-- Migration 072: Data, HR, Vendor & BCM Policy Templates
-- 15 policy templates: 5 data, 4 HR, 3 vendor, 3 BCM

-- =============================================================================
-- CATEGORY 1: Daten-Policies (5 templates)
-- =============================================================================

-- Template 1: Datenschutzrichtlinie (DSGVO)
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'data_protection_policy',
    'Datenschutzrichtlinie (DSGVO)',
    'Umfassende Datenschutzrichtlinie basierend auf der DSGVO. Definiert Grundsaetze nach Art. 5, Rechtsgrundlagen nach Art. 6, Betroffenenrechte, Rolle des DSB und das Verzeichnis von Verarbeitungstaetigkeiten.',
    $template$# Datenschutzrichtlinie (DSGVO)

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie legt die Grundsaetze und Verfahren fest, mit denen {{COMPANY_NAME}} den Schutz personenbezogener Daten gemaess der Datenschutz-Grundverordnung (DSGVO) sicherstellt.

**Geltungsbereich:**
- Alle Abteilungen und Standorte von {{COMPANY_NAME}}
- Alle Mitarbeiterinnen und Mitarbeiter, Auftragnehmer und Dienstleister
- Alle Verarbeitungstaetigkeiten mit personenbezogenen Daten
- Automatisierte und nicht-automatisierte Verarbeitungen

---

## 2. Grundsaetze der Datenverarbeitung (Art. 5 DSGVO)

{{COMPANY_NAME}} verpflichtet sich zur Einhaltung folgender Grundsaetze:

| Grundsatz | Beschreibung |
|-----------|--------------|
| Rechtmaessigkeit | Verarbeitung nur auf gesetzlicher Grundlage |
| Zweckbindung | Erhebung nur fuer festgelegte, eindeutige Zwecke |
| Datenminimierung | Nur dem Zweck angemessene Daten erheben |
| Richtigkeit | Sachlich richtig und aktuell halten |
| Speicherbegrenzung | Loeschung nach Zweckerfuellung |
| Integritaet und Vertraulichkeit | Angemessene technische und organisatorische Massnahmen |
| Rechenschaftspflicht | Nachweis der Einhaltung aller Grundsaetze |

---

## 3. Rechtsgrundlagen (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten erfordert eine Rechtsgrundlage:

- **Art. 6 Abs. 1 lit. a** — Einwilligung der betroffenen Person
- **Art. 6 Abs. 1 lit. b** — Erfuellung eines Vertrags
- **Art. 6 Abs. 1 lit. c** — Rechtliche Verpflichtung
- **Art. 6 Abs. 1 lit. d** — Schutz lebenswichtiger Interessen
- **Art. 6 Abs. 1 lit. e** — Oeffentliches Interesse
- **Art. 6 Abs. 1 lit. f** — Berechtigtes Interesse (mit Interessenabwaegung)

Die Rechtsgrundlage ist vor Beginn der Verarbeitung zu dokumentieren und im Verzeichnis der Verarbeitungstaetigkeiten festzuhalten.

---

## 4. Betroffenenrechte

{{COMPANY_NAME}} gewaehrleistet die Ausuebung folgender Rechte:

- **Auskunftsrecht (Art. 15)** — Betroffene erhalten innerhalb eines Monats Auskunft
- **Berichtigungsrecht (Art. 16)** — Unrichtige Daten werden unverzueglich korrigiert
- **Recht auf Loeschung (Art. 17)** — Loeschung bei Wegfall des Verarbeitungszwecks
- **Recht auf Einschraenkung (Art. 18)** — Einschraenkung bei Pruefung der Richtigkeit
- **Datenportabilitaet (Art. 20)** — Herausgabe in maschinenlesbarem Format
- **Widerspruchsrecht (Art. 21)** — Widerspruch bei berechtigtem Interesse

Anfragen sind an den Datenschutzbeauftragten zu richten und innerhalb der gesetzlichen Fristen zu bearbeiten.

---

## 5. Datenschutzbeauftragter (DSB)

Der Datenschutzbeauftragte von {{COMPANY_NAME}}:
- Ueberwacht die Einhaltung der DSGVO und dieser Richtlinie
- Beraet die Geschaeftsfuehrung und Fachabteilungen
- Ist Ansprechpartner fuer Betroffene und Aufsichtsbehoerden
- Fuehrt Datenschutz-Folgenabschaetzungen durch (Art. 35 DSGVO)
- Pflegt das Verzeichnis von Verarbeitungstaetigkeiten
- Berichtet direkt an {{GF_NAME}}

---

## 6. Verzeichnis von Verarbeitungstaetigkeiten (Art. 30 DSGVO)

{{COMPANY_NAME}} fuehrt ein vollstaendiges Verzeichnis aller Verarbeitungstaetigkeiten mit folgenden Angaben:
- Zweck der Verarbeitung
- Kategorien betroffener Personen und personenbezogener Daten
- Empfaenger der Daten
- Uebermittlungen an Drittlaender
- Vorgesehene Loeschfristen
- Technische und organisatorische Massnahmen

Das Verzeichnis wird mindestens jaehrlich aktualisiert und der Aufsichtsbehoerde auf Anfrage vorgelegt.

---

## 7. Technische und organisatorische Massnahmen (Art. 32 DSGVO)

{{COMPANY_NAME}} implementiert angemessene Schutzmassnahmen:
- Verschluesselung personenbezogener Daten (Transit und Rest)
- Zugangskontrollen und Berechtigungsmanagement
- Pseudonymisierung wo moeglich
- Regelmaessige Sicherheitstests und Audits
- Verfahren zur Wiederherstellung bei Zwischenfaellen
- Schulung aller Mitarbeiter im Datenschutz

---

## 8. Meldung von Datenschutzverletzungen (Art. 33/34 DSGVO)

Datenschutzverletzungen sind unverzueglich dem DSB zu melden. Die Meldung an die Aufsichtsbehoerde erfolgt innerhalb von 72 Stunden, sofern ein Risiko fuer die Rechte und Freiheiten natuerlicher Personen besteht. Betroffene werden informiert, wenn ein hohes Risiko vorliegt.

---

## 9. Revision

Jaehrliche Pruefung durch den DSB und {{ISB_NAME}}. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'data_protection_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 2: Datenklassifizierungsrichtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'data_classification_policy',
    'Datenklassifizierungsrichtlinie',
    'Richtlinie zur Klassifizierung von Informationen und Daten in vier Schutzstufen. Definiert Kennzeichnungspflichten, Handhabungsvorschriften und Verantwortlichkeiten fuer jede Klassifizierungsstufe.',
    $template$# Datenklassifizierungsrichtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie legt fest, wie Informationen und Daten bei {{COMPANY_NAME}} klassifiziert, gekennzeichnet und behandelt werden. Sie gilt fuer alle physischen und digitalen Informationswerte, unabhaengig vom Speicherort.

**Ziele:**
- Schutz vertraulicher und sensibler Informationen
- Einheitliche Kennzeichnung und Handhabung
- Einhaltung regulatorischer Anforderungen (DSGVO, ISO 27001)
- Sensibilisierung der Mitarbeiter fuer den Wert von Informationen

---

## 2. Klassifizierungsstufen

{{COMPANY_NAME}} verwendet vier Klassifizierungsstufen:

### 2.1 Stufe 1: Oeffentlich

| Merkmal | Beschreibung |
|---------|--------------|
| Kennzeichnung | OEFFENTLICH |
| Risiko bei Offenlegung | Kein Schaden |
| Beispiele | Marketingmaterial, Pressemitteilungen, oeffentliche Webseiten |
| Zugriff | Keine Einschraenkung |

### 2.2 Stufe 2: Intern

| Merkmal | Beschreibung |
|---------|--------------|
| Kennzeichnung | INTERN |
| Risiko bei Offenlegung | Geringer Schaden |
| Beispiele | Interne Mitteilungen, Organigramme, allgemeine Prozessdokumentation |
| Zugriff | Nur Mitarbeiter von {{COMPANY_NAME}} |

### 2.3 Stufe 3: Vertraulich

| Merkmal | Beschreibung |
|---------|--------------|
| Kennzeichnung | VERTRAULICH |
| Risiko bei Offenlegung | Erheblicher Schaden |
| Beispiele | Personaldaten, Vertraege, Finanzdaten, Kundendaten |
| Zugriff | Need-to-know-Prinzip, definierter Personenkreis |

### 2.4 Stufe 4: Streng Vertraulich

| Merkmal | Beschreibung |
|---------|--------------|
| Kennzeichnung | STRENG VERTRAULICH |
| Risiko bei Offenlegung | Schwerwiegender Schaden |
| Beispiele | Geschaeftsgeheimnisse, Kryptoschluessel, M&A-Daten |
| Zugriff | Namentlich benannte Personen, Protokollierung jedes Zugriffs |

---

## 3. Kennzeichnungspflichten

- Alle Dokumente und Dateien sind mit der Klassifizierungsstufe zu kennzeichnen
- Digitale Dokumente: Kennzeichnung in Kopfzeile oder Metadaten
- E-Mails: Klassifizierung im Betreff (z.B. [VERTRAULICH])
- Physische Dokumente: Stempel oder Aufdruck auf jeder Seite
- Nicht gekennzeichnete Informationen gelten als INTERN

---

## 4. Handhabungsvorschriften

### 4.1 Speicherung
- OEFFENTLICH/INTERN: Standard-Speicherorte
- VERTRAULICH: Verschluesselte Speicherung, Zugriffskontrolle
- STRENG VERTRAULICH: Verschluesselte Speicherung, Multi-Faktor-Authentifizierung

