{
    "schema": "https://saferpage.de/schemas/privacy-risk-governance.v1",
    "generated_at": "2026-06-08T20:51:41+00:00",
    "domain": "jmd-respekt-coaches.de",
    "scan": {
        "id": "0d724b06-ac9d-4395-bc2c-7efefa2838f2",
        "checked_at": "2026-06-08 09:21:47.972309+02"
    },
    "summary": "jmd-respekt-coaches.de Risiko-/DSFA-Center: 18 Risikozeile(n), 3 kritisch, 8 hoch/kritisch, dpia_empfohlen.",
    "status": "kritisch",
    "risk_score": 85,
    "metrics": {
        "risk_count": 18,
        "critical_count": 3,
        "high_count": 8,
        "risk_score": 85,
        "dpia_triggers": 3,
        "activities": 4,
        "flow_edges": 27,
        "retention_score": 81
    },
    "links": {
        "report": "https://saferpage.de/jmd-respekt-coaches.de",
        "risk_center": "https://saferpage.de/risiko/jmd-respekt-coaches.de",
        "json": "https://saferpage.de/risiko/jmd-respekt-coaches.de/export",
        "csv": "https://saferpage.de/risiko/jmd-respekt-coaches.de/export-csv",
        "operator_board": "https://saferpage.de/betreiber/jmd-respekt-coaches.de",
        "tickets_markdown": "https://saferpage.de/betreiber/jmd-respekt-coaches.de/tickets",
        "trust_center": "https://saferpage.de/trust/jmd-respekt-coaches.de",
        "vendor_register": "https://saferpage.de/anbieter/jmd-respekt-coaches.de",
        "cookie_declaration": "https://saferpage.de/cookies/jmd-respekt-coaches.de",
        "guides": "https://saferpage.de/guides"
    },
    "risk_register": [
        {
            "id": "consent_governance_risk",
            "sla": "7 Tage",
            "area": "Consent/Cookies",
            "owner": "Marketing/IT/Datenschutz",
            "title": "Consent- und Tracking-Risiko",
            "impact": "Nicht notwendige Cookies, Tracker oder Vendoren können ohne belastbare Einwilligung aktiv sein.",
            "source": "consent_audit",
            "due_days": 7,
            "evidence": "Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig.",
            "guide_url": "/guides/tracking-und-consent-reparieren",
            "likelihood": "hoch",
            "risk_level": "kritisch",
            "risk_score": 100,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#consent_governance_risk",
            "recommended_action": "Consent-Blocking, Reject-Test, GPC und Cookie-Kategorien prüfen."
        },
        {
            "id": "data_flow_risk",
            "sla": "30 Tage",
            "area": "Data Map",
            "owner": "Datenschutz/IT",
            "title": "Hohe Risiken in Datenflüssen",
            "impact": "Kritische Datenflüsse können Empfänger-, Transfer-, Zweck- oder Löschrisiken enthalten.",
            "source": "data_flow_map",
            "due_days": 30,
            "evidence": "Data Map mit 25 Knoten und 27 Datenfluss-Kanten; 11 Kante(n) hohes Risiko, 2 Transfer-Kante(n), 3 offene Mapping-Fragen.",
            "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
            "likelihood": "mittel",
            "risk_level": "kritisch",
            "risk_score": 95,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#data_flow_risk",
            "recommended_action": "Datenfluss-Kanten mit Datenklasse, Empfänger, Rechtsgrundlage, Transfer und Retention klären."
        },
        {
            "id": "dpia_decision_risk",
            "sla": "30 Tage",
            "area": "Privacy by Design",
            "owner": "Datenschutz/Product/Legal",
            "title": "DPIA-/DSFA-Entscheidung offen",
            "impact": "Hohe oder unklare Risiken brauchen eine dokumentierte DSFA-/DPIA-Entscheidung.",
            "source": "dpia_screening",
            "due_days": 30,
            "evidence": "DPIA/DSFA-Screening: dpia_empfohlen, Risiko-Score 44/100, 3 ausgelöste Risikofaktor(en), 3 hoch.",
            "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
            "likelihood": "mittel",
            "risk_level": "kritisch",
            "risk_score": 86,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#dpia_decision_risk",
            "recommended_action": "DPIA-Screening fachlich entscheiden, Schutzmaßnahmen und Restrestrisiko dokumentieren."
        },
        {
            "id": "SP-001",
            "sla": "7 Tage",
            "area": "DSGVO/Transparenz",
            "owner": "Datenschutz",
            "title": "Dateneingabe ohne klaren Datenschutzkontext",
            "impact": "Offenes Betreiber-Ticket mit SLA- und Nachweispflicht.",
            "source": "remediation_workflow",
            "due_days": 7,
            "evidence": "Datenschutzhinweise in Formularnähe ergänzen.",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern",
            "likelihood": "hoch",
            "risk_level": "hoch",
            "risk_score": 82,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#SP-001",
            "recommended_action": "Datenschutzhinweise in Formularnähe ergänzen."
        },
        {
            "id": "SP-002",
            "sla": "7 Tage",
            "area": "Referrer-Datenabfluss",
            "owner": "Website-Betrieb",
            "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
            "impact": "Offenes Betreiber-Ticket mit SLA- und Nachweispflicht.",
            "source": "remediation_workflow",
            "due_days": 7,
            "evidence": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden",
            "likelihood": "hoch",
            "risk_level": "hoch",
            "risk_score": 82,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#SP-002",
            "recommended_action": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten."
        },
        {
            "id": "privacy_notice_gap_risk",
            "sla": "14 Tage",
            "area": "Transparenz",
            "owner": "Datenschutz/Content",
            "title": "Datenschutzhinweis deckt beobachtete Technik nicht vollständig ab",
            "impact": "Nutzer erhalten möglicherweise keine vollständige Information zu Anbietern, Cookies oder Zwecken.",
            "source": "privacy_disclosure_gap_analysis",
            "due_days": 14,
            "evidence": "Disclosure-Abgleich: 3 beobachtete Anbieter, 3 Anbieter ohne klare Erwähnung, 0 fehlende Policy-Bausteine.",
            "guide_url": "/guides/datenschutzerklaerung-verbessern",
            "likelihood": "mittel",
            "risk_level": "hoch",
            "risk_score": 79,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#privacy_notice_gap_risk",
            "recommended_action": "Datenschutzerklärung, Cookie-Tabelle und Anbieterregister gegen Scan-Evidenz aktualisieren."
        },
        {
            "id": "SP-003",
            "sla": "7 Tage",
            "area": "DSGVO/Google-Dienste",
            "owner": "Datenschutz/Marketing",
            "title": "Google Consent Mode Default nicht erkannt",
            "impact": "Offenes Betreiber-Ticket mit SLA- und Nachweispflicht.",
            "source": "remediation_workflow",
            "due_days": 7,
            "evidence": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
            "guide_url": "/guides/google-dienste-datenschutzfreundlich-einbinden",
            "likelihood": "hoch",
            "risk_level": "hoch",
            "risk_score": 78,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#SP-003",
            "recommended_action": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults."
