test(dse): adopt canonical v3 tests + criteria/GT/validation

Replace the reconstructed test_dse_agent.py with the canonical version and add
the companion unit tests (classification_gate, embedding_recall) covering the
recovered v3 modules. Include the curated DSE criteria backup + changelog
(legal-note rationale per control), the v1 validation writeup, and the
multi-company DSE ground-truth fulltexts (elli/eto/mercedes/safetykon) used
for threshold calibration.

18 DSE tests green offline (DB/embedding/LLM stubbed).

dev-only, no deploy.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

backend-compliance/compliance/tests/test_dse_agent.py

@@ -1,96 +1,153 @@
-"""DSEAgent v3 (4-Layer: Regex-Boost / Keyword / BGE-M3-Recall / Semantic).
+"""DSE-Agent v3 — DB-Controls (doc_check_controls) via run_v3_pipeline +
+kuratierter Art-13-Regex-Boost (Layer 0). Volle Parität zu impressum/cookie.
 
-DB (_load_controls), Embedding-Service und LLM sind offline gestubbt → die Tests
+Die Tests prüfen die deterministischen Bausteine (regex_boost/mcs) ohne DB und
-sind deterministisch und brauchen kein Netzwerk. Die reinen Schichten
+den Agent-Pfad mit gemocktem run_v3_pipeline (CI hat keine DB).
-(compute_regex_boosts, embedding_recall-Reachability) werden direkt geprüft, die
-Result→Finding-Konvertierung über einen gestubbten run_v3_pipeline.
 """
+
+from __future__ import annotations
+
 import asyncio
 
 import compliance.services.specialist_agents.dse.agent as dse_agent
 from compliance.services.specialist_agents import REGISTRY, AgentInput
-from compliance.services.specialist_agents.dse._embedding_recall import (
+from compliance.services.specialist_agents.dse.mcs import MCS, MC_IDS
-    embedding_recall,
-)
 from compliance.services.specialist_agents.dse.regex_boost import (
+    boost_matches_db_mc,
     compute_regex_boosts,
+    criteria_on_topic,
 )
 
-_TELEMETRY = {
+_DSE_SAMPLE = (
-    "layer_0_field_hits": 0, "layer_0_field_ids": [],
+    "Datenschutzerklaerung. Verantwortlich im Sinne der DSGVO ist die Muster "
-    "layer_1_pass": 0, "embedding_passes": 0, "total_mcs": 1,
+    "GmbH, Musterstrasse 1, 12345 Berlin. E-Mail: info@muster.de. "
-    "sector_dropped": 0, "offtopic_dropped": 0,
+    "Datenschutzbeauftragter: dsb@muster.de. Zwecke der Verarbeitung und "
-    "gate_excluded": 0, "organizational_checklist": [],
+    "Rechtsgrundlage Art. 6 Abs. 1 lit. f berechtigtes Interesse. Empfaenger "
-}
+    "Ihrer Daten sind Auftragsverarbeiter. Speicherdauer der Daten richtet "
+    "sich nach Aufbewahrungsfristen. Sie haben das Recht auf Auskunft, das "
+    "Recht auf Berichtigung, das Recht auf Loeschung sowie ein "
+    "Widerspruchsrecht. Beschwerde bei der Aufsichtsbehoerde moeglich. Stand: "
+    "Januar 2026. ") * 3
 
 
-def _pipeline_stub(results):
+# ── Registrierung ────────────────────────────────────────────────────────
-    async def _stub(text, scope):
+def test_dse_agent_registered():
-        return results, dict(_TELEMETRY, total_mcs=len(results))
+    agent = REGISTRY.get("dse")
-    return _stub
+    assert agent is not None
+    assert agent.agent_version == "3.0"
+    assert agent.doc_type == "dse"
 
 
-def _evaluate(text, context=None):
+def test_owned_mc_ids_match_checklist():
-    return asyncio.run(dse_agent.DSEAgent().evaluate(
+    # owned_mc_ids = die Boost-Pattern-IDs (aus ART13_CHECKLIST gehoben).
+    assert MC_IDS == tuple(m.mc_id for m in MCS)
+    assert len(MC_IDS) >= 10  # mind. die 10 L1-Pflichtfelder + L2
+
+
+# ── Layer-0 Regex-Boost (deterministisch, ohne DB) ───────────────────────
+def test_regex_boost_detects_core_fields():
+    boosts = compute_regex_boosts(_DSE_SAMPLE)
+    # Die zentralen Art-13-Felder müssen erkannt werden.
+    for field in ("controller", "legal_basis", "rights", "complaint",
+                  "retention", "dse_version_date"):
+        assert field in boosts, f"{field} nicht erkannt: {sorted(boosts)}"
+
+
+def test_regex_boost_empty_on_short_text():
+    assert compute_regex_boosts("zu kurz") == set()
+
+
+def test_criteria_on_topic_accepts_dse_rejects_foreign():
+    dse_crit = ["Rechtsgrundlage gemäß Art. 6 DSGVO benannt",
+                "Speicherdauer und Löschfrist angegeben"]
+    assert criteria_on_topic(dse_crit) is True
+    foreign = ["Bestellbestätigung wird per E-Mail versendet",
+               "Versandkosten werden im Warenkorb angezeigt"]
+    assert criteria_on_topic(foreign) is False
+    # leere Kriterien → konservativ on-topic behalten
+    assert criteria_on_topic([]) is True
+
+
+def test_boost_matches_db_mc_third_country():
+    boosts = {"third_country", "controller"}
+    crit = ["Standardvertragsklauseln für Drittland benannt",
+            "Geeignete Garantien bei Übermittlung in ein Drittland"]
+    assert boost_matches_db_mc(boosts, crit) == "third_country"
+    # ohne passende Boosts → None
+    assert boost_matches_db_mc(set(), crit) is None
+
+
+# ── Agent-Pfad mit gemocktem run_v3_pipeline ─────────────────────────────
+def _mock_v3(results, telemetry=None):
+    async def _fake(text, scope, db_url="", skip_embedding=False):
+        return results, (telemetry or {
+            "total_mcs": len(results), "layer_0_field_hits": 0,
+            "layer_0_field_ids": [], "layer_0_boost_overrides": 0,
+            "sector_dropped": 0, "offtopic_dropped": 0})
+    return _fake
+
+
+def _run(text, context=None):
+    return asyncio.run(REGISTRY.get("dse").evaluate(
         AgentInput(doc_type="dse", text=text, context=context or {})))
 
 
-def test_dse_agent_registered_is_v3():
-    agent = REGISTRY.get("dse")
-    assert agent is not None and agent.agent_version == "3.0"
-
-
 def test_dse_short_text_skips():
-    out = _evaluate("zu kurz")
+    out = _run("zu kurz")
     assert out.confidence == 0.0
-    assert all(c.status == "skipped" for c in out.mc_coverage)
+    assert out.mc_coverage and all(
+        c.status == "skipped" for c in out.mc_coverage)
 
 
-def test_regex_boost_detects_core_fields():
+def test_dse_findings_from_failed_db_mc(monkeypatch):
-    text = ("Verantwortlicher im Sinne der DSGVO ist die Muster GmbH. "
+    results = [{
-            "Rechtsgrundlage ist Art. 6. Speicherdauer der Daten. Beschwerde "
+        "control_id": "DATA-525-A17", "passed": False, "severity": "HIGH",
-            "bei der Aufsichtsbehoerde. ") * 2
+        "label": "Berechtigte Interessen ausweisen", "regulation": None,
-    hits = compute_regex_boosts(text, set())
+        "article": None, "_pass_criteria": ["berechtigtes interesse benannt"],
-    assert {"controller", "legal_basis", "retention", "complaint"} & hits
+        "matched_text": "", "source": "keyword_match",
+    }, {
+        "control_id": "AUTH-2051-A11", "passed": True, "severity": "LOW",
+        "label": "Prägnante Form", "regulation": None, "article": None,
+        "_pass_criteria": [], "matched_text": "ok",
+    }]
+    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _mock_v3(results))
+    out = _run(_DSE_SAMPLE, context={"skip_llm": True})
+    fids = {f.field_id for f in out.findings}
+    assert "DATA-525-A17" in fids       # failed → Finding
+    assert "AUTH-2051-A11" not in fids  # passed → kein Finding
+    f = next(f for f in out.findings if f.field_id == "DATA-525-A17")
+    assert f.severity == "HIGH"
+    assert f.norm == "DSGVO Art. 13/14"  # NULL-regulation → Fallback-Norm
+    assert len(f.action) < 410
 
 
-def test_embedding_recall_offline_returns_empty():
+def test_dse_third_country_override_to_high(monkeypatch):
-    # Kein Embedding-Service (Unit) -> Reachability-Guard -> leeres Set, kein Hang.
+    # MEDIUM-Drittland-MC → HIGH bei dokumentiertem Transfer (scan_context).
-    got = asyncio.run(embedding_recall("x" * 200, ["DSE-X-1"]))
+    results = [{
-    assert got == set()
+        "control_id": "DATA-900-A01", "passed": False, "severity": "MEDIUM",
-
+        "label": "Drittlandtransfer Schutzgarantien benennen",
-
+        "regulation": None, "article": None,
-def test_evaluate_builds_finding_from_failed_db_mc(monkeypatch):
+        "_pass_criteria": ["standardvertragsklauseln", "drittland garantien"],
-    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _pipeline_stub([{
+        "matched_text": "", "source": "keyword_match",
-        "control_id": "DATA-RETENTION-1", "passed": False, "severity": "MEDIUM",
+    }]
-        "label": "Speicherdauer der Daten", "regulation": "DSGVO", "article": "13",
+    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _mock_v3(results))
-        "source": "keyword_match",
+    out = _run(_DSE_SAMPLE, context={
-    }]))
+        "skip_llm": True,
-    out = _evaluate("Datenschutzerklaerung " + "x" * 200, context={"skip_llm": True})
-    f = next((f for f in out.findings if f.field_id == "DATA-RETENTION-1"), None)
-    assert f is not None and f.severity == "MEDIUM"
-    assert f.action and len(f.action) <= 400
-
-
-def test_evaluate_passed_db_mc_no_finding(monkeypatch):
-    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _pipeline_stub([{
-        "control_id": "PURPOSE-1", "passed": True, "severity": "MEDIUM",
-        "label": "Zwecke", "matched_text": "Zwecke der Verarbeitung",
-    }]))
-    out = _evaluate("Datenschutzerklaerung " + "x" * 200, context={"skip_llm": True})
-    assert "PURPOSE-1" not in [f.field_id for f in out.findings]
-    assert any(c.mc_id == "PURPOSE-1" and c.status == "ok" for c in out.mc_coverage)
-
-
-def test_evaluate_third_country_high_on_documented_transfer(monkeypatch):
-    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _pipeline_stub([{
-        "control_id": "TRANSFER-1", "passed": False, "severity": "MEDIUM",
-        "label": "Drittlanduebermittlung", "regulation": "DSGVO", "article": "13",
-    }]))
-    out = _evaluate(
-        "Datenschutzerklaerung " + "x" * 200,
-        context={"skip_llm": True,
         "scan_context": {"third_country_transfer": "yes"}})
-    f = next((f for f in out.findings if f.field_id == "TRANSFER-1"), None)
+    f = next(f for f in out.findings if f.field_id == "DATA-900-A01")
-    assert f is not None and f.severity == "HIGH"
+    assert f.severity == "HIGH"
     assert f.severity_reason == "db_mc_failed_third_country_transfer"
+
+
+def test_dse_no_transfer_keeps_medium(monkeypatch):
+    results = [{
+        "control_id": "DATA-900-A01", "passed": False, "severity": "MEDIUM",
+        "label": "Drittlandtransfer Schutzgarantien benennen",
+        "regulation": None, "article": None,
+        "_pass_criteria": ["standardvertragsklauseln", "drittland garantien"],
+        "matched_text": "", "source": "keyword_match",
+    }]
+    monkeypatch.setattr(dse_agent, "run_v3_pipeline", _mock_v3(results))
+    out = _run(_DSE_SAMPLE, context={"skip_llm": True})
+    f = next(f for f in out.findings if f.field_id == "DATA-900-A01")
+    assert f.severity == "MEDIUM"

