# archivdms – Dev Log

## 2026-08-11 – FDN-08 Nachbesserung: Login-Request erzeugte keine Logzeile mit request_id

**Zeit:** ca. 0,5 h (Verifikationsbefund nachvollzogen, Ursache eingegrenzt, Access-Log + Auth-Logging ergänzt, Symbole gegengeprüft)

**Befund vom Deploy auf 192.168.1.204:** Test-Request gegen `/api/auth/login` erzeugte keine Zeile mit `request_id`. **Es war KEINE Regression der Call-Site-Umstellung** — der Grep über `internal/api/*.go` bestätigt: außer den zwei dokumentierten Aufrufen in `SetStorageConfig` (`server.go:113/117`, kein Request-Kontext) existiert kein `s.logger.` mehr. Zwei Vorlücken waren die Ursache:

1. `handleLogin`/`handleLogout`/`handleMe` in `internal/api/auth_handlers.go` haben **noch nie** technisch geloggt — nur Audit-Log-Einträge geschrieben. `s.reqLog` konnte dort nichts umstellen, weil es keine Call-Site gab.
2. `metricsMiddleware` schrieb nur bei `status >= 500` eine Zeile. Ein erfolgreicher (200) oder abgelehnter (401) Login lief damit komplett lautlos durch — AK1 war faktisch nur für Fehler-Requests belegbar.

**Geändert:**

- `internal/api/observability.go`: `metricsMiddleware` schreibt jetzt für **jede** Anfrage genau eine Access-Log-Zeile mit `request_id`, gestaffelt nach Status (5xx=Error „request failed", 4xx=Warn „request rejected", Rest=Debug „request completed") inkl. `bytes`. Debug für den Normalfall, damit das Log bei Level Info nicht zuläuft; unter `LOG_LEVEL=debug` ist jeder Request nachverfolgbar.
- `internal/api/auth_handlers.go`: `handleLogin` loggt Body-Parse-Fehler (Warn), Fehlschlag (Warn, `username`+`remote_ip`+`reason`, **kein** Passwort/keine Auth-Interna) und Erfolg (Info, `user_id`/`username`/`tenant_id`/`remote_ip`) über `s.reqLog(ctx)`. `handleLogout` loggt den Logout (Info) und ein fehlgeschlagenes Session-Invalidieren; `handleMe` loggt fehlgeschlagene User-Lookups. Die bisher stillschweigend verworfenen Fehler von `s.users.UpdateLastLogin(...)` und `s.authMgr.Logout(...)` (`_ =`) werden jetzt geprüft und geloggt.

**Verifikation nach Deploy:** ein fehlgeschlagener Login (falsches Passwort) muss auf Level Info eine Warn-Zeile `login failed` **plus** `request rejected` mit identischer `request_id` erzeugen; ein erfolgreicher Login `login succeeded` mit `request_id`.

**Ohne Go-Toolchain manuell gegengeprüfte Symbole** (für devops-deploy, falls der Build doch bricht): `auth.Manager.LoginFrom(ctx, id, pw, ip) (string, *userstore.User, error)` und `Logout(token) error` (`internal/auth/auth.go:88/330`), `userstore.Store.GetByID(int64) (*User, error)` und `UpdateLastLogin(int64) error` (`internal/userstore/userstore.go:132/387`), Felder `auth.Session{UserID, Username, TenantID}` und `userstore.User{ID, Username, TenantID}`, `s.reqLog(ctx) *slog.Logger`, `s.remoteIP(r) string`, `slog.Logger.Log(ctx, level, msg, args...)`. Keine neuen Imports nötig (`slog` in `observability.go` bereits vorhanden, `auth_handlers.go` unverändert bei `json`/`net/http`/`audit`).

## 2026-08-11 – FDN-08: Logging, Metriken & Fehler-Tracking

**Zeit:** ca. 1,5 h (Ticket + bestehendes slog-Muster sichten, Middleware-Kette, Metrics-Endpunkt, Umstellung der Log-Call-Sites, Tests, Doku)
**Ziel:** die drei realen Lücken schließen — Korrelations-ID über alle Schichten, `/metrics`, zentrales Panic-Recovery. Kein Loggerwechsel (`log/slog` bleibt), keine neue Fremdabhängigkeit.

**Neu:** `internal/api/observability.go` (Request-ID-Middleware inkl. Übernahme/Sanitizing von `X-Request-ID`, `loggerFromCtx`/`s.reqLog(ctx)`, `statusRecorder`, `recoverMiddleware`, `metricsMiddleware`, `normalizeRoute`, prozesslokale `metricsRegistry` mit Latenz-Buckets), `internal/api/metrics_handlers.go` (`GET /metrics` im Prometheus-Textformat via `fmt.Fprintf`, IP-Beschränkung loopback + `api.metrics_allowed_ips`), `internal/api/observability_test.go` (je AK mindestens ein Test + Redaction-Test).

**Geändert:** `internal/api/server.go` (Felder `metrics`/`baseHandler`, Kette `requestID -> metrics -> recover -> mux` in `New()` gebaut statt Lazy-Init in `ServeHTTP` — sonst Data Race; Route `GET /metrics`), `internal/storage/processing_jobs.go` (`CountProcessingJobsByStatus` für die Queue-Länge, bewusst ohne `tenant_id`-Filter, dokumentiert: einziger Aufrufer ist der aggregierte Metrik-Endpunkt), `config/config.go` + `config/config.yml.example` (`api.metrics_allowed_ips`), `cmd/archivdms/main.go` (Wiring), README-Abschnitt „Betrieb: Logging, Metriken & Fehler-Tracking (FDN-08)".

**Kleinster Cut bei den Call-Sites:** statt jeden Aufruf umzuschreiben, gibt es `s.reqLog(ctx)`, das den Context-Logger nimmt und sonst auf `s.logger` zurückfällt. Alle 40 bisherigen `s.logger.*`-Aufrufe im Request-/Job-Pfad (`document_handlers.go`, `accounting_`, `public_share_`, `signed_url_`, `dashboard_`, `document_export_`, `document_bulk_export_`, `ocr_word_`) wurden mechanisch darauf umgestellt (`r.Context()` in Handlern, `ctx` in `ProcessDocumentJob`/`ReprocessDocument`/`archiveStagedFile`/`trySplitStagedUpload`/`autoAssignTaxonomy`/`generateThumbnailBestEffort`). `SetStorageConfig` bleibt bei `s.logger` (kein Request-Kontext).

**Geheimnisschutz (Abnahme-Prüfung 2):** es wird nichts aus Query-String, Headern oder Body geloggt. `normalizeRoute` maskiert numerische IDs, hash-artige Segmente und immer das Segment hinter `/share/` — Share-Tokens können damit weder in Logs noch in Metrik-Labels auftauchen. Test `TestNormalizeRouteRedactsSecrets` deckt das ab.

**Offen / auf 192.168.1.204 zu prüfen:** `go vet` + `go test ./internal/api/...` (hier kein Go-Toolchain), Scrape von `/metrics` (localhost = 200, fremde IP = 403), provozierter Panic → 500 + Logzeile mit `request_id` innerhalb einer Minute, Alarm-Schwelle in der Monitoring-Seite (Prometheus-Regel auf `archivdms_panics_total`/5xx-Rate) einmal auslösen und quittieren — Prüfung 1 und 3 der Kachel sind ohne laufende Instanz nicht abschließbar.

## 2026-08-11 – FDN-06: UI-Shell & Design-System (Abnahme)

**Zeit:** ca. 0,5 h (Code-Review Shell/ui-Komponenten/Tokens, Doku-Lücke geschlossen)

Reine Abnahme-Kachel, kein Neubau. Ergebnis der Prüfung:

- **AK1 Shell steht:** erfüllt. `src/app/(app)/layout.tsx` setzt `SidebarProvider` → `AppSidebar` + `SidebarInset` → `TopBar` + Inhaltsbereich zusammen; `src/components/shell/` enthält AppSidebar (rollenabhängige Navigation), TopBar (Sidebar-Toggle, Suche, Theme-Umschalter, Benutzermenü), SearchBar, CommandPalette (Cmd+K).
- **AK2 Basis-Komponenten:** Komponenten vollständig vorhanden (Table, Dialog, Sheet, Input/Textarea/Label/Calendar, Button, Badge, Card, Tabs, DropdownMenu/Popover/Command, Toast via sonner, Sidebar, Avatar/Progress/Skeleton); alle im Code verwendeten `@/components/ui/*`-Importe lassen sich auf existierende Dateien auflösen, keine fehlende Basiskomponente. **Lücke:** es gab keinerlei Doku dazu. Behoben durch neuen README-Abschnitt „Basis-Komponenten & Design-Tokens (FDN-06)" (Tabelle Komponente → Datei → Einsatzzweck). Kein Storybook — bewusst zu groß für diese Kachel.
- **AK3 Design-Tokens:** erfüllt. HSL-Tokens zentral in `src/app/globals.css` (`:root`/`.dark`) inkl. `--radius` und `sidebar-*`, gemappt in `tailwind.config.ts`. Keine Hex-/RGB-Farbliterale in Komponenten (Prüfung per Suche); Inline-`style` nur für berechnete Geometrie (Progress, Cropper, OCR-Overlay). Einzige nicht-tokenisierte Farben sind semantische Statusfarben (emerald/amber/red) an Badges — akzeptiert und jetzt als Regel dokumentiert.

