breakpilot-compliance/admin-compliance/lib/sdk/dsfa/mitigations/transparency-intervention-org.ts

/**
 * DSFA Massnahmenbibliothek — Transparenz, Intervenierbarkeit, Automatisierung, Org & Legal
 */

import type { CatalogMitigation } from './types'

export const TRANSPARENCY_MITIGATIONS: CatalogMitigation[] = [
  {
    id: 'M-TRANS-01',
    type: 'organizational',
    sdmGoals: ['transparenz'],
    title: 'Datenschutzhinweise & Privacy Notices',
    description: 'Umfassende, verstaendliche Datenschutzhinweise gemaess Art. 13/14 DSGVO an allen Erhebungsstellen. Layered-Approach fuer unterschiedliche Detailstufen.',
    legalBasis: 'Art. 13, Art. 14 DSGVO',
    evidenceTypes: ['Privacy-Notice-Review', 'Zustellungs-Nachweis', 'Usability-Test'],
    addressesRiskIds: ['R-CONF-05', 'R-RIGHTS-02', 'R-RIGHTS-03', 'R-RIGHTS-06', 'R-TRANS-03', 'R-SPEC-02'],
    effectiveness: 'medium',
  },
  {
    id: 'M-TRANS-02',
    type: 'technical',
    sdmGoals: ['transparenz'],
    title: 'Vollstaendiger Audit-Trail fuer personenbezogene Daten',
    description: 'Lueckenloser, manipulationssicherer Audit-Trail fuer alle Verarbeitungsvorgaenge personenbezogener Daten. Wer hat wann auf welche Daten zugegriffen oder sie veraendert.',
    legalBasis: 'Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht)',
    evidenceTypes: ['Audit-Trail-Architektur', 'Log-Integritaets-Nachweis', 'Beispiel-Audit-Export'],
    addressesRiskIds: ['R-INT-05'],
    effectiveness: 'high',
  },
  {
    id: 'M-TRANS-03',
    type: 'technical',
    sdmGoals: ['transparenz'],
    title: 'Erklaerbarkeit von KI-Entscheidungen (Explainability)',
    description: 'Implementierung von Erklaerungsverfahren (SHAP, LIME, Feature-Importance) fuer automatisierte Entscheidungen. Bereitstellung verstaendlicher Begruendungen fuer Betroffene.',
    legalBasis: 'Art. 22 Abs. 3 DSGVO, Art. 13 Abs. 2 lit. f DSGVO',
    evidenceTypes: ['XAI-Konzept', 'Erklaerbarkeits-Beispiel', 'Betroffenen-Information'],
    addressesRiskIds: ['R-AUTO-01', 'R-AUTO-03', 'R-RIGHTS-01'],
    effectiveness: 'medium',
  },
  {
    id: 'M-TRANS-04',
    type: 'organizational',
    sdmGoals: ['transparenz'],
    title: 'Ueberwachungs-Folgenabschaetzung & Informationspflicht',
    description: 'Bei systematischer Ueberwachung: Gesonderte Folgenabschaetzung, klare Beschilderung/Information, Verhaeltnismaessigkeitspruefung und zeitliche Begrenzung.',
    legalBasis: 'Art. 35 Abs. 3 lit. c DSGVO, Art. 13 DSGVO',
    evidenceTypes: ['Ueberwachungs-DSFA', 'Beschilderungs-Nachweis', 'Verhaeltnismaessigkeits-Bewertung'],
    addressesRiskIds: ['R-RIGHTS-03'],
    effectiveness: 'medium',
  },
  {
    id: 'M-TRANS-05',
    type: 'organizational',
    sdmGoals: ['transparenz'],
    title: 'Verzeichnis von Verarbeitungstaetigkeiten (VVT) pflegen',
    description: 'Vollstaendiges und aktuelles VVT gemaess Art. 30 DSGVO fuer alle Verarbeitungstaetigkeiten. Regelmaessige Aktualisierung bei Aenderungen.',
    legalBasis: 'Art. 30 DSGVO',
    evidenceTypes: ['VVT-Export', 'Aktualisierungs-Log'],
    addressesRiskIds: ['R-RIGHTS-06'],
    effectiveness: 'medium',
  },
  {
    id: 'M-TRANS-06',
    type: 'legal',
    sdmGoals: ['transparenz', 'vertraulichkeit'],
    title: 'Transfer Impact Assessment (TIA) fuer Drittlandtransfer',
