feat(consent+report): P56-P67 Mercedes-Audit-Cycle (Anti-Audit, Phase G Vendors, Cookie-Behavior-Validator + 5 Mail-Polish-Items) [migration-approved]

P56  Anti-Auditing-Detection als constructive Compliance-Finding (Audit-API-
     Empfehlung statt Anklage, weil Mercedes berechtigt Bots blockiert)
P57  Phase G vendor_details Union mit cmp_vendors -> 42 Anbieter sichtbar
P58  Anti-Audit-Detection robuster (Script-Domain-Check + Settings-spezifisch)
P59  Cookie-Behavior-Validator (4 Layer, 3-Tier-Severity: MEDIUM=Kategorie-
     Mismatch / HIGH=Zweck-Mismatch / CRITICAL=beide=Vorsatz-Indiz)
     + Open Cookie Database (CC0) als Library-Seed (2264 Cookies)
P59b Cookie-Behavior in Banner-Check verdrahtet + Mail-Block (BUGFIX:
     SessionLocal selbst oeffnen, db war im Background-Task nicht im Scope)

Mail-Polish nach Mercedes-Review:
P63  Banner-Footer-Links auch im wb7-link/role=link erkennen (Shadow-DOM-
     Walker label-based statt nur <a href>)
P64  Re-Access-Severity: MEDIUM statt HIGH, wenn Footer "Einstellungen" oder
     Mercedes-typisch existiert; OEM-Footer-Detection (wb7-footer)
P65  Text-Truncation: Word-Boundary statt Zeichen-Cut (kein "einfa"-Bruch
     mehr in Sofortmassnahmen)
P66  GF-Aktionen: Service-Zweck vs Cookie-Zweck explizit erklaert
     (haeufige Verwechslung Marketing/GF: "Akamai-Beschreibung" != Cookie-
     Zweck pro DSK-OH 2024)
P67  Stirring-Finding mit "Verlust-Framing"-Erklaerung + Alt-vs-Neutral-
     Beispiel, statt nur EDPB-Fachbegriff

Compliance-Advisor FAQ (admin agent-core/soul):
  + CNIL/EDPB Top-Bussgelder (Google 100M, Meta 60M, Amazon 35M)
  + Deutsche Praezedenz (LG Muenchen Google Fonts, EuGH Planet49, BGH I ZR 7/16)
  + 4 Risiko-Pfade (Bussgeld/Abmahnung/Sammelklage/NOYB) + Berechnungs-Methodik

Document-Generator Templates: AGB-DE (142), Impressum (140), Widerrufs-
formular-Anlage (143), DSR-Process-Dedup (139), Cookie-Library (144).

Architektur: doc_action_mappings.py + banner_dom_walkers.py +
cookie_behavior_validator.py + vendor_detail_extractor.py rausgezogen,
um die 500-LOC-Caps in agent_doc_check_report.py und
banner_text_checker.py einzuhalten.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend-compliance/compliance/services/doc_checks/agb_checks.py

