{
  "metadata": {
    "vendor": "Notion",
    "package": "Rapid Screen",
    "language": "de",
    "prepared_at": "2026-06-30",
    "status": "source_foundation"
  },
  "use_case": {
    "company_stage": "25 -> 60 Personen",
    "primary_use": "Interne Wissensdatenbank und Prozessdokumentation",
    "budget_target": "300-1.000 EUR/Monat",
    "must_haves": [
      "SSO / Identity Control",
      "DPA/AVV-Übergabe",
      "Export / Portabilität",
      "Admin- und Berechtigungslogik",
      "klare Pilot-vs-Rollout-Entscheidung"
    ],
    "excluded_from_rapid": [
      "vollständige Rechtsberatung",
      "vollständige Security-Prüfung",
      "Market Scan",
      "Alternativenmatrix",
      "Contract Redlining"
    ]
  },
  "decision": {
    "verdict": "Bedingtes Go",
    "pilot": "Ja",
    "full_rollout": "Aktuell stoppen",
    "one_sentence": "Notion kann als begrenzter Pilot für Wissensdatenbank und Prozessdokumentation freigegeben werden. Ein Vollrollout ist aktuell nicht freigabefähig, bis Quote, Exporttest, Berechtigungstest, Subprozessoren-/Datenklassen-Übergabe und KI-Regelung geschlossen sind.",
    "top_reasons": [
      "Der Einsatzfall ist eng genug: interne Wissensdatenbank und Prozessdokumentation, kein unkontrollierter Unternehmens-Rollout.",
      "Notion deckt den funktionalen Pilotbedarf wahrscheinlich ab; SSO und Berechtigungen müssen im echten Arbeitsbereich getestet werden.",
      "Export ist dokumentiert. Das reicht für einen Pilot, aber nicht für eine Rollout-Freigabe."
    ],
    "top_blockers": [
      "60-User-TCO kann den Budgetkorridor sprengen.",
      "Audit Log, SCIM, Datenresidenz und weitere Kontrollen sind planabhängig und können Enterprise Pricing erzwingen.",
      "Exportqualität und Rebuild-Aufwand sind praktisch ungetestet.",
      "Die Subprozessorenliste enthält Hosting-, KI-, Analytics-, Support- und Notion-Entitätsverarbeitungen mit mehreren Standorten. Das muss vor sensiblen Daten konkret zugeordnet werden."
    ],
    "minimum_conditions": [
      "Business/Enterprise Quote für 25 und 60 Nutzer liegt vor.",
      "SSO und Permission-Modell wurden im Pilot getestet.",
      "Export/Restore-Test wurde mit realistischen Seiten und Datenbanken durchgeführt.",
      "KI-Funktionen sind deaktiviert oder regelkonform freigegeben.",
      "DPA/AVV, Subprozessoren, Standorte und Datenklassen wurden an Legal/Datenschutz übergeben."
    ]
  },
  "evidence_counts": {
    "sources": 10,
    "claims": 29,
    "risks": 8
  },
  "sources": [
    {
      "Source ID": "N-RS-01",
      "Vendor": "Notion",
      "Source type": "Pricing",
      "Title": "Notion Pricing",
      "URL": "https://www.notion.com/pricing",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Planlogik, Business-Preisanker, Enterprise Custom Pricing, planabhängige Kontrollen",
      "Rapid use": "TCO, Plan-Fit, Budget- und Kontroll-Gates",
      "Limitations": "Öffentliche Preise sind nur Preisanker; Quote kann je nach Region, Laufzeit, Billing, Add-ons und Rabatt abweichen."
    },
    {
      "Source ID": "N-RS-02",
      "Vendor": "Notion",
      "Source type": "Legal/Datenschutz",
      "Title": "Notion's List of Subprocessors",
      "URL": "https://notion.notion.site/Notion-s-List-of-Subprocessors-268fa5bcfa0f46b6bc29436b21676734",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Subprozessoren mit Zweck und Standort, u. a. AWS, KI-/LLM-Provider, Analytics, Support und Notion-Entitäten",
      "Rapid use": "Subprozessoren-, Standort- und Datenklassen-Übergabe",
      "Limitations": "Die Liste ist breit und dynamisch; vor Kundenauslieferung mit Abrufdatum sichern."
    },
    {
      "Source ID": "N-RS-03",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Security & privacy",
      "URL": "https://www.notion.com/help/security-and-privacy",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Verschlüsselung, SOC/ISO-Referenzen, Access- und Security-Kontrollen",
      "Rapid use": "Security- und Privacy-Claim-Stütze",
      "Limitations": "Funktionsverfügbarkeit bleibt teilweise planabhängig."
    },
    {
      "Source ID": "N-RS-04",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "GDPR at Notion",
      "URL": "https://www.notion.com/help/gdpr-at-notion",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "DPA/AVV-Pfad, DSGVO-Verarbeitungskontext und Privacy-Übergabe",
      "Rapid use": "DPA/AVV- und Legal/Datenschutz-Übergabe",
      "Limitations": "Ersetzt keine Datenschutz-/Legal-Prüfung für konkrete Datenklassen."
    },
    {
      "Source ID": "N-RS-05",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "SAML SSO configuration",
      "URL": "https://www.notion.com/help/saml-sso-configuration",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "SAML-SSO-Verfügbarkeit und Setup-Bedingungen",
      "Rapid use": "Identity-Control-Gate für Pilot und Rollout",
      "Limitations": "Exakter Plan und Workspace-Konfiguration müssen bestätigt werden."
    },
    {
      "Source ID": "N-RS-06",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Provision users and groups with SCIM",
      "URL": "https://www.notion.com/help/provision-users-and-groups-with-scim",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "SCIM-Provisioning-Scope und Planabhängigkeit",
      "Rapid use": "Lifecycle-/Offboarding-Gate",
      "Limitations": "Enterprise-Abhängigkeit kann TCO materiell verändern."