    description: 'Durchfuehrung eines Transfer Impact Assessments vor jedem Drittlandtransfer. Bewertung des Schutzniveaus im Empfaengerland und Festlegung zusaetzlicher Garantien.',
    legalBasis: 'Art. 46 DSGVO, Schrems-II-Urteil',
    evidenceTypes: ['TIA-Dokument', 'Schutzniveau-Analyse', 'Zusaetzliche-Garantien-Vereinbarung'],
    addressesRiskIds: ['R-TRANS-01', 'R-TRANS-02'],
    effectiveness: 'high',
  },
  {
    id: 'M-TRANS-07',
    type: 'legal',
    sdmGoals: ['vertraulichkeit'],
    title: 'Standardvertragsklauseln (SCC) & Supplementary Measures',
    description: 'Abschluss aktueller EU-Standardvertragsklauseln (2021/914) mit Auftragsverarbeitern im Drittland. Ergaenzende technische und organisatorische Massnahmen (Verschluesselung, Pseudonymisierung).',
    legalBasis: 'Art. 46 Abs. 2 lit. c DSGVO',
    evidenceTypes: ['Unterzeichnete SCC', 'Supplementary-Measures-Dokumentation'],
    addressesRiskIds: ['R-TRANS-01', 'R-TRANS-02'],
    effectiveness: 'medium',
  },
]

export const INTERVENTION_MITIGATIONS: CatalogMitigation[] = [
  {
    id: 'M-INTERV-01',
    type: 'technical',
    sdmGoals: ['intervenierbarkeit'],
    title: 'DSAR-Workflow (Data Subject Access Request)',
    description: 'Automatisierter Workflow fuer Betroffenenanfragen (Auskunft, Loeschung, Berichtigung, Export). Fristenmanagement (1 Monat), Identitaetspruefung und Dokumentation.',
    legalBasis: 'Art. 15-22 DSGVO, Art. 12 Abs. 3 DSGVO',
    evidenceTypes: ['DSAR-Workflow-Dokumentation', 'Bearbeitungszeiten-Statistik', 'Audit-Trail'],
    addressesRiskIds: ['R-RIGHTS-05', 'R-AVAIL-05'],
    effectiveness: 'high',
  },
  {
    id: 'M-INTERV-02',
    type: 'technical',
    sdmGoals: ['intervenierbarkeit'],
    title: 'Self-Service Datenverwaltung fuer Betroffene',
    description: 'Bereitstellung eines Self-Service-Portals, ueber das Betroffene ihre Daten einsehen, korrigieren, exportieren und die Loeschung beantragen koennen.',
    legalBasis: 'Art. 15-20 DSGVO',
    evidenceTypes: ['Portal-Screenshot', 'Funktions-Testprotokoll', 'Nutzungs-Statistik'],
    addressesRiskIds: ['R-RIGHTS-05'],
    effectiveness: 'high',
  },
  {
    id: 'M-INTERV-03',
    type: 'organizational',
    sdmGoals: ['intervenierbarkeit'],
    title: 'Widerspruchs- und Einschraenkungsprozess',
    description: 'Definierter Prozess fuer die Bearbeitung von Widerspruechen (Art. 21) und Einschraenkungsersuchen (Art. 18). Technische Moeglichkeit zur Sperrung einzelner Datensaetze.',
    legalBasis: 'Art. 18, Art. 21 DSGVO',
    evidenceTypes: ['Prozessbeschreibung', 'Sperr-Funktionalitaets-Nachweis'],
    addressesRiskIds: ['R-RIGHTS-05'],
    effectiveness: 'medium',
  },
  {
    id: 'M-INTERV-04',
    type: 'organizational',
    sdmGoals: ['intervenierbarkeit'],
    title: 'Human-in-the-Loop bei automatisierten Entscheidungen',
    description: 'Sicherstellung menschlicher Ueberpruefung bei automatisierten Entscheidungen mit erheblicher Auswirkung. Eskalationsprozess und Einspruchsmoeglichkeit fuer Betroffene.',
    legalBasis: 'Art. 22 Abs. 3 DSGVO',
    evidenceTypes: ['HITL-Prozessbeschreibung', 'Eskalations-Statistik', 'Einspruchs-Protokoll'],
    addressesRiskIds: ['R-AUTO-04'],
    effectiveness: 'high',
  },
]

export const AUTOMATION_ORG_LEGAL_MITIGATIONS: CatalogMitigation[] = [
  {