### 4.2 Weitergabe
- OEFFENTLICH: Keine Einschraenkung
- INTERN: Nur intern, nicht an Externe ohne Genehmigung
- VERTRAULICH: Nur verschluesselt, NDA erforderlich
- STRENG VERTRAULICH: Nur mit Genehmigung von {{GF_NAME}}, verschluesselt, protokolliert

### 4.3 Vernichtung
- OEFFENTLICH/INTERN: Standard-Loeschverfahren
- VERTRAULICH: Sichere Loeschung (Ueberschreiben, Schredder DIN 66399 Stufe P-4)
- STRENG VERTRAULICH: Zertifizierte Vernichtung (DIN 66399 Stufe P-5 oder hoeher)

---

## 5. Verantwortlichkeiten

- **Dateneigner**: Legt Klassifizierung fest, prueft regelmaessig
- **{{ISB_NAME}}**: Ueberwacht Einhaltung, beraten bei Einstufung
- **Alle Mitarbeiter**: Beachten Kennzeichnung, melden Verstoesse
- **{{GF_NAME}}**: Genehmigt Weitergabe streng vertraulicher Informationen

---

## 6. Pruefung und Reklassifizierung

Klassifizierungen werden mindestens jaehrlich geprueft. Bei Aenderung des Schutzbedarfs erfolgt eine Reklassifizierung durch den Dateneigner in Abstimmung mit {{ISB_NAME}}.

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'data_classification_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 3: Aufbewahrungsrichtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'data_retention_policy',
    'Aufbewahrungsrichtlinie',
    'Richtlinie zur Aufbewahrung und Loeschung von Daten unter Beruecksichtigung gesetzlicher Fristen (HGB, AO, DSGVO). Definiert Datenkategorien, Aufbewahrungsfristen, Loeschverfahren und Archivierungsregeln.',
    $template$# Aufbewahrungsrichtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie regelt die Aufbewahrung, Archivierung und Loeschung von Daten bei {{COMPANY_NAME}}. Sie stellt sicher, dass gesetzliche Aufbewahrungsfristen eingehalten und Daten nach Fristablauf ordnungsgemaess geloescht werden.

**Geltungsbereich:**
- Alle physischen und digitalen Unterlagen
- Alle Abteilungen und Standorte
- Personenbezogene und nicht-personenbezogene Daten

---

## 2. Gesetzliche Grundlagen

| Gesetz | Frist | Anwendungsbereich |
|--------|-------|-------------------|
| HGB § 257 | 6 Jahre | Handelsbriefe, Geschaeftskorrespondenz |
| HGB § 257 | 10 Jahre | Jahresabschluesse, Buchungsbelege, Bilanzen |
| AO § 147 | 6 Jahre | Sonstige steuerlich relevante Unterlagen |
| AO § 147 | 10 Jahre | Buchfuehrung, Rechnungen, Steuerbescheide |
| DSGVO Art. 17 | Nach Zweckerfuellung | Personenbezogene Daten (Loeschpflicht) |
| DSGVO Art. 5 Abs. 1 lit. e | Minimierung | Speicherbegrenzung auf das Notwendige |
| BetrVG | 3 Jahre | Betriebsvereinbarungen nach Kuendigung |
| ArbZG § 16 | 2 Jahre | Arbeitszeitaufzeichnungen |

---

## 3. Datenkategorien und Fristen

### 3.1 Finanzdaten
- Buchungsbelege, Rechnungen, Kontoauszuege: **10 Jahre**
- Geschaeftskorrespondenz: **6 Jahre**
- Fristbeginn: Ende des Kalenderjahres der Erstellung

### 3.2 Personaldaten
- Personalakten: **3 Jahre nach Austritt** (Verjaehrungsfrist)
- Lohn- und Gehaltsabrechnungen: **6 Jahre**
- Lohnsteuerunterlagen: **6 Jahre**
- Sozialversicherungsnachweise: **5 Jahre nach Austritt**
- Bewerbungsunterlagen (abgelehnt): **6 Monate** (AGG-Frist)

### 3.3 Vertragsdaten
- Vertraege: **10 Jahre nach Vertragsende** (Gewaehrleistung, Haftung)
- Handelsregisterunterlagen: **Dauerhafte Aufbewahrung**
- Notarielle Urkunden: **30 Jahre**

### 3.4 IT- und Kommunikationsdaten
- E-Mails (geschaeftsrelevant): **6 Jahre**
- Logdaten (Sicherheit): **90 Tage** (sofern kein Vorfall)
- Backups: **90 Tage** (Rolling-Verfahren)

### 3.5 DSGVO-spezifische Daten
- Einwilligungserklaerungen: **Dauer der Verarbeitung + 3 Jahre**
- Auskunftsanfragen: **3 Jahre**
- Datenschutz-Folgenabschaetzungen: **Dauer der Verarbeitung**

---

## 4. Loeschverfahren

### 4.1 Regelmaessige Loeschung
- Automatisierte Pruefung der Aufbewahrungsfristen (quartalsweise)
- Verantwortliche Fachabteilung bestaetigt Loeschfreigabe
- Dokumentation der Loeschung im Loeschprotokoll

### 4.2 Sichere Loeschung
- Digitale Daten: Ueberschreiben nach BSI-Empfehlung oder zertifizierte Loeschsoftware
- Physische Datentraeger: Vernichtung nach DIN 66399 (Stufe abhaengig von Klassifizierung)
- Cloud-Daten: Verifikation der Loeschung beim Anbieter

### 4.3 Loeschsperren
- Bei laufenden Rechtsstreitigkeiten (Legal Hold)
- Bei behoerdlichen Ermittlungen
- Sperren werden vom DSB und {{GF_NAME}} angeordnet und dokumentiert

---

## 5. Archivierung

- Langzeitarchivierung in revisionssicherem System
- Regelmaessige Pruefung der Lesbarkeit archivierter Daten
- Migrationsplaene fuer veraltete Formate
- Zugriff auf Archive nur fuer berechtigte Personen

---

## 6. Verantwortlichkeiten

- **Fachabteilungen**: Einhaltung der Fristen fuer eigene Daten
- **{{ISB_NAME}}**: Ueberwachung der technischen Loeschprozesse
- **DSB**: Beratung zu DSGVO-konformer Loeschung
- **{{GF_NAME}}**: Genehmigung von Loeschsperren

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'data_retention_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 4: Datenuebermittlungsrichtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'data_transfer_policy',
    'Datenuebermittlungsrichtlinie',
    'Richtlinie zur Uebermittlung personenbezogener Daten an Dritte und in Drittlaender gemaess Art. 44-49 DSGVO. Regelt Angemessenheitsbeschluesse, Standardvertragsklauseln (SCCs), Transfer Impact Assessments und Ausnahmen.',
    $template$# Datenuebermittlungsrichtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie regelt die Uebermittlung personenbezogener Daten durch {{COMPANY_NAME}} an Dritte innerhalb und ausserhalb des Europaeischen Wirtschaftsraums (EWR). Sie stellt sicher, dass alle Datentransfers den Anforderungen der Art. 44-49 DSGVO entsprechen.

**Geltungsbereich:**
- Alle Uebermittlungen personenbezogener Daten an externe Empfaenger
- Konzerninterne Datentransfers
- Cloud-Dienste und SaaS-Anbieter ausserhalb des EWR
- Subunternehmer und Auftragsverarbeiter

---

## 2. Datentransfer innerhalb des EWR

Uebermittlungen innerhalb des EWR erfordern:
- Rechtsgrundlage gemaess Art. 6 DSGVO
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) bei Auftragsverarbeitern
- Dokumentation im Verzeichnis der Verarbeitungstaetigkeiten
- Informationspflichten gegenueber Betroffenen (Art. 13/14 DSGVO)

---

## 3. Datentransfer in Drittlaender (Art. 44-49 DSGVO)

### 3.1 Angemessenheitsbeschluesse (Art. 45 DSGVO)

Uebermittlungen sind zulaessig in Laender mit Angemessenheitsbeschluss der EU-Kommission. {{COMPANY_NAME}} fuehrt eine aktuelle Liste anerkannter Laender und prueft Aenderungen quartalsweise.

### 3.2 Standardvertragsklauseln (SCCs, Art. 46 Abs. 2 lit. c)

Ohne Angemessenheitsbeschluss sind SCCs (Durchfuehrungsbeschluss 2021/914) abzuschliessen:
- Modul 1: Controller zu Controller
- Modul 2: Controller zu Processor
- Modul 3: Processor zu Processor
- Modul 4: Processor zu Controller

### 3.3 Transfer Impact Assessment (TIA)

Vor jeder Uebermittlung auf Basis von SCCs fuehrt {{COMPANY_NAME}} eine Bewertung durch:
- Rechtslage im Empfaengerland (Ueberwachungsgesetze, Zugriff durch Behoerden)
- Technische Zusatzmassnahmen (Verschluesselung, Pseudonymisierung)
- Vertragliche Zusatzmassnahmen
- Organisatorische Massnahmen
- Dokumentation der Risikoabwaegung

### 3.4 Binding Corporate Rules (Art. 47 DSGVO)

Fuer konzerninterne Uebermittlungen koennen verbindliche interne Datenschutzvorschriften eingesetzt werden, sofern von der zustaendigen Aufsichtsbehoerde genehmigt.

