vidis-check

name	vidis-check
version	0.1.0
description	Validates a web app or codebase against the VIDIS Prüfkriterien V0.2 (eduCheck digital). Checks all criteria from both Prüfbereiche: Recht & Datenschutz and IT-Sicherheit. Produces a structured compliance report with PASS / FAIL / MANUELL (needs human review) for each criterion. Use when asked to "vidis check", "VIDIS prüfen", "eduCheck prüfen", or "VIDIS-Kriterien".

/vidis-check — VIDIS Prüfkriterien Compliance Check

Du führst jetzt eine vollständige VIDIS Prüfkriterien-Prüfung (V0.2) durch.

Schritt 1 — Zielgruppe klären

Falls nicht aus dem Kontext klar, frage zuerst:

"Richtet sich das Angebot an Schülerinnen und Schüler (SuS), Lehrkräfte, oder beide?"

Die Antwort bestimmt, welche Kriterien mit strengeren Anforderungen gelten (SuS dürfen keine Einwilligungen geben).

Schritt 2 — Codebase analysieren

Untersuche den Code systematisch:

• Suche nach Cookies, localStorage, sessionStorage, IndexedDB
• Suche nach Script-Tags, fetch/XHR-Calls, iframe-Einbindungen (Drittinhalte/CDN)
• Suche nach Tracking-Bibliotheken (Google Analytics, Matomo, Hotjar, Meta Pixel, etc.)
• Prüfe HTTP/HTTPS-Konfiguration (nginx/apache config, next.config, vite.config, etc.)
• Suche nach TLS-Konfigurationen
• Prüfe auf In-App-Purchase-Mechanismen, Werbebanner, Affiliate-Links
• Suche nach Impressum und Datenschutzerklärung im Code/Content
• Prüfe IP-Logging / Request-Logging Retention-Konfiguration

Schritt 3 — Bericht ausgeben

Gib den Bericht in diesem exakten Format aus:

VIDIS Prüfkriterien V0.2 — Compliance Report
Zielgruppe: [SuS / Lehrkräfte / beide]
Datum: [heute]

═══ PRÜFBEREICH: RECHT & DATENSCHUTZ ═══

── Content Delivery Network ──
[RDS-CDN-379] CDN nur zur Bereitstellung von Inhalten
  Status: PASS / FAIL / MANUELL
  Befund: [ein Satz]

── Cookies & Co. ──
[RDS-CUC-371] Nicht essenzielle Cookies          MUSS
[RDS-CUC-372] Cookies allgemein                  MUSS
[RDS-CUC-373] Trackingpixel                      MUSS
[RDS-CUC-374] Local Browser Storage              MUSS
[RDS-CUC-375] Informationen auf Endeinrichtung   MUSS
[RDS-CUC-376] Browserfingerprints                MUSS
[RDS-CUC-377] Trackingmechanismen (nicht pädag.) MUSS
[RDS-CUC-453] Beschreibung aller Cookies         MUSS
  (je Kriterium: Status + ein-Satz-Befund)

── Datenerhebung und -verarbeitung ──
[RDS-DEV-380] Datenerhebung und -verarbeitung    MUSS
[RDS-DEV-381] Daten nach Beendigung Zusammenarb. MUSS
[RDS-DEV-466] Sichere Datenverarbeitung          MUSS

── Datenschutzorganisation ──
[RDS-DSO-383] Benennung Datenschutzbeauftragter  MUSS

── Dienstleister ──
[RDS-DIL-356] AV-Vertrag vorhanden               MUSS
[RDS-DIL-357] Mutterunternehmen Drittländer       MUSS
[RDS-DIL-358] Subdienstleister Drittländer        MUSS

── Drittinhalte ──
[RDS-DRI-378] Einbindung von Drittinhalten        MUSS

── Einwilligung ──
[RDS-EWG-382] Keinerlei Einwilligung durch SuS   MUSS

── Informationspflichten ──
[RDS-IPF-364] Leicht auffindbares Impressum      MUSS
[RDS-IPF-365] Leicht auffindbare Datenschutzerkl. MUSS
[RDS-IPF-366] Vollständiges Impressum            MUSS
[RDS-IPF-367] Vollständige Datenschutzerklärung  MUSS

── Kostenpflichtige Bestandteile ──
[RDS-KBT-386] Kostenpflichtige Zusatzangebote    MUSS

