import { FAQEntry } from './types'

export const PRESENTER_FAQ: FAQEntry[] = [
  // === PRODUCT ===
  {
    id: 'product-what',
    keywords: ['was', 'macht', 'breakpilot', 'what', 'does', 'product', 'produkt'],
    question_de: 'Was macht BreakPilot?',
    question_en: 'What does BreakPilot do?',
    answer_de: 'BreakPilot ComplAI ist eine Cloud-SDK-Plattform mit modularer Compliance-Plattform. Sie vernetzt das gesamte Unternehmen: Website, App, Hardware-Elektronik und Geschäftsprozesse. Die Plattform deckt sowohl Unternehmens-Compliance (DSGVO, Datenschutz) als auch Code- und CE-Sicherheit (SAST, DAST, Pentesting, CE-Risikobewertung) ab — alles KI-gestuetzt mit europäischem Hosting.',
    answer_en: 'BreakPilot ComplAI is a cloud SDK platform with modular compliance platform. It connects the entire organization: website, app, hardware electronics and business processes. The platform covers both company-side compliance (GDPR, privacy) and code/CE security (SAST, DAST, pentesting, CE risk assessment) — all AI-powered with European hosting.',
    goto_slide: 'solution',
    priority: 10,
  },
  {
    id: 'product-modules',
    keywords: ['module', 'modules', 'funktionen', 'features', 'umfang', 'scope', 'wieviele', 'how many'],
    question_de: 'Welche Module hat die Plattform?',
    question_en: 'What modules does the platform have?',
    answer_de: '12 Produkt-Module in zwei Saeulen: Unternehmens-Compliance — alle Datenkategorien, Verarbeitungen, Dienstleister und Auftragsverarbeiter erfassen, automatische Dokumentenerstellung (AGB, DSE, Cookie Banner, Nutzungsbedingungen), DSR-Prozess, Dokumentenversionierung, Rollenverwaltung, Academy und Schulungen, Audit und Nachweismanagement. Code/CE-Seite — Repo-Scanning (SAST + DAST), Pentesting, CE Software Risk Assessment (IACE), automatische SBOM-Generierung, Integration in den Issue-Tracker deiner Wahl mit konkreten Code-Änderungsvorschlaegen.',
    answer_en: 'modular compliance platform in two pillars: Company-side compliance — capture all data categories, processes, providers and processors, auto-generate legal documents (Terms of Service, Privacy Policy, Cookie Banner, Terms of Use), DSR process, document versioning, role management, academy and training, audit and evidence management. Code/CE side — repo scanning (SAST + DAST), pentesting, CE Software Risk Assessment (IACE), automatic SBOM generation, integration with the issue tracker of your choice with specific code change suggestions.',
    goto_slide: 'solution',
    priority: 8,
  },
  {
    id: 'product-company-compliance',
    keywords: ['unternehmen', 'company', 'dsgvo', 'gdpr', 'datenschutz', 'privacy', 'dokumente', 'documents', 'agb', 'dse', 'cookie', 'dsr', 'audit', 'schulung', 'training'],
    question_de: 'Was deckt die Unternehmens-Compliance ab?',
    question_en: 'What does company-side compliance cover?',
    answer_de: 'Die Unternehmens-Compliance erfasst saemtliche Datenkategorien, Verarbeitungstaetigkeiten, Dienstleister und Auftragsverarbeiter. Daraus generiert die Plattform automatisch rechtskonforme Dokumente: AGB, Datenschutzerklaerung, Cookie Banner, Nutzungsbedingungen. Dazu kommen ein vollständiger DSR-Prozess (Betroffenenrechte), Dokumentenversionierung mit Änderungsnachverfolgung, granulare Rollenverwaltung, eine Academy mit Mitarbeiterschulungen sowie umfassendes Audit- und Nachweismanagement.',
    answer_en: 'Company-side compliance captures all data categories, processing activities, service providers and processors. From this, the platform auto-generates legally compliant documents: Terms of Service, Privacy Policy, Cookie Banner, Terms of Use. Additionally it provides a full DSR process (data subject rights), document versioning with change tracking, granular role management, an academy with employee training, and comprehensive audit and evidence management.',
    goto_slide: 'solution',
    priority: 8,
  },
  {
    id: 'product-code-ce',
    keywords: ['code', 'ce', 'scanning', 'sast', 'dast', 'sbom', 'iace', 'firmware', 'repo', 'repository', 'devsecops'],
    question_de: 'Wie funktioniert die Code- und CE-Compliance?',
    question_en: 'How does code and CE compliance work?',
    answer_de: 'Die Code/CE-Seite umfasst vollständiges Repo-Scanning mit SAST und DAST, automatisiertes Pentesting sowie CE Software Risk Assessment (IACE) — auch für Elektronik-Produkte. Gefundene Schwachstellen werden direkt als Tickets im Issue-Tracker deiner Wahl mit konkreten Code-Änderungsvorschlaegen erstellt. Die KI implementiert Fixes automatisch. Zusaetzlich wird eine vollständige SBOM (Software Bill of Materials) generiert.',
    answer_en: 'The code/CE side includes full repo scanning with SAST and DAST, automated pentesting, and CE Software Risk Assessment (IACE) — also for electronics products. Findings are directly created as tickets in the issue tracker of your choice with specific code change suggestions. The AI implements fixes automatically. Additionally, a complete SBOM (Software Bill of Materials) is generated.',
    goto_slide: 'how-it-works',
    priority: 8,
  },
  {
    id: 'product-dsgvo-vs-aiact',
    keywords: ['dsgvo', 'gdpr', 'ai act', 'unterschied', 'difference', 'versus', 'vs'],
    question_de: 'Was ist der Unterschied zwischen DSGVO und AI Act Compliance?',
    question_en: 'What is the difference between GDPR and AI Act compliance?',
    answer_de: 'DSGVO schützt personenbezogene Daten (Verarbeitungsverzeichnis, Löschfristen, Betroffenenrechte). Der AI Act reguliert KI-Systeme (Risikoklassifizierung, Transparenz, Human Oversight). Produzierende Unternehmen mit KI in ihren Produkten oder Prozessen brauchen beides — unsere Plattform deckt beides vollständig ab und vernetzt die Module untereinander.',
    answer_en: 'GDPR protects personal data (records of processing, deletion deadlines, data subject rights). The AI Act regulates AI systems (risk classification, transparency, human oversight). Producing companies with AI in their products or processes need both — our platform covers both completely and interconnects the modules.',
    priority: 7,
  },

  // === TECHNOLOGY ===
  {
    id: 'tech-llm',
    keywords: ['llm', 'modell', 'model', 'ki', 'ai', 'kuenstliche intelligenz', 'artificial intelligence', 'welches', 'which', '1000b'],
    question_de: 'Welches KI-Modell nutzt ihr?',
    question_en: 'Which AI model do you use?',
    answer_de: 'Unser Haupt-LLM hat 1000 Milliarden Parameter und läuft ausschliesslich bei BSI-zertifizierten Hostern in Deutschland und Frankreich — SysEleven und Hetzner. Keine amerikanischen Anbieter, keine Daten verlassen die Server. Jeder Kunde bekommt einen isolierten Namespace. Für die Mac Mini/Studio Variante setzen wir kleinere Modelle ein, die lokale Dokumentenverarbeitung und RAG-Abfragen uebernehmen.',
    answer_en: 'Our main LLM has 1,000 billion parameters and runs exclusively at BSI-certified hosters in Germany and France — SysEleven and Hetzner. No American providers, no data leaves the servers. Each customer gets an isolated namespace. For the Mac Mini/Studio variant, we use smaller models for local document processing and RAG queries.',
    goto_slide: 'product',
    priority: 8,
  },
  {
    id: 'tech-eu-hosting',
    keywords: ['hosting', 'europa', 'europe', 'eu', 'deutschland', 'germany', 'frankreich', 'france', 'bsi', 'syseleven', 'ovh', 'hetzner', 'souveraenitaet', 'sovereignty', 'american', 'us', 'usa'],
    question_de: 'Wo werden die Daten gehostet?',
    question_en: 'Where is the data hosted?',
    answer_de: 'Ausschliesslich in Deutschland und Frankreich bei BSI-zertifizierten Anbietern: SysEleven und Hetzner. Keine amerikanischen Cloud-Provider, kein AWS, kein Azure, kein GCP. Die Daten verlassen niemals die europäischen Server. Jeder Kunde erhaelt einen vollständig isolierten Namespace — es gibt keine geteilte Datenverarbeitung zwischen Mandanten.',
    answer_en: 'Exclusively in Germany and France at BSI-certified providers: SysEleven and Hetzner. No American cloud providers, no AWS, no Azure, no GCP. Data never leaves the European servers. Each customer receives a fully isolated namespace — there is no shared data processing between tenants.',
    goto_slide: 'annex-architecture',
    priority: 9,
  },
  {
    id: 'tech-rag',
    keywords: ['rag', 'rechtstexte', 'legal texts', 'wissensbasis', 'knowledge base', 'vektordatenbank', 'vector', 'gesetze', 'laws'],
    question_de: 'Wie funktioniert die Wissensbasis?',
    question_en: 'How does the knowledge base work?',
    answer_de: 'Unsere RAG-Engine (Retrieval Augmented Generation) umfasst über 25 Tausend indexierte Originaldokumente und über 25.000 extrahierte Controls — DSGVO, AI Act, CRA, NIS2, Maschinenverordnung und 380+ Gesetze und Regularien für 10 Branchen. Bei jeder Compliance-Analyse werden die relevanten Paragraphen und Controls automatisch herangezogen. KI-Agenten arbeiten als spezialisierte Services und liefern rechtlich fundierte Antworten mit Quellennachweis.',
    answer_en: 'Our RAG engine (Retrieval Augmented Generation) includes over 25,000 indexed original documents and over 25,000 extracted controls — GDPR, AI Act, CRA, NIS2, Machinery Regulation and 380+ laws and regulations across 10 industries. For every compliance analysis, the relevant paragraphs and controls are automatically retrieved. AI agents operate as specialized services and deliver legally grounded answers with source references.',
    goto_slide: 'product',
    priority: 7,
  },
  {
    id: 'tech-opensource',
    keywords: ['open source', 'opensource', 'quellcode', 'source code', 'lizenz', 'license'],
    question_de: 'Ist die Plattform Open Source?',
    question_en: 'Is the platform open source?',
    answer_de: 'Die Plattform selbst ist proprietaer, nutzt aber ausschliesslich Open-Source-Dependencies mit kommerziell nutzbaren Lizenzen (MIT, Apache-2.0, BSD). Wir verwenden keine GPL/AGPL-Abhaengigkeiten. Auch unsere integrierte ERP-Lösung ERPNext ist vollständig Open Source.',
    answer_en: 'The platform itself is proprietary but uses exclusively open source dependencies with commercially usable licenses (MIT, Apache-2.0, BSD). We use no GPL/AGPL dependencies. Our integrated ERP solution ERPNext is also fully open source.',
    priority: 6,
  },
  {
    id: 'tech-security',
    keywords: ['sicherheit', 'security', 'datenschutz', 'privacy', 'verschluesselung', 'encryption', 'namespace', 'isolation'],
    question_de: 'Wie sicher sind die Daten?',
    question_en: 'How secure is the data?',
    answer_de: 'Maximale Datensouveränität durch europäisches Hosting ohne amerikanische Anbieter. Isolierte Kunden-Namespaces — kein Mandant sieht Daten eines anderen. TLS 1.3 für alle Verbindungen, Vault für Secrets, Enterprise-Grade Verschluesselung. Die 1000B-KI läuft BSI-zertifiziert, alle Daten bleiben auf europäischen Servern.',
    answer_en: 'Maximum data sovereignty through European hosting without American providers. Isolated customer namespaces — no tenant can see another tenant data. TLS 1.3 for all connections, Vault for secrets, enterprise-grade encryption. The 1000B AI runs BSI-certified, all data stays on European servers.',
    goto_slide: 'annex-architecture',
    priority: 8,
  },
  {
    id: 'tech-issue-tracker-integration',
    keywords: ['jira', 'atlassian', 'linear', 'issue tracker', 'integration', 'ticket', 'tickets', 'issue', 'issues', 'fix', 'fixes', 'code change'],
    question_de: 'Wie funktioniert die Issue-Tracker-Integration?',
    question_en: 'How does the issue tracker integration work?',
    answer_de: 'Wenn das Code-Scanning (SAST/DAST) oder Pentesting Schwachstellen findet, erstellt die Plattform automatisch Tickets im Issue-Tracker deiner Wahl — Jira, GitLab, Linear, Gitea — mit exakten Code-Änderungsvorschlaegen, welche Datei, welche Zeile, welcher Fix. Die KI kann den Fix auch direkt implementieren. So schliesst sich der Kreis von Finding zu Fix vollständig automatisiert.',
    answer_en: 'When code scanning (SAST/DAST) or pentesting finds vulnerabilities, the platform automatically creates tickets in the issue tracker of your choice — Jira, GitLab, Linear, Gitea — with exact code change suggestions: which file, which line, which fix. The AI can also implement the fix directly. This closes the loop from finding to fix fully automated.',
    goto_slide: 'how-it-works',
    priority: 7,
  },
  {
    id: 'tech-ai-agents',
    keywords: ['agent', 'agents', 'agenten', 'ki-agent', 'ai agent', 'service', 'services', 'automatisierung', 'automation'],
    question_de: 'Was sind die KI-Agenten?',
    question_en: 'What are the AI agents?',
    answer_de: 'Unsere KI-Agenten sind spezialisierte Services, die jeweils eine Compliance-Aufgabe vollständig automatisieren: Dokumentengenerierung, Code-Analyse, Risikobewertung, Schulungserstellung und mehr. Sie arbeiten mit der RAG-Wissensbasis und dem 1000B-LLM zusammen und liefern Ergebnisse mit Quellennachweis und Audit-Trail.',
    answer_en: 'Our AI agents are specialized services that each fully automate a compliance task: document generation, code analysis, risk assessment, training creation and more. They work together with the RAG knowledge base and the 1000B LLM, delivering results with source references and audit trails.',
    priority: 7,
  },