backend-compliance/compliance/tests/test_dse_classification_gate.py

@@ -0,0 +1,59 @@
+"""Tests fuer das DSE-Applicability-Gate (_classification_gate).
+
+Deckt die reine Split-Logik (apply_gate) und das defensive Verhalten von
+load_dse_gate ohne DB ab. Die DB-Abfrage selbst ist I/O und wird hier nicht
+gegen eine echte DB getestet (defensiver Pfad: kein DSN -> leeres Dict)."""
+
+import asyncio
+import os
+
+from compliance.services.specialist_agents.dse._classification_gate import (
+    apply_gate,
+    load_dse_gate,
+)
+
+
+def test_apply_gate_splits_findings_and_organizational():
+    controls = [
+        {"control_id": "AUTH-2051-A02", "title": "Speicherdauer nennen"},
+        {"control_id": "AUTH-2049-A01", "title": "VVT fuehren"},
+    ]
+    gate = {
+        "AUTH-2049-A01": {
+            "obligation_type": "EVIDENCE",
+            "check_intent": "DIRECT_EVIDENCE",
+            "applicable_artifacts": ["VVT", "AUDIT"],
+            "reference_allowed": "NO",
+        }
+    }
+    kept, organizational = apply_gate(controls, gate)
+    assert [c["control_id"] for c in kept] == ["AUTH-2051-A02"]
+    assert len(organizational) == 1
+    org = organizational[0]
+    assert org["control_id"] == "AUTH-2049-A01"
+    assert org["title"] == "VVT fuehren"
+    assert org["applicable_artifacts"] == ["VVT", "AUDIT"]
+    assert org["check_intent"] == "DIRECT_EVIDENCE"
+
+
+def test_apply_gate_empty_gate_keeps_all():
+    controls = [{"control_id": "X-1"}, {"control_id": "X-2"}]
+    kept, organizational = apply_gate(controls, {})
+    assert len(kept) == 2
+    assert organizational == []
+
+
+def test_load_dse_gate_without_dsn_is_defensive():
+    """Kein DSN + keine Env -> leeres Dict (kein Filter), kein Fehler."""
+    saved = (
+        os.environ.pop("DATABASE_URL", None),
+        os.environ.pop("COMPLIANCE_DATABASE_URL", None),
+    )
+    try:
+        result = asyncio.run(load_dse_gate(""))
+        assert result == {}
+    finally:
+        if saved[0] is not None:
+            os.environ["DATABASE_URL"] = saved[0]
+        if saved[1] is not None:
+            os.environ["COMPLIANCE_DATABASE_URL"] = saved[1]

backend-compliance/compliance/tests/test_dse_embedding_recall.py

@@ -0,0 +1,67 @@
+"""DSE Embedding-Recall — deterministische semantische Schicht (gecacht).
+
+Testet die reine Logik OHNE Embedding-Service: Cache-Treffer-Pfad,
+Schwellen-Filter, Kandidaten-Schnitt, Reachability-Guard. Das Einbetten selbst
+(Embedding-Service) ist Integration und wird auf macmini/Prod validiert.
+"""
+
+from __future__ import annotations
+
+import asyncio
+import json
+
+import compliance.services.specialist_agents.dse._embedding_recall as er
+
+
+_TEXT = ("Datenschutzerklaerung der Muster GmbH. " * 20)  # > 100 Zeichen
+
+
+def _seed_cache(tmp_path, scores: dict[str, float]) -> str:
+    p = tmp_path / "dse_embed_cache.json"
+    p.write_text(json.dumps({er._doc_hash(_TEXT): scores}))
+    return str(p)
+
+
+def test_doc_hash_deterministic():
+    # feste Funktion: gleicher Text → gleicher Hash (Reproduzierbarkeit)
+    assert er._doc_hash(_TEXT) == er._doc_hash(_TEXT)
+    assert er._doc_hash("a") != er._doc_hash("b")
+
+
+def test_cache_hit_threshold_filter(tmp_path, monkeypatch):
+    # Cache-Treffer: kein Embedding-Service nötig. Nur Scores >= Schwelle UND
+    # in den Kandidaten werden zurückgegeben.
+    scores = {"DATA-1": 0.71, "DATA-2": 0.60, "AUTH-3": 0.68, "SEC-4": 0.50}
+    monkeypatch.setenv("DSE_EMBED_CACHE", _seed_cache(tmp_path, scores))
+    monkeypatch.setattr(er, "_CACHE_PATH", str(tmp_path / "dse_embed_cache.json"))
+
+    cands = ["DATA-1", "DATA-2", "AUTH-3", "SEC-4"]
+    out = asyncio.run(er.embedding_recall(_TEXT, cands, threshold=0.65))
+    # >=0.65: DATA-1 (0.71), AUTH-3 (0.68). NICHT DATA-2 (0.60), SEC-4 (0.50).
+    assert out == {"DATA-1", "AUTH-3"}
+
+
+def test_cache_hit_candidate_intersection(tmp_path, monkeypatch):
+    # Nur Kandidaten (durchgefallene Controls) zählen — andere ignoriert.
+    scores = {"DATA-1": 0.90, "DATA-2": 0.90}
+    monkeypatch.setattr(er, "_CACHE_PATH", str(tmp_path / "c.json"))
+    (tmp_path / "c.json").write_text(json.dumps({er._doc_hash(_TEXT): scores}))
+    out = asyncio.run(er.embedding_recall(_TEXT, ["DATA-1"], threshold=0.65))
+    assert out == {"DATA-1"}  # DATA-2 nicht in Kandidaten
+
+
+def test_empty_inputs():
+    assert asyncio.run(er.embedding_recall("zu kurz", ["X"])) == set()
+    assert asyncio.run(er.embedding_recall(_TEXT, [])) == set()
+
+
+def test_service_down_returns_empty(tmp_path, monkeypatch):
+    # Kein Cache + Service nicht erreichbar → leer (deterministischer Layer trägt),
+    # KEIN Hang.
+    monkeypatch.setattr(er, "_CACHE_PATH", str(tmp_path / "none.json"))
+
+    async def _unreachable(timeout=2.0):
+        return False
+    monkeypatch.setattr(er, "_embedding_reachable", _unreachable)
+    out = asyncio.run(er.embedding_recall(_TEXT, ["DATA-1"]))
+    assert out == set()

docs-src/development/dse_v1_validation.md

@@ -0,0 +1,153 @@
+# DSE-Engine — Validierung & Versionierung `DSE_v1`
+
+> **Status:** Release-Candidate (qualitativ validiert, nicht „fertig")
+> **Datum:** 2026-06-19
+> **Modul:** Datenschutzerklärung (`doc_type = dse`)
+> **Zweck dieses Dokuments:** nachvollziehbar festhalten, *wie* die DSE-Engine gemessen
+> wurde, *welche* Controls *warum* korrigiert wurden und *welcher* reproduzierbare Prozess
+> daraus entstanden ist — als Referenz für Cookie-Richtlinie, Impressum, AGB, CRA, NIS2, KI-VO usw.
+
+## 1. Kurzfazit
+
+Die zentrale Aussage ist nicht „FP 11 % → 6 %", sondern: **die False Positives wurden
+halbiert, ohne den Schutz vor echten Lücken zu verlieren** (deterministisch nachgewiesen,
+0 verschluckte Lücken).
+
+| KPI (vs Opus-GT, 5 Firmen, 432 anwendbare Controls) | vorher | `DSE_v1` |
+|---|---|---|
+| Falsche Findings (Engine FEHLT / GT ERFÜLLT) | 51 (11 %) | **26 (6 %)** |
+| Verpasste Lücken (Engine ERFÜLLT / GT FEHLT) | 32 (7 %) | **~31 (~7 %, stabil)** |
+| Recall | 0,76 | **0,88** |
+| Precision | 0,83 | **0,84** |
+
+Ursache der falschen Findings war **nicht** ein zu schwaches LLM, sondern ~11 Controls,
+die mehr verlangten als das Gesetz. Die Korrektur der Regel verbessert OVH, Claude,
+Embeddings und menschliche Auditoren gleichzeitig — höchster ROI.
+
+## 2. Testkorpus (Anti-Overfit)
+
+Fünf repräsentative, real abgerufene Datenschutzerklärungen unterschiedlicher Größe/Branche:
+
+| Firma | Charakter | DSE-Größe |
+|---|---|---|
+| BMW | Großkonzern, sehr umfangreich | ~64 k Zeichen |
+| Mercedes-Benz | Großkonzern | ~19 k |
+| ELLI (VW) | Tochter/Energie | ~26 k |
+| ETO | B2B-Mittelstand | ~26 k |
+| SafetyKon | kleiner B2B, dünne DSE | ~5 k |
+
+Die dünne SafetyKon-DSE ist bewusst der Härtetest gegen **zu lasche** Kriterien.
+
+## 3. Ground-Truth-Methode
+
+- **Orakel:** `claude-opus-4-8` (stärkstes verfügbares Modell — NICHT Haiku, das auf 5-Firmen-DSE
+  zu lasch/„N/A-blind" war). Pro `(Firma × Control)` ein Urteil `ERFUELLT | FEHLT | NA`.
+- Strenge juristische Leitplanken im Prompt (Speicherdauer: zirkuläre Formeln erfüllen nicht;
+  berechtigtes Interesse eines Dritten ≠ eigenes; EU-Kommission-Erwähnung ≠ Angemessenheitsbeschluss).
+- 456 Urteile, davon 24 `NA` (nicht anwendbar) → 432 anwendbare als Messbasis.
+- Wichtige Einschränkung: das Opus-GT trägt auf einigen der korrigierten Controls **dieselbe
+  Überstrenge** — siehe §6 (FN-Nachweis). Auf diesen Controls ist die Engine inzwischen
+  *näher am Gesetz* als das GT.
+
+## 4. Gemessene Engine-Architektur
+
+Dreistufig, Verdikt je `(Firma × Control)`:
+
+1. **Keyword** (deterministisch) → trifft zu ⇒ ERFÜLLT.
+2. **BGE-M3-Embedding-Recall**, Score < 0,50 ⇒ FEHLT (deterministisch, gecacht).
+3. **LLM-Judge** (OVH `gpt-oss-120b`) auf den Embedding-Passes (Score ≥ 0,50) — fängt die
+   „semantisch nah, aber nicht erfüllt"-Über-Passes des Embeddings.
+
+**Robustheit (Pflicht):** OVH liefert unter Concurrency teils leere Antworten. Eine leere
+LLM-Antwort darf **niemals** als FEHLT gewertet werden. `DSE_v1` misst mit Retry-on-empty,
+Concurrency 3, `max_tokens` 600; bei dauerhaft leer → `UNSICHER` (= 4-Status
+`INSUFFICIENT_EVIDENCE` / Eskalation), nicht FEHLT.
+
+## 5. Messverlauf (ehrlich, inkl. Sackgassen)
+
+| Stufe | verpasste Lücken | falsche Findings | Anmerkung |
+|---|---|---|---|
+| nur Keyword + Embedding @0,58 | 32 % | 3 % | Embedding allein **ungenügend** (Über-Passes) |
+| + OVH-LLM (55k-Truncation) | 5 % | 19 % | LLM löst „nichts fehlt"; FP scheinbar hoch |
+| + Volltext (kein 55k-Cut) | 6 % | 14 % | Truncation hatte BMW-FP aufgebläht |
+| + Robust (Retry, kein Leer→FEHLT) | 7 % | 11 % | Artefaktfreie Basis |
+| **+ Kriterien-Fix = `DSE_v1`** | **~7 %** | **6 %** | siehe §7 |
+
+**Schlüssel-Befund (Produkt-relevant):** ein großer Teil der ursprünglichen falschen Findings
+waren **leere OVH-Antworten**, die als FEHLT verbucht wurden — ein echter Pipeline-Bug, nicht
+ein Inhaltsproblem. Lehre für die Kaskaden-Verdrahtung: leere/Timeout-Antwort → Retry →
+`INSUFFICIENT_EVIDENCE` / Claude-Eskalation.
+
+## 6. Die korrigierten Controls (juristischer Review)
+
+12 systematische FP-Controls (firmenübergreifend wiederkehrend) wurden juristisch reviewt
+(Gesetz-Forderung vs. Control-Forderung) und in drei Klassen geteilt. **11 korrigiert,
+1 (`DATA-1611-A04`, Klasse A) unangetastet.** Volle Alt→Neu-Diffs:
+`dse_criteria_changelog.json` (Repo-Wurzel). Backup für Restore: `dse_criteria_backup.json`.
+
+### Klasse B — Control verlangte mehr als das Gesetz (7)
+
+| Control | Rechtsnorm | Kern-Korrektur |
+|---|---|---|
+| `DATA-2260-A01` | Art. 13(1)(c) | „*primärer*/einzelner Zweck" → Zweck(e) im Plural genügen |
+| `AUTH-3737-A06` | Art. 13(1)(c)+(e) | keine Zweck/Rechtsgrundlage-Matrix *je* Übermittlung |
+| `DATA-2992-A03` | Art. 13(1)(e) | Empfänger/Kategorien + Zweck; keine AV-Distinktion/Vertraulichkeit |
+| `DATA-1624-A03` | Art. 13(1)(f) | Garantie + Zugang via **Link ODER** Kontakt; keine Schutzwirkungs-Beschreibung |
+| `DATA-1619-A03` | Art. 13(1)(c) | Rechtsgrundlage je Zweck; Artikel-Zitat *nicht* zwingend |
+| `DATA-424-A09` | Art. 20 | Recht erwähnen genügt; Format (CSV/JSON) *nicht* in der DSE |
+| `GOV-3300-A06` | Art. 20 | wie A09 (Dedupe-Kandidat zu `DATA-424-A09`) |
+
+### Klasse C — Control mehrdeutig / Pflichten vermischt (4)
+
+| Control | Rechtsnorm | Kern-Korrektur |
+|---|---|---|
+| `AI-1560-A01` | Art. 13(1)(c) vs (2)(a) | Speicherdauer-Forderung entfernt (eigene Pflicht) |
+| `SEC-3444-A04` | Art. 13(1)(c) | Titel/Frage „*beschränken*" (Verhalten) → „offenlegen" |
+| `DATA-1624-A06` | Art. 13(1)(f) | Schutzwirkungs-Beschreibung raus; ⚠️ Near-Duplikat zu `DATA-1624-A03` |
+| `DATA-2812-A05` | Art. 17 / §25 TTDSG | Titel „*implementieren*" → „offenlegen"; Verweis auf Cookie-Einstellungen genügt |
+
+### Klasse A — Control korrekt, LLM/Artefakt (1, nicht geändert)
+`DATA-1611-A04` (Art. 13(1)(c)): Kriterien rechtlich sauber; die FP waren OVH-Leerantworten.
+
+## 7. FN-Sicherheitsnachweis (kein Aufweichen)
+
+Lockerere Kriterien dürfen keine echten Lücken durchwinken. Nach dem Fix stieg FN scheinbar
+32 → 36. Kausaltest (11 korrigierte Controls × 5 Firmen) + **deterministische Textprüfung**:
+
+- **0 echte verschluckte Lücken.** Alle 5 „neuen FN" sind Fälle, in denen die Engine jetzt
+  *korrekt* ist und das **Opus-GT zu streng war** — im DSE-Text belegt (bmw nennt „Art. 20 DSGVO",
+  elli „EU-Standardvertragsklauseln … USA", mercedes Empfänger+Weitergabe, eto konkrete Zwecke).
+- **11 echte Lücken weiterhin gefangen** (TN), v.a. SafetyKons dünne DSE → die Kriterien sind
+  nicht zahnlos geworden.
+
+⇒ Die wahre Engine-FN bleibt bei ~7 % (stabil); die scheinbaren +4 sind GT-Überstrenge.
+
+## 8. Reproduzierbarer Kalibrierungsprozess (das eigentliche Ergebnis)
+
+Auf jedes weitere Modul anwendbar (Cookie, Impressum, AGB, CRA, NIS2, KI-VO, DORA, MaschVO):
+
+1. **Opus-GT** je `(Firma × Control)` über 5 repräsentative Firmen bauen.
+2. **Engine messen** (Keyword → Embedding → robuster LLM-Judge) vs GT.
+3. **FP clustern** — wiederkehrende Controls statt Einzel-Findings (systematisch ≠ zufällig).
+4. **Gesetz-vs-Control-Review** der Top-Cluster → Klassen A (LLM-Fehler) / B (zu streng) / C (mehrdeutig).
+5. **Kriterien korrigieren** (B+C), versioniert, mit Rechtsnotiz im Changelog.
+6. **Re-Messung** — Pflicht: FP gesunken **und** FN stabil (FN-Kausaltest gegen Über-Lockerung).
+
+## 9. Bekannte Grenzen / offene Punkte
+
+- **OVH stochastisch** (kein Seed): ±~4 Findings Lauf-zu-Lauf. Für harte Zahlen Mehrfachlauf/Mehrheit.
+- **GT-Überstrenge** auf einigen korrigierten Controls → „8 % FN" überzeichnet leicht (wahr ~7 %).
+- **Dedupe offen** (separater Catalog-Schritt, nicht gelöscht): `DATA-1624-A06`↔`A03`,
+  `DATA-424-A09`↔`GOV-3300`.
+- **Nur macmini-dev.** Kriterien-Änderungen sind reversibel (Backup) und noch **nicht** auf Prod.
+- **Restliche FP-Tail** (~17 außerhalb der Top-12) bei 6 % belassen — weitere Optimierung
+  schlechter ROI; operativer Hebel ist der Claude-Freigabe-Tier (Kaskade), nicht Regel-Tuning.
+
+## 10. Artefakte & Reproduktion
+
+- GT-Verdikte: `/tmp/gt_opus_dse.json` (Container) · Kandidaten/Scores: `/tmp/multi_company_gt.json`
+- Changelog (Alt→Neu + Rechtsnotiz): `dse_criteria_changelog.json` · Restore: `dse_criteria_backup.json`
+- Skripte (MacBook `/tmp`, Ausführung via `docker exec -i bp-compliance-backend python3 -`):
+  `cc_gt_opus_dse.py` (GT) · `cc_engine_llm_dse3.py` (robuste Messung) ·
+  `cc_apply_criteria.py` (Korrektur + Versionierung) · `cc_check_fn.py` (FN-Kausaltest) ·
+  `cc_verify_fn.py` (deterministische Textprüfung)

