aibot88 /vidis-check — VIDIS Prüfkriterien Compliance Check
Du führst jetzt eine vollständige VIDIS Prüfkriterien-Prüfung (V0.2) durch.
Schritt 1 — Zielgruppe klären
Falls nicht aus dem Kontext klar, frage zuerst:
"Richtet sich das Angebot an Schülerinnen und Schüler (SuS), Lehrkräfte, oder beide?"
Die Antwort bestimmt, welche Kriterien mit strengeren Anforderungen gelten (SuS dürfen keine Einwilligungen geben).
Schritt 2 — Codebase analysieren
Untersuche den Code systematisch:
- Suche nach Cookies, localStorage, sessionStorage, IndexedDB
- Suche nach Script-Tags, fetch/XHR-Calls, iframe-Einbindungen (Drittinhalte/CDN)
- Suche nach Tracking-Bibliotheken (Google Analytics, Matomo, Hotjar, Meta Pixel, etc.)
- Prüfe HTTP/HTTPS-Konfiguration (nginx/apache config, next.config, vite.config, etc.)
- Suche nach TLS-Konfigurationen
- Prüfe auf In-App-Purchase-Mechanismen, Werbebanner, Affiliate-Links
- Suche nach Impressum und Datenschutzerklärung im Code/Content
- Prüfe IP-Logging / Request-Logging Retention-Konfiguration
Schritt 3 — Bericht ausgeben
Gib den Bericht in diesem exakten Format aus:
VIDIS Prüfkriterien V0.2 — Compliance Report
Zielgruppe: [SuS / Lehrkräfte / beide]
Datum: [heute]
═══ PRÜFBEREICH: RECHT & DATENSCHUTZ ═══
── Content Delivery Network ──
[RDS-CDN-379] CDN nur zur Bereitstellung von Inhalten
Status: PASS / FAIL / MANUELL
Befund: [ein Satz]
── Cookies & Co. ──
[RDS-CUC-371] Nicht essenzielle Cookies MUSS
[RDS-CUC-372] Cookies allgemein MUSS
[RDS-CUC-373] Trackingpixel MUSS
[RDS-CUC-374] Local Browser Storage MUSS
[RDS-CUC-375] Informationen auf Endeinrichtung MUSS
[RDS-CUC-376] Browserfingerprints MUSS
[RDS-CUC-377] Trackingmechanismen (nicht pädag.) MUSS
[RDS-CUC-453] Beschreibung aller Cookies MUSS
(je Kriterium: Status + ein-Satz-Befund)
── Datenerhebung und -verarbeitung ──
[RDS-DEV-380] Datenerhebung und -verarbeitung MUSS
[RDS-DEV-381] Daten nach Beendigung Zusammenarb. MUSS
[RDS-DEV-466] Sichere Datenverarbeitung MUSS
── Datenschutzorganisation ──
[RDS-DSO-383] Benennung Datenschutzbeauftragter MUSS
── Dienstleister ──
[RDS-DIL-356] AV-Vertrag vorhanden MUSS
[RDS-DIL-357] Mutterunternehmen Drittländer MUSS
[RDS-DIL-358] Subdienstleister Drittländer MUSS
── Drittinhalte ──
[RDS-DRI-378] Einbindung von Drittinhalten MUSS
── Einwilligung ──
[RDS-EWG-382] Keinerlei Einwilligung durch SuS MUSS
── Informationspflichten ──
[RDS-IPF-364] Leicht auffindbares Impressum MUSS
[RDS-IPF-365] Leicht auffindbare Datenschutzerkl. MUSS
[RDS-IPF-366] Vollständiges Impressum MUSS
[RDS-IPF-367] Vollständige Datenschutzerklärung MUSS
── Kostenpflichtige Bestandteile ──
[RDS-KBT-386] Kostenpflichtige Zusatzangebote MUSS
── Nutzungsbedingungen und AGB ──
[RDS-AGB-368] AGB: Datenschutzkonform MUSS
[RDS-AGB-369] AGB: AVV-konform MUSS
── Speicherung ──
[RDS-SPE-370] IP-Adresse / http-requests ≤7 Tage MUSS
── Umsetzung von Betroffenenrechten ──
[RDS-UBR-387] Datenexport / Portierung SOLL
[RDS-UBR-388] Betroffenenrechte (Filter/Sperre) MUSS
── Verbotene Inhalte ──
[RDS-VIN-354] Jugendmedienschutz MUSS
── Werbefreiheit ──
[RDS-WER-384] Werbefreiheit MUSS