Prüfungen vor der Abnahme:

1. **3 Breakpoints visuell:** *nicht durchführbar* (kein Dev-Server/Browser, `node_modules` nicht installiert) — manueller Check empfohlen. Ersatz-Code-Review: Sidebar wechselt über `useIsMobile` auf Sheet-Drawer, `ui/table.tsx` kapselt die Tabelle in `overflow-auto` (horizontal scrollbar statt Umbruch), Dialog/Sheet/Button/Calendar nutzen `sm:`-Varianten. Listenseiten selbst setzen kaum eigene Breakpoints — offener Punkt für `UX-01`.
2. **Tastaturbedienung:** durch Radix-Primitives abgedeckt (Dialog/Sheet, DropdownMenu, Popover, Tabs, Avatar, Progress) plus `cmdk` für die Befehlspalette — Fokus-Trap, Escape, Pfeiltasten, `aria-*` kommen aus der Bibliothek, nichts davon wurde überschrieben. Native `<select>`-Elemente (20 Fundstellen) sind ohnehin tastaturbedienbar. Empirischer Test am laufenden UI steht aus.
3. **Kontrast AA:** Plausibilitätsrechnung auf den Tokens, keine Tool-Messung. Dunkel: `foreground` 98% auf `background` 3.9% ≈ 17:1, `muted-foreground` 64.9% ≈ 7:1 — klar AA. Hell: `muted-foreground` 46.1% auf Weiß ≈ 4,6:1 — knapp über AA (4,5:1), bei weiterer Aufhellung würde es kippen. Grenzfall: `text-amber-600` auf hellem Hintergrund liegt bei Kleintext unter AA; dort ist ergänzend immer Text/Icon vorhanden, Farbe ist nie alleiniger Bedeutungsträger.

Geändert: nur `README.md` (Doku) und dieser Eintrag — kein Code angefasst.

## 2026-08-11 – FDN-03: Objekt-Storage-Abstraktion + signierte Download-URLs

**Zeit:** ca. 1,0 h (Ticket, bestehende WORM-/Share-Pfade sichten, Interface + Local-Treiber, Handler/Routen, Tests, Doku)
**Ziel:** Dateizugriff hinter ein Interface ziehen und zeitlich begrenzte signierte Downloads ergänzen — ohne Pfadschema oder WORM-Semantik anzufassen.

**Neu:** `internal/objectstore/objectstore.go` (Interface `Store`: `Archive/Open/Stat/Delete/SignedURL/VerifySignedURL`, typisierte Fehler `ErrObjectExists`/`ErrObjectNotFound`/`ErrOutsideTenant`/`ErrSignatureInvalid`/`ErrSignatureExpired`, Pfadschema im Paket-Header dokumentiert), `internal/objectstore/local.go` (`LocalStore`, einzige Implementierung — kein S3, weil WORM an `chmod 0440` hängt), `internal/objectstore/local_test.go`, `internal/api/signed_url_handlers.go`.

**Refactoring statt Umbau:** Die Schritte 4–7 aus `archiveStagedFile` (Zielordner `<yyyy>/<mm>`, Kollisionsprüfung, Rename mit Copy-Fallback, `chmod 0440`) sind 1:1 nach `LocalStore.Archive` gewandert; `copyFile` in `document_handlers.go` entfällt zugunsten der Kopie im neuen Paket. `handleGetDocumentFile` und der öffentliche Share-Download lesen jetzt über `s.objects.Open` — das prüft zusätzlich, dass der `storage_path` wirklich unter `store/<tenant_id>/` liegt (Containment gegen Traversal/IDOR). `storage.ConfirmDeleteRequest` bleibt bewusst unangetastet (DB-Layer bekommt keinen Filesystem-Treiber), `Delete` steht dafür bereit.

**Signierte URLs:** kein neues Kryptoschema — HMAC-SHA256 über `v1|tenant|dokument|exp`, Schlüssel per HKDF-SHA256 aus `api.secret` mit eigenem Info-Label `archivdms-storage-url-v1` (analog `internal/cryptutil`). Prinzip wie die Share-Links (Pflicht-Ablauf, per-IP-Rate-Limit über `shareLimiter`, Audit-Trail inkl. Fehlschlägen: neue Events `signed_url_created`/`signed_url_accessed`), aber zustandslos. Routen: `POST /api/documents/{id}/signed-url` (auth, Ownership via `GetDocument(id, tenant)`) und `GET /public/files` (ohne Auth, Signatur ist das Credential). Neuer Config-Key `storage.signed_url_ttl_minutes` (Default 15, pro Anfrage überschreibbar, Deckel 24 h); ohne `api.secret` fällt der Treiber auf einen prozess-lokalen Ephemeral-Key zurück, statt den Start zu verweigern.

**Geprüfte Symbole (kein Go-Toolchain lokal, manuell gegen die Zieldateien gelesen):** `config.StorageConfig.StorePath()/InboxPath()`, `config.APIConfig.Secret`; `Server`-Felder/Methoden `cfg`, `storageCfg`, `fqdn`, `logger`, `audlog`, `shareLimiter.allow`, `remoteIP`, `logShare(r, event, *int64, username, detail, ok)`, `sessionFromCtx(...).TenantID/UserID/Username`; `storage.Store.GetDocument(ctx, id, tenantID) (*Document, error)` mit `Document.ID/Title/StoragePath`; `storage.ErrDuplicateContentHash`; `ResolvedShare.TenantID()/StoragePath()`; `audit.Entry{EventType,Username,IPAddress,Success,Detail,TenantID}`; Helfer `writeJSON/writeError/detectMimeType/safeDownloadName`.

**Deploy 2026-08-11:** rsync+update.sh auf 192.168.1.204, Build (Go+Next.js) grün, `archivdms`/`archivdms-web` beide `active`, `/api/health`→200, `/login`→200. `storage.signed_url_ttl_minutes` nicht in Live-Config gesetzt, Code-Default (`ResolvedSignedURLTTL()`) greift.

**Verifikation auf 192.168.1.204 (durchgeführt, Scratch-Kopie unter `/tmp/fdn03-verify`, danach gelöscht — Produktivquellen `/opt/archivdms-src` und der laufende Dienst wurden nicht angefasst):**
- `CGO_ENABLED=0 go build ./...` → **Exit 0**, keine Fehler.
- `go vet ./internal/objectstore/... ./internal/api/... ./config/... ./internal/audit/...` → **Exit 0**.
- `go test ./internal/objectstore/... -v -cover` → **6/6 PASS**, 66,3 % Coverage. Damit sind die drei Ticket-Prüfungen belegt: Round-Trip Archive→Open inkl. Pfadschema `store/<tenant>/<yyyy>/<mm>/<sha256>.<ext>` und `chmod 0440` (`TestArchiveOpenRoundTrip`), abgelaufene/gefälschte/fremd signierte URL wird abgewiesen (`TestSignedURLLifecycle`, `TestSignedURLDefaultTTL`), fehlendes Objekt liefert `ErrObjectNotFound` für Open/Stat/Delete (`TestMissingObjectErrors`); zusätzlich Mandanten-Containment (`TestOpenForeignTenantRejected`) und Delete (`TestDeleteRemovesObject`).
- **Zwei bestehende Repo-Lücken, die für den Build erst überbrückt werden mussten (nicht durch FDN-03 verursacht, im Repo weiterhin offen):** (1) `go.sum` fehlt komplett (bekannt aus FDN-07) — musste im Scratch per `go mod download` erzeugt werden; (2) `github.com/go-ldap/ldap/v3` steht **nicht** in `go.mod`, obwohl `internal/ldapauth` es importiert — ohne `go get github.com/go-ldap/ldap/v3@v3.4.14` bricht `go build ./...` unabhängig von dieser Kachel ab. Beides sollte mit funktionierender Toolchain + `git` (auf 192.168.1.204 nicht installiert, deshalb scheitert `go mod tidy` dort) einmal sauber ins Repo.