dse_criteria_backup.json

@@ -0,0 +1,68 @@
+{
+ "DATA-2260-A01": {
+  "title": "Primären Verarbeitungszweck schriftlich und verständlich dokumentieren",
+  "check_question": "Ist der primäre Verarbeitungszweck schriftlich und verständlich dokumentiert?",
+  "pass_criteria": "[\"primärer Verarbeitungszweck verständlich beschrieben\", \"Zweck der Datenerhebung nachvollziehbar genannt\"]",
+  "fail_criteria": "[\"Primärzweck nicht schriftlich dokumentiert\", \"Unverständliche oder zu technische Formulierung\", \"Zu allgemeine Beschreibung ohne konkrete Bezüge\"]"
+ },
+ "AUTH-3737-A06": {
+  "title": "Zwecke von Datenübermittlungen dokumentieren",
+  "check_question": "Sind die Zwecke aller Datenübermittlungen transparent und nachvollziehbar dokumentiert?",
+  "pass_criteria": "[\"Explizite Zweckangabe für jede Datenübermittlung (z.B. 'Vertragserfüllung', 'Rechtliche Verpflichtung')\", \"Rechtsgrundlage für die jeweilige Übermittlung (Art. 6 DSGVO oder spezifische Norm)\", \"Empfänger und Empfängerkategorie mit Zweckbindung\", \"Dokumentation der Zwecke in verständlicher Form für Betroffene\", \"Unterscheidung zwischen verschiedenen Übermittlungszwecken\"]",
+  "fail_criteria": "[\"Generische Zweckangaben wie 'geschäftliche Zwecke' ohne Konkretisierung\", \"Fehlende Rechtsgrundlage für die Übermittlung\", \"Keine Dokumentation der Zwecke oder nur mündliche Absprachen\"]"
+ },
+ "DATA-2992-A03": {
+  "title": "Weiterübertragung an Drittparteien dokumentieren (Zweck, Rechtsgrundlage)",
+  "check_question": "Dokumentiert die Datenschutzinformation für jede Weiterübertragung an Drittparteien den Zweck und die Rechtsgrundlage?",
+  "pass_criteria": "[\"Für jeden Drittpartner-Transfer: Expliziter Zweck dokumentiert (z.B. 'Zahlungsabwicklung', 'Kundenservice')\", \"Rechtsgrundlage für die Weiterübertragung genannt (z.B. 'Vertragserfüllung mit Kunde', 'Einwilligung des Betroffenen')\", \"Unterscheidung zwischen Auftragsverarbeiter und eigenverantwortlichem Verantwortlicher\", \"Informationen zu Weitergabebeschränkungen oder Vertraulichkeitsverpflichtungen\"]",
+  "fail_criteria": "[\"Drittparteien genannt, aber Zweck oder Rechtsgrundlage fehlt\", \"Pauschalaussage wie 'Daten werden an Partner weitergegeben' ohne Spezifizierung\", \"Keine Unterscheidung zwischen verschiedenen Weiterübertragungsszenarien\"]"
+ },
+ "DATA-1624-A03": {
+  "title": "Verweis auf Garantien für Drittlandtransfer bereitstellen",
+  "check_question": "Werden betroffene Personen über alternative Garantien für Drittlandtransfers (falls kein Angemessenheitsbeschluss) informiert und auf diese verwiesen?",
+  "pass_criteria": "[\"Aufzählung der angewendeten Transfermechanismen (z.B. 'Standardvertragsklauseln', 'Binding Corporate Rules', 'Zertifizierungen')\", \"Konkrete Beschreibung jedes Mechanismus und dessen Schutzwirkung in verständlicher Sprache\", \"Angabe, wie Betroffene die Garantiedokumente einsehen können (mit Kontaktdaten oder Link)\", \"Hinweis auf Rechte der Betroffenen (z.B. Recht auf Beschwerde, Recht auf Auskunft über Schutzmaßnahmen)\"]",
+  "fail_criteria": "[\"Nur Nennung von Transfermechanismen ohne Erklärung oder Zugriff auf Dokumente\", \"Unvollständige Aufzählung (z.B. nur SCCs erwähnt, aber auch BCR verwendet)\", \"Garantien werden erwähnt, sind aber nicht tatsächlich implementiert oder dokumentiert\"]"
+ },
+ "DATA-1619-A03": {
+  "title": "Verarbeitungszwecke und Rechtsgrundlage offenlegen",
+  "check_question": "Sind Verarbeitungszwecke und Rechtsgrundlagen klar und verständlich offengelegt?",
+  "pass_criteria": "[\"Konkrete Verarbeitungszwecke benannt (z.B. 'Vertragserfüllung', 'Rechnungsstellung', 'Kundenservice')\", \"Spezifische Rechtsgrundlage mit Artikel genannt (z.B. 'Art. 6 Abs. 1 Buchstabe b DSGVO')\", \"Unterscheidung zwischen verschiedenen Verarbeitungszwecken mit jeweiliger Rechtsgrundlage\", \"Verständliche Sprache ohne juristische Fachbegriffe oder mit Erklärung\", \"Trennung von Pflichtangaben und freiwilligen Verarbeitungen\"]",
+  "fail_criteria": "[\"Zweck nur allgemein formuliert ('geschäftliche Zwecke', 'interne Nutzung')\", \"Rechtsgrundlage fehlt oder nur 'DSGVO' ohne Artikel und Absatz\", \"Mehrere Zwecke ohne klare Zuordnung zu Rechtsgrundlagen\", \"Unverständliche juristische Formulierungen ohne Erklärung\"]"
+ },
+ "DATA-424-A09": {
+  "title": "Datenübertragbarkeit bei Einwilligung oder Vertrag ermöglichen",
+  "check_question": "Dokumentiert die Datenschutzinformation die Bereitstellung von Daten in maschinenlesbarem Format für Fälle mit Einwilligung oder Vertrag als Rechtsgrundlage?",
+  "pass_criteria": "[\"Datenübertragbarkeit bei Einwilligung oder Vertrag erwähnt\", \"maschinenlesbares Format genannt\"]",
+  "fail_criteria": "[\"Maschinenlesbare Formate werden nicht angeboten\", \"Keine Differenzierung nach Rechtsgrundlagen\", \"Abruf nur in unstrukturierten Formaten (z.B. PDF) möglich\"]"
+ },
+ "GOV-3300-A06": {
+  "title": "Daten in maschinenlesbaren Formaten bei Datenportierung bereitstellen",
+  "check_question": "Stellt die Datenschutzinformation sicher, dass Betroffene ihre Daten bei Datenportierungsanfragen in maschinenlesbaren Formaten erhalten?",
+  "pass_criteria": "[\"Recht auf Datenübertragbarkeit erwähnt\", \"strukturiertes oder maschinenlesbares Format genannt\"]",
+  "fail_criteria": "[\"Nur Bereitstellung in nicht-maschinenlesbaren Formaten (PDF, Papier)\", \"Vage Aussagen zu 'gängigen Formaten' ohne konkrete Nennung\", \"Einschränkung auf proprietäre oder nicht-standardisierte Formate\"]"
+ },
+ "AI-1560-A01": {
+  "title": "Zwecke der Datenverwendung dokumentieren",
+  "check_question": "Sind die Zwecke der Datenverwendung transparent und DSGVO-konform dokumentiert?",
+  "pass_criteria": "[\"Schriftliche Dokumentation aller Verarbeitungszwecke\", \"Verständliche Darstellung für Betroffene (keine Fachjargon ohne Erklärung)\", \"Einhaltung des Zweckbindungsprinzips (Zwecke sind spezifisch und nicht beliebig erweiterbar)\", \"Dokumentation der Zwecke in der Datenschutzerklärung oder Datenschutzinformation\", \"Angabe von Speicherdauer in Bezug auf Verarbeitungszwecke\"]",
+  "fail_criteria": "[\"Unklare oder mehrdeutige Zweckbeschreibungen\", \"Fehlende Dokumentation in Datenschutzerklärung\", \"Zu breite Zweckdefinitionen, die Zweckentfremdung ermöglichen\"]"
+ },
+ "SEC-3444-A04": {
+  "title": "Sekundärverarbeitungen auf Notwendigkeit beschränken",
+  "check_question": "Beschränkt die Datenschutzinformation Sekundärverarbeitungen von Adressendaten auf die ursprünglichen Zwecke und notwendige Folgemaßnahmen?",
+  "pass_criteria": "[\"ursprünglicher Verarbeitungszweck benannt\", \"Zweckbindung der Daten angegeben\"]",
+  "fail_criteria": "[\"Uneingeschränkte Erlaubnis zur Datennutzung für beliebige Zwecke\", \"Keine Differenzierung zwischen ursprünglichem und neuem Zweck\", \"Fehlende Nennung konkreter Folgemaßnahmen\"]"
+ },
+ "DATA-1624-A06": {
+  "title": "Übermittlung von Drittland-Schutzgarantie-Informationen verifizieren",
+  "check_question": "Informiert die Datenschutzinformation betroffene Personen über die angewendeten Schutzmechanismen bei Datenübermittlungen in Drittländer (Adequacy Decisions, SCCs, BCRs)?",
+  "pass_criteria": "[\"Explizite Nennung der angewendeten Schutzmechanismen (z.B. 'Adequacy Decision der EU-Kommission', 'Standarddatenschutzklauseln', 'Binding Corporate Rules')\", \"Angabe der betroffenen Drittländer oder Regionen\", \"Beschreibung der Garantien und Schutzmaßnahmen für die Datenübermittlung\", \"Verweis auf Dokumentation oder Rechtsgrundlagen (z.B. Verträge, Entscheidungen)\", \"Information über Rechte der betroffenen Person bei Drittlandtransfers\"]",
+  "fail_criteria": "[\"Nur pauschale Aussage 'Daten werden geschützt übermittelt' ohne Nennung konkreter Mechanismen\", \"Aufzählung von Drittländern ohne Angabe der Schutzmechanismen\", \"Fehlende Differenzierung zwischen verschiedenen Übermittlungsszenarien\"]"
+ },
+ "DATA-2812-A05": {
+  "title": "Löschungsrecht für Cookies und Speicherdaten implementieren",
+  "check_question": "Wird in der Datenschutzinformation das Recht auf Löschung von in Cookies und Speichermechanismen abgelegten personenbezogenen Daten beschrieben?",
+  "pass_criteria": "[\"Recht auf Löschung von Cookie- oder Speicherdaten beschrieben\", \"Verwaltung oder Löschung von Cookies angesprochen\"]",
+  "fail_criteria": "[\"Cookies werden nicht erwähnt oder als unvermeidbar dargestellt\", \"Keine Anleitung zur Löschung oder Verwaltung von Cookies\", \"Keine Möglichkeit zur Ablehnung oder zum Widerruf von Cookies beschrieben\"]"
+ }
+}