    },
    {
      "Source ID": "N-RS-07",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Audit log",
      "URL": "https://www.notion.com/help/audit-log",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Audit-Log-Planabhängigkeit, Retention und abgedeckte Events",
      "Rapid use": "Auditability-Gate für Vollrollout",
      "Limitations": "Rapid testet keine Audit-Log-Vollständigkeit im echten Workspace."
    },
    {
      "Source ID": "N-RS-08",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Export your content",
      "URL": "https://www.notion.com/help/export-your-content",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Exportformate, Workspace-Export-Verhalten und praktische Einschränkungen",
      "Rapid use": "Portability- und Exit-Risk-Gate",
      "Limitations": "Dokumentierter Export beweist keine akzeptable Migrationsfidelität."
    },
    {
      "Source ID": "N-RS-09",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Data residency for Notion",
      "URL": "https://www.notion.com/help/data-residency",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "Data-Residency-Verfügbarkeit, Region Scope und Ausnahmen",
      "Rapid use": "EU-/Data-Residency-Bedingung bei Bedarf",
      "Limitations": "Enterprise-Verfügbarkeit und Scope-Limits müssen bestätigt werden."
    },
    {
      "Source ID": "N-RS-10",
      "Vendor": "Notion",
      "Source type": "Help Center",
      "Title": "Notion AI security & privacy practices",
      "URL": "https://www.notion.com/help/notion-ai-security-practices",
      "Accessed": "2026-06-30",
      "Source quality": "Primärquelle",
      "Key evidence": "KI-Provider-/Subprozessoren-Modell, Training Statement, Retention und Enterprise ZDR",
      "Rapid use": "KI-Regelung, falls Notion AI aktiv ist oder gebündelt wird",
      "Limitations": "Wenn KI außer Scope ist, bleibt dies Regelungsrisiko statt Kernblocker."
    }
  ],
  "claims": [
    {
      "Claim ID": "NR-CL-01",
      "Decision field": "Kosten / TCO",
      "Vendor/Scope": "Notion Business",
      "Claim": "Business ist der relevante öffentliche Preisanker, wenn SAML SSO und stärkere Admin-Kontrollen Must-haves sind.",
      "Source IDs": "N-RS-01|N-RS-05",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Unterstützt Pilot, aber nur wenn Business-Kosten im Zielbudget bleiben.",
      "Verification need": "Zielplan, Billing, Laufzeit, Währung, Steuern und Quote bestätigen."
    },
    {
      "Claim ID": "NR-CL-02",
      "Decision field": "Kosten / TCO",
      "Vendor/Scope": "Notion Business",
      "Claim": "Bei 60 Mitgliedern kann der öffentliche Business-Preis den Budgetkorridor von 300-1.000 EUR/Monat belasten.",
      "Source IDs": "N-RS-01",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Modellannahme",
      "Decision impact": "Budget kann beim Vollrollout brechen, selbst wenn der Pilot bezahlbar wirkt.",
      "Verification need": "Öffentlichen Preisanker durch formale Quote für 25 und 60 Nutzer ersetzen."
    },
    {
      "Claim ID": "NR-CL-03",
      "Decision field": "Kosten / TCO",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Enterprise Pricing ist custom; Enterprise-only Controls dürfen im Rapid-Budget nicht angenommen werden.",
      "Source IDs": "N-RS-01",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "Medium-High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Audit/SCIM/Data Residency können eine andere kommerzielle Entscheidung erzwingen.",
      "Verification need": "Enterprise Quote anfordern, wenn ein Enterprise-only Control verpflichtend ist."
    },
    {
      "Claim ID": "NR-CL-04",
      "Decision field": "Kosten / TCO",
      "Vendor/Scope": "Notion",
      "Claim": "Notion AI und KI-/Add-on-Verhalten müssen vom Basis-Workspace-Preis getrennt betrachtet werden.",
      "Source IDs": "N-RS-01|N-RS-10",
      "Confidence": "Medium",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Anbieter-Bestätigung offen",
      "Decision impact": "KI-Nutzung kann ungeplante Kosten und Regelungsrisiken erzeugen.",
      "Verification need": "Bestätigen, ob KI aktiviert, deaktiviert, limitiert oder separat berechnet wird."
    },
    {
      "Claim ID": "NR-CL-05",
      "Decision field": "Identitätskontrolle",
      "Vendor/Scope": "Notion Business/Enterprise",
      "Claim": "SAML SSO ist für den Use Case plausibel, muss aber im exakten Workspace eingerichtet und getestet werden.",
      "Source IDs": "N-RS-01|N-RS-05",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Unterstützt kontrollierten Pilot, wenn Business gewählt wird.",
      "Verification need": "SSO-Proof mit dem Identity Provider des Kunden durchführen."
    },
    {
      "Claim ID": "NR-CL-06",
      "Decision field": "Identitätskontrolle",
      "Vendor/Scope": "Gäste",
      "Claim": "Gast- und externe Zusammenarbeit werden durch SAML nicht automatisch gelöst.",
      "Source IDs": "N-RS-05",
      "Confidence": "Medium-High",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Arbeitsbereich-Validierung nötig",
      "Decision impact": "Externes Sharing kann Governance-Lücke bleiben.",
      "Verification need": "Gastzugriffe, externe Mitarbeitende und Sharing-Regelung erfassen."
    },
    {
      "Claim ID": "NR-CL-07",
      "Decision field": "Identity Lifecycle",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "SCIM Provisioning ist Enterprise-nah und sollte für Business Rollout nicht angenommen werden.",
      "Source IDs": "N-RS-01|N-RS-06",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Wenn automatisiertes Lifecycle-/Offboarding Pflicht ist, kann Business unzureichend sein.",
      "Verification need": "SCIM-Anforderung und Enterprise Quote bestätigen."