**Noch offen (Laufzeit, nicht geprüft):** echter Upload gegen die produktive Instanz und ein `/public/files`-Abruf vor/nach Ablauf. Kein Commit, kein Push, kein Deploy.

## 2026-08-11 – FDN-02: Rollback-Pfad für Migrationen + Entwicklungs-Seed

**Zeit:** ca. 0,8 h (Ticket, Migrations-Muster + Store-Signaturen sichten, Down-SQL, Seed-Command, Doku)
**Ziel:** Die beiden echten Lücken der Kachel schließen — Kern-Entitäten existieren bereits, es fehlten Rollback-Pfad und ein Dev-Seed.

**Rollback-Konvention:** Ab jetzt bekommt jede neue `internal/storage/migrations/NNN_name.sql` eine separate `NNN_name.down.sql` (separate Datei statt `-- DOWN`-Abschnitt, weil Regel 4 „Migrationen werden nie verändert" sonst verletzt würde und `psql -f` so ohne Nachbearbeitung funktioniert). Anforderungen im README festgeschrieben: Precondition (welche Go-Stelle vorher raus muss, sonst legt der nächste Start das Objekt wieder an), explizite Datenverlust-Angabe, WORM/GoBD-Hinweis (Down-SQL darf nie `store/`-Dateien oder `retain_until` berühren), `DROP ... IF EXISTS` in `BEGIN; ... COMMIT;`. Ausführung immer manuell, nie beim Start.

Rückwirkend als Vorlage ergänzt: `024_ocr_words.down.sql` (regenerierbar via `documents reprocess-all`), `025_document_date_score.down.sql` (nur Konfidenz weg, `document_date` bleibt), `026_accounting_api_keys.down.sql` (alle Pull-API-Keys weg, müssen neu ausgegeben werden). 001–023 bewusst ohne Down-Datei.

**Seed:** `archivdms seed dev` (`cmd/archivdms/cmd_seed_dev.go`, Dispatch `case "seed"` in `main.go` + Hilfetext) legt Mandant "Testfirma" (slug `testfirma`) und tenant-gebundenen Benutzer `testuser@testfirma.local` (Rolle `domain_admin`, `TenantID` gesetzt) an. Idempotent: Mandant über Slug (`tenantSt.List` scannen, `tenantstore` hat keine Slug-Lookup-Methode), Benutzer über `GetByEmail`; vorhandene Objekte werden wiederverwendet, das Passwort nur mit `-reset-password` neu gesetzt. Passwort kommt aus dem bestehenden `randomPassword()` und wird einmalig im gleichen Kasten-Stil wie `seedDefaultUsers` ausgegeben — kein Secret im Code. Alle Schreibaktionen inkl. Fehlschläge über `audlog.Log(audit.Entry{EventType: "seed_dev", ...})` mit `TenantID`.

**Geprüfte Symbole (kein Go-Toolchain lokal, manuell gegen die Zieldateien gelesen):** `tenantstore.Store.Create(ctx, name, slug, domain) (*Tenant, error)`, `.List(ctx) ([]*Tenant, error)`, `Tenant.Slug/Name/ID`; `userstore.Store.Create(CreateUserRequest{Username,Email,Password,Role,TenantID *int64}) (*User, error)`, `.GetByEmail(ctx, email)`, `.Update(id, UpdateUserRequest{Password *string})`, Konstanten `RoleUser`/`RoleDomainAdmin`; `audit.New(dsn, logPath, logger) (*Logger, error)`, `Logger.Log(Entry{EventType,Username,Success,Detail,TenantID})`; `config.Load`, `cfg.Database.DSN()`, `cfg.Audit.ResolvedLogPath()`; `randomPassword()` aus `main.go`.

**Offen / auf 192.168.1.204 zu verifizieren:** echter `go build ./...`, ein Lauf `archivdms seed dev` gegen leere und gegen bestehende DB (Idempotenz), Login mit dem ausgegebenen Passwort, sowie ein Rollback-Probelauf einer Down-Datei auf einer Wegwerf-DB. Kein Commit, kein Push, kein Deploy.

## 2026-08-11 – FDN-07: CI-Pipeline & Testharness (Gitea Actions)

**Zeit:** ca. 0,7 h (Ticket lesen, Makefile/go.mod/package.json/.eslintrc.json sichten, Workflow-Datei schreiben, README-Doku, Verifikation auf 192.168.1.204)
**Ziel:** Automatisierte Prüfstrecke für jeden Push, bisher gab es keine CI.

`.gitea/workflows/ci.yml` neu angelegt (Gitea-Actions-Syntax, kompatibel zu GitHub Actions): Job `backend-lint-test` (`go vet ./...`, `go test ./... -cover` gegen frischen Postgres-Service-Container, danach `make build` als Artefakt), Job `frontend-lint-test-build` (`npm ci`/`npm install`-Fallback, `npm run lint`, `npx tsc --noEmit`, `make build-web` als Artefakt). Roter Schritt bricht den jeweiligen Job hart ab (kein `continue-on-error`) — blockiert Merge sobald in Gitea Branch-Protection auf diese Status-Checks gesetzt ist. README um Abschnitt "CI-Pipeline (FDN-07)" ergänzt.

**Wichtig — Pipeline greift noch nicht:** archivdms hat kein Gitea-Remote, Repo ist nur lokal `git init`-isiert. Die Datei liegt bewusst bereit, wird aber erst nach Push zu einer Gitea-Instanz mit aktiviertem Runner scharf.

**Verifikation auf 192.168.1.204 (nur Befehle geprüft, keine Produktivdienste verändert):**
- `go vet ./...` läuft durch (Exit 0), meldet aber pro Paket "missing go.sum entry" — **`go.sum` fehlt im Repo komplett** (weder lokal noch auf dem Server vorhanden). Das ist kein CI-Bug, sondern eine bestehende Repo-Lücke: ohne `go.sum` schlägt `go test ./...` in Paketen mit DB-/Crypto-Importen mit `[setup failed]` fehl (bestätigt: `internal/sftpserver`, `internal/storage`, `internal/tenantstore`, `internal/userstore`). Pakete ohne Fremdabhängigkeiten (`barcode`, `dateformat`, `llm`, `matching`, `ocr`, `thumbnail`) liefern `coverage: 0.0%` (keine Tests vorhanden — erwartet, `*_test.go`-Suche ergab 0 Treffer im ganzen Repo).
- `npm run lint` auf dem Server bricht mit `next: not found` ab, weil `/opt/archivdms-src` dort produktiv kein `node_modules` vorhält (Build läuft über `update.sh` in einem separaten Verzeichnis) — kein Hinweis auf ein Problem der CI-Konfiguration selbst, in der CI läuft `npm ci` vorher.
- **Offen/Folgeaufgabe (nicht Teil von FDN-07):** `go.sum` committen (`go mod tidy` mit funktionierender Toolchain), sonst schlägt der CI-Job `backend-lint-test` beim ersten echten Lauf fehl, sobald das Repo zu Gitea gepusht wird.

**Nicht gemacht (Nutzerfreigabe nötig):** kein Commit, kein Branch `feature/fdn-07-ci-pipeline-testharness`, kein Push, kein Merge, kein Deploy — Ticket-Vorgabe "anhalten" nach Dateianlage befolgt.

---

## 2026-08-02 – Bulk-Dokument-Export als ZIP (Backend)

**Zeit:** ca. 0,8 h (Filter-Recherche ListDocuments/SearchQuery, Handler, CSV-Schema, Route, Audit-Event, Symbolprüfung)
**Ziel:** Mehrere Dokumente in einem Rutsch exportieren — als Vorstufe für den späteren DATEV-Formatter.

**Endpunkt:** `POST /api/documents/export` (`s.auth`). Body entweder explizite IDs oder Filter:
```json
{"ids": [1,2,3]}
{"filter": {"doc_type_id": 4, "correspondent_id": 9, "tag_ids": [7,8],
            "document_date_from": "2026-01-01", "document_date_to": "2026-03-31",
            "uploaded_from": "2026-01-01", "uploaded_to": "2026-06-30"}}
```
`ids` hat Vorrang, wenn beides gesetzt ist. Antwort: `application/zip`, `Content-Disposition: attachment; filename="export-bulk-<yyyymmdd-hhmmss>.zip"`. Inhalt: pro Dokument `doc-<id>/` mit Originaldatei + `metadata.json` + `ocr_text.txt` (identische Struktur/Feldnamen wie der Einzel-Export, `documentExportMetadata` wiederverwendet), auf oberster Ebene `index.csv` (Semikolon, UTF-8-BOM für Excel; Spalten `document_id;title;doc_type;correspondent;document_date;tags;uploaded_at` — bewusst gleiche snake_case-Namen wie in `metadata.json`, damit der DATEV-Formatter später aus einem Vokabular mappen kann) und `errors.txt` nur wenn etwas übersprungen wurde.