dse_criteria_changelog.json

@@ -0,0 +1,283 @@
+[
+ {
+  "control_id": "DATA-2260-A01",
+  "klasse": "B",
+  "legal_note": "Art. 13(1)(c) DSGVO verlangt 'die Zwecke' (Plural) — keinen einzelnen 'primären' Zweck und keine Priorisierung. Mehrere genannte Zwecke erfüllen die Pflicht.",
+  "changed_fields": [
+   "title",
+   "check_question",
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "title": "Primären Verarbeitungszweck schriftlich und verständlich dokumentieren",
+   "check_question": "Ist der primäre Verarbeitungszweck schriftlich und verständlich dokumentiert?",
+   "pass_criteria": "[\"primärer Verarbeitungszweck verständlich beschrieben\", \"Zweck der Datenerhebung nachvollziehbar genannt\"]",
+   "fail_criteria": "[\"Primärzweck nicht schriftlich dokumentiert\", \"Unverständliche oder zu technische Formulierung\", \"Zu allgemeine Beschreibung ohne konkrete Bezüge\"]"
+  },
+  "new": {
+   "title": "Verarbeitungszweck(e) schriftlich und verständlich dokumentieren",
+   "check_question": "Sind die Verarbeitungszwecke schriftlich und verständlich genannt?",
+   "pass_criteria": [
+    "Verarbeitungszweck(e) verständlich beschrieben",
+    "Zweck der Datenerhebung nachvollziehbar genannt"
+   ],
+   "fail_criteria": [
+    "Verarbeitungszwecke nicht genannt",
+    "Unverständliche oder zu technische Formulierung",
+    "Nur pauschale Floskel ohne konkreten Zweckbezug"
+   ]
+  }
+ },
+ {
+  "control_id": "AUTH-3737-A06",
+  "klasse": "B",
+  "legal_note": "Art. 13(1)(c)+(e) verlangt Zwecke + Empfänger(kategorien) — keine vollständige Zweck/Rechtsgrundlage-Matrix je einzelner Übermittlung.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Explizite Zweckangabe für jede Datenübermittlung (z.B. 'Vertragserfüllung', 'Rechtliche Verpflichtung')\", \"Rechtsgrundlage für die jeweilige Übermittlung (Art. 6 DSGVO oder spezifische Norm)\", \"Empfänger und Empfängerkategorie mit Zweckbindung\", \"Dokumentation der Zwecke in verständlicher Form für Betroffene\", \"Unterscheidung zwischen verschiedenen Übermittlungszwecken\"]",
+   "fail_criteria": "[\"Generische Zweckangaben wie 'geschäftliche Zwecke' ohne Konkretisierung\", \"Fehlende Rechtsgrundlage für die Übermittlung\", \"Keine Dokumentation der Zwecke oder nur mündliche Absprachen\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "Zwecke der Datenübermittlungen genannt",
+    "Empfänger oder Empfängerkategorien angegeben",
+    "verständliche Darstellung für Betroffene"
+   ],
+   "fail_criteria": [
+    "keine Angabe von Übermittlungszwecken",
+    "weder Empfänger noch Empfängerkategorien genannt",
+    "nur pauschale Floskel ('geschäftliche Zwecke') ohne jeden Bezug"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-2992-A03",
+  "klasse": "B",
+  "legal_note": "Art. 13(1)(e) verlangt Empfänger/Kategorien; die DSE muss keine AV-/Verantwortlicher-Distinktion, keine Vertraulichkeitszusage und keine Rechtsgrundlage je Empfänger ausweisen.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Für jeden Drittpartner-Transfer: Expliziter Zweck dokumentiert (z.B. 'Zahlungsabwicklung', 'Kundenservice')\", \"Rechtsgrundlage für die Weiterübertragung genannt (z.B. 'Vertragserfüllung mit Kunde', 'Einwilligung des Betroffenen')\", \"Unterscheidung zwischen Auftragsverarbeiter und eigenverantwortlichem Verantwortlicher\", \"Informationen zu Weitergabebeschränkungen oder Vertraulichkeitsverpflichtungen\"]",
+   "fail_criteria": "[\"Drittparteien genannt, aber Zweck oder Rechtsgrundlage fehlt\", \"Pauschalaussage wie 'Daten werden an Partner weitergegeben' ohne Spezifizierung\", \"Keine Unterscheidung zwischen verschiedenen Weiterübertragungsszenarien\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "Weitergabe an Dritte offengelegt (Empfänger oder Kategorien)",
+    "Zweck der Weitergabe genannt"
+   ],
+   "fail_criteria": [
+    "Weitergabe verschwiegen",
+    "weder Empfänger/Kategorie noch Zweck genannt",
+    "nur pauschal 'Daten werden an Partner weitergegeben' ohne jeden Bezug"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-1624-A03",
+  "klasse": "B",
+  "legal_note": "Art. 13(1)(f) verlangt Verweis auf geeignete Garantien + wie eine Kopie erhältlich/wo verfügbar ist. Ein Link genügt; eine verständliche Beschreibung der Schutzwirkung ist nicht gefordert.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Aufzählung der angewendeten Transfermechanismen (z.B. 'Standardvertragsklauseln', 'Binding Corporate Rules', 'Zertifizierungen')\", \"Konkrete Beschreibung jedes Mechanismus und dessen Schutzwirkung in verständlicher Sprache\", \"Angabe, wie Betroffene die Garantiedokumente einsehen können (mit Kontaktdaten oder Link)\", \"Hinweis auf Rechte der Betroffenen (z.B. Recht auf Beschwerde, Recht auf Auskunft über Schutzmaßnahmen)\"]",
+   "fail_criteria": "[\"Nur Nennung von Transfermechanismen ohne Erklärung oder Zugriff auf Dokumente\", \"Unvollständige Aufzählung (z.B. nur SCCs erwähnt, aber auch BCR verwendet)\", \"Garantien werden erwähnt, sind aber nicht tatsächlich implementiert oder dokumentiert\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "geeignete Garantie genannt (z.B. SCC/BCR/Zertifizierung)",
+    "Zugang zu den Garantien angegeben (Link ODER Kontakt)"
+   ],
+   "fail_criteria": [
+    "Drittlandtransfer ohne Nennung einer Garantie",
+    "Garantie genannt, aber keinerlei Möglichkeit sie einzusehen (kein Link und kein Kontakt)"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-1619-A03",
+  "klasse": "B",
+  "legal_note": "Art. 13(1)(c) verlangt die Rechtsgrundlage; die Nennung des konkreten Artikels (Art. 6 Abs. 1 lit. ...) ist gute Praxis, aber nicht zwingend; ebenso wenig die Trennung Pflicht/freiwillig.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Konkrete Verarbeitungszwecke benannt (z.B. 'Vertragserfüllung', 'Rechnungsstellung', 'Kundenservice')\", \"Spezifische Rechtsgrundlage mit Artikel genannt (z.B. 'Art. 6 Abs. 1 Buchstabe b DSGVO')\", \"Unterscheidung zwischen verschiedenen Verarbeitungszwecken mit jeweiliger Rechtsgrundlage\", \"Verständliche Sprache ohne juristische Fachbegriffe oder mit Erklärung\", \"Trennung von Pflichtangaben und freiwilligen Verarbeitungen\"]",
+   "fail_criteria": "[\"Zweck nur allgemein formuliert ('geschäftliche Zwecke', 'interne Nutzung')\", \"Rechtsgrundlage fehlt oder nur 'DSGVO' ohne Artikel und Absatz\", \"Mehrere Zwecke ohne klare Zuordnung zu Rechtsgrundlagen\", \"Unverständliche juristische Formulierungen ohne Erklärung\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "konkrete Verarbeitungszwecke benannt",
+    "Rechtsgrundlage je Zweck genannt (Artikel-Zitat nicht zwingend)"
+   ],
+   "fail_criteria": [
+    "Zweck nur pauschal ('geschäftliche Zwecke')",
+    "keine Rechtsgrundlage genannt"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-424-A09",
+  "klasse": "B",
+  "legal_note": "Art. 20 DSGVO — die DSE informiert über das Recht; das konkrete Exportformat (CSV/JSON/XML) ist Umsetzungsfrage und muss in der DSE nicht benannt werden.",
+  "changed_fields": [
+   "title",
+   "check_question",
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "title": "Datenübertragbarkeit bei Einwilligung oder Vertrag ermöglichen",
+   "check_question": "Dokumentiert die Datenschutzinformation die Bereitstellung von Daten in maschinenlesbarem Format für Fälle mit Einwilligung oder Vertrag als Rechtsgrundlage?",
+   "pass_criteria": "[\"Datenübertragbarkeit bei Einwilligung oder Vertrag erwähnt\", \"maschinenlesbares Format genannt\"]",
+   "fail_criteria": "[\"Maschinenlesbare Formate werden nicht angeboten\", \"Keine Differenzierung nach Rechtsgrundlagen\", \"Abruf nur in unstrukturierten Formaten (z.B. PDF) möglich\"]"
+  },
+  "new": {
+   "title": "Recht auf Datenübertragbarkeit (Einwilligung/Vertrag) offenlegen",
+   "check_question": "Informiert die Datenschutzinformation über das Recht auf Datenübertragbarkeit (bei Einwilligung oder Vertrag)?",
+   "pass_criteria": [
+    "Recht auf Datenübertragbarkeit erwähnt (bei Einwilligung oder Vertrag)"
+   ],
+   "fail_criteria": [
+    "Recht auf Datenübertragbarkeit nicht erwähnt"
+   ]
+  }
+ },
+ {
+  "control_id": "GOV-3300-A06",
+  "klasse": "B",
+  "legal_note": "Wie DATA-424-A09 (Art. 20): Format-Nennung in der DSE nicht gefordert. Dedupe-Kandidat zu DATA-424-A09.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Recht auf Datenübertragbarkeit erwähnt\", \"strukturiertes oder maschinenlesbares Format genannt\"]",
+   "fail_criteria": "[\"Nur Bereitstellung in nicht-maschinenlesbaren Formaten (PDF, Papier)\", \"Vage Aussagen zu 'gängigen Formaten' ohne konkrete Nennung\", \"Einschränkung auf proprietäre oder nicht-standardisierte Formate\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "Recht auf Datenübertragbarkeit erwähnt"
+   ],
+   "fail_criteria": [
+    "Recht auf Datenübertragbarkeit nicht erwähnt"
+   ]
+  }
+ },
+ {
+  "control_id": "AI-1560-A01",
+  "klasse": "C",
+  "legal_note": "Zweck-Offenlegung (Art. 13(1)(c)) und Speicherdauer (Art. 13(2)(a)) sind verschiedene Pflichten; die Speicherdauer-Forderung gehört nicht in den Zweck-Control und wird entfernt.",
+  "changed_fields": [
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "pass_criteria": "[\"Schriftliche Dokumentation aller Verarbeitungszwecke\", \"Verständliche Darstellung für Betroffene (keine Fachjargon ohne Erklärung)\", \"Einhaltung des Zweckbindungsprinzips (Zwecke sind spezifisch und nicht beliebig erweiterbar)\", \"Dokumentation der Zwecke in der Datenschutzerklärung oder Datenschutzinformation\", \"Angabe von Speicherdauer in Bezug auf Verarbeitungszwecke\"]",
+   "fail_criteria": "[\"Unklare oder mehrdeutige Zweckbeschreibungen\", \"Fehlende Dokumentation in Datenschutzerklärung\", \"Zu breite Zweckdefinitionen, die Zweckentfremdung ermöglichen\"]"
+  },
+  "new": {
+   "pass_criteria": [
+    "Verarbeitungszwecke in der Datenschutzerklärung genannt",
+    "verständliche Darstellung für Betroffene"
+   ],
+   "fail_criteria": [
+    "Verarbeitungszwecke nicht genannt",
+    "nur unklare/zu breite Zweckfloskeln, die jede Nutzung erlauben"
+   ]
+  }
+ },
+ {
+  "control_id": "SEC-3444-A04",
+  "klasse": "C",
+  "legal_note": "In der DSE wird die Zweckbindung OFFENGELEGT (Art. 13(1)(c)); ob Sekundärverarbeitung tatsächlich 'beschränkt' wird, ist eine Verhaltensfrage und aus dem Text nicht prüfbar. Titel/Frage an den Offenlegungs-Charakter angeglichen.",
+  "changed_fields": [
+   "title",
+   "check_question",
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "title": "Sekundärverarbeitungen auf Notwendigkeit beschränken",
+   "check_question": "Beschränkt die Datenschutzinformation Sekundärverarbeitungen von Adressendaten auf die ursprünglichen Zwecke und notwendige Folgemaßnahmen?",
+   "pass_criteria": "[\"ursprünglicher Verarbeitungszweck benannt\", \"Zweckbindung der Daten angegeben\"]",
+   "fail_criteria": "[\"Uneingeschränkte Erlaubnis zur Datennutzung für beliebige Zwecke\", \"Keine Differenzierung zwischen ursprünglichem und neuem Zweck\", \"Fehlende Nennung konkreter Folgemaßnahmen\"]"
+  },
+  "new": {
+   "title": "Zweckbindung der Datenverarbeitung offenlegen",
+   "check_question": "Legt die Datenschutzinformation den ursprünglichen Zweck und die Zweckbindung der Daten offen?",
+   "pass_criteria": [
+    "ursprünglicher Verarbeitungszweck benannt",
+    "Zweckbindung der Daten angegeben"
+   ],
+   "fail_criteria": [
+    "kein Zweck genannt",
+    "uneingeschränkte Nutzung für beliebige Zwecke erlaubt"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-1624-A06",
+  "klasse": "C",
+  "legal_note": "Art. 13(1)(f): Beschreibung der Schutzwirkung nicht gefordert. ⚠️ Near-Duplikat zu DATA-1624-A03 → Dedupe als separater Catalog-Schritt empfohlen (hier NICHT gelöscht).",
+  "changed_fields": [
+   "title",
+   "check_question",
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "title": "Übermittlung von Drittland-Schutzgarantie-Informationen verifizieren",
+   "check_question": "Informiert die Datenschutzinformation betroffene Personen über die angewendeten Schutzmechanismen bei Datenübermittlungen in Drittländer (Adequacy Decisions, SCCs, BCRs)?",
+   "pass_criteria": "[\"Explizite Nennung der angewendeten Schutzmechanismen (z.B. 'Adequacy Decision der EU-Kommission', 'Standarddatenschutzklauseln', 'Binding Corporate Rules')\", \"Angabe der betroffenen Drittländer oder Regionen\", \"Beschreibung der Garantien und Schutzmaßnahmen für die Datenübermittlung\", \"Verweis auf Dokumentation oder Rechtsgrundlagen (z.B. Verträge, Entscheidungen)\", \"Information über Rechte der betroffenen Person bei Drittlandtransfers\"]",
+   "fail_criteria": "[\"Nur pauschale Aussage 'Daten werden geschützt übermittelt' ohne Nennung konkreter Mechanismen\", \"Aufzählung von Drittländern ohne Angabe der Schutzmechanismen\", \"Fehlende Differenzierung zwischen verschiedenen Übermittlungsszenarien\"]"
+  },
+  "new": {
+   "title": "Schutzgarantien bei Drittlandübermittlung offenlegen",
+   "check_question": "Informiert die Datenschutzinformation über die angewendeten Schutzmechanismen bei Drittlandtransfers?",
+   "pass_criteria": [
+    "Schutzmechanismus genannt (Adäquanzbeschluss/SCC/BCR)",
+    "betroffene Drittländer oder Regionen angegeben",
+    "Zugang/Verweis zur Garantie angegeben (Link oder Kontakt)"
+   ],
+   "fail_criteria": [
+    "Drittlandtransfer ohne Nennung eines Schutzmechanismus",
+    "nur pauschal 'Daten werden geschützt übermittelt'"
+   ]
+  }
+ },
+ {
+  "control_id": "DATA-2812-A05",
+  "klasse": "C",
+  "legal_note": "DSE-Offenlegung des Lösch-/Verwaltungswegs (Art. 17 / §25 TTDSG-Kontext); ein Verweis auf Cookie-Einstellungen/Banner oder Browser genügt — eine Schritt-für-Schritt-Anleitung ist nicht gefordert. FRAGE war bereits disclosure-framed → bleibt DSE.",
+  "changed_fields": [
+   "title",
+   "pass_criteria",
+   "fail_criteria"
+  ],
+  "old": {
+   "title": "Löschungsrecht für Cookies und Speicherdaten implementieren",
+   "pass_criteria": "[\"Recht auf Löschung von Cookie- oder Speicherdaten beschrieben\", \"Verwaltung oder Löschung von Cookies angesprochen\"]",
+   "fail_criteria": "[\"Cookies werden nicht erwähnt oder als unvermeidbar dargestellt\", \"Keine Anleitung zur Löschung oder Verwaltung von Cookies\", \"Keine Möglichkeit zur Ablehnung oder zum Widerruf von Cookies beschrieben\"]"
+  },
+  "new": {
+   "title": "Recht auf Löschung von Cookie-/Speicherdaten offenlegen",
+   "pass_criteria": [
+    "Recht auf Löschung/Verwaltung von Cookie- bzw. Speicherdaten beschrieben",
+    "Hinweis auf Verwaltungs-/Löschweg (Cookie-Einstellungen, Banner oder Browser) — Verweis/Link genügt"
+   ],
+   "fail_criteria": [
+    "Cookies/Speicherdaten ohne jeden Hinweis auf Löschung/Verwaltung",
+    "Löschung/Verwaltung ausdrücklich verweigert"
+   ]
+  }
+ }
+]