  // === EXTRA FEATURES ===
  {
    id: 'feature-communication',
    keywords: ['matrix', 'jitsi', 'teams', 'kommunikation', 'communication', 'chat', 'video', 'videokonferenz', 'meeting'],
    question_de: 'Habt ihr auch Kommunikationstools?',
    question_en: 'Do you also have communication tools?',
    answer_de: 'Ja, wir liefern eine eigene DSGVO-konforme Kommunikationsloesung mit: Matrix als Chat-System (wie Slack/Teams) und Jitsi für Videokonferenzen. Alles self-hosted auf europäischer Infrastruktur — kein Microsoft Teams, kein Zoom, keine Daten bei US-Anbietern.',
    answer_en: 'Yes, we provide our own GDPR-compliant communication solution: Matrix as chat system (like Slack/Teams) and Jitsi for video conferencing. Everything self-hosted on European infrastructure — no Microsoft Teams, no Zoom, no data with US providers.',
    priority: 6,
  },
  {
    id: 'feature-meeting-recorder',
    keywords: ['meeting', 'recorder', 'aufzeichnung', 'recording', 'nvidia', 'transkription', 'transcription', 'protokoll', 'minutes', 'tasks', 'aufgaben'],
    question_de: 'Wie funktioniert der Meeting-Recorder?',
    question_en: 'How does the meeting recorder work?',
    answer_de: 'Unser NVIDIA-basierter Meeting-Recorder zeichnet Besprechungen auf, transkribiert sie automatisch und extrahiert Aufgaben und Beschluesse. Diese werden direkt als Tasks im Issue-Tracker deiner Wahl angelegt — inklusive Zuweisung, Deadline und Kontext aus dem Meeting. So geht nichts mehr verloren.',
    answer_en: 'Our NVIDIA-based meeting recorder records meetings, transcribes them automatically and extracts tasks and decisions. These are directly created as tasks in the issue tracker of your choice — including assignment, deadline and context from the meeting. Nothing gets lost.',
    priority: 6,
  },
  {
    id: 'feature-erp',
    keywords: ['erp', 'erpnext', 'buchhaltung', 'accounting', 'warenwirtschaft', 'inventory', 'enterprise resource', 'geschaeftsprozesse', 'business processes'],
    question_de: 'Warum bietet ihr auch ERP an?',
    question_en: 'Why do you also offer ERP?',
    answer_de: 'Compliance betrifft das gesamte Unternehmen — auch Geschäftsprozesse. Mit ERPNext (Open Source) integrieren wir Buchhaltung, Warenwirtschaft und Prozessmanagement direkt in die Compliance-Plattform. So können Verarbeitungstaetigkeiten, Datenfluesse und Löschfristen automatisch aus den realen Geschäftsprozessen abgeleitet werden.',
    answer_en: 'Compliance affects the entire organization — including business processes. With ERPNext (open source) we integrate accounting, inventory and process management directly into the compliance platform. This way processing activities, data flows and deletion deadlines can be automatically derived from real business processes.',
    priority: 5,
  },
  {
    id: 'feature-code-assistant',
    keywords: ['code assistant', 'code-assistent', 'entwickler', 'developer', 'programmierung', 'programming', 'copilot'],
    question_de: 'Was ist der Code-Assistent?',
    question_en: 'What is the code assistant?',
    answer_de: 'Jeder Kunde erhaelt einen eigenen KI-Code-Assistenten, der im isolierten Namespace läuft. Er kennt die Codebasis des Kunden, versteht die Compliance-Anforderungen und kann sowohl bei der Entwicklung als auch bei der Behebung von Sicherheitsfunden helfen — alles datenschutzkonform auf europäischer Infrastruktur.',
    answer_en: 'Each customer receives their own AI code assistant running in an isolated namespace. It knows the customer codebase, understands the compliance requirements, and can help with both development and remediation of security findings — all privacy-compliant on European infrastructure.',
    priority: 6,
  },

  // === CE CERTIFICATION ===
  {
    id: 'ce-certification',
    keywords: ['ce', 'ce-kennzeichnung', 'ce marking', 'zertifizierung', 'certification', 'maschinenverordnung', 'machinery', 'elektronik', 'electronics', 'iace'],
    question_de: 'Wie hilft BreakPilot bei der CE-Zertifizierung?',
    question_en: 'How does BreakPilot help with CE certification?',
    answer_de: 'Unser IACE-Modul (Industrial AI/CE) fuehrt CE Software Risk Assessments durch — nicht nur für Software, sondern auch für Elektronik-Produkte. Es analysiert systematisch alle Risiken nach Maschinenverordnung, erstellt die technische Dokumentation und verknuepft Findings mit konkreten Massnahmen. Ideal für produzierende Unternehmen, die Software und Elektronik in ihren Produkten haben.',
    answer_en: 'Our IACE module (Industrial AI/CE) performs CE Software Risk Assessments — not just for software but also for electronics products. It systematically analyzes all risks according to the Machinery Regulation, creates technical documentation and links findings to concrete measures. Ideal for producing companies with software and electronics in their products.',
    goto_slide: 'solution',
    priority: 8,
  },

  // === MARKET ===
  {
    id: 'market-tam',
    keywords: ['tam', 'sam', 'som', 'markt', 'market', 'marktgroesse', 'market size', 'adressierbar'],
    question_de: 'Wie gross ist der Markt?',
    question_en: 'How big is the market?',
    answer_de: 'TAM: 8,7 Mrd. EUR (globaler RegTech-Markt, +23% p.a.). SAM: 1,2 Mrd. EUR (DACH-produzierende Unternehmen mit Software und Elektronik). SOM: Anlaufphase mit Cloud-SDK als Hauptprodukt. Der CRA allein betrifft über 30.000 Hersteller in der EU, die Maschinenverordnung nochmals tausende CE-pflichtige Unternehmen.',
    answer_en: 'TAM: EUR 8.7B (global RegTech market, +23% p.a.). SAM: EUR 1.2B (DACH producing companies with software and electronics). SOM: ramp-up phase with cloud SDK as main product. The CRA alone affects over 30,000 manufacturers in the EU, the Machinery Regulation thousands more CE-obligated companies.',
    goto_slide: 'market',
    priority: 9,
  },
  {
    id: 'market-target',
    keywords: ['zielgruppe', 'target', 'kunden', 'customers', 'wer', 'who', 'maschinenbau', 'machine', 'vdma', 'elektronik', 'electronics', 'produzierende'],
    question_de: 'Wer ist die Zielgruppe?',
    question_en: 'Who is the target audience?',
    answer_de: 'Drei Kernzielgruppen: 1) Maschinenbauer, die Software und Elektronik in ihren Produkten verbauen. 2) CE-Zertifizierer und Prüflabore. 3) Alle produzierenden Unternehmen mit Elektronik und Software in ihren Produkten. Diese muessen CRA, DSGVO, AI Act, NIS2 und Maschinenverordnung einhalten — unsere Plattform deckt alles in einem System ab.',
    answer_en: 'Three core target groups: 1) Machine builders who embed software and electronics in their products. 2) CE certifiers and test laboratories. 3) All producing companies with electronics and software in their products. They must comply with CRA, GDPR, AI Act, NIS2 and Machinery Regulation — our platform covers everything in one system.',
    goto_slide: 'market',
    priority: 8,
  },

  // === COMPETITION ===
  {
    id: 'competition-diff',
    keywords: ['wettbewerb', 'competition', 'konkurrenz', 'unterschied', 'differenzierung', 'differentiation', 'proliance', 'dataguard', 'heydata', 'vanta'],
    question_de: 'Was unterscheidet euch vom Wettbewerb?',
    question_en: 'What differentiates you from the competition?',
    answer_de: 'Vier entscheidende Unterschiede: 1) Vollvernetzte Plattform — Website, App, Hardware, Geschäftsprozesse in einem System. 2) Code- UND CE-Security — SAST, DAST, Pentesting, IACE, automatische Fixes. 3) Europaeische KI-Infrastruktur — 1000B LLM, BSI-zertifiziert, keine US-Anbieter. 4) Integrierte Kommunikation und ERP — Matrix, Jitsi, Meeting-Recorder, ERPNext. Kein anderer Compliance-Anbieter liefert dieses Gesamtpaket.',
    answer_en: 'Four decisive differences: 1) Fully networked platform — website, app, hardware, business processes in one system. 2) Code AND CE security — SAST, DAST, pentesting, IACE, automatic fixes. 3) European AI infrastructure — 1000B LLM, BSI-certified, no US providers. 4) Integrated communication and ERP — Matrix, Jitsi, meeting recorder, ERPNext. No other compliance provider delivers this complete package.',
    goto_slide: 'competition',
    priority: 9,
  },
  {
    id: 'competition-proliance',
    keywords: ['proliance', 'dataguard', 'heydata', 'vergleich', 'comparison', 'versus'],
    question_de: 'Warum können Proliance und DataGuard das nicht?',
    question_en: 'Why can\'t Proliance and DataGuard do this?',
    answer_de: 'Proliance, DataGuard und heyData fokussieren auf organisatorische DSGVO-Compliance — Verarbeitungsverzeichnisse, Datenschutzerklaerungen, Schulungen. Keiner bietet Code-Scanning, CE-Risikobewertung, Pentesting oder automatische Issue-Tracker-Integration mit Code-Fixes. Sie machen das Unternehmen teilweise compliant, aber nicht die Produkte. Und keiner hostet die KI ausschliesslich in Europa.',
    answer_en: 'Proliance, DataGuard and heyData focus on organizational GDPR compliance — records of processing, privacy policies, training. None offer code scanning, CE risk assessment, pentesting or automatic issue tracker integration with code fixes. They make the company partially compliant, but not the products. And none host the AI exclusively in Europe.',
    goto_slide: 'competition',
    priority: 8,
  },

  // === BUSINESS MODEL ===
  {
    id: 'biz-pricing',
    keywords: ['preis', 'price', 'pricing', 'kosten', 'cost', 'kostet', 'costs', 'wie viel', 'how much', 'subscription'],
    question_de: 'Was kostet BreakPilot?',
    question_en: 'What does BreakPilot cost?',
    answer_de: 'Modulares Pricing nach Unternehmensgröße: Unter 50 Mitarbeiter ab 15.000 EUR/Jahr, 50-250 Mitarbeiter ab 30.000 EUR/Jahr, über 250 Mitarbeiter ab 25.000-50.000 EUR/Jahr. Module sind frei waehlbar: Code Security, CE-Risikobeurteilung, Compliance-Dokumente, Audit Manager, Academy, Compliance-LLM — oder alles als Full-Compliance-Paket. Für Kleinstunternehmen unter 10 MA optional Mac Mini für absolute Privacy.',
    answer_en: 'Modular pricing by company size: Under 50 employees from EUR 15,000/year, 50-250 employees from EUR 30,000/year, over 250 employees from EUR 25,000-50,000/year. Modules are freely selectable: code security, CE risk assessment, compliance documents, audit manager, academy, compliance LLM — or everything as full compliance package. For micro businesses under 10 employees optionally Mac Mini for absolute privacy.',
    goto_slide: 'product',
    priority: 9,
  },
  {
    id: 'biz-cloud-vs-mini',
    keywords: ['cloud', 'mini', 'studio', 'unterschied', 'difference', 'vergleich', 'comparison', 'tier', 'tiers', 'varianten', 'variants'],
    question_de: 'Cloud oder Hardware?',
    question_en: 'Cloud or hardware?',
    answer_de: 'Cloud ist der Standard: BSI-zertifiziert in Deutschland oder Frankreich. Fixe oder flexible Kosten, modulare Module, Integration in den Issue-Tracker deiner Wahl, Matrix/Jitsi, Compliance-LLM. Für Kleinstunternehmen unter 10 Mitarbeitern mit absolutem Privacy-Bedarf bieten wir optional einen vorkonfigurierten Mac Mini oder Mac Studio mit kleineren lokalen LLMs.',
    answer_en: 'Cloud is the standard: BSI-certified in Germany or France. Fixed or flexible costs, modular modules, integration with the issue tracker of your choice, Matrix/Jitsi, compliance LLM. For micro businesses under 10 employees with absolute privacy needs, we optionally offer a pre-configured Mac Mini or Mac Studio with smaller local LLMs.',
    goto_slide: 'product',
    priority: 8,
  },
  {
    id: 'biz-revenue',
    keywords: ['umsatz', 'revenue', 'arr', 'mrr', 'recurring', 'einnahmen', 'income'],
    question_de: 'Wie sieht der Umsatzplan aus?',
    question_en: 'What does the revenue plan look like?',
    answer_de: 'Der Fokus liegt auf dem Cloud-Produkt als Umsatztreiber (1.499 EUR/Monat). Rein recurring — monatliche Subscriptions. Die Cloud-Plattform skaliert ohne Hardware-Logistik. Mac Mini/Studio sind Nebenprodukte für spezifische Kundenbeduerfnisse.',
    answer_en: 'The focus is on the cloud product as revenue driver (EUR 1,499/month). Purely recurring — monthly subscriptions. The cloud platform scales without hardware logistics. Mac Mini/Studio are side products for specific customer needs.',
    goto_slide: 'annex-finanzplan',
    priority: 8,
  },
  {
    id: 'biz-unit-economics',
    keywords: ['unit economics', 'marge', 'margin', 'ltv', 'cac', 'amortisation', 'amortization'],
    question_de: 'Wie sind die Unit Economics?',
    question_en: 'What are the unit economics?',
    answer_de: 'Bruttomarge über 80% beim Cloud-Produkt — keine Hardware-Kosten. Die AI-First Architektur haelt die operativen Kosten pro Kunde extrem niedrig. Europaeisches Hosting bei SysEleven und Hetzner ist deutlich günstiger als AWS/Azure. LTV/CAC verbessert sich durch die Plattform-Stickiness: modulare Plattform schaffen natürlichen Lock-in.',
    answer_en: 'Gross margin above 80% on the cloud product — no hardware costs. The AI-first architecture keeps operational costs per customer extremely low. European hosting at SysEleven and Hetzner is significantly cheaper than AWS/Azure. LTV/CAC improves through platform stickiness: all modules create natural lock-in.',
    goto_slide: 'business-model',
    priority: 7,
  },
  {
    id: 'biz-scalability',
    keywords: ['skalierung', 'scalability', 'skalierbar', 'scalable', 'wachstum', 'growth', 'personal', 'headcount'],
    question_de: 'Wie skaliert das Geschäftsmodell?',
    question_en: 'How does the business model scale?',
    answer_de: 'Das Cloud-SDK-Modell skaliert hervorragend: Neue Kunden brauchen nur einen neuen Namespace — keine Hardware-Beschaffung, kein Versand, kein Onsite-Setup. KI-Agenten automatisieren Compliance-Analyse und Code-Scanning. Die isolierten Namespaces ermoeglichen lineare Skalierung der Infrastruktur.',
    answer_en: 'The cloud SDK model scales excellently: new customers only need a new namespace — no hardware procurement, no shipping, no onsite setup. AI agents automate compliance analysis and code scanning. The isolated namespaces enable linear infrastructure scaling.',
    goto_slide: 'annex-finanzplan',
    priority: 7,
  },

  // === TEAM ===
  {
    id: 'team-founders',
    keywords: ['team', 'gruender', 'founders', 'wer', 'who', 'erfahrung', 'experience', 'hintergrund', 'background'],
    question_de: 'Wer sind die Gruender?',
    question_en: 'Who are the founders?',
    answer_de: 'Das Gruenderteam besteht aus Benjamin Boenisch (CEO & Co-Founder, 50%) und Sharang (CTO & Co-Founder, 50%). Benjamin bringt Expertise in Compliance, DSGVO und Produktstrategie mit. Sharang ist Experte für AI/ML, Cloud-Infrastruktur und Full-Stack-Entwicklung. Zusammen decken sie Compliance-Domain-Wissen und technische Umsetzung ab.',
    answer_en: 'The founding team consists of Benjamin Boenisch (CEO & Co-Founder, 50%) and Sharang (CTO & Co-Founder, 50%). Benjamin brings expertise in compliance, GDPR and product strategy. Sharang is an expert in AI/ML, cloud infrastructure and full-stack development. Together they cover compliance domain knowledge and technical execution.',
    goto_slide: 'team',
    priority: 7,
  },