**Filter statt neuer SQL:** `ListDocuments` kennt bislang keine Filterparameter (nur `tenantID` + `aclUserID`), `index.SearchQuery` deckt nur Volltext/Tag/DocType über Manticore ab. Deshalb Filterung in Go auf dem bereits tenant- und ACL-gescopten Ergebnis von `ListDocuments` — kein neuer Query-Pfad, an dem ein `tenant_id`-Filter fehlen könnte. Tag-Filter läuft zuletzt über `ListDocumentTags` je Kandidat.

**ACL/Mandantentrennung:** jede ID einzeln — `GetDocument` (`WHERE tenant_id`) plus für Rolle `user` `IsDocumentVisible`; `domain_admin`/`superadmin` überspringen den Per-Dokument-Check. Nicht sichtbare/nicht gefundene/nicht lesbare Dokumente brechen den Request **nicht** ab, sondern landen mit Grund in `errors.txt`.

**Grenze:** `maxBulkExportDocuments = 500`. Mehr IDs → 400 mit Klartext; ein Filter, der mehr als 500 trifft, wird ebenfalls mit 400 abgelehnt (statt still zu kürzen — ein unvollständiger Export darf nicht vollständig aussehen).

**Audit:** neues Event `document_bulk_export` (`audit.EventDocumentBulkExport`), genau **ein** Eintrag pro Aufruf mit `Detail: "zip_bulk_export: exported=<n> skipped=<m>"`, inkl. Fehlschlägen (decode_failed, empty_selection, too_many_ids, filter_too_broad, filter_invalid, list_failed, empty_result, stream_failed).

**Dateien:**
- `internal/api/document_bulk_export_handlers.go` (neu): `handleBulkExportDocuments`, `writeBulkExportDoc`, `filterBulkExportDocs`, `parseBulkExportDate`, `bulkExportRequest`, `bulkExportFilter`, `bulkExportCSVHeader`, `maxBulkExportDocuments`.
- `internal/audit/audit.go`: `EventDocumentBulkExport`.
- `internal/api/server.go`: Route registriert (literaler Pfad, kollidiert nicht mit `/api/documents/{id}`).

Kein Schema-Change → keine Migration. **Geprüfte Symbole** (kein Go-Toolchain lokal): `Store.GetDocument(ctx,id,tenantID) (*Document,error)`, `Store.ListDocuments(ctx,tenantID,*int64) ([]Document,error)`, `Store.IsDocumentVisible(ctx,id,tenantID,userID) (bool,error)`, `Store.DocumentTaxonomyNames(ctx,id,tenantID) (string,string,error)`, `Store.ListDocumentTags(ctx,docID,tenantID) ([]TaxonomyEntity,error)` (Feld `.ID`/`.Name`), `Store.ListDocumentFieldValues(ctx,docID,tenantID) ([]DocumentFieldValue,error)`, `auth.HasRole`, `userstore.RoleDomainAdmin`, `safeDownloadName(title,ext)`, `documentExportMetadata`/`exportCustomFields`/`exportCreatorName`, `audit.Entry`-Felder, `storage.Document`-Felder (`DocTypeID`, `CorrespondentID`, `DocumentDate`, `DocumentDateScore`, `CreatedAt`, `OCRText`).

## 2026-08-01 – Export-Button in der Dokumentansicht (Frontend)

**Zeit:** ca. 0,2 h (Aktionsleisten-Muster prüfen, Button ergänzen, TS-Konsistenz)
**Ziel:** Den fertigen Backend-Endpunkt `GET /api/documents/{id}/export` in der UI erreichbar machen.

Umsetzung: In `DocumentPreview.tsx` in der Kopf-Aktionsleiste links neben "Neu verarbeiten" ein `<Button variant="outline" size="sm" asChild>` mit `Download`-Icon (lucide-react) und Label "Export". Der Button rendert ein `<a href="/api/documents/<id>/export" download>` — gleicher Weg wie die bestehende Vorschau (`/api/documents/<id>/file`), also Same-Origin über den next.config-Rewrite mit httpOnly-Session-Cookie. Kein `fetch`+Blob und kein Ladezustand, weil der Endpunkt direkt `Content-Disposition: attachment` setzt und der Browser den Download selbst übernimmt. `ml-auto` ist vom Reprocess-Button auf den Export-Button gewandert, damit die Gruppe weiterhin rechtsbündig steht.

**Dateien:** `src/components/documents/DocumentPreview.tsx`.

## 2026-08-01 – Einzel-Dokument-Export als ZIP (Backend)

**Zeit:** ca. 0,7 h (Muster-Abgleich document_handlers/public_share_handlers, Store-Helper, Handler, Route, Symbolprüfung)
**Ziel:** Ein archiviertes Dokument als in sich verständliches Paket aus dem System holen — Originaldatei plus Metadaten plus OCR-Text — ohne Umweg über mehrere API-Calls.

**Endpunkt:** `GET /api/documents/{id}/export` (`s.auth`), Antwort `Content-Type: application/zip`, `Content-Disposition: attachment; filename="export-<id>.zip"`. ZIP-Inhalt:
1. Originaldatei (Dateiname aus `safeDownloadName(doc.Title, ext)`), gelesen wie beim bestehenden Preview-Download über den Handler-Stream — `storage_path` verlässt das Backend nie.
2. `metadata.json`: Titel, Dokumenttyp, Korrespondent, Tags, `document_date` (ISO), `document_date_score`, Upload-/Update-Zeitstempel, Ersteller (Username), `content_hash`, `retain_until`, Custom-Field-Werte, plus `exported_at`/`exported_by`.
3. `ocr_text.txt` nur wenn `ocr_text` gefüllt ist.

Gestreamt direkt in `zip.NewWriter(w)` (stdlib `archive/zip`), kein Tempfile — alle Metadaten werden **vor** dem ersten geschriebenen Byte geholt, damit Fehler noch als sauberer HTTP-Status statt als halbes ZIP rausgehen. Bricht der Stream danach ab, gibt es nur noch Log + Audit-Eintrag `Success:false`.

**Mandantentrennung/ACL:** `GetDocument` filtert `WHERE tenant_id`; für Rolle `user` zusätzlich der neue Store-Helper `IsDocumentVisible` mit exakt derselben Regel wie `ListDocuments` (eigener Upload ODER `document_visibility` über Gruppenmitgliedschaft), `domain_admin`/`superadmin` überspringen den Per-Dokument-Check (Rollen bleiben äußere Grenze). Nicht sichtbar → 404, nicht 403 (keine Existenzauskunft).

**Audit:** neues Event `document_export` (`audit.EventDocumentExport`). Anders als die reinen Download-/Preview-Endpunkte wird der Export protokolliert (Erfolg **und** Fehlschlag: not_found, not_visible, visibility_check_failed, taxonomy/tag/field_lookup_failed, file_open_failed, stream_failed) — ein vollständiges Inhalts+Metadaten-Paket verlässt das System, gleiche Logik wie `compliance_procedure_doc_export` / `accounting_pull`.

**Dateien:**
- `internal/api/document_export_handlers.go` (neu): `handleExportDocument`, `documentExportMetadata`, `exportedCustomField`, `exportCustomFields`, `exportCreatorName`.
- `internal/storage/documents.go`: `IsDocumentVisible`, `DocumentTaxonomyNames` (beide tenant-scoped, kein Schema-Change → keine Migration nötig).
- `internal/audit/audit.go`: `EventDocumentExport`.
- `internal/api/server.go`: Route registriert.

**Symbolprüfung (kein Go-Toolchain in der Sandbox, `go build` nicht ausführbar):** gegengelesen wurden `storage.Document` (Felder `DocumentDate *time.Time`, `DocumentDateScore *float64`, `RetainUntil *time.Time`, `CreatedBy *int64`, `OCRText`, `ContentHash`, `StoragePath`), `Store.GetDocument(ctx,id,tenantID)`, `Store.ListDocumentTags(ctx,documentID,tenantID) ([]TaxonomyEntity,error)`, `Store.ListDocumentFieldValues(ctx,documentID,tenantID) ([]DocumentFieldValue,error)` inkl. Feldnamen, `userstore.Store.GetByID(id) (*User,error)`, `auth.HasRole` + `userstore.RoleDomainAdmin` (identische Verwendung wie `handleListDocuments`), `safeDownloadName(title,ext)` aus `public_share_handlers.go`, `Server.users/logger/audlog/store`. Echter Build erst beim Deploy.

