breakpilot-compliance/admin-compliance/lib/sdk/vendor-compliance/contract-review/findings-templates.ts

/**
 * Finding Templates — pre-defined templates for contract reviews
 *
 * Barrel-split from findings.ts to stay under 500 LOC.
 * Do NOT import this file directly; use findings.ts instead.
 */

import { FindingType, FindingCategory, FindingSeverity, LocalizedText } from '../types'

export interface FindingTemplate {
  id: string
  type: FindingType
  category: FindingCategory
  severity: FindingSeverity
  title: LocalizedText
  description: LocalizedText
  recommendation: LocalizedText
  affectedRequirement: string
  triggerControls: string[]
}

export const FINDING_TEMPLATES: FindingTemplate[] = [
  // AVV_CONTENT - Weisungsgebundenheit
  {
    id: 'tpl-avv-instruction-missing',
    type: 'GAP',
    category: 'AVV_CONTENT',
    severity: 'CRITICAL',
    title: { de: 'Weisungsgebundenheit fehlt', en: 'Instruction binding missing' },
    description: {
      de: 'Der Vertrag enthält keine Regelung zur Weisungsgebundenheit des Auftragsverarbeiters.',
      en: 'The contract does not contain a provision on the processor\'s instruction binding.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel, die den Auftragsverarbeiter verpflichtet, personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten.',
      en: 'Add a clause obligating the processor to process personal data only on documented instructions from the controller.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. a DSGVO',
    triggerControls: ['VND-CON-01'],
  },
  {
    id: 'tpl-avv-instruction-weak',
    type: 'RISK',
    category: 'AVV_CONTENT',
    severity: 'MEDIUM',
    title: { de: 'Weisungsgebundenheit unvollständig', en: 'Instruction binding incomplete' },
    description: {
      de: 'Die Regelung zur Weisungsgebundenheit ist vorhanden, aber es fehlt die Hinweispflicht bei rechtswidrigen Weisungen.',
      en: 'The instruction binding provision exists, but the obligation to notify of unlawful instructions is missing.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Pflicht des Auftragsverarbeiters, den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.',
      en: 'Add an obligation for the processor to immediately inform the controller if an instruction, in their opinion, violates data protection law.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. a DSGVO',
    triggerControls: ['VND-CON-01'],
  },

  // AVV_CONTENT - TOM
  {
    id: 'tpl-avv-tom-missing',
    type: 'GAP',
    category: 'TOM',
    severity: 'CRITICAL',
    title: { de: 'TOM-Anlage fehlt', en: 'TOM annex missing' },
    description: {
      de: 'Der Vertrag enthält keine technischen und organisatorischen Maßnahmen (TOM) als Anlage.',
      en: 'The contract does not contain technical and organizational measures (TOM) as an annex.',
    },
    recommendation: {
      de: 'Fordern Sie eine detaillierte TOM-Anlage an, die die Maßnahmen gemäß Art. 32 DSGVO beschreibt.',
      en: 'Request a detailed TOM annex describing the measures according to Art. 32 GDPR.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. c DSGVO',
    triggerControls: ['VND-TOM-01'],
  },
  {
    id: 'tpl-avv-tom-generic',
    type: 'RISK',
    category: 'TOM',
    severity: 'MEDIUM',
    title: { de: 'TOM zu unspezifisch', en: 'TOM too generic' },
    description: {
      de: 'Die TOM-Anlage enthält nur allgemeine Aussagen ohne konkrete Maßnahmen.',
      en: 'The TOM annex contains only general statements without specific measures.',
    },
    recommendation: {
      de: 'Fordern Sie eine konkretere Beschreibung der Maßnahmen mit Bezug zum spezifischen Verarbeitungskontext an.',
      en: 'Request a more specific description of measures with reference to the specific processing context.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. c DSGVO',
    triggerControls: ['VND-TOM-01'],
  },

  // SUBPROCESSOR
  {
    id: 'tpl-subprocessor-no-approval',
    type: 'GAP',
    category: 'SUBPROCESSOR',
    severity: 'CRITICAL',
    title: { de: 'Keine Genehmigungspflicht für Unterauftragnehmer', en: 'No approval requirement for sub-processors' },
    description: {
      de: 'Der Vertrag regelt nicht, ob und wie der Einsatz von Unterauftragnehmern zu genehmigen ist.',
      en: 'The contract does not regulate whether and how the use of sub-processors must be approved.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel, die entweder eine spezifische oder allgemeine Genehmigung für Unterauftragnehmer vorsieht, einschließlich Informations- und Einspruchsrechten.',
      en: 'Add a clause providing either specific or general authorization for sub-processors, including information and objection rights.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. d DSGVO',
    triggerControls: ['VND-SUB-01'],
  },
  {
    id: 'tpl-subprocessor-no-list',
    type: 'RISK',
    category: 'SUBPROCESSOR',
    severity: 'HIGH',
    title: { de: 'Keine Liste der Unterauftragnehmer', en: 'No list of sub-processors' },
    description: {
      de: 'Es liegt keine aktuelle Liste der eingesetzten Unterauftragnehmer vor.',
      en: 'There is no current list of sub-processors used.',
    },
    recommendation: {
      de: 'Fordern Sie eine vollständige Liste aller Unterauftragnehmer mit Name, Sitz und Verarbeitungszweck an.',
      en: 'Request a complete list of all sub-processors with name, location, and processing purpose.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. d DSGVO',
    triggerControls: ['VND-SUB-02'],
  },