### 3.5 Ausnahmen (Art. 49 DSGVO)

Nur in Einzelfaellen zulaessig:
- Ausdrueckliche Einwilligung nach Aufklaerung ueber Risiken
- Vertragserfuellung
- Wichtige Gruende des oeffentlichen Interesses
- Geltendmachung von Rechtsanspruechen

---

## 4. Genehmigungsverfahren

Vor jeder neuen Drittlanduebermittlung:

1. Fachabteilung stellt Antrag beim DSB
2. DSB prueft Rechtsgrundlage und Transfermechanismus
3. TIA wird durchgefuehrt und dokumentiert
4. {{ISB_NAME}} prueft technische Massnahmen
5. {{GF_NAME}} erteilt Freigabe
6. Eintrag im Verzeichnis der Verarbeitungstaetigkeiten

---

## 5. Ueberwachung und Dokumentation

- Zentrale Liste aller Drittlanduebermittlungen (Empfaenger, Land, Mechanismus)
- Quartalsweise Pruefung bestehender Transfers
- Sofortige Neubewertung bei Rechtsaenderungen im Empfaengerland
- Audit-Trail fuer alle Genehmigungen und Bewertungen

---

## 6. Pflichten der Empfaenger

Empfaenger personenbezogener Daten muessen:
- Datenschutzniveau gemaess DSGVO einhalten
- Weisungen von {{COMPANY_NAME}} befolgen
- Subunternehmer nur mit Genehmigung einsetzen
- Datenschutzverletzungen unverzueglich melden
- Daten nach Beendigung der Verarbeitung loeschen oder zurueckgeben

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'data_transfer_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 5: Datenschutzvorfall-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'privacy_incident_policy',
    'Datenschutzvorfall-Richtlinie (Art. 33/34 DSGVO)',
    'Richtlinie zur Erkennung, Meldung und Behandlung von Datenschutzvorfaellen gemaess Art. 33 und 34 DSGVO. Definiert die Meldekette, 72-Stunden-Frist, Dokumentationspflichten und Information der Betroffenen.',
    $template$# Datenschutzvorfall-Richtlinie (Art. 33/34 DSGVO)

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert das Verfahren zur Erkennung, Meldung und Behandlung von Datenschutzvorfaellen bei {{COMPANY_NAME}} gemaess Art. 33 und Art. 34 DSGVO. Sie stellt sicher, dass Vorfaelle fristgerecht erkannt, dokumentiert und gemeldet werden.

**Definition Datenschutzvorfall:** Eine Verletzung des Schutzes personenbezogener Daten, die zur unbeabsichtigten oder unrechtmaessigen Vernichtung, zum Verlust, zur Veraenderung, zur unbefugten Offenlegung oder zum unbefugten Zugang fuehrt.

---

## 2. Erkennung von Datenschutzvorfaellen

### 2.1 Typische Vorfaelle
- Verlust oder Diebstahl von Geraeten mit personenbezogenen Daten
- Unbefugter Zugriff auf IT-Systeme
- Fehlversand von E-Mails oder Dokumenten
- Cyberangriffe (Ransomware, Phishing, Datenlecks)
- Fehlkonfiguration von Cloud-Diensten
- Entsorgung ohne sichere Loeschung

### 2.2 Erkennungsmassnahmen
- Monitoring von IT-Systemen und Zugriffen
- Intrusion-Detection-Systeme
- Regelmaessige Sicherheitsaudits
- Sensibilisierung der Mitarbeiter

---

## 3. Meldekette

### 3.1 Interne Meldung (sofort)

| Schritt | Verantwortlich | Frist |
|---------|----------------|-------|
| Vorfall erkennen | Jeder Mitarbeiter | Sofort |
| Meldung an IT-Sicherheit | Mitarbeiter | Innerhalb 1 Stunde |
| Erstbewertung | {{ISB_NAME}} | Innerhalb 4 Stunden |
| Information DSB | {{ISB_NAME}} | Innerhalb 4 Stunden |
| Risikobewertung | DSB + {{ISB_NAME}} | Innerhalb 12 Stunden |
| Entscheidung Meldepflicht | DSB | Innerhalb 24 Stunden |
| Information {{GF_NAME}} | DSB | Innerhalb 24 Stunden |

### 3.2 Meldung an Aufsichtsbehoerde (Art. 33 DSGVO)

**Frist: 72 Stunden** nach Bekanntwerden, sofern der Vorfall voraussichtlich zu einem Risiko fuer die Rechte und Freiheiten natuerlicher Personen fuehrt.

Inhalt der Meldung:
- Art der Verletzung, betroffene Datenkategorien und Personenzahl
- Name und Kontaktdaten des DSB
- Beschreibung der wahrscheinlichen Folgen
- Beschreibung der ergriffenen Massnahmen

### 3.3 Benachrichtigung der Betroffenen (Art. 34 DSGVO)

Bei **hohem Risiko** fuer die Rechte und Freiheiten sind Betroffene unverzueglich zu informieren. Die Benachrichtigung enthaelt:
- Beschreibung des Vorfalls in klarer, verstaendlicher Sprache
- Kontaktdaten des DSB
- Beschreibung der wahrscheinlichen Folgen
- Beschreibung der Massnahmen und Empfehlungen zum Selbstschutz

---

## 4. Dokumentation

Jeder Datenschutzvorfall wird dokumentiert mit:
- Datum und Uhrzeit der Entdeckung
- Art des Vorfalls und betroffene Daten
- Ursachenanalyse
- Ergriffene Sofortmassnahmen
- Risikobewertung (Eintrittswahrscheinlichkeit und Schwere)
- Entscheidung ueber Meldepflicht (mit Begruendung)
- Langfristige Abhilfemassnahmen
- Lessons Learned

Die Dokumentation wird mindestens 3 Jahre aufbewahrt.

---

## 5. Massnahmen nach dem Vorfall

- Sofortige Eindaemmung und Schadensbegrenzung
- Forensische Analyse der Ursache
- Schliessung der Sicherheitsluecke
- Anpassung technischer und organisatorischer Massnahmen
- Nachschulung betroffener Mitarbeiter
- Aktualisierung der Risikoanalyse

---

## 6. Uebungen und Tests

- Jaehrliche Simulation eines Datenschutzvorfalls (Tabletop-Exercise)
- Pruefung der Meldekette und Erreichbarkeit
- Auswertung und Verbesserung der Prozesse

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'privacy_incident_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- =============================================================================
-- CATEGORY 2: Personal-Policies (4 templates)
-- =============================================================================

-- Template 6: Mitarbeiter-Sicherheitsrichtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'employee_security_policy',
    'Mitarbeiter-Sicherheitsrichtlinie',
    'Richtlinie zu Sicherheitsverantwortlichkeiten der Mitarbeiter. Regelt Geheimhaltungspflichten, Clean-Desk-Policy, Meldepflichten bei Sicherheitsvorfaellen und Konsequenzen bei Verstoessen.',
    $template$# Mitarbeiter-Sicherheitsrichtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie legt die Sicherheitsverantwortlichkeiten aller Mitarbeiterinnen und Mitarbeiter von {{COMPANY_NAME}} fest. Sie gilt ab dem ersten Arbeitstag und endet erst nach vollstaendigem Offboarding.

**Geltungsbereich:**
- Alle festangestellten Mitarbeiter
- Befristete Mitarbeiter und Werkstudenten
- Praktikanten und Auszubildende
- Externe Berater und Auftragnehmer mit Systemzugang

---

## 2. Grundlegende Verantwortlichkeiten

Jeder Mitarbeiter von {{COMPANY_NAME}} ist verpflichtet:
- Informationssicherheitsrichtlinien zu kennen und einzuhalten
- An vorgeschriebenen Sicherheitsschulungen teilzunehmen
- Sicherheitsvorfaelle unverzueglich zu melden
- Zugangsdaten vertraulich zu behandeln
- Betriebsmittel sachgemaess zu verwenden
- Bei Unsicherheiten den ISB ({{ISB_NAME}}) zu kontaktieren

---

## 3. Geheimhaltungspflichten

### 3.1 Vertrauliche Informationen
- Geschaeftsgeheimnisse, Kundendaten, Finanzdaten
- Personenbezogene Daten (DSGVO)
- Interne Prozesse und Strategien
- Zugangsdaten und Kryptoschluessel

### 3.2 Pflichten
- Verschwiegenheitsvereinbarung wird bei Einstellung unterzeichnet
- Keine Weitergabe vertraulicher Informationen an Unbefugte
- Keine Nutzung fuer private Zwecke
- Pflicht besteht auch nach Beendigung des Arbeitsverhaeltnisses

---

## 4. Clean-Desk-Policy

### 4.1 Am Arbeitsplatz
- Vertrauliche Dokumente werden bei Abwesenheit eingeschlossen
- Bildschirm wird bei Verlassen des Platzes gesperrt (Windows+L / Ctrl+Cmd+Q)
- Whiteboards mit vertraulichen Inhalten werden nach Meetings geloescht
- Ausdrucke werden sofort abgeholt und nicht im Drucker belassen

### 4.2 Im Homeoffice
- Separater, abschliessbarer Arbeitsbereich empfohlen
- Keine Familienmitglieder oder Dritte haben Zugang zu Arbeitsmaterialien
- Bildschirm nicht fuer Dritte einsehbar

---

## 5. Passwort- und Zugangsrichtlinien

- Mindestlaenge: 12 Zeichen (Gross-/Kleinbuchstaben, Zahlen, Sonderzeichen)
- Multi-Faktor-Authentifizierung fuer alle kritischen Systeme
- Passwoerter werden nicht geteilt, nicht aufgeschrieben, nicht im Browser gespeichert
- Passwort-Manager ist bereitzustellen und zu nutzen
- Sofortige Aenderung bei Verdacht auf Kompromittierung

