung gibt.

---

3. Stufe-2-Migrations-Plan: Lyra-Pseudonymisierung (Q3 2026)

Ziel

Pre-Processing-Layer im backend zwischen coach/sos-stream-Endpoint und LLM-Provider, der personenbezogene Entitäten (Namen, Orte, E-Mails, Telefonnummern, IBANs, Verein-/Firmennamen) maskiert, BEVOR der Prompt das Backend verlässt.

Technische Schritte (high-level Spec, Detail-Spec geht an rebreak-backend)

1. Library-Auswahl (KW 27–28 / Juli 2026):

   • Kandidaten: @microsoft/presidio-analyzer (Python, via Sidecar), compromise (JS, lightweight), self-hosted spaCy-Service mit dt. Modell.
   • Trade-off: Latenz vs. Recall. Ziel: < 80 ms p95-Overhead pro Nachricht.

2. Maskierungs-Mapping (KW 28):

   • Pro Conversation eine ephemere ID-Tabelle (memory-only, 30 min TTL).
   • Maskierungen: [PERSON_1], [ORT_1], [EMAIL], [PHONE].
   • Re-Substitution beim Streaming-Output: vor dem Senden an Client zurückübersetzen (User soll seine eigenen Namen wieder sehen).

3. Backend-Hook (KW 29):

   • Neuer Service backend/server/services/pii-mask.ts mit zwei Funktionen: maskBeforeLLM(prompt, conversationId) und unmaskAfterLLM(stream, conversationId).
   • Integration in backend/server/api/coach/sos-stream.get.ts.

4. Telemetrie + Eval (KW 30–31):

   • Anonymisierte Metriken: Anzahl Maskierungen pro Nachricht, Latenz, False-Positive- Rate (manuelle Stichprobe von 200 Konversationen).
   • DSFA-Update mit Stufe-2-Beschreibung.

5. Privacy-Policy-Update (KW 32):

   • § 11 Abs. 2 in Stufe-1- und Stufe-2-Beschreibung umstellen.
   • Versionierungs-Hinweis nach § 16.

Voraussetzungen / Blocker

• DPAs aller LLM-Anbieter müssen vorher unterschrieben sein (siehe Punkt 1).
• DSFA-Update muss parallel laufen (Hans Müller).
• Backend-Sprint mit ca. 8–12 Personentagen Aufwand schätzbar.

---

4. Backyard-Migration-Empfehlung — Marketing-Site / Privacy-Page

Status quo

• datenschutz.vue und (neu) privacy-policy.vue liegen aktuell im trucko-monorepo unter apps/rebreak/app/pages/.
• Deployment der Marketing-Site läuft separat (nicht über Hetzner-Backend-Pipeline).

Empfehlung an rebreak-strategist + backyard

Die öffentlich kommunizierte Datenschutzerklärung sollte mittelfristig im rebreak-monorepo leben und über die etablierte Hetzner-Pipeline deployt werden. Begründung:

1. Versionskontrolle + Audit-Trail — bei einer DiGA-Anwendung ist die Historie der Datenschutzerklärung als Compliance-Nachweis relevant. Liegt sie im Hauptrepo, ist sie Teil derselben CI/CD-Logik und Backups wie der Backend-Code.
2. Stand-Konsistenz — derzeitige Trennung führt zu Stand-Drift (Marketing-Site: 01.05.; Backend-Realität: 09.05.). Single-Source-of-Truth-Prinzip.
3. Hetzner-Hosting — Datenresidenz EU/DE-konsistent ohne Cloudflare-Pages-Drittland- Risiko (sofern Marketing-Site aktuell dort läuft).

Action: Backyard-Agent erstellt Migrations-Plan (geschätzt 2 Sprint-Punkte). Bis dahin pflegen wir die Datei in trucko, mit Cross-Reference im rebreak-monorepo (docs/internal/PRIVACY_POLICY_USER_NOTES.md ← du liest sie gerade).

---

5. Risk-Summary (Snapshot 09.05.2026)

Bereich	Risk-Level	Begründung	Mitigation
Drittland-Transfer Lyra (Groq/Anthropic)	KRITISCH bis DPAs vorliegen, danach MITTEL	Art. 9-Daten in USA, FISA 702 Risiko	DPAs + TIA + Stufe-2-Pseudo Q3 2026
Pro-Trial-Kopplung	HOCH	Art. 7 Abs. 4 DSGVO Auslegungs-Risiko	Anwalt-Review + transparente Darstellung
Re-Consent bei Raynis-GmbH-Übergang	MITTEL	Einwilligungs-Adressat ändert sich	Re-Consent-Flow vorbereiten
Demographische Daten	NIEDRIG	Streng user-initiated, klare Trennung von Lyra-Memories	Profile-Form-Validierung
Mail-Schutz-Modul	MITTEL bei Aktivierung	Tiefer Eingriff in Mailbox eines Suchterkrankten	Echte opt-in, granulare Einwilligung
Cookie/Tracking	NIEDRIG	Keine Drittanbieter-Tracker im Einsatz	Keine Action
Push-Notifications	NIEDRIG–MITTEL	APNs/FCM = USA-Transfer + Inhalt kann Gesundheitsbezug haben	Inhalt der Push-Texte minimieren („Du hast eine Erinnerung" statt „Streak gefährdet")
Drittland Anbieter ohne DPA	KRITISCH bis geklärt	OpenRouter, Cartesia, Deepgram unklar	Falls kein DPA: Anbieter rauswerfen

---

6. Nächste Schritte (priorisiert)

1. Diese Woche: Hetzner-AVV + Stripe-DPA + Cloudflare-DPA + Firebase-DPA online abschließen (alle Self-Service, < 2h Aufwand zusammen).
2. KW 20 (12.–18.05.): Anthropic Commercial-Terms / Groq DPA-Anfrage absetzen.
3. KW 20: Anwalt-Termin zu den 3 Punkten in Sektion 2 vereinbaren.
4. KW 21: OpenRouter / Cartesia / Deepgram-Status klären → ggf. aus Verarbeitungs- verzeichnis und § 6-Tabelle streichen, bis DPA vorliegt.
5. KW 22–23: Verarbeitungsverzeichnis (Art. 30 DSGVO) als separates Dokument erstellen (Vorlage GDD / LfD Niedersachsen verwenden).
6. KW 24–28: DSFA gemäß Art. 35 DSGVO finalisieren.
7. Q3 2026: Stufe-2-Pseudonymisierung implementieren.

---

Bei Rückfragen: datenschutz@rebreak.org · Betreff „DSB-Notes v1"