  // === INVESTMENT ===
  {
    id: 'invest-amount',
    keywords: ['investment', 'investition', 'funding', 'finanzierung', 'wie viel', 'how much', 'kapital', 'capital', 'runde', 'round'],
    question_de: 'Wie viel Kapital sucht ihr?',
    question_en: 'How much capital are you seeking?',
    answer_de: 'Wir suchen eine Pre-Seed Finanzierung. Das genaue Volumen und die Konditionen besprechen wir gerne im Detail. Das Kapital fliesst in Cloud-Infrastruktur, Engineering, Vertrieb und regulatorische Reserve.',
    answer_en: 'We are seeking pre-seed funding. We are happy to discuss the exact volume and terms in detail. Capital goes into cloud infrastructure, engineering, sales and regulatory reserve.',
    goto_slide: 'the-ask',
    priority: 9,
  },
  {
    id: 'invest-use-of-funds',
    keywords: ['use of funds', 'wofuer', 'what for', 'verwendung', 'allocation', 'mittelverwendung'],
    question_de: 'Wofür wird das Kapital verwendet?',
    question_en: 'What will the capital be used for?',
    answer_de: 'Vier Bereiche: 1) Cloud-Infrastruktur — Skalierung der europäischen Server-Kapazitaet bei SysEleven/Hetzner. 2) Engineering — weitere Module und Integrationen. 3) Vertrieb — Pilotkunden bei Maschinenbauern, CE-Zertifizierern und produzierenden Unternehmen. 4) Reserve — regulatorische Anforderungen und Working Capital.',
    answer_en: 'Four areas: 1) Cloud infrastructure — scaling European server capacity at SysEleven/Hetzner. 2) Engineering — additional modules and integrations. 3) Sales — pilot customers among machine builders, CE certifiers and producing companies. 4) Reserve — regulatory requirements and working capital.',
    goto_slide: 'the-ask',
    priority: 8,
  },
  {
    id: 'invest-runway',
    keywords: ['runway', 'burn', 'burn rate', 'reicht', 'lasts', 'monate', 'months', 'cashflow'],
    question_de: 'Wie lang reicht das Kapital?',
    question_en: 'How long does the capital last?',
    answer_de: 'Die Pre-Seed Runde finanziert uns bis zur nächsten Finanzierungsrunde. Als Cloud-Plattform ist unsere Burn Rate niedriger als bei Hardware-lastigen Modellen — kein Lagerbestand, keine Logistik. Die europäische Hosting-Infrastruktur ist deutlich günstiger als US-Cloud-Provider.',
    answer_en: 'The pre-seed round funds us until the next financing round. As a cloud platform our burn rate is lower than hardware-heavy models — no inventory, no logistics. European hosting infrastructure is significantly cheaper than US cloud providers.',
    goto_slide: 'annex-finanzplan',
    priority: 7,
  },
  {
    id: 'invest-valuation',
    keywords: ['bewertung', 'valuation', 'konditionen', 'terms', 'instrument', 'safe', 'convertible'],
    question_de: 'Was ist die Bewertung?',
    question_en: 'What is the valuation?',
    answer_de: 'Die genaue Bewertung und das Instrument besprechen wir gerne im persoenlichen Gespraech. Wir sind offen für marktgerechte Strukturen, die für beide Seiten attraktiv sind.',
    answer_en: 'We are happy to discuss the exact valuation and instrument in a personal meeting. We are open to market-standard structures that are attractive for both sides.',
    goto_slide: 'the-ask',
    priority: 7,
  },

  // === REGULATORY ===
  {
    id: 'reg-cra',
    keywords: ['cra', 'cyber resilience', 'cyber resilience act', 'firmware', 'produktsicherheit', 'product security'],
    question_de: 'Was ist der Cyber Resilience Act?',
    question_en: 'What is the Cyber Resilience Act?',
    answer_de: 'Der CRA verpflichtet Hersteller, Software in ihren Produkten abzusichern — über den gesamten Lebenszyklus. Für produzierende Unternehmen mit Firmware, embedded Software und Elektronik bedeutet das: Vulnerability Management, SBOM, Incident Reporting. Unsere Plattform automatisiert all das — vom Repo-Scan bis zum Ticket im Issue-Tracker deiner Wahl mit Code-Fix.',
    answer_en: 'The CRA obligates manufacturers to secure software in their products — throughout the entire lifecycle. For producing companies with firmware, embedded software and electronics this means: vulnerability management, SBOM, incident reporting. Our platform automates all of this — from repo scan to ticket in your issue tracker with code fix.',
    goto_slide: 'annex-regulatory',
    priority: 7,
  },
  {
    id: 'reg-nis2',
    keywords: ['nis2', 'nis 2', 'cybersecurity', 'kritische infrastruktur', 'critical infrastructure'],
    question_de: 'Was bedeutet NIS2 für produzierende Unternehmen?',
    question_en: 'What does NIS2 mean for producing companies?',
    answer_de: 'NIS2 erweitert die Cybersecurity-Pflichten auf den Maschinenbau und produzierende Industrie. Unternehmen muessen Risikomanagement, Incident Response und Supply-Chain-Security implementieren. Unsere Plattform bietet Module für alle drei Bereiche — vollständig vernetzt mit den uebrigen Compliance-Modulen.',
    answer_en: 'NIS2 extends cybersecurity obligations to machine manufacturing and producing industry. Companies must implement risk management, incident response and supply chain security. Our platform offers modules for all three areas — fully interconnected with the other compliance modules.',
    goto_slide: 'annex-regulatory',
    priority: 6,
  },

  // === MAC MINI / STUDIO ===
  {
    id: 'product-mac-mini',
    keywords: ['mac mini', 'mac studio', 'hardware', 'appliance', 'self-hosted', 'selfhosted', 'lokal', 'local', 'apple', 'klein', 'small'],
    question_de: 'Was ist das Mac Mini/Studio Produkt?',
    question_en: 'What is the Mac Mini/Studio product?',
    answer_de: 'ComplAI Mini (299 EUR/Monat) und ComplAI Studio (999 EUR/Monat) sind Nebenprodukte für kleine Unternehmen mit 5-10 Mitarbeitern. Die Hardware läuft lokal, ist langsamer als die Cloud-Variante und bietet Wartungszugang. Kleinere LLMs uebernehmen die Dokumentenverarbeitung, eine vorinstallierte RAG-Engine beantwortet Fragen zu Dokumenten. Für die volle Leistung mit allen Modulen, 1000B-LLM und allen Integrationen empfehlen wir ComplAI Cloud.',
    answer_en: 'ComplAI Mini (EUR 299/month) and ComplAI Studio (EUR 999/month) are side products for small companies with 5-10 employees. The hardware runs locally, is slower than the cloud variant and provides maintenance access. Smaller LLMs handle document processing, a pre-installed RAG engine answers questions about documents. For full power with all modules, 1000B LLM and all integrations, we recommend ComplAI Cloud.',
    goto_slide: 'product',
    priority: 6,
  },

  // === GTM ===
  {
    id: 'gtm-strategy',
    keywords: ['gtm', 'go-to-market', 'go to market', 'vertrieb', 'sales', 'strategie', 'strategy', 'akquise', 'acquisition'],
    question_de: 'Wie gewinnt ihr Kunden?',
    question_en: 'How do you acquire customers?',
    answer_de: 'Drei Kanaele: 1) VDMA-Netzwerk und Branchenverbindungen — direkter Zugang zu Maschinenbauern und produzierenden Unternehmen. 2) CE-Zertifizierer und Prüflabore als Multiplikatoren. 3) Content Marketing über Compliance-Webinare zu CRA, Maschinenverordnung und AI Act. Cloud-First bedeutet: sofortige Bereitstellung ohne Hardware-Logistik.',
    answer_en: 'Three channels: 1) VDMA network and industry connections — direct access to machine builders and producing companies. 2) CE certifiers and test laboratories as multipliers. 3) Content marketing through compliance webinars on CRA, Machinery Regulation and AI Act. Cloud-first means: immediate provisioning without hardware logistics.',
    goto_slide: 'annex-gtm',
    priority: 7,
  },
  {
    id: 'gtm-timeline',
    keywords: ['timeline', 'zeitplan', 'schedule', 'wann', 'when', 'roadmap', 'meilensteine', 'milestones'],
    question_de: 'Wann kommen die ersten Kunden?',
    question_en: 'When will the first customers come?',
    answer_de: 'Die Cloud-Plattform ist produktionsreif mit allen Modulen. Nach der Pre-Seed Runde starten wir sofort mit Pilotprojekten. Cloud-Bereitstellung erfolgt innerhalb eines Tages — kein Hardware-Versand noetig. Ziel: schnelle Pilotkunden bei Maschinenbauern und CE-Zertifizierern.',
    answer_en: 'The cloud platform is production-ready with all modules. After the pre-seed round we start pilot projects immediately. Cloud provisioning happens within one day — no hardware shipping needed. Target: rapid pilot customers among machine builders and CE certifiers.',
    goto_slide: 'traction',
    priority: 7,
  },

  // === PENTESTING ===
  {
    id: 'pentest',
    keywords: ['pentesting', 'penetrationstest', 'penetration test', 'security testing', 'pentests'],
    question_de: 'Wie funktioniert das Pentesting?',
    question_en: 'How does pentesting work?',
    answer_de: 'Pentesting ist fester Bestandteil unserer Code/CE-Saule. Automatisierte Penetrationstests laufen gegen die Kunden-Anwendungen und -Infrastruktur. Gefundene Schwachstellen werden automatisch als Tickets im Issue-Tracker deiner Wahl mit konkreten Code-Änderungsvorschlaegen erstellt — die KI kann die Fixes direkt implementieren. So wird der gesamte Zyklus von Finding bis Fix automatisiert.',
    answer_en: 'Pentesting is a core part of our code/CE pillar. Automated penetration tests run against customer applications and infrastructure. Found vulnerabilities are automatically created as tickets in the issue tracker of your choice with specific code change suggestions — the AI can implement fixes directly. This automates the entire cycle from finding to fix.',
    goto_slide: 'how-it-works',
    priority: 7,
  },

  // === MISC ===
  {
    id: 'misc-demo',
    keywords: ['demo', 'test', 'testen', 'try', 'ausprobieren', 'live', 'showcase'],
    question_de: 'Kann ich eine Demo sehen?',
    question_en: 'Can I see a demo?',
    answer_de: 'Sehr gerne! Wir zeigen Ihnen die Cloud-Plattform live — inklusive Code-Scanning, Compliance-Module, KI-Analyse, Issue-Tracker-Integration und den Meeting-Recorder. Ein Cloud-Demo-Zugang kann sofort bereitgestellt werden. Kontaktieren Sie uns für einen Termin.',
    answer_en: 'Absolutely! We will show you the cloud platform live — including code scanning, compliance modules, AI analysis, issue tracker integration and the meeting recorder. A cloud demo access can be provisioned immediately. Contact us for an appointment.',
    priority: 6,
  },
  {
    id: 'misc-contact',
    keywords: ['kontakt', 'contact', 'email', 'mail', 'erreichen', 'reach', 'termin', 'meeting', 'appointment'],
    question_de: 'Wie kann ich euch kontaktieren?',
    question_en: 'How can I contact you?',
    answer_de: 'Schreiben Sie uns eine E-Mail oder vereinbaren Sie direkt einen Termin über unsere Website. Wir freuen uns auf das Gespräch!',
    answer_en: 'Send us an email or schedule a meeting directly through our website. We look forward to the conversation!',
    priority: 5,
  },

  // === KUNDENERSPARNIS ===
  {
    id: 'savings-detail',
    keywords: ['ersparnis', 'savings', 'sparen', 'save', 'kosten', 'costs', 'roi', 'return', 'pentest kosten', 'wie viel spart', 'how much save', 'rechnung', 'calculation', 'einsparung'],
    question_de: 'Wie viel spart ein Kunde konkret?',
    question_en: 'How much does a customer actually save?',
    answer_de: 'Die Ersparnis hängt stark von der Unternehmensgröße ab, weil die Kosten pro Anwendung und pro Produkt anfallen. Ein kleines Unternehmen mit 25 Mitarbeitern hat typischerweise zwei bis drei Anwendungen, die jeweils einen separaten Pentest für 6.000 bis 10.000 Euro pro Jahr benötigen, plus ein bis zwei Produkte mit CE-Software-Risikobeurteilung für je 12.000 Euro. Dazu kommen ein externer Datenschutzbeauftragter, Compliance-Dokumentation und Audit-Vorbereitung. In Summe sind das etwa 98.000 Euro pro Jahr. Mit unserer Plattform für 15.000 Euro jährlich sinken die Gesamtkosten auf rund 45.000 Euro — eine Ersparnis von über 53.000 Euro, also ein ROI von 9,1x. Bei einem Mittelständler mit 100 Mitarbeitern und fünf bis acht Anwendungen plus drei bis fünf Produkten mit Software steigen die Kosten ohne uns auf über 400.000 Euro jährlich, vor allem durch die Entwickler-Produktivität — laut IDC verbringen Entwickler ohne automatisierte Tools 19 Prozent ihrer Arbeitszeit mit Sicherheitsaufgaben statt mit Features. Mit unserer Plattform für 30.000 Euro spart dieser Kunde über 225.000 Euro pro Jahr. Bei einem Konzern mit 500 Mitarbeitern, 15 bis 25 Anwendungen und einer ganzen Compliance-Abteilung sprechen wir von Einsparungen über eine Million Euro jährlich bei einem ROI von 17x.',
    answer_en: 'Savings depend heavily on company size because costs are incurred per application and per product. A small company with 25 employees typically has two to three applications, each requiring a separate pentest at 6,000 to 10,000 euros per year, plus one to two products needing CE software risk assessment at 12,000 euros each. Add an external data protection officer, compliance documentation and audit preparation, and that totals about 98,000 euros per year. With our platform at 15,000 euros annually, total costs drop to around 45,000 euros — savings of over 53,000 euros, an ROI of 9.1x. For a mid-size manufacturer with 100 employees and five to eight applications plus three to five products with software, costs without us exceed 400,000 euros annually, primarily due to developer productivity — according to IDC, developers without automated tools spend 19 percent of their time on security tasks instead of features. With our platform at 30,000 euros, this customer saves over 225,000 euros per year. For an enterprise with 500 employees, 15 to 25 applications and an entire compliance department, we are talking about savings of over one million euros annually with an ROI of 17x.',
    goto_slide: 'customer-savings',
    priority: 10,
  },
  {
    id: 'savings-pentest',
    keywords: ['pentest', 'pentesting', 'penetrationstest', 'pentest kosten', 'pentest preis', 'pro anwendung', 'per application', 'wie viele pentests'],
    question_de: 'Was kostet ein Pentest und warum spart man so viel?',
    question_en: 'What does a pentest cost and why are the savings so large?',
    answer_de: 'Ein manueller Pentest kostet in Deutschland zwischen 6.000 und 15.000 Euro pro Anwendung und Durchlauf. Das Entscheidende ist: Jede Anwendung braucht einen eigenen Pentest — das ERP-System, das Kundenportal, jede API, jede mobile App, jede Maschinensteuerung mit Netzwerkzugang. Ein Maschinenbauer mit 100 Mitarbeitern hat typischerweise fünf bis acht solcher Anwendungen, ein Konzern fünfzehn bis fünfundzwanzig. Und diese Tests müssen jährlich wiederholt werden. Das heißt: Die Kosten skalieren linear mit der Anzahl der Anwendungen. Unsere Plattform führt kontinuierliches SAST, DAST und automatisiertes Pentesting bei jeder Code-Änderung durch — nicht einmal im Jahr, sondern ständig. Das ersetzt etwa 60 bis 70 Prozent der manuellen Pentests. Ein Konzern, der bisher 200.000 Euro pro Jahr für Pentests ausgegeben hat, reduziert das auf etwa 50.000 Euro für die verbleibenden manuellen Tests bei besonders kritischen Systemen.',
    answer_en: 'A manual pentest in Germany costs between 6,000 and 15,000 euros per application per run. The crucial point is: each application needs its own pentest — the ERP system, customer portal, every API, every mobile app, every machine controller with network access. A manufacturer with 100 employees typically has five to eight such applications, an enterprise fifteen to twenty-five. And these tests must be repeated annually. This means: costs scale linearly with the number of applications. Our platform runs continuous SAST, DAST and automated pentesting on every code change — not once a year, but constantly. This replaces about 60 to 70 percent of manual pentests. An enterprise that previously spent 200,000 euros per year on pentests reduces this to about 50,000 euros for remaining manual tests on particularly critical systems.',
    goto_slide: 'customer-savings',
    priority: 9,
  },

