-- Migration 003: VVT Sector Templates — Branchenspezifische Verarbeitungsverzeichnisse
-- 6 Branchen-Muster + 1 allgemeine V2-Vorlage

-- 1. Bestehende V1 archivieren
UPDATE compliance.compliance_legal_templates
SET status = 'archived', updated_at = NOW()
WHERE document_type = 'vvt_register'
  AND status = 'published';

-- 2. Allgemeine VVT V2 Vorlage (branchenuebergreifend)
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'Verzeichnis von Verarbeitungstaetigkeiten (VVT) gemaess Art. 30 DS-GVO — V2',
    'Erweiterte VVT-Vorlage mit vollstaendiger Art. 30 Struktur, Loeschfristen-Integration und DSFA-Verweis. Branchenuebergreifend einsetzbar.',
    'de',
    'EU/DSGVO',
    '2.0',
    'published',
    'MIT',
    'BreakPilot Compliance',
    false,
    true,
    CAST('[
        "{{ORGANISATION_NAME}}",
        "{{ORGANISATION_ADRESSE}}",
        "{{VERTRETER_NAME}}",
        "{{DSB_NAME}}",
        "{{DSB_KONTAKT}}",
        "{{ERSTELLT_AM}}",
        "{{VERSION}}",
        "{{VVT_NR}}",
        "{{VERARBEITUNG_NAME}}",
        "{{VERARBEITUNG_BESCHREIBUNG}}",
        "{{ZWECKE}}",
        "{{RECHTSGRUNDLAGEN}}",
        "{{BETROFFENE}}",
        "{{DATENKATEGORIEN}}",
        "{{EMPFAENGER}}",
        "{{DRITTLAND}}",
        "{{DRITTLAND_GARANTIEN}}",
        "{{LOESCHFRISTEN}}",
        "{{TOM_REFERENZ}}",
        "{{SYSTEME}}",
        "{{VERANTWORTLICHER}}",
        "{{RISIKOBEWERTUNG}}",
        "{{DSFA_ERFORDERLICH}}",
        "{{LETZTE_PRUEFUNG}}",
        "{{NAECHSTE_PRUEFUNG}}",
        "{{STATUS}}"
    ]' AS jsonb),
    $template$# Verzeichnis von Verarbeitungstaetigkeiten (VVT)
**gemaess Art. 30 DS-GVO**

---

## Angaben zum Verantwortlichen

| Feld | Inhalt |
|------|--------|
| **Name / Firma** | {{ORGANISATION_NAME}} |
| **Adresse** | {{ORGANISATION_ADRESSE}} |
| **Vertreter des Verantwortlichen** | {{VERTRETER_NAME}} |
| **Datenschutzbeauftragter** | {{DSB_NAME}} ({{DSB_KONTAKT}}) |
| **Stand** | {{ERSTELLT_AM}} |
| **Version** | {{VERSION}} |

---

## Verarbeitungstaetigkeit

### Stammdaten

| Pflichtfeld (Art. 30) | Inhalt |
|------------------------|--------|
| **VVT-Nr.** | {{VVT_NR}} |
| **Bezeichnung** | {{VERARBEITUNG_NAME}} |
| **Beschreibung** | {{VERARBEITUNG_BESCHREIBUNG}} |

### Zweck und Rechtsgrundlage

| Pflichtfeld | Inhalt |
|-------------|--------|
| **Zweck(e) der Verarbeitung** | {{ZWECKE}} |
| **Rechtsgrundlage(n)** | {{RECHTSGRUNDLAGEN}} |

### Betroffene und Daten

| Pflichtfeld | Inhalt |
|-------------|--------|
| **Kategorien betroffener Personen** | {{BETROFFENE}} |
| **Kategorien personenbezogener Daten** | {{DATENKATEGORIEN}} |

### Empfaenger und Uebermittlung

| Pflichtfeld | Inhalt |
|-------------|--------|
| **Kategorien von Empfaengern** | {{EMPFAENGER}} |