[RDS-WER-385] Verweise auf Werbeinhalte MUSS
═══ PRÜFBEREICH: IT-SICHERHEIT ═══
── Systemhärtung ──
[ITS-SHR-362] Sichere Webserver (Heartbleed etc.) MUSS
── Verschlüsselung ──
[ITS-ENC-359] Website nur über HTTPS MUSS
[ITS-ENC-360] HTTP → HTTPS Redirect MUSS
[ITS-ENC-361] Ablehnen veralteter TLS/SSL MUSS
═══ ZUSAMMENFASSUNG ═══
PASS: X Kriterien
FAIL: X Kriterien ← blockiert VIDIS-Zulassung
MANUELL: X Kriterien ← manuelle Prüfung erforderlich
VIDIS-Zulassung: MÖGLICH / NICHT MÖGLICH (solange FAIL-Kriterien offen)
── FAIL-Kriterien (priorisiert beheben) ──
1. [ID] Kurze Problembeschreibung → empfohlene Maßnahme
...
── MANUELL zu prüfen ──
1. [ID] Was genau geprüft werden muss (z.B. AV-Vertrag mit Dienstleister X vorhanden?)
...
Kriterien-Details für die Bewertung
Was PASS bedeutet
- Code-basiert prüfbar und Anforderung erfüllt
- Konfiguration ist korrekt gesetzt
Was FAIL bedeutet
- Code-Evidenz für Verletzung gefunden (z.B. Google Analytics Script ohne Consent für SuS)
- Konfiguration eindeutig falsch (z.B. HTTP ohne Redirect)
Was MANUELL bedeutet
- Nicht aus Code ableitbar (z.B. ob AV-Verträge existieren)
- Rechtliche Dokumente vorhanden aber Vollständigkeit unklar
- Externe Dienstleister erkannt, aber Drittland-Status unbekannt
Kriterien-Referenz
RDS-CDN-379
Kein CDN einsetzen, das nicht ausschließlich der Bereitstellung von Inhalten dient. CDN muss auch Anforderungen des Prüfbereichs "Dienstleister" erfüllen.
→ Code-Check: <script src="...cdn...">, externe Font-/Asset-URLs, package.json externe CDN-Referenzen
RDS-CUC-371 — RDS-CUC-377 (SuS-Zielgruppe)
Bei SuS: Keine nicht-essenziellen Cookies, Trackingpixel, localStorage/sessionStorage (wenn Einwilligung nötig), Fingerprinting, Tracking außer pädagogisch notwendig.
Bei Lehrkräften: Einwilligung darf eingeholt werden.
→ Code-Check: cookie-Setter, document.cookie, localStorage.setItem, Fingerprint-Libraries, Analytics-Scripts
RDS-CUC-453
Alle Cookies im Angebot in der Datenschutzerklärung beschrieben. → Manuell: Datenschutzerklärung lesen + gefundene Cookies abgleichen
RDS-DEV-380
Daten ausschließlich für Nutzungszweck, nicht für Werbung. → Code-Check: Werbenetze, AdSense, Affiliate-Tracking, Data-Broker-APIs
RDS-DEV-381
Nach Vertragsende: Daten löschen oder herausgeben (Wahl des Auftraggebers). → Manuell: Vertragsunterlagen, Offboarding-Prozess
RDS-DEV-466
Keine Server/Datenverarbeitung in unsicheren Drittländern (inkl. Sub- und Mutterunternehmen). → Code-Check: Hosting-Konfiguration, Cloud-Provider, Datenbankverbindungen
RDS-DSO-383
Kontaktdaten des Datenschutzbeauftragten bereitstellen. → Code-Check: Impressum/Datenschutzerklärung auf DSB-Kontakt prüfen
RDS-DIL-356
Nur Dienstleister mit AV-Vertrag gem. Art. 28 Abs. 3 DSGVO. → Manuell: Dienstleisterliste + AVV-Nachweise
RDS-DIL-357 / RDS-DIL-358
Verbundene Unternehmen/Subdienstleister in Drittländern: Zugriff ausgeschlossen oder zusätzliche Schutzmaßnahmen nachgewiesen. → Manuell: Konzernstruktur der genutzten Dienstleister prüfen
RDS-DRI-378
Keine Drittinhalte die Einwilligung erfordern (für SuS). Ausnahme: ausschließlich Lehrkräfte.