  // === WETTBEWERBER-FOKUS ===
  {
    id: 'competitor-focus',
    keywords: ['fokus wettbewerber', 'competitor focus', 'deutsche wettbewerber', 'german competitors', 'dataguard fokus', 'source code security wettbewerber', 'machen die auch', 'code security', 'unterschied wettbewerber', 'difference competitors', 'was machen die'],
    question_de: 'Auf welches Thema sind die deutschen Wettbewerber fokussiert und machen sie auch Source Code Security?',
    question_en: 'What are German competitors focused on and do they also do source code security?',
    answer_de: 'Die deutschen Wettbewerber in unserem Umfeld konzentrieren sich ausschließlich auf die Dokumentationsseite der Compliance. DataGuard in München mit über 400 Mitarbeitern ist der größte deutsche Player und deckt ISO 27001, TISAX, DSGVO und NIS2 ab — aber sie scannen keinen Source Code und bieten keine SAST-, DAST- oder SBOM-Analysen an. heyData in Berlin fokussiert sich rein auf DSGVO-Compliance für kleine und mittelständische Unternehmen, ebenfalls komplett ohne Code-Security. Proliance in München ist ähnlich positioniert mit Fokus auf regulatorische Dokumentation. Auf der anderen Seite gibt es die reinen Code-Security-Anbieter wie Snyk, Checkmarx und Veracode — die sind technisch stark, aber sie erstellen keine Compliance-Dokumente wie Verarbeitungsverzeichnisse, technisch-organisatorische Maßnahmen oder CE-Software-Risikobeurteilungen. Das bedeutet: Kein einziger Wettbewerber verbindet Code Security mit Compliance-Automatisierung. Genau diese Lücke schließen wir. Ein Maschinenbauer braucht heute beides gleichzeitig — und wir liefern das aus einer Plattform.',
    answer_en: 'German competitors in our space focus exclusively on the documentation side of compliance. DataGuard in Munich with over 400 employees is the largest German player and covers ISO 27001, TISAX, GDPR and NIS2 — but they do not scan source code and offer no SAST, DAST or SBOM analysis. heyData in Berlin focuses purely on GDPR compliance for SMEs, also without any code security. Proliance in Munich is similarly positioned with a focus on regulatory documentation. On the other side, there are pure code security vendors like Snyk, Checkmarx and Veracode — technically strong, but they do not create compliance documents like records of processing activities, technical organizational measures or CE software risk assessments. This means: not a single competitor combines code security with compliance automation. That is exactly the gap we close. A machine manufacturer today needs both simultaneously — and we deliver it from one platform.',
    goto_slide: 'competition',
    priority: 10,
  },

  // === STRATEGIE ===
  {
    id: 'strategy-channel-first',
    keywords: ['strategie', 'strategy', 'bechtle', 'cancom', 'channel', 'distributor', 'vertriebskanal', 'partner', 'systemhaus', 'wie wachsen', 'how grow', 'skalierung', 'scaling'],
    question_de: 'Wie wollt ihr so schnell wachsen?',
    question_en: 'How do you plan to grow so fast?',
    answer_de: 'Unsere Wachstumsstrategie basiert auf einem Zwei-Wege-Channel-Ansatz statt einer klassischen Vertriebsarmee. Der erste Weg ist der CANCOM Cloud Marketplace — CANCOM ist ein TecDAX-notiertes IT-Systemhaus mit etwa 5.800 Mitarbeitern und einem eigenen Cloud Marketplace, auf dem über 120 SaaS-Produkte gelistet sind. Als ISV-Partner können wir unser Produkt dort innerhalb von drei bis sechs Monaten listen und erreichen sofort CANCOMs mehrere hundert Vertriebsmitarbeiter und deren gesamte Kundenbasis. Das ist der schnelle Einstieg. Der zweite Weg ist Bechtle — Deutschlands größter IT-Dienstleister mit 15.000 Mitarbeitern, über 85 Standorten und 70.000 Kunden. Hier gehen wir bewusst regional vor: Wir sprechen nicht die Zentrale an, sondern ein lokales Bechtle-Systemhaus, in dessen Region wir bereits einen Kunden haben. Ein lokaler Champion, der unser Produkt in Aktion sieht, evangelisiert intern. Das dauert 12 bis 18 Monate bis zur nationalen Listung, bringt aber die größte Reichweite. Der entscheidende Punkt für Investoren: Direktvertrieb skaliert linear — jeder zusätzliche Vertriebsmitarbeiter bringt eine feste Anzahl Deals. Channel-Vertrieb skaliert exponentiell, weil die Partner ihre eigenen Teams auf unser Produkt schulen. Deshalb stellen wir den Channel Manager schon in Monat 6 ein, noch vor dem ersten direkten Vertriebsmitarbeiter.',
    answer_en: 'Our growth strategy is based on a two-path channel approach instead of a traditional sales army. The first path is the CANCOM Cloud Marketplace — CANCOM is a TecDAX-listed IT system house with about 5,800 employees and its own cloud marketplace listing over 120 SaaS products. As an ISV partner, we can list our product there within three to six months and immediately reach CANCOMs several hundred sales representatives and their entire customer base. That is the fast entry. The second path is Bechtle — Germany\'s largest IT service provider with 15,000 employees, over 85 locations and 70,000 customers. Here we deliberately go regional: we approach not the headquarters but a local Bechtle system house in a region where we already have a customer. A local champion who sees our product in action evangelizes internally. This takes 12 to 18 months for national listing but brings the largest reach. The key point for investors: direct sales scales linearly — each additional salesperson brings a fixed number of deals. Channel sales scales exponentially because partners train their own teams on our product. That is why we hire the channel manager already in month 6, before the first direct salesperson.',
    goto_slide: 'annex-strategy',
    priority: 9,
  },

  // === INVESTITION & CAP TABLE ===
  {
    id: 'investment-captable',
    keywords: ['bewertung', 'valuation', 'cap table', 'anteile', 'shares', 'equity', 'invest', 'pre-money', 'post-money', 'wie viel prozent', 'how much percent', 'verwässerung', 'dilution'],
    question_de: 'Wie funktioniert das Investment beim Wandeldarlehen?',
    question_en: 'How does the convertible loan investment work?',
    answer_de: 'Wir finanzieren über ein Wandeldarlehen im Rahmen des Pre-Seed-BW-Programms der L-Bank. Die Gesamtfinanzierung beträgt 200.000 Euro: 40.000 Euro vom privaten Investor und 160.000 Euro als staatliche Co-Finanzierung durch die L-Bank. Das Wandeldarlehen hat keine sofortige Bewertung — bei der nächsten qualifizierenden Finanzierungsrunde wandelt es automatisch in Anteile, typischerweise mit einem Discount für den Frühphasen-Investor. Der Vorteil: weniger Kapitaleinsatz bei starkem Hebel durch die staatliche Co-Finanzierung. Die Höhe ist flexibel — auch 250.000 oder bis zu 400.000 Euro Gesamtfinanzierung sind möglich. Besonders attraktiv: Über das BAFA INVEST-Programm erhalten Investoren bis zu 15 Prozent ihres Investments als steuerfreien Erwerbszuschuss zurück, plus 25 Prozent Exit-Zuschuss auf Veräußerungsgewinne.',
    answer_en: 'We finance through a convertible loan under the L-Bank Pre-Seed BW program. Total funding is EUR 200,000: EUR 40,000 from the private investor and EUR 160,000 as government co-financing from L-Bank. The convertible loan has no immediate valuation — at the next qualifying funding round, it automatically converts to equity, typically with a discount for the early-stage investor. The advantage: less capital deployed with strong leverage through government co-financing. The amount is flexible — EUR 250,000 or up to EUR 400,000 total funding is also possible. Particularly attractive: through the BAFA INVEST program, investors receive up to 15 percent of their investment as a tax-free acquisition grant, plus 25 percent exit grant on capital gains.',
    goto_slide: 'the-ask',
    priority: 10,
  },
  {
    id: 'investment-profit-use',
    keywords: ['gewinn', 'profit', 'ausschüttung', 'dividende', 'dividend', 'reinvestition', 'reinvestment', 'gehalt gründer', 'founder salary', 'wann verdienen', 'when earn'],
    question_de: 'Was passiert mit den Gewinnen?',
    question_en: 'What happens with the profits?',
    answer_de: 'Gewinne werden zu 100 Prozent reinvestiert. Die Gründer arbeiten bis zur Gründung im August 2026 unbezahlt. Ab Oktober 2026 gibt es 3.000 Euro brutto pro Monat — bewusst weit unter Marktniveau, um Kapitaldisziplin zu zeigen. Personal wird nur eingestellt, wenn der nächste Umsatzmeilenstein es rechtfertigt. Jeder Euro geht in Wachstum, nicht in Gehälter oder Ausschüttungen.',
    answer_en: 'Profits are 100 percent reinvested. The founders work unpaid until incorporation in August 2026. From October 2026, they receive EUR 3,000 gross per month — deliberately well below market level to show capital discipline. Staff is only hired when the next revenue milestone justifies it. Every euro goes into growth, not into salaries or distributions.',
    goto_slide: 'the-ask',
    priority: 9,
  },

  // === WANDELDARLEHEN & FÖRDER-KOMBINATION ===
  {
    id: 'invest-wandeldarlehen-preseed',
    keywords: ['wandeldarlehen', 'convertible', 'darlehen', 'loan', 'pre-seed', 'l-bank', 'lbank', 'bw', 'baden-württemberg', 'conversion', 'wandlung', 'umwandlung'],
    question_de: 'Wie funktioniert das Wandeldarlehen mit Pre-Seed BW?',
    question_en: 'How does the convertible loan work with Pre-Seed BW?',
    answer_de: 'Unser Wandeldarlehen ist über das Pre-Seed-Programm von Start-up BW / L-Bank strukturiert. Der private Investor beteiligt sich mit mindestens 20 Prozent der Gesamtsumme (ab 40.000 Euro), die L-Bank stellt die restlichen bis zu 80 Prozent als Zuwendung mit Wandlungsvorbehalt bereit. Bei einer Gesamtfinanzierung von 200.000 Euro bedeutet das: 40.000 Euro vom Investor und 160.000 Euro von der L-Bank. Optional ist auch eine doppelte Tranche mit 400.000 Euro Gesamtfinanzierung möglich (80.000 Euro Investor, 320.000 Euro L-Bank). Das Wandeldarlehen hat keine sofortige Bewertung — bei der nächsten qualifizierenden Finanzierungsrunde wandelt es automatisch in Anteile, typischerweise mit einem Discount für den Frühphasen-Investor. Der Vorteil für den Investor: weniger Kapitaleinsatz bei gleichzeitig starkem Hebel durch die staatliche Co-Finanzierung, und keine sofortige Verwässerung der Gründeranteile.',
    answer_en: 'Our convertible loan is structured through the Pre-Seed BW / L-Bank program. The private investor contributes at least 20 percent of the total amount (from EUR 40,000), while L-Bank provides the remaining up to 80 percent as a grant with conversion option. For a total funding of EUR 200,000, this means EUR 40,000 from the investor and EUR 160,000 from L-Bank. Optionally, a double tranche of EUR 400,000 total is possible (EUR 80,000 investor, EUR 320,000 L-Bank). The convertible loan has no immediate valuation — at the next qualifying funding round, it automatically converts to equity, typically with a discount for the early-stage investor. The advantage for the investor: less capital deployed with strong leverage through government co-financing, and no immediate dilution of founder shares.',
    goto_slide: 'the-ask',
    priority: 10,
  },
  {
    id: 'invest-bafa-preseed-kombination',
    keywords: ['bafa', 'invest', 'kombination', 'combination', 'kompatibel', 'compatible', 'förderung', 'funding', 'zuschuss', 'grant', 'kombinierbar', 'combinable', 'förderfähig', 'eligible'],
    question_de: 'Kann man BAFA INVEST und Pre-Seed BW kombinieren?',
    question_en: 'Can BAFA INVEST and Pre-Seed BW be combined?',
    answer_de: 'Grundsätzlich ja, aber nur unter klaren strukturellen Bedingungen. Beide Programme haben unterschiedliche Anforderungen an das Finanzierungsinstrument: BAFA INVEST fördert den privaten Investor mit bis zu 15 Prozent Erwerbszuschuss, bevorzugt aber Eigenkapital oder eigenkapitalähnliche Instrumente. Die L-Bank Pre-Seed verlangt explizit ein Wandeldarlehen. Das bedeutet: Nicht jedes Standard-Wandeldarlehen ist automatisch BAFA-INVEST-förderfähig. Damit die Kombination funktioniert, muss das Wandeldarlehen BAFA-konform ausgestaltet sein — also klare Conversion-Regeln haben und wirtschaftlich wie Equity wirken. Zusätzliche BAFA-Voraussetzungen: der Investor muss eine natürliche Person sein, darf kein Bestandsgesellschafter sein, das Mindestinvestment beträgt 10.000 Euro, die Mindesthaltedauer ist 3 Jahre, und das Unternehmen muss vor dem Investment BAFA-zertifiziert sein. Wir empfehlen, die konkrete Kombinierbarkeit für den jeweiligen Fall mit dem BAFA und dem L-Bank-Betreuungspartner abzustimmen, bevor das Termsheet finalisiert wird. Richtig aufgesetzt, profitiert der Investor von bis zu 15 Prozent Erwerbszuschuss plus 25 Prozent Exit-Zuschuss — zusätzlich zum Hebel durch die L-Bank-Co-Finanzierung.',
    answer_en: 'In principle yes, but only under clear structural conditions. Both programs have different requirements for the financial instrument: BAFA INVEST supports the private investor with up to 15 percent acquisition grant but prefers equity or equity-like instruments. L-Bank Pre-Seed explicitly requires a convertible loan. This means: not every standard convertible loan is automatically eligible for BAFA INVEST. For the combination to work, the convertible loan must be structured in a BAFA-compliant way — with clear conversion rules and economic characteristics similar to equity. Additional BAFA requirements: the investor must be a natural person, must not be an existing shareholder, minimum investment is EUR 10,000, minimum holding period is 3 years, and the company must be BAFA-certified before the investment. We recommend coordinating the specific combinability with BAFA and the L-Bank supervising partner before finalizing the term sheet. Properly structured, the investor benefits from up to 15 percent acquisition grant plus 25 percent exit grant — on top of the leverage from L-Bank co-financing.',
    goto_slide: 'the-ask',
    priority: 10,
  },