    id: 'M-AUTO-01',
    type: 'technical',
    sdmGoals: ['nichtverkettung', 'transparenz'],
    title: 'Bias-Monitoring & Fairness-Tests',
    description: 'Regelmaessige Ueberpruefung von KI-Modellen auf Bias und Diskriminierung. Fairness-Metriken (Demographic Parity, Equal Opportunity) und Korrekturmassnahmen bei Abweichungen.',
    legalBasis: 'Art. 22 Abs. 3 DSGVO, AI Act Art. 10',
    evidenceTypes: ['Bias-Audit-Report', 'Fairness-Metriken-Dashboard', 'Korrektur-Dokumentation'],
    addressesRiskIds: ['R-RIGHTS-01', 'R-AUTO-01', 'R-AUTO-02'],
    effectiveness: 'high',
  },
  {
    id: 'M-AUTO-02',
    type: 'technical',
    sdmGoals: ['transparenz'],
    title: 'KI-Modell-Dokumentation & Model Cards',
    description: 'Ausfuehrliche Dokumentation aller KI-Modelle: Trainingsdaten, Architektur, Performance-Metriken, bekannte Einschraenkungen, Einsatzzweck (Model Cards).',
    legalBasis: 'Art. 13 Abs. 2 lit. f DSGVO, AI Act Art. 11',
    evidenceTypes: ['Model-Card', 'Performance-Report', 'Einsatzbereich-Dokumentation'],
    addressesRiskIds: ['R-AUTO-01', 'R-AUTO-03'],
    effectiveness: 'medium',
  },
  {
    id: 'M-AUTO-03',
    type: 'organizational',
    sdmGoals: ['intervenierbarkeit', 'transparenz'],
    title: 'KI-Governance-Framework & Human Oversight Board',
    description: 'Etablierung eines KI-Governance-Frameworks mit einem Human Oversight Board, das alle KI-Systeme mit hohem Risiko ueberwacht und Interventionsmoeglichkeiten hat.',
    legalBasis: 'Art. 22 DSGVO, AI Act Art. 14',
    evidenceTypes: ['Governance-Policy', 'Oversight-Board-Protokolle', 'Interventions-Log'],
    addressesRiskIds: ['R-AUTO-01', 'R-AUTO-04'],
    effectiveness: 'high',
  },
  {
    id: 'M-AUTO-04',
    type: 'technical',
    sdmGoals: ['nichtverkettung', 'datenminimierung'],
    title: 'Datenschutzkonformes KI-Training (Privacy-Preserving ML)',
    description: 'Einsatz von Federated Learning, Differential Privacy beim Training oder synthetischen Trainingsdaten, um personenbezogene Daten im Modell zu schuetzen.',
    legalBasis: 'Art. 25 Abs. 1 DSGVO',
    evidenceTypes: ['Privacy-Preserving-ML-Konzept', 'Training-Daten-Analyse', 'Modell-Invertierbarkeiots-Test'],
    addressesRiskIds: ['R-AUTO-02', 'R-AUTO-05'],
    effectiveness: 'high',
  },
  {
    id: 'M-ORG-01',
    type: 'organizational',
    sdmGoals: ['vertraulichkeit', 'integritaet'],
    title: 'Datenschutz-Schulungen & Awareness-Programm',
    description: 'Regelmaessige verpflichtende Datenschutz-Schulungen fuer alle Mitarbeiter. Awareness-Kampagnen zu Phishing, Social Engineering und sicherem Datenumgang.',
    legalBasis: 'Art. 32 Abs. 1 lit. b DSGVO, Art. 39 Abs. 1 lit. a DSGVO',
    evidenceTypes: ['Schulungsplan', 'Teilnahmequoten', 'Phishing-Simulations-Ergebnis'],
    addressesRiskIds: ['R-CONF-06', 'R-ORG-03'],
    effectiveness: 'medium',
  },
  {
    id: 'M-ORG-02',
    type: 'organizational',
    sdmGoals: ['integritaet'],
    title: 'Verpflichtung auf Vertraulichkeit & Datenschutz-Policy',
    description: 'Schriftliche Verpflichtung aller Mitarbeiter und externen Dienstleister auf Vertraulichkeit und Einhaltung der Datenschutz-Policies.',
    legalBasis: 'Art. 28 Abs. 3 lit. b DSGVO, Art. 29 DSGVO',
    evidenceTypes: ['Unterzeichnete-Verpflichtungserklaerung', 'Datenschutz-Policy'],
