# Trust Communications Delivery fuer kzvmv.de

Trust Communications Delivery für kzvmv.de: 8 Zustellkanäle, 4 Absender-Gates, 5 Notification-Regeln, Score 100.

> Communications Delivery ist ein Betreiber-Blueprint. Diese öffentliche Seite sendet keine E-Mails, postet nicht in Slack/Teams, ruft keine Webhooks auf und veröffentlicht keine Empfänger- oder Viewer-Identitäten.

## Zustaellkanaele
- [ ] **E-Mail-Verifizierung und Passwordless Code** (transactional_email, required): Keine Tokens, E-Mail-Adressen oder Codes in öffentlichen Logs/Exports.
- [ ] **Pre-approved Invitation Mail** (transactional_email, operator_review_required): Kein Versand ohne Empfängerbindung, Access Scope, NDA-Regel und Rate-Limit.
- [ ] **Trust Updates und Subprocessor-Digest** (subscriber_email, ready_blueprint): Double-Opt-in, Abmeldung und Subscriber-Löschung müssen vor Live-Versand stehen.
- [ ] **Dokument- und Ressourcen-Update** (subscriber_email, review_required): Gated Dokumente nur an berechtigte Segmente; private Links nicht in Mailtext ausgeben.
- [ ] **Slack Customer Activity Stream** (internal_slack, dry_run): Viewer-E-Mail nur nach expliziter interner Sichtbarkeitsregel; keine privaten Dokumenttitel in Public Channels.
- [ ] **Slack Questionnaire/Answerbot Notification** (internal_slack, dry_run): Questionnaire-Dateien, Freitext und Kundendaten nicht in Slack-Payload kopieren.
- [ ] **Teams/Slack Access Request Routing** (internal_approval, operator_review_required): Approve/Deny nur mit HMAC, Rollenprüfung, Idempotency-Key und Auditlog.
- [ ] **Webhook/CRM Delivery** (server_webhook, operator_review_required): Nur Feldallowlist; keine Roh-Downloads, Tokens, E-Mail-Adressen oder Chat-Transkripte.

## Absender-Gates
- Absenderdomain muss vom Betreiber kontrolliert werden: required
- SPF/DKIM/DMARC bzw. Provider-Authentifizierung vor Versand prüfen: required
- Einladungen, Verifizierung und Updates nutzen konsistente Marke und Reply-To-Regel: required
- Fallback-Absender nur bewusst und sichtbar im Runbook zulassen: review_required

## Delivery-Workflow
- [ ] **Event klassifizieren** (Trust Operations): Kategorie, Zielgruppe, Kritikalität und Quelle festlegen.
- [ ] **Zielgruppe auflösen** (Compliance): Public, Subscriber, Approved Viewer, internes Team oder CRM-Segment bewusst wählen.
- [ ] **Payload sanitizen** (Platform): Allowlist anwenden; keine E-Mail-Adressen, Tokens, Rohdokumente oder internen IDs.
- [ ] **Freigabe einholen** (Legal/DSB/Owner): Incident, Privacy, Vendor oder private Access-Events brauchen Review.
- [ ] **Dry-Run prüfen** (Trust Operations): Betreff, Absender, Kanal, Segment, Rate-Limit und Abmeldelink vor Versand testen.
- [ ] **Delivery-Audit schreiben** (Platform): Idempotency-Key, Retry, Dead Letter, Status und Retention dokumentieren.

## Audit-Controls
- [ ] Idempotency-Key pro Event: required
- [ ] HMAC-Signatur für Webhooks und Approval Buttons: required
- [ ] Rate-Limits und Abuse-Schutz pro Kanal: required
- [ ] Dead-Letter-Queue mit manueller Entscheidung: required
- [ ] Retention, Abmeldung und Viewer-Datenlöschung: required