        },
        {
            "id": "incident_readiness_risk",
            "sla": "7 Tage",
            "area": "Incident Response",
            "owner": "DSB/Legal/IT",
            "title": "Incident-/Breach-Readiness unzureichend",
            "impact": "Bei Datenschutzvorfällen drohen Verzögerungen bei Beweissicherung, Risikoentscheidung und 72h-Prüfung.",
            "source": "incident_breach_readiness",
            "due_days": 7,
            "evidence": "Incident-/Breach-Readiness 38/100; 5 Szenario(s), 1 kritisch, 3 hoch/kritisch und 4 offene Nachweisposition(en).",
            "guide_url": "/guides/security-header-setzen",
            "likelihood": "mittel",
            "risk_level": "hoch",
            "risk_score": 78,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#incident_readiness_risk",
            "recommended_action": "Incident Owner, Playbook, Meldeentscheidung und Nachweisprotokoll vorbereiten."
        },
        {
            "id": "vendor_risk_register",
            "sla": "30 Tage",
            "area": "Vendor Risk",
            "owner": "Legal/Vendor Owner",
            "title": "Vendor-, AVV-/DPA- und Transfer-Risiko",
            "impact": "Unklare Anbieterrollen, Drittlandtransfers oder fehlende AVV/DPA-Nachweise erhöhen Compliance-Risiko.",
            "source": "vendor_due_diligence",
            "due_days": 30,
            "evidence": "Vendor-Due-Diligence mit 2 Anbieter(n), 0 hohem Risiko, 2 AVV-/DPA-Prüfung(en) und 2 Transfer-/Jurisdiktionsfrage(n).",
            "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 68,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#vendor_risk_register",
            "recommended_action": "Top-Anbieter priorisieren, AVV/DPA/TIA prüfen und Vendor-Akte vervollständigen."
        },
        {
            "id": "imprint_missing",
            "sla": "30 Tage",
            "area": "privacy",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Kein Impressum-Link erkannt",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Kein Impressum-Link erkannt",
            "guide_url": "/guides/impressum-und-kontakt-sichtbar-machen",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#imprint_missing",
            "recommended_action": "Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein."
        },
        {
            "id": "data_entry_privacy_context_missing",
            "sla": "30 Tage",
            "area": "data_entry",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Dateneingabe ohne klaren Datenschutzkontext",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Dateneingabe ohne klaren Datenschutzkontext",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#data_entry_privacy_context_missing",
            "recommended_action": "Vor Eingabe prüfen, welche Daten erhoben werden, wofür sie genutzt werden und wo die Datenschutzhinweise stehen."
        },
        {
            "id": "third_party_full_referrer_leak",
            "sla": "30 Tage",
            "area": "privacy",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Drittanbieter können vollen Referrer-Kontext erhalten",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#third_party_full_referrer_leak",
            "recommended_action": "Referrer-Policy prüfen und für Anbieter wie fonts.paperturn.com, assets.paperturn-view.com mindestens strict-origin-when-cross-origin oder strenger setzen."
        },
        {
            "id": "google_consent_mode_missing",
            "sla": "30 Tage",
            "area": "privacy",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Google Consent Mode Default nicht erkannt",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Google Consent Mode Default nicht erkannt",
            "guide_url": "/guides/google-dienste-datenschutzfreundlich-einbinden",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#google_consent_mode_missing",
            "recommended_action": "Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied."
        },
        {
            "id": "external_canonical",
            "sla": "30 Tage",
            "area": "seo",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Canonical zeigt auf fremde Domain",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Canonical zeigt auf fremde Domain",
            "guide_url": "/guides/seo-spam-und-cloaking-bereinigen",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#external_canonical",
            "recommended_action": "Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden."
        },
        {
            "id": "important_pages_not_discovered",
            "sla": "30 Tage",
            "area": "crawl",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden",
            "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#important_pages_not_discovered",
            "recommended_action": "Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein."
        },
        {
            "id": "missing_hsts",
            "sla": "30 Tage",
            "area": "security_headers",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "HSTS fehlt",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "HSTS fehlt",
            "guide_url": "/guides/security-header-setzen",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#missing_hsts",
            "recommended_action": "Header `strict-transport-security` setzen und nach Deployment erneut prüfen."
        },
        {
            "id": "missing_csp",
            "sla": "30 Tage",
            "area": "security_headers",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "Content-Security-Policy fehlt",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "Content-Security-Policy fehlt",
            "guide_url": "/guides/security-header-setzen",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#missing_csp",
            "recommended_action": "Header `content-security-policy` setzen und nach Deployment erneut prüfen."
        },
        {
            "id": "missing_x_frame_options",
            "sla": "30 Tage",
            "area": "security_headers",
            "owner": "Website-Betrieb/Datenschutz",
            "title": "X-Frame-Options fehlt",
            "impact": "Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.",
            "source": "findings",
            "due_days": 30,
            "evidence": "X-Frame-Options fehlt",
            "guide_url": "/guides/security-header-setzen",
            "likelihood": "mittel",
            "risk_level": "mittel",
            "risk_score": 62,
            "operator_decision": "beheben",
            "public_report_path": "/jmd-respekt-coaches.de#missing_x_frame_options",
            "recommended_action": "Header `x-frame-options` setzen und nach Deployment erneut prüfen."