@@ -39,6 +39,12 @@ AGB_CHECKLIST = [
         "patterns": [
             r"vertragsschluss", r"zustandekommen",
             r"contract\s+formation", r"angebot\s+und\s+annahme",
+            # P41: English synonyms
+            r"conclusion\s+of\s+(?:the\s+)?contract",
+            r"contract\s+(?:is\s+)?(?:concluded|formed)",
+            r"offer\s+and\s+acceptance",
+            r"how\s+the\s+contract\s+is\s+formed",
+            r"contracts?\s+(?:apply|between\s+the\s+provider)",
         ],
         "severity": "HIGH",
         "hint": "Haeufiger Fehler: Die Bestellung wird als Angebot des Kunden dargestellt, aber die Auftragsbestaetigung als Annahme — das ist nur wirksam, wenn klar zwischen Eingangsbestaetigung (§312i BGB) und Auftragsbestaetigung/Annahme unterschieden wird.",
@@ -140,6 +146,15 @@ AGB_CHECKLIST = [
             r"lieferung", r"leistungserbringung", r"delivery",
             r"lieferfrist", r"bereitstellung",
             r"(?:zugang|zugriff).*(?:dienst|leistung)",
+            # P41: English synonyms (SaaS-style)
+            r"provision\s+of\s+(?:the\s+)?(?:service|services)",
+            r"(?:performance|rendering)\s+of\s+(?:the\s+)?(?:service|services)",
+            r"availability\s+of\s+(?:the\s+)?service",
+            r"service\s+level\s+(?:agreement|description)",
+            r"access\s+to\s+(?:the\s+)?(?:service|platform)",
+            r"description\s+of\s+(?:the\s+)?services?",
+            r"(?:^|\n)\s*#+\s*[§\d\.\s]*availability\b",
+            r"(?:^|\n)\s*#+\s*[§\d\.\s]*description\s+of\s+services?",
         ],
         "severity": "MEDIUM",
         "hint": "Bei Fernabsatzvertraegen muss der Unternehmer spaetestens 30 Tage nach Vertragsschluss liefern (§475 Abs. 1 BGB). Formulierungen wie 'Lieferung in der Regel in...' oder 'voraussichtlich' sind nur als Richtwert zulaessig, nicht als verbindliche Frist.",
@@ -230,6 +245,12 @@ AGB_CHECKLIST = [
             r"(?:agb|bedingung).*datenschutz",
             r"personenbezogen.*daten.*(?:agb|vertrag)",
             r"dsgvo.*(?:agb|vertrag)",
+            # P41: English synonyms
+            r"data\s+protection.*(?:terms|contract)",
+            r"(?:terms|contract).*data\s+protection",
+            r"personal\s+data.*(?:terms|contract|agreement)",
+            r"gdpr.*(?:terms|contract|agreement)",
+            r"privacy\s+(?:policy|notice).*(?:see|refer)",
         ],
         "severity": "LOW",
         "hint": "AGB und Datenschutzerklaerung sind rechtlich getrennte Dokumente. Mischen Sie KEINE Datenschutzhinweise in die AGB ein — stattdessen genuegt ein Verweis: 'Details zur Datenverarbeitung finden Sie in unserer Datenschutzerklaerung [Link].'",
@@ -245,6 +266,11 @@ AGB_CHECKLIST = [
             r"(?:unwirksamkeit|nichtigkeit)\s+(?:einer|einzelner)\s+(?:bestimmung|klausel|regelung)",
             r"(?:sollte|sofern).*(?:bestimmung|klausel).*(?:unwirksam|nichtig)",
             r"(?:uebrigen|übrigen)\s+bestimmungen.*(?:unberuehrt|unberührt|wirksam|bestehen)",
+            # P41: English equivalents
+            r"severability",
+            r"(?:invalid|unenforceable).*(?:provision|clause)",
+            r"remaining\s+provisions\s+(?:shall\s+)?(?:remain|continue)",
+            r"(?:provision|clause)\s+(?:is\s+)?(?:invalid|unenforceable|void)",
         ],
         "severity": "LOW",
         "hint": "Die klassische salvatorische Klausel ('unwirksame Bestimmungen werden durch wirksame ersetzt') ist nach BGH-Rechtsprechung in AGB selbst unwirksam. Besser: Nur die Erhaltungsklausel verwenden ('Die uebrigen Bestimmungen bleiben wirksam').",
@@ -260,6 +286,12 @@ AGB_CHECKLIST = [
             r"(?:agb|bedingung).*(?:ae|ä)nder",
             r"(?:anpassung|aktualisierung).*(?:agb|bedingung|geschaeftsbedingung|geschäftsbedingung)",
             r"(?:neue\s+fassung|neufassung).*(?:agb|bedingung)",
+            # P41: English
+            r"amendments?.*(?:terms|conditions|agreement)",
+            r"(?:terms|conditions|agreement).*(?:may\s+be\s+)?amend",
+            r"changes?\s+to\s+(?:these\s+)?(?:terms|conditions)",
+            r"modification\s+of\s+(?:the\s+)?(?:terms|agreement)",
+            r"(?:revised|updated)\s+(?:terms|conditions|version)",
         ],
         "severity": "LOW",
         "hint": "AGB-Aenderungsklauseln bei B2C sind nur unter engen Voraussetzungen wirksam (BGH Az. XI ZR 388/10): Aenderungsgrund muss konkret benannt sein, Kunde muss angemessene Frist zur Kuendigung erhalten. Pauschale 'Wir koennen jederzeit aendern'-Klauseln sind unwirksam.",
@@ -275,6 +307,12 @@ AGB_CHECKLIST = [
             r"verbraucherrecht",
             r"(?:gesetzlich|zwingende)\w*\s+recht\w*.*(?:unberuehrt|unberührt|bestehen\s+bleiben)",
             r"(?:verbrauch|konsument).*(?:recht|anspruch|schutz)",
+            # P41: English equivalents — UCTA / Consumer Rights Act
+            r"consumer\s+(?:rights?|protection|laws?)",
+            r"statutory\s+rights?\s+(?:are|shall\s+be|remain)\s+unaffected",
+            r"mandatory\s+(?:law|rights?)\s+(?:remain|shall\s+remain)",
+            r"(?:nothing|no\s+provision)\s+(?:in\s+these\s+)?(?:terms|conditions)\s+(?:shall|limits?|excludes?)",
+            r"contracts?\s+with\s+consumers?\s+(?:are\s+not\s+concluded|excluded)",
         ],
         "severity": "LOW",
         "hint": "Haeufigste §309 BGB-Verstoesse: Pauschalierter Schadensersatz ohne Gegenbeweismoeglichkeit (Nr. 5), Haftungsausschluss bei Koerperschaeden (Nr. 7a), Schriftformerfordernis fuer Kuendigung (Nr. 13). Jede dieser Klauseln ist einzeln abmahnfaehig.",