docs: README, Datenschutztexte, Dockerfile und Sicherungsskripte

Damit ist Etappe 1 abgeschlossen und betriebsfertig dokumentiert.

README mit beiden Betriebswegen. Docker Compose auf eigenem Server ist
der Hauptweg; Vercel und Neon sind vollstaendig beschrieben, aber mit
einer klaren Begruendung, warum ich davon abrate: beide Anbieter sind
US-Unternehmen und unterliegen auch bei EU-Region potenziell dem
CLOUD-Act. Bei Gesundheitsdaten einer nicht entscheidungsfaehigen Person
ist das eine Abwaegung, die man bewusst treffen muss.

Reverse-Proxy-Beispiele fuer Caddy, nginx und Traefik - der Proxy selbst
ist nicht Teil des Compose-Setups, weil er auf dem Zielserver schon
steht. Die Datenbank hat keine Portfreigabe.

Sicherung: pg_dump schreibt direkt in die Verschluesselung, der Klartext
landet nie auf der Platte. Danach eine Selbstpruefung - laesst sich die
Datei nicht wieder entschluesseln, endet der Lauf mit Fehler statt mit
einem stillen Scheinerfolg. Der jeweils erste Stand eines Monats bleibt
dauerhaft stehen.

Die README sagt ausdruecklich, was das Backup NICHT enthaelt: den
Schluessel ENC_KEY_V1 und die Dateien im Objektspeicher. Dazu eine
Anleitung, die Wiederherstellung einmal im Jahr zu ueben - mit dem
letzten Schritt, in der Anwendung nachzusehen, ob die Diagnosen im
Klartext erscheinen. Erst dann stimmt nicht nur die Datenbank, sondern
auch der Schluessel.

Verarbeitungsverzeichnis und Datenschutzhinweise als ausfuellbare
Textbausteine. Die Hinweise sind in einfacher Sprache geschrieben - sie
sollen der betreuten Person vorgelesen werden koennen. Die Seite
/datenschutz liest denselben Text aus docs/, damit es nicht zwei
Fassungen gibt, die auseinanderlaufen.

Dockerfile in drei Stufen mit Tesseract, deutschen Sprachdaten und
poppler-utils. Zeitzone Europe/Berlin ist gesetzt - ohne sie rechnet der
Server in UTC und verschiebt Fristen um einen Tag.

