DSGVO — Datenfluss-Map (v2.1 pre-license)

Status: Operativ-gültiges Dokument für Phase A. Stand 2026-05-19. ROPA-ready. Owner: Antonios. Update bei jedem Processor-Wechsel.

1. Controller / Joint Controllers / Processors

2. Datenkategorien

3. Rechtsgrundlagen (Art. 6 DSGVO)

4. Datenflüsse — Signal-Lebenszyklus

Pilot (User mit role=pilot)
  → /pilot/strategy/new → publishSignalAction
  → publishSignal()  ←  packages/shared/src/signal.schema.ts
       writes:
         signals (Supabase)
         signal_deliveries × N (Supabase)
         audit_log (Supabase, chain-hashed)

Cron drainers (every 2 min)
  → drain-email      → Resend (EU+US)     → Empfänger-Inbox
  → drain-push       → web-push lib       → Browser-VAPID-Endpoint
  → drain-expo-push  → Expo Push API (US) → APNs / FCM → Gerät
  → drain-webhooks   → Partner-URL (HTTPS HMAC-SHA256-signed)

Alle Steps schreiben Status zurück in signal_deliveries. Audit-Eintrag pro Step.

5. Datenflüsse — Subscriber-Lebenszyklus

Sign-up
  → Supabase Auth (Magic Link via Resend)
  → auth.user_created webhook → POST /api/webhooks/supabase
  → subscribers row + audit_log

Upgrade
  → /upgrade → Stripe Checkout (Ireland)
  → checkout.completed → POST /api/webhooks/stripe
  → subscribers.status='paid' + subscribers.stripe_customer_id + audit_log

Unsubscribe
  → /account/unsubscribe → subscribers.status='cancelled'
  → user opens Stripe Portal → cancels → customer.subscription.deleted → audit_log
  → bei period_end: drainer hört auf, dem User Email-Signale zu senden

6. Drittlandsübermittlungen

• Resend (Email): Routing via US-Provider möglich. Verarbeitung primär EU, Übermittlung in Drittland für Zustellung an US-Empfänger gestützt auf SCC + EU-US Data Privacy Framework.
• APNs (Apple) / FCM (Google) / Expo Push API: notwendig zur App-Funktion. SCC + DPF.
• Stripe Ireland (EU); Stripe-eigene Subprocessors (US) via SCC.

7. Subjects-Rechte (Art. 15–22 DSGVO)

8. Datenschutzfolgenabschätzung (DSFA) — Aufschiebung

• Phase A erfordert keine DSFA (Art. 35), da:
• keine systematische Profilbildung (1:N-Signale)
• keine sensiblen Datenkategorien (Art. 9)
• kein automatisches Entscheidungssystem (Art. 22)
• DSFA wird re-evaluiert bei Phase C (Suitability-Engine, KYC, Stripe Connect Pilot-Payouts).

9. Sicherheits-Maßnahmen (Art. 32)

• TLS 1.3 für alle Endpoints (Vercel + Supabase).
• Bcrypt-equivalent (SHA-256 + secret prefix) für Partner-API-Keys.
• Web-Push-Subs sind self-RLS (User darf nur eigene sehen).
• Audit-Log append-only via Postgres-Trigger + chain-hashed (apps/web/lib/audit/chain.ts).
• Sentry: PII Sanitization aktiviert.
• PostHog: kein Autocapture; expliziter identify() nur post-Sign-up.
• Backups: Supabase PITR (siehe docs/runbooks/db-recovery.md).

10. Auftragsverarbeitungsverträge (AVV / DPA)

(Alle Links Stand 2026-05-19; Antonios reviewed quartalsweise.)

11. Decision Log

v2.1 — 2026-05-19. ROPA-ready.