---

## 6. Meldepflichten

Folgende Ereignisse sind unverzueglich an {{ISB_NAME}} zu melden:
- Verlust oder Diebstahl von Geraeten oder Datentraegern
- Verdacht auf Malware oder unbefugten Zugriff
- Empfang verdaechtiger E-Mails (Phishing)
- Fehlversand vertraulicher Informationen
- Auffaelligkeiten an Zugangskontrollen oder Systemen

**Meldeweg:** E-Mail an ISB oder ueber das interne Meldesystem.

---

## 7. Nutzung von IT-Ressourcen

- Geschaeftliche IT-Geraete primaer fuer geschaeftliche Zwecke
- Installation von Software nur mit Genehmigung der IT-Abteilung
- Keine Nutzung oeffentlicher Cloud-Dienste fuer Unternehmensdaten
- USB-Speichermedien nur nach Genehmigung
- Keine Umgehung von Sicherheitsmassnahmen (VPN, Firewall, Proxy)

---

## 8. Konsequenzen bei Verstoessen

Verstoesse gegen diese Richtlinie koennen folgende Konsequenzen haben:
- Muendliche oder schriftliche Ermahnung
- Abmahnung
- Kuendigung (bei schwerwiegenden oder wiederholten Verstoessen)
- Schadensersatzforderungen
- Strafrechtliche Konsequenzen bei vorsaetzlichen Handlungen

---

## 9. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'employee_security_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 7: Security-Awareness-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'security_awareness_policy',
    'Security-Awareness-Richtlinie',
    'Richtlinie fuer das Security-Awareness-Programm. Definiert Schulungsplan, Pflichtschulungen, Phishing-Simulationen, Erfolgsmessung und jaehrliche Wiederholung.',
    $template$# Security-Awareness-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie beschreibt das Security-Awareness-Programm von {{COMPANY_NAME}}. Ziel ist es, alle Mitarbeiter fuer Informationssicherheitsrisiken zu sensibilisieren und sicherheitsbewusstes Verhalten zu foerdern.

**Geltungsbereich:**
- Alle Mitarbeiter inkl. Fuehrungskraefte
- Neue Mitarbeiter (Onboarding-Schulung)
- Externe mit Systemzugang (angepasstes Programm)

---

## 2. Schulungsplan

### 2.1 Onboarding-Schulung (innerhalb der ersten Woche)
- Einfuehrung in Informationssicherheit bei {{COMPANY_NAME}}
- Ueberblick ueber geltende Richtlinien
- Passwortsicherheit und Multi-Faktor-Authentifizierung
- Meldewege fuer Sicherheitsvorfaelle
- Unterzeichnung der Vertraulichkeitsvereinbarung

### 2.2 Jaehrliche Pflichtschulung
- Aktuelle Bedrohungslandschaft und Trends
- Social Engineering und Phishing-Erkennung
- Datenschutz und DSGVO-Grundlagen
- Clean-Desk-Policy und physische Sicherheit
- Sicherer Umgang mit mobilen Geraeten und Cloud-Diensten
- Incident-Meldung und Eskalation

### 2.3 Rollenspezifische Schulungen

| Zielgruppe | Themen | Frequenz |
|------------|--------|----------|
| IT-Administration | Hardening, Patchmanagement, Logging | Halbjaehrlich |
| Entwicklung | Secure Coding, OWASP Top 10 | Halbjaehrlich |
| Management | Risikomanagement, Compliance, Haftung | Jaehrlich |
| Personalwesen | Datenschutz, Bewerberdaten, Offboarding | Jaehrlich |
| Vertrieb | Kundendatenschutz, Social Engineering | Jaehrlich |

---

## 3. Phishing-Simulationen

- **Frequenz:** Mindestens quartalsweise
- **Durchfuehrung:** Realistische Phishing-E-Mails an alle Mitarbeiter
- **Auswertung:** Klickrate, Melderate, Eingaberate
- **Nachschulung:** Mitarbeiter, die auf Simulationen hereinfallen, erhalten sofortige Lerneinheit
- **Zielvorgaben:** Klickrate unter 5 %, Melderate ueber 60 %
- **Berichterstattung:** Quartalsbericht an {{GF_NAME}}

---

## 4. Erfolgsmessung und Tracking

### 4.1 Kennzahlen (KPIs)
- Schulungsteilnahmequote (Ziel: 100 %)
- Phishing-Klickrate (Ziel: < 5 %)
- Anzahl gemeldeter Sicherheitsvorfaelle durch Mitarbeiter
- Ergebnis von Wissenstests nach Schulungen

### 4.2 Tracking
- Zentrale Dokumentation aller Schulungsteilnahmen
- Automatische Erinnerungen bei ausstehenden Schulungen
- Eskalation an Vorgesetzte nach 14 Tagen ohne Teilnahme
- Jaehrlicher Awareness-Bericht fuer die Geschaeftsfuehrung

---

## 5. Kommunikation und Materialien

- Monatlicher Security-Newsletter
- Intranet-Bereich mit aktuellen Warnungen und Tipps
- Poster und Infografiken in Gemeinschaftsraeumen
- Kurze Video-Lerneinheiten (max. 5 Minuten)
- Anlassbezogene Sonderkommunikation bei akuten Bedrohungen

---

## 6. Verantwortlichkeiten

- **{{ISB_NAME}}**: Planung, Durchfuehrung und Auswertung des Programms
- **Fuehrungskraefte**: Sicherstellung der Teilnahme ihrer Teams
- **Personalabteilung**: Integration in Onboarding und Offboarding
- **{{GF_NAME}}**: Budget-Freigabe und Vorbildfunktion

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'security_awareness_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 8: Remote-Work-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'remote_work_policy',
    'Remote-Work-Richtlinie',
    'Richtlinie fuer sicheres Arbeiten im Homeoffice und von unterwegs. Regelt VPN-Pflicht, Geraetesicherheit, Arbeitsplatzanforderungen und Datenschutz beim mobilen Arbeiten.',
    $template$# Remote-Work-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert die Sicherheitsanforderungen fuer das Arbeiten ausserhalb der Geschaeftsraeume von {{COMPANY_NAME}} — im Homeoffice, bei Kunden oder unterwegs.

**Geltungsbereich:**
- Alle Mitarbeiter mit Remote-Work-Vereinbarung
- Mitarbeiter auf Dienstreisen
- Externe mit Remote-Zugriff auf Unternehmenssysteme

---

## 2. Netzwerksicherheit und VPN

### 2.1 VPN-Pflicht
- Zugriff auf Unternehmensnetzwerk ausschliesslich ueber VPN
- VPN-Client wird von der IT-Abteilung bereitgestellt und konfiguriert
- Split-Tunneling ist deaktiviert
- Automatische Verbindung bei Zugriff auf interne Ressourcen

### 2.2 WLAN-Sicherheit
- Nutzung oeffentlicher WLANs (Cafe, Hotel, Bahn) nur mit aktivem VPN
- Heimnetzwerk: WPA3-Verschluesselung empfohlen, mindestens WPA2
- Kein Zugriff auf Unternehmensdaten ueber ungesicherte Netzwerke

---

## 3. Geraetesicherheit

### 3.1 Unternehmensgeraete
- Vollverschluesselung der Festplatte (BitLocker/FileVault)
- Aktueller Virenschutz und Firewall
- Automatische Updates aktiviert
- Bildschirmsperre nach maximal 5 Minuten Inaktivitaet
- Keine Installation nicht genehmigter Software

### 3.2 Private Geraete (BYOD)
- Nutzung privater Geraete nur mit Genehmigung der IT
- Mobile-Device-Management (MDM) muss installiert sein
- Trennung von privaten und geschaeftlichen Daten (Container-Loesung)
- IT behaelt Recht zur Fernloeschung geschaeftlicher Daten

### 3.3 Physische Sicherheit
- Geraete nie unbeaufsichtigt lassen
- Notebook-Schloss bei Arbeit in oeffentlichen Raeumen
- Transport in verschlossener Tasche
- Sofortige Meldung bei Verlust oder Diebstahl

---

## 4. Arbeitsplatz im Homeoffice

### 4.1 Anforderungen an den Arbeitsplatz
- Separater Arbeitsbereich (idealerweise abschliessbarer Raum)
- Bildschirm nicht von Fenstern oder Tueren einsehbar
- Vertrauliche Telefonate ohne Mithoeranwesenheit
- Keine Nutzung von Smart-Speakern (Alexa, Google Home) im Arbeitsbereich

### 4.2 Dokumente und Ausdrucke
- Ausdrucke auf das Minimum beschraenken
- Vertrauliche Ausdrucke im Schredder vernichten (keine Altpapiertonne)
- Keine Aufbewahrung von Firmendokumenten nach Arbeitsende auf dem Schreibtisch

---

## 5. Datenschutz im Homeoffice

- Bildschirm bei Abwesenheit immer sperren
- Keine Speicherung von Unternehmensdaten auf lokalen privaten Laufwerken
- Cloud-Speicher nur ueber genehmigte Unternehmens-Accounts
- Keine Weiterleitung geschaeftlicher E-Mails an private Adressen
- Videokonferenzen: Hintergrund unscharf stellen oder virtuellen Hintergrund nutzen

---

## 6. Erreichbarkeit und Kommunikation

- Erreichbarkeit waehrend der vereinbarten Arbeitszeiten
- Nutzung genehmigter Kommunikationstools (kein WhatsApp fuer Geschaeftsdaten)
- Regelmaessige Synchronisation mit Team und Vorgesetzten

---

## 7. Kontrollrechte

{{COMPANY_NAME}} behaelt sich vor:
- Technische Pruefung der Einhaltung (VPN-Logs, Geraetestatus)
- In begruendeten Faellen Pruefung des Heimarbeitsplatzes (mit Voranmeldung)
- Entzug der Remote-Work-Genehmigung bei Verstoessen

---

## 8. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'remote_work_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 9: Offboarding-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'offboarding_policy',
    'Offboarding-Richtlinie',
    'Richtlinie fuer das sichere Offboarding ausscheidender Mitarbeiter. Definiert Checkliste, Zugangsentzug, Geraeterueckgabe, Wissenstransfer und Fristen.',
    $template$# Offboarding-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie stellt sicher, dass beim Ausscheiden von Mitarbeitern bei {{COMPANY_NAME}} alle sicherheitsrelevanten Massnahmen systematisch und zeitgerecht durchgefuehrt werden.