{{#IF DRITTLAND}}
| **Uebermittlung in Drittlaender** | {{DRITTLAND}} |
| **Geeignete Garantien (Art. 46)** | {{DRITTLAND_GARANTIEN}} |
{{/IF}}

### Fristen und Schutzmassnahmen

| Pflichtfeld | Inhalt |
|-------------|--------|
| **Loeschfristen** | {{LOESCHFRISTEN}} |
| **TOM-Beschreibung (Art. 32)** | {{TOM_REFERENZ}} |

### Zusaetzliche Angaben (empfohlen)

| Feld | Inhalt |
|------|--------|
| **Eingesetzte Systeme** | {{SYSTEME}} |
| **Verantwortliche Abteilung** | {{VERANTWORTLICHER}} |
| **Risikobewertung** | {{RISIKOBEWERTUNG}} |
| **DSFA erforderlich?** | {{DSFA_ERFORDERLICH}} |
| **Letzte Pruefung** | {{LETZTE_PRUEFUNG}} |
| **Naechste Pruefung** | {{NAECHSTE_PRUEFUNG}} |
| **Status** | {{STATUS}} |

---

*Erstellt mit BreakPilot Compliance. Struktur entspricht Art. 30 Abs. 1 DS-GVO.*
$template$
) ON CONFLICT DO NOTHING;

-- 3. VVT Branchenvorlage: IT / SaaS
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: IT / SaaS-Unternehmen',
    'Vorbefuelltes Verarbeitungsverzeichnis mit typischen Verarbeitungstaetigkeiten eines IT- oder SaaS-Unternehmens. Enthalt 8 Standard-Verarbeitungen.',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: IT / SaaS-Unternehmen

Die folgenden Verarbeitungstaetigkeiten sind typisch fuer IT- und SaaS-Unternehmen. Bitte pruefen und an Ihre konkrete Situation anpassen.

---

## VVT-001: SaaS-Plattformbetrieb

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bereitstellung und Betrieb der SaaS-Plattform fuer Kunden |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Kunden, Endnutzer der Plattform |
| **Datenkategorien** | Stammdaten, Nutzungsdaten, Inhaltsdaten, technische Logdaten |
| **Empfaenger** | Hosting-Anbieter (AVV), Support-Dienstleister (AVV) |
| **Loeschfrist** | 90 Tage nach Vertragsende + gesetzliche Aufbewahrungsfristen |
| **TOM** | Siehe TOM-Dokumentation: Mandantentrennung, Verschluesselung, RBAC |
| **DSFA erforderlich?** | Abhaengig von Art und Umfang der verarbeiteten Daten |

## VVT-002: Kundenverwaltung / CRM

| Feld | Inhalt |
|------|--------|
| **Zweck** | Verwaltung von Kundenbeziehungen, Vertragsmanagement |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Kunden, Ansprechpartner, Interessenten |
| **Datenkategorien** | Kontaktdaten, Vertragsdaten, Kommunikationshistorie |
| **Empfaenger** | CRM-Anbieter (AVV), ggf. Vertriebspartner |
| **Loeschfrist** | 3 Jahre nach letztem Kontakt (Verjaeherung), 10 Jahre Rechnungsdaten (HGB/AO) |
| **TOM** | Zugriffsbeschraenkung auf Vertrieb/Support, Protokollierung |

## VVT-003: E-Mail-Marketing / Newsletter

| Feld | Inhalt |
|------|--------|
| **Zweck** | Versand von Produkt-Updates, Marketing-Newsletter |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. a DS-GVO (Einwilligung) + UWG §7 |
| **Betroffene** | Newsletter-Abonnenten |
| **Datenkategorien** | E-Mail-Adresse, Name, Oeffnungs-/Klickverhalten |
| **Empfaenger** | E-Mail-Dienstleister (AVV) |
| **Loeschfrist** | Unverzueglich nach Widerruf der Einwilligung |
| **TOM** | Double-Opt-In, einfache Abmeldefunktion |