Etappe: 1
Phase: Fundament

docs/datenschutzhinweise.md

@@ -0,0 +1,134 @@
+# Datenschutzhinweise
+
+nach Art. 13 und 14 DSGVO
+
+> **Textbaustein.** Die eckigen Klammern ausfüllen, dann ausdrucken und der
+> betreuten Person aushändigen bzw. vorlesen — soweit sie das aufnehmen kann.
+> Wenn nicht, gehört ein Vermerk darüber in die Akte. Mitleser bekommen
+> denselben Text, bevor sie freigeschaltet werden.
+
+---
+
+## Wer verarbeitet Ihre Daten?
+
+[Vorname Nachname]
+[Straße, PLZ Ort]
+[E-Mail] · [Telefon]
+
+Ich bin durch Beschluss des [Amtsgericht] vom [Datum], Az. [Aktenzeichen],
+zu Ihrem rechtlichen Betreuer bestellt worden.
+
+---
+
+## Warum verarbeite ich Ihre Daten?
+
+Damit ich die Aufgaben wahrnehmen kann, die mir das Betreuungsgericht
+übertragen hat: [Aufgabenkreise eintragen, z. B. Vermögenssorge,
+Gesundheitssorge, Aufenthaltsbestimmung].
+
+Konkret heißt das: Ich führe Ihre Angelegenheiten mit Behörden, Kassen und
+Versicherungen, verwalte Ihr Vermögen, dokumentiere Arztbesuche und
+Krankenhausaufenthalte, und ich muss dem Betreuungsgericht einmal im Jahr
+darüber berichten.
+
+Dazu bin ich gesetzlich verpflichtet — die Grundlagen sind §§ 1814 ff. BGB,
+für die Berichte § 1863 BGB, für die Rechnungslegung §§ 1835, 1859, 1865 BGB.
+
+---
+
+## Welche Daten sind das?
+
+- Ihr Name, Geburtsdatum und Ihre Anschrift
+- Wo Sie leben, seit wann, und wer Sie dort betreut
+- **Ihre Gesundheitsdaten**: Diagnosen, Pflegegrad, Arztbesuche,
+  Krankenhausaufenthalte, Medikamente, Hilfsmittel
+- **Was Sie sich wünschen** — das ist seit der Reform 2023 der Maßstab
+  meines Handelns (§ 1821 BGB), deshalb halte ich es ausdrücklich fest
+- Ihr Vermögen: Konten, Immobilien, Versicherungen, Einnahmen und Ausgaben
+- Ihre Versicherten-, Renten- und Steuernummer
+- Schreiben von und an Behörden, Gerichte, Kassen und Versicherungen
+- Notizen zu Gesprächen, die ich in Ihrer Sache geführt habe
+
+---
+
+## Wer bekommt diese Daten zu sehen?
+
+| Wer | Wofür |
+|---|---|
+| Das Betreuungsgericht | Jahresbericht, Vermögensverzeichnis, Genehmigungsanträge |
+| [Bezirk Oberfranken] | Ihr Antrag auf Hilfe zur Pflege |
+| Kranken- und Pflegekasse | Anträge, Widersprüche |
+| Ihr Pflegeheim | soweit für die Betreuung nötig |
+| [Namen der Mitleser] | nur die Bereiche, die ich ausdrücklich freigegeben habe |
+
+Der Anbieter, auf dessen Servern die Anwendung läuft, kann technisch auf die
+Daten zugreifen. Mit ihm besteht ein Vertrag nach Art. 28 DSGVO, der ihm das
+verbietet.
+