**Geltungsbereich:**
- Kuendigung (arbeitgeber- und arbeitnehmerseitig)
- Auslaufen befristeter Vertraege
- Ende von Praktika und Werkstudentenvertraegen
- Beendigung externer Auftraege

---

## 2. Offboarding-Checkliste

### 2.1 Sofort bei Bekanntwerden (Personalabteilung)

- [ ] Offboarding-Prozess im System anlegen
- [ ] IT-Abteilung informieren (geplantes Austrittsdatum)
- [ ] {{ISB_NAME}} informieren (bei Mitarbeitern mit privilegiertem Zugang)
- [ ] Vorgesetzten in den Prozess einbinden
- [ ] Wissenstransfer-Plan erstellen

### 2.2 Letzte Arbeitswoche

- [ ] Wissenstransfer abschliessen (Dokumentation, Uebergabe)
- [ ] Laufende Projekte uebergeben
- [ ] Stellvertretung fuer Postfach und Telefon einrichten
- [ ] Abwesenheitsnachricht konfigurieren
- [ ] Persoenliche Daten vom Geraet sichern (privat)

### 2.3 Letzter Arbeitstag

- [ ] Alle Zugangsmedien zurueckgeben (Ausweise, Schluessel, Token)
- [ ] Alle IT-Geraete zurueckgeben (Notebook, Smartphone, Headset)
- [ ] Firmenkreditkarten zurueckgeben
- [ ] Parkausweis zurueckgeben
- [ ] Austrittgespraech fuehren
- [ ] Geheimhaltungspflichten erinnern

---

## 3. Zugangsentzug

### 3.1 Zeitplan

| Massnahme | Zeitpunkt |
|-----------|-----------|
| Deaktivierung VPN-Zugang | Letzter Arbeitstag, Geschaeftsschluss |
| Sperrung Active Directory / SSO | Letzter Arbeitstag, Geschaeftsschluss |
| E-Mail-Weiterleitung einrichten | Letzter Arbeitstag |
| Cloud-Zugaenge entziehen | Letzter Arbeitstag |
| Physische Zutrittskontrolle | Letzter Arbeitstag |
| Loeschung des Benutzerkontos | 30 Tage nach Austritt |
| Loeschung des E-Mail-Postfachs | 90 Tage nach Austritt |

### 3.2 Privilegierte Zugaenge

Bei Mitarbeitern mit administrativen Rechten:
- Sofortige Passwortaenderung aller Shared-Accounts
- Pruefung der Audit-Logs der letzten 30 Tage
- Entzug aller Zertifikate und API-Keys
- Information an betroffene Dienstleister

### 3.3 Sonderfaelle: Fristlose Kuendigung

Bei fristloser Kuendigung werden **alle Zugaenge sofort gesperrt** — noch waehrend des Kuendigungsgespraechs. Die IT-Abteilung ist vorab zu informieren.

---

## 4. Geraeterueckgabe und Datenloesung

- Inventarisierung aller zurueckgegebenen Geraete
- Pruefung auf Vollstaendigkeit (Ladegeraet, Zubehoer)
- Sichere Loeschung aller Daten auf zurueckgegebenen Geraeten
- Dokumentation im Inventarsystem
- Bei Verlust: Fernloeschung und Diebstahlmeldung

---

## 5. Wissenstransfer

- Uebergabedokumentation fuer alle laufenden Projekte
- Dokumentation von Passwoertern und Zugaengen (im Passwort-Manager)
- Kontaktuebergabe fuer externe Partner und Kunden
- Schulung des Nachfolgers oder Stellvertreters
- Frist: Abschluss bis spaetestens 3 Tage vor Austritt

---

## 6. Verantwortlichkeiten

| Rolle | Aufgaben |
|-------|----------|
| Personalabteilung | Prozesssteuerung, Checkliste, Austrittgespraech |
| Vorgesetzter | Wissenstransfer, Projektuebergabe |
| IT-Abteilung | Zugangsentzug, Geraeteruecknahme, Datenloesung |
| {{ISB_NAME}} | Pruefung bei privilegierten Zugaengen, Audit |

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'offboarding_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- =============================================================================
-- CATEGORY 3: Lieferanten-Policies (3 templates)
-- =============================================================================

-- Template 10: Lieferanten-Risikomanagement-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'vendor_risk_management_policy',
    'Lieferanten-Risikomanagement-Richtlinie',
    'Richtlinie zum systematischen Management von Lieferantenrisiken. Umfasst Bewertungsverfahren, Due Diligence, Risikokategorien, laufendes Monitoring und Exit-Strategien.',
    $template$# Lieferanten-Risikomanagement-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert das Verfahren zur Bewertung und Steuerung von Risiken, die durch die Zusammenarbeit mit Lieferanten und Dienstleistern fuer {{COMPANY_NAME}} entstehen.

**Geltungsbereich:**
- Alle externen Lieferanten und Dienstleister
- Cloud- und SaaS-Anbieter
- Auftragsverarbeiter im Sinne der DSGVO
- Subunternehmer und Unterauftragnehmer

---

## 2. Risikokategorien

| Kategorie | Beschreibung | Beispiele |
|-----------|--------------|-----------|
| Kritisch | Ausfall gefaehrdet Geschaeftsbetrieb | Cloud-Infrastruktur, ERP, Zahlungsdienstleister |
| Hoch | Erhebliche Auswirkungen bei Stoerung | IT-Dienstleister, Personalvermittler |
| Mittel | Eingeschraenkte Auswirkungen | Bueroausstattung, Beratungsleistungen |
| Niedrig | Minimale Auswirkungen | Reinigungsdienste, Buromaterial |

---

## 3. Due Diligence bei Neuaufnahme

### 3.1 Pflichtpruefungen

| Pruefbereich | Kritisch/Hoch | Mittel | Niedrig |
|-------------|---------------|--------|---------|
| Finanzbonität | Pflicht | Pflicht | Optional |
| Informationssicherheit | Pflicht (Audit) | Fragebogen | — |
| Datenschutz (DSGVO) | Pflicht (AVV) | Pflicht (AVV) | Optional |
| Referenzen | Pflicht | Optional | — |
| Zertifizierungen | Pflicht | Empfohlen | — |
| Geschaeftskontinuitaet | Pflicht | Optional | — |

### 3.2 Genehmigungsverfahren
- Fachabteilung stellt Antrag mit Begruendung
- {{ISB_NAME}} fuehrt Sicherheitsbewertung durch
- DSB prueft Datenschutzaspekte
- Ab Kategorie "Hoch": Freigabe durch {{GF_NAME}}

---

## 4. Laufendes Monitoring

### 4.1 Regelmaessige Bewertung

| Risikokategorie | Bewertungsfrequenz | Methode |
|------------------|--------------------|---------|
| Kritisch | Quartalsweise | Vor-Ort-Audit oder Remote-Assessment |
| Hoch | Halbjaehrlich | Fragebogen + Dokumentenpruefung |
| Mittel | Jaehrlich | Selbstauskunft |
| Niedrig | Bei Bedarf | Anlassbezogen |

### 4.2 Indikatoren fuer Neubewertung
- Sicherheitsvorfall beim Lieferanten
- Wesentliche organisatorische Aenderungen (Uebernahme, Insolvenz)
- Aenderung des Leistungsumfangs
- Negative Medienberichte
- Vertragsverlaengerung

---

## 5. Exit-Strategie

Fuer jeden kritischen und hochkritischen Lieferanten wird eine Exit-Strategie dokumentiert:
- Alternative Lieferanten identifiziert und bewertet
- Datenrueckfuehrungsplan (Formate, Fristen, Verantwortlichkeiten)
- Uebergangsfristen definiert
- Kommunikationsplan fuer betroffene Geschaeftsbereiche
- Regelmaessige Aktualisierung (jaehrlich)

---

## 6. Vertragliche Anforderungen

Alle Vertraege mit Lieferanten der Kategorien Kritisch und Hoch enthalten:
- Sicherheitsanforderungen und SLAs
- Audit-Rechte fuer {{COMPANY_NAME}}
- Meldepflicht bei Sicherheitsvorfaellen (innerhalb 24 Stunden)
- Vertraulichkeitsvereinbarung
- Datenschutzvereinbarung (AVV) bei Verarbeitung personenbezogener Daten
- Regelungen zur Unterbeauftragung
- Kuendigungsrechte bei Sicherheitsmaengeln

---

## 7. Verantwortlichkeiten

- **Fachabteilung**: Lieferantenauswahl, Leistungsueberwachung
- **{{ISB_NAME}}**: Sicherheitsbewertung und Monitoring
- **Einkauf**: Vertragliche Absicherung
- **DSB**: Datenschutzpruefung
- **{{GF_NAME}}**: Freigabe kritischer Lieferanten

---

## 8. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'vendor_risk_management_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 11: Drittanbieter-Sicherheitsrichtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'third_party_security_policy',
    'Drittanbieter-Sicherheitsrichtlinie',
    'Richtlinie zu Sicherheitsanforderungen an Drittanbieter. Definiert Audit-Rechte, geforderte Zertifizierungen, Vertragsklauseln und Massnahmen bei Nichterfuellung.',
    $template$# Drittanbieter-Sicherheitsrichtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert die Sicherheitsanforderungen, die {{COMPANY_NAME}} an alle Drittanbieter stellt, die Zugang zu Unternehmenssystemen, -daten oder -netzwerken erhalten.