zeroclaw/docs/ground-truth/eto_dse_fulltext_2026-06-18.txt

@@ -0,0 +1,207 @@
+Datenschutz
+
+Information zum Datenschutz für Microsoft Teams
+
+Informationen zum Datenschutz bei Nutzung der Website
+
+Datenschutzerklärung
+1. Datenschutz auf einen Blick
+Allgemeine Hinweise
+Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.
+
+Datenerfassung auf dieser Website
+Wer ist verantwortlich für die Datenerfassung auf dieser Website?
+Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur Verantwortlichen Stelle" in dieser Datenschutzerklärung entnehmen.
+
+Wie erfassen wir Ihre Daten?
+Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie in ein Kontaktformular eingeben.
+
+Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.
+
+Wofür nutzen wir Ihre Daten?
+Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden.
+
+Welche Rechte haben Sie bezüglich Ihrer Daten?
+Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.
+
+Hierzu sowie zu weiteren Fragen zum Thema Datenschutz können Sie sich jederzeit an uns wenden.
+
+Analyse-Tools und Tools von Drittanbietern
+Beim Besuch dieser Website kann Ihr Surf-Verhalten statistisch ausgewertet werden. Das geschieht vor allem mit sogenannten Analyseprogrammen.
+
+Detaillierte Informationen zu diesen Analyseprogrammen finden Sie in der folgenden Datenschutzerklärung.
+
+2. Hosting
+Wir hosten die Inhalte unserer Website bei folgendem Anbieter:
+
+All-Inkl
+Anbieter ist die ALL-INKL.COM - Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf (nachfolgend All-Inkl). Details entnehmen Sie der Datenschutzerklärung von All-Inkl: https://all-inkl.com/datenschutzinformationen/.
+
+Die Verwendung von All-Inkl erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website. Sofern eine entsprechende Einwilligung abgefragt wurde, erfolgt die Verarbeitung ausschließlich auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, soweit die Einwilligung die Speicherung von Cookies oder den Zugriff auf Informationen im Endgerät des Nutzers (z. B. Device-Fingerprinting) im Sinne des TDDDG umfasst. Die Einwilligung ist jederzeit widerrufbar.
+
+Auftragsverarbeitung
+Wir haben einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen. Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass dieser die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.
+
+3. Allgemeine Hinweise und Pflichtinformationen
+Datenschutz
+Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.
+
+Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.
+
+Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.
+
+Hinweis zur verantwortlichen Stelle
+Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:
+
+ETO GRUPPE TECHNOLOGIES GmbH
+Hardtring 8
+78333 Stockach
+DEUTSCHLAND
+
+Telefon: +49 7771 809-0
+E-Mail: info@etogruppe.com
+
+Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.
+
+Speicherdauer
+Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.
+
+Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung auf dieser Website
+Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO, sofern besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden. Im Falle einer ausdrücklichen Einwilligung in die Übertragung personenbezogener Daten in Drittstaaten erfolgt die Datenverarbeitung außerdem auf Grundlage von Art. 49 Abs. 1 lit. a DSGVO. Sofern Sie in die Speicherung von Cookies oder in den Zugriff auf Informationen in Ihr Endgerät (z. B. via Device-Fingerprinting) eingewilligt haben, erfolgt die Datenverarbeitung zusätzlich auf Grundlage von § 25 Abs. 1 TDDDG. Die Einwilligung ist jederzeit widerrufbar. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen. Über die jeweils im Einzelfall einschlägigen Rechtsgrundlagen wird in den folgenden Absätzen dieser Datenschutzerklärung informiert.
+
+Datenschutzbeauftragter
+Wir haben einen Datenschutzbeauftragten benannt.
+
+ETO GRUPPE TECHNOLOGIES GmbH
+Hardtring 8
+78333 Stockach
+
+Telefon: Telefon: +49 7771 809-0
+E-Mail: info@etogruppe.com
+
+Hinweis zur Datenweitergabe in datenschutzrechtlich nicht sichere Drittstaaten sowie die Weitergabe an US-Unternehmen, die nicht DPF-zertifiziert sind
+Wir verwenden unter anderem Tools von Unternehmen mit Sitz in datenschutzrechtlich nicht sicheren Drittstaaten sowie US-Tools, deren Anbieter nicht nach dem EU-US-Data Privacy Framework (DPF) zertifiziert sind. Wenn diese Tools aktiv sind, können Ihre personenbezogene Daten in diese Staaten übertragen und dort verarbeitet werden. Wir weisen darauf hin, dass in datenschutzrechtlich unsicheren Drittstaaten kein mit der EU vergleichbares Datenschutzniveau garantiert werden kann.
+
+Wir weisen darauf hin, dass die USA als sicherer Drittstaat grundsätzlich ein mit der EU vergleichbares Datenschutzniveau aufweisen. Eine Datenübertragung in die USA ist danach zulässig, wenn der Empfänger eine Zertifizierung unter dem „EU-US Data Privacy Framework" (DPF) besitzt oder über geeignete zusätzliche Garantien verfügt. Informationen zu Übermittlungen an Drittstaaten einschließlich der Datenempfänger finden Sie in dieser Datenschutzerklärung.
+
+Empfänger von personenbezogenen Daten
+Im Rahmen unserer Geschäftstätigkeit arbeiten wir mit verschiedenen externen Stellen zusammen. Dabei ist teilweise auch eine Übermittlung von personenbezogenen Daten an diese externen Stellen erforderlich. Wir geben personenbezogene Daten nur dann an externe Stellen weiter, wenn dies im Rahmen einer Vertragserfüllung erforderlich ist, wenn wir gesetzlich hierzu verpflichtet sind (z. B. Weitergabe von Daten an Steuerbehörden), wenn wir ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO an der Weitergabe haben oder wenn eine sonstige Rechtsgrundlage die Datenweitergabe erlaubt. Beim Einsatz von Auftragsverarbeitern geben wir personenbezogene Daten unserer Kunden nur auf Grundlage eines gültigen Vertrags über Auftragsverarbeitung weiter. Im Falle einer gemeinsamen Verarbeitung wird ein Vertrag über gemeinsame Verarbeitung geschlossen.
+
+Widerruf Ihrer Einwilligung zur Datenverarbeitung
+Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.
+
+Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)
+Wenn die Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Die jeweilige Rechtsgrundlage, auf denen eine Verarbeitung beruht, entnehmen Sie dieser Datenschutzerklärung. Wenn Sie Widerspruch einlegen, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Widerspruch nach Art. 21 Abs. 1 DSGVO).
+
+Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, so haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Wenn Sie widersprechen, werden Ihre personenbezogenen Daten anschließend nicht mehr zum Zwecke der Direktwerbung verwendet (Widerspruch nach Art. 21 Abs. 2 DSGVO).
+
+Beschwerderecht bei der zuständigen Aufsichtsbehörde
+Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.
+
+Recht auf Datenübertragbarkeit
+Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.
+
+Auskunft, Berichtigung und Löschung
+Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.
+
+Recht auf Einschränkung der Verarbeitung
+Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:
+
+Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, benötigen wir in der Regel Zeit, um dies zu überprüfen. Für die Dauer der Prüfung haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
+Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung der Datenverarbeitung verlangen.
+Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, haben Sie das Recht, statt der Löschung die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
+Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung zwischen Ihren und unseren Interessen vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
+Wenn Sie die Verarbeitung Ihrer personenbezogenen Daten eingeschränkt haben, dürfen diese Daten – von ihrer Speicherung abgesehen – nur mit Ihrer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Europäischen Union oder eines Mitgliedstaats verarbeitet werden.
+
+SSL- bzw. TLS-Verschlüsselung
+Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.
+
+Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.
+
+4. Datenerfassung auf dieser Website
+Cookies
+Unsere Internetseiten verwenden so genannte „Cookies". Cookies sind kleine Datenpakete und richten auf Ihrem Endgerät keinen Schaden an. Sie werden entweder vorübergehend für die Dauer einer Sitzung (Session-Cookies) oder dauerhaft (permanente Cookies) auf Ihrem Endgerät gespeichert. Session-Cookies werden nach Ende Ihres Besuchs automatisch gelöscht. Permanente Cookies bleiben auf Ihrem Endgerät gespeichert, bis Sie diese selbst löschen oder eine automatische Löschung durch Ihren Webbrowser erfolgt.
+
+Cookies können von uns (First-Party-Cookies) oder von Drittunternehmen stammen (sog. Third-Party-Cookies). Third-Party-Cookies ermöglichen die Einbindung bestimmter Dienstleistungen von Drittunternehmen innerhalb von Webseiten (z. B. Cookies zur Abwicklung von Zahlungsdienstleistungen).
+
+Cookies haben verschiedene Funktionen. Zahlreiche Cookies sind technisch notwendig, da bestimmte Webseitenfunktionen ohne diese nicht funktionieren würden (z. B. die Warenkorbfunktion oder die Anzeige von Videos). Andere Cookies können zur Auswertung des Nutzerverhaltens oder zu Werbezwecken verwendet werden.
+
+Cookies, die zur Durchführung des elektronischen Kommunikationsvorgangs, zur Bereitstellung bestimmter, von Ihnen erwünschter Funktionen (z. B. für die Warenkorbfunktion) oder zur Optimierung der Website (z. B. Cookies zur Messung des Webpublikums) erforderlich sind (notwendige Cookies), werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gespeichert, sofern keine andere Rechtsgrundlage angegeben wird. Der Websitebetreiber hat ein berechtigtes Interesse an der Speicherung von notwendigen Cookies zur technisch fehlerfreien und optimierten Bereitstellung seiner Dienste. Sofern eine Einwilligung zur Speicherung von Cookies und vergleichbaren Wiedererkennungstechnologien abgefragt wurde, erfolgt die Verarbeitung ausschließlich auf Grundlage dieser Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG); die Einwilligung ist jederzeit widerrufbar.
+
+Sie können Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und Cookies nur im Einzelfall erlauben, die Annahme von Cookies für bestimmte Fälle oder generell ausschließen sowie das automatische Löschen der Cookies beim Schließen des Browsers aktivieren. Bei der Deaktivierung von Cookies kann die Funktionalität dieser Website eingeschränkt sein.
+
+Welche Cookies und Dienste auf dieser Website eingesetzt werden, können Sie dieser Datenschutzerklärung entnehmen.
+
+Einwilligung mit Usercentrics
+Diese Website nutzt die Consent-Technologie von Usercentrics, um Ihre Einwilligung zur Speicherung bestimmter Cookies auf Ihrem Endgerät oder zum Einsatz bestimmter Technologien einzuholen und diese datenschutzkonform zu dokumentieren. Anbieter dieser Technologie ist die Usercentrics GmbH, Sendlinger Straße 7, 80331 München, Website: https://usercentrics.com/de/ (im Folgenden „Usercentrics").
+
+Wenn Sie unsere Website betreten, werden folgende personenbezogene Daten an Usercentrics übertragen: Ihre Einwilligung(en) bzw. der Widerruf Ihrer Einwilligung(en), Ihre IP-Adresse, Informationen über Ihren Browser, Informationen über Ihr Endgerät, Zeitpunkt Ihres Besuchs auf der Website, Geolocation.
+
+Des Weiteren speichert Usercentrics ein Cookie in Ihrem Browser, um Ihnen die erteilten Einwilligungen bzw. deren Widerruf zuordnen zu können. Die so erfassten Daten werden gespeichert, bis Sie uns zur Löschung auffordern, das Usercentrics-Cookie selbst löschen oder der Zweck für die Datenspeicherung entfällt. Zwingende gesetzliche Aufbewahrungspflichten bleiben unberührt. Der Einsatz von Usercentrics erfolgt, um die gesetzlich vorgeschriebenen Einwilligungen für den Einsatz bestimmter Technologien einzuholen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO.
+
+Einwilligung mit Cookiebot
+Unsere Website nutzt die Consent-Technologie von Cookiebot. Anbieter dieser Technologie ist Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark (im Folgenden „Cookiebot"). Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO.
+
+Kontaktformular
+Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
+
+Anfrage per E-Mail, Telefon oder Telefax
+Wenn Sie uns per E-Mail, Telefon oder Telefax kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet.
+
+Kommunikation via WhatsApp
+Für die Kommunikation nutzen wir den Instant-Messaging-Dienst WhatsApp. Anbieter ist die WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+Registrierung auf dieser Website
+Sie können sich auf dieser Website registrieren, um zusätzliche Funktionen auf der Seite zu nutzen. Die Verarbeitung der bei der Registrierung eingegebenen Daten erfolgt zum Zwecke der Durchführung des durch die Registrierung begründeten Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
+
+5. Soziale Medien
+Facebook
+Auf dieser Website sind Elemente des sozialen Netzwerks Facebook integriert. Anbieter dieses Dienstes ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Soweit personenbezogene Daten erfasst und an Facebook weitergeleitet werden, sind wir und die Meta Platforms Ireland Limited gemeinsam für diese Datenverarbeitung verantwortlich (Art. 26 DSGVO). Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+X (ehemals Twitter)
+Auf dieser Website sind Funktionen des Dienstes X (ehemals Twitter) eingebunden. Anbieter ist die X Corp., 1355 Market Street, Suite 900, San Francisco, CA 94103, USA. Die Nutzung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt.
+
+Instagram
+Auf dieser Website sind Funktionen des Dienstes Instagram eingebunden. Anbieter ist die Meta Platforms Ireland Limited. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+LinkedIn
+Diese Website nutzt Elemente des Netzwerks LinkedIn. Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+XING
+Diese Website nutzt Elemente des Netzwerks XING. Anbieter ist die New Work SE, Am Strandkai 1, 20457 Hamburg, Deutschland. Die Nutzung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
+
+6. Analyse-Tools und Werbung
+Matomo
+Diese Website benutzt den Open Source Webanalysedienst Matomo. Die Nutzung dieses Analyse-Tools erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Bei der Analyse mit Matomo setzen wir IP-Anonymisierung ein. Wir hosten Matomo bei PixelMechanics | grenzenlos digital, Bucher Str. 79a (Rilke Park), D-90419 Nuremberg, Germany. Wir haben einen Vertrag über Auftragsverarbeitung (AVV) geschlossen.
+
+Google Ads
+Der Websitebetreiber verwendet Google Ads, ein Online-Werbeprogramm der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Nutzung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+Google Ads Remarketing
+Diese Website nutzt die Funktionen von Google Ads Remarketing. Anbieter ist die Google Ireland Limited. Die Nutzung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
+
+LinkedIn Insight Tag
+Diese Website nutzt das Insight-Tag von LinkedIn. Anbieter ist die LinkedIn Ireland Unlimited Company. Soweit eine Einwilligung eingeholt wurde, erfolgt der Einsatz auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG; ansonsten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt.
+
+7. Plugins und Tools
+YouTube mit erweitertem Datenschutz
+Diese Website bindet Videos der Website YouTube ein. Betreiber ist die Google Ireland Limited. Die Nutzung von YouTube erfolgt im Interesse einer ansprechenden Darstellung unserer Online-Angebote (Art. 6 Abs. 1 lit. f DSGVO). Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework" (DPF).
+
+Font Awesome (lokales Hosting)
+Diese Seite nutzt zur einheitlichen Darstellung von Schriftarten Font Awesome. Font Awesome ist lokal installiert. Eine Verbindung zu Servern von Fonticons, Inc. findet dabei nicht statt.
+
+Google Maps
+Diese Seite nutzt den Kartendienst Google Maps. Anbieter ist die Google Ireland Limited. Zur Nutzung ist es notwendig, Ihre IP-Adresse zu speichern. Diese Informationen werden in der Regel an einen Server von Google in den USA übertragen. Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission gestützt.
+
+Google reCAPTCHA
+Wir nutzen „Google reCAPTCHA" auf dieser Website. Anbieter ist die Google Ireland Limited. Die Speicherung und Analyse der Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
+
+8. Eigene Dienste
+Umgang mit Bewerberdaten
+Wir bieten Ihnen die Möglichkeit, sich bei uns zu bewerben (z. B. per E-Mail, postalisch oder via Online-Bewerberformular). Wenn Sie uns eine Bewerbung zukommen lassen, verarbeiten wir Ihre damit verbundenen personenbezogenen Daten, soweit dies zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Rechtsgrundlage hierfür ist § 26 BDSG nach deutschem Recht, Art. 6 Abs. 1 lit. b DSGVO und – sofern Sie eine Einwilligung erteilt haben – Art. 6 Abs. 1 lit. a DSGVO.
+
+Aufbewahrungsdauer der Daten
+Sofern wir Ihnen kein Stellenangebot machen können, Sie ein Stellenangebot ablehnen oder Ihre Bewerbung zurückziehen, behalten wir uns das Recht vor, die von Ihnen übermittelten Daten auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) bis zu 6 Monate ab der Beendigung des Bewerbungsverfahrens bei uns aufzubewahren. Anschließend werden die Daten gelöscht.
+
+Aufnahme in den Bewerber-Pool
+Sofern wir Ihnen kein Stellenangebot machen, besteht ggf. die Möglichkeit, Sie in unseren Bewerber-Pool aufzunehmen. Die Aufnahme geschieht ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Daten aus dem Bewerber-Pool werden spätestens zwei Jahre nach Erteilung der Einwilligung unwiderruflich gelöscht.