    },
    {
      "Claim ID": "NR-CL-08",
      "Decision field": "Identity Lifecycle",
      "Vendor/Scope": "Guests",
      "Claim": "SCIM ersetzt keinen separaten Governance-Prozess für Guests und externe Nutzer.",
      "Source IDs": "N-RS-06",
      "Confidence": "High",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Offboarding-Kontrolle kann ohne Guest-Prozess unvollständig bleiben.",
      "Verification need": "Guest Owner und Offboarding-Prozess definieren."
    },
    {
      "Claim ID": "NR-CL-09",
      "Decision field": "Auditierbarkeit",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Audit Log ist Enterprise-abhängig und keine Business-Annahme.",
      "Source IDs": "N-RS-01|N-RS-07",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Wenn Audit Logs Pflicht sind, verschiebt sich die Entscheidung Richtung Enterprise Quote oder No-Go für Business Vollrollout.",
      "Verification need": "Klären, ob Audit Log für diesen Wissensdatenbank-Use-Case verpflichtend ist."
    },
    {
      "Claim ID": "NR-CL-10",
      "Decision field": "Auditierbarkeit",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Audit-Log-Abdeckung beginnt erst ab Upgrade/Aktivierung; historische Events können fehlen.",
      "Source IDs": "N-RS-07",
      "Confidence": "High",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Spätes Upgrade kann retrospektive Investigation nicht tragen.",
      "Verification need": "Audit-Log-Aktivierungszeitpunkt vor Rollout bestätigen."
    },
    {
      "Claim ID": "NR-CL-11",
      "Decision field": "Auditierbarkeit",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Audit-Log-Retention muss gegen die konkrete Anforderung geprüft werden, nicht als generisches Trust-Signal.",
      "Source IDs": "N-RS-07",
      "Confidence": "Medium-High",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Anforderungsabgleich nötig",
      "Decision impact": "Retention kann für interne Review- oder Security-Anforderungen zu kurz sein.",
      "Verification need": "Retention-Anforderung mit Notion-Retention abgleichen."
    },
    {
      "Claim ID": "NR-CL-12",
      "Decision field": "Security / Trust",
      "Vendor/Scope": "Notion",
      "Claim": "Security- und Privacy-Quellen liefern positive Trust-Signale, inklusive Verschlüsselung und Compliance-Referenzen.",
      "Source IDs": "N-RS-03",
      "Confidence": "High",
      "Impact": "Medium-High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Unterstützt Anbieter-Glaubwürdigkeit für den Pilot, ersetzt aber keine Freigabe.",
      "Verification need": "SOC/ISO-Artefakte sammeln, falls Procurement/Security sie verlangt."
    },
    {
      "Claim ID": "NR-CL-13",
      "Decision field": "Security / Trust",
      "Vendor/Scope": "Notion",
      "Claim": "Trust-/Security-Materialien reichen nicht für sensible oder regulierte Wissensdatenbank-Daten ohne kundenspezifische Prüfung.",
      "Source IDs": "N-RS-03|N-RS-04",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Entscheidungsableitung",
      "Decision impact": "Pilot startet nur mit begrenzten Datenklassen.",
      "Verification need": "Verbotene Datenklassen für den Pilot definieren."
    },
    {
      "Claim ID": "NR-CL-14",
      "Decision field": "DPA / Datenschutz",
      "Vendor/Scope": "Notion",
      "Claim": "DPA/AVV-Materialien sind als Übergabe-Input verfügbar; finale Datenschutz-/Legal-Freigabe bleibt außerhalb Rapid Scope.",
      "Source IDs": "N-RS-04",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Legal/Privacy-Übergabe",
      "Decision impact": "Blockiert Pilot nicht bei eingeschränkten Daten, blockiert aber Vollrollout ohne verantwortliche Freigabe.",
      "Verification need": "DPA/AVV und Quellenregister an DSB, Legal oder Privacy Owner senden."
    },
    {
      "Claim ID": "NR-CL-15",
      "Decision field": "DPA / Datenschutz",
      "Vendor/Scope": "Notion",
      "Claim": "Die Subprozessorenliste enthält konkrete Standortsignale: AWS mit USA/EU/Korea/Japan, KI-/LLM-Provider teils Global, Analytics/Streaming u. a. USA/Deutschland/Korea/Japan sowie Support-/Notion-Entitäten außerhalb Deutschlands.",
      "Source IDs": "N-RS-02|N-RS-04|N-RS-09|N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Legal/Privacy-Übergabe",
      "Decision impact": "Vollrollout ist ohne Datenklassen- und Subprozessoren-Übergabe nicht freigabefähig.",
      "Verification need": "Subprozessorenliste mit Datenklassen, KI-Scope, EU-Residency-Anforderung und Legal/Datenschutz abgleichen."
    },
    {
      "Claim ID": "NR-CL-16",
      "Decision field": "Data Residency",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Data Residency ist keine Business-Default-Annahme; sie ist plan- und scopeabhängig.",
      "Source IDs": "N-RS-01|N-RS-09",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "Medium",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Wenn EU Data Residency Pflicht ist, reicht Business Pilot eventuell nicht.",
      "Verification need": "Klären, ob EU Residency erforderlich und im Zielplan verfügbar ist."
    },
    {
      "Claim ID": "NR-CL-17",
      "Decision field": "Data Residency",
      "Vendor/Scope": "EU region",
      "Claim": "EU Data Residency reduziert eine Risikoklasse, eliminiert aber DPA-, Subprozessoren-, Transfer- und Exclusion-Prüfung nicht.",
      "Source IDs": "N-RS-09|N-RS-04",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "Medium",
      "Evidence status": "Entscheidungsableitung",
      "Decision impact": "Verhindert falsche Sicherheit durch die Formulierung EU Region.",
      "Verification need": "Residency Scope, Ausnahmen, Backups und Drittprozessoren prüfen."
