Web-Demo: 2 Gratis-Analysen direkt auf der Webseite

Worker (/demo auf behoerdenklar-proxy):
- Turnstile-Verifikation serverseitig (Bot-Mauer)
- Analyse 1 anonym (1x pro IP/30 Tage), Analyse 2 nur mit E-Mail
  (SHA-256-Hash mit Pepper, dauerhaft — nie Klartext gespeichert)
- IP-Gesamtlimit 3/30 Tage, globales Tagesbudget 100 (~2,50 EUR Deckel)
- Wegwerf-Mail-Blockliste, 5-MB-Limit, CORS nur eigene Domain
- Prompt/Schema identisch zur App (ohne Antwort-Generator)

Webseite:
- demo.html im Papier-Design: Einwilligung, Upload mit Client-Downscaling
  (2000px/JPEG wie App), Ampel-Logik, Ergebnis-Karten, Warteliste-CTA
  mit vorbelegter E-Mail, gestaffelter Ablauf 1. anonym / 2. mit E-Mail
- Startseite verlinkt Demo im Hero
- Datenschutz: neuer Abschnitt 8 Gratis-Demo (Einwilligung, Turnstile,
  E-Mail-Hash), Folgeabschnitte neu nummeriert; Sitemap + /demo

Ende-zu-Ende getestet: echte Analyse (Jobcenter-Testbrief korrekt erklärt,
Ampel erkennt fruehere Absagefrist), Schummler-Szenarien (Browser-Loeschen,
doppelte E-Mail) serverseitig abgefangen. Dabei entdeckt: Anthropic-Key
war ungueltig -> erneuert (App-Analyse funktionierte wieder).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

webseite/datenschutz.html

@@ -145,7 +145,38 @@
         Ihre Adresse wird dann gelöscht.
       </p>
 
-      <h2>8. Reichweitenmessung (Webseite)</h2>
+      <h2>8. Gratis-Demo (Webseite)</h2>
+      <p>
+        Auf unserer Webseite können Sie zwei Brief-Analysen kostenlos
+        ausprobieren, ohne die App zu installieren. Dabei gilt:
+      </p>
+      <ul>
+        <li>
+          <strong>Ihr Brief-Foto</strong> wird — nur mit Ihrer Einwilligung
+          (Häkchen vor dem Hochladen, Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2
+          lit. a DSGVO) — über unseren Server (Cloudflare) an Anthropic (USA)
+          zur Analyse geschickt. Es wird auf unserem Server nicht gespeichert;
+          bei Anthropic wird es nach spätestens 30 Tagen gelöscht (wie in
+          Abschnitt 3a beschrieben). Das Ergebnis sehen nur Sie in Ihrem
+          Browser; wir speichern es nicht.
+        </li>
+        <li>
+          <strong>Zum Schutz vor Missbrauch</strong> (Art. 6 Abs. 1 lit. f
+          DSGVO) prüfen wir Anfragen mit Cloudflare Turnstile (Bot-Erkennung
+          durch Cloudflare, Inc., USA), zählen Analysen pro IP-Adresse
+          (Speicherung max. 30 Tage) und führen ein tägliches Gesamtlimit.
+        </li>
+        <li>
+          <strong>Für die zweite Gratis-Analyse</strong> geben Sie Ihre
+          E-Mail-Adresse an. Wir speichern sie ausschließlich als
+          nicht umkehrbare Prüfsumme (Hash), um das Kontingent von zwei
+          Analysen durchzusetzen — die Adresse selbst wird nicht gespeichert
+          und nicht für E-Mails verwendet. In die Warteliste (Abschnitt 7)
+          kommen Sie nur, wenn Sie sich dort separat eintragen.
+        </li>
+      </ul>
+
+      <h2>9. Reichweitenmessung (Webseite)</h2>
       <p>
         Auf dieser Webseite nutzen wir Cloudflare Web Analytics (Cloudflare,
         Inc., USA) — eine datenschutzfreundliche Besucherstatistik
@@ -157,14 +188,14 @@
         DSGVO).
       </p>
 
-      <h2>9. Keine Rechtsberatung</h2>
+      <h2>10. Keine Rechtsberatung</h2>
       <p>
         BehördenKlar erklärt Briefe verständlich, ersetzt aber keine
         Rechtsberatung. Bei rechtlich wichtigen Entscheidungen wenden Sie sich
         an eine Beratungsstelle oder eine Anwältin/einen Anwalt.
       </p>
 
-      <h2>10. Änderungen</h2>
+      <h2>11. Änderungen</h2>
       <p>
         Wir passen diese Datenschutzerklärung an, wenn sich die App oder die
         Rechtslage ändert. Die aktuelle Fassung finden Sie immer auf dieser