        }
    ],
    "dpia_screening": {
        "status": "dpia_empfohlen",
        "summary": "DPIA/DSFA-Screening: dpia_empfohlen, Risiko-Score 44/100, 3 ausgelöste Risikofaktor(en), 3 hoch.",
        "decision": "DPIA/DSFA fachlich starten oder begründet dokumentieren, warum keine hohe Risikoschwelle erreicht ist.",
        "available": true,
        "disclaimer": "Automatisches Threshold Assessment aus öffentlichem Website-Scan. Die finale DPIA-/DSFA-Entscheidung muss fachlich/rechtlich dokumentiert werden.",
        "risk_score": 44,
        "risk_factors": [
            {
                "id": "personal_data_collection",
                "label": "Personenbezogene Dateneingabe",
                "action": "Zweck, Rechtsgrundlage, Pflichtfelder, Speicherfrist und Empfänger je Formular klären.",
                "weight": 18,
                "evidence": "0 Formular(e), Datenarten: Kontaktformular",
                "severity": "hoch",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "triggered": true
            },
            {
                "id": "form_context_gaps",
                "label": "Formulare ohne ausreichenden Datenschutzkontext",
                "action": "Datenschutzhinweis direkt am Eingabepunkt ergänzen.",
                "weight": 14,
                "evidence": "0 gecrawlte Formularseite(n) mit Kontextlücke; Startseiten-Kontext fehlt.",
                "severity": "hoch",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "triggered": true
            },
            {
                "id": "tracking_or_profiling",
                "label": "Tracking, Profiling oder Consent-Zustandsrisiken",
                "action": "Tracking vor Einwilligung blockieren, Zwecke trennen und Consent-Zustände nachweisen.",
                "weight": 18,
                "evidence": "0 datenschutzrelevante Domain(s) im Default-Zustand; Fingerprinting-Signale 0.",
                "severity": "hoch",
                "guide_url": "/guides/tracking-und-consent-reparieren",
                "triggered": false
            },
            {
                "id": "third_party_processors",
                "label": "Viele Drittanbieter oder Processor",
                "action": "Rollen, AVV/DPA, Zwecke und Empfänger je Anbieter dokumentieren.",
                "weight": 10,
                "evidence": "2 Anbieterregister-Eintrag/Einträge, 2 Drittanbieter-Domain(s).",
                "severity": "mittel",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "triggered": false
            },
            {
                "id": "international_transfer",
                "label": "Drittland-/Transferprüfung",
                "action": "Transfergrundlage, SCC/TIA, Anbieterregion und Alternativen prüfen.",
                "weight": 12,
                "evidence": "Transfer hoch 0, unklar 2.",
                "severity": "mittel",
                "guide_url": "/guides/drittlandtransfer-und-anbieter-pruefen",
                "triggered": false
            },
            {
                "id": "pii_leakage",
                "label": "PII-, Referrer- oder URL-Leakage",
                "action": "Formulardaten nicht in URLs/Referrern offenlegen; Referrer-Policy und Tracking auf Formularseiten begrenzen.",
                "weight": 12,
                "evidence": "PII-Risiko unklar, Referrer-betroffene Domains 2.",
                "severity": "hoch",
                "guide_url": "/guides/pii-und-url-datenlecks-vermeiden",
                "triggered": true
            },
            {
                "id": "public_authority_or_sensitive_context",
                "label": "Öffentliche Stelle oder sensibler Nutzungskontext",
                "action": "Bei Behörden, Gesundheit, Minderjährigen oder sensiblen Leistungen DPIA-Schwelle fachlich prüfen.",
                "weight": 8,
                "evidence": "Profil: Website-Typ Allgemeine Website, Betreiber Deutschland.",
                "severity": "mittel",
                "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
                "triggered": false
            },
            {
                "id": "external_embeds",
                "label": "Externe Inhalte vor Einwilligung",
                "action": "Karten, Videos, Captchas und Social-Widgets per Zwei-Klick oder nach Consent laden.",
                "weight": 6,
                "evidence": "0 externe Embed-/Widget-Element(e) vorab geladen.",
                "severity": "mittel",
                "guide_url": "/guides/externe-inhalte-datenschutzfreundlich-einbinden",
                "triggered": false
            },
            {
                "id": "gpc_or_optout_gap",
                "label": "GPC/Opt-out-Lücke",
                "action": "GPC/Opt-out-Signale respektieren und technisch nachweisen.",
                "weight": 6,
                "evidence": "GPC-Test mit 0 datenschutzrelevanten Domain(s).",
                "severity": "mittel",
                "guide_url": "/guides/tracking-und-consent-reparieren",
                "triggered": false
            }
        ],
        "high_risk_count": 3,
        "triggered_count": 3,
        "recommended_actions": [
            "Zweck, Rechtsgrundlage, Pflichtfelder, Speicherfrist und Empfänger je Formular klären.",
            "Datenschutzhinweis direkt am Eingabepunkt ergänzen.",
            "Formulardaten nicht in URLs/Referrern offenlegen; Referrer-Policy und Tracking auf Formularseiten begrenzen.",
            "Offene Remediation-Tickets vor DPIA-Freigabe priorisieren."
        ],
        "assessment_questions": [
            {
                "id": "purpose",
                "why": "DPIA braucht einen klaren Scope.",
                "owner": "Website-Betrieb",
                "priority": "hoch",
                "question": "Welche konkrete Verarbeitung oder Website-Änderung soll bewertet werden?"
            },
            {
                "id": "data_categories",
                "why": "Datenart und Betroffenengruppe bestimmen das Risiko.",
                "owner": "Datenschutz",
                "priority": "hoch",
                "question": "Welche personenbezogenen Daten, besonderen Kategorien oder Nutzergruppen sind betroffen?"
            },
            {
                "id": "scale",
                "why": "Umfang und Regelmäßigkeit beeinflussen die DSFA-Schwelle.",
                "owner": "Fachbereich",
                "priority": "mittel",
                "question": "Wie viele Nutzer, Seiten, Formulare und Systeme sind betroffen?"
            },
            {
                "id": "vendors",
                "why": "Empfänger und Drittlandtransfer sind zentrale Risikotreiber.",
                "owner": "Legal/Datenschutz",
                "priority": "hoch",
                "question": "Welche Anbieter/Processor und Transfers sind notwendig?"
            },
            {
                "id": "controls",
                "why": "Rest-Risiko muss nach Maßnahmen bewertet werden.",
                "owner": "Developer/Ops",
                "priority": "hoch",
                "question": "Welche technischen und organisatorischen Maßnahmen reduzieren das Risiko?"
            },
            {
                "id": "approval",
                "why": "Audit-Trail und Verantwortlichkeit müssen nachvollziehbar sein.",
                "owner": "Datenschutz",
                "priority": "mittel",
                "question": "Wer dokumentiert Entscheidung, Restrisiko und Freigabe?"
            }
        ],
        "recommended_safeguards": [
            "Privacy by Design: Datenminimierung und Zweckbindung je Formular/Tag dokumentieren.",
            "Consent-Gating: nicht erforderliche Tags, Storage und Drittinhalte bis zur Einwilligung blockieren.",
            "Transferkontrolle: Drittlandtransfer, SCC/TIA und Anbieterrollen prüfen.",
            "Security: TLS, Security-Header, Referrer-Policy und sichere Cookies härten.",
            "Governance: Remediation-Tickets mit Owner, SLA und Wiederholungsscan schließen."
