Phase 11: Freigabereife

Kein Modul, sondern die drei Software-Voraussetzungen fuer 1.0.0:
Auskunft nach Art. 15 DSGVO, ein geprueftes Sicherungskonzept und eine
Pipeline.

Das Auskunftsrecht war ein Versprechen ohne Umsetzung: `person.export`
stand seit Phase 0 im Katalog und war dem Kommandanten zugewiesen,
implementiert war nichts. Ohne Auskunftsseite ist ein Loeschkonzept nicht
abnehmbar. Jetzt sammelt FLORIAN dreizehn Abschnitte ueber eine Person,
mit dem Zweck ueber jedem - Art. 15 verlangt nicht nur die Daten, sondern
auch Zwecke und Rechte, und eine blosse Liste erfuellt die Pflicht nicht.
Ein Durchgang liefert Anzeige, PDF und JSON nach Art. 20.

Die Trennlinie ist "ueber mich" gegen "von mir": was ueber die Person
gespeichert ist, steht vollstaendig drin, auch das Unangenehme. Was sie
getan hat, steht als Zahl drin - die Pruefprotokolle gehoeren zum
Nachweisbestand der Wehr, und vollstaendig ausgeliefert kaeme jeder ueber
eine Selbstauskunft an die Geraeteakten.

Die Rueckspielprobe hat sich sofort bezahlt gemacht: der erste Versuch
lief sauber durch und hatte dabei saemtliche Unveraenderlichkeitsgarantien
der Datenbank entfernt. Die Vorgabeprivilegierung aus dem Init-Skript gibt
jeder von pg_restore neu angelegten Tabelle wieder alle Rechte, und GRANT
kann nur hinzufuegen. Die Anwendungsrolle durfte danach das Audit-Log
aendern, Wiki-Fassungen loeschen, Kiosk-Vorgaenge umschreiben - und nichts
haette darauf hingewiesen. Gefunden haben es vier Datenbanktests
unmittelbar nach der Probe, also genau die Probe, wegen der 1.0.0 sie
verlangt.

Die Pipeline ist geschrieben, aber NICHT erprobt: in Gitea ist kein
act_runner registriert. Das steht so im README und im Devlog, damit sich
niemand auf eine Pruefung verlaesst, die nicht stattfindet.

601 Unit-Tests gruen; Sicherung und Wiederherstellung einmal vollstaendig
durchgefuehrt und die Tests danach erneut gruen.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -6,6 +6,100 @@ Alle nennenswerten Änderungen an FLORIAN. Format nach
 
 Die Regeln dazu stehen in [docs/VERSIONIERUNG.md](docs/VERSIONIERUNG.md).
 
