# Manuelle Restpunkte — was Code nicht lösen kann

Stand: 2026-07-24. Diese Punkte sind **nicht** durch die Software erledigt und dürfen **nicht** als
erledigt dargestellt werden. Sie erfordern Entscheidungen, Verträge oder externe Prüfungen.

## Rechtlich
- [ ] **Juristische Schlussprüfung** aller Rechtsseiten (Nutzungsbedingungen, Datenschutz, AVV, FKS-
      Abschnitt) durch eine qualifizierte Schweizer Fachperson.
- [ ] Entscheidung über eine **spätere Vereinsgründung** (aktuell nur offene Option — Betreiber bleibt
      Privatperson Perparim Ziberi). Kein Verein behaupten, solange nicht gegründet.
- [ ] Tatsächliche **Übertragung auf einen Verein** erst nach dessen Gründung (dann Betreiberangaben,
      Impressum, AVV, Config anpassen).
- [ ] **Steuerliche Behandlung** freiwilliger Unterstützungsbeiträge klären.

## FKS / Bildmaterial
- [ ] Original der FKS-Freigabe (17.02.2026) **ausserhalb** des Repos archivieren (`private-legal-evidence/`).
- [ ] Prüfen, ob **Rohdatei-Download, API-Nutzung oder Weitergabe** der Symbolbibliothek an Dritte von der
      ursprünglichen Projektbeschreibung gedeckt ist; falls nicht → **ergänzende FKS-Bestätigung** einholen.

## Versicherung
- [ ] IT-/Vermögensschaden-Haftpflicht prüfen (Offerten einholen).
- [ ] Cyberversicherung prüfen.
- [ ] Bei späterem Verein: Vereins-/Rechtsschutz prüfen.

## Verträge & Standorte
- [ ] Formelle Vereinbarungen mit Gemeinden/Organisationen (falls gewünscht) — die elektronische
      Organisationsbestätigung ist **kein** beidseitig unterzeichneter AVV.
- [ ] Endgültige **Server- und Backupstandorte** der externen Dienste bestätigen (Esri, Stripe, SMTP,
      Open-Elevation) — siehe `international-data-transfers.md`.
- [ ] **DPA/Standardvertragsklauseln** mit Stripe und dem gewählten E-Mail-Anbieter abschliessen.

## Aufbewahrung & Betrieb
- [ ] Konkrete **Aufbewahrungsfristen** je Datenkategorie festlegen (siehe `retention-and-deletion.md`).
- [ ] **Restore-Test** durchführen und in `docs/BACKUP.md` protokollieren.
- [ ] Periodischen **externen Sicherheitstest / Pentest** beauftragen.

## Datenschutz
- [ ] Prüfen lassen, ob eine **vertiefte DSFA** erforderlich ist (siehe `privacy-risk-assessment.md`).
- [ ] `datenschutz@lageplan.ch` als **aktiv überwachtes** Postfach bestätigen.