    addressesRiskIds: ['R-ORG-03'],
    effectiveness: 'medium',
  },
  {
    id: 'M-ORG-03',
    type: 'organizational',
    sdmGoals: ['transparenz'],
    title: 'Datenpannen-Erkennungs- und Meldeprozess (Incident Response)',
    description: 'Definierter Incident-Response-Prozess mit klaren Eskalationswegen, 72h-Meldepflicht-Tracking, Klassifizierungsschema und Kommunikationsplan.',
    legalBasis: 'Art. 33, Art. 34 DSGVO',
    evidenceTypes: ['Incident-Response-Plan', 'Melde-Template', 'Uebungs-Protokoll'],
    addressesRiskIds: ['R-ORG-04'],
    effectiveness: 'high',
  },
  {
    id: 'M-ORG-04',
    type: 'technical',
    sdmGoals: ['transparenz', 'verfuegbarkeit'],
    title: 'Automatisiertes Breach-Detection & Alerting',
    description: 'Automatische Erkennung von Datenpannen durch Anomalie-Detection, ungewoehnliche Zugriffsmuster und Datenexfiltrations-Erkennung mit sofortigem Alert an den Incident-Response-Team.',
    legalBasis: 'Art. 33 Abs. 1 DSGVO',
    evidenceTypes: ['Alert-Regeln', 'Detection-Dashboard', 'Reaktionszeiten-Statistik'],
    addressesRiskIds: ['R-ORG-04'],
    effectiveness: 'high',
  },
  {
    id: 'M-LEGAL-01',
    type: 'legal',
    sdmGoals: ['transparenz'],
    title: 'Angemessenheitsbeschluss oder Binding Corporate Rules (BCR)',
    description: 'Sicherstellung, dass Drittlandtransfers auf einem Angemessenheitsbeschluss oder genehmigten BCRs basieren. Laufende Ueberwachung des Schutzniveaus.',
    legalBasis: 'Art. 45, Art. 47 DSGVO',
    evidenceTypes: ['Angemessenheitsbeschluss-Referenz', 'BCR-Genehmigung'],
    addressesRiskIds: ['R-TRANS-02'],
    effectiveness: 'high',
  },
  {
    id: 'M-LEGAL-02',
    type: 'legal',
    sdmGoals: ['transparenz'],
    title: 'Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO',
    description: 'Abschluss vollstaendiger AVVs mit allen Auftragsverarbeitern. Regelung von Zweck, Dauer, Datenkategorien, Weisungsbindung, Sub-Auftragsverarbeiter und Audit-Rechten.',
    legalBasis: 'Art. 28 Abs. 3 DSGVO',
    evidenceTypes: ['Unterzeichneter-AVV', 'Sub-Auftragsverarbeiter-Liste', 'Audit-Bericht'],
    addressesRiskIds: ['R-ORG-01', 'R-TRANS-03'],
    effectiveness: 'high',
  },
  {
    id: 'M-LEGAL-03',
    type: 'legal',
    sdmGoals: ['transparenz'],
    title: 'Regelmaessige Auftragsverarbeiter-Audits',
    description: 'Jaehrliche Ueberpruefung der Auftragsverarbeiter auf Einhaltung der AVV-Vorgaben. Dokumentierte Audits vor Ort oder anhand von Zertifizierungen (SOC 2, ISO 27001).',
    legalBasis: 'Art. 28 Abs. 3 lit. h DSGVO',
    evidenceTypes: ['Audit-Bericht', 'Zertifizierungs-Nachweis', 'Massnahmenplan'],
    addressesRiskIds: ['R-ORG-01'],
    effectiveness: 'medium',
  },
  {
    id: 'M-LEGAL-04',
    type: 'legal',
    sdmGoals: ['intervenierbarkeit', 'transparenz'],
    title: 'Altersverifikation & Eltern-Einwilligung (Art. 8)',
    description: 'Implementierung einer altersgerechten Verifikation und Einholung der Eltern-Einwilligung bei Minderjaehrigen unter 16 Jahren. Kindgerechte Datenschutzinformationen.',
    legalBasis: 'Art. 8 DSGVO, EG 38 DSGVO',
    evidenceTypes: ['Altersverifikations-Konzept', 'Eltern-Einwilligungs-Formular', 'Kindgerechte-Privacy-Notice'],
    addressesRiskIds: ['R-SPEC-02'],
    effectiveness: 'medium',
  },
]