+## [0.12.0] — 2026-09-05
+
+Phase 11: Freigabereife. Die drei Software-Voraussetzungen für 1.0.0 —
+Personenauskunft nach Art. 15 DSGVO, ein geprüftes Sicherungskonzept und eine
+Pipeline, die die Tests von allein ausführt.
+
+**Das Auskunftsrecht war ein Versprechen ohne Umsetzung.** `person.export`
+stand seit Phase 0 im Berechtigungskatalog und war dem Kommandanten
+zugewiesen; implementiert war nichts. Die Löschseite gab es (Anonymisierung im
+Aufbewahrungslauf), die Auskunftsseite nicht — und ohne Art. 15 ist ein
+Löschkonzept nicht abnehmbar.
+
+**Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.** Genau
+das hat sich hier bestätigt: der erste Rückspielversuch lief scheinbar
+sauber durch und hatte dabei sämtliche Unveränderlichkeitsgarantien der
+Datenbank entfernt.
+
+### Hinzugefügt
+
+**Auskunft nach Art. 15 DSGVO**
+
+- `lib/dsgvo/auskunft.ts` sammelt alles, was über eine Person vorliegt:
+  Stammdaten, Zugang, Rollen, Qualifikationen, arbeitsmedizinische Vorsorge,
+  Belastungsübungen, Einsatz- und Übungsbeteiligung, Anwesenheiten, Fahrten,
+  Beiträge, Benachrichtigungswege, Ausweise. Dreizehn Abschnitte.
+- **Über jedem Abschnitt steht, wozu die Daten vorliegen.** Art. 15 Abs. 1
+  verlangt nicht nur die Daten, sondern auch Zwecke, Empfänger und den Hinweis
+  auf die weiteren Rechte. Eine Liste ohne das sieht aus wie eine Auskunft und
+  ist keine.
+- **Gesundheitsdaten sind als besondere Kategorie nach Art. 9 gekennzeichnet** —
+  G26 und Belastungsübungen.
+- **Leere Abschnitte bleiben stehen.** „Dazu liegt nichts vor" ist eine
+  Auskunft; ein weggelassener Abschnitt wirft die Frage auf, ob da doch etwas
+  ist.
+- **Was die Person getan hat, wird gezählt, nicht mitgeliefert.** Prüfprotokolle
+  und Mängelmeldungen gehören zum Nachweisbestand der Wehr. Vollständig
+  ausgeliefert käme jeder über eine Selbstauskunft an die Geräteakten — die
+  Auskunftspflicht wäre eine Hintertür.
+- Ein Durchgang liefert alles: die Anzeige, ein PDF für die Akte und JSON nach
+  Art. 20. Bewusst nicht drei Knöpfe, von denen zwei vergessen werden können.
+- Der Vorgang wird protokolliert. Dass eine Auskunft erteilt wurde, gehört
+  festgehalten — sie legt alles offen, was über einen Menschen gespeichert ist.
+
+**Sicherung und Wiederherstellung**
+
+- `npm run sicherung` — Datenbank über `pg_dump` im Container, dazu alle
+  Dateien aus MinIO, dazu ein Manifest. Beides aus demselben Moment: eine
+  Datenbank von heute mit Dateien von gestern ergibt Verweise ins Leere.
+- `npm run wiederherstellen` — mit Probelauf als Vorgabe. Ohne `--wirklich`
+  wird nur angezeigt, was geschähe.
+- Nach dem Zurückspielen setzt das Skript die Sperren der Anwendungsrolle neu
+  und **prüft danach nach**, ob es gewirkt hat.
+- `scripts/sicherung-sperren.ts` ist die eine Liste, aus der Wiederherstellen
+  und Prüfen entstehen. Ein Test gleicht sie gegen die migrierte Datenbank ab —
+  läuft sie auseinander, wäre der Schaden lautlos.
+
+**Pipeline**
+
+- `.gitea/workflows/pruefung.yml` mit zwei Aufträgen: `pruefung` (typecheck,
+  lint, Migrationen, Seed, 599 Unit-Tests) bei jedem Push, `oberflaeche`
+  (E2E) auf `main` und in Pull Requests.
+- Die Datenbank wird aus `docker/postgres` gebaut statt aus einem fertigen
+  Image: FLORIAN braucht PostGIS **und** pgvector. Ein Dienst-Container mit
+  `postgres:17` ließe die Migrationen durch und scheiterte erst bei der ersten
+  Umkreissuche.
+- Der Seed läuft mit, weil er selbst ein Test ist.
+
+### Behoben
+
+- **Eine Wiederherstellung entfernte alle Unveränderlichkeitsgarantien.** Der
+  Dump lief mit `--no-acl`, die Rechte kamen also nicht zurück; und selbst
+  ohne dieses Flag greift beim Zurückspielen die Vorgabeprivilegierung aus
+  `docker/postgres/10-init-app-role.sh` — jede von `pg_restore` neu angelegte
+  Tabelle bekommt automatisch alle Rechte, und `GRANT` kann nur hinzufügen,
+  nie wegnehmen. Nach einer Wiederherstellung durfte die Anwendungsrolle das
+  Audit-Log ändern, Wiki-Fassungen löschen und Kiosk-Vorgänge umschreiben.
+  Nichts hätte darauf hingewiesen.
+
+  Gefunden haben es vier Datenbanktests unmittelbar nach der ersten
+  Rückspielprobe — also genau die Probe, wegen der 1.0.0 sie verlangt.
+- **Ein E2E-Test klickte, bevor die Seite lebendig war.** Unter Last dauert das
+  Hydrieren länger; das Formular verschickte sich dann selbst, und die
+  Fehlerfläche, auf die der Test wartete, entstand nie — obwohl der Server
+  richtig ablehnte. Er wartet jetzt auf einen client-seitig erzeugten Knopf.
+
+### Nachweise
+
+- Sicherung und Wiederherstellung einmal vollständig durchgeführt: ein nach
+  der Sicherung angelegter Datensatz war danach weg, alle Zahlen stimmten
+  wieder, und **599 Tests liefen nach dem Zurückspielen grün** — einschließlich
+  derer, die die Sperren prüfen.
+
+---
+
 ## [0.11.0] — 2026-09-05
 
 Phase 10: Mandantenfähigkeit. Ein Konto, mehrere Wehren, eine Kreisebene, die