+**Ihre Daten verlassen die Europäische Union nicht.** Die Server stehen in
+[Ort], Deutschland.
+
+---
+
+## Wie sind die Daten geschützt?
+
+- Der Zugang ist durch ein Passwort **und** einen zweiten Faktor gesichert.
+  Ein Passwort allein genügt nicht.
+- Besonders empfindliche Angaben — Diagnosen, Ihre Wünsche, Kontonummern,
+  Versicherungsnummern, alle Notizen — sind zusätzlich **verschlüsselt**
+  gespeichert. Selbst wer an die Datenbank käme, könnte sie ohne den
+  separaten Schlüssel nicht lesen.
+- Jede Änderung wird protokolliert: wer, wann, was. Dieses Protokoll kann
+  nachträglich niemand ändern oder löschen — auch ich nicht.
+- Es werden keine Werbe- oder Analysedienste eingesetzt. Es gibt keine
+  Verbindungen zu fremden Servern.
+
+---
+
+## Wie lange bleiben die Daten gespeichert?
+
+Solange die Betreuung läuft, und danach noch zehn Jahre. Diese Frist gibt
+es, weil ich meine Rechnungslegung so lange belegen können muss — gegenüber
+dem Gericht und gegebenenfalls gegenüber Ihren Erben.
+
+Danach werden die Daten gelöscht. Endet die Betreuung vorher, gebe ich die
+Unterlagen an den nachfolgenden Betreuer oder an Sie selbst heraus.
+
+---
+
+## Welche Rechte haben Sie?
+
+Sie haben das Recht,
+
+- **Auskunft** darüber zu verlangen, welche Daten ich über Sie gespeichert
+  habe (Art. 15 DSGVO) — auf Wunsch drucke ich Ihnen das aus,
+- **falsche Daten berichtigen** zu lassen (Art. 16 DSGVO),
+- die **Löschung** zu verlangen (Art. 17 DSGVO) — allerdings nur, soweit ich
+  nicht gesetzlich zur Aufbewahrung verpflichtet bin,
+- die Verarbeitung **einschränken** zu lassen (Art. 18 DSGVO),
+- Ihre Daten in einem gängigen Format zu erhalten (Art. 20 DSGVO) — die
+  Anwendung hat dafür eine Exportfunktion,
+- der Verarbeitung zu **widersprechen** (Art. 21 DSGVO).
+
+Wenden Sie sich dafür einfach an mich.
+
+**Beschwerderecht:** Wenn Sie meinen, dass ich mit Ihren Daten nicht richtig
+umgehe, können Sie sich beschweren bei
+
+Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
+Promenade 18, 91522 Ansbach
+Telefon 0981 180093-0 · poststelle@lda.bayern.de
+
+---
+
+## Ein Hinweis in eigener Sache
+
+Ein Teil dieser Daten muss ich erheben, weil das Gesetz es verlangt — ohne
+Vermögensverzeichnis und Jahresbericht darf ich die Betreuung nicht führen.
+Bei anderen Angaben, etwa Ihren persönlichen Wünschen, geht es allein darum,
+dass ich in Ihrem Sinne entscheide. Sagen Sie mir jederzeit, wenn etwas
+davon nicht festgehalten werden soll.
+
+---
+
+*Stand: [Datum]*