── Nutzungsbedingungen und AGB ──
[RDS-AGB-368] AGB: Datenschutzkonform            MUSS
[RDS-AGB-369] AGB: AVV-konform                   MUSS

── Speicherung ──
[RDS-SPE-370] IP-Adresse / http-requests ≤7 Tage MUSS

── Umsetzung von Betroffenenrechten ──
[RDS-UBR-387] Datenexport / Portierung           SOLL
[RDS-UBR-388] Betroffenenrechte (Filter/Sperre)  MUSS

── Verbotene Inhalte ──
[RDS-VIN-354] Jugendmedienschutz                 MUSS

── Werbefreiheit ──
[RDS-WER-384] Werbefreiheit                      MUSS
[RDS-WER-385] Verweise auf Werbeinhalte          MUSS

═══ PRÜFBEREICH: IT-SICHERHEIT ═══

── Systemhärtung ──
[ITS-SHR-362] Sichere Webserver (Heartbleed etc.) MUSS

── Verschlüsselung ──
[ITS-ENC-359] Website nur über HTTPS             MUSS
[ITS-ENC-360] HTTP → HTTPS Redirect              MUSS
[ITS-ENC-361] Ablehnen veralteter TLS/SSL        MUSS

═══ ZUSAMMENFASSUNG ═══
PASS:    X Kriterien
FAIL:    X Kriterien  ← blockiert VIDIS-Zulassung
MANUELL: X Kriterien  ← manuelle Prüfung erforderlich

VIDIS-Zulassung: MÖGLICH / NICHT MÖGLICH (solange FAIL-Kriterien offen)

── FAIL-Kriterien (priorisiert beheben) ──
1. [ID] Kurze Problembeschreibung → empfohlene Maßnahme
...

── MANUELL zu prüfen ──
1. [ID] Was genau geprüft werden muss (z.B. AV-Vertrag mit Dienstleister X vorhanden?)
...

Kriterien-Details für die Bewertung

Was PASS bedeutet

• Code-basiert prüfbar und Anforderung erfüllt
• Konfiguration ist korrekt gesetzt

Was FAIL bedeutet

• Code-Evidenz für Verletzung gefunden (z.B. Google Analytics Script ohne Consent für SuS)
• Konfiguration eindeutig falsch (z.B. HTTP ohne Redirect)

Was MANUELL bedeutet

• Nicht aus Code ableitbar (z.B. ob AV-Verträge existieren)
• Rechtliche Dokumente vorhanden aber Vollständigkeit unklar
• Externe Dienstleister erkannt, aber Drittland-Status unbekannt

Kriterien-Referenz

RDS-CDN-379

Kein CDN einsetzen, das nicht ausschließlich der Bereitstellung von Inhalten dient. CDN muss auch Anforderungen des Prüfbereichs "Dienstleister" erfüllen. → Code-Check: <script src="...cdn...">, externe Font-/Asset-URLs, package.json externe CDN-Referenzen

RDS-CUC-371 — RDS-CUC-377 (SuS-Zielgruppe)

Bei SuS: Keine nicht-essenziellen Cookies, Trackingpixel, localStorage/sessionStorage (wenn Einwilligung nötig), Fingerprinting, Tracking außer pädagogisch notwendig. Bei Lehrkräften: Einwilligung darf eingeholt werden. → Code-Check: cookie-Setter, document.cookie, localStorage.setItem, Fingerprint-Libraries, Analytics-Scripts

RDS-CUC-453

Alle Cookies im Angebot in der Datenschutzerklärung beschrieben. → Manuell: Datenschutzerklärung lesen + gefundene Cookies abgleichen

RDS-DEV-380

Daten ausschließlich für Nutzungszweck, nicht für Werbung. → Code-Check: Werbenetze, AdSense, Affiliate-Tracking, Data-Broker-APIs

RDS-DEV-381

Nach Vertragsende: Daten löschen oder herausgeben (Wahl des Auftraggebers). → Manuell: Vertragsunterlagen, Offboarding-Prozess

RDS-DEV-466

Keine Server/Datenverarbeitung in unsicheren Drittländern (inkl. Sub- und Mutterunternehmen). → Code-Check: Hosting-Konfiguration, Cloud-Provider, Datenbankverbindungen

RDS-DSO-383

Kontaktdaten des Datenschutzbeauftragten bereitstellen. → Code-Check: Impressum/Datenschutzerklärung auf DSB-Kontakt prüfen