        ],
        "linked_workflow_ticket_count": 8
    },
    "processing_activity_record": {
        "status": "Betreiber ergänzen",
        "summary": "RoPA-Entwurf mit 4 Verarbeitungstätigkeit(en), 2 hohem Risikolevel und 6 offenen Betreiberfragen.",
        "activities": [
            {
                "name": "Website-Formulare und Eingaben",
                "purpose": "Bearbeitung von Eingaben, Kontakt-, Newsletter- oder Konto-/Service-Anfragen.",
                "evidence": "0 Formular(e), Datenarten Kontaktformular.",
                "transfer": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "confidence": 82,
                "recipients": [
                    "jugendmigrationsdienste.paperturn-view.com",
                    "paperturn-view.com"
                ],
                "risk_level": "hoch",
                "activity_id": "website_forms",
                "data_subjects": [
                    "Website-Besucher"
                ],
                "dpia_relevance": "prüfen",
                "retention_hint": "Löschfrist je Anfrage-/Newsletter-/Konto-Prozess festlegen.",
                "controller_hint": "jmd-respekt-coaches.de",
                "data_categories": [
                    "Kontaktformular"
                ],
                "operator_action": "Zweck, Pflichtfelder, Empfänger, Speicherfrist, Rechtsgrundlage und Betroffenenrechte je Formular dokumentieren.",
                "legal_basis_hint": "Art. 6 Abs. 1 lit. b/f DSGVO oder Einwilligung je Formularzweck prüfen.",
                "security_measures_hint": "HTTPS/TLS, Zugriffsbeschränkung, datensparsame Logs, Consent-Gating und regelmäßiger SaferPage-Wiederholungsscan prüfen.",
                "processor_or_recipient_count": 2
            },
            {
                "name": "Cookies, Web Storage und Consent",
                "purpose": "Bereitstellung der Website, Consent-Verwaltung, Statistik/Tracking oder Komfortfunktionen je Kategorie.",
                "evidence": "12 Cookie-/Storage-Eintrag/Einträge, 0 mit Einwilligungs-/Klärungsbedarf.",
                "transfer": "Drittlandtransfer je Cookie-/Tag-Anbieter prüfen.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 88,
                "recipients": [
                    "Eigene Website oder eingebundener Dienst"
                ],
                "risk_level": "mittel",
                "activity_id": "cookies_storage",
                "data_subjects": [
                    "Website-Besucher"
                ],
                "dpia_relevance": "prüfen",
                "retention_hint": "Cookie-Laufzeiten aus Inventar übernehmen und minimieren.",
                "controller_hint": "jmd-respekt-coaches.de",
                "data_categories": [
                    "Cookie-ID",
                    "Consent-Status",
                    "Geräte-/Browserinformationen",
                    "Storage-Key-Metadaten"
                ],
                "operator_action": "Cookie-Erklärung und Consent-Regeln mit tatsächlichen Cookies/Storage-Einträgen abgleichen.",
                "legal_basis_hint": "TDDDG/ePrivacy: technische Erforderlichkeit oder Einwilligung; DSGVO-Rechtsgrundlage je Zweck prüfen.",
                "security_measures_hint": "HTTPS/TLS, Zugriffsbeschränkung, datensparsame Logs, Consent-Gating und regelmäßiger SaferPage-Wiederholungsscan prüfen.",
                "processor_or_recipient_count": 1
            },
            {
                "name": "Drittanbieter-Dienste und Einbindungen",
                "purpose": "Einbindung externer Dienste für Hosting, CDN, Medien, Analyse, Sicherheit, Komfort oder Kommunikation.",
                "evidence": "2 Anbieter/Processor, 2 mit Datenschutz-/Transfer-Prüfbedarf.",
                "transfer": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 86,
                "recipients": [
                    "jugendmigrationsdienste.paperturn-view.com",
                    "paperturn-view.com"
                ],
                "risk_level": "hoch",
                "activity_id": "third_party_services",
                "data_subjects": [
                    "Website-Besucher"
                ],
                "dpia_relevance": "prüfen",
                "retention_hint": "Speicherfristen der Anbieter dokumentieren und Verträge/AVV prüfen.",
                "controller_hint": "jmd-respekt-coaches.de",
                "data_categories": [
                    "IP-Adresse",
                    "Nutzungsdaten",
                    "Geräteinformationen",
                    "Referrer-/Request-Metadaten"
                ],
                "operator_action": "AVV/DPA, Rolle, Zweck, Transfergrundlage und Datenschutzerklärung je Anbieter pflegen.",
                "legal_basis_hint": "Berechtigtes Interesse, Vertragserfüllung oder Einwilligung je Dienst prüfen.",
                "security_measures_hint": "HTTPS/TLS, Zugriffsbeschränkung, datensparsame Logs, Consent-Gating und regelmäßiger SaferPage-Wiederholungsscan prüfen.",
                "processor_or_recipient_count": 2
            },
            {
                "name": "Betroffenenrechte- und Datenschutzanfragen",
                "purpose": "Annahme, Prüfung und Beantwortung von Auskunfts-, Lösch-, Berichtigungs-, Widerspruchs- oder Portabilitätsanfragen.",
                "evidence": "Betroffenenrechte-Readiness: 26/100 Punkte, 6 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse.",
                "transfer": "Kein Drittlandtransfer ohne eingesetztes Ticket-/Mail-/Portal-System; Betreiber prüfen.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 74,
                "recipients": [
                    "interne Datenschutz-/Legal-/Fachbereichsteams"
                ],
                "risk_level": "mittel",
                "activity_id": "privacy_rights_requests",
                "data_subjects": [
                    "Website-Besucher"
                ],
                "dpia_relevance": "prüfen",
                "retention_hint": "Nach Abschluss nur erforderliche Nachweise und Fristenprotokoll aufbewahren.",
                "controller_hint": "jmd-respekt-coaches.de",
                "data_categories": [
                    "Identitätsbezug",
                    "Kontaktinformationen",
                    "Anfragetyp",
                    "Kommunikationsinhalte"
                ],
                "operator_action": "Intake-Kanal, Fristen, Identitätsprüfung, sichere Antwort und Löschkonzept dokumentieren.",
                "legal_basis_hint": "Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Pflichten.",
                "security_measures_hint": "HTTPS/TLS, Zugriffsbeschränkung, datensparsame Logs, Consent-Gating und regelmäßiger SaferPage-Wiederholungsscan prüfen.",
                "processor_or_recipient_count": 1
            }
        ],
        "open_questions": []
    },
    "data_flow_map": {
        "status": "kritische Flüsse prüfen",
        "summary": "Data Map mit 25 Knoten und 27 Datenfluss-Kanten; 11 Kante(n) hohes Risiko, 2 Transfer-Kante(n), 3 offene Mapping-Fragen.",
        "edges": [
            {
                "type": "controller_activity",
                "label": "verantwortet",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "activity:website-forms",
                "edge_id": "controller:jmd-respekt-coaches-de->activity:website-forms:verantwortet",
                "evidence": "0 Formular(e), Datenarten Kontaktformular.",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "confidence": 80,
                "risk_level": "hoch",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "Website-Formulare und Eingaben",
                "operator_action": "Owner, Zweck und Rechtsgrundlage für diese Aktivität bestätigen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:website-forms",
                "target": "data:kontaktformular",
                "edge_id": "activity:website-forms->data:kontaktformular:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "confidence": 76,
                "risk_level": "hoch",
                "source_label": "Website-Formulare und Eingaben",
                "target_label": "Kontaktformular",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:website-forms",
                "target": "recipient:jugendmigrationsdienste-paperturn-view-com",
                "edge_id": "activity:website-forms->recipient:jugendmigrationsdienste-paperturn-view-com:bermittelt-an-empf-nger",
                "evidence": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "hoch",
                "source_label": "Website-Formulare und Eingaben",