  // INCIDENT
  {
    id: 'tpl-incident-no-notification',
    type: 'GAP',
    category: 'INCIDENT',
    severity: 'CRITICAL',
    title: { de: 'Keine Meldepflicht bei Datenpannen', en: 'No notification obligation for data breaches' },
    description: {
      de: 'Der Vertrag enthält keine Regelung zur Meldung von Datenschutzverletzungen.',
      en: 'The contract does not contain a provision for reporting data breaches.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel, die den Auftragsverarbeiter verpflichtet, Datenschutzverletzungen unverzüglich (innerhalb von 24-48h) zu melden.',
      en: 'Add a clause obligating the processor to report data breaches without undue delay (within 24-48h).',
    },
    affectedRequirement: 'Art. 33 Abs. 2 DSGVO',
    triggerControls: ['VND-INC-01'],
  },
  {
    id: 'tpl-incident-long-deadline',
    type: 'RISK',
    category: 'INCIDENT',
    severity: 'HIGH',
    title: { de: 'Zu lange Meldefrist', en: 'Notification deadline too long' },
    description: {
      de: 'Die vereinbarte Meldefrist für Datenschutzverletzungen ist zu lang (>72h), um die eigene Meldepflicht einhalten zu können.',
      en: 'The agreed notification deadline for data breaches is too long (>72h) to meet own notification obligations.',
    },
    recommendation: {
      de: 'Verkürzen Sie die Meldefrist auf maximal 24-48 Stunden, um ausreichend Zeit für die eigene Meldung an die Aufsichtsbehörde zu haben.',
      en: 'Reduce the notification deadline to a maximum of 24-48 hours to have sufficient time for own notification to the supervisory authority.',
    },
    affectedRequirement: 'Art. 33 DSGVO',
    triggerControls: ['VND-INC-01'],
  },

  // AUDIT_RIGHTS
  {
    id: 'tpl-audit-no-right',
    type: 'GAP',
    category: 'AUDIT_RIGHTS',
    severity: 'HIGH',
    title: { de: 'Kein Auditrecht vereinbart', en: 'No audit right agreed' },
    description: {
      de: 'Der Vertrag enthält kein Recht des Verantwortlichen auf Prüfungen und Inspektionen.',
      en: 'The contract does not contain a right of the controller to audits and inspections.',
    },
    recommendation: {
      de: 'Ergänzen Sie ein ausdrückliches Recht auf Vor-Ort-Inspektionen und die Einsicht in relevante Unterlagen.',
      en: 'Add an explicit right to on-site inspections and access to relevant documents.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. h DSGVO',
    triggerControls: ['VND-AUD-01'],
  },
  {
    id: 'tpl-audit-restricted',
    type: 'RISK',
    category: 'AUDIT_RIGHTS',
    severity: 'MEDIUM',
    title: { de: 'Auditrecht eingeschränkt', en: 'Audit right restricted' },
    description: {
      de: 'Das Auditrecht ist durch unangemessene Einschränkungen (z.B. sehr lange Vorlaufzeit, Ausschluss von Vor-Ort-Inspektionen) begrenzt.',
      en: 'The audit right is limited by unreasonable restrictions (e.g., very long notice period, exclusion of on-site inspections).',
    },
    recommendation: {
      de: 'Verhandeln Sie angemessene Bedingungen für Audits (max. 30 Tage Vorlaufzeit, Möglichkeit zur Vor-Ort-Inspektion).',
      en: 'Negotiate reasonable audit conditions (max. 30 days notice, possibility for on-site inspection).',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. h DSGVO',
    triggerControls: ['VND-AUD-01'],
  },

  // DELETION
  {
    id: 'tpl-deletion-no-clause',
    type: 'GAP',
    category: 'DELETION',
    severity: 'CRITICAL',
    title: { de: 'Keine Lösch-/Rückgaberegelung', en: 'No deletion/return clause' },
    description: {
      de: 'Der Vertrag regelt nicht, was mit den Daten nach Vertragsende geschieht.',
      en: 'The contract does not regulate what happens to the data after contract termination.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel zur Löschung oder Rückgabe aller personenbezogenen Daten nach Vertragsende (max. 30 Tage).',
      en: 'Add a clause for deletion or return of all personal data after contract end (max. 30 days).',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. g DSGVO',
    triggerControls: ['VND-DEL-01'],
  },
  {
    id: 'tpl-deletion-no-confirmation',
    type: 'RISK',
    category: 'DELETION',
    severity: 'MEDIUM',
    title: { de: 'Keine Löschbestätigung vorgesehen', en: 'No deletion confirmation provided' },
    description: {
      de: 'Der Vertrag sieht keine Bestätigung der Löschung durch den Auftragsverarbeiter vor.',
      en: 'The contract does not provide for confirmation of deletion by the processor.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Pflicht zur schriftlichen Bestätigung der vollständigen Löschung.',
      en: 'Add an obligation for written confirmation of complete deletion.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. g DSGVO',
    triggerControls: ['VND-DEL-01'],
  },