  // === FINANZIERUNGSSTRATEGIE ===
  {
    id: 'invest-2nd-round',
    keywords: ['2. finanzierungsrunde', 'zweite runde', 'second round', '500.000', '500k', 'warum mehr geld', 'why more money', 'optional', 'zusätzlich', 'additional funding', 'serie', 'series'],
    question_de: 'Warum plant ihr eine 2. Finanzierungsrunde mit 500.000 Euro in 2028?',
    question_en: 'Why do you plan a 2nd funding round of EUR 500,000 in 2028?',
    answer_de: 'Die 2. Finanzierungsrunde ist bewusst als optional gekennzeichnet. Unser Finanzplan zeigt, dass wir Ende 2027 eine Liquidität von knapp 470.000 Euro haben und der rechnerische Fehlbetrag in 2028 bei nur rund 30.000 Euro liegt — das könnten wir auch privat oder durch kleinere Maßnahmen kompensieren. Die Strategie dahinter: Wir wollen so wenig Wandeldarlehen wie möglich aufnehmen, dann anhand der tatsächlichen Markttraktion prüfen, wie erfolgreich wir sind, und erst dann entscheiden, ob und wie viel zusätzliches Kapital sinnvoll ist. Die 500.000 Euro wären eine Eigenkapitalrunde (kein Wandeldarlehen) und würden primär dazu dienen, schneller Personal einzustellen und ab 2028 deutlich mehr Kunden zu akquirieren. Es gibt auch einen flexiblen Mittelweg: Statt 200.000 Euro Wandeldarlehen könnten wir z.B. 250.000 Euro aufnehmen und hätten den Liquiditätsengpass gar nicht erst. All das sind Punkte, die wir gerne gemeinsam mit dem Investor besprechen — die optimale Struktur hängt von der Risikobereitschaft und den strategischen Zielen beider Seiten ab.',
    answer_en: 'The 2nd funding round is deliberately marked as optional. Our financial plan shows cash of nearly EUR 470,000 at end of 2027, with the calculated shortfall in 2028 at only around EUR 30,000 — which we could compensate privately or through smaller measures. The strategy: we want to take on as little convertible loan as possible, then evaluate our actual market traction, and only then decide whether and how much additional capital makes sense. The EUR 500,000 would be an equity round (not a convertible loan) and would primarily serve to hire faster and acquire significantly more customers from 2028. There is also a flexible middle ground: instead of EUR 200,000 convertible loan, we could raise e.g. EUR 250,000 and avoid the liquidity gap entirely. These are all points we would like to discuss together with the investor — the optimal structure depends on both sides\' risk appetite and strategic goals.',
    goto_slide: 'the-ask',
    priority: 10,
  },
  {
    id: 'invest-flexible-wd',
    keywords: ['flexibel', 'flexible', '200.000', '400.000', '250.000', 'wandeldarlehen höhe', 'convertible amount', 'wie viel wandeldarlehen', 'höhe investment', 'investment size', 'tranche'],
    question_de: 'Ist die Höhe des Wandeldarlehens flexibel?',
    question_en: 'Is the convertible loan amount flexible?',
    answer_de: 'Ja, absolut. Unser Basis-Szenario geht von 200.000 Euro Gesamtfinanzierung aus (40.000 Euro Investor + 160.000 Euro L-Bank). Das Pre-Seed-BW-Programm erlaubt aber auch eine doppelte Tranche von bis zu 400.000 Euro (80.000 Euro Investor + 320.000 Euro L-Bank) oder jeden Betrag dazwischen. Der Investor entscheidet, wie viel er einbringen möchte — die L-Bank kofinanziert dann anteilig. Ein höheres initiales Investment (z.B. 250.000 statt 200.000 Euro) würde den kleinen Liquiditätsengpass in 2028 vollständig vermeiden und könnte die 2. Finanzierungsrunde überflüssig machen. Unser Ansatz ist konservativ: lieber mit wenig starten, Traktion beweisen, und dann auf Basis von echten Zahlen entscheiden.',
    answer_en: 'Yes, absolutely. Our base scenario assumes EUR 200,000 total funding (EUR 40,000 investor + EUR 160,000 L-Bank). However, the Pre-Seed BW program also allows a double tranche of up to EUR 400,000 (EUR 80,000 investor + EUR 320,000 L-Bank), or any amount in between. The investor decides how much to contribute — L-Bank co-finances proportionally. A higher initial investment (e.g. EUR 250,000 instead of EUR 200,000) would fully eliminate the small liquidity gap in 2028 and could make the 2nd funding round unnecessary. Our approach is conservative: start with less, prove traction, then decide based on real numbers.',
    goto_slide: 'the-ask',
    priority: 9,
  },
  {
    id: 'invest-capital-discipline',
    keywords: ['kapitaldisziplin', 'capital discipline', 'lean', 'sparsam', 'frugal', 'burn rate', 'runway', 'wie lange reicht', 'how long lasts', 'minimal investment'],
    question_de: 'Wie stellt ihr Kapitaldisziplin sicher?',
    question_en: 'How do you ensure capital discipline?',
    answer_de: 'Kapitaldisziplin ist ein Kernprinzip unserer Planung. Die Gründer arbeiten im ersten Jahr ohne Gehalt, danach zu einem Bruchteil des Marktgehalts. Wir stellen Personal nur ein, wenn der nächste Umsatzmeilenstein das rechtfertigt — jede Position hat ein konkretes Start-Datum, das an den Geschäftsverlauf gekoppelt ist. Wir nutzen Open-Source-Technologie konsequent (PostgreSQL, Qdrant, Gitea statt GitHub Enterprise), hosten auf deutschem Mittelstands-Hosting (SysEleven, Hetzner) statt teurem AWS/Azure, und haben die Bürokosten auf ein Minimum reduziert. Unser Ziel ist es, mit möglichst wenig externem Kapital profitabel zu werden — nicht weil wir kein Geld aufnehmen wollen, sondern weil Kapitaldisziplin in der Frühphase der stärkste Vertrauensbeweis gegenüber Investoren ist.',
    answer_en: 'Capital discipline is a core principle of our planning. Founders work unpaid in the first year, then at a fraction of market salary. We only hire when the next revenue milestone justifies it — each position has a concrete start date tied to business progress. We consistently use open-source technology (PostgreSQL, Qdrant, Gitea instead of GitHub Enterprise), host on German mid-market hosting (SysEleven, Hetzner) instead of expensive AWS/Azure, and minimized office costs. Our goal is to become profitable with as little external capital as possible — not because we do not want to raise, but because capital discipline in the early phase is the strongest trust signal for investors.',
    goto_slide: 'the-ask',
    priority: 8,
  },

  // === TEAM & PERSONALAUFBAU ===
  {
    id: 'team-structure',
    keywords: ['team', 'mitarbeiter', 'employees', 'personalaufbau', 'hiring', 'rollen', 'roles', 'organigramm', 'organization', 'abteilungen', 'departments', 'headcount'],
    question_de: 'Wie ist das Team aufgebaut?',
    question_en: 'How is the team structured?',
    answer_de: 'Wir bauen das Team bewusst lean auf — von 2 Gründern auf 9 Personen bis 2030. Jede Einstellung ist an einen konkreten Umsatzmeilenstein gekoppelt. Die erste Einstellung nach den Gründern ist ein IT-Recht und Datenschutzjurist auf 50-Prozent-Basis ab Oktober 2026. Der Grund: Im deutschen Mittelstand kauft niemand Compliance-Software von einem reinen Tech-Team. Danach folgen Senior Security Engineer ab 2028, Vertrieb Direktkunden, Backend-Entwickler, Technischer Kundenbetreuer, Marketing Manager und DevOps-Ingenieur. Wir stellen nur ein, wenn der Umsatz es trägt.',
    answer_en: 'We deliberately build the team lean — from 2 founders to 9 people by 2030. Each hire is tied to a concrete revenue milestone. The first hire after the founders is an IT law and data protection specialist at 50 percent from October 2026. The reason: in the German Mittelstand, nobody buys compliance software from a pure tech team. Then follow Senior Security Engineer from 2028, direct sales, backend developer, technical account manager, marketing manager and DevOps engineer. We only hire when revenue supports it.',
    goto_slide: 'team',
    priority: 9,
  },
  {
    id: 'team-hiring-order',
    keywords: ['einstellungsreihenfolge', 'hiring order', 'wer zuerst', 'who first', 'erste einstellung', 'first hire', 'personalplan', 'staffing plan', 'rekrutierung', 'recruiting'],
    question_de: 'In welcher Reihenfolge stellt ihr ein?',
    question_en: 'In what order do you hire?',
    answer_de: 'Die Reihenfolge ist bewusst gewählt: Position 3 ist IT-Recht und Datenschutzjurist auf 50-Prozent-Basis ab Oktober 2026 — Domain-Expertise vor Engineering. Position 4 ist ein Senior Security Engineer ab April 2028, wenn die ersten Enterprise-Kunden kommen. Position 5 Vertrieb Direktkunden ab September 2028. Dann Backend-Entwickler, Technischer Kundenbetreuer, Marketing Manager und DevOps-Ingenieur in 2029 und 2030. Jede Einstellung hat ein konkretes Start-Datum, das an den Geschäftsverlauf gekoppelt ist. Wir stellen nur ein, wenn der Umsatz die Position trägt.',
    answer_en: 'The hiring order is deliberate: Position 3 is an IT law and data protection specialist at 50 percent from October 2026 — domain expertise before engineering. Position 4 is a Senior Security Engineer from April 2028 when the first enterprise customers arrive. Position 5 is direct sales from September 2028. Then backend developer, technical account manager, marketing manager and DevOps engineer in 2029 and 2030. Each hire has a concrete start date tied to business progress. We only hire when revenue supports the position.',
    goto_slide: 'annex-finanzplan',
    priority: 8,
  },
  {
    id: 'team-why-compliance-first',
    keywords: ['compliance consultant', 'dsb', 'datenschutzbeauftragter', 'domain expert', 'fachexperte', 'warum compliance', 'why compliance', 'erste rolle', 'first role'],
    question_de: 'Warum stellt ihr einen Compliance Consultant vor Engineers ein?',
    question_en: 'Why do you hire a compliance consultant before engineers?',
    answer_de: 'Das ist die wichtigste Lektion, die wir aus dem deutschen Markt gelernt haben. Wenn man sich anschaut, wie erfolgreiche Unternehmen in unserem Segment aufgebaut wurden, sieht man ein klares Muster: DataGuard hat sehr früh TÜV-zertifizierte Datenschutzbeauftragte eingestellt, und heyData hat echte Anwälte im Kernteam. Der Grund ist einfach — deutsche Mittelständler kaufen keine Compliance-Software von einem reinen Entwicklerteam. Ein zertifizierter Datenschutzbeauftragter auf unserer Teamseite ist für den Vertrieb mehr wert als drei zusätzliche Softwareentwickler. Diese Person macht mehrere Dinge gleichzeitig: Sie validiert unser Produkt aus regulatorischer Sicht, erstellt hochwertige Inhalte für das Marketing, begleitet Vertriebsgespräche und gibt uns sofortige fachliche Glaubwürdigkeit gegenüber Geschäftsführern und Qualitätsmanagern im Maschinenbau.',
    answer_en: 'This is the most important lesson we have learned from the German market. When you look at how successful companies in our segment were built, you see a clear pattern: DataGuard hired TÜV-certified data protection officers very early, and heyData has real lawyers in their core team. The reason is simple — German Mittelstand companies will not buy compliance software from a pure development team. A certified data protection officer on our team page is worth more for sales than three additional software developers. This person does several things at once: validates our product from a regulatory perspective, creates high-quality content for marketing, joins sales conversations and gives us instant professional credibility with managing directors and quality managers in manufacturing.',
    goto_slide: 'team',
    priority: 8,
  },
  {
    id: 'team-competitor-comparison',
    keywords: ['wettbewerber team', 'competitor team', 'dataguard team', 'vanta team', 'heydata team', 'vergleich', 'comparison', 'benchmark', 'wie viele mitarbeiter', 'how many employees'],
    question_de: 'Wie sehen die Teams der Wettbewerber aus?',
    question_en: 'What do competitor teams look like?',
    answer_de: 'Wenn wir uns die Teams unserer Wettbewerber anschauen, sehen wir interessante Muster. Vanta in den USA hat über 500 Mitarbeiter und ist stark Engineering-getrieben gestartet, hat dann aber schnell Vertrieb und Compliance-Spezialisten nachgezogen. Drata hat technische Gründer wie wir und ist in nur drei Jahren von null auf über 500 Mitarbeiter gewachsen, was zeigt, wie groß die Nachfrage ist. Besonders relevant für uns ist DataGuard in München mit über 400 Mitarbeitern — sie sind das größte deutsche Team in unserem Segment und haben von Anfang an massiv in TÜV- und DEKRA-zertifizierte Datenschutzberater investiert. Das bestätigt unseren Ansatz, Compliance-Expertise vor Engineering zu priorisieren. heyData in Berlin mit über 80 Mitarbeitern setzt stark auf echte Anwälte im Team. Der entscheidende Punkt ist aber: Keiner dieser Wettbewerber kombiniert Code-Security, Compliance-Automatisierung und CE-Software-Risikobeurteilung in einer Plattform. Genau das ist unser Differentiator.',
    answer_en: 'When we look at our competitors teams, we see interesting patterns. Vanta in the US has over 500 employees and started very engineering-heavy, but quickly added sales and compliance specialists. Drata has technical founders like us and grew from zero to over 500 employees in just three years, showing how large the demand is. Particularly relevant for us is DataGuard in Munich with over 400 employees — they are the largest German team in our segment and invested heavily in TÜV and DEKRA-certified data protection consultants from the start. This confirms our approach of prioritizing compliance expertise before engineering. heyData in Berlin with over 80 employees relies heavily on real lawyers on the team. But the decisive point is this: none of these competitors combines code security, compliance automation and CE software risk assessment in one platform. That is exactly our differentiator.',
    goto_slide: 'competition',
    priority: 8,
  },
  {
    id: 'team-engineering-ratio',
    keywords: ['engineering anteil', 'engineering ratio', 'entwickler', 'developers', 'tech team', 'wie viele entwickler', 'how many developers', 'engineering percentage'],
    question_de: 'Wie hoch ist der Engineering-Anteil?',
    question_en: 'What is the engineering ratio?',
    answer_de: 'Bei voller Teamgröße liegt der Anteil der Softwareentwicklung bei rund 37 Prozent, also 13 von 35 Personen. Das ist bewusst niedriger als bei reinen Technologie-Startups, und dafür gibt es einen guten Grund: Compliance-SaaS ist kein reines Engineering-Produkt. Domain-Expertise durch Compliance-Berater, ein starker Vertrieb und exzellenter Kundenerfolg sind für uns genauso geschäftskritisch wie die Technologie. In den ersten beiden Jahren liegt der effektive Engineering-Anteil allerdings bei etwa 50 Prozent, weil beide Gründer technisch sind und aktiv mitentwickeln. Ab dem dritten Jahr verschiebt sich der Schwerpunkt dann bewusst Richtung Marktaufbau — mit mehr Vertrieb, Marketing und Partnerschaften.',
    answer_en: 'At full team size, the engineering share is about 37 percent, which is 13 out of 35 people. This is deliberately lower than at pure technology startups, and there is a good reason for it: compliance SaaS is not a pure engineering product. Domain expertise through compliance consultants, strong sales and excellent customer success are just as business-critical for us as the technology itself. In the first two years, the effective engineering share is actually around 50 percent because both founders are technical and actively contribute to development. From year three, the focus then deliberately shifts towards market building — with more sales, marketing and partnerships.',
    goto_slide: 'annex-finanzplan',
    priority: 7,
  },