## 2026-07-30 – Frontend: Buchhaltungs-API-Key-Verwaltung + Verfahrensdokumentation-Download

**Zeit:** ca. 0,8 h (Muster-Abgleich retention-rules/users-Seiten, API-Client, zwei Client-Islands, Settings-Index)
**Ziel:** Die beiden heute gebauten Backend-Features bedienbar machen — bisher nur per curl aufrufbar.

**1. `/settings/accounting-keys`** (neu, Muster 1:1 wie `/settings/retention-rules`): Server Component lädt die Liste per `serverApiFetch("/api/accounting/api-keys")` beim First Paint (kein Client-Spinner), gated auf `domain_admin`/`superadmin` über `GET /api/auth/me` (Backend `s.authAdmin` bleibt die Autorität). Tabelle: Bezeichnung, Erstellt, Zuletzt verwendet ("Noch nie verwendet" statt leerem Feld), Status-Badge (grün=aktiv / blass=widerrufen mit Zeitpunkt), beschrifteter Widerrufen-Button (bei bereits widerrufenen Keys disabled).

**Einmal-Key-Anzeige:** bewusst als *zweiter*, separater Dialog gelöst statt als Zustand im Anlege-Dialog — nach erfolgreichem `POST` schließt der Anlege-Dialog, der Klartext landet in einem eigenen State `createdKey`, dessen einziger Konsument der Erfolgs-Dialog ist. `onOpenChange(false)` setzt ihn auf `null`; danach existiert der Key nirgends mehr im Client (er wird auch nicht in die Tabellen-Row übernommen — die kommt aus `created.key`, das serverseitig keinen Klartext enthält). Inhalt: roter/amber Warnkasten "Beim Schließen ist der Key unwiderruflich weg", der Key monospace in einem `<code>`-Block, Kopieren-Button (`navigator.clipboard`, Label wechselt auf "Kopiert"), Verwendungshinweis `Authorization: Bearer <Key>`, Schließen-Button mit bestätigender Beschriftung "Key gespeichert — schließen".

**Widerruf** mit eigenem Bestätigungsdialog (destruktiv, Text nennt explizit die Sofortwirkung und dass der Eintrag für den Audit-Trail bleibt); nach Erfolg wird die Row lokal auf `revoked_at = now` gesetzt statt entfernt — deckt sich mit dem Backend (kein Hard-Delete).

**2. Verfahrensdokumentation-Download:** kleiner Abschnitt "GoBD-Verfahrensdokumentation" am Fuß von `/settings/retention-rules` (nächstliegende bestehende GoBD-Seite, keine neue Route dafür). `ProcedureDocumentationDownload` holt die Datei per `fetch(..., credentials: "include")` und triggert einen Blob-Download mit dem Dateinamen aus `Content-Disposition` — Blob-Umweg statt schlichtem `<a href>`, damit das Session-Cookie mitgeht und ein 403/500 als Fehlertext statt als kaputter Download sichtbar wird. Darüber steht der Entwurfs-Hinweis (amber), konsistent mit der Warnzeile im generierten Dokument selbst.

**Dateien:**
- `src/lib/api.ts`: `AccountingApiKey`, `CreatedAccountingApiKey`, `listAccountingApiKeys`, `createAccountingApiKey`, `revokeAccountingApiKey`, `downloadProcedureDocumentation` (kein `apiFetch`, weil Markdown statt JSON — Muster wie `downloadPublicShare`).
- `src/components/accounting/AccountingApiKeyManager.tsx` (neu), `src/app/(app)/settings/accounting-keys/page.tsx` (neu).
- `src/components/compliance/ProcedureDocumentationDownload.tsx` (neu), eingebunden in `src/app/(app)/settings/retention-rules/page.tsx`.
- `src/app/(app)/settings/page.tsx`: neue Karte "Buchhaltungs-API-Keys", Hinweis auf den Doku-Download in der Aufbewahrungsregeln-Karte.

**Symbolprüfung (kein TS-Build in der Sandbox):** JSON-Felder gegen `storage.AccountingAPIKey` (`id, tenant_id, label, created_by, created_at, revoked_at, last_used_at`) und `createAccountingKeyResponse` (`key`, `plaintext_key`) gelesen; Routen gegen `internal/api/server.go` (Zeilen 318, 377–379). Kein Sidebar-Eintrag ergänzt — `AppSidebar` führt Settings-Unterseiten wie `retention-rules` ebenfalls nicht, Einstieg konsistent über den Settings-Index. Keine neuen npm-Pakete, nur vorhandene shadcn-Komponenten (Dialog, Table, Badge, Button, Input, Label).

## 2026-07-30 – Buchhaltungs-Pull-API (reduzierter erster Schritt, Backend)

**Zeit:** ca. 1,3 h (Muster-Abgleich shares.go/public_share_handlers.go/retention_rule_handlers.go, Store + Handler + Middleware, Migrationsdoku, Symbolprüfung)
**Ziel:** Maschinenlesbarer Lese-Zugriff für Buchhaltungssysteme auf belegdatum-bewertete Dokumente, ohne Browser-Session — laut Architekturvorschlag (`project_belegdatum_und_buchhaltung`) bewusst reduziert: **kein** Changes-Feed, **keine** Betragserkennung, **kein** Verwaltungs-UI.

**Endpunkte:**
- `POST /api/accounting/api-keys` (`s.authAdmin`) — legt Key an, liefert den Klartext-Key **genau einmal** (`plaintext_key`).
- `GET /api/accounting/api-keys` (`s.authAdmin`) — Liste ohne Klartext/Hash (Label, created_at, last_used_at, revoked_at).
- `DELETE /api/accounting/api-keys/{id}` (`s.authAdmin`) — Revoke (kein Hard-Delete, Audit-Spur bleibt auflösbar).
- `GET /api/v1/accounting/documents?since=&until=&doc_type_id=&min_date_score=&cursor=&limit=` (Bearer-Key) — Keyset-Pagination über `(created_at, id)` aufsteigend, Projektion **ohne** `storage_path`/`content_hash`/`ocr_text`.
- `GET /api/v1/accounting/documents/{id}/file` (Bearer-Key) — streamt die WORM-Datei durch den Handler, 404 bei fremdem/unbekanntem Mandanten (kein 403, keine Existenz-Info).

**Key-Modell:** Muster 1:1 wie Share-Links (`internal/storage/shares.go`): Rohkey = `adms_` + base64url(32 Byte `crypto/rand`), nur der hex-SHA-256 wird als `key_hash` (UNIQUE) gespeichert, Authentifizierung immer per Hash-Lookup, nie per id. `ResolveAccountingAPIKey` macht Auth + `last_used_at`-Refresh in **einem** `UPDATE ... WHERE key_hash = $1 AND revoked_at IS NULL RETURNING tenant_id, id` — ein widerrufener Key kann also gar keine tenant_id liefern; unbekannt/widerrufen sind nach außen ununterscheidbar (`ErrAccountingKeyNotFound` → 401).

**Mandantentrennung im Bearer-Pfad (kritisch, einziger Nicht-Browser-Zugang):** `s.accountingAuth` löst den Rohkey auf und legt **ausschließlich** die daraus gewonnene `tenantID` (plus `keyID` fürs Audit) in den Request-Context (`accountingTenantKey`). Die Pull-Handler lesen den Mandanten nur über `accountingCtxFromRequest`; es existiert kein Codepfad, der `tenant_id` aus Query/Header/Body übernimmt (ein `?tenant_id=` wird schlicht ignoriert). Beide Store-Funktionen (`ListAccountingDocuments`, `GetAccountingDocumentFile`) nehmen `tenantID` als Pflichtargument und haben keine ungescopte Variante; `GetAccountingDocumentFile` filtert `WHERE id = $1 AND tenant_id = $2 AND deleted_at IS NULL` (IDOR-Guard). Zusätzlich Per-IP-Ratelimit (`accountingLimiter`, eigener Bucket-Satz, 60 Burst / 5 pro Sekunde) gegen Key-Raten.

**Audit:** neue Events `accounting_key_created`, `accounting_key_revoked`, `accounting_pull` (`internal/audit/audit.go`). Protokolliert werden Anlegen/Widerrufen (Erfolg **und** Fehlschlag), jeder Datei-Download (Erfolg, Not-Found, Open-Failed) sowie jede Listenabfrage mit `count:` und `range:<erste id>-<letzte id>`, dazu jeder abgelehnte Auth-Versuch. Der Klartext-Key taucht nirgends im Log auf, nur `key:<id>`.

