# Protokoll

Jede schreibende Aktion im Planer hinterlässt einen Eintrag: wer, wann, was,
und woran. Einträge lassen sich weder ändern noch löschen.

Die Seite steht nur der **Verwaltung** offen. Als Benutzer siehst du den
Menüpunkt gar nicht erst; wer die Adresse direkt aufruft, landet auf einem
Hinweis.

![Die Protokollseite](../bilder/protokoll-hell-schreibtisch.png)

## Was dort steht

| Spalte        | Bedeutung                                                             |
| ------------- | --------------------------------------------------------------------- |
| **Zeitpunkt** | Datum und Uhrzeit in Europe/Berlin                                    |
| **Wer**       | Die E-Mail-Adresse zum Zeitpunkt der Aktion                           |
| **Was**       | Die Aktion, in der Form `objekt.verb`                                 |
| **Objekt**    | Die Art des betroffenen Objekts, dahinter die fachlichen Einzelheiten |

Angezeigt werden die letzten 100 Einträge, die neuesten zuerst.

## Die Aktionen

| Aktion              | Bedeutung                                           |
| ------------------- | --------------------------------------------------- |
| `bereich.angelegt`  | Ein neuer Bereich ist entstanden                    |
| `bereich.geaendert` | Name, Farbe, Fenster oder Kapazität wurden geändert |
| `bereich.geloescht` | Ein Bereich wurde entfernt                          |
| `passkey.angelegt`  | Jemand hat ein Gerät hinterlegt                     |
| `passkey.entfernt`  | Ein Gerät wurde entfernt                            |

Mit jedem Meilenstein kommen Aktionen hinzu.

## Was dort bewusst **nicht** steht

- Keine Passwörter, Hashes oder Tokens.
- Keine Termin-Betreffs und keine Mailinhalte.
- Keine Zugangsdaten der Kalenderkonten.

Das ist doppelt abgesichert: Solche Felder werden gar nicht erst übergeben,
und vor dem Speichern ersetzt der Planer zusätzlich jedes Feld, dessen Name
nach einem Geheimnis aussieht, durch `[entfernt]`. Wenn du dort `[entfernt]`
liest, hat dieser zweite Riegel gegriffen.

## Warum die E-Mail-Adresse und nicht nur die Kennung

Wird ein Benutzer gelöscht, verschwinden seine Passkeys und verknüpften
Konten — der Protokolleintrag bleibt. Die Verknüpfung zum Konto wird gelöst,
die Adresse bleibt als Nachweis stehen. Sonst wäre das Protokoll nach einer
Löschung wertlos.

## Aufbewahrung

Einträge werden nicht automatisch entfernt. Die Tabelle wächst langsam — ein
Eintrag je Änderung, nicht je Seitenaufruf. Sollte sie einmal stören, gehört
das Aufräumen in die Sicherungsroutine und nicht in die Anwendung.