## VVT-004: Webanalyse

| Feld | Inhalt |
|------|--------|
| **Zweck** | Analyse der Website-Nutzung zur Verbesserung des Angebots |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. a DS-GVO (Einwilligung via Cookie-Banner) |
| **Betroffene** | Website-Besucher |
| **Datenkategorien** | IP-Adresse (anonymisiert), Seitenaufrufe, Verweildauer, Geraeteinformationen |
| **Empfaenger** | Analyse-Anbieter (AVV) |
| **Loeschfrist** | 14 Monate (max. Cookie-Laufzeit) |
| **TOM** | IP-Anonymisierung, Cookie-Consent-Management (TDDDG §25) |

## VVT-005: Bewerbermanagement

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bearbeitung von Bewerbungen, Auswahlverfahren |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO i.V.m. §26 BDSG (Beschaeftigungsverhaeltnis) |
| **Betroffene** | Bewerberinnen und Bewerber |
| **Datenkategorien** | Kontaktdaten, Lebenslauf, Qualifikationen, Bewerbungsunterlagen |
| **Empfaenger** | Fachabteilung, ggf. Personaldienstleister (AVV) |
| **Loeschfrist** | 6 Monate nach Abschluss des Verfahrens (AGG-Frist) |
| **TOM** | Zugriffsschutz auf Bewerbungsportal, verschluesselte Uebertragung |

## VVT-006: Mitarbeiterverwaltung / HR

| Feld | Inhalt |
|------|--------|
| **Zweck** | Personalverwaltung, Lohn-/Gehaltsabrechnung, Arbeitszeiterfassung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/c DS-GVO i.V.m. §26 BDSG |
| **Betroffene** | Beschaeftigte |
| **Datenkategorien** | Stammdaten, Vertragsdaten, Bankverbindung, Sozialversicherung, Arbeitszeitdaten |
| **Empfaenger** | Lohnbuero (AVV), Finanzamt, Sozialversicherungstraeger |
| **Loeschfrist** | 10 Jahre nach Austritt (steuerliche Aufbewahrung), Personalakte 3 Jahre |
| **TOM** | Besonderer Zugriffsschutz (nur HR), verschluesselte Speicherung |

## VVT-007: Support-Ticketing

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bearbeitung von Kundenanfragen und Stoerungsmeldungen |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Kunden, Endnutzer |
| **Datenkategorien** | Kontaktdaten, Ticket-Inhalt, Screenshots, Systemlogs |
| **Empfaenger** | Support-Tool-Anbieter (AVV), ggf. Entwicklungsteam |
| **Loeschfrist** | 2 Jahre nach Ticket-Schliessung |
| **TOM** | Rollenbasierter Zugriff, Pseudonymisierung in internen Reports |

## VVT-008: Logging und Monitoring

| Feld | Inhalt |
|------|--------|
| **Zweck** | Sicherheitsueberwachung, Fehleranalyse, Leistungsoptimierung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. f DS-GVO (berechtigtes Interesse: IT-Sicherheit) |
| **Betroffene** | Nutzer der Plattform, Administratoren |
| **Datenkategorien** | IP-Adressen, Zugriffszeitpunkte, Fehlerprotokolle, Performance-Metriken |
| **Empfaenger** | Log-Management-Anbieter (AVV) |
| **Loeschfrist** | 30 Tage Anwendungslogs, 90 Tage Sicherheitslogs |
| **TOM** | Zugriffsschutz auf Logdaten, automatische Rotation |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage IT / SaaS.*
$template$
) ON CONFLICT DO NOTHING;

-- 4. VVT Branchenvorlage: Gesundheitswesen
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: Gesundheitswesen',
    'Vorbefuelltes Verarbeitungsverzeichnis mit typischen Verarbeitungen im Gesundheitswesen (Arztpraxis, MVZ, Klinik). Beruecksichtigt Art. 9 DS-GVO besondere Kategorien.',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: Gesundheitswesen

Typische Verarbeitungstaetigkeiten fuer Arztpraxen, MVZ und Kliniken. **Besonderheit:** Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DS-GVO — Gesundheitsdaten).

