Das Mindestalter wird eingeloest statt behauptet -- Stufe 8 ist damit durch

Auf der Regelseite des Treffs steht seit dem 11.09. "ab 18". Geprueft
wurde es nirgends: MINDESTALTER war ein Text auf einer Seite, sonst
nichts. Eine Regel, die nur dasteht, ist keine -- im Streitfall ist sie
sogar schlechter als keine, weil man sie versprochen hat.

DIE FRAGE STEHT AN DER TUER

Ein Community-Mitglied bestaetigt beim ERSTEN Hereinkommen, mindestens
18 zu sein. Danach nie wieder.

  An der Tuer und nicht auf einer Seite dahinter: Eine Sperre auf den
  Brettern liesse sich ueber eine andere Adresse umgehen und muesste
  auf jeder kuenftigen Seite mitgedacht werden. Die Tuer gibt es genau
  einmal.

  Ein EIGENER Fehler (400 alter_offen), nicht "ungueltig": Hier ist der
  Code richtig. Wer dieselbe Antwort bekaeme wie bei einem Tippfehler,
  tippte seinen Code immer wieder neu ein, und es wuerde nie besser.

  Und es zaehlt NICHT als Fehlversuch. Sonst sperrt sich jemand mit dem
  richtigen Code nach acht Anlaeufen selbst aus.

  Nur die Community: Wer zum Team gehoert, hat seinen Zugang von
  DogFather persoenlich bekommen -- da ist die Frage vorher geklaert.

NUR EIN ZEITSTEMPEL, KEIN GEBURTSDATUM

Gebraucht wird die Antwort auf "hat bestaetigt, und wann" -- nicht der
Geburtstag. Ein Geburtsdatum waeren mehr Daten fuer dieselbe Auskunft,
und Datenminimierung gilt auch fuer das eigene Nachweisbeduerfnis. Eine
Spalte, mehr nicht.

DIE RECHTSGRUNDLAGE FOLGT AUS DER ROLLE -- UND WIRD NICHT GESPEICHERT

Ein Modi arbeitet hier (Vertrag), ein Community-Mitglied ist freiwillig
da (Einwilligung). Was sich ableiten laesst, bekommt keine Spalte:
sonst gaebe es zwei Wahrheiten, von denen eine veraltet, sobald jemand
die Rolle wechselt. Sie steht jetzt in jeder Auskunft (Art. 15 Abs. 1
lit. a) und im Loeschkonzept.

MINDESTALTER ZIEHT INS IMPORTFREIE BLATT

Die Tuer braucht die Zahl jetzt auch, und ein Import zwischen
workspace.js und workspace-treff.js waere ein Kreis -- genau der Grund,
aus dem treff-tabellen.js existiert. Die Zahl steht weiterhin an EINER
Stelle; der Regeltext bekommt sie unveraendert.

EIN EIGENER FEHLER, GEFUNDEN VON DER PRUEFUNG

Ich hatte `export { MINDESTALTER } from "./treff-tabellen.js"` benutzt --
eine Durchreiche. Der Name ist damit fuer IMPORTEURE da, aber nicht in
der Datei selbst. Die Regelroute benutzt ihn selbst und lief in einen
ReferenceError, und zwar erst beim Aufruf. pruef-alter hat es gesehen,
nicht das Auge.

VIER PRUEFUNGEN MUSSTEN NACHZIEHEN

pruef-treff, pruef-treff-werkzeuge, pruef-auskunft und pruef-neue-seiten
melden sich als Community an. Sie schicken das Haekchen jetzt mit --
aber NUR fuer 'gast'. Ginge es immer mit, koennte keine Pruefung mehr
sehen, ob der Server es fuer das Team ueberhaupt ignoriert.

PRUEFUNGEN: pruef-alter neu mit 35, davon 7 im Browser. Darunter die,
die man vergisst: Wird beim ZWEITEN Mal wieder gefragt? (nein) -- denn
eine Abfrage, die jedes Mal kommt, wird weggeklickt, ohne gelesen zu
werden, und bestaetigt ab da nichts mehr.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-aufbewahrung.js

@@ -45,6 +45,32 @@ import {
 
 export const aufbewahrungRouter = express.Router();
 
+/** Auf welcher Grundlage die Daten eines Menschen verarbeitet werden.
+ *
+ *  ABGELEITET, NICHT GESPEICHERT. Ein Modi arbeitet hier — das ist ein
+ *  Vertragsverhaeltnis. Ein Mitglied der Community ist freiwillig da —
+ *  das ist eine Einwilligung. Die Grundlage folgt damit aus der Rolle,
+ *  und was sich ableiten laesst, bekommt keine eigene Spalte: Sonst
+ *  gaebe es zwei Wahrheiten, von denen eine veraltet, sobald jemand
+ *  die Rolle wechselt.
+ *
+ *  Gebraucht wird sie an zwei Stellen: in der Auskunft (Art. 15 Abs. 1
+ *  lit. a — der Mensch darf den Zweck erfahren) und im Loeschkonzept. */
+export function grundlageVon(rolle) {
+  if (rolle === "gast") {
+    return {
+      grundlage: "Art. 6 Abs. 1 lit. a DSGVO – Einwilligung",
+      warum: "Du bist freiwillig im Treff. Du kannst jederzeit gehen, und deine "
+        + "Daten gehen mit.",
+    };
+  }
+  return {
+    grundlage: "Art. 6 Abs. 1 lit. b DSGVO – zur Durchführung des Vertrags",
+    warum: "Du arbeitest hier. Ohne diese Daten lässt sich die Zusammenarbeit "
+      + "nicht durchführen.",
+  };
+}
+
 /** Wie lange IP-Adressen im Protokoll stehen bleiben.
  *
  *  30 Tage: lang genug, um einen Missbrauch nachzuvollziehen, den man
@@ -130,6 +156,20 @@ export const FRISTEN = [
       + "Maßnahme mit (ON DELETE CASCADE).",
     offen: (d) => zaehle(d, "SELECT COUNT(*) AS n FROM treff_massnahmen"),
   },
+  {
+    schluessel: "alter_bestaetigt",
+    was: "Der Zeitpunkt der Altersbestätigung (Community)",
+    art: "bleibt",
+    frist: "solange der Zugang besteht",
+    zweck: "Nachweisen können, dass das Mindestalter bestätigt wurde – "
+      + "eine Regel, die man nicht belegen kann, hat man nicht.",
+    grundlage: "Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Nachweisbarkeit",
+    wirkung: "Gespeichert wird NUR der Zeitpunkt, kein Geburtsdatum. Für die Frage "
+      + "„hat bestätigt, und wann?“ reicht das – ein Geburtstag wären mehr Daten "
+      + "für dieselbe Auskunft.",
+    offen: (d) => zaehle(d,
+      "SELECT COUNT(*) AS n FROM personen WHERE alter_bestaetigt_am IS NOT NULL"),
+  },
   {
     schluessel: "personen_geloescht",
     was: "Daten einer gelöschten Person",