  // TRANSFER
  {
    id: 'tpl-transfer-no-basis',
    type: 'GAP',
    category: 'TRANSFER',
    severity: 'CRITICAL',
    title: { de: 'Drittlandtransfer ohne Rechtsgrundlage', en: 'Third country transfer without legal basis' },
    description: {
      de: 'Der Vertrag erlaubt oder impliziert Transfers in Drittländer ohne geeignete Garantien.',
      en: 'The contract allows or implies transfers to third countries without appropriate safeguards.',
    },
    recommendation: {
      de: 'Vereinbaren Sie geeignete Garantien (SCC, BCR) oder beschränken Sie die Verarbeitung auf EU/EWR.',
      en: 'Agree on appropriate safeguards (SCC, BCR) or restrict processing to EU/EEA.',
    },
    affectedRequirement: 'Art. 44-49 DSGVO',
    triggerControls: ['VND-TRF-01'],
  },
  {
    id: 'tpl-transfer-old-scc',
    type: 'RISK',
    category: 'TRANSFER',
    severity: 'HIGH',
    title: { de: 'Veraltete Standardvertragsklauseln', en: 'Outdated Standard Contractual Clauses' },
    description: {
      de: 'Der Vertrag verwendet die alten SCC (vor 2021), die nicht mehr gültig sind.',
      en: 'The contract uses old SCC (pre-2021) that are no longer valid.',
    },
    recommendation: {
      de: 'Aktualisieren Sie auf die SCC 2021 (Durchführungsbeschluss (EU) 2021/914).',
      en: 'Update to SCC 2021 (Implementing Decision (EU) 2021/914).',
    },
    affectedRequirement: 'Art. 46 Abs. 2 lit. c DSGVO',
    triggerControls: ['VND-TRF-02'],
  },

  // LIABILITY
  {
    id: 'tpl-liability-excessive-cap',
    type: 'RISK',
    category: 'LIABILITY',
    severity: 'MEDIUM',
    title: { de: 'Unangemessene Haftungsbegrenzung', en: 'Inappropriate liability cap' },
    description: {
      de: 'Die Haftungsbegrenzung ist sehr niedrig und könnte bei Datenschutzverletzungen problematisch sein.',
      en: 'The liability cap is very low and could be problematic in case of data protection violations.',
    },
    recommendation: {
      de: 'Prüfen Sie, ob die Haftungsbegrenzung angemessen ist. Erwägen Sie eine Ausnahme für Datenschutzverletzungen oder eine höhere Obergrenze.',
      en: 'Check if the liability cap is appropriate. Consider an exception for data protection violations or a higher limit.',
    },
    affectedRequirement: 'Vertragliche Vereinbarung',
    triggerControls: [],
  },

  // DATA_SUBJECT_RIGHTS
  {
    id: 'tpl-dsr-no-support',
    type: 'GAP',
    category: 'DATA_SUBJECT_RIGHTS',
    severity: 'HIGH',
    title: { de: 'Keine Unterstützung bei Betroffenenrechten', en: 'No support for data subject rights' },
    description: {
      de: 'Der Vertrag enthält keine Regelung zur Unterstützung bei der Erfüllung von Betroffenenrechten.',
      en: 'The contract does not contain a provision for support in fulfilling data subject rights.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel zur Unterstützung bei Auskunft, Berichtigung, Löschung und anderen Betroffenenrechten.',
      en: 'Add a clause for support with access, rectification, deletion, and other data subject rights.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. e DSGVO',
    triggerControls: ['VND-DSR-01'],
  },

  // CONFIDENTIALITY
  {
    id: 'tpl-confidentiality-missing',
    type: 'GAP',
    category: 'CONFIDENTIALITY',
    severity: 'HIGH',
    title: { de: 'Keine Vertraulichkeitsverpflichtung', en: 'No confidentiality obligation' },
    description: {
      de: 'Der Vertrag enthält keine Verpflichtung zur Vertraulichkeit der Mitarbeiter.',
      en: 'The contract does not contain an obligation for employee confidentiality.',
    },
    recommendation: {
      de: 'Ergänzen Sie eine Klausel, die die Verpflichtung der Mitarbeiter zur Vertraulichkeit sicherstellt.',
      en: 'Add a clause ensuring the obligation of employees to confidentiality.',
    },
    affectedRequirement: 'Art. 28 Abs. 3 lit. b DSGVO',
    triggerControls: ['VND-CON-02'],
  },
]