                "target_label": "jugendmigrationsdienste.paperturn-view.com",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:website-forms",
                "target": "recipient:paperturn-view-com",
                "edge_id": "activity:website-forms->recipient:paperturn-view-com:bermittelt-an-empf-nger",
                "evidence": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "hoch",
                "source_label": "Website-Formulare und Eingaben",
                "target_label": "paperturn-view.com",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "controller_activity",
                "label": "verantwortet",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "activity:cookies-storage",
                "edge_id": "controller:jmd-respekt-coaches-de->activity:cookies-storage:verantwortet",
                "evidence": "12 Cookie-/Storage-Eintrag/Einträge, 0 mit Einwilligungs-/Klärungsbedarf.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 80,
                "risk_level": "mittel",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "Cookies, Web Storage und Consent",
                "operator_action": "Owner, Zweck und Rechtsgrundlage für diese Aktivität bestätigen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:cookies-storage",
                "target": "data:cookie-id",
                "edge_id": "activity:cookies-storage->data:cookie-id:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Cookies, Web Storage und Consent",
                "target_label": "Cookie-ID",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:cookies-storage",
                "target": "data:consent-status",
                "edge_id": "activity:cookies-storage->data:consent-status:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Cookies, Web Storage und Consent",
                "target_label": "Consent-Status",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:cookies-storage",
                "target": "data:ger-te-browserinformationen",
                "edge_id": "activity:cookies-storage->data:ger-te-browserinformationen:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Cookies, Web Storage und Consent",
                "target_label": "Geräte-/Browserinformationen",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:cookies-storage",
                "target": "data:storage-key-metadaten",
                "edge_id": "activity:cookies-storage->data:storage-key-metadaten:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Cookies, Web Storage und Consent",
                "target_label": "Storage-Key-Metadaten",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:cookies-storage",
                "target": "recipient:eigene-website-oder-eingebundener-dienst",
                "edge_id": "activity:cookies-storage->recipient:eigene-website-oder-eingebundener-dienst:bermittelt-an-empf-nger",
                "evidence": "Drittlandtransfer je Cookie-/Tag-Anbieter prüfen.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "mittel",
                "source_label": "Cookies, Web Storage und Consent",
                "target_label": "Eigene Website oder eingebundener Dienst",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "controller_activity",
                "label": "verantwortet",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "activity:third-party-services",
                "edge_id": "controller:jmd-respekt-coaches-de->activity:third-party-services:verantwortet",
                "evidence": "2 Anbieter/Processor, 2 mit Datenschutz-/Transfer-Prüfbedarf.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 80,
                "risk_level": "hoch",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "Drittanbieter-Dienste und Einbindungen",
                "operator_action": "Owner, Zweck und Rechtsgrundlage für diese Aktivität bestätigen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:third-party-services",
                "target": "data:ip-adresse",
                "edge_id": "activity:third-party-services->data:ip-adresse:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 76,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "IP-Adresse",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:third-party-services",
                "target": "data:nutzungsdaten",
                "edge_id": "activity:third-party-services->data:nutzungsdaten:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 76,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "Nutzungsdaten",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:third-party-services",
                "target": "data:ger-teinformationen",
                "edge_id": "activity:third-party-services->data:ger-teinformationen:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 76,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "Geräteinformationen",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:third-party-services",
                "target": "data:referrer-request-metadaten",
                "edge_id": "activity:third-party-services->data:referrer-request-metadaten:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 76,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "Referrer-/Request-Metadaten",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:third-party-services",
                "target": "recipient:jugendmigrationsdienste-paperturn-view-com",
                "edge_id": "activity:third-party-services->recipient:jugendmigrationsdienste-paperturn-view-com:bermittelt-an-empf-nger",
                "evidence": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "jugendmigrationsdienste.paperturn-view.com",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:third-party-services",
                "target": "recipient:paperturn-view-com",
                "edge_id": "activity:third-party-services->recipient:paperturn-view-com:bermittelt-an-empf-nger",
                "evidence": "2 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 0 mit hohem Prüfbedarf, 2 unklar.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "hoch",
                "source_label": "Drittanbieter-Dienste und Einbindungen",
                "target_label": "paperturn-view.com",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "controller_activity",
                "label": "verantwortet",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "activity:privacy-rights-requests",
                "edge_id": "controller:jmd-respekt-coaches-de->activity:privacy-rights-requests:verantwortet",
                "evidence": "Betroffenenrechte-Readiness: 26/100 Punkte, 6 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 80,
                "risk_level": "mittel",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "Betroffenenrechte- und Datenschutzanfragen",
                "operator_action": "Owner, Zweck und Rechtsgrundlage für diese Aktivität bestätigen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:privacy-rights-requests",
                "target": "data:identit-tsbezug",
                "edge_id": "activity:privacy-rights-requests->data:identit-tsbezug:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Betroffenenrechte- und Datenschutzanfragen",
                "target_label": "Identitätsbezug",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:privacy-rights-requests",
                "target": "data:kontaktinformationen",
                "edge_id": "activity:privacy-rights-requests->data:kontaktinformationen:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Betroffenenrechte- und Datenschutzanfragen",
                "target_label": "Kontaktinformationen",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:privacy-rights-requests",
                "target": "data:anfragetyp",
                "edge_id": "activity:privacy-rights-requests->data:anfragetyp:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Betroffenenrechte- und Datenschutzanfragen",
                "target_label": "Anfragetyp",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_data",
                "label": "verarbeitet Datenart",
                "source": "activity:privacy-rights-requests",
                "target": "data:kommunikationsinhalte",
                "edge_id": "activity:privacy-rights-requests->data:kommunikationsinhalte:verarbeitet-datenart",
                "evidence": "Datenkategorie aus Verarbeitungstätigkeit abgeleitet.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "confidence": 76,
                "risk_level": "mittel",
                "source_label": "Betroffenenrechte- und Datenschutzanfragen",
                "target_label": "Kommunikationsinhalte",
                "operator_action": "Datenminimierung, Pflichtfelder und Löschfrist je Datenart prüfen."