    },
    {
      "Claim ID": "NR-CL-18",
      "Decision field": "Data Residency",
      "Vendor/Scope": "Notion",
      "Claim": "Einzelne Notion-Produkte oder Datentypen können von Residency-Zusagen ausgenommen sein und separat behandelt werden müssen.",
      "Source IDs": "N-RS-09",
      "Confidence": "Medium-High",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Evidence status": "Scope-Prüfung nötig",
      "Decision impact": "Calendar/Mail/Beta oder AI-Scope kann Approval verändern.",
      "Verification need": "Klären, welche Notion-Produkte im Rollout wirklich enthalten sind."
    },
    {
      "Claim ID": "NR-CL-19",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Notion",
      "Claim": "Notion dokumentiert Exportoptionen für Seiten, Datenbanken und Workspace Content.",
      "Source IDs": "N-RS-08",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Export existiert als Ausgangspunkt; Pilot ist kein sofortiges Lock-in No-Go.",
      "Verification need": "Echten Exporttest mit repräsentativem Inhalt durchführen."
    },
    {
      "Claim ID": "NR-CL-20",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Business/Enterprise",
      "Claim": "Workspaceweiter PDF-Export ist planabhängig und darf nicht für jeden Plan angenommen werden.",
      "Source IDs": "N-RS-08|N-RS-01",
      "Confidence": "Medium-High",
      "Impact": "Medium",
      "Likelihood": "Medium",
      "Evidence status": "Planprüfung nötig",
      "Decision impact": "Exportfähigkeit kann zum Plan-Fit-Thema werden.",
      "Verification need": "Exportformate im Zielplan bestätigen."
    },
    {
      "Claim ID": "NR-CL-21",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Notion",
      "Claim": "Exportierter Content reicht möglicherweise nicht, um Workspace-Struktur und Arbeitslogik sauber wiederherzustellen.",
      "Source IDs": "N-RS-08",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Verifizierte Einschränkung",
      "Decision impact": "Vollrollout ist nicht freigabefähig, bis praktische Restore-/Migrationsqualität getestet ist.",
      "Verification need": "Export-/Review-Test mit verschachtelten Seiten, Datenbanken, Dateien und Kommentaren durchführen."
    },
    {
      "Claim ID": "NR-CL-22",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Notion",
      "Claim": "Workspace Export kann Zeit kosten und bei größeren Workspaces operative Reibung erzeugen.",
      "Source IDs": "N-RS-08",
      "Confidence": "Medium",
      "Impact": "Medium",
      "Likelihood": "Medium",
      "Evidence status": "Verifizierte Einschränkung",
      "Decision impact": "Exit-Aufwand wächst mit Adoption.",
      "Verification need": "Exportzeit im Pilot messen."
    },
    {
      "Claim ID": "NR-CL-23",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Notion databases",
      "Claim": "Database Export kann viewabhängig sein; datenbanklastige Prozessdokumentation braucht Fidelity-Test.",
      "Source IDs": "N-RS-08",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "Medium-High",
      "Evidence status": "Verifizierte Einschränkung",
      "Decision impact": "Prozessdokumentation kann bei Datenbanknutzung schwerer migrieren.",
      "Verification need": "Repräsentative Datenbanken und Relationen testen."
    },
    {
      "Claim ID": "NR-CL-24",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Windows users",
      "Claim": "Lange verschachtelte Pfade können in Windows-Umgebungen praktische Export-/Öffnungsprobleme verursachen.",
      "Source IDs": "N-RS-08",
      "Confidence": "Medium",
      "Impact": "Medium",
      "Likelihood": "Medium",
      "Evidence status": "Verifizierte Einschränkung",
      "Decision impact": "Tiefe Seitenbäume sollten im Pilot kontrolliert werden.",
      "Verification need": "Exportiertes ZIP auf Windows testen."
    },
    {
      "Claim ID": "NR-CL-25",
      "Decision field": "Admin / Governance",
      "Vendor/Scope": "Notion",
      "Claim": "Private Teamspaces und granulare Berechtigungen unterstützen einen kontrollierten Pilot, aber Permission Design muss explizit sein.",
      "Source IDs": "N-RS-01|N-RS-03|N-RS-05",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Workspace-Validierung nötig",
      "Decision impact": "Governance-Stärke hängt am Setup, nicht nur an Feature-Verfügbarkeit.",
      "Verification need": "Pilot-Permission-Map und Sharing Rules bauen."
    },
    {
      "Claim ID": "NR-CL-26",
      "Decision field": "Admin / Governance",
      "Vendor/Scope": "Notion",
      "Claim": "Domain Management, SIEM/DLP und Advanced Admin Controls wirken Enterprise-nah und können außerhalb Rapid-Budget liegen.",
      "Source IDs": "N-RS-01|N-RS-03",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "Medium",
      "Evidence status": "Planprüfung nötig",
      "Decision impact": "Security kann Business ablehnen, wenn diese Controls verpflichtend sind.",
      "Verification need": "IT/Security fragt: Must-have oder Nice-to-have?"
    },
    {
      "Claim ID": "NR-CL-27",
      "Decision field": "KI-Regelung",
      "Vendor/Scope": "Notion AI",
      "Claim": "Notion AI erzeugt separate Provider-, Retention- und Subprozessoren-Fragen.",
      "Source IDs": "N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "Medium-High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Pilot muss definieren, ob KI aktiviert, deaktiviert oder limitiert ist.",
      "Verification need": "KI-Regelung setzen, bevor echte Unternehmenswissen-Daten importiert werden."