docs/verarbeitungsverzeichnis.md

@@ -0,0 +1,193 @@
+# Verzeichnis von Verarbeitungstätigkeiten
+
+nach Art. 30 DSGVO
+
+> **Textbaustein.** Die eckigen Klammern musst du ausfüllen. Der Rest
+> beschreibt, was die Anwendung tatsächlich tut, und stimmt mit dem Code
+> überein. Stand: siehe Änderungsdatum dieser Datei.
+
+---
+
+## 1. Verantwortlicher
+
+| Feld | Angabe |
+|---|---|
+| Name | [Vorname Nachname] |
+| Anschrift | [Straße, PLZ Ort] |
+| E-Mail | [E-Mail] |
+| Telefon | [Telefon] |
+| Funktion | Ehrenamtlich bestellter rechtlicher Betreuer nach §§ 1814 ff. BGB |
+| Bestellung durch | [Amtsgericht], Az. [Aktenzeichen], vom [Datum] |
+
+**Datenschutzbeauftragter:** nicht erforderlich. Die Verarbeitung erfolgt
+durch eine einzelne natürliche Person im Rahmen einer ehrenamtlichen
+Betreuung; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen
+nicht vor.
+
+---
+
+## 2. Zwecke der Verarbeitung
+
+Wahrnehmung der durch das Betreuungsgericht übertragenen Aufgabenkreise,
+insbesondere:
+
+- Vermögenssorge einschließlich der Rechnungslegung gegenüber dem
+  Betreuungsgericht (§§ 1835, 1859, 1865 BGB)
+- Gesundheitssorge einschließlich der Dokumentation von Behandlungen,
+  Krankenhausaufenthalten und des ermittelten Willens (§ 1821 BGB)
+- Erfüllung der Berichtspflichten (§ 1863 BGB)
+- Antragstellung und Verfahrensführung gegenüber Sozialleistungsträgern
+  (SGB XI, SGB XII, SGB V, SGB IX)
+- Fristenüberwachung und Nachweisführung
+
+---
+
+## 3. Rechtsgrundlagen
+
+| Datenkategorie | Rechtsgrundlage |
+|---|---|
+| Allgemeine Personen-, Vermögens- und Vertragsdaten | Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung aus §§ 1814 ff. BGB |
+| | Art. 6 Abs. 1 lit. e DSGVO — Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe |
+| Gesundheitsdaten (Art. 9 Abs. 1 DSGVO) | Art. 9 Abs. 2 lit. c DSGVO — Schutz lebenswichtiger Interessen einer Person, die außerstande ist, ihre Einwilligung zu geben |
+| | Art. 9 Abs. 2 lit. f DSGVO — Geltendmachung von Rechtsansprüchen |
+| | soweit einwilligungsfähig: Art. 9 Abs. 2 lit. a DSGVO |
+| Protokollierung (Audit-Log) | Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und der Nachweispflicht gegenüber dem Betreuungsgericht |
+
+---
+
+## 4. Kategorien betroffener Personen
+
+- Die betreute Person
+- Kontaktpersonen: Rechtspfleger, Sachbearbeiter der Sozialleistungsträger,
+  Heim- und Pflegedienstleitung, behandelnde Ärzte, Notare, Makler,
+  Versicherungsvertreter, Steuerberater, Handwerker
+- Angehörige, soweit sie in Kontaktprotokollen erwähnt werden
+- Nutzer der Anwendung (Betreuer, Mitleser)
+
+---
+
+## 5. Kategorien personenbezogener Daten
+
+**Zur betreuten Person**
+
+| Kategorie | Beispiele | Verschlüsselt? |
+|---|---|---|
+| Stammdaten | Name, Geburtsdatum, Geburtsort, Anschrift | nein |
+| Aufenthalt | Einrichtung, Zimmer, Einzugsdatum | nein |
+| Gerichtsdaten | Aktenzeichen, Bestellungsdatum, Aufgabenkreise | nein |
+| **Gesundheitsdaten** | Diagnosen, Pflegegrad, Behandlungsverlauf, Krankenhausaufenthalte, Hilfsmittel, Impfungen | **ja** |
+| **Ermittelter Wille** | Wünsche, Behandlungsvorstellungen | **ja** |
+| **Versichertennummern** | Kranken-, Renten-, Steuernummer | **ja** |
+| Finanzdaten | Buchungen, Salden, Vermögenswerte | nein (Beträge) |
+| **Kontoverbindungen** | IBAN, Vertragsnummern | **ja** |
+| **Freitexte** | Notizen, Gesprächsinhalte, Begründungen | **ja** |
+| Dokumente | Behördenschreiben, Bescheide, Verträge, Fotos | Datei im Objektspeicher |
+
+**Zu Nutzern der Anwendung**
+
+Name, E-Mail-Adresse, Passwort-Hash (Argon2id), TOTP-Geheimnis
+(verschlüsselt), Rolle, Zeitpunkt der letzten Anmeldung, pseudonymisierte
+IP-Adresse (HMAC), User-Agent.
+
+---
+
+## 6. Empfänger
+
+| Empfänger | Anlass | Grundlage |
+|---|---|---|
+| Betreuungsgericht [Amtsgericht] | Jahresbericht, Vermögensverzeichnis, Rechnungslegung, Genehmigungsanträge | §§ 1835, 1859, 1863, 1865 BGB |