zeroclaw/docs/ground-truth/mercedes_dse_fulltext_2026-06-18.txt

@@ -0,0 +1,287 @@
+Verantwortlicher im Sinne der EU-Datenschutz-Grundverordnung (DSGVO) ist:
+
+ 
+
+Mercedes-Benz AG
+Mercedesstraße 120
+70372 Stuttgart
+Deutschland
+E-Mail: dialog.mb@mercedes-benz.com
+
+ 
+
+Datenschutzbeauftragter:
+
+ 
+
+Mercedes-Benz Group AG
+Konzernbeauftragter für den Datenschutz
+HPC W079
+70546 Stuttgart
+Deutschland
+E-Mail: data.protection@mercedes-benz.com
+
+ 
+
+Weitere Verantwortliche für Analyse- und Marketingaktivitäten (s. Ziffer 1.c. dieser Datenschutzhinweise) sind:
+
+ 
+
+Mercedes-Benz AG
+Siemensstr. 7
+70469 Stuttgart
+Deutschland
+E-Mail: mobility@mercedes-benz.com
+
+ 
+
+Datenschutzbeauftragter:
+
+ 
+
+Mercedes-Benz Group AG
+Konzernbeauftragter für den Datenschutz
+HPC W079
+70546 Stuttgart
+Deutschland
+E-Mail: data.protection@mercedes-benz.com
+
+ 
+
+1. Datenschutz
+
+ 
+
+a. Wir freuen uns über Ihren Besuch auf unseren Webseiten und Ihr Interesse an unseren Angeboten. Der Schutz Ihrer personenbezogenen Daten ist für uns ein wichtiges Anliegen. In diesen Datenschutzhinweisen erklären wir, wie wir Ihre personenbezogenen Daten erheben, was wir damit tun, für welche Zwecke und auf welchen Rechtsgrundlagen dies geschieht, und welche Rechte und Ansprüche sich damit für Sie verbinden. Zusätzlich verweisen wir auf die Mercedes-Benz-Datenschutzrichtlinie:
+
+ 
+
+Mercedes-Benz Datenschutzrichtlinie
+
+ 
+
+b. Unsere Datenschutzhinweise für den Gebrauch unserer Webseiten und die Datenschutzrichtlinie von Mercedes-Benz gelten nicht für Ihre Aktivitäten auf den Webseiten von sozialen Netzwerken oder anderen Anbietern, die Sie über die Links auf unseren Webseiten erreichen können. Bitte informieren Sie sich auf den Webseiten dieser Anbieter über deren Datenschutzbestimmungen.
+
+ 
+
+c. Im Rahmen der nachstehend näher beschriebenen Analyse- und Marketingaktivitäten auf diesen Webseiten arbeiten wir mit den oben angegebenen weiteren Verantwortlichen eng zusammen. Daten über Ihren Besuch auf unseren Webseiten verarbeiten wir gemeinsam mit diesen Verantwortlichen mittels folgender Technologien:
+
+ 
+
+Für Analysezwecke:
+
+GA4
+
+ 
+
+Für Marketingzwecke:
+
+Salesforce Marketing Cloud Personalization
+
+ 
+
+Die Verarbeitung personenbezogener Daten zu den oben genannten Zwecken erfolgt nur, soweit Sie darin einwilligen, wie in Ziffer 5.c. dieser Datenschutzhinweise näher beschrieben.
+
+ 
+
+Zwischen diesen Verantwortlichen wurden entsprechend den rechtlichen Vorgaben der Rahmen für die gemeinsame Verarbeitung personenbezogener Daten und die jeweiligen Verantwortlichkeiten vereinbart. Weitere Informationen zu den wesentlichen Inhalten dieser Vereinbarungen finden Sie als Anhang am Ende der Webseite.
+
+ 
+
+2. Erhebung und Verarbeitung Ihrer personenbezogenen Daten
+
+ 
+
+a. Wenn Sie unsere Webseiten besuchen, speichern wir bestimmte Angaben zu dem von Ihnen verwendeten Browser und Betriebssystem, das Datum und die Uhrzeit des Besuches, den Zugriffsstatus (z.B. ob Sie eine Webseite aufrufen konnten oder eine Fehlermeldung erhielten), die Nutzung von Funktionen der Webseite, die von Ihnen möglicherweise eingegebenen Suchbegriffe, die Häufigkeit, mit der Sie einzelne Webseiten aufrufen, die Bezeichnung abgerufener Dateien, die übertragenen Datenmenge, die Webseite, von der aus Sie auf unsere Webseiten gelangt sind, und die Webseite, die Sie von unseren Webseiten aus besuchen, sei es, indem Sie Links auf unseren Webseiten anklicken oder eine Domain direkt in das Eingabefeld derselben Registerkarte (bzw. desselben Fensters) Ihres Browsers eingeben, worin Sie unsere Webseiten geöffnet haben. Außerdem speichern wir aus Sicherheitsgründen, insbesondere zur Vorbeugung vor und Erkennung von Angriffen auf unsere Webseiten oder Betrugsversuchen, für die Dauer von sieben Tagen Ihre IP-Adresse und den Namen Ihres Internet Service Providers.
+
+ 
+
+b. Andere personenbezogene Daten werden nur verarbeitet, falls Sie diese Daten z.B. im Rahmen einer Registrierung, eines Kontaktformulars, eines Chats, einer Umfrage, eines Preisaus­schreibens oder zur Durchführung eines Vertrages mitteilen, und auch in diesen Fällen nur, soweit uns dies aufgrund einer von Ihnen erteilten Einwilligung oder nach den geltenden Rechtsvorschriften (siehe Ziffer 7) gestattet ist.
+
+ 
+
+c. Sie sind weder gesetzlich noch vertraglich verpflichtet, Ihre personenbezogenen Daten zu überlassen. Möglich ist aber, dass bestimmte Funktionen unserer Webseiten von der Überlassung personenbezogener Daten abhängen. Falls Sie in diesen Fällen personenbezogene Daten nicht überlassen, kann dies dazu führen, dass Funktionen nicht oder nur eingeschränkt zur Verfügung stehen.
+
+ 
+
+3. Nutzungszwecke
+
+ 
+
+a. Die bei einem Besuch unserer Webseiten erhobenen personenbezogenen Daten verwenden wir, um diese für Sie möglichst komfortabel zu betreiben sowie unsere IT-Systeme vor Angriffen und anderen rechtswidrigen Handlungen zu schützen.
+
+ 
+
+b. Soweit Sie uns weitere personenbezogene Daten z.B. im Rahmen einer Registrierung, eines Chats, eines Kontaktformulars, einer Umfrage, eines Preisaus­schreibens oder zur Durchführung eines Vertrages mitteilen, nutzen wir diese Daten zu den genannten Zwecken, zu Zwecken der Kundenverwaltung, Marktsteuerung, Geschäfts- und Wirtschaftlichkeitsanalyse und – soweit erforderlich – zu Zwecken der Abwicklung und Abrechnung etwaiger Geschäftsvorgänge, jeweils in dem dafür erforderlichen Umfang.
+
+ 
+
+c. Für weitere Zwecke (z. B. Anzeige von personalisierter Inhalten oder Werbung auf der Basis Ihres Nutzungsverhaltens) nutzen wir und ggf. ausgewählte Dritte Ihre Daten, soweit Sie dazu im Rahmen unseres Consent Management Systems Ihre Einwilligung (= Zustimmung) geben. Weitere Informationen und Entscheidungsmöglichkeiten erhalten Sie unter „Einstellungen“ im Footer ganz unten auf der Website.
+
+ 
+
+d. Außerdem nutzen wir personenbezogene Daten, soweit wir dazu rechtlich verpflichtet sind (z. B. Speicherung zur Erfüllung handels- oder steuerrechtlicher Aufbewahrungspflichten, Herausgabe gem. behördlicher oder gerichtlicher Anordnung, z. B. an eine Strafverfolgungsbehörde).
+
+ 
+
+4. Einbeziehung weiterer Beteiligter
+
+ 
+
+a. Unsere Webseiten können auch Angebote Dritter enthalten. Wenn Sie ein solches Angebot anklicken, übertragen wir im erforderlichen Umfang Daten an den jeweiligen Anbieter (z. B. die Angabe, dass Sie dieses Angebot bei uns gefunden haben und ggf. weitere Informationen, die Sie hierfür auf unseren Webseiten bereits angegeben haben).
+
+ 
+
+b. Wenn wir auf unseren Webseiten sogenannte „Social Plug-ins“ sozialer Netzwerke wie Facebook und Twitter einsetzen, binden wir diese wie folgt ein:
+
+ 
+
+Wenn Sie unsere Webseiten besuchen, sind die Social Plug-ins deaktiviert, d.h. es findet keine Übertragung irgendwelcher Daten an die Betreiber dieser Netzwerke statt. Falls Sie eines der Netzwerke nutzen möchten, klicken Sie auf das jeweilige Social Plug-in, um eine direkte Verbindung mit dem Server des jeweiligen Netzwerks aufzubauen.Falls Sie bei dem Netzwerk ein Nutzerkonto haben und im Moment des Aktivierens des Social Plug-ins dort eingeloggt sind, kann das Netzwerk Ihren Besuch der unserer Webseiten Ihrem Nutzerkonto zuordnen. Wenn Sie das vermeiden möchten, loggen Sie sich bitte vor der Aktivierung des Social Plug-ins aus dem Netzwerk aus. Den Besuch anderer Mercedes-Benz-Webseiten kann ein soziales Netzwerk nicht zuordnen, bevor Sie nicht auch ein dort vorhandenes Social Plug-in aktiviert haben.
+
+ 
+
+Wenn Sie ein Social Plug-in aktivieren, überträgt das Netzwerk die dadurch verfügbar werdenden Inhalte direkt an Ihren Browser, der sie in unsere Webseiten einbindet. In dieser Situation können auch Datenübertragungen stattfinden, die vom jeweiligen sozialen Netzwerk initiiert und gesteuert werden. Für Ihre Verbindung zu einem sozialen Netzwerk, die zwischen dem Netzwerk und Ihrem System stattfindenden Datenübertragungen und für Ihre Interaktionen auf dieser Plattform gelten ausschließlich die Datenschutzbestimmungen des jeweiligen Netzwerks.
+
+ 
+
+Das Social Plug-in bleibt aktiv, bis Sie es deaktivieren oder Ihre Cookies löschen (siehe Ziffer 5.d).
+
+ 
+
+c. Wenn Sie den Link zu einem Angebot anklicken oder ein Social Plug-in aktivieren, kann es sein, dass personenbezogene Daten zu Anbietern in Ländern außerhalb des Europäischen Wirtschaftsraums gelangen, die aus der Sicht der Europäischen Union („EU“) kein den EU-Standards entsprechendes „angemessenes Schutzniveau“ für die Verarbeitung personenbezogener Daten gewährleisten. Bitte denken Sie an diesen Umstand, bevor Sie einen Link anklicken oder ein Social Plug-in aktivieren und damit eine Übertragung Ihrer Daten auslösen.
+
+ 
+
+d. Für Betrieb, Optimierung und Absicherung unserer Webseiten setzen wir außerdem qualifizierte Dienstleister (z. B. IT-Dienstleister, Marketing-Agenturen[A1] ) ein. Personenbezogene Daten geben wir an diese nur weiter, soweit dies erforderlich ist für die Bereitstellung und Nutzung der Webseiten und deren Funktionalitäten, zur Verfolgung berechtigter Interessen, zur Erfüllung rechtlicher Verpflichtungen oder soweit Sie darin eingewilligt haben (siehe Ziffer 7). Nähere Angaben zu den Empfängern finden Sie in unserem Consent Management System unter „Einstellungen“ im Footer ganz unten auf der Website.
+
+ 
+