            },
            {
                "type": "activity_recipient",
                "label": "übermittelt an Empfänger",
                "source": "activity:privacy-rights-requests",
                "target": "recipient:interne-datenschutz-legal-fachbereichsteams",
                "edge_id": "activity:privacy-rights-requests->recipient:interne-datenschutz-legal-fachbereichsteams:bermittelt-an-empf-nger",
                "evidence": "Kein Drittlandtransfer ohne eingesetztes Ticket-/Mail-/Portal-System; Betreiber prüfen.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 72,
                "risk_level": "mittel",
                "source_label": "Betroffenenrechte- und Datenschutzanfragen",
                "target_label": "interne Datenschutz-/Legal-/Fachbereichsteams",
                "operator_action": "Empfängerrolle, AVV/DPA und Transfergrundlage dokumentieren."
            },
            {
                "type": "controller_vendor",
                "label": "setzt Anbieter ein",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "vendor:jugendmigrationsdienste-paperturn-view-com",
                "edge_id": "controller:jmd-respekt-coaches-de->vendor:jugendmigrationsdienste-paperturn-view-com:setzt-anbieter-ein",
                "evidence": "1 Request(s), 0 Cookie(s), Transfer Jurisdiktion unklar, Risiko mittel.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 82,
                "risk_level": "niedrig",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "jugendmigrationsdienste.paperturn-view.com",
                "operator_action": "Zweck für Sonstige prüfen und bei Personenbezug dokumentieren."
            },
            {
                "type": "vendor_transfer",
                "label": "Transfer-/Jurisdiktionsprüfung",
                "source": "vendor:jugendmigrationsdienste-paperturn-view-com",
                "target": "transfer:jurisdiktion-unklar",
                "edge_id": "vendor:jugendmigrationsdienste-paperturn-view-com->transfer:jurisdiktion-unklar:transfer-jurisdiktionspr-fung",
                "evidence": "Jurisdiktion unklar",
                "guide_url": "/guides/drittlandtransfer-und-anbieter-pruefen",
                "confidence": 74,
                "risk_level": "mittel",
                "source_label": "jugendmigrationsdienste.paperturn-view.com",
                "target_label": "Jurisdiktion unklar",
                "operator_action": "Region, SCC/TIA, EU-Alternative und Datenschutzerklärungseintrag prüfen."
            },
            {
                "type": "controller_vendor",
                "label": "setzt Anbieter ein",
                "source": "controller:jmd-respekt-coaches-de",
                "target": "vendor:paperturn-view-com",
                "edge_id": "controller:jmd-respekt-coaches-de->vendor:paperturn-view-com:setzt-anbieter-ein",
                "evidence": "1 Request(s), 0 Cookie(s), Transfer Jurisdiktion unklar, Risiko mittel.",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "confidence": 82,
                "risk_level": "niedrig",
                "source_label": "jmd-respekt-coaches.de",
                "target_label": "paperturn-view.com",
                "operator_action": "Zweck für Sonstige prüfen und bei Personenbezug dokumentieren."
            },
            {
                "type": "vendor_transfer",
                "label": "Transfer-/Jurisdiktionsprüfung",
                "source": "vendor:paperturn-view-com",
                "target": "transfer:jurisdiktion-unklar",
                "edge_id": "vendor:paperturn-view-com->transfer:jurisdiktion-unklar:transfer-jurisdiktionspr-fung",
                "evidence": "Jurisdiktion unklar",
                "guide_url": "/guides/drittlandtransfer-und-anbieter-pruefen",
                "confidence": 74,
                "risk_level": "mittel",
                "source_label": "paperturn-view.com",
                "target_label": "Jurisdiktion unklar",
                "operator_action": "Region, SCC/TIA, EU-Alternative und Datenschutzerklärungseintrag prüfen."
            }
        ],
        "open_questions": [
            {
                "id": "activity_system_mapping",
                "why": "Öffentliche Website-Signale zeigen externe Flüsse, aber nicht interne Datenbanken, CRM, Ticketsysteme oder Mailboxen.",
                "owner": "IT/Fachbereich",
                "priority": "hoch",
                "question": "Welche internen Systeme oder Datenspeicher gehören zu jeder Website-Verarbeitung?",
                "expected_evidence": "Systemliste je Verarbeitung mit Owner, Datenkategorien, Löschfrist und Zugriffskonzept."
            },
            {
                "id": "vendor_flow_validation",
                "why": "Die Data Map leitet Beziehungen aus sichtbaren Requests und Registern ab; Verträge und reale Zweckbindung müssen bestätigt werden.",
                "owner": "Datenschutz/Legal",
                "priority": "hoch",
                "question": "Welche Anbieter erhalten welche Datenarten und auf welcher Rechts-/Transfergrundlage?",
                "expected_evidence": "Anbieterakte, AVV/DPA, SCC/TIA, Zweckbeschreibung, Consent-Regel und Datenschutzerklärungseintrag."
            },
            {
                "id": "retention_link",
                "why": "Löschfristen sind für RoPA, DSAR-Erfüllung und Privacy-by-Design zentral.",
                "owner": "Datenschutz/IT",
                "priority": "mittel",
                "question": "Welche Löschfrist gilt je Datenfluss vom Formular/Cookie/Anbieter bis zum internen System?",
                "expected_evidence": "Retention-Matrix je Datenkategorie, System und Empfänger."
