--- name: vidis-check version: 0.1.0 description: | Validates a web app or codebase against the VIDIS Prüfkriterien V0.2 (eduCheck digital). Checks all criteria from both Prüfbereiche: Recht & Datenschutz and IT-Sicherheit. Produces a structured compliance report with PASS / FAIL / MANUELL (needs human review) for each criterion. Use when asked to "vidis check", "VIDIS prüfen", "eduCheck prüfen", or "VIDIS-Kriterien". --- # /vidis-check — VIDIS Prüfkriterien Compliance Check Du führst jetzt eine vollständige VIDIS Prüfkriterien-Prüfung (V0.2) durch. ## Schritt 1 — Zielgruppe klären Falls nicht aus dem Kontext klar, frage zuerst: > "Richtet sich das Angebot an **Schülerinnen und Schüler (SuS)**, **Lehrkräfte**, oder **beide**?" Die Antwort bestimmt, welche Kriterien mit strengeren Anforderungen gelten (SuS dürfen keine Einwilligungen geben). ## Schritt 2 — Codebase analysieren Untersuche den Code systematisch: - Suche nach Cookies, localStorage, sessionStorage, IndexedDB - Suche nach Script-Tags, fetch/XHR-Calls, iframe-Einbindungen (Drittinhalte/CDN) - Suche nach Tracking-Bibliotheken (Google Analytics, Matomo, Hotjar, Meta Pixel, etc.) - Prüfe HTTP/HTTPS-Konfiguration (nginx/apache config, next.config, vite.config, etc.) - Suche nach TLS-Konfigurationen - Prüfe auf In-App-Purchase-Mechanismen, Werbebanner, Affiliate-Links - Suche nach Impressum und Datenschutzerklärung im Code/Content - Prüfe IP-Logging / Request-Logging Retention-Konfiguration ## Schritt 3 — Bericht ausgeben Gib den Bericht in diesem exakten Format aus: ``` VIDIS Prüfkriterien V0.2 — Compliance Report Zielgruppe: [SuS / Lehrkräfte / beide] Datum: [heute] ═══ PRÜFBEREICH: RECHT & DATENSCHUTZ ═══ ── Content Delivery Network ── [RDS-CDN-379] CDN nur zur Bereitstellung von Inhalten Status: PASS / FAIL / MANUELL Befund: [ein Satz] ── Cookies & Co. ── [RDS-CUC-371] Nicht essenzielle Cookies MUSS [RDS-CUC-372] Cookies allgemein MUSS [RDS-CUC-373] Trackingpixel MUSS [RDS-CUC-374] Local Browser Storage MUSS [RDS-CUC-375] Informationen auf Endeinrichtung MUSS [RDS-CUC-376] Browserfingerprints MUSS [RDS-CUC-377] Trackingmechanismen (nicht pädag.) MUSS [RDS-CUC-453] Beschreibung aller Cookies MUSS (je Kriterium: Status + ein-Satz-Befund) ── Datenerhebung und -verarbeitung ── [RDS-DEV-380] Datenerhebung und -verarbeitung MUSS [RDS-DEV-381] Daten nach Beendigung Zusammenarb. MUSS [RDS-DEV-466] Sichere Datenverarbeitung MUSS ── Datenschutzorganisation ── [RDS-DSO-383] Benennung Datenschutzbeauftragter MUSS ── Dienstleister ── [RDS-DIL-356] AV-Vertrag vorhanden MUSS [RDS-DIL-357] Mutterunternehmen Drittländer MUSS [RDS-DIL-358] Subdienstleister Drittländer MUSS ── Drittinhalte ── [RDS-DRI-378] Einbindung von Drittinhalten MUSS ── Einwilligung ── [RDS-EWG-382] Keinerlei Einwilligung durch SuS MUSS ── Informationspflichten ── [RDS-IPF-364] Leicht auffindbares Impressum MUSS [RDS-IPF-365] Leicht auffindbare Datenschutzerkl. MUSS [RDS-IPF-366] Vollständiges Impressum MUSS [RDS-IPF-367] Vollständige Datenschutzerklärung MUSS ── Kostenpflichtige Bestandteile ── [RDS-KBT-386] Kostenpflichtige Zusatzangebote MUSS ── Nutzungsbedingungen und AGB ── [RDS-AGB-368] AGB: Datenschutzkonform MUSS [RDS-AGB-369] AGB: AVV-konform MUSS ── Speicherung ── [RDS-SPE-370] IP-Adresse / http-requests ≤7 Tage MUSS ── Umsetzung von Betroffenenrechten ── [RDS-UBR-387] Datenexport / Portierung SOLL [RDS-UBR-388] Betroffenenrechte (Filter/Sperre) MUSS ── Verbotene Inhalte ── [RDS-VIN-354] Jugendmedienschutz MUSS ── Werbefreiheit ── [RDS-WER-384] Werbefreiheit MUSS [RDS-WER-385] Verweise auf Werbeinhalte MUSS ═══ PRÜFBEREICH: IT-SICHERHEIT ═══ ── Systemhärtung ── [ITS-SHR-362] Sichere Webserver (Heartbleed etc.) MUSS ── Verschlüsselung ── [ITS-ENC-359] Website nur über HTTPS MUSS [ITS-ENC-360] HTTP → HTTPS Redirect MUSS [ITS-ENC-361] Ablehnen veralteter TLS/SSL MUSS ═══ ZUSAMMENFASSUNG ═══ PASS: X Kriterien FAIL: X Kriterien ← blockiert VIDIS-Zulassung MANUELL: X Kriterien ← manuelle Prüfung erforderlich VIDIS-Zulassung: MÖGLICH / NICHT MÖGLICH (solange FAIL-Kriterien offen) ── FAIL-Kriterien (priorisiert beheben) ── 1. [ID] Kurze Problembeschreibung → empfohlene Maßnahme ... ── MANUELL zu prüfen ── 1. [ID] Was genau geprüft werden muss (z.B. AV-Vertrag mit Dienstleister X vorhanden?) ... ``` ## Kriterien-Details für die Bewertung ### Was PASS bedeutet - Code-basiert prüfbar und Anforderung erfüllt - Konfiguration ist korrekt gesetzt ### Was FAIL bedeutet - Code-Evidenz für Verletzung gefunden (z.B. Google Analytics Script ohne Consent für SuS) - Konfiguration eindeutig falsch (z.B. HTTP ohne Redirect) ### Was MANUELL bedeutet - Nicht aus Code ableitbar (z.B. ob AV-Verträge existieren) - Rechtliche Dokumente vorhanden aber Vollständigkeit unklar - Externe Dienstleister erkannt, aber Drittland-Status unbekannt ## Kriterien-Referenz ### RDS-CDN-379 Kein CDN einsetzen, das nicht ausschließlich der Bereitstellung von Inhalten dient. CDN muss auch Anforderungen des Prüfbereichs "Dienstleister" erfüllen. → Code-Check: `