    },
    {
      "Claim ID": "NR-CL-28",
      "Decision field": "KI-Regelung",
      "Vendor/Scope": "Notion AI",
      "Claim": "Notion AI-Materialien sind positiv zu Training-Use-Limits, aber Retention hängt von Plan und Provider-Setup ab.",
      "Source IDs": "N-RS-10|N-RS-01",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "Medium",
      "Evidence status": "Planbestätigung nötig",
      "Decision impact": "Enterprise ZDR kann bei strenger KI-Haltung erforderlich sein.",
      "Verification need": "KI-Retention und Model-Provider-Settings schriftlich bestätigen."
    },
    {
      "Claim ID": "NR-CL-29",
      "Decision field": "Rapid-Entscheidung",
      "Vendor/Scope": "Notion",
      "Claim": "Die Rapid Evidence stützt einen begrenzten Pilot unter Bedingungen, aber keinen freigabefähigen Vollrollout.",
      "Source IDs": "N-RS-01|N-RS-02|N-RS-04|N-RS-05|N-RS-07|N-RS-08|N-RS-09|N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Entscheidungssynthese",
      "Decision impact": "Entscheidung: Bedingtes Go für Pilot. Vollrollout stoppen.",
      "Verification need": "Quote, Export, Berechtigungen, DPA/Subprozessoren und KI-Gates schließen."
    }
  ],
  "top_claims": [
    {
      "Claim ID": "NR-CL-02",
      "Decision field": "Kosten / TCO",
      "Vendor/Scope": "Notion Business",
      "Claim": "Bei 60 Mitgliedern kann der öffentliche Business-Preis den Budgetkorridor von 300-1.000 EUR/Monat belasten.",
      "Source IDs": "N-RS-01",
      "Confidence": "Medium-High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Modellannahme",
      "Decision impact": "Budget kann beim Vollrollout brechen, selbst wenn der Pilot bezahlbar wirkt.",
      "Verification need": "Öffentlichen Preisanker durch formale Quote für 25 und 60 Nutzer ersetzen."
    },
    {
      "Claim ID": "NR-CL-07",
      "Decision field": "Identity Lifecycle",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "SCIM Provisioning ist Enterprise-nah und sollte für Business Rollout nicht angenommen werden.",
      "Source IDs": "N-RS-01|N-RS-06",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Wenn automatisiertes Lifecycle-/Offboarding Pflicht ist, kann Business unzureichend sein.",
      "Verification need": "SCIM-Anforderung und Enterprise Quote bestätigen."
    },
    {
      "Claim ID": "NR-CL-09",
      "Decision field": "Auditierbarkeit",
      "Vendor/Scope": "Notion Enterprise",
      "Claim": "Audit Log ist Enterprise-abhängig und keine Business-Annahme.",
      "Source IDs": "N-RS-01|N-RS-07",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Wenn Audit Logs Pflicht sind, verschiebt sich die Entscheidung Richtung Enterprise Quote oder No-Go für Business Vollrollout.",
      "Verification need": "Klären, ob Audit Log für diesen Wissensdatenbank-Use-Case verpflichtend ist."
    },
    {
      "Claim ID": "NR-CL-15",
      "Decision field": "DPA / Datenschutz",
      "Vendor/Scope": "Notion",
      "Claim": "Die Subprozessorenliste enthält konkrete Standortsignale: AWS mit USA/EU/Korea/Japan, KI-/LLM-Provider teils Global, Analytics/Streaming u. a. USA/Deutschland/Korea/Japan sowie Support-/Notion-Entitäten außerhalb Deutschlands.",
      "Source IDs": "N-RS-02|N-RS-04|N-RS-09|N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Legal/Privacy-Übergabe",
      "Decision impact": "Vollrollout ist ohne Datenklassen- und Subprozessoren-Übergabe nicht freigabefähig.",
      "Verification need": "Subprozessorenliste mit Datenklassen, KI-Scope, EU-Residency-Anforderung und Legal/Datenschutz abgleichen."
    },
    {
      "Claim ID": "NR-CL-21",
      "Decision field": "Export / Portabilität",
      "Vendor/Scope": "Notion",
      "Claim": "Exportierter Content reicht möglicherweise nicht, um Workspace-Struktur und Arbeitslogik sauber wiederherzustellen.",
      "Source IDs": "N-RS-08",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Verifizierte Einschränkung",
      "Decision impact": "Vollrollout ist nicht freigabefähig, bis praktische Restore-/Migrationsqualität getestet ist.",
      "Verification need": "Export-/Review-Test mit verschachtelten Seiten, Datenbanken, Dateien und Kommentaren durchführen."
    },
    {
      "Claim ID": "NR-CL-27",
      "Decision field": "KI-Regelung",
      "Vendor/Scope": "Notion AI",
      "Claim": "Notion AI erzeugt separate Provider-, Retention- und Subprozessoren-Fragen.",
      "Source IDs": "N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "Medium-High",
      "Evidence status": "Aus Primärquelle verifiziert",
      "Decision impact": "Pilot muss definieren, ob KI aktiviert, deaktiviert oder limitiert ist.",
      "Verification need": "KI-Regelung setzen, bevor echte Unternehmenswissen-Daten importiert werden."
    },
    {
      "Claim ID": "NR-CL-29",
      "Decision field": "Rapid-Entscheidung",
      "Vendor/Scope": "Notion",
      "Claim": "Die Rapid Evidence stützt einen begrenzten Pilot unter Bedingungen, aber keinen freigabefähigen Vollrollout.",
      "Source IDs": "N-RS-01|N-RS-02|N-RS-04|N-RS-05|N-RS-07|N-RS-08|N-RS-09|N-RS-10",
      "Confidence": "High",
      "Impact": "High",
      "Likelihood": "High",
      "Evidence status": "Entscheidungssynthese",
      "Decision impact": "Entscheidung: Bedingtes Go für Pilot. Vollrollout stoppen.",
      "Verification need": "Quote, Export, Berechtigungen, DPA/Subprozessoren und KI-Gates schließen."