            }
        ]
    },
    "retention_deletion": {
        "status": "retention-ready",
        "summary": "Retention-/Deletion-Readiness 81/100; 8/10 Kontrollpunkt(e) erfüllt, 2 Lücke(n) oder manuelle Nachweise offen.",
        "score": 81,
        "checks": [
            {
                "id": "retention_notice",
                "label": "Speicherfristen und Löschung im Datenschutzhinweis",
                "owner": "Datenschutz/Content",
                "action": "Speicherfristen, Löschkriterien, Rechtsgrundlagen und Betroffenenrechte je Datenkategorie verständlich ergänzen.",
                "passed": true,
                "status": "vorhanden",
                "weight": 12,
                "evidence": "Entwurf aus Scan-Evidenz: 0 Cookie(s), 2 Drittanbieter-Domain(s), 12 Storage-Key(s).",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "manual_review": false
            },
            {
                "id": "cookie_retention",
                "label": "Cookie-/Storage-Laufzeiten bewertet",
                "owner": "Marketing/IT",
                "action": "Cookie-Laufzeiten auf Zweckbindung prüfen, unnötig lange Laufzeiten kürzen und Cookie-Erklärung aktualisieren.",
                "passed": true,
                "status": "vorhanden",
                "weight": 12,
                "evidence": "Cookies 12, fehlende Laufzeit 0, Retention-Risiken 0, langlebige Hinweise 12.",
                "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
                "manual_review": false
            },
            {
                "id": "data_inventory_retention",
                "label": "Dateninventar mit Datenarten und Systemen",
                "owner": "Datenschutz/IT",
                "action": "Je Datenart Quelle, System, Speicherfrist, Löschtrigger und Fachbereich im RoPA/Data Map ergänzen.",
                "passed": true,
                "status": "vorhanden",
                "weight": 14,
                "evidence": "4 Verarbeitungstätigkeit(en), 25 Data-Map-Knoten, 1 Datenart(en).",
                "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
                "manual_review": false
            },
            {
                "id": "legal_basis_retention",
                "label": "Rechtsgrundlage, Zweck und Aufbewahrung verknüpft",
                "owner": "Datenschutz/Legal",
                "action": "Retention je Zweck/Rechtsgrundlage dokumentieren: Vertrag, Einwilligung, berechtigtes Interesse, gesetzliche Aufbewahrung, Verjährung.",
                "passed": true,
                "status": "vorhanden",
                "weight": 10,
                "evidence": "16 Rechtsgrundlagenzeile(n) im Report.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "manual_review": false
            },
            {
                "id": "erasure_workflow",
                "label": "Löschanfragen mit DSAR-Workflow verbunden",
                "owner": "Datenschutz/Support/IT",
                "action": "Art.-17-Löschung, Einschränkung, Widerspruch, Vendor-Tasking und Abschlussnachweis im DSAR-Workflow verbinden.",
                "passed": false,
                "status": "fehlt",
                "weight": 12,
                "evidence": "DSAR-Workflow-Readiness 48/100; 5/10 Kontrollpunkt(e) erfüllt, 5 Lücke(n) oder manuelle Betreiber-Nachweise offen.",
                "guide_url": "/guides/datenschutzerklaerung-verbessern",
                "manual_review": false
            },
            {
                "id": "vendor_deletion",
                "label": "Vendor-/Processor-Löschung und Rückgabe steuerbar",
                "owner": "Legal/Vendor Owner",
                "action": "AVV/DPA, Rückgabe/Löschung, Unterauftragsverarbeiter, Backup-Fristen und Nachweis je Anbieter prüfen.",
                "passed": true,
                "status": "vorhanden",
                "weight": 10,
                "evidence": "Vendor-Due-Diligence mit 2 Anbieter(n), 0 hohem Risiko, 2 AVV-/DPA-Prüfung(en) und 2 Transfer-/Jurisdiktionsfrage(n).",
                "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
                "manual_review": false
            },
            {
                "id": "backup_legal_hold",
                "label": "Backups, Legal Hold und Ausnahmen geregelt",
                "owner": "Legal/IT",
                "action": "Backup-Retention, gesetzliche Aufbewahrung, Legal Hold, Sperrvermerk und Löschaufschub als Betreiberregel dokumentieren.",
                "passed": false,
                "status": "prüfen",
                "weight": 8,
                "evidence": "Aus öffentlichem Scan nicht beweisbar.",
                "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
                "manual_review": true
            },
            {
                "id": "minimization_trigger",
                "label": "Datenminimierung und Löschtrigger bei Formularen",
                "owner": "Fachbereich/Datenschutz",
                "action": "Formulare auf Pflichtfelder, Zweckbindung, Double-Opt-in, Löschfrist und CRM-/Support-Weitergabe prüfen.",
                "passed": true,
                "status": "vorhanden",
                "weight": 8,
                "evidence": "Formulare 0, Datenschutzkontext nein.",
                "guide_url": "/guides/formulare-datenschutzkonform-absichern",
                "manual_review": false
            },
            {
                "id": "deletion_evidence",
                "label": "Löschprotokoll und Integritätsnachweis",
                "owner": "Compliance/IT",
                "action": "Löschläufe, Negativsuche, Ausnahmen, Vendor-Rückmeldungen und Abschluss mit Hash-/Audit-Nachweis protokollieren.",
                "passed": true,
                "status": "vorhanden",
                "weight": 10,
                "evidence": "Prüfbeleg vorhanden, Root-Hash 8746da4fa1ebac38.",
                "guide_url": "/methodik",
                "manual_review": false
            },
            {
                "id": "change_monitoring",
                "label": "Change Trigger für Retention-Risiken",
                "owner": "Datenschutz/IT",
                "action": "Neue Cookies, Formulare, Anbieter, Datenflüsse und Rechtsänderungen als Retention-Review auslösen.",
                "passed": true,
                "status": "vorhanden",
                "weight": 8,
                "evidence": "Alerts 0, Regulatory-Pflichten 10.",
                "guide_url": "/monitoring",
                "manual_review": false
            }
        ],
        "retention_schedule": [
            {
                "id": "cookies_storage",
                "owner": "Marketing/IT",
                "source": "Browser-/Cookie-Inventar",
                "evidence": "12 Cookie-/Storage-Eintrag/Einträge; Retention-Risiken 0.",
                "data_category": "Cookies, LocalStorage und SessionStorage",
                "deletion_trigger": "Ablauf, Widerruf, Zweckende, technische Bereinigung",
                "default_retention": "Session bis 13 Monate je Zweck prüfen"
            },
            {
                "id": "contact_forms",
                "owner": "Fachbereich/Datenschutz",
                "source": "Formular- und Datenartenanalyse",
                "evidence": "Formulare 0, Datenarten 1.",
                "data_category": "Kontakt-, Newsletter- und Formularangaben",
                "deletion_trigger": "Anfrage erledigt, Abmeldung, Zweckende, Löschanfrage",
                "default_retention": "Zweckende plus notwendige Nachweis-/Verjährungsfrist"
            },
            {
                "id": "vendor_logs",
                "owner": "Vendor Owner/Legal",
                "source": "Vendor Register / Data Map",
                "evidence": "2 Anbieter, 2 DPA-Prüfungen.",
                "data_category": "Drittanbieter-, Tracking- und Supportdaten",
                "deletion_trigger": "Vendor-Offboarding, Zweckende, DSAR-Löschung, Vertragsende",
                "default_retention": "Nach Anbieterzweck, AVV/DPA und Transferprüfung"
            },
            {
                "id": "security_audit_logs",
                "owner": "Compliance/IT",
                "source": "Audit Receipt / Evidence Pack",
                "evidence": "Prüfbeleg und Hash-Manifest als Nachweisquelle.",
                "data_category": "Security-, Consent- und Audit-Nachweise",
                "deletion_trigger": "Fristablauf, Zweckende, Archivierung oder Rechtsgrund entfällt",
                "default_retention": "Nachweispflicht und Sicherheitsbedarf fachlich festlegen"
            }
        ],
        "deletion_workflow": [
            {
                "id": "identify",
                "owner": "Datenschutz/Support",
                "phase": "Identifizieren",
                "action": "Datenart, Zweck, Systeme, Anbieter und Rechtsgrundlage bestimmen.",
                "timebox": "Tag 0-3",
                "evidence": "DSAR-Ticket, RoPA/Data Map, Vendor Register."