→ Code-Check: <iframe>, externe <script>, <img src="...externe-domain...">, fetch zu Drittdomains
RDS-EWG-382
Keine Datenverarbeitung, in die SuS einwilligen können (auch kein Consent-Banner). → Code-Check: Cookie-Banner-Code, Consent-Management-Bibliotheken (OneTrust, CookieBot, etc.)
RDS-IPF-364 / RDS-IPF-365
Impressum und Datenschutzerklärung von allen Seiten erreichbar (auch responsive). → Code-Check: Footer-Links, Navigation, ob beide URLs in allen Templates vorhanden
RDS-IPF-366
Impressum mit allen §§ 5, 6 DDG-Pflichtangaben (Name, Anschrift, Kontakt, Vertretungsberechtigte). → Manuell: Impressum-Inhalt prüfen
RDS-IPF-367
Datenschutzerklärung mit allen Art. 13/14 DSGVO-Pflichtangaben. → Manuell: Datenschutzerklärung-Inhalt prüfen
RDS-KBT-386
Keine In-App-Käufe, Freemium-Modelle oder kostenpflichtige Upgrades für SuS. → Code-Check: Payment-APIs, Stripe/PayPal-Integrationen, Upgrade-Flows, Feature-Flags hinter Paywall
RDS-AGB-368 / RDS-AGB-369
AGB/Nutzungsbedingungen datenschutzkonform und AVV-konform. → Manuell: AGB-Inhalt prüfen
RDS-SPE-370
IP-Adresse und HTTP-Request-Logs max. 7 Tage gespeichert. → Code-Check: Log-Retention-Konfiguration, nginx/apache log settings, Datenbankeinträge mit IP
RDS-UBR-387 (SOLL)
Datenexport-Funktion vorhanden und funktionsfähig. → Code-Check: Export-Endpunkte, Download-Buttons für Nutzerdaten
RDS-UBR-388
Betroffenenrechte technisch umsetzbar: Filterung, Suche, Sperrung von Daten. → Code-Check: Admin-Interface, DSGVO-Request-Handling
RDS-VIN-354
Angebot jugendmedienschutzrechtlich unbedenklich (kein Extremismus, Pornografie, Diskriminierung, etc.) → Manuell: Content-Review
RDS-WER-384
Digitales Bildungsangebot ist werbefrei. → Code-Check: Ad-Netzwerke, AdSense, Banner-Ads, gesponserte Inhalte
RDS-WER-385
Keine Verlinkung auf werbefinanzierte Zielseiten für SuS. → Code-Check: Externe Links analysieren
ITS-SHR-362
Webserver gegen bekannte Schwachstellen abgesichert (Heartbleed, CRIME, Downgrade-Angriffe). Patchmechanismen etabliert. → Code-Check: Server-Konfigurationsdateien, Dependency-Versionen, Security-Headers
ITS-ENC-359
Alle Seiten ausschließlich über HTTPS erreichbar. → Code-Check: Server-Config, .htaccess, next.config.js, Middleware
ITS-ENC-360
HTTP-Anfragen werden auf HTTPS umgeleitet. → Code-Check: Redirect-Konfiguration in Server/Framework
ITS-ENC-361
Veraltete TLS/SSL-Protokolle (SSLv2, SSLv3, TLS 1.0, TLS 1.1) werden abgelehnt. → Code-Check: SSL-Konfiguration (nginx ssl_protocols, apache SSLProtocol)
Hinweise
- Fokus auf MUSS-Kriterien — diese sind für VIDIS-Zulassung zwingend
- RDS-UBR-387 ist SOLL — empfohlen aber kein Ausschlusskriterium
- Scope "Angebot" = prüfbar aus Code; Scope "Anbieter" = meist nur manuell prüfbar
- Bei Unsicherheit lieber MANUELL als PASS — falsche Sicherheit ist schädlicher als offene Fragen