+e. Lead Ads sind Werbeanzeigen auf Webseiten oder in Sozialen Netzwerken Dritter (z. B. Meta Plattformen (Facebook, Instagram) oder Google), die es Ihnen ermöglichen, eine spezifische Anfrage (z. B. für ein(e) Probefahrt, Beratung, Angebot) an uns zu senden. Die Anfrage enthält bereits für die Erledigung Ihrer Anfrage erforderliche Daten (z. B. Kontaktdaten wie Name, Telefonnummer, E-Mail-Adresse, Ort, Fahrzeugmodell, für das Sie sich interessieren). Dafür geben wir Ihre Anfrage (zusammen mit diesen Daten) ggf. an ein anderes Mercedes-Benz Konzernunternehmen oder einen Mercedes-Benz Vertriebspartner weiter.
+
+ 
+
+5. Cookies
+
+ 
+
+a. Beim Besuch unserer Webseiten können Cookies zum Einsatz kommen. Technisch gesehen handelt es sich um sog. HTML-Cookies und ähnliche Softwaretools wie Web/DOM Storage oder Local Shared Objects (sog. „Flash-Cookies“), die wir zusammen als Cookies bezeichnen.
+
+ 
+
+b. Cookies sind kleine Dateien, die während des Besuchs einer Webseite auf Ihrem Desktop-, Notebook- oder Mobilgerät abgelegt und später ausgelesen werden. Daraus kann man z. B. erkennen, ob es zwischen dem Gerät und den Webseiten schon eine Verbindung gegeben hat, Ihre bevorzugte Sprache oder andere Einstellungen berücksichtigen, Ihnen bestimmte Funktionalitäten (z. B. Online-Shop, Fahrzeugkonfigurator) anbieten oder nutzungsbasiert Ihre Interessen erkennen. Cookies können auch personenbezogene Daten enthalten.
+
+ 
+
+c. Ob und welche Cookies bei Ihrem Besuch unserer Webseiten zum Einsatz kommen, hängt davon ab, welche Bereiche und Funktionen unserer Webseiten Sie nutzen und ob Sie dem Einsatz von Cookies, die nicht unbedingt, d. h. typischerweise aus technischen Gründen, erforderlich sind, in unserem Consent Management System zustimmen. Weitere Informationen und Entscheidungsmöglichkeiten erhalten Sie unter „Einstellungen“ im Footer ganz unten auf der Website.
+
+ 
+
+d. Der Einsatz von Cookies hängt außerdem von den Einstellungen des von Ihnen verwendeten Web-Browsers (z. B. Microsoft Edge, Google Chrome, Apple Safari, Mozilla Firefox) ab. Die meisten Web-Browser sind so voreingestellt, dass sie bestimmte Arten von Cookies automatisch akzeptieren; diese Einstellung können Sie jedoch meistens ändern. Vorhandene Cookies können Sie jederzeit löschen. Web/DOM-Storage und Local Shared Objects können Sie separat löschen. Wie das in dem von Ihnen verwendeten Browser bzw. Gerät funktioniert, erfahren Sie in der Anleitung des Herstellers.
+
+ 
+
+e. Die Einwilligung (= Zustimmung) zu sowie Ablehnung oder Löschung von Cookies sind an das verwendete Gerät und zudem an den jeweils verwendeten Web-Browser gebunden. Wenn Sie mehrere Geräte bzw. Web-Browser verwenden, können Sie die Entscheidungen bzw. Einstellungen jeweils unterschiedlich vornehmen.
+
+ 
+
+f. Wenn Sie sich gegen den Einsatz von Cookies entscheiden oder diese löschen, kann es sein, dass Ihnen nicht alle Funktionen unserer Webseiten oder einzelne Funktionen nur eingeschränkt zur Verfügung stehen.
+
+ 
+
+6. Sicherheit
+
+ 
+
+Wir setzen technische und organisatorische Sicherheits­maßnahmen ein, um Ihre durch uns verwalteten Daten gegen Manipulationen, Verlust, Zerstörung und gegen den Zugriff unberechtigter Personen zu schützen. Wir verbessern unsere Sicherheitsmaßnahmen fortlaufend entsprechend der technologischen Entwicklung.
+
+ 
+
+7. Rechtsgrundlagen für Datenverarbeitung und Cookies
+
+ 
+
+a. Soweit Sie uns für die Verarbeitung Ihrer personenbezogenen Daten eine Einwilligung erteilt haben, stellte diese die Rechtsgrundlage für die Verarbeitung dar (Art. 6 Abs. 1 Buchst. a DSGVO).
+
+ 
+
+b. Für eine Verarbeitung personenbezogener Daten für die Zwecke der Anbahnung oder der Erfüllung eines Vertrages mit Ihnen ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage.
+
+ 
+
+c. Soweit die Verarbeitung Ihrer personenbezogenen Daten zur Erfüllung unserer rechtlichen Verpflichtungen (z.B. zur Aufbewahrung von Daten) erforderlich ist, sind wir dazu gemäß Art. 6 Abs. 1 Buchst. c DSGVO befugt.
+
+ 
+
+d. Außerdem verarbeiten wir personenbezogene Daten zur Wahrnehmung unserer berechtigten Interessen sowie berechtigter Interessen Dritter gemäß Art. 6 Abs. 1 Buchst. f DSGVO. Dazu gehören z. B. die Erhaltung der Funktionsfähigkeit unserer IT-Systeme, die (Direkt-)Vermarktung eigener und fremder Produkte und Dienstleistungen (soweit diese nicht mit Ihrer Einwilligung erfolgt), das Handeln auf Ihre Anfrage (z. B. über ein Kontaktformular oder Lead Ad) und die rechtlich gebotene Dokumentation von Geschäftskontakten. Wir berücksichtigen im Rahmen der jeweils erforderlichen Interessenabwägung insbesondere die Art der personenbezogenen Daten, den Verarbeitungszweck, die Verarbeitungsumstände und Ihr Interesse an der Vertraulichkeit Ihrer personenbezogenen Daten.
+
+ 
+
+e. Das Ablegen und Auslesen von Cookies gemäß Ziffer 5.c. erfolgt auf der Basis von § 25 TTDSG (in Deutschland) bzw. § 165 Abs. 3 TKG (in Österreich).
+
+ 
+
+8. Löschung Ihrer personenbezogenen Daten
+
+ 
+
+Ihre IP-Adresse und den Namen Ihres Internet Service Providers, die wir aus Sicherheitsgründen speichern, löschen wir nach sieben Tagen. Im Übrigen löschen wir Ihre personenbezogenen Daten, sobald der Zweck, zu dem wir die Daten erhoben und verarbeitet haben, entfällt. Über diesen Zeitpunkt hinaus findet eine Speicherung nur statt, soweit dies gemäß den Gesetzen, Verordnungen oder sonstigen Rechtsvorschriften, denen wir unterliegen, in der EU oder nach Rechtsvorschriften in Drittstaaten, wenn dort jeweils ein angemessenes Datenschutzniveau gegeben ist, erforderlich ist. Soweit eine Löschung im Einzelfall nicht möglich ist, werden die entsprechenden personenbezogenen Daten mit dem Ziel markiert, ihre künftige Verarbeitung einzuschränken.
+
+ 
+
+9. Betroffenenrechte
+
+ 
+
+a. Als von der Datenverarbeitung betroffene Person haben Sie das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Datenlöschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie Datenübertragbarkeit (Art. 20 DSGVO).
+
+ 
+
+b. Haben Sie in die Verarbeitung Ihrer personenbezogenen Daten durch uns eingewilligt, haben Sie das Recht, die Einwilligung jederzeit zu widerrufen. Die Rechtmäßigkeit der Verarbeitung Ihrer personenbezogenen Daten bis zu einem Widerruf wird durch den Widerruf nicht berührt. Ebenso unberührt bleibt eine weitere Verarbeitung dieser Daten aufgrund einer anderen Rechtsgrundlage, etwa zur Erfüllung rechtlicher Verpflichtungen (vgl. Abschnitt „Rechtsgrundlagen der Verarbeitung“).
+
+ 
+
+c. Widerspruchsrecht
+
+Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 e) DSGVO (Datenverarbeitung im öffentlichen Interesse) oder Art. 6 Abs. 1 f) DSGVO (Datenverarbeitung auf der Grundlage einer Interessenabwägung) erfolgt, Widerspruch einzulegen. Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nur weiter verarbeiten, soweit wir dafür zwingende berechtigte Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder soweit die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Sofern wir Ihre personenbezogenen Daten verarbeiten, um Direktwerbung zur Wahrnehmung berechtigter Interessen auf der Grundlage einer Interessenabwägung zu betreiben, haben Sie zudem das Recht, hiergegen jederzeit ohne Nennung von Gründen Widerspruch einzulegen.
+
+ 
+
+d. Wir bitten Sie, Ihre Betroffenenrechte gegenüber der Mercedes-Benz AG nach Möglichkeit im folgenden Formular geltend zu machen.
+
+Online-Formular Betroffenenrechte
+
+ 
+
+e. Sind Sie der Ansicht, die Verarbeitung Ihrer personenbezogenen Daten verstoße gegen gesetzliche Vorgaben, haben Sie das Recht zur Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO).
+
+ 
+
+10. Newsletter
+
+ 
+
+Wenn Sie einen auf unserer Webseite angebotenen Newsletter abonnieren, werden die bei der Newsletter-Anmeldung angegebenen Daten nur für den Versand des Newsletters verwendet, soweit Sie nicht einer weitergehenden Nutzung zustimmen. Sie können das Abonnement jederzeit über die im Newsletter vorgesehene Abmeldemöglichkeit beenden.
+
+ 
+
+11. Zentraler Zugangsservice der Mercedes-Benz Group AG
+
+ 
+
+Mit dem zentralen Zugangsservice der Mercedes-Benz Group AG können Sie sich bei allen an diesen Service angeschlossenen Webseiten und Applikationen der Mercedes-Benz-Gruppe und ihrer Marken anmelden. Die dafür geltenden Nutzungsbedingungen enthalten spezielle Datenschutzregelungen. Sie können diese Nutzungsbedingungen auf den jeweiligen Anmeldeseiten der angeschlossenen Webseiten und Applikationen abrufen.
+
+ 
+
+12. Datenübertragung an Empfänger außerhalb des Europäischen Wirtschaftsraums
+
+ 
+
+a. Beim Einsatz von Dienstleistern (siehe Ziffer 4. d.) und der Weitergabe von Daten mit Ihrer Einwilligung (= Zustimmung) an Dritte (siehe Ziffer 3.c) können personenbezogene Daten an Empfänger in Ländern außerhalb der Europäischen Union („EU“), Islands, Liechtensteins und Norwegens (= Europäischer Wirtschaftsraum) übertragen und dort verarbeitet werden, insbesondere USA, Indien.
+
+ 
+
+b. In den folgenden Ländern besteht aus der Sicht der EU ein den EU-Standards entsprechendes angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten (sog. Angemessenheitsbeschluss): Andorra, Argentinien, Kanada (eingeschränkt), Färöer-Inseln, Guernsey, Israel, Isle of Man, Japan, Jersey, Neuseeland, Schweiz, Südkorea, Uruguay, Vereinigtes Königreich (UK), Vereinigte Staaten von Amerika (USA, eingeschränkt). Mit anderen Empfängern vereinbaren wir die Anwendung von EU-Standardvertragsklauseln, von verbindlichen Unternehmensregelungen oder andere zulässige Mechanismen, um entsprechend den gesetzlichen Anforderungen ein „angemessenes Schutzniveau“ zu schaffen. Informationen hierzu stellen wir Ihnen gerne über die in vorstehender Ziffer 9.d. genannten Kontaktdaten zur Verfügung.
+
+ 
+
+Stand: August 2025