**Dateien:**
- `internal/storage/accounting_api_keys.go` (neu): Tabelle `accounting_api_keys`, `initAccountingAPIKeysSchema`, `CreateAccountingAPIKey`, `ResolveAccountingAPIKey`, `ListAccountingAPIKeys`, `RevokeAccountingAPIKey`, `ErrAccountingKeyNotFound`.
- `internal/storage/accounting_pull.go` (neu): `AccountingDocument`/`AccountingDocumentFilter`/`AccountingPage`, `ListAccountingDocuments` (Keyset + LIMIT n+1 für `has_more`), `AccountingFileRef` mit unexportiertem `storagePath` + Accessor (analog `storage.ResolvedShare`), `GetAccountingDocumentFile`, Cursor-Kodierung base64url(`<unix_nanos>:<id>`), `ErrInvalidAccountingCursor`.
- `internal/api/accounting_handlers.go` (neu): Verwaltungs-Handler, `accountingAuth`-Middleware, beide Pull-Handler, `parseAccountingDate` (YYYY-MM-DD oder RFC3339), `accountingIDRange`.
- `internal/storage/storage.go`: `initAccountingAPIKeysSchema` nach `initSharesSchema` verdrahtet.
- `internal/api/server.go`: Feld `accountingLimiter` + Initialisierung in `New`, 5 Routen registriert.
- `internal/audit/audit.go`: 3 neue Event-Konstanten.
- `internal/storage/migrations/026_accounting_api_keys.sql` (neu, reine Doku).

**Symbolprüfung (kein `go build` in der Sandbox):** gegen die Definitionen gelesen, nicht geraten — `auth.Session.{UserID int64, Username, TenantID *int64}`, `audit.Entry.{EventType,Username,IPAddress,DocumentID,Success,Detail,TenantID *int64}`, `Logger.Log(Entry)`, `s.remoteIP(r)`, `extractBearerToken(r)`, `newIPRateLimiter(burst, refillPerSec float64) *ipRateLimiter` + `(*ipRateLimiter).allow(ip)`, `detectMimeType(contentType, ext, filePath string) string`, `safeDownloadName(title, ext string) string`, `storage.ErrDocumentNotFound`, `contextKey`-Typ und Muster aus `server.go`. Spalten gegen `initSchema`/`initTaxonomySchema` verifiziert: `documents.{id,title,document_date,document_date_score,doc_type,doc_type_id,correspondent,correspondent_id,storage_path,created_at,deleted_at,tenant_id}`, `document_types.{id,name,tenant_id}`, `correspondents.{id,name,tenant_id}`. Namenskollisionen im Paket `api` (`accounting*`, `parseAccountingDate`) und in `storage` geprüft — keine.

**Noch offen (bewusst nicht Teil dieses Schritts):** API-Key-Verwaltungs-UI in den Settings, Changes-Feed (geänderte/gelöschte Belege), Betragserkennung, Bulk-Export als ZIP.
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server).
**Projekt:** archivdms

---

## 2026-07-30 – Deploy: document_date_score Migration (Belegdatum-Konfidenz)

**Zeit:** ca. 0,2 h (rsync, update.sh, Restart, Schema-Verifikation)
**Änderung:** Neue nullable Spalte `documents.document_date_score NUMERIC` (idempotent per `ALTER TABLE ... ADD COLUMN IF NOT EXISTS` in `Store.initSchema`). Reine Backend-Änderung: `internal/storage/documents.go` (Document-Struct, CreateDocumentRequest, CreateDocument/GetDocument/ListDocuments-Queries, `UpdateDocumentDate` um `score *float64` erweitert) und `internal/api/document_handlers.go` (`handleSetDocumentDate`, `ReprocessDocument`, `ProcessDocumentJob`). Kein Frontend betroffen.

**Deploy:** rsync + `update.sh` auf 192.168.1.204, Go-Backend und Next.js-Frontend neu gebaut, Dienste neu gestartet — beide grün (`Backend ✓ läuft`, `Frontend ✓ läuft`), kein Crash-Loop, Logs zeigen sauberen Start (`starting API server addr=:8080`).

**Verifikation:** `\d+ documents` bestätigt `document_date_score | numeric | (nullable, kein Default)` — Migration live.

## 2026-07-30 – GoBD-Verfahrensdokumentation: Markdown-Entwurfsgenerator (Backend-Endpunkt)

**Zeit:** ca. 1,0 h (Konzeptabgleich, Symbolprüfung der beteiligten Stores, Handler + Aggregat-Queries, Doku)
**Ziel:** Aus dem Live-DB-Stand eines Mandanten einen Markdown-Baustein einer GoBD-Verfahrensdokumentation erzeugen — Fristen, Zugriffsschutz, Löschkonzept, Erfassungsautomatisierung und Nachvollziehbarkeit automatisch befüllt, die nicht im System abbildbaren Kapitel als klar markierte Platzhalter. Grundlage: `.claude/agent-memory/retention-compliance/project_gobd_verfahrensdokumentation.md` (Konzept lag fertig vor).

**Endpunkt:** `GET /api/compliance/procedure-documentation[?tenant_id=N]`, `s.authAdmin` (domain_admin+). Antwort `text/markdown; charset=utf-8` als Download (`Content-Disposition: attachment; filename="verfahrensdokumentation-entwurf-<slug>-<datum>.md"`), zusätzlich `X-Content-Type-Options: nosniff`.

**Mandantentrennung:** Der Zielmandant wird genau einmal aufgelöst (Default: eigener Mandant aus der Session); ein `?tenant_id=` abweichend vom eigenen ist ausschließlich für `superadmin` zulässig, sonst 403 **mit** Audit-Eintrag (`Success:false`). Sämtliche Queries laufen gegen diese eine `tenantID` — kein Vermischen zweier Mandanten in einem Dokument. Der Mandant wird vor der Generierung über `tenantStore.GetByID` verifiziert (404 bei unbekannter ID).

**Entwurfskennzeichnung:** erste Zeile des Dokuments als Blockquote „**ENTWURF** — automatisch generierter Baustein …, Stand <Zeitstempel>. Ersetzt keine rechtliche Prüfung, muss um Organisationsbeschreibung/Verantwortlichkeiten/Backup-Notfallkonzept ergänzt und von fachkundiger Stelle geprüft werden.", plus derselbe Hinweis nochmals als Fußzeile. Live erzeugt, kein Caching.

**Automatisch befüllte Kapitel:** 1 Aufbewahrungsfristen (`ListRetentionRules`, Dokumenttyp-Auflösung über `ListTaxonomyEntities("document_types")`, Trigger-Typen erklärt), 2 Zugriffsschutz (Rollenmodell, Benutzerzahlen je Rolle über `users.ListByTenant`, Gruppen + Mitglieder, Grants je Dokumenttyp/Tag als Tabelle, Einzeldokument-Grants als Zähler), 3 Löschkonzept (WORM/0440/SHA-256-Fließtext + Vier-Augen-Ablauf inkl. `blocked_retention`, dazu Löschantrags-Statusverteilung), 4 Erfassung (Workflows, Klassifizierungsvorlagen, Stammdatenumfang), 5 Nachvollziehbarkeit (Append-only-Audit-Log, Ereignisarten-Auszug). **Reine Platzhalter** (`[MANUELL ZU ERGÄNZEN]`): Kapitel 6 Organisationsbeschreibung, 7 Verantwortliche/Vertretung, 8 Technik-/Server-/Backup-/Notfallkonzept, 9 Änderungshistorie.

**Dateien:**
- `internal/api/compliance_handlers.go` (neu): `handleProcedureDocumentation` + `buildProcedureDocumentation` + Helfer (`mdCell`-Escaping für Tabellenzellen, `safeFilenamePart` gegen Header-Injection im Dateinamen, `retentionPeriodText`, `orDash`, `jaNein`).
- `internal/storage/compliance.go` (neu): `ComplianceStats` + `ComplianceStatsForTenant` — rein lesende Aggregatzähler (Dokumente aktiv/Papierkorb/mit `retain_until`, Gruppen- und Grant-Zähler je Ebene, Löschanträge je Status), alle mit `WHERE tenant_id = $1`. **Kein Schema, keine Migration** (nichts wird geschrieben).
- `internal/audit/audit.go`: `EventComplianceExport = "compliance_procedure_doc_export"` — der Export ist lesend, gibt aber Mandantenkonfiguration nach außen, wird daher wie eine Schreibaktion protokolliert (Erfolg **und** Fehlschlag, inkl. Ziel-Tenant bei Cross-Tenant-Zugriff).
- `internal/api/server.go`: Route registriert.