  // === FISA 702 / DRITTLANDTRANSFER / EU-SOUVERAENITAET ===
  {
    id: 'fisa-702-what',
    keywords: ['fisa', 'fisa 702', 'surveillance', 'ueberwachung', 'us-zugriff', 'us zugriff', 'nsa', 'prism', 'upstream', 'foreign intelligence'],
    question_de: 'Was ist FISA 702 und warum ist das relevant?',
    question_en: 'What is FISA 702 and why does it matter?',
    answer_de: 'FISA 702 ist ein US-Ueberwachungsgesetz, das US-Behoerden erlaubt, gezielt Daten von Nicht-US-Personen im Ausland zu ueberwachen — ohne individuellen richterlichen Beschluss. Es gibt zwei Hauptprogramme: PRISM, bei dem US-Unternehmen wie Microsoft, Google und Amazon Daten an Behoerden herausgeben muessen, und Upstream, bei dem direkt auf Internet-Infrastruktur zugegriffen wird. Das betrifft jeden EU-Nutzer eines US-Dienstes. Genau deshalb wurde das Privacy Shield durch das Schrems-II-Urteil des EuGH gekippt. Fuer BreakPilot ist das hochrelevant: Jedes Unternehmen, das US-Cloud oder US-KI nutzt, hat ein strukturelles FISA-702-Risiko. Unsere EU-only Architektur eliminiert dieses Risiko vollstaendig.',
    answer_en: 'FISA 702 is a US surveillance law that allows US authorities to target data of non-US persons abroad — without individual court orders. There are two main programs: PRISM, where US companies like Microsoft, Google and Amazon must hand over data to authorities, and Upstream, which directly taps internet infrastructure. This affects every EU user of a US service. This is exactly why the EU-US Privacy Shield was invalidated by the Schrems II ruling. For BreakPilot this is highly relevant: every company using US cloud or US AI has a structural FISA 702 risk. Our EU-only architecture eliminates this risk entirely.',
    goto_slide: 'annex-regulatory',
    priority: 9,
  },
  {
    id: 'fisa-eu-cloud-myth',
    keywords: ['eu cloud', 'eu-cloud', 'eu region', 'serverstandort', 'aws eu', 'azure eu', 'google eu', 'rechenzentrum', 'data center', 'frankfurt', 'ireland'],
    question_de: 'Schuetzt eine EU-Cloud-Region bei US-Anbietern vor FISA 702?',
    question_en: 'Does an EU cloud region at US providers protect against FISA 702?',
    answer_de: 'Nein. Das ist einer der groessten Irrtuemer im Markt. Wenn der Cloud-Anbieter ein US-Unternehmen ist — also AWS, Microsoft Azure oder Google Cloud — dann unterliegt er US-Recht, egal wo der Server steht. FISA 702 und der Cloud Act gelten extraterritorial. Das bedeutet: Ein Server in Frankfurt bei AWS ist rechtlich genauso exponiert wie einer in Virginia. Unternehmen zahlen mehr fuer die EU-Region und wiegen sich in falscher Sicherheit. BreakPilot setzt deshalb konsequent auf EU-Anbieter ohne US-Muttergesellschaft — SysEleven und Hetzner, beide BSI-konform und ohne FISA-Exposition.',
    answer_en: 'No. This is one of the biggest misconceptions in the market. If the cloud provider is a US company — AWS, Microsoft Azure or Google Cloud — it is subject to US law regardless of where the server is located. FISA 702 and the Cloud Act apply extraterritorially. A server in Frankfurt at AWS is legally just as exposed as one in Virginia. Companies pay more for the EU region and create a false sense of security. BreakPilot therefore exclusively uses EU providers without US parent companies — SysEleven and Hetzner, both BSI-compliant and without FISA exposure.',
    goto_slide: 'annex-architecture',
    priority: 9,
  },
  {
    id: 'fisa-dsfa-contradiction',
    keywords: ['dsfa', 'dpia', 'risikoakzeptanz', 'risk acceptance', 'restrisiko', 'residual risk', 'widerspruch', 'contradiction', 'schoenreden', 'fake compliance'],
    question_de: 'Warum reicht eine DSFA alleine nicht aus, um US-Cloud-Risiken zu bewaeltigen?',
    question_en: 'Why is a DPIA alone not enough to manage US cloud risks?',
    answer_de: 'Das ist ein zentraler Widerspruch im aktuellen Compliance-Markt. Unternehmen erstellen eine Datenschutz-Folgenabschaetzung, dokumentieren das FISA-702-Risiko, treffen Massnahmen wie Verschluesselung und EU-Region — und akzeptieren dann das Restrisiko. Faktisch sagen sie damit: Wir wissen, dass US-Behoerden zugreifen koennten, und nehmen das in Kauf. Das ist kein Sicherheitsnachweis, sondern ein Rechtfertigungsinstrument. Die DSGVO erlaubt das ueber den risikobasierten Ansatz, aber es bleibt eine bewusste Risikoakzeptanz fuer ein technisch nicht loesbares Problem. BreakPilot geht einen fundamental anderen Weg: Wir eliminieren das Restrisiko strukturell, statt es zu dokumentieren. Kein US-Anbieter, keine FISA-Exposition, kein Restrisiko. Das ist der Unterschied zwischen Compliance simulieren und Compliance loesen.',
    answer_en: 'This is a central contradiction in the current compliance market. Companies create a Data Protection Impact Assessment, document the FISA 702 risk, implement measures like encryption and EU region — and then accept the residual risk. In effect they are saying: we know US authorities could access the data, and we accept that. This is not a security proof but a justification instrument. GDPR allows this through the risk-based approach, but it remains a deliberate risk acceptance for a technically unsolvable problem. BreakPilot takes a fundamentally different approach: we structurally eliminate the residual risk instead of documenting it. No US provider, no FISA exposure, no residual risk. That is the difference between simulating compliance and solving compliance.',
    goto_slide: 'annex-regulatory',
    priority: 8,
  },
  {
    id: 'fisa-market-opportunity',
    keywords: ['marktchance', 'market opportunity', 'warum eu', 'why eu', 'eu-first', 'souveraenitaet', 'sovereignty', 'datensouveraenitaet', 'digital sovereignty', 'schrems', 'privacy shield'],
    question_de: 'Warum ist FISA 702 eine Marktchance fuer BreakPilot?',
    question_en: 'Why is FISA 702 a market opportunity for BreakPilot?',
    answer_de: 'FISA 702 ist der zentrale Grund, warum EU-US-Datentransfers rechtlich schwierig sind, warum AI-Compliance ein riesiger Markt ist und warum unser EU-first-Ansatz strategischen Vorteil hat. Das Schrems-II-Urteil hat gezeigt, dass politische Loesungen wie Privacy Shield scheitern. Das neue EU-US Data Privacy Framework wird von Experten als naechstes Schrems-III angesehen. Jedes Mal wenn ein solches Abkommen kippt, stehen tausende Unternehmen vor dem Problem, ihre US-Dienste nicht mehr rechtskonform nutzen zu koennen. BreakPilot ist davon nicht betroffen — unsere Architektur ist strukturell unabhaengig von US-Recht. Das ist kein Nice-to-have, sondern konkrete Risikovermeidung fuer unsere Kunden.',
    answer_en: 'FISA 702 is the central reason why EU-US data transfers are legally difficult, why AI compliance is a huge market, and why our EU-first approach has strategic advantage. The Schrems II ruling showed that political solutions like Privacy Shield fail. The new EU-US Data Privacy Framework is seen by experts as the next Schrems III. Every time such an agreement falls, thousands of companies face the problem of no longer being able to use their US services in compliance. BreakPilot is not affected — our architecture is structurally independent of US law. This is not a nice-to-have but concrete risk avoidance for our customers.',
    goto_slide: 'market',
    priority: 8,
  },
  {
    id: 'fisa-breakpilot-architecture',
    keywords: ['architektur', 'architecture', 'eu-only', 'kein us', 'no us', 'syseleven', 'hetzner', 'bsi', 'hosting', 'wo gehostet', 'where hosted'],
    question_de: 'Wie schuetzt sich BreakPilot konkret gegen FISA 702?',
    question_en: 'How does BreakPilot specifically protect against FISA 702?',
    answer_de: 'Unsere gesamte Infrastruktur laeuft auf EU-Anbietern ohne US-Muttergesellschaft. Wir nutzen SysEleven und Hetzner — beide BSI-konform und in Deutschland. Unsere LLMs laufen lokal oder auf BSI-zertifizierten EU-Servern. Keine personenbezogenen Daten verlassen jemals die EU. Wir setzen keine US-KI-Dienste wie OpenAI, Anthropic Cloud oder Google AI ein. Isolierte Namespaces pro Kunde stellen sicher, dass Daten strikt getrennt sind. Die Schluesselhoheit liegt vollstaendig beim Kunden. Damit ist FISA 702 fuer unsere Kunden schlicht nicht anwendbar — es gibt keinen US-Anbieter in der Kette, der zur Herausgabe verpflichtet werden koennte.',
    answer_en: 'Our entire infrastructure runs on EU providers without US parent companies. We use SysEleven and Hetzner — both BSI-compliant and located in Germany. Our LLMs run locally or on BSI-certified EU servers. No personal data ever leaves the EU. We do not use US AI services like OpenAI, Anthropic Cloud or Google AI. Isolated namespaces per customer ensure strict data separation. Key management is entirely under customer control. This makes FISA 702 simply inapplicable for our customers — there is no US provider in the chain that could be compelled to hand over data.',
    goto_slide: 'annex-architecture',
    priority: 9,
  },

  // === MODULE ===
  {
    id: 'modules-overview',
    keywords: ['module', 'modules', 'baukasten', 'toolkit', '12 module', 'welche module', 'which modules', 'funktionen', 'features', 'leistungen'],
    question_de: 'Welche 12 Module bietet ihr an?',
    question_en: 'Which 12 modules do you offer?',
    answer_de: 'Unsere Plattform besteht aus zwölf Modulen, die Kunden einzeln oder als Gesamtpaket nutzen können. Den Kern bildet das Code-Security-Modul mit SAST, DAST, SBOM-Analysen und kontinuierlichem Pentesting bei jeder Code-Änderung. Dazu kommt die CE-Software-Risikobeurteilung, die Hersteller für die CE-Kennzeichnung ihrer Produkte brauchen. Für die laufende Compliance-Dokumentation erstellen wir automatisch Verarbeitungsverzeichnisse, technisch-organisatorische Maßnahmen, Datenschutz-Folgenabschätzungen und Löschfristen. Der Audit Manager verwaltet Haupt- und Nebenabweichungen nach Audits vollständig End-to-End mit Stichtagen, Tickets und Eskalation. Darüber hinaus bieten wir Module für Betroffenenrechte, Einwilligungsmanagement, Notfallpläne bei Datenschutzvorfällen und einen Cookie-Generator. Das Compliance LLM ist ein eigenes Sprachmodell für Text und Audio, das sicher in der EU gehostet wird. Die Academy bietet Online-Schulungen für Geschäftsführung und Mitarbeiter. Abgerundet wird das Ganze durch die Integration in bestehende Kundenprozesse wie Jira, GitLab, Linear oder Gitea und eine sichere Kommunikationslösung mit Chat, Video und einem KI-Assistenten für automatische Besprechungsnotizen.',
    answer_en: 'Our platform consists of twelve modules that customers can use individually or as a complete package. The core is the code security module with SAST, DAST, SBOM analysis and continuous pentesting on every code change. Then there is the CE software risk assessment that manufacturers need for CE marking their products. For ongoing compliance documentation, we automatically generate records of processing activities, technical and organizational measures, data protection impact assessments and retention schedules. The audit manager handles major and minor deviations after audits completely end-to-end with deadlines, tickets and escalation. Beyond that, we offer modules for data subject rights, consent management, incident response for data breaches and a cookie generator. The compliance LLM is a dedicated language model for text and audio, securely hosted in the EU. The academy provides online training for management and employees. Everything is rounded off by integration into existing customer processes like Jira, GitLab, Linear or Gitea and a secure communication solution with chat, video and an AI assistant for automatic meeting notes.',
    goto_slide: 'product',
    priority: 9,
  },