---

## VVT-G01: Patientenverwaltung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Fuehrung der Patientenakte, Behandlungsdokumentation |
| **Rechtsgrundlage** | Art. 9 Abs. 2 lit. h DS-GVO i.V.m. §630f BGB (Dokumentationspflicht) |
| **Betroffene** | Patienten |
| **Datenkategorien** | Stammdaten, Versicherungsdaten, Diagnosen, Befunde, Behandlungsverlaeufe (Art. 9) |
| **Empfaenger** | Praxisverwaltungssystem-Anbieter (AVV), Labor (AVV), ueberweisende Aerzte |
| **Loeschfrist** | 10 Jahre nach letzter Behandlung (§630f Abs. 3 BGB), Strahlenpass 30 Jahre |
| **TOM** | Verschluesselung Patientenakte, Zugriffsschutz (nur behandelnde Aerzte), Notfallzugriff |
| **DSFA erforderlich?** | Ja (umfangreiche Verarbeitung Art. 9 Daten) |

## VVT-G02: Terminmanagement

| Feld | Inhalt |
|------|--------|
| **Zweck** | Organisation und Verwaltung von Patienten-Terminen |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Behandlungsvertrag) |
| **Betroffene** | Patienten |
| **Datenkategorien** | Name, Kontaktdaten, Terminwunsch, ggf. Behandlungsgrund |
| **Empfaenger** | Online-Terminbuchungs-Anbieter (AVV) |
| **Loeschfrist** | 6 Monate nach Termin (sofern nicht zur Patientenakte) |
| **TOM** | Verschluesselte Uebertragung, Zugriffsschutz Terminkalender |

## VVT-G03: Abrechnung (KV / PKV)

| Feld | Inhalt |
|------|--------|
| **Zweck** | Abrechnung aerztlicher Leistungen gegenueber Krankenkassen / Privatpatienten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. c DS-GVO (gesetzliche Pflicht), Art. 9 Abs. 2 lit. h |
| **Betroffene** | Patienten |
| **Datenkategorien** | Stammdaten, Versicherungsdaten, Diagnosen (ICD), Leistungsziffern (EBM/GOAe) |
| **Empfaenger** | KV (Kassenaerztliche Vereinigung), PKV, Abrechnungsstelle (AVV) |
| **Loeschfrist** | 10 Jahre (steuerliche Aufbewahrung AO) |
| **TOM** | Verschluesselte Datenuebermittlung (KV-Connect/KIM), Zugriffskontrolle |

## VVT-G04: Laborbefunde

| Feld | Inhalt |
|------|--------|
| **Zweck** | Beauftragung und Empfang von Laboruntersuchungen |
| **Rechtsgrundlage** | Art. 9 Abs. 2 lit. h DS-GVO |
| **Betroffene** | Patienten |
| **Datenkategorien** | Proben-ID, Untersuchungsparameter, Befundergebnisse (Art. 9) |
| **Empfaenger** | Labordienstleister (AVV) |
| **Loeschfrist** | 10 Jahre (Dokumentationspflicht) |
| **TOM** | Pseudonymisierung der Proben, verschluesselte Uebertragung |

## VVT-G05: Mitarbeiterverwaltung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Personalverwaltung, Dienstplanung, Lohnabrechnung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/c DS-GVO i.V.m. §26 BDSG |
| **Betroffene** | Beschaeftigte (Aerzte, MFA, Verwaltung) |
| **Datenkategorien** | Stammdaten, Vertragsdaten, Bankverbindung, Dienstzeiten |
| **Empfaenger** | Lohnbuero (AVV), Finanzamt, Sozialversicherungstraeger |
| **Loeschfrist** | 10 Jahre nach Austritt |
| **TOM** | Zugriffsschutz (nur HR/Praxisleitung) |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage Gesundheitswesen.*
$template$
) ON CONFLICT DO NOTHING;