    }
  ],
  "risks": [
    {
      "Risk ID": "NR-R-01",
      "Risk area": "TCO / Budget",
      "Exposure": "Business kann bei 60 Nutzern den Zielkorridor von 300-1.000 EUR/Monat sprengen; Enterprise-Kontrollen liegen im Custom-Pricing.",
      "Claim basis": "NR-CL-01|NR-CL-02|NR-CL-03",
      "Impact": "High",
      "Likelihood": "High",
      "Decision effect": "Pilot kann passen; Vollrollout-Budget ist noch nicht freigabefähig.",
      "Verification need": "Formale Quote für 25 und 60 Nutzer inklusive Billing, Laufzeit, Währung, Steuern, KI und Add-ons."
    },
    {
      "Risk ID": "NR-R-02",
      "Risk area": "Plan-Fit-Kontrollen",
      "Exposure": "Audit Log, SCIM, Datenresidenz, SIEM/DLP und weitere Admin-Kontrollen sind planabhängig.",
      "Claim basis": "NR-CL-07|NR-CL-09|NR-CL-16|NR-CL-26",
      "Impact": "High",
      "Likelihood": "High",
      "Decision effect": "Business kann unzureichend sein, wenn IT/Security diese Kontrollen als Pflicht wertet.",
      "Verification need": "Pflicht vs optional klassifizieren; bei Bedarf Enterprise Quote anfordern."
    },
    {
      "Risk ID": "NR-R-03",
      "Risk area": "Export / Portabilität",
      "Exposure": "Export ist dokumentiert, aber Restore-/Migrationsfidelität ist praktisch nicht bewiesen.",
      "Claim basis": "NR-CL-19|NR-CL-21|NR-CL-22|NR-CL-23|NR-CL-24",
      "Impact": "High",
      "Likelihood": "High",
      "Decision effect": "Vollrollout sollte warten, bis ein Exporttest bestanden ist.",
      "Verification need": "Pilot-Export mit Seiten, Datenbanken, Anhängen, Kommentaren und Windows-ZIP-Test."
    },
    {
      "Risk ID": "NR-R-04",
      "Risk area": "Berechtigungen / Externe Zugriffe",
      "Exposure": "SSO löst Gastzugriffe und externe Zusammenarbeit nicht automatisch.",
      "Claim basis": "NR-CL-05|NR-CL-06|NR-CL-08|NR-CL-25",
      "Impact": "Medium-High",
      "Likelihood": "Medium",
      "Decision effect": "Unkontrolliertes Sharing kann Datenabfluss- und Offboarding-Risiko erzeugen.",
      "Verification need": "Gast-Inventar, Sharing-Regelung, Owner-Modell und Offboarding-Checkliste."
    },
    {
      "Risk ID": "NR-R-05",
      "Risk area": "DPA / Subprozessoren / Transfers",
      "Exposure": "DPA, Subprozessoren, Transfers und Datenklassen müssen vor breiter Nutzung an Legal/Datenschutz übergeben werden.",
      "Claim basis": "NR-CL-14|NR-CL-15|NR-CL-17|NR-CL-18",
      "Impact": "High",
      "Likelihood": "High",
      "Decision effect": "Pilot kann mit eingeschränkten Daten starten; Vollrollout braucht verantwortliche Freigabe.",
      "Verification need": "DPA/AVV, Subprozessoren und Datenresidenz-Scope an verantwortliche Owner routen."
    },
    {
      "Risk ID": "NR-R-06",
      "Risk area": "KI-Regelung",
      "Exposure": "Notion AI kann Datenschutz-, Aufbewahrungs-, Subprozessoren- und Datenverwendungsprofil verändern, wenn es aktiv oder informell genutzt wird.",
      "Claim basis": "NR-CL-04|NR-CL-27|NR-CL-28",
      "Impact": "High",
      "Likelihood": "Medium-High",
      "Decision effect": "Pilot muss KI-Nutzung explizit definieren; sensible Unternehmensdaten nicht vor Freigabe einbringen.",
      "Verification need": "KI-Verfügbarkeit, Deaktivierung/Limitierung, Aufbewahrung, Training Statement und ZDR-Bedarf bestätigen."
    },
    {
      "Risk ID": "NR-R-07",
      "Risk area": "Wissensdatenbank Lock-in",
      "Exposure": "Adoption kann Prozess-Lock-in erzeugen, selbst wenn Export technisch verfügbar ist.",
      "Claim basis": "NR-CL-21|NR-CL-23|NR-CL-29",
      "Impact": "Medium-High",
      "Likelihood": "High",
      "Decision effect": "Kleiner Pilot ist sicherer als sofortige unternehmensweite Migration.",
      "Verification need": "Pilot begrenzen, Owner definieren, Exit-Test und Dokumentationsregeln festlegen."
    },
    {
      "Risk ID": "NR-R-08",
      "Risk area": "Falsches Vertrauen aus Anbieter-Seiten",
      "Exposure": "Security-/Trust-Seiten sind nützliche Signale, aber keine kundenspezifische Freigabe.",
      "Claim basis": "NR-CL-12|NR-CL-13|NR-CL-14",
      "Impact": "Medium-High",
      "Likelihood": "High",
      "Decision effect": "Rapid darf nicht als Legal-/Security-Sign-off präsentiert werden.",
      "Verification need": "Brief als Übergabe-Map für IT, Security und Datenschutz nutzen."