**Geltungsbereich:**
- IT-Dienstleister und Systemintegratoren
- Cloud- und Hosting-Anbieter
- Software-Hersteller und SaaS-Anbieter
- Beratungsunternehmen mit Systemzugang
- Outsourcing-Partner

---

## 2. Sicherheitsanforderungen

### 2.1 Organisatorische Anforderungen
- Dokumentiertes Informationssicherheits-Managementsystem (ISMS)
- Benannter Sicherheitsverantwortlicher
- Regelmaessige Sicherheitsschulungen fuer Mitarbeiter
- Dokumentierte Incident-Response-Prozesse
- Business-Continuity-Plan

### 2.2 Technische Anforderungen
- Verschluesselung von Daten in Transit (TLS 1.2+) und at Rest (AES-256)
- Multi-Faktor-Authentifizierung fuer administrative Zugaenge
- Regelmaessiges Patchmanagement (kritische Patches innerhalb 72 Stunden)
- Netzwerksegmentierung und Firewalls
- Logging und Monitoring aller sicherheitsrelevanten Ereignisse
- Sichere Softwareentwicklung (SDLC) bei Softwareanbietern

### 2.3 Datenschutzanforderungen
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) wo erforderlich
- Datenverarbeitung ausschliesslich in genehmigten Regionen
- Loeschnachweis nach Vertragsende
- Unterstuetzung bei Betroffenenanfragen

---

## 3. Geforderte Zertifizierungen

| Risikokategorie | Geforderte Zertifizierung |
|-----------------|---------------------------|
| Kritisch | ISO 27001 oder SOC 2 Type II (Pflicht) |
| Hoch | ISO 27001 oder SOC 2 Type I (Pflicht), BSI C5 fuer Cloud |
| Mittel | ISO 27001 (empfohlen) oder gleichwertige Selbstauskunft |
| Niedrig | Keine spezifische Anforderung |

Akzeptierte Standards: ISO/IEC 27001, SOC 2, BSI C5, CSA STAR, TISAX.

---

## 4. Audit-Rechte

{{COMPANY_NAME}} behaelt sich folgende Pruefrechte vor:
- **Jaehrliches Audit-Recht** fuer kritische Dienstleister
- **Anlassbezogene Pruefungen** bei Sicherheitsvorfaellen
- **Einsicht in Audit-Berichte** (SOC 2, Penetrationstests)
- **Fragebogen-basierte Assessments** (halbjaehrlich bis jaehrlich)
- Pruefungen koennen durch qualifizierte Dritte durchgefuehrt werden

Kosten fuer anlassbezogene Audits traegt der Drittanbieter, wenn der Anlass in seiner Verantwortung liegt.

---

## 5. Vertragsklauseln

Folgende Klauseln sind in allen Vertraegen mit Drittanbietern aufzunehmen:
- Einhaltung der Sicherheitsanforderungen dieser Richtlinie
- Meldepflicht bei Sicherheitsvorfaellen (max. 24 Stunden)
- Audit- und Pruefrechte fuer {{COMPANY_NAME}}
- Vertraulichkeitsvereinbarung
- Haftungsregelungen bei Sicherheitsmaengeln
- Recht zur ausserordentlichen Kuendigung bei Sicherheitsverstoessen
- Unterbeauftragung nur mit vorheriger Genehmigung

---

## 6. Massnahmen bei Nichterfuellung

| Schweregrad | Massnahme | Frist |
|-------------|-----------|-------|
| Geringfuegig | Verbesserungsplan anfordern | 30 Tage |
| Erheblich | Einschraenkung der Zugaenge, Eskalation an {{GF_NAME}} | 14 Tage |
| Kritisch | Sofortige Sperrung, Kuendigungspruefung | Sofort |

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'third_party_security_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 12: Lieferanten-Sicherheitsanforderungen
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'supplier_security_policy',
    'Lieferanten-Sicherheitsanforderungen',
    'Mindestanforderungen an die Informationssicherheit von Lieferanten. Beinhaltet Sicherheitsfragebogen, Rezertifizierungsprozess und Massnahmen bei Verstoessen.',
    $template$# Lieferanten-Sicherheitsanforderungen

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Dieses Dokument definiert die Mindestanforderungen an die Informationssicherheit, die Lieferanten von {{COMPANY_NAME}} erfuellen muessen, um eine Geschaeftsbeziehung aufzunehmen oder aufrechtzuerhalten.

**Adressaten:**
- Bestehende Lieferanten von {{COMPANY_NAME}}
- Potenzielle neue Lieferanten
- Subunternehmer von Lieferanten

---

## 2. Mindestanforderungen

### 2.1 Governance
- Dokumentierte Informationssicherheitsrichtlinie
- Benannter Verantwortlicher fuer Informationssicherheit
- Regelmaessige Risikobewertungen
- Dokumentierte Prozesse fuer Aenderungsmanagement

### 2.2 Zugangskontrolle
- Rollenbasierte Zugriffskontrolle (RBAC)
- Prinzip der minimalen Berechtigung (Least Privilege)
- Multi-Faktor-Authentifizierung fuer Fernzugriffe
- Regelmaessige Ueberpruefung von Berechtigungen (quartalsweise)
- Sofortige Deaktivierung bei Personalwechsel

### 2.3 Datensicherheit
- Verschluesselung personenbezogener Daten in Transit und at Rest
- Sichere Loeschung von Daten nach Vertragsende
- Keine Speicherung auf privaten Geraeten
- Backup-Verfahren mit regelmaessigen Tests
- Klassifizierung der verarbeiteten Daten

### 2.4 Vorfallmanagement
- Dokumentierter Incident-Response-Prozess
- Meldung von Sicherheitsvorfaellen an {{COMPANY_NAME}} innerhalb 24 Stunden
- Unterstuetzung bei der Ursachenanalyse
- Dokumentation und Lessons Learned

### 2.5 Personalsicherheit
- Sicherheitsueberpruefung bei der Einstellung (Background Checks)
- Sicherheitsschulungen fuer alle Mitarbeiter
- Vertraulichkeitsvereinbarungen
- Definierter Offboarding-Prozess

---

## 3. Sicherheitsfragebogen

Bei Aufnahme der Geschaeftsbeziehung und zur Rezertifizierung ist der Sicherheitsfragebogen von {{COMPANY_NAME}} vollstaendig zu beantworten. Der Fragebogen umfasst:

| Bereich | Fragen | Nachweise |
|---------|--------|-----------|
| Organisation & Governance | 8 | ISMS-Dokumentation, Organigramm |
| Zugangskontrolle | 10 | Screenshots, Richtlinien |
| Netzwerksicherheit | 8 | Netzwerkdiagramm, Firewall-Regeln |
| Datensicherheit | 12 | Verschluesselungsnachweise |
| Vorfallmanagement | 6 | IR-Plan, Kontaktliste |
| Business Continuity | 6 | BCP/DRP, Testergebnisse |
| Compliance | 5 | Zertifikate, Audit-Berichte |

Schwellenwert fuer Bestehen: Mindestens 80 % der Pflichtfragen positiv beantwortet.

---

## 4. Rezertifizierungsprozess

| Risikokategorie | Rezertifizierung | Methode |
|-----------------|------------------|---------|
| Kritisch | Jaehrlich | Vollstaendiger Fragebogen + Vor-Ort-Audit |
| Hoch | Jaehrlich | Vollstaendiger Fragebogen + Dokumentenpruefung |
| Mittel | Alle 2 Jahre | Kurzfragebogen |
| Niedrig | Alle 3 Jahre | Selbstauskunft |

Zusaetzliche Pruefung bei:
- Sicherheitsvorfaellen
- Wesentlichen Aenderungen beim Lieferanten
- Erweiterung des Leistungsumfangs

---

## 5. Massnahmen bei Verstoessen

### 5.1 Eskalationsstufen

| Stufe | Situation | Massnahme |
|-------|-----------|-----------|
| 1 | Geringfuegige Abweichung | Verbesserungsplan mit Frist (30 Tage) |
| 2 | Wiederholte Abweichung | Einschraenkung des Datenzugangs, Eskalation |
| 3 | Schwerwiegender Verstoss | Aussetzung der Zusammenarbeit |
| 4 | Kritischer Sicherheitsvorfall | Sofortige Kuendigung, Datensicherung |

### 5.2 Wiederaufnahme
Nach Aussetzung (Stufe 3) ist eine erneute vollstaendige Bewertung erforderlich. Die Wiederaufnahme bedarf der Genehmigung von {{ISB_NAME}} und {{GF_NAME}}.