-- 5. VVT Branchenvorlage: Handel / E-Commerce
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: Handel / E-Commerce',
    'Vorbefuelltes Verarbeitungsverzeichnis fuer Online-Shops und Einzelhaendler. Beruecksichtigt TDDDG, Fernabsatzrecht und Zahlungsdienste.',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: Handel / E-Commerce

Typische Verarbeitungstaetigkeiten fuer Online-Shops und Einzelhandel.

---

## VVT-H01: Bestellabwicklung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bestellannahme, Versand, Rechnungsstellung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Kunden (Besteller) |
| **Datenkategorien** | Kontaktdaten, Lieferadresse, Bestelldaten, Rechnungsdaten |
| **Empfaenger** | Versanddienstleister, Zahlungsanbieter (AVV), Warenwirtschaft |
| **Loeschfrist** | 10 Jahre Rechnungsdaten (AO/HGB), 3 Jahre Bestelldaten (Verjaeherung) |
| **TOM** | Verschluesselte Uebertragung, Zugriffsschutz Bestellsystem |

## VVT-H02: Kundenkonto

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bereitstellung eines Kundenkontos (optional, nicht Pflicht) |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. a/b DS-GVO |
| **Betroffene** | Registrierte Kunden |
| **Datenkategorien** | Stammdaten, Passwort (gehasht), Bestellhistorie, Wunschliste |
| **Empfaenger** | Shop-Plattform-Anbieter (AVV) |
| **Loeschfrist** | Unverzueglich nach Kontoloesch-Anfrage, Rechnungsdaten 10 Jahre |
| **TOM** | MFA-Option, sichere Passwortspeicherung (bcrypt), Gastzugang-Alternative |

## VVT-H03: Zahlungsabwicklung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Abwicklung von Zahlungsvorgaengen |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO |
| **Betroffene** | Zahlende Kunden |
| **Datenkategorien** | Zahlungsart, Transaktionsdaten (keine Kartennummern bei Tokenisierung) |
| **Empfaenger** | Payment-Service-Provider (eigene Verantwortung oder AVV) |
| **Loeschfrist** | 10 Jahre (steuerliche Aufbewahrung) |
| **TOM** | PCI-DSS Compliance, Tokenisierung, keine direkte Kartenspeicherung |

## VVT-H04: Newsletter / E-Mail-Marketing

| Feld | Inhalt |
|------|--------|
| **Zweck** | Versand von Angeboten und Produktneuheiten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. a DS-GVO (Einwilligung) + UWG §7 Abs. 3 (Bestandskunden) |
| **Betroffene** | Newsletter-Abonnenten |
| **Datenkategorien** | E-Mail-Adresse, Name, Kaufhistorie (Bestandskunden), Oeffnungsraten |
| **Empfaenger** | Newsletter-Dienstleister (AVV) |
| **Loeschfrist** | Sofort nach Abmeldung |
| **TOM** | Double-Opt-In, Abmeldelink in jeder E-Mail |

## VVT-H05: Webanalyse und Tracking

| Feld | Inhalt |
|------|--------|
| **Zweck** | Analyse des Nutzerverhaltens im Shop, Conversion-Optimierung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. a DS-GVO (Einwilligung, TDDDG §25) |
| **Betroffene** | Website-Besucher |
| **Datenkategorien** | Anonymisierte IP, Seitenaufrufe, Klickpfade, Warenkorbdaten |
| **Empfaenger** | Analyse-Anbieter (AVV) |
| **Loeschfrist** | 14 Monate |
| **TOM** | IP-Anonymisierung, Cookie-Consent-Management, Opt-Out |