+| [Bezirk Oberfranken] | Antrag auf Hilfe zur Pflege, Nachweise | SGB XII |
+| Kranken- und Pflegekasse | Anträge, Widersprüche | SGB V, SGB XI |
+| [Hosting-Anbieter] | technischer Betrieb | Auftragsverarbeitung, Art. 28 DSGVO |
+| [Objektspeicher-Anbieter] | Dateiablage | Auftragsverarbeitung, Art. 28 DSGVO |
+| Mitleser mit modulweiser Freigabe | Einsicht in freigegebene Bereiche | Entscheidung des Betreuers, dokumentiert im Audit-Log |
+
+**Auftragsverarbeitungsverträge liegen vor:** ☐ Hosting ☐ Objektspeicher
+
+---
+
+## 7. Drittlandübermittlung
+
+**Keine.** Alle Verarbeitungen finden auf Servern in der Bundesrepublik
+Deutschland statt. Die Anwendung lädt keine externen Schriften, Skripte,
+Bilder oder Analysedienste nach; die Content-Security-Policy unterbindet
+Verbindungen zu fremden Hosts technisch.
+
+Aktueller Standort: [Rechenzentrum, Ort]
+
+---
+
+## 8. Löschfristen
+
+| Daten | Frist | Begründung |
+|---|---|---|
+| Fachdaten der Betreuung | 10 Jahre nach Ende der Betreuung | Aufbewahrung der Rechnungslegungsunterlagen, analog § 147 AO und zur Abwehr von Ansprüchen |
+| Audit-Log | 10 Jahre | Nachweis gegenüber Gericht und möglichen Miterben |
+| Papierkorb | 30 Tage, danach endgültige Löschung | technische Umsetzung |
+| Anmeldeversuche | 30 Tage | nur für die Sperrlogik erforderlich |
+| Sicherungen | 30 Tage rollierend, Monatsstände dauerhaft | Wiederherstellbarkeit |
+
+Nach Ende der Betreuung werden die Unterlagen an den Nachfolger oder an die
+Erben herausgegeben; anschließend erfolgt die Löschung.
+
+---
+
+## 9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
+
+**Vertraulichkeit**
+
+- Zugangskontrolle: E-Mail und Passwort (Argon2id, 19 MiB, t=2, p=1) **plus
+  verpflichtender zweiter Faktor** (TOTP, RFC 6238). Der zweite Faktor lässt
+  sich nicht abschalten.
+- Rate-Limiting am Login nach Kennung und Anschluss; Sperre nach 5
+  Fehlversuchen in 15 Minuten.
+- Sitzungsablauf nach 30 Minuten Leerlauf; erneute Anmeldung vor Export,
+  endgültigem Löschen und Rollenänderungen.
+- Rollen- und modulbezogene Zugriffskontrolle, serverseitig gegen die
+  Betreuten-ID geprüft.
+- Transportverschlüsselung (TLS 1.2+) durch den vorgeschalteten Proxy.
+- **Verschlüsselung im Ruhezustand auf Feldebene** mit AES-256-GCM für
+  Gesundheitsdaten, Kontoverbindungen und Freitexte. Der Schlüssel liegt in
+  der Serverumgebung, nicht in der Datenbank.
+
+**Integrität**
+
+- Unveränderliches Audit-Log; UPDATE und DELETE werden auf Datenbankebene
+  durch Trigger abgewiesen.
+- SHA-256-Prüfsummen über hochgeladene Dokumente.
+- Historisierung von Vermögens- und Kontoständen; Werte werden nie
+  überschrieben.
+- Eingabeprüfung serverseitig mit Zod; Prüfung von Uploads an den Magic
+  Bytes statt an Dateiendung oder gemeldetem MIME-Typ.
+
+**Verfügbarkeit**
+
+- Tägliche verschlüsselte Sicherung mit Selbstprüfung, Aufbewahrung 30 Tage,
+  Monatsstände dauerhaft.
+- Dokumentierte Wiederherstellungsanleitung; jährliche Wiederherstellungsübung.
+- Ein-Klick-Vollexport (ZIP mit Dateien, Daten und Berichten), damit kein
+  Datensilo entsteht.
+
+**Belastbarkeit und Überprüfung**
+
+- Automatisierte Tests der Fachlogik und der kritischen Abläufe.
+- Strenge Content-Security-Policy mit Nonce je Anfrage.
+- Keine externen Ressourcen, keine Analysedienste, keine Tracker.
+
+---
+
+## 10. Datenschutz-Folgenabschätzung
+
+Eine Folgenabschätzung nach Art. 35 DSGVO wurde geprüft. Es werden
+umfangreich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO
+verarbeitet (Gesundheitsdaten). Die Verarbeitung erfolgt jedoch durch eine
+einzelne Person für **eine** betreute Person, ohne Profilbildung, ohne
+automatisierte Entscheidungen im Sinne des Art. 22 DSGVO und ohne
+systematische Überwachung.
+
+Ergebnis: [Eine Folgenabschätzung wird als nicht erforderlich angesehen. /
+Eine Folgenabschätzung wurde durchgeführt, siehe Anlage.]
+
+---
+
+*Erstellt am: [Datum] · Zuletzt geprüft am: [Datum]*