  // === TECHNOLOGIE-GLOSSAR (fuer Investor-Verstaendnis) ===
  {
    id: 'tech-bge-m3',
    keywords: ['bge-m3', 'bge', 'embedding', 'embeddings', 'vektorisierung', 'vectorization', 'sentence transformer'],
    question_de: 'Was ist BGE-M3?',
    question_en: 'What is BGE-M3?',
    answer_de: 'BGE-M3 ist ein State-of-the-Art Embedding-Modell, entwickelt vom Beijing Academy of Artificial Intelligence. M3 steht fuer Multi-Lingual, Multi-Functionality und Multi-Granularity. Wir nutzen es, um Gesetzestexte, Leitlinien und Compliance-Dokumente in hochdimensionale Vektoren umzuwandeln. Der Vorteil: BGE-M3 versteht ueber 100 Sprachen gleichzeitig — perfekt fuer EU-Regularien, die in verschiedenen Sprachen vorliegen. Es unterstuetzt Dense Retrieval, Sparse Retrieval und Multi-Vector Retrieval in einem Modell, was unsere Hybrid Search ermoeglicht. Das Modell laeuft lokal auf unserer EU-Infrastruktur — keine Daten verlassen den europaeischen Raum.',
    answer_en: 'BGE-M3 is a state-of-the-art embedding model developed by the Beijing Academy of Artificial Intelligence. M3 stands for Multi-Lingual, Multi-Functionality and Multi-Granularity. We use it to convert legal texts, guidelines and compliance documents into high-dimensional vectors. The advantage: BGE-M3 understands over 100 languages simultaneously — perfect for EU regulations that exist in different languages. It supports dense retrieval, sparse retrieval and multi-vector retrieval in a single model, enabling our hybrid search. The model runs locally on our EU infrastructure — no data leaves the European space.',
    goto_slide: 'annex-aipipeline',
    priority: 7,
  },
  {
    id: 'tech-rag',
    keywords: ['rag', 'retrieval', 'augmented', 'generation', 'wissensbasis', 'knowledge base', 'wie funktioniert ki', 'how does ai work'],
    question_de: 'Was ist RAG und wie nutzt ihr es?',
    question_en: 'What is RAG and how do you use it?',
    answer_de: 'RAG steht fuer Retrieval Augmented Generation — ein Verfahren, bei dem das KI-Modell nicht aus seinem Training antwortet, sondern zuerst in unserer Wissensbasis nach relevanten Dokumenten sucht und diese als Kontext nutzt. Das ist entscheidend fuer Compliance: Wir wollen keine halluzinierten Antworten, sondern praezise Aussagen mit Quellenangabe. Unsere RAG-Pipeline indexiert ueber 380 Gesetze, Regularien und rechtliche Dokumente in sechs Qdrant-Collections. Bei einer Anfrage werden die relevantesten Textpassagen per Hybrid Search gefunden, durch einen Cross-Encoder re-rankt und dann dem LLM als Kontext uebergeben. Das Ergebnis: jede Antwort ist quellenbasiert und nachpruefbar.',
    answer_en: 'RAG stands for Retrieval Augmented Generation — a method where the AI model does not answer from its training but first searches our knowledge base for relevant documents and uses them as context. This is critical for compliance: we want no hallucinated answers but precise statements with source references. Our RAG pipeline indexes over 380 laws, regulations and legal documents in six Qdrant collections. For a query, the most relevant text passages are found via hybrid search, re-ranked by a cross-encoder and then provided to the LLM as context. The result: every answer is source-based and verifiable.',
    goto_slide: 'annex-aipipeline',
    priority: 8,
  },
  {
    id: 'tech-qdrant',
    keywords: ['qdrant', 'vektordatenbank', 'vector database', 'vector db', 'collections', 'similarity search'],
    question_de: 'Was ist Qdrant?',
    question_en: 'What is Qdrant?',
    answer_de: 'Qdrant ist eine hochperformante Open-Source-Vektordatenbank, die wir fuer unsere semantische Suche nutzen. Sie speichert die Embedding-Vektoren unserer ueber 380 indexierten Regularien und ermoeglicht Similarity Search in Millisekunden. Wir betreiben sechs separate Qdrant-Collections — getrennt nach Rechtsgebiet und Dokumenttyp — fuer praezise und schnelle Ergebnisse. Qdrant laeuft auf unserer eigenen Hetzner-Infrastruktur in Deutschland, ist MIT-lizenziert und benoetigt keine Cloud-Anbindung an US-Provider.',
    answer_en: 'Qdrant is a high-performance open-source vector database that we use for our semantic search. It stores the embedding vectors of our over 380 indexed regulations and enables similarity search in milliseconds. We operate six separate Qdrant collections — separated by legal domain and document type — for precise and fast results. Qdrant runs on our own Hetzner infrastructure in Germany, is MIT-licensed and requires no cloud connection to US providers.',
    goto_slide: 'annex-aipipeline',
    priority: 7,
  },
  {
    id: 'tech-cross-encoder',
    keywords: ['cross-encoder', 'cross encoder', 're-ranking', 'reranking', 'rerank', 'relevanz'],
    question_de: 'Was ist ein Cross-Encoder?',
    question_en: 'What is a cross-encoder?',
    answer_de: 'Ein Cross-Encoder ist ein KI-Modell, das die Relevanz zwischen einer Suchanfrage und einem Dokument praezise bewertet. In unserer Pipeline nutzen wir ihn als zweite Stufe: Zuerst findet die schnelle Hybrid Search die Top-Kandidaten, dann bewertet der Cross-Encoder jedes Ergebnis einzeln und sortiert sie nach tatsaechlicher Relevanz. Das verbessert die Qualitaet unserer Compliance-Antworten erheblich — besonders bei juristisch komplexen Fragestellungen, wo Wortaehnlichkeit allein nicht ausreicht.',
    answer_en: 'A cross-encoder is an AI model that precisely evaluates the relevance between a search query and a document. In our pipeline we use it as a second stage: first, the fast hybrid search finds the top candidates, then the cross-encoder evaluates each result individually and sorts them by actual relevance. This significantly improves the quality of our compliance answers — especially for legally complex questions where word similarity alone is not sufficient.',
    goto_slide: 'annex-aipipeline',
    priority: 6,
  },
  {
    id: 'tech-sast-dast',
    keywords: ['sast', 'dast', 'static analysis', 'dynamic analysis', 'code scanning', 'code analyse', 'statische analyse', 'dynamische analyse', 'penetrationstest', 'pentest'],
    question_de: 'Was sind SAST und DAST?',
    question_en: 'What are SAST and DAST?',
    answer_de: 'SAST steht fuer Static Application Security Testing — dabei wird der Quellcode analysiert, ohne ihn auszufuehren. Man findet Schwachstellen wie SQL-Injection, Cross-Site-Scripting oder unsichere Kryptografie direkt im Code. DAST steht fuer Dynamic Application Security Testing — dabei wird die laufende Anwendung von aussen getestet, aehnlich wie ein echter Angreifer. Wir fuehren beides kontinuierlich bei jeder Code-Aenderung durch, nicht nur einmal im Jahr wie bei klassischen Pentests. Das spart dem Kunden etwa 13.000 Euro jaehrlich an externen Pentest-Kosten allein im KMU-Bereich.',
    answer_en: 'SAST stands for Static Application Security Testing — it analyzes source code without executing it. You find vulnerabilities like SQL injection, cross-site scripting or insecure cryptography directly in the code. DAST stands for Dynamic Application Security Testing — it tests the running application from the outside, similar to a real attacker. We run both continuously on every code change, not just once a year like traditional pentests. This saves customers about EUR 13,000 annually in external pentest costs for SMEs alone.',
    goto_slide: 'solution',
    priority: 8,
  },
  {
    id: 'tech-sbom',
    keywords: ['sbom', 'software bill of materials', 'stueckliste', 'abhaengigkeiten', 'dependencies', 'supply chain', 'lieferkette'],
    question_de: 'Was ist eine SBOM?',
    question_en: 'What is an SBOM?',
    answer_de: 'SBOM steht fuer Software Bill of Materials — eine vollstaendige Stueckliste aller Software-Komponenten, Bibliotheken und Abhaengigkeiten in einem Produkt. Mit dem Cyber Resilience Act wird die SBOM fuer alle Produkte mit digitalen Elementen in der EU zur Pflicht. Unsere Plattform generiert SBOMs automatisch bei jeder Code-Aenderung, ueberwacht bekannte Schwachstellen in Abhaengigkeiten und alarmiert sofort, wenn eine neue CVE veroeffentlicht wird. Das ist fuer produzierende Unternehmen besonders relevant, weil sie ihre Software-Lieferkette lueckenlos dokumentieren muessen.',
    answer_en: 'SBOM stands for Software Bill of Materials — a complete inventory of all software components, libraries and dependencies in a product. With the Cyber Resilience Act, SBOMs become mandatory for all products with digital elements in the EU. Our platform generates SBOMs automatically on every code change, monitors known vulnerabilities in dependencies and alerts immediately when a new CVE is published. This is particularly relevant for manufacturing companies because they must document their software supply chain without gaps.',
    goto_slide: 'annex-engineering',
    priority: 8,
  },
  {
    id: 'tech-bsi',
    keywords: ['bsi', 'bundesamt', 'sicherheit', 'informationstechnik', 'zertifizierung', 'certification', 'c5', 'cloud security'],
    question_de: 'Was bedeutet BSI-zertifiziert?',
    question_en: 'What does BSI-certified mean?',
    answer_de: 'BSI steht fuer das Bundesamt fuer Sicherheit in der Informationstechnik — die deutsche Bundesbehoerde fuer Cybersicherheit. Eine BSI-Zertifizierung, insbesondere der C5-Standard (Cloud Computing Compliance Criteria Catalogue), bestae­tigt, dass ein Cloud-Anbieter hoechste Sicherheitsstandards einhalt. Unsere Infrastruktur laeuft auf SysEleven, einem BSI-C5-zertifizierten deutschen Cloud-Provider. Das bedeutet: Ihre Daten werden nach den strengsten europaeischen Sicherheitsstandards geschuetzt — ohne Zugriff durch US-Behoerden.',
    answer_en: 'BSI stands for the Federal Office for Information Security — the German federal authority for cybersecurity. A BSI certification, particularly the C5 standard (Cloud Computing Compliance Criteria Catalogue), confirms that a cloud provider maintains the highest security standards. Our infrastructure runs on SysEleven, a BSI C5-certified German cloud provider. This means: your data is protected according to the strictest European security standards — without access by US authorities.',
    goto_slide: 'annex-architecture',
    priority: 8,
  },
  {
    id: 'tech-cloud-providers',
    keywords: ['syseleven', 'hetzner', 'cloud', 'hosting', 'infrastruktur', 'infrastructure', 'server', 'rechenzentrum', 'data center', 'wo laufen', 'where hosted'],
    question_de: 'Auf welcher Infrastruktur laeuft die Plattform?',
    question_en: 'What infrastructure does the platform run on?',
    answer_de: 'Unsere Plattform laeuft zu 100 Prozent auf europaeischer Cloud-Infrastruktur — ohne einen einzigen US-Anbieter. Fuer LLM-Inferenz und KI-Workloads nutzen wir SysEleven, einen BSI-C5-zertifizierten deutschen Cloud-Provider mit GPU-Kapazitaet. Fuer Datenbanken, Vektorspeicher und Anwendungslogik setzen wir auf Hetzner — ebenfalls deutsch, ISO 27001-zertifiziert und deutlich kostenguenstiger als AWS oder Azure. Das CI/CD laeuft ueber Gitea Actions mit automatischem Deploy via Orca auf Hetzner. Diese Kombination gibt uns einen strukturellen Kostenvorteil bei voller EU-Datensouveraenitaet.',
    answer_en: 'Our platform runs 100 percent on European cloud infrastructure — without a single US provider. For LLM inference and AI workloads we use SysEleven, a BSI C5-certified German cloud provider with GPU capacity. For databases, vector storage and application logic we rely on Hetzner — also German, ISO 27001-certified and significantly more cost-effective than AWS or Azure. CI/CD runs via Gitea Actions with automatic deploy via Orca on Hetzner. This combination gives us a structural cost advantage with full EU data sovereignty.',
    goto_slide: 'annex-architecture',
    priority: 8,
  },
  {
    id: 'tech-controls',
    keywords: ['controls', 'pruefaspekte', 'audit aspects', 'pruefpunkte', 'checkpoints', '25000', 'control extraction'],
    question_de: 'Was sind Controls bzw. Pruefaspekte?',
    question_en: 'What are controls or audit aspects?',
    answer_de: 'Controls sind konkrete, pruefbare Anforderungen, die aus Gesetzen und Regularien abgeleitet werden. Zum Beispiel wird aus DSGVO Artikel 32 (Sicherheit der Verarbeitung) eine Reihe konkreter Controls wie Verschluesselungspflicht, Zugriffskontrolle und regelmaessige Sicherheitstests. Wir haben ueber 25.000 solcher Controls aus ueber 380 Gesetzen, Regularien und Leitlinien extrahiert. Jeder Control hat eine eindeutige ID, ist einer Regulierung zugeordnet und kann automatisch gegen den Ist-Zustand eines Unternehmens geprueft werden. Das ist das Herzstueck unserer Compliance-Automatisierung.',
    answer_en: 'Controls are concrete, verifiable requirements derived from laws and regulations. For example, GDPR Article 32 (Security of Processing) generates a series of concrete controls like encryption requirements, access control and regular security testing. We have extracted over 25,000 such controls from over 380 laws, regulations and guidelines. Each control has a unique ID, is mapped to a regulation and can be automatically checked against a company current state. This is the heart of our compliance automation.',
    goto_slide: 'annex-regulatory',
    priority: 8,
  },
  {
    id: 'tech-hybrid-search',
    keywords: ['hybrid search', 'hybrid suche', 'dense', 'sparse', 'bm25', 'semantic search', 'semantische suche', 'volltextsuche'],
    question_de: 'Was ist Hybrid Search?',
    question_en: 'What is hybrid search?',
    answer_de: 'Hybrid Search kombiniert zwei Suchverfahren: Dense Retrieval (semantische Aehnlichkeit ueber Vektoren) und Sparse Retrieval (klassische Schlagwortsuche aehnlich Google). Warum beide? Juristische Texte enthalten oft spezifische Begriffe wie Artikelnummern oder Regulierungsbezeichnungen, die semantische Suche allein nicht praezise findet. Umgekehrt versteht die semantische Suche den Kontext besser als reine Schlagwortsuche. Durch die Kombination beider Verfahren mit anschliessendem Cross-Encoder Re-Ranking erreichen wir die hoechste Praezision bei Compliance-Anfragen.',
    answer_en: 'Hybrid search combines two search methods: dense retrieval (semantic similarity via vectors) and sparse retrieval (classic keyword search similar to Google). Why both? Legal texts often contain specific terms like article numbers or regulation designations that semantic search alone cannot find precisely. Conversely, semantic search understands context better than pure keyword search. By combining both methods with subsequent cross-encoder re-ranking, we achieve the highest precision for compliance queries.',
    goto_slide: 'annex-aipipeline',
    priority: 7,
  },
  {
    id: 'tech-policy-engine',
    keywords: ['policy engine', 'deterministic', 'deterministisch', 'regeln', 'rules', 'eskalation', 'escalation', 'e0', 'e1', 'e2', 'e3'],
    question_de: 'Was ist die deterministische Policy Engine?',
    question_en: 'What is the deterministic policy engine?',
    answer_de: 'Unsere Policy Engine ist das Gegenstueck zum LLM — sie arbeitet rein regelbasiert und deterministisch. 45 vordefinierte Regeln pruefen Compliance-Ergebnisse auf Vollstaendigkeit, Konsistenz und Dringlichkeit. Das LLM liefert die Analyse, aber die Policy Engine entscheidet, was passiert: Eskalationsstufe E0 bedeutet informativ, E1 erfordert Massnahmen, E2 hat Fristen und E3 geht an die Geschaeftsfuehrung. So stellen wir sicher, dass keine KI-Halluzination zu einer falschen Compliance-Entscheidung fuehrt.',
    answer_en: 'Our policy engine is the counterpart to the LLM — it works purely rule-based and deterministically. 45 predefined rules check compliance results for completeness, consistency and urgency. The LLM delivers the analysis, but the policy engine decides what happens: escalation level E0 is informational, E1 requires action, E2 has deadlines and E3 goes to management. This ensures no AI hallucination leads to a wrong compliance decision.',
    goto_slide: 'annex-aipipeline',
    priority: 7,
  },
  {
    id: 'tech-vvt-toms',
    keywords: ['vvt', 'toms', 'dsfa', 'verarbeitungsverzeichnis', 'technisch organisatorische massnahmen', 'datenschutz-folgenabschaetzung', 'ropa', 'dpia', 'loeschfristen', 'retention'],
    question_de: 'Was sind VVT, TOMs und DSFA?',
    question_en: 'What are RoPA, TOMs and DPIA?',
    answer_de: 'Das sind drei zentrale DSGVO-Dokumente, die jedes Unternehmen fuehren muss. VVT ist das Verarbeitungsverzeichnis (Record of Processing Activities) — eine Liste aller Datenverarbeitungstaetigkeiten mit Zweck, Rechtsgrundlage und Empfaengern. TOMs sind Technisch-Organisatorische Massnahmen — konkrete Sicherheitsmassnahmen wie Verschluesselung, Zugriffskontrolle oder Pseudonymisierung. DSFA ist die Datenschutz-Folgenabschaetzung (Data Protection Impact Assessment) — eine vertiefte Risikoanalyse fuer besonders sensible Verarbeitungen. Unsere Plattform generiert alle drei Dokumente automatisch und haelt sie bei Aenderungen aktuell.',
    answer_en: 'These are three central GDPR documents that every company must maintain. RoPA is the Record of Processing Activities — a list of all data processing activities with purpose, legal basis and recipients. TOMs are Technical and Organizational Measures — concrete security measures like encryption, access control or pseudonymization. DPIA is the Data Protection Impact Assessment — an in-depth risk analysis for particularly sensitive processing. Our platform generates all three documents automatically and keeps them current when changes occur.',
    goto_slide: 'solution',
    priority: 8,
  },
  // === ENGINEERING DEEP DIVE — Technical Terms ===
  {
    id: 'eng-orca',
    keywords: ['orca', 'orchestrator', 'deployment', 'deploy', 'rust'],
    question_de: 'Was ist orca?',
    question_en: 'What is orca?',
    answer_de: 'Orca ist unser Deployment-Orchestrator — ein einzelnes Programm geschrieben in Rust, das unsere gesamte Server-Infrastruktur verwaltet. Es empfaengt automatisch Benachrichtigungen wenn neuer Code gepusht wird, baut die Software und verteilt sie auf unsere Server. Vergleichbar mit einem automatischen Hausmeister, der immer dafuer sorgt, dass die neueste Version laeuft.',
    answer_en: 'Orca is our deployment orchestrator — a single binary written in Rust that manages our entire server infrastructure. It automatically receives notifications when new code is pushed, builds the software and distributes it to our servers. Think of it as an automatic caretaker ensuring the latest version is always running.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-infisical',
    keywords: ['infisical', 'secrets', 'geheimnisse', 'passwoerter', 'passwords', 'vault', 'secret management'],
