diff --git a/docs/superpowers/specs/2026-10-07-buchungskalender-design.md b/docs/superpowers/specs/2026-10-07-buchungskalender-design.md
index 715b2c8..9ea7eb4 100644
--- a/docs/superpowers/specs/2026-10-07-buchungskalender-design.md
+++ b/docs/superpowers/specs/2026-10-07-buchungskalender-design.md
@@ -273,3 +273,21 @@ Danach gleichzeitig:
 3. **Widget + Buchungsseite + Donau-Home-Einbau.**
 4. **Mails, Rechnungs-PDF, Rechtstexte, Einbau- und Livegang-Notiz.**
 Abschluss: Zusammenführen, Gesamttests, Review, UI-Durchlauf.
+
+## 17. Nachträge aus der Code-Prüfung (2026-10-07, vor dem Plan)
+
+- **N1 (ersetzt U16):** Widget nach dem Muster `shop.js`/`termine.js` statt Shadow DOM: eigenes `<style id="wku-style">` mit
+  `@layer wku`, Klassenpräfix `.wku-`, Variablen `--wku-akzent`, `--wku-akzent-text`, `--wku-hintergrund`, `--wku-text`,
+  `--wku-rand`, `--wku-radius`, `--wku-schrift`, `--wku-schrift-titel`. Öffentliche API unter `/api/public/unterkunft/v1/`.
+- **N2 (ersetzt den Bucket `uk-rechnungen`):** Keine Datei-Ablage. `ukRechnungen.inhalt` speichert den vollständigen,
+  unveränderlichen Schnappschuss (Aussteller, Empfänger, Unterkunft, Zeitraum, Posten, Summen, Steuerart, Bezug); das PDF
+  wird bei jedem Abruf daraus deterministisch erzeugt. Eigener minimaler PDF-Writer (Helvetica, WinAnsi inkl. Umlaute und
+  €), keine neue Abhängigkeit.
+- **N3:** Die Mail-Warteschlange (`termine/outbox.js`) bekommt ein optionales Feld `anhang` (JSON-Verweis
+  `{art:'ukRechnung', rechnungId}`), `sendGuestMail` einen Parameter `attachments`; das PDF entsteht beim Versand.
+- **N4 (konkretisiert U15):** `ukEinstellungen.stripeAccountId` ist eigen; hat das Projekt ein Webshop-Konto
+  (`shopConfig.stripeAccountId`), bietet das Portal „vorhandenes Stripe-Konto verwenden“ an. Metadaten `wkUk:'1'`;
+  `account.updated` aktualisiert auch `ukEinstellungen`; `erstatten` bekommt einen Parameter für das Metadatum `webklar`.
+- **N5:** Datenschutz-Abschnitt bleibt § 6f (6e ist für Öffnungszeiten reserviert, noch nicht live).
+- **N6:** Kein Textform-Nachweis (nicht in `TEXTFORM_KEYS`); Mimi wird im WOMS über „Freischalten“ (`action:'activate'`)
+  ohne Zahlung freigeschaltet.