Demo-Seite: Einrichtungs-Code, Handy als Kamera fuer den PC, Mitnehmen per QR

- ?code=... oder Eingabefeld: kostenlos ueber die Beratungsstelle
- PC: "Lieber mit dem Handy fotografieren" - QR scannen, am Handy
  fotografieren, Ergebnis erscheint am PC auf Deutsch und am Handy in der
  Muttersprache (Umschalter zwischen beiden Sprachen)
- PC: "Ergebnis aufs Handy mitnehmen" und "Guthaben auch auf dem Handy"
- uebergabe.js: AES-256-GCM per WebCrypto, Schluessel nur hinter dem #
- qrcode.js (MIT, Kazuhiko Arase) selbst gehostet, keine Drittanfragen
- Datenschutzerklaerung: Abschnitte 9a (Einrichtungs-Code) und 9b (Uebergabe)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

webseite/datenschutz.html

@@ -29,7 +29,7 @@
 <body>
   <div class="wrap">
     <h1>Datenschutzerklärung</h1>
-    <p class="stand">für die App und Webseite „BehördenKlar" — Stand: 18.08.2026</p>
+    <p class="stand">für die App und Webseite „BehördenKlar" — Stand: 22.10.2026</p>
 
     <div class="karte">
       <h2>1. Verantwortlicher</h2>
@@ -215,6 +215,47 @@
         für die gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO).
       </p>
 
+      <h2>9a. Zugang über eine Beratungsstelle (Einrichtungs-Code)</h2>
+      <p>
+        Beratungsstellen können ihren Ratsuchenden einen Code geben, mit dem
+        BehördenKlar für sie kostenlos ist. Der Code verweist auf ein
+        Guthaben der Einrichtung, das wie in Abschnitt 9 beschrieben unter
+        einer zufälligen Kennung verwaltet wird. Wir erfahren dabei nicht, wer
+        den Code nutzt, und die Beratungsstelle sieht keine Briefe oder
+        Ergebnisse, nur wie viele Analysen noch übrig sind. Gegen das Erraten
+        von Codes zählen wir falsche Eingaben pro IP-Adresse (Speicherung
+        max. 48 Stunden, Art. 6 Abs. 1 lit. f DSGVO).
+      </p>
+
+      <h2>9b. Übergabe zwischen Handy und Computer</h2>
+      <p>
+        Sie können ein Ergebnis per QR-Code von einem Gerät auf ein anderes
+        bringen, zum Beispiel vom Computer der Beratungsstelle auf Ihr Handy,
+        oder mit dem Handy fotografieren und das Ergebnis am Computer anzeigen.
+        Dabei gilt:
+      </p>
+      <ul>
+        <li>
+          <strong>Ende-zu-Ende-Verschlüsselung.</strong> Das Ergebnis wird auf
+          dem einen Gerät mit AES-256 verschlüsselt und erst auf dem anderen
+          Gerät wieder entschlüsselt. Den Schlüssel enthält nur der QR-Code
+          (im Teil der Adresse nach dem „#", den Browser nicht an Server
+          senden). <strong>Wir können den Inhalt nicht lesen.</strong>
+        </li>
+        <li>
+          <strong>Kurze Zwischenspeicherung.</strong> Das verschlüsselte
+          Ergebnis liegt bis zur Abholung auf unserem Server (Cloudflare),
+          höchstens 15 Minuten, und wird beim Abholen bzw. danach automatisch
+          gelöscht. Zum Schutz vor Missbrauch begrenzen wir die Zahl der
+          Übertragungen pro IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).
+        </li>
+        <li>
+          Wer den QR-Code fotografiert oder abfotografiert, kann das Ergebnis
+          innerhalb dieser 15 Minuten öffnen. Zeigen Sie den Code deshalb nur
+          der Person, für die er bestimmt ist.
+        </li>
+      </ul>
+
       <h2>10. Reichweitenmessung (Webseite)</h2>
       <p>
         Auf dieser Webseite nutzen wir Cloudflare Web Analytics (Cloudflare,