## VVT-H06: Retouren und Widerruf

| Feld | Inhalt |
|------|--------|
| **Zweck** | Bearbeitung von Retouren und Widerrufen (Fernabsatzrecht) |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/c DS-GVO |
| **Betroffene** | Kunden (Verbraucher) |
| **Datenkategorien** | Bestelldaten, Retourengrund, Erstattungsdaten |
| **Empfaenger** | Logistikdienstleister, Zahlungsanbieter |
| **Loeschfrist** | 3 Jahre (Verjaeherung), Buchhaltung 10 Jahre |
| **TOM** | Nachvollziehbare Retourenprozesse, Zugriffsbeschraenkung |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage Handel / E-Commerce.*
$template$
) ON CONFLICT DO NOTHING;

-- 6. VVT Branchenvorlage: Handwerk
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: Handwerksbetrieb',
    'Vorbefuelltes Verarbeitungsverzeichnis fuer Handwerksbetriebe (Bau, Kfz, Elektro, etc.).',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: Handwerksbetrieb

Typische Verarbeitungstaetigkeiten fuer Handwerksbetriebe.

---

## VVT-HW01: Kundenauftraege und Angebotserstellung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Angebotserstellung, Auftragsabwicklung, Rechnungsstellung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Kunden (Privat und Gewerbe) |
| **Datenkategorien** | Kontaktdaten, Objektadresse, Auftragsbeschreibung, Rechnungsdaten |
| **Empfaenger** | Buchhaltung, Steuerberater, ggf. Subunternehmer |
| **Loeschfrist** | 10 Jahre Rechnungen (AO/HGB), 5 Jahre Gewaehrleistung (BGB) |
| **TOM** | Zugriffskontrolle Auftragssystem, verschluesselte Speicherung |

## VVT-HW02: Mitarbeiterverwaltung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Personalverwaltung, Lohnabrechnung, Arbeitszeiterfassung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/c DS-GVO i.V.m. §26 BDSG |
| **Betroffene** | Beschaeftigte, Auszubildende |
| **Datenkategorien** | Stammdaten, Vertragsdaten, Bankverbindung, Arbeitszeiten, Gesundheitszeugnisse |
| **Empfaenger** | Lohnbuero (AVV), Finanzamt, Berufsgenossenschaft |
| **Loeschfrist** | 10 Jahre nach Austritt |
| **TOM** | Verschlossene Personalakte, Zugriffsschutz |

## VVT-HW03: Baustellendokumentation

| Feld | Inhalt |
|------|--------|
| **Zweck** | Dokumentation von Baufortschritt, Maengelprotokoll |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/f DS-GVO (Vertrag + berechtigtes Interesse) |
| **Betroffene** | Kunden, Mitarbeitende auf der Baustelle |
| **Datenkategorien** | Fotos (ggf. mit Personen), Protokolle, Abnahmedokumente |
| **Empfaenger** | Auftraggeber, Architekten, Baugutachter |
| **Loeschfrist** | 5 Jahre nach Abnahme (Verjaeherung), Fotos nach Projektabschluss |
| **TOM** | Beschraenkter Zugriff auf Projektordner, keine oeffentliche Cloud ohne AVV |

## VVT-HW04: Materialwirtschaft

| Feld | Inhalt |
|------|--------|
| **Zweck** | Materialbeschaffung, Lagerverwaltung, Lieferantenmanagement |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO |
| **Betroffene** | Lieferanten (Ansprechpartner) |
| **Datenkategorien** | Firmendaten, Ansprechpartner, Bestellhistorie, Konditionen |
| **Empfaenger** | Grosshandel, Buchhaltung |
| **Loeschfrist** | 6 Jahre (Handelsbriefe HGB), 10 Jahre Rechnungen |
| **TOM** | Zugriffskontrolle ERP/Warenwirtschaft |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage Handwerksbetrieb.*
$template$
) ON CONFLICT DO NOTHING;

-- 7. VVT Branchenvorlage: Bildung
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: Bildungseinrichtung',
    'Vorbefuelltes Verarbeitungsverzeichnis fuer Schulen, Hochschulen und Bildungstraeger. Beruecksichtigt Schueler-/Studentendaten als schutzbeduerftige Betroffene.',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: Bildungseinrichtung

Typische Verarbeitungstaetigkeiten fuer Schulen, Hochschulen und Bildungstraeger.