**Symbolprüfung (kein `go build` in der Sandbox):** `store.ListRetentionRules/ListTaxonomyEntities("document_types"|"tags")/ListPermissionGroups/ListGroupMembersDetailed/ListDocumentTypeGrants/ListTagGrants/ListWorkflows/ListTemplates(ctx,tenantID,nil)` gegen die jeweiligen Store-Dateien geprüft (Signaturen + Rückgabetypen); Feldnamen `RetentionRule.{DocTypeID,TriggerType,TriggerReference,RetentionYears,RetentionDays,LegalBasis,RequiresApprovalForDestroy,DSGVOConflict,Active}`, `Workflow.{Name,TriggerType,Enabled,Priority}`, `ClassificationTemplate.{Name,Description,DocTypeID,RetainYears,Active}`, `GrantInfo.{GroupName,Access}`, `GroupMember.Username`, `TaxonomyEntity.{ID,Name}`, `tenantstore.Tenant.{Name,Slug}`, `userstore.User.{Role,Active}`, `auth.Session.{UserID,Username,Role,TenantID}` jeweils gegen die Definition gelesen, nicht geraten. Tabellen-/Spaltennamen der Aggregatqueries gegen `initTrashSchema` (`document_delete_requests.status`), `initPermissionsSchema` (`document_type_grants`/`tag_grants`/`document_grants`, alle mit `tenant_id`) und `documents.{deleted_at,retain_until}` verifiziert. `auth.HasRole` ist hierarchisch (superadmin ≥ domain_admin), `s.authAdmin` lässt superadmin also durch. Neue Paket-Helfer (`mdCell`/`orDash`/`jaNein`/`safeFilenamePart`/`retentionPeriodText`) auf Namenskollisionen in `internal/api` geprüft — keine.

**Noch offen (bewusst nicht in diesem Auftrag):** Download-Button in den Settings (Frontend), PDF-Ausgabe, Gegenlesen der Rechtsformulierungen durch die retention-compliance-Rolle vor Go-Live.
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server).
**Projekt:** archivdms

---

## 2026-07-30 – Trennseiten-Split: Barcode-Trennblätter zerlegen Mehrseiten-Scans beim Ingest (Backend-Grundgerüst)

**Zeit:** ca. 1,5 h (Bestandsaufnahme Barcode/OCR/Upload-Pipeline, neues Paket, Refactoring `storeUploadedFile`, Config/Audit/Doku)
**Ziel:** Ein Scan-Stapel mit mehreren Belegen in einem PDF soll an gedruckten Barcode-Trennblättern automatisch in Einzeldokumente zerlegt werden, statt als ein zusammenhängendes Dokument zu landen (Anregung aus dem Paperless-ngx-Vergleich).

**Bestandsaufnahme:** `internal/barcode` ist ein reiner `zbarimg --raw`-Sidecar ohne Seitenbezug — die Barcodes werden in `internal/ocr` je rasterierter Seite dekodiert und zu **einer** Liste ohne Seitennummern zusammengeworfen (`ocr.Result.Barcodes`), die im Ingest nur für die Taxonomie-Autozuordnung dient. Für einen Split braucht es die Seitenzuordnung, deshalb ein eigener Erkennungslauf statt Umbau des OCR-Pfads (der läuft ohnehin erst asynchron im Job, also **nach** der WORM-Ablage — zu spät zum Splitten). PDF-Split war bisher nirgends vorhanden; bewusst **kein** neues Paket `qpdf`/`pdftk`, sondern `pdfinfo` + `pdfseparate` + `pdfunite` aus dem bereits installierten `poppler-utils`.

**Architektur-Entscheidungen:**
- **Split läuft synchron im Staging**, als neuer Schritt 1a in `storeUploadedFile` — nach dem Schreiben der Inbox-Datei, **vor** Duplikatprüfung/WORM-Move. Nach `chmod 0440` darf nichts mehr aus der Datei abgeleitet werden, und der Stapel als Ganzes soll gar nicht erst Archivobjekt werden.
- **Nur `application/pdf`.** Multi-Page-TIFF wird von keinem aktuellen Ingest-Pfad geliefert und ist bewusst außen vor statt halb unterstützt.
- **Trennblatt wird verworfen** (Paperless-Verhalten): es ist ein Steuerblatt, kein Beleg.
- **Jedes Teildokument durchläuft den vollen Normalpfad** — dafür wurde die zweite Hälfte von `storeUploadedFile` (Duplikat-Vorprüfung, WORM-Move + `chmod 0440`, atomarer `CreateDocumentWithJob`, Eager-Thumbnail, Index-Sync) als `archiveStagedFile` herausgezogen. Kein Zweitpfad, keine Sonderbehandlung: Teil-PDFs bekommen dieselbe Hash-/Duplikat-/WORM-/Job-Logik wie ein Einzel-Upload.
- **Fail-safe statt Fehlschlag:** Detektor aus, fehlende Binaries, <2 Seiten, >`max_pages`, kein Trennblatt, Rasterisierung/Split fehlgeschlagen, oder ein PDF das nur aus Trennblättern besteht → ungesplittet archivieren wie bisher. Ein **teilweise** erzeugter Split wird nie ausgeliefert (Fehler in einem Segment verwirft den ganzen Split).
- **Duplikate je Teil:** ein bereits vorhandenes Teil wird übersprungen, nicht der ganze Stapel abgelehnt. Erst wenn **kein** Teil archiviert werden konnte, geht der bekannte 409 (`ErrDuplicateContentHash`) an den Client.
- **GoBD:** Der Stapel wird bei einem Split **nicht** zusätzlich archiviert (sonst läge jede Seite doppelt im Archiv, gegen Einmal-Ablage). Nachvollziehbar bleibt die Aufteilung ausschließlich über das neue Audit-Event **`document_split`** (`internal/audit/audit.go`): Originaldateiname, SHA-256 des Originals, Seitenzahl, verworfene Trennblatt-Seitennummern, je Teil Seitenbereich + Dokument-ID. Auch abgebrochene Splits werden mit `Success:false` protokolliert.
- **Default AUS**, globaler Config-Schalter `pagesplit.enabled` — konservativ wie bei `ocr.binarize_ocr`.

**Dateien:**
- `internal/pagesplit/pagesplit.go` (neu): `Detector` + `Split(ctx, pdfPath) (*Result, bool, error)`. `pdfinfo` → Seitenzahl, `pdftoppm -r 150 -png` → einmal alle Seiten rastern, `barcode.DecodeBarcodes` je Seite, Marker-Vergleich (case-insensitiv, optional Präfix), `contentRanges` → Segmente ohne Trennblätter, `pdfseparate -f/-l` + `pdfunite` je Segment. Eigener Scratch-Ordner unter `ocr-tmp/split-<random>/`, per `Result.Cleanup` entsorgt. Dateisortierung numerisch über die Trailing-Zahl (lexikalisch bricht ab Seite 10). Sicherheitsnetz: Rasterseitenzahl ≠ `pdfinfo`-Seitenzahl → Abbruch, sonst würde an der falschen Stelle geschnitten.
- `internal/api/document_handlers.go`: neuer Schritt 1a + `trySplitStagedUpload` + `hashFile`; `archiveStagedFile` aus `storeUploadedFile` extrahiert (Verhalten für Nicht-Split-Uploads unverändert).
- `internal/api/server.go`: Feld `pagesplitter *pagesplit.Detector` + `SetPageSplitter`.
- `cmd/archivdms/main.go`: Verdrahtung inkl. Startup-Warnung bei aktiviertem Split und fehlenden Binaries (`pdfinfo`/`pdfseparate`/`pdfunite`/`zbarimg`).
- `config/config.go`: `PageSplitConfig` + `Config.PageSplit` (`yaml: pagesplit`). `config/config.yml.example`, `README.md` ergänzt.
- `internal/audit/audit.go`: `EventDocumentSplit = "document_split"`.

**Config-Schalter:** `pagesplit.enabled` (Default false), `marker` (Default `ARCHIVDMS-SPLIT`), `marker_prefix`, `raster_dpi` (150), `max_pages` (200), `timeout_seconds` (120). Voraussetzung auf dem Server: `apt install poppler-utils zbar-tools` (poppler ist bereits Dienst-Abhängigkeit, `pdfinfo`/`pdfseparate`/`pdfunite` stecken im selben Paket).