zeroclaw/docs/ground-truth/safetykon_dse_fulltext_2026-06-18.txt

@@ -0,0 +1,24 @@
+Datenschutz
+
+Sofern innerhalb des Internetangebots der SafetyKon GmbH die Möglichkeit zur Eingabe persönlicher oder geschäftlicher Daten besteht, erfolgt diese Angabe der Daten durch den Nutzer auf ausdrücklich freiwilliger Basis. Die SafetyKon GmbH erklärt, dass diese Daten nur zu dem angegebenen Zweck verwendet und nicht an Dritte weitergegeben werden. Alle Angaben werden gemäß den geltenden datenschutzrechtlichen Bestimmungen vertraulich behandelt.
+
+Ferner können Sie Ihre Zustimmung zur Verwendung der erhoben personenbezogenen Daten jederzeit mit Wirkung für die Zukunft widerrufen. Bitte teilen Sie uns Ihren Widerruf per E-Mail mit.
+
+Verwendung von Cookies
+
+Wir verwenden so genannte Cookies, um unser Angebot besser auf Ihre Wünsche ausrichten und um statistische Daten über die Nutzung unserer Website erheben zu können. Bei "Cookies" handelt es sich um kleine Textdateien, die von einer Website lokal im Speicher Ihres Internet-Browsers auf dem von Ihnen genutzten Rechner abgelegt werden können. Cookies ermöglichen insbesondere die Wiedererkennung des Internet-Browsers. Die Cookies unserer Website erheben keine persönlichen Daten über Sie oder Ihre Nutzung. Einmal gesetzte Cookies können Sie jederzeit selbst löschen, indem Sie den entsprechenden Menüpunkt in Ihrem Internet-Browser aufrufen oder die Cookies auf Ihrer Festplatte löschen. Einzelheiten hierzu finden Sie im Hilfemenü Ihres Internet-Browsers.
+Bitte beachten Sie unsere Hinweise zur Nutzung des Dienstes Google Analytics, der ebenfalls Cookies verwendet.
+
+Nutzung unserer Website ohne Cookies
+
+Selbstverständlich können Sie unsere Website auch nutzen, ohne dass Cookies verwendet werden. Sie können hierzu die Verwendung von Cookies jederzeit über die Einstellungen Ihres Internet-Browsers generell ablehnen ("deaktivieren") oder sich das Setzen von Cookies anzeigen lassen und dann im Einzelfall entscheiden, ob Sie Cookies akzeptieren ("Cookie-Warnung"). Die hierfür notwendigen Einstellungen Ihres Internet-Browsers können Sie unter dem Menü-Punkt "Extras/Internetoptionen" beim Internet-Explorer von Microsoft oder dem entsprechenden Menüpunkt bei anderen Browsern vornehmen. Einzelheiten hierzu finden Sie im Hilfemenü Ihres Internet-Browsers. Das Ablehnen oder Anzeigen von Cookies kann sich auf die Funktionalität unserer Website auswirken.
+
+Nutzung von Google Analytics
+
+Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. ("Google"). Google Analytics verwendet sog. "Cookies", Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Im Falle der Aktivierung der IP-Anonymisierung auf dieser Website, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (http://tools.google.com/dlpage/gaoptout?hl=de) verfügbare Browser-Plugin herunterladen und installieren.
+
+Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, das die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert:
+
+Nähere Informationen zu Nutzungsbedingungen und Datenschutz finden Sie unter www.google.com/analytics/terms/de.html bzw. unter https://www.google.de/intl/de/policies/. Wir weisen Sie darauf hin, dass auf dieser Website Google Analytics um den Code "gat._anonymizeIp();" erweitert wurde, um eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu gewährleisten.
+
+Quelle: www.datenschutzbeauftragter.info.de