---

## VVT-B01: Schueler-/Studierendenverwaltung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Verwaltung von Schueler-/Studierendendaten, Anmeldung, Klassenzuordnung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. c/e DS-GVO i.V.m. Landesschulgesetz |
| **Betroffene** | Schueler/Studierende (ggf. Minderjaehrige — besonders schutzbeduerftig), Erziehungsberechtigte |
| **Datenkategorien** | Stammdaten, Kontaktdaten Erziehungsberechtigte, Klassenzuordnung |
| **Empfaenger** | Schulverwaltungssoftware-Anbieter (AVV), Schulbehoerde |
| **Loeschfrist** | Gemaess Landesschulgesetz (i.d.R. 5 Jahre nach Abgang) |
| **TOM** | Besonderer Zugriffsschutz, Altersverifizierung, Einwilligung Erziehungsberechtigte |
| **DSFA erforderlich?** | Ja (schutzbeduerftige Betroffene, ggf. grosser Umfang) |

## VVT-B02: Notenverarbeitung und Zeugniserstellung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Leistungsbewertung, Zeugnis- und Notenverwaltung |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. c/e DS-GVO i.V.m. Schulgesetz |
| **Betroffene** | Schueler/Studierende |
| **Datenkategorien** | Noten, Leistungsbewertungen, Pruefungsergebnisse |
| **Empfaenger** | Lehrkraefte, Schulleitung, Pruefungsamt |
| **Loeschfrist** | Zeugniskopien: 50 Jahre (Nachweispflicht), Einzelnoten: 2 Jahre |
| **TOM** | Zugriffsbeschraenkung auf Fachlehrkraft, verschluesselte Speicherung |

## VVT-B03: Lernplattform / LMS

| Feld | Inhalt |
|------|--------|
| **Zweck** | Digitaler Unterricht, Aufgabenverteilung, Kommunikation |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. e DS-GVO (oeffentliches Interesse) / lit. a (Einwilligung bei Minderjaehrigen) |
| **Betroffene** | Schueler/Studierende, Lehrkraefte |
| **Datenkategorien** | Nutzungsdaten, eingereichte Aufgaben, Chat-Nachrichten |
| **Empfaenger** | LMS-Anbieter (AVV), Hosting-Provider (AVV) |
| **Loeschfrist** | Kursende + 1 Schuljahr |
| **TOM** | Datensparsamkeit, keine Lernanalytics ohne Einwilligung, Hosting in EU |

## VVT-B04: Elternkommunikation

| Feld | Inhalt |
|------|--------|
| **Zweck** | Information und Kommunikation mit Erziehungsberechtigten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. e DS-GVO |
| **Betroffene** | Erziehungsberechtigte |
| **Datenkategorien** | Kontaktdaten, Nachrichteninhalt |
| **Empfaenger** | Kommunikationsplattform-Anbieter (AVV) |
| **Loeschfrist** | Ende des Schuljahres bzw. Abgang des Kindes |
| **TOM** | Verschluesselte Kommunikation, kein WhatsApp/Social Media |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage Bildungseinrichtung.*
$template$
) ON CONFLICT DO NOTHING;

-- 8. VVT Branchenvorlage: Beratung / Dienstleistung
INSERT INTO compliance.compliance_legal_templates (
    tenant_id, document_type, title, description, language, jurisdiction,
    version, status, license_name, source_name, attribution_required,
    is_complete_document, placeholders, content
) VALUES (
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'::uuid,
    'vvt_register',
    'VVT Branchenvorlage: Beratung / Dienstleistung',
    'Vorbefuelltes Verarbeitungsverzeichnis fuer Beratungsunternehmen, Kanzleien und Dienstleister.',
    'de', 'EU/DSGVO', '2.0', 'published', 'MIT', 'BreakPilot Compliance', false, true,
    '[]'::jsonb,
    $template$# VVT Branchenvorlage: Beratung / Dienstleistung

Typische Verarbeitungstaetigkeiten fuer Beratungsunternehmen, Kanzleien und professionelle Dienstleister.