RDS-DIL-356

Nur Dienstleister mit AV-Vertrag gem. Art. 28 Abs. 3 DSGVO. → Manuell: Dienstleisterliste + AVV-Nachweise

RDS-DIL-357 / RDS-DIL-358

Verbundene Unternehmen/Subdienstleister in Drittländern: Zugriff ausgeschlossen oder zusätzliche Schutzmaßnahmen nachgewiesen. → Manuell: Konzernstruktur der genutzten Dienstleister prüfen

RDS-DRI-378

Keine Drittinhalte die Einwilligung erfordern (für SuS). Ausnahme: ausschließlich Lehrkräfte. → Code-Check: <iframe>, externe <script>, <img src="...externe-domain...">, fetch zu Drittdomains

RDS-EWG-382

Keine Datenverarbeitung, in die SuS einwilligen können (auch kein Consent-Banner). → Code-Check: Cookie-Banner-Code, Consent-Management-Bibliotheken (OneTrust, CookieBot, etc.)

RDS-IPF-364 / RDS-IPF-365

Impressum und Datenschutzerklärung von allen Seiten erreichbar (auch responsive). → Code-Check: Footer-Links, Navigation, ob beide URLs in allen Templates vorhanden

RDS-IPF-366

Impressum mit allen §§ 5, 6 DDG-Pflichtangaben (Name, Anschrift, Kontakt, Vertretungsberechtigte). → Manuell: Impressum-Inhalt prüfen

RDS-IPF-367

Datenschutzerklärung mit allen Art. 13/14 DSGVO-Pflichtangaben. → Manuell: Datenschutzerklärung-Inhalt prüfen

RDS-KBT-386

Keine In-App-Käufe, Freemium-Modelle oder kostenpflichtige Upgrades für SuS. → Code-Check: Payment-APIs, Stripe/PayPal-Integrationen, Upgrade-Flows, Feature-Flags hinter Paywall

RDS-AGB-368 / RDS-AGB-369

AGB/Nutzungsbedingungen datenschutzkonform und AVV-konform. → Manuell: AGB-Inhalt prüfen

RDS-SPE-370

IP-Adresse und HTTP-Request-Logs max. 7 Tage gespeichert. → Code-Check: Log-Retention-Konfiguration, nginx/apache log settings, Datenbankeinträge mit IP

RDS-UBR-387 (SOLL)

Datenexport-Funktion vorhanden und funktionsfähig. → Code-Check: Export-Endpunkte, Download-Buttons für Nutzerdaten

RDS-UBR-388

Betroffenenrechte technisch umsetzbar: Filterung, Suche, Sperrung von Daten. → Code-Check: Admin-Interface, DSGVO-Request-Handling

RDS-VIN-354

Angebot jugendmedienschutzrechtlich unbedenklich (kein Extremismus, Pornografie, Diskriminierung, etc.) → Manuell: Content-Review

RDS-WER-384

Digitales Bildungsangebot ist werbefrei. → Code-Check: Ad-Netzwerke, AdSense, Banner-Ads, gesponserte Inhalte

RDS-WER-385

Keine Verlinkung auf werbefinanzierte Zielseiten für SuS. → Code-Check: Externe Links analysieren

ITS-SHR-362

Webserver gegen bekannte Schwachstellen abgesichert (Heartbleed, CRIME, Downgrade-Angriffe). Patchmechanismen etabliert. → Code-Check: Server-Konfigurationsdateien, Dependency-Versionen, Security-Headers

ITS-ENC-359

Alle Seiten ausschließlich über HTTPS erreichbar. → Code-Check: Server-Config, .htaccess, next.config.js, Middleware

ITS-ENC-360

HTTP-Anfragen werden auf HTTPS umgeleitet. → Code-Check: Redirect-Konfiguration in Server/Framework

ITS-ENC-361

Veraltete TLS/SSL-Protokolle (SSLv2, SSLv3, TLS 1.0, TLS 1.1) werden abgelehnt. → Code-Check: SSL-Konfiguration (nginx ssl_protocols, apache SSLProtocol)

Hinweise

• Fokus auf MUSS-Kriterien — diese sind für VIDIS-Zulassung zwingend
• RDS-UBR-387 ist SOLL — empfohlen aber kein Ausschlusskriterium
• Scope "Angebot" = prüfbar aus Code; Scope "Anbieter" = meist nur manuell prüfbar
• Bei Unsicherheit lieber MANUELL als PASS — falsche Sicherheit ist schädlicher als offene Fragen