    }
  ],
  "subprocessors": [
    {
      "Category": "Infrastruktur",
      "Subprocessor": "AWS",
      "Purpose": "Hosting- und Speichersysteme",
      "Location": "USA, Europäische Union, Korea, Japan",
      "Rapid implication": "Kernhosting und Speicherpfad. Datenklassen und Datenresidenz dürfen vor Vollrollout nicht offen bleiben."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Anthropic",
      "Purpose": "KI-Agenten / Large Language Models / Embeddings",
      "Location": "Global",
      "Rapid implication": "KI-Nutzung braucht eine explizite Regelung und Freigabe."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Confluent",
      "Purpose": "Verwaltetes Kafka-Streaming für Audit-Log-Daten und Analytics",
      "Location": "USA, Deutschland, Korea, Japan",
      "Rapid implication": "Audit- und Analytics-Verarbeitung erzeugen Standortsignale über die Hauptanwendung hinaus."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Cloudflare",
      "Purpose": "Content Distribution, Security, Missbrauchsprävention und DNS",
      "Location": "Global",
      "Rapid implication": "Globale Edge-/Security-Verarbeitung muss an Security/Datenschutz offengelegt werden."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "DeepL",
      "Purpose": "Übersetzungsdienste",
      "Location": "USA",
      "Rapid implication": "Übersetzungsfunktionen müssen bei sensiblen Inhalten deaktiviert oder klar begrenzt werden."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Fireworks",
      "Purpose": "Large Language Models und Embeddings",
      "Location": "Global",
      "Rapid implication": "KI-/Embedding-Pfad. Prüfen, ob dieser Pfad für den Kundenscope aktiv ist."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "OpenAI",
      "Purpose": "Large Language Models, Embeddings und Missbrauchsprävention",
      "Location": "Global",
      "Rapid implication": "KI-Verarbeitung muss freigegeben sein. Sensibles Wissen nicht importieren, bevor der KI-Scope geschlossen ist."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Splunk",
      "Purpose": "Security- und Application-Logging",
      "Location": "USA",
      "Rapid implication": "Security-/Applikationslogs können US-Verarbeitung auslösen."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Turbopuffer",
      "Purpose": "Vektordatenbank zur Speicherung von Embeddings",
      "Location": "USA, Deutschland, Korea, Japan",
      "Rapid implication": "Embedding-Speicher ist relevant, wenn KI-/Suchfunktionen im Scope sind."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Twilio",
      "Purpose": "Multi-Faktor-Authentifizierung",
      "Location": "USA",
      "Rapid implication": "Identitäts-/Security-Hilfsverarbeitung; meist akzeptabel, aber als Prozessor sichtbar."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Exa",
      "Purpose": "Web-Suchergebnisse",
      "Location": "USA",
      "Rapid implication": "Websuche erzeugt einen separaten Verarbeitungspfad."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Google LLC",
      "Purpose": "Large Language Models und Embeddings",
      "Location": "Global",
      "Rapid implication": "KI-/Modellprovider-Pfad. Prüfen, ob Google-Modellverarbeitung im Scope ist."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Cerebras Systems Inc.",
      "Purpose": "Large Language Models und Embeddings",
      "Location": "USA",
      "Rapid implication": "KI-/Modellprovider-Pfad. Prüfen, ob genutzt."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "StarTree Inc.",
      "Purpose": "Speicherplattform für Produkt-Analytics",
      "Location": "USA, Deutschland, Korea, Japan",
      "Rapid implication": "Analytics-Speicher erweitert den Standort-Footprint."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Baseten Labs Inc.",
      "Purpose": "Large Language Models und Embeddings",
      "Location": "Global",
      "Rapid implication": "KI-/Modellprovider-Pfad. Prüfen, ob genutzt."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Parallel Web Systems",
      "Purpose": "Web-Suchergebnisse und Large Language Models / Embeddings",
      "Location": "USA",
      "Rapid implication": "Such-/KI-Funktionspfad. Prüfen, ob aktiviert."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Mathpix Inc.",
      "Purpose": "PDF-Dateikonvertierung",
      "Location": "USA, Deutschland, Singapur",
      "Rapid implication": "PDF-Konvertierung kann importierte Dokumente berühren; Datenklassenregel erforderlich."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Vercel Inc.",
      "Purpose": "Compute-Dienste für Code-Ausführung und KI-Agent-Aktionen",
      "Location": "USA",
      "Rapid implication": "Agenten-/Aktionsfunktionen brauchen explizite Freigabe."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "Anysource Inc. dba Runlayer",
      "Purpose": "Sicherheit für MCP-Verbindungen",
      "Location": "USA",
      "Rapid implication": "MCP-/Connector-Security-Pfad; relevant bei Integrationen oder Agenten."
    },
    {
      "Category": "Plattform",
      "Subprocessor": "X.AI LLC",
      "Purpose": "Large Language Models und Embeddings",
      "Location": "USA, Belgien",
      "Rapid implication": "KI-/Modellprovider-Pfad. Prüfen, ob genutzt."
    },
    {
      "Category": "Kunden- und Supportservices",
      "Subprocessor": "Teleperformance",
      "Purpose": "Supportservices",
      "Location": "Griechenland",
      "Rapid implication": "Supportzugriff gehört in die Datenschutz-/Security-Übergabe."
    },
    {
      "Category": "Business Operations",
      "Subprocessor": "Amplitude",
      "Purpose": "Event-Logging für Analytics",
      "Location": "USA",
      "Rapid implication": "Analytics-Verarbeitung; kein Kernblocker, aber offenzulegen."
    },
    {
      "Category": "Business Operations",
      "Subprocessor": "Customer.io",
      "Purpose": "Transaktionale Nachrichten, Broadcasts und Marketing-Messaging",
      "Location": "USA",
      "Rapid implication": "Messaging-Verarbeitung; bei Wissensdatenbank-Pilot nur relevant, wenn Benachrichtigungen/Marketing genutzt werden."