---

## 6. Verantwortlichkeiten

- **Lieferant**: Einhaltung aller Anforderungen, proaktive Meldung
- **Einkauf {{COMPANY_NAME}}**: Vertragliche Verankerung, Frageversand
- **{{ISB_NAME}}**: Bewertung, Monitoring, Eskalation
- **{{GF_NAME}}**: Freigabe kritischer Entscheidungen

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'supplier_security_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- =============================================================================
-- CATEGORY 4: BCM/Notfall (3 templates)
-- =============================================================================

-- Template 13: Business-Continuity-Richtlinie (BCM)
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'business_continuity_policy',
    'Business-Continuity-Richtlinie (BCM)',
    'Richtlinie fuer das Business-Continuity-Management. Definiert Business-Impact-Analyse, kritische Prozesse, RTO/RPO-Vorgaben, Wiederanlaufplaene und Testverfahren.',
    $template$# Business-Continuity-Richtlinie (BCM)

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert das Business-Continuity-Management (BCM) von {{COMPANY_NAME}}. Ziel ist die Aufrechterhaltung kritischer Geschaeftsprozesse bei Stoerungen und die schnellstmoegliche Wiederherstellung des Normalbetriebs.

**Geltungsbereich:**
- Alle Geschaeftsprozesse und IT-Systeme
- Alle Standorte von {{COMPANY_NAME}}
- Alle Mitarbeiter und kritischen Dienstleister

**Normative Grundlagen:** ISO 22301, BSI-Standard 200-4, DSGVO Art. 32

---

## 2. Business-Impact-Analyse (BIA)

### 2.1 Zweck
Die BIA identifiziert kritische Geschaeftsprozesse und bewertet die Auswirkungen eines Ausfalls auf {{COMPANY_NAME}}.

### 2.2 Bewertungskriterien

| Kriterium | Beschreibung |
|-----------|--------------|
| Finanzielle Auswirkung | Umsatzverlust, Vertragsstrafen, Kosten |
| Reputationsschaden | Kundenvertrauen, Medienwahrnehmung |
| Rechtliche Konsequenzen | Vertragsverletzungen, behoerdliche Auflagen |
| Operative Auswirkung | Abhaengige Prozesse, Lieferkette |

### 2.3 Kritikalitaetsstufen

| Stufe | Maximale Ausfallzeit | Beispiele |
|-------|----------------------|-----------|
| Kritisch | < 4 Stunden | Kernapplikationen, Zahlungssysteme |
| Hoch | < 24 Stunden | E-Mail, CRM, Kundensupport |
| Mittel | < 72 Stunden | Interne Tools, Dokumentenmanagement |
| Niedrig | < 7 Tage | Archivierungssysteme, Reporting |

Die BIA wird jaehrlich durchgefuehrt und bei wesentlichen Aenderungen aktualisiert.

---

## 3. RTO und RPO

| Parameter | Definition | Festlegung durch |
|-----------|------------|------------------|
| **RTO** (Recovery Time Objective) | Maximale tolerierbare Ausfallzeit | BIA + Geschaeftsfuehrung |
| **RPO** (Recovery Point Objective) | Maximaler tolerierbarer Datenverlust | BIA + IT-Leitung |

### 3.1 Vorgaben nach Kritikalitaet

| Stufe | RTO | RPO |
|-------|-----|-----|
| Kritisch | 4 Stunden | 1 Stunde |
| Hoch | 24 Stunden | 4 Stunden |
| Mittel | 72 Stunden | 24 Stunden |
| Niedrig | 7 Tage | 24 Stunden |

---

## 4. Wiederanlaufplaene

### 4.1 Inhalte pro kritischem Prozess
- Beschreibung des Prozesses und der Abhaengigkeiten
- Verantwortliche Personen (primaer und Stellvertretung)
- Ressourcenbedarf (Personal, IT, Raeume)
- Schritt-fuer-Schritt-Wiederanlaufprozedur
- Kommunikationsplan (intern und extern)
- Eskalationswege
- Alternativverfahren (Notbetrieb)

### 4.2 Pflege
- Wiederanlaufplaene werden halbjaehrlich aktualisiert
- Kontaktdaten werden quartalsweise geprueft
- Aenderungen an IT-Systemen loesen Aktualisierung aus

---

## 5. Notfallorganisation

| Rolle | Verantwortung |
|-------|---------------|
| BCM-Beauftragter ({{ISB_NAME}}) | Gesamtverantwortung BCM, Planpflege |
| Krisenstabsleiter ({{GF_NAME}}) | Entscheidungen in der Krise |
| IT-Notfallteam | Wiederherstellung technischer Systeme |
| Kommunikationsteam | Interne und externe Kommunikation |
| Fachabteilungsleitungen | Wiederanlauf der Geschaeftsprozesse |

---

## 6. Tests und Uebungen

| Testart | Frequenz | Beschreibung |
|---------|----------|--------------|
| Planueberpruefung | Halbjaehrlich | Review der Dokumentation auf Aktualitaet |
| Tabletop-Exercise | Jaehrlich | Durchspielen von Szenarien am Tisch |
| Technischer Test | Jaehrlich | Failover-Test, Backup-Restore |
| Vollstaendige Uebung | Alle 2 Jahre | Simulation eines realen Ausfalls |

Testergebnisse werden dokumentiert und Verbesserungen in die Plaene aufgenommen.

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'business_continuity_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 14: Disaster-Recovery-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'disaster_recovery_policy',
    'Disaster-Recovery-Richtlinie',
    'Richtlinie zur Wiederherstellung von IT-Systemen nach Katastrophen. Definiert DR-Szenarien, Failover-Verfahren, Recovery-Prozeduren, Kommunikationswege und Testplaene.',
    $template$# Disaster-Recovery-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie definiert die Verfahren zur Wiederherstellung der IT-Infrastruktur und Daten von {{COMPANY_NAME}} nach einem schwerwiegenden Stoerungsereignis oder einer Katastrophe.

**Geltungsbereich:**
- Alle produktiven IT-Systeme und Datenbanken
- Netzwerkinfrastruktur und Kommunikationssysteme
- Cloud-Dienste und SaaS-Anwendungen
- Backup-Systeme und Speicherinfrastruktur

---

## 2. DR-Szenarien

### 2.1 Szenarien-Katalog

| Szenario | Beschreibung | Eintrittswahrscheinlichkeit |
|----------|--------------|----------------------------|
| Rechenzentrumsausfall | Totalausfall eines Standorts (Brand, Ueberschwemmung) | Niedrig |
| Cloud-Ausfall | Ausfall des primaeren Cloud-Providers | Mittel |
| Cyberangriff | Ransomware, DDoS, Datenverlust | Hoch |
| Hardwareausfall | Ausfall kritischer Server oder Storage | Mittel |
| Netzwerkausfall | Ausfall der Internetanbindung oder WAN | Mittel |
| Datenbankkorruption | Logische Fehler, fehlerhafte Migration | Mittel |

### 2.2 Risikoeinschaetzung
Fuer jedes Szenario wird bewertet:
- Eintrittswahrscheinlichkeit (niedrig, mittel, hoch)
- Auswirkung auf den Geschaeftsbetrieb
- Maximale tolerierbare Ausfallzeit (RTO)
- Maximaler tolerierbarer Datenverlust (RPO)

---

## 3. Failover-Verfahren

### 3.1 Automatisches Failover
- Datenbankcluster: Automatischer Failover auf Standby-Instanz
- Load Balancer: Automatische Umleitung bei Serverausfall
- DNS-Failover: Automatische Umschaltung auf Sekundaersystem

### 3.2 Manuelles Failover
- Cloud-Migration: Aktivierung der DR-Umgebung beim Sekundaer-Provider
- Standortwechsel: Umzug auf Ausweicharbeitsplaetze
- Kommunikation: Umschaltung auf alternative Kommunikationskanaele

### 3.3 Failover-Reihenfolge

| Prioritaet | System | Failover-Methode | Ziel-RTO |
|------------|--------|------------------|----------|
| 1 | Datenbanken | Automatisch (Replikation) | 15 Minuten |
| 2 | Applikationsserver | Automatisch (Container-Orchestrierung) | 30 Minuten |
| 3 | E-Mail und Kommunikation | Cloud-Failover | 1 Stunde |
| 4 | Dateisysteme | Backup-Restore | 4 Stunden |
| 5 | Sekundaere Systeme | Manuell | 24 Stunden |

---

## 4. Recovery-Verfahren

### 4.1 Backup-Strategie
- **Vollbackup**: Woechentlich (Sonntag)
- **Inkrementelles Backup**: Taeglich
- **Transaktionslogs**: Kontinuierlich (alle 15 Minuten)
- **Aufbewahrung**: 30 Tage online, 12 Monate Archiv
- **Speicherorte**: Primaerer Standort + geografisch getrennter Sekundaerstandort

### 4.2 Restore-Prozeduren
1. Schadensanalyse und Umfang der Wiederherstellung bestimmen
2. Recovery-Umgebung vorbereiten
3. Restore aus Backup (juengster konsistenter Stand)
4. Integritaetspruefung der wiederhergestellten Daten
5. Applikationstests und Funktionspruefung
6. Freigabe durch {{ISB_NAME}} und Fachabteilung
7. Umschaltung auf wiederhergestelltes System
8. Monitoring der Stabilitaet (24 Stunden)