---

## VVT-D01: Mandantenverwaltung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Verwaltung von Mandanten-/Kundenbeziehungen, Vertragsdokumentation |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfullung) |
| **Betroffene** | Mandanten, Ansprechpartner |
| **Datenkategorien** | Kontaktdaten, Vertragsdaten, Korrespondenz, Rechnungsdaten |
| **Empfaenger** | Kanzleisoftware-Anbieter (AVV), Steuerberater |
| **Loeschfrist** | 10 Jahre Rechnungen, 5 Jahre Handakten (Berufsrecht), 3 Jahre sonstige |
| **TOM** | Mandantengeheimnis, verschluesselte Speicherung, Need-to-know-Prinzip |

## VVT-D02: Projektmanagement

| Feld | Inhalt |
|------|--------|
| **Zweck** | Planung und Steuerung von Beratungsprojekten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/f DS-GVO |
| **Betroffene** | Projektbeteiligte (Mandant + intern) |
| **Datenkategorien** | Projektdaten, Aufgaben, Zeiterfassung, Ergebnisdokumente |
| **Empfaenger** | Projektmanagement-Tool (AVV), Mandant |
| **Loeschfrist** | 2 Jahre nach Projektabschluss |
| **TOM** | Projektspezifische Zugriffsrechte, Mandantentrennung |

## VVT-D03: Zeiterfassung und Abrechnung

| Feld | Inhalt |
|------|--------|
| **Zweck** | Erfassung geleisteter Stunden, Abrechnung gegenueber Mandanten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b DS-GVO |
| **Betroffene** | Berater/Mitarbeitende, Mandanten |
| **Datenkategorien** | Arbeitszeiten, Taetigkeitsbeschreibungen, Stundensaetze |
| **Empfaenger** | Abrechnungssystem (AVV), Buchhaltung |
| **Loeschfrist** | 10 Jahre (steuerliche Aufbewahrung) |
| **TOM** | Zugriffsbeschraenkung (nur eigene Zeiten + Projektleitung) |

## VVT-D04: Dokumentenmanagement

| Feld | Inhalt |
|------|--------|
| **Zweck** | Verwaltung und Archivierung von Mandantendokumenten |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. b/c DS-GVO |
| **Betroffene** | Mandanten, ggf. Dritte in Dokumenten |
| **Datenkategorien** | Vertraege, Gutachten, Korrespondenz, Berichte |
| **Empfaenger** | DMS-Anbieter (AVV), Cloud-Speicher (AVV) |
| **Loeschfrist** | Gemaess Berufsrecht und Mandatsvereinbarung |
| **TOM** | Dokumentenklassifizierung, Versionierung, Zugriffsprotokollierung |

## VVT-D05: CRM und Akquise

| Feld | Inhalt |
|------|--------|
| **Zweck** | Kontaktpflege, Akquise, Beziehungsmanagement |
| **Rechtsgrundlage** | Art. 6 Abs. 1 lit. f DS-GVO (berechtigtes Interesse: Geschaeftsanbahnung) |
| **Betroffene** | Interessenten, Geschaeftskontakte |
| **Datenkategorien** | Kontaktdaten, Firma, Branche, Gespraechsnotizen |
| **Empfaenger** | CRM-Anbieter (AVV) |
| **Loeschfrist** | 3 Jahre nach letztem Kontakt |
| **TOM** | Widerspruchsmoeglichkeit, Datenminimierung |

---

*Erstellt mit BreakPilot Compliance. Branchenvorlage Beratung / Dienstleistung.*
$template$
) ON CONFLICT DO NOTHING;