    },
    {
      "Category": "Business Operations",
      "Subprocessor": "Fivetran",
      "Purpose": "Datenpipeline zu einem Data Warehouse",
      "Location": "USA, Deutschland, Korea, Japan",
      "Rapid implication": "Datenpipeline-Verarbeitung offenlegen, falls Kundendaten in Analytics/Warehouse fließen."
    },
    {
      "Category": "Business Operations",
      "Subprocessor": "Mailgun Technologies Inc.",
      "Purpose": "Transaktionale Nachrichten, Broadcasts und Marketing-Messaging",
      "Location": "USA",
      "Rapid implication": "Transaktionale Messaging-Verarbeitung; in Datenschutz-Übergabe aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion Labs Ireland Limited",
      "Purpose": "Supportservices",
      "Location": "Irland",
      "Rapid implication": "Support-Entität im EU/EWR-Kontext."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Brain Capital Labs PVT Ltd.",
      "Purpose": "Supportservices",
      "Location": "Indien",
      "Rapid implication": "Supportstandort außerhalb der EU; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion Labs Japan G.K.",
      "Purpose": "Supportservices",
      "Location": "Japan",
      "Rapid implication": "Supportstandort außerhalb der EU; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion International Inc.",
      "Purpose": "Supportservices",
      "Location": "Vereinigte Staaten",
      "Rapid implication": "US-Support-Entität; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion Labs Australia Pty Ltd",
      "Purpose": "Supportservices",
      "Location": "Australien",
      "Rapid implication": "Supportstandort außerhalb der EU; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion Labs United Kingdom Private Limited",
      "Purpose": "Supportservices",
      "Location": "Vereinigtes Königreich",
      "Rapid implication": "UK-Support-Entität; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion-Entität",
      "Subprocessor": "Notion Labs Korea Ltd",
      "Purpose": "Supportservices",
      "Location": "Südkorea",
      "Rapid implication": "Supportstandort außerhalb der EU; in Transferprüfung aufnehmen."
    },
    {
      "Category": "Notion Calendar",
      "Subprocessor": "AWS",
      "Purpose": "Hosting- und Speichersysteme",
      "Location": "USA",
      "Rapid implication": "Calendar hat ein separates Hosting-Standortsignal."
    },
    {
      "Category": "Notion Calendar",
      "Subprocessor": "Cloudflare",
      "Purpose": "Content Distribution, Security, Missbrauchsprävention und DNS",
      "Location": "Global",
      "Rapid implication": "Calendar Edge-/Security-Verarbeitung."
    },
    {
      "Category": "Notion Calendar",
      "Subprocessor": "Amplitude",
      "Purpose": "Event-Logging für Analytics",
      "Location": "USA",
      "Rapid implication": "Calendar Analytics-Verarbeitung."
    },
    {
      "Category": "Notion Calendar",
      "Subprocessor": "Customer.io",
      "Purpose": "Transaktionale Nachrichten, Broadcasts und Marketing-Messaging",
      "Location": "USA",
      "Rapid implication": "Calendar Messaging-Verarbeitung."
    },
    {
      "Category": "Notion Calendar",
      "Subprocessor": "Mailgun Technologies Inc.",
      "Purpose": "Transaktionales Messaging",
      "Location": "USA",
      "Rapid implication": "Calendar Transaktions-Messaging."
    }
  ],
  "verification_queue_markdown": "# Notion Rapid Verifikationsliste\n\nStand: 2026-06-30\n\n## Vor dem Pilot\n\n1. Quote / Plan-Fit: schriftliche Preisannahme für 25 und 60 Nutzer, Laufzeit, Billing, Währung, Steuern, KI/Add-ons.\n2. Kontrollklassifizierung: SSO, Audit Log, SCIM, Datenresidenz, SIEM/DLP und DLP als Pflicht oder optional markieren.\n3. DPA/AVV-Übergabe: DPA/AVV, Subprozessoren, Transfers und Datenklassen an Datenschutz/Legal geben.\n4. KI-Regelung: festlegen, ob Notion AI im Pilot aus, limitiert oder erlaubt ist.\n5. Datenklassen: verbotene Daten für den Pilot definieren, z. B. besondere Kategorien, HR, Kundenvertraulichkeit, Security Secrets.\n\n## Während des zweiwöchigen Pilots\n\n1. SSO-Nachweis: SAML mit echter IdP-Konfiguration testen.\n2. Berechtigungsnachweis: Teamspaces, private Seiten, Sharing, Gäste und Offboarding testen.\n3. Exportnachweis: Arbeitsbereich mit Seiten, Datenbanken, Attachments, Kommentaren und verschachtelten Seiten exportieren.\n4. Restore-/Fidelity-Review: exportiertes Material auf Lesbarkeit, Strukturverlust und Rebuild-Aufwand bewerten.\n5. Datenbanknachweis: Datenbankansichten, Relationen, Filter und Prozessdokumentation separat exportieren.\n\n## Vor dem Vollrollout\n\n1. Entscheiden, ob Business ausreicht oder Enterprise wegen Audit Log, SCIM, Datenresidenz, SIEM/DLP oder ZDR erforderlich ist.\n2. 60-User-TCO mit echter Quote statt Public Pricing neu rechnen.\n3. KI-Retention und Subprozessoren-Bedingungen schriftlich bestätigen.\n4. Legal/Datenschutz bestätigt die DPA/AVV-Übergabe.\n5. Vollrollout-Entscheidung nur nach bestandenem Export- und Berechtigungstest.\n",
  "scope_rule": "Rapid Screen ist Triage: ein Anbieter, wichtigste Quellen, wichtigste Risiken, kurze Entscheidungsnotiz und Evidence Sheet. Keine Rechtsberatung, keine technische Security-Prüfung, kein Market Scan und kein Contract Redlining."
}