---

## 5. Kommunikation im DR-Fall

### 5.1 Interne Kommunikation

| Empfaenger | Informationsinhalt | Kanal | Frist |
|------------|-------------------|-------|-------|
| Krisenstab | Lageeinschaetzung, Massnahmen | Telefon/Chat | Sofort |
| IT-Team | Technische Details, Aufgaben | Chat/Telefon | 15 Minuten |
| Alle Mitarbeiter | Status-Update | E-Mail/Intranet | 1 Stunde |
| {{GF_NAME}} | Entscheidungsvorlagen | Direkt | 30 Minuten |

### 5.2 Externe Kommunikation
- Kunden: Statusseite aktualisieren, proaktive Information
- Dienstleister: Eskalation an Support-Teams
- Aufsichtsbehoerden: Bei Datenschutzvorfall (72-Stunden-Frist)
- Presse: Nur ueber Kommunikationsabteilung

---

## 6. Testplan

| Test | Frequenz | Verantwortlich | Beschreibung |
|------|----------|----------------|--------------|
| Backup-Restore-Test | Monatlich | IT-Betrieb | Restore einzelner Systeme |
| Failover-Test | Quartalsweise | {{ISB_NAME}} | Umschaltung auf Sekundaersystem |
| DR-Simulation | Jaehrlich | {{ISB_NAME}} + {{GF_NAME}} | Vollstaendige DR-Uebung |
| Kommunikationstest | Halbjaehrlich | Krisenstab | Erreichbarkeit aller Kontakte |

Nach jedem Test: Dokumentation der Ergebnisse, Identifikation von Schwachstellen, Aktualisierung der Plaene.

---

## 7. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'disaster_recovery_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');

-- Template 15: Krisenmanagement-Richtlinie
INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
)
SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'crisis_management_policy',
    'Krisenmanagement-Richtlinie',
    'Richtlinie fuer das Krisenmanagement. Definiert Krisenstab, Eskalationsstufen, Kommunikationsplan und Entscheidungsketten fuer den Umgang mit Krisensituationen.',
    $template$# Krisenmanagement-Richtlinie

## Dokumentenkontrolle

| Feld | Wert |
|------|------|
| Unternehmen | {{COMPANY_NAME}} |
| Version | {{DOCUMENT_VERSION}} |
| Datum | {{VERSION_DATE}} |
| Autor | {{ISB_NAME}} |
| Freigabe | {{GF_NAME}} |
| Naechste Pruefung | {{NEXT_REVIEW_DATE}} |

### Aenderungshistorie

| Version | Datum | Autor | Aenderung |
|---------|-------|-------|-----------|
| {{DOCUMENT_VERSION}} | {{VERSION_DATE}} | {{ISB_NAME}} | Erstfassung |

---

## 1. Zweck und Geltungsbereich

Diese Richtlinie regelt den Umgang mit Krisensituationen bei {{COMPANY_NAME}}. Sie definiert Strukturen, Prozesse und Verantwortlichkeiten, um Krisen fruehzeitig zu erkennen, effektiv zu bewaeltigen und daraus zu lernen.

**Definition Krise:** Ein Ereignis, das den normalen Geschaeftsbetrieb erheblich beeintraechtigt, die Reputation gefaehrdet oder die Sicherheit von Personen, Daten oder Systemen bedroht und nicht durch Standardprozesse bewaeltigt werden kann.

**Geltungsbereich:**
- Alle Standorte und Geschaeftsbereiche
- Alle Mitarbeiter und Fuehrungskraefte
- Ereignisse mit erheblicher Tragweite (ueber Einzelvorfall hinaus)

---

## 2. Krisenstab

### 2.1 Zusammensetzung

| Rolle | Person | Stellvertretung | Aufgabe |
|-------|--------|-----------------|---------|
| Krisenstabsleiter | {{GF_NAME}} | Stellv. Geschaeftsfuehrung | Gesamtleitung, Entscheidungen |
| ISB | {{ISB_NAME}} | Stellv. ISB | Technische Bewertung, IT-Massnahmen |
| Kommunikation | Leitung Kommunikation | Stellvertretung | Interne/externe Kommunikation |
| Recht | Rechtsabteilung/ext. Anwalt | — | Rechtliche Bewertung |
| Personal | Leitung HR | Stellvertretung | Mitarbeiterbezogene Massnahmen |
| Betroffene Fachabteilung | Abteilungsleitung | Stellvertretung | Fachliche Einschaetzung |

### 2.2 Aktivierung
- Aktivierung durch {{GF_NAME}} oder {{ISB_NAME}}
- Jedes Krisenstabsmitglied kann die Einberufung empfehlen
- Erreichbarkeit aller Mitglieder 24/7 sichergestellt
- Krisenstabsraum: Definierter physischer Raum + virtueller Kanal (Fallback)

---

## 3. Eskalationsstufen

### 3.1 Stufe 1: Warnung (Gelb)

| Merkmal | Beschreibung |
|---------|--------------|
| Situation | Potenzielle Bedrohung erkannt, normaler Betrieb noch moeglich |
| Massnahmen | Erhoehte Aufmerksamkeit, Lagebeobachtung, Information an ISB |
| Entscheidung | {{ISB_NAME}} |
| Kommunikation | Intern, betroffene Abteilung |

### 3.2 Stufe 2: Eskalation (Orange)

| Merkmal | Beschreibung |
|---------|--------------|
| Situation | Geschaeftsbetrieb eingeschraenkt, Auswirkung auf Kunden/Partner |
| Massnahmen | Krisenstab informiert, Notfallplaene aktiviert |
| Entscheidung | {{ISB_NAME}} + {{GF_NAME}} |
| Kommunikation | Intern breit, betroffene Kunden |

### 3.3 Stufe 3: Krise (Rot)

| Merkmal | Beschreibung |
|---------|--------------|
| Situation | Erhebliche Beeintraechtigung, Reputationsgefahr, Sicherheitsrisiko |
| Massnahmen | Krisenstab einberufen, vollstaendige Krisenbewaeltigung |
| Entscheidung | Krisenstab unter Leitung {{GF_NAME}} |
| Kommunikation | Alle Stakeholder, ggf. Presse und Behoerden |

---

## 4. Kommunikationsplan

### 4.1 Grundsaetze
- Einheitliche Sprachregelung durch den Krisenstab
- Keine oeffentlichen Statements ohne Freigabe
- Proaktive, ehrliche und zeitnahe Kommunikation
- Dokumentation aller Kommunikationsmassnahmen

### 4.2 Kommunikationsmatrix

| Zielgruppe | Kanal | Verantwortlich | Frequenz |
|------------|-------|----------------|----------|
| Krisenstab | Krisenchat / Telefon | Krisenstabsleiter | Kontinuierlich |
| Mitarbeiter | E-Mail / Intranet | Kommunikation | Bei Bedarf, mind. taeglich |
| Kunden | E-Mail / Statusseite | Kommunikation + Vertrieb | Bei Betroffenheit |
| Partner/Lieferanten | Direkte Information | Fachabteilung | Bei Betroffenheit |
| Aufsichtsbehoerden | Offizielles Schreiben | Recht + DSB | Gemaess Meldepflichten |
| Presse/Oeffentlichkeit | Pressemitteilung | Kommunikation + {{GF_NAME}} | Nach Freigabe |

### 4.3 Vorbereitung
- Vorbereitete Statement-Templates fuer haeufige Szenarien
- Aktualisierte Kontaktlisten (quartalsweise Pruefung)
- Medientraining fuer Sprecher (jaehrlich)

---

## 5. Entscheidungsketten

### 5.1 Waehrend der Krise
1. Lagefeststellung durch den zustaendigen Fachbereich
2. Erstbewertung und Eskalationsempfehlung durch {{ISB_NAME}}
3. Entscheidung ueber Eskalationsstufe durch {{GF_NAME}}
4. Krisenstab erarbeitet Massnahmenplan
5. {{GF_NAME}} gibt Massnahmen frei
6. Umsetzung durch verantwortliche Teams
7. Laufende Lagebeurteilung und Anpassung

### 5.2 Deeskalation
- Krisenstab stellt fest, dass die Krise bewaeltigt ist
- {{GF_NAME}} erklaert formell das Ende der Krisenlage
- Uebergang in den Normalbetrieb
- Information aller Stakeholder ueber Beendigung

---

## 6. Nachbereitung

### 6.1 Krisenauswertung (innerhalb 14 Tagen)
- Chronologische Aufarbeitung des Ereignisses
- Bewertung der Wirksamkeit der Massnahmen
- Identifikation von Verbesserungspotenzial
- Lessons-Learned-Bericht an {{GF_NAME}}

### 6.2 Anpassung
- Aktualisierung der Krisenplaene basierend auf Erkenntnissen
- Nachschulung betroffener Mitarbeiter
- Anpassung technischer und organisatorischer Massnahmen

---

## 7. Uebungen

- **Tabletop-Exercise**: Jaehrlich (verschiedene Szenarien)
- **Kommunikationsuebung**: Halbjaehrlich (Erreichbarkeitstest)
- **Vollstaendige Krisenuebung**: Alle 2 Jahre
- Ergebnisse werden dokumentiert und fliessen in die Planung ein

---

## 8. Revision

Jaehrliche Pruefung durch ISB. Naechste Pruefung: {{NEXT_REVIEW_DATE}}.
$template$,
    '["COMPANY_NAME","ISB_NAME","GF_NAME","DOCUMENT_VERSION","VERSION_DATE","NEXT_REVIEW_DATE"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (SELECT 1 FROM compliance_legal_templates WHERE document_type = 'crisis_management_policy' AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e');