            },
            {
                "id": "hold_check",
                "owner": "Legal/Fachbereich",
                "phase": "Legal Hold & Aufbewahrung",
                "action": "Gesetzliche Aufbewahrung, Verjährung, Betrugsprävention und Sperrung statt Löschung prüfen.",
                "timebox": "Tag 3-7",
                "evidence": "Hold-Entscheidung, Rechtsgrund, Sperrvermerk."
            },
            {
                "id": "execute",
                "owner": "IT/Vendor Owner",
                "phase": "Löschung / Sperrung",
                "action": "System- und Vendor-Aufgaben ausführen, Backups/Archive nach Retention-Regel behandeln.",
                "timebox": "Tag 7-21",
                "evidence": "Löschlauf, Vendor-Bestätigung, technische Logs."
            },
            {
                "id": "verify",
                "owner": "Datenschutz/Compliance",
                "phase": "Nachweis & Antwort",
                "action": "Negativsuche, Ausnahmen und Abschlussantwort dokumentieren.",
                "timebox": "bis Tag 30",
                "evidence": "Deletion-Log, Abschlussnotiz, Antwortkopie."
            }
        ]
    },
    "open_operator_questions": [
        {
            "id": "activity_system_mapping",
            "why": "Öffentliche Website-Signale zeigen externe Flüsse, aber nicht interne Datenbanken, CRM, Ticketsysteme oder Mailboxen.",
            "owner": "IT/Fachbereich",
            "priority": "hoch",
            "question": "Welche internen Systeme oder Datenspeicher gehören zu jeder Website-Verarbeitung?",
            "expected_evidence": "Systemliste je Verarbeitung mit Owner, Datenkategorien, Löschfrist und Zugriffskonzept."
        },
        {
            "id": "vendor_flow_validation",
            "why": "Die Data Map leitet Beziehungen aus sichtbaren Requests und Registern ab; Verträge und reale Zweckbindung müssen bestätigt werden.",
            "owner": "Datenschutz/Legal",
            "priority": "hoch",
            "question": "Welche Anbieter erhalten welche Datenarten und auf welcher Rechts-/Transfergrundlage?",
            "expected_evidence": "Anbieterakte, AVV/DPA, SCC/TIA, Zweckbeschreibung, Consent-Regel und Datenschutzerklärungseintrag."
        },
        {
            "id": "retention_link",
            "why": "Löschfristen sind für RoPA, DSAR-Erfüllung und Privacy-by-Design zentral.",
            "owner": "Datenschutz/IT",
            "priority": "mittel",
            "question": "Welche Löschfrist gilt je Datenfluss vom Formular/Cookie/Anbieter bis zum internen System?",
            "expected_evidence": "Retention-Matrix je Datenkategorie, System und Empfänger."
        },
        {
            "id": "purpose",
            "why": "DPIA braucht einen klaren Scope.",
            "owner": "Website-Betrieb",
            "priority": "hoch",
            "question": "Welche konkrete Verarbeitung oder Website-Änderung soll bewertet werden?"
        },
        {
            "id": "data_categories",
            "why": "Datenart und Betroffenengruppe bestimmen das Risiko.",
            "owner": "Datenschutz",
            "priority": "hoch",
            "question": "Welche personenbezogenen Daten, besonderen Kategorien oder Nutzergruppen sind betroffen?"
        },
        {
            "id": "scale",
            "why": "Umfang und Regelmäßigkeit beeinflussen die DSFA-Schwelle.",
            "owner": "Fachbereich",
            "priority": "mittel",
            "question": "Wie viele Nutzer, Seiten, Formulare und Systeme sind betroffen?"
        },
        {
            "id": "vendors",
            "why": "Empfänger und Drittlandtransfer sind zentrale Risikotreiber.",
            "owner": "Legal/Datenschutz",
            "priority": "hoch",
            "question": "Welche Anbieter/Processor und Transfers sind notwendig?"
        },
        {
            "id": "controls",
            "why": "Rest-Risiko muss nach Maßnahmen bewertet werden.",
            "owner": "Developer/Ops",
            "priority": "hoch",
            "question": "Welche technischen und organisatorischen Maßnahmen reduzieren das Risiko?"
        },
        {
            "id": "approval",
            "why": "Audit-Trail und Verantwortlichkeit müssen nachvollziehbar sein.",
            "owner": "Datenschutz",
            "priority": "mittel",
            "question": "Wer dokumentiert Entscheidung, Restrisiko und Freigabe?"
        }
    ],
    "recommended_safeguards": [
        "Privacy by Design: Datenminimierung und Zweckbindung je Formular/Tag dokumentieren.",
        "Consent-Gating: nicht erforderliche Tags, Storage und Drittinhalte bis zur Einwilligung blockieren.",
        "Transferkontrolle: Drittlandtransfer, SCC/TIA und Anbieterrollen prüfen.",
        "Security: TLS, Security-Header, Referrer-Policy und sichere Cookies härten.",
        "Governance: Remediation-Tickets mit Owner, SLA und Wiederholungsscan schließen."
    ],
    "priority_actions": [
        "Zweck, Rechtsgrundlage, Pflichtfelder, Speicherfrist und Empfänger je Formular klären.",
        "Datenschutzhinweis direkt am Eingabepunkt ergänzen.",
        "Formulardaten nicht in URLs/Referrern offenlegen; Referrer-Policy und Tracking auf Formularseiten begrenzen.",
        "Offene Remediation-Tickets vor DPIA-Freigabe priorisieren.",
        "RoPA-Entwurf mit Fachbereich, Datenschutz und IT gegen reale Systeme vervollständigen.",
        "Rechtsgrundlage, Löschfrist, Empfänger und TOMs je Aktivität verbindlich festlegen.",
        "RoPA nach jedem SaferPage-Wiederholungsscan und jeder Website-Änderung aktualisieren.",
        "Top-Datenflüsse mit hohem Risiko gegen reale Systeme, Anbieterakten und Consent-Regeln validieren.",
        "Interne Systeme, Speicherorte und Löschfristen ergänzen, weil sie aus öffentlicher Website-Evidenz nicht vollständig ableitbar sind.",
        "Data Map nach jedem Website-Release, Anbieterwechsel oder neuen Formular/Cookie erneut prüfen.",
        "Art.-17-Löschung, Einschränkung, Widerspruch, Vendor-Tasking und Abschlussnachweis im DSAR-Workflow verbinden.",
        "Backup-Retention, gesetzliche Aufbewahrung, Legal Hold, Sperrvermerk und Löschaufschub als Betreiberregel dokumentieren."
    ],
    "disclaimer": "Automatisch aus SaferPage-Befunden und Betreiber-Artefakten abgeleitetes Risikoregister. Risikoakzeptanz, Rechtsbewertung und finale Priorisierung müssen Betreiber und Datenschutzverantwortliche entscheiden."
}