    question_de: 'Was ist Infisical?',
    question_en: 'What is Infisical?',
    answer_de: 'Infisical ist unsere Geheimnis-Verwaltung — eine sichere Plattform, die alle Passwoerter, API-Schluessel und Zugangsdaten zentral und verschluesselt speichert. Kein Entwickler hat direkten Zugriff auf Produktions-Passwoerter. Die Software holt sich die Zugangsdaten automatisch und sicher. Das ist wie ein digitaler Tresor mit strengen Zugriffsregeln.',
    answer_en: 'Infisical is our secrets management platform — it stores all passwords, API keys and credentials centrally and encrypted. No developer has direct access to production passwords. The software retrieves credentials automatically and securely. Think of it as a digital vault with strict access rules.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-litellm',
    keywords: ['litellm', 'lite llm', 'proxy', 'gateway', 'llm proxy', 'llm gateway', 'router'],
    question_de: 'Was ist LiteLLM Proxy?',
    question_en: 'What is LiteLLM Proxy?',
    answer_de: 'LiteLLM ist unser KI-Gateway — eine Vermittlungsschicht, die alle Anfragen an verschiedene KI-Modelle (z.B. lokale Modelle oder Claude) zentral steuert. Dadurch koennen wir jederzeit das KI-Modell wechseln, Kosten kontrollieren und sicherstellen, dass keine sensiblen Daten unkontrolliert an externe Anbieter fliessen. Es ist wie eine Telefonzentrale fuer KI-Anfragen.',
    answer_en: 'LiteLLM is our AI gateway — a routing layer that centrally manages all requests to different AI models (e.g. local models or Claude). This lets us switch AI models anytime, control costs, and ensure no sensitive data flows uncontrolled to external providers. Think of it as a switchboard for AI requests.',
    goto_slide: 'annex-architecture',
    priority: 6,
  },
  {
    id: 'eng-guardrails',
    keywords: ['guardrails', 'leitplanken', 'sicherheit', 'ki sicherheit', 'ai safety', 'halluzination'],
    question_de: 'Was sind Guardrails?',
    question_en: 'What are Guardrails?',
    answer_de: 'Guardrails sind Sicherheitsleitplanken fuer unsere KI — automatische Pruefungen, die verhindern, dass die KI falsche, gefaehrliche oder nicht-konforme Antworten gibt. Jede KI-Antwort wird gegen definierte Regeln geprueft, bevor sie an den Nutzer geht. Beispiel: Die KI darf keine Rechtsberatung geben, sondern nur auf Gesetzestexte verweisen.',
    answer_en: 'Guardrails are safety rails for our AI — automatic checks that prevent the AI from giving wrong, dangerous or non-compliant answers. Every AI response is validated against defined rules before reaching the user. Example: The AI must not give legal advice, only reference legal texts.',
    goto_slide: 'annex-architecture',
    priority: 6,
  },
  {
    id: 'eng-pii-redaction',
    keywords: ['pii', 'redaction', 'redaktion', 'personenbezogen', 'anonymisierung', 'datenschutz gateway'],
    question_de: 'Was ist PII Redaction?',
    question_en: 'What is PII Redaction?',
    answer_de: 'PII steht fuer Personally Identifiable Information (personenbezogene Daten). Unser PII-Redaction-Gateway entfernt automatisch alle personenbezogenen Daten (Namen, E-Mails, Adressen) aus Texten, BEVOR sie an ein KI-Modell gesendet werden. So verlassen keine Kundendaten jemals unsere EU-Infrastruktur — selbst wenn wir externe KI-Modelle nutzen.',
    answer_en: 'PII stands for Personally Identifiable Information. Our PII Redaction Gateway automatically removes all personal data (names, emails, addresses) from texts BEFORE they are sent to an AI model. This way, no customer data ever leaves our EU infrastructure — even when using external AI models.',
    goto_slide: 'annex-architecture',
    priority: 7,
  },
  {
    id: 'eng-llm-inferenz',
    keywords: ['inferenz', 'inference', 'llm inferenz', 'ki berechnung', 'ai computation'],
    question_de: 'Was ist LLM-Inferenz?',
    question_en: 'What is LLM inference?',
    answer_de: 'Inferenz bedeutet, dass ein KI-Modell eine Anfrage bearbeitet und eine Antwort generiert — also der eigentliche Denkprozess der KI. Wenn ein Nutzer eine Compliance-Frage stellt, fuehrt unser System eine Inferenz durch: Das Modell analysiert die Frage, durchsucht relevante Gesetze und formuliert eine fundierte Antwort.',
    answer_en: 'Inference means an AI model processes a request and generates a response — the actual thinking process of the AI. When a user asks a compliance question, our system runs an inference: the model analyzes the question, searches relevant laws and formulates a well-founded answer.',
    goto_slide: 'annex-architecture',
    priority: 5,
  },
  {
    id: 'eng-embedding',
    keywords: ['embedding', 'einbettung', 'vektoren', 'vectors', 'embedding service'],
    question_de: 'Was ist ein Embedding Service?',
    question_en: 'What is an Embedding Service?',
    answer_de: 'Ein Embedding Service wandelt Texte in mathematische Vektoren (Zahlenlisten) um, die ihre Bedeutung repraesentieren. Dadurch kann unsere Plattform aehnliche Inhalte finden — z.B. welcher Gesetzesparagraph zu einer bestimmten Compliance-Frage passt. Es ist wie ein intelligentes Inhaltsverzeichnis, das nicht nach Woertern, sondern nach Bedeutung sucht.',
    answer_en: 'An Embedding Service converts texts into mathematical vectors (lists of numbers) that represent their meaning. This lets our platform find similar content — e.g. which law paragraph matches a specific compliance question. Think of it as an intelligent table of contents that searches by meaning, not by words.',
    goto_slide: 'annex-architecture',
    priority: 5,
  },
  {
    id: 'eng-vector-db',
    keywords: ['vektor', 'vector', 'datenbank', 'database', 'qdrant', 'vektordatenbank'],
    question_de: 'Was ist eine Vektordatenbank / Qdrant?',
    question_en: 'What is a vector database / Qdrant?',
    answer_de: 'Qdrant ist unsere Vektordatenbank — eine spezielle Datenbank, die nicht nach exakten Woertern sucht, sondern nach inhaltlicher Aehnlichkeit. Dort sind alle 380+ Gesetze und Regularien als Vektoren gespeichert. Wenn ein Kunde eine Compliance-Frage stellt, findet Qdrant in Millisekunden die relevantesten Paragraphen — auch wenn die Frage ganz anders formuliert ist als der Gesetzestext.',
    answer_en: 'Qdrant is our vector database — a specialized database that searches not by exact words but by semantic similarity. All 380+ laws and regulations are stored there as vectors. When a customer asks a compliance question, Qdrant finds the most relevant paragraphs in milliseconds — even if the question is worded completely differently from the legal text.',
    goto_slide: 'annex-architecture',
    priority: 6,
  },
  {
    id: 'eng-gitea',
    keywords: ['gitea', 'git', 'versionskontrolle', 'version control', 'ci', 'cd', 'pipeline', 'actions'],
    question_de: 'Was ist Gitea + Actions?',
    question_en: 'What is Gitea + Actions?',
    answer_de: 'Gitea ist unser selbst gehosteter Git-Server — vergleichbar mit GitHub, aber auf unseren eigenen EU-Servern. Actions ist das dazugehoerige CI/CD-System: Bei jeder Code-Aenderung laufen automatisch Tests, Sicherheitschecks und Deployments. Wir sind dadurch unabhaengig von US-Anbietern wie GitHub und behalten volle Kontrolle ueber unseren Quellcode.',
    answer_en: 'Gitea is our self-hosted Git server — comparable to GitHub but on our own EU servers. Actions is the attached CI/CD system: with every code change, tests, security checks and deployments run automatically. This makes us independent from US providers like GitHub and gives us full control over our source code.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-registry',
    keywords: ['registry', 'container', 'docker', 'image', 'private registry'],
    question_de: 'Was ist eine Private Registry?',
    question_en: 'What is a Private Registry?',
    answer_de: 'Eine Private Registry ist unser eigener App Store fuer Software-Pakete. Jede Version unserer Software wird als Container-Image gebaut und signiert in unserer eigenen Registry gespeichert — auf EU-Servern, nicht bei Docker Hub oder Amazon. So stellen wir sicher, dass nur gepruefter Code in die Produktion gelangt.',
    answer_en: 'A Private Registry is our own app store for software packages. Every version of our software is built as a container image and stored signed in our own registry — on EU servers, not on Docker Hub or Amazon. This ensures only verified code reaches production.',
    goto_slide: 'annex-engineering',
    priority: 4,
  },
  {
    id: 'eng-trivy-semgrep',
    keywords: ['trivy', 'semgrep', 'scanner', 'vulnerability', 'schwachstelle', 'container security'],
    question_de: 'Was sind Trivy und Semgrep?',
    question_en: 'What are Trivy and Semgrep?',
    answer_de: 'Trivy und Semgrep sind automatische Sicherheitsscanner. Trivy prueft unsere Container-Images auf bekannte Schwachstellen — wie ein TÜV fuer Software-Pakete. Semgrep analysiert unseren Quellcode auf Sicherheitsluecken und schlechte Muster. Beide laufen bei jeder Code-Aenderung automatisch — wir nutzen dieselben Tools, die wir unseren Kunden anbieten.',
    answer_en: 'Trivy and Semgrep are automatic security scanners. Trivy checks our container images for known vulnerabilities — like a safety inspection for software packages. Semgrep analyzes our source code for security holes and bad patterns. Both run automatically with every code change — we use the same tools we offer our customers.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-gitleaks',
    keywords: ['gitleaks', 'secret detection', 'geheimnis erkennung', 'passwort leak'],
    question_de: 'Was ist Gitleaks / Secret Detection?',
    question_en: 'What is Gitleaks / Secret Detection?',
    answer_de: 'Gitleaks ist ein Tool, das automatisch verhindert, dass Entwickler versehentlich Passwoerter oder API-Schluessel im Quellcode veroeffentlichen. Bei jedem Code-Commit wird geprueft, ob sensible Daten enthalten sind — wenn ja, wird der Commit blockiert. Das ist eine der haeufigsten Ursachen fuer Datenlecks und wir schuetzen sowohl uns selbst als auch unsere Kunden davor.',
    answer_en: 'Gitleaks is a tool that automatically prevents developers from accidentally publishing passwords or API keys in source code. Every code commit is checked for sensitive data — if found, the commit is blocked. This is one of the most common causes of data leaks and we protect both ourselves and our customers from it.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-devsecops',
    keywords: ['devsecops', 'dev sec ops', 'sicherheit entwicklung', 'security development'],
    question_de: 'Was bedeutet DevSecOps?',
    question_en: 'What does DevSecOps mean?',
    answer_de: 'DevSecOps steht fuer Development + Security + Operations — die Philosophie, dass Sicherheit kein nachtraeglicher Schritt ist, sondern in jeden Entwicklungsschritt integriert wird. Bei uns laufen Sicherheitschecks (SAST, DAST, SBOM, Secret Detection) bei JEDER Code-Aenderung automatisch. Sicherheitsluecken werden sofort erkannt, nicht erst beim jaehrlichen Audit.',
    answer_en: 'DevSecOps stands for Development + Security + Operations — the philosophy that security is not an afterthought but integrated into every development step. With us, security checks (SAST, DAST, SBOM, secret detection) run automatically with EVERY code change. Vulnerabilities are caught immediately, not at the annual audit.',
    goto_slide: 'annex-engineering',
    priority: 6,
  },
  {
    id: 'eng-syseleven-bsi',
    keywords: ['syseleven', 'bsi', 'c5', 'cloud zertifizierung', 'cloud certification', 'hetzner', 'eu cloud'],
    question_de: 'Was bedeutet SysEleven / BSI C5?',
    question_en: 'What does SysEleven / BSI C5 mean?',
    answer_de: 'SysEleven ist ein deutscher Cloud-Anbieter mit BSI-C5-Zertifizierung. BSI C5 ist der Sicherheitsstandard des Bundesamts fuer Sicherheit in der Informationstechnik fuer Cloud-Dienste — quasi der TÜV fuer Cloud-Anbieter. Hetzner ist ein weiterer deutscher Cloud-Anbieter, den wir nutzen. Alle unsere Daten liegen ausschliesslich auf deutschen/EU-Servern — kein US-Anbieter hat Zugriff.',
    answer_en: 'SysEleven is a German cloud provider with BSI C5 certification. BSI C5 is the security standard of the German Federal Office for Information Security for cloud services — essentially the TÜV for cloud providers. Hetzner is another German cloud provider we use. All our data resides exclusively on German/EU servers — no US provider has access.',
    goto_slide: 'annex-engineering',
    priority: 6,
  },
  {
    id: 'eng-microservices',
    keywords: ['microservice', 'architektur', 'architecture', 'container', 'services', 'modular'],
    question_de: 'Was bedeutet Microservice-Architektur?',
    question_en: 'What is microservice architecture?',
    answer_de: 'Microservices bedeutet, dass unsere Plattform nicht ein grosses Programm ist, sondern aus vielen kleinen, unabhaengigen Diensten besteht. Jeder Dienst hat eine klare Aufgabe (z.B. Authentifizierung, RAG-Suche, Code-Scanning). Vorteil: Einzelne Teile koennen unabhaengig aktualisiert, skaliert und repariert werden, ohne das Gesamtsystem zu beeintraechtigen.',
    answer_en: 'Microservices means our platform is not one large program but consists of many small, independent services. Each service has a clear responsibility (e.g. authentication, RAG search, code scanning). Advantage: individual parts can be updated, scaled and repaired independently without affecting the overall system.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-ipfs',
    keywords: ['ipfs', 'dsms', 'blockchain', 'dezentral', 'decentralized', 'archivierung', 'archiving'],
    question_de: 'Was ist IPFS/DSMS?',
    question_en: 'What is IPFS/DSMS?',
    answer_de: 'IPFS (InterPlanetary File System) ist ein dezentrales Speichersystem — Dateien werden nicht an einem Ort gespeichert, sondern verteilt und kryptographisch gesichert. Wir nutzen das optional fuer die revisionssichere Archivierung von Compliance-Dokumenten: Einmal gespeicherte Nachweise koennen nachtraeglich nicht mehr veraendert werden. Das ist wie ein digitaler Notar.',
    answer_en: 'IPFS (InterPlanetary File System) is a decentralized storage system — files are not stored in one place but distributed and cryptographically secured. We optionally use this for tamper-proof archiving of compliance documents: once stored, evidence cannot be modified afterwards. It is like a digital notary.',
    goto_slide: 'annex-architecture',
    priority: 4,
  },
  {
    id: 'eng-fastapi-go-nextjs',
    keywords: ['fastapi', 'go', 'gin', 'nextjs', 'next.js', 'typescript', 'python', 'programmiersprache', 'programming language', 'tech stack'],
    question_de: 'Warum nutzt ihr drei Programmiersprachen?',
    question_en: 'Why do you use three programming languages?',
    answer_de: 'Jede Sprache hat ihre Staerke: Python (FastAPI) fuer KI und Datenverarbeitung — das gesamte Machine-Learning-Oekosystem ist in Python. Go (Gin) fuer hochperformante API-Dienste mit minimaler Latenz und Ressourcenverbrauch. TypeScript (Next.js) fuer moderne Web-Oberflaechen. Das ist Industriestandard — auch Unternehmen wie Google, Uber und Stripe nutzen mehrere Sprachen je nach Aufgabe.',
    answer_en: 'Each language has its strength: Python (FastAPI) for AI and data processing — the entire ML ecosystem is in Python. Go (Gin) for high-performance API services with minimal latency. TypeScript (Next.js) for modern web interfaces. This is industry standard — companies like Google, Uber and Stripe also use multiple languages per task.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
  {
    id: 'eng-iac-scanning',
    keywords: ['iac', 'infrastructure as code', 'infrastruktur', 'konfiguration', 'configuration'],
    question_de: 'Was ist IaC Scanning?',
    question_en: 'What is IaC Scanning?',
    answer_de: 'IaC steht fuer Infrastructure as Code — die Serverkonfiguration wird als Code geschrieben statt manuell eingerichtet. IaC Scanning prueft diese Konfigurationsdateien automatisch auf Sicherheitsluecken, z.B. offene Ports, fehlende Verschluesselung oder zu breite Zugriffsrechte. So werden Infrastruktur-Fehler erkannt, bevor sie in Produktion gehen.',
    answer_en: 'IaC stands for Infrastructure as Code — server configuration is written as code instead of manually configured. IaC Scanning automatically checks these configuration files for security issues like open ports, missing encryption or overly broad access rights. This catches infrastructure errors before they go to production.',
    goto_slide: 'annex-engineering',
    priority: 4,
  },
  {
    id: 'eng-postgresql',
    keywords: ['postgresql', 'postgres', 'datenbank', 'database', 'sql', 'relational'],
    question_de: 'Was ist PostgreSQL?',
    question_en: 'What is PostgreSQL?',
    answer_de: 'PostgreSQL ist die weltweit fuehrende Open-Source-Datenbank — vergleichbar mit Oracle oder Microsoft SQL Server, aber kostenlos und ohne Lizenzgebuehren. Sie speichert alle strukturierten Daten unserer Plattform: Kunden, Compliance-Dokumente, Audit-Trails, Nutzerkonten. PostgreSQL wird von Unternehmen wie Apple, Instagram und Spotify eingesetzt.',
    answer_en: 'PostgreSQL is the world-leading open-source database — comparable to Oracle or Microsoft SQL Server but free and without license fees. It stores all structured data of our platform: customers, compliance documents, audit trails, user accounts. PostgreSQL is used by companies like Apple, Instagram and Spotify.',
    goto_slide: 'annex-engineering',
    priority: 4,
  },
  {
    id: 'eng-cyclonedx-sbom',
    keywords: ['cyclonedx', 'spdx', 'sbom', 'bill of materials', 'stueckliste', 'abhaengigkeiten', 'dependencies'],
    question_de: 'Was ist CycloneDX SBOM?',
    question_en: 'What is CycloneDX SBOM?',
    answer_de: 'SBOM steht fuer Software Bill of Materials — eine vollstaendige Stueckliste aller Software-Komponenten, die in einem Produkt enthalten sind. CycloneDX ist das Standardformat dafuer. Das ist wie ein Zutatenverzeichnis bei Lebensmitteln: Der Kunde sieht genau, welche Bibliotheken und Versionen verbaut sind. Ab 2025 durch den EU Cyber Resilience Act fuer viele Produkte Pflicht.',
    answer_en: 'SBOM stands for Software Bill of Materials — a complete list of all software components contained in a product. CycloneDX is the standard format for this. Think of it like an ingredient list for food: the customer sees exactly which libraries and versions are included. Required for many products from 2025 under the EU Cyber Resilience Act.',
    goto_slide: 'annex-engineering',
    priority: 5,
  },
]