**Symbolprüfung (kein `go build` in der Sandbox):** `barcode.DecodeBarcodes(ctx, imagePath) ([]string, error)` gegen `internal/barcode/barcode.go:31`; `audit.Entry`-Felder (`EventType/Username/TenantID *int64/DocumentID string/Success/Detail`) gegen `internal/audit/audit.go:191`; `storage.ErrDuplicateContentHash`, `storage.Document.ID`, `s.store.DocumentExistsByHash`, `s.store.CreateDocumentWithJob`, `s.store.SyncIndex` unverändert übernommen (Code aus `storeUploadedFile` nur verschoben, nicht umgeschrieben); `detectMimeType(contentType, ext, filePath) string` und `copyFile` gegen dieselbe Datei; `(*api.Server).SetPageSplitter` gegen `internal/api/server.go`; `cfg.OCR.ResolvedPdftoppmPath()` / `cfg.Storage.OCRTmpPath()` gegen `config/config.go`. Imports in `document_handlers.go` (`crypto/sha256`, `encoding/hex`, `io`, `os`, `errors`, `strconv`, `strings`) waren bereits vorhanden; in `main.go` `archivdms/internal/pagesplit` ergänzt, `exec`/`time` schon importiert. `cmd_documents_reprocess_all.go` setzt bewusst keinen Splitter — `s.pagesplitter == nil` ist ein sauberer No-op, und Reprocess läuft ohnehin auf bereits archivierten Dateien.

**Noch offen (bewusst nicht in diesem Auftrag):** Frontend/Settings-UI und die Verlagerung des Schalters von der globalen `config.yml` auf ein Mandanten-Setting (`tenant_settings`); ein druckbares Trennblatt-PDF (Barcode-Generator) für Anwender; Sichtbarmachen des Splits in der UI (der Upload-Response enthält nur das erste Teildokument, alle IDs stehen im Audit-Log); optional Multi-Page-TIFF; Feldvalidierung mit echten Scans, bevor `enabled` irgendwo dauerhaft auf true geht.
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server).
**Projekt:** archivdms

---

## 2026-07-30 – Job-Queue Phase 3: Status-Endpunkte + UI-Badge „Wird verarbeitet …" mit Retry

**Zeit:** ca. 1,0 h (2 Handler + Routen, API-Client, Badge/Polling-Hook, Einbau in Liste/Kacheln/Vorschau, Doku)
**Deploy:** rsync + update.sh auf 192.168.1.204, Go-Backend und Next.js/TypeScript-Build fehlerfrei, Backend + Frontend danach aktiv (~10 min inkl. Prüfung).
**Ziel:** Der Nutzer soll sehen, dass ein frisch hochgeladenes Dokument noch in der Warteschlange steckt (bisher wirkte ein Dokument ohne OCR-Text/Zuordnung schlicht „kaputt"), und einen dauerhaft fehlgeschlagenen Job selbst neu anstoßen können.

**Backend (`internal/api/processing_job_handlers.go`, neu; Routen in `server.go` bei den übrigen Dokument-Sub-Routen):**
- `GET /api/documents/{id}/processing-job` → `{document_id, status, retry_count, error_message}`. Bewusst eine eigene schlanke Response statt `storage.ProcessingJob`: `derive_title`, `next_attempt_at`, `tenant_id` sind Interna und haben in der UI nichts zu suchen.
- `POST /api/documents/{id}/processing-job/retry` → `RequeueJob`, **nur** wenn der Job auf `failed` steht, sonst **409**. Sonst könnte ein Klick eine gerade laufende Verarbeitung ein zweites Mal einreihen. Erfolg und Fehlschlag landen als `document_processed`-Audit-Event mit Detail `manual retry …`.
- ACL wie bei allen Dokument-Sub-Routen: **zuerst** `GetDocument(id, tenantID)` (dessen `WHERE tenant_id` ist der IDOR-Guard) — ein fremdes Dokument bekommt 404, bevor überhaupt ein Job gelesen wird. Erst danach `GetJobForDocument(id, tenantID)`, ebenfalls tenant-scoped.
- Altbestand ohne Job-Zeile liefert **kein 404**, sondern den `processing_status` des Dokuments (Spalten-Default `done`). Damit braucht das Frontend keinen Sonderfall „Dokument existiert, Job nicht".

**Frontend:**
- `src/lib/api.ts`: `Document.processing_status`, Typ `ProcessingStatus`, `ProcessingJob`, `getProcessingJob()`, `retryProcessingJob()`.
- `src/components/documents/ProcessingStatusBadge.tsx` (neu): Badge + Hook `useProcessingStatuses`.
  - **Kein Spinner beim First Paint:** Startwert ist das servergerenderte `document.processing_status`, das mit der Liste ohnehin mitkommt. Gepollt wird erst danach.
  - **Polling nur wenn nötig:** der Effekt hängt an einem String-Key aus genau den IDs, die `queued`/`processing` sind. Ist die Ansicht durchverarbeitet (Normalfall), wird gar kein Intervall angelegt → null Zusatz-Traffic. Sonst alle 3 s ein `GET` je offenem Dokument.
  - **Datenabgleich:** sobald ein Dokument fertig wird, einmalig `router.refresh()` — die Server Component lädt die inzwischen vom Worker geschriebenen Metadaten (OCR-Titel, Typ, Korrespondent, Tags, Belegdatum) nach. Kein WebSocket, kein Full-Reload.
  - `done`/unbekannt rendert `null`, damit die Liste im Regelfall unverändert aussieht.
- Eingebaut in `DocumentsTable.tsx` (Listenzeile neben dem Titel **und** Kachelansicht) sowie `DocumentPreview.tsx` (neben der Überschrift, neben „Neu verarbeiten"). Der Retry-Button ist beschriftet („Erneut versuchen"), kein reines Icon — UI-Prinzip.
- Nach erfolgreichem Retry setzt `setStatus(id, "queued")` den lokalen Wert sofort, sonst würde der gecachte `failed`-Wert das frische Serverergebnis überstimmen und das Polling nie anlaufen.

**Symbolprüfung (kein `go build`/`tsc` in der Sandbox):** `Store.GetJobForDocument(ctx, documentID, tenantID) (*ProcessingJob, error)`, `Store.RequeueJob(ctx, jobID, tenantID) error`, Sentinel `storage.ErrNoJob`, Konstanten `JobStatusFailed`/`JobStatusQueued`/`JobStatusDone` gegen `internal/storage/processing_jobs.go`; `Document.ProcessingStatus` gegen `internal/storage/documents.go:74`; `Store.GetDocument(ctx, id, tenantID)` + `storage.ErrDocumentNotFound`; Handler-Helfer `sessionFromCtx`/`writeJSON`/`writeError`/`s.audlog.Log`/`audit.EventDocumentProcessed` gegen die bestehenden Handler; Routenmuster `s.mux.HandleFunc("GET /api/documents/{id}/…", s.auth(...))` gegen `server.go`. Keine neuen npm-Pakete (Badge/Button aus `ui/`, Icons aus dem bereits genutzten `lucide-react`).
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server).
**Projekt:** archivdms

---

## 2026-07-30 – Bugfix: Thumbnails ignorierten EXIF-Orientierung (`-auto-orient` fehlte)

**Zeit:** ca. 0,5 h (Diagnose + Fix + Regenerierungspfad + Doku)
**Meldung:** „die Thumbnails passen auch noch nicht" – im Nachgang zu den EXIF-Fixes im OCR-Overlay.
**Root Cause:** Gleiche Klasse wie der Overlay-Bug: `renderImage` in `internal/thumbnail/thumbnail.go` rief `convert <src>[0] -thumbnail 400x400 …` ohne `-auto-orient` auf. ImageMagick liest ohne dieses Flag das EXIF-Tag `Orientation` nicht aus, verkleinert also die ROHEN Pixel und schreibt ein PNG – PNG kennt gar kein Orientation-Tag, die Drehinformation geht damit ersatzlos verloren. Der Browser zeigt das Originalbild dagegen EXIF-orientiert an (`image-orientation: from-image`), also stand das Thumbnail von Handyfotos (Orientation 6/8) quer neben einem aufrechten Original. PDFs (`pdftoppm`-Pfad) sind nicht betroffen.
**Fix 1:** `internal/thumbnail/thumbnail.go:~148` – `-auto-orient` VOR `-thumbnail` eingefügt. Bewusst ImageMagick statt des eigenen Parsers aus `internal/ocr/exif.go`: das Thumbnail ist ein derived Artefakt, hier sollen die Pixel physisch gedreht und das Tag entfernt werden, es gibt keinen Koordinatenraum zurückzurechnen.
**Fix 2 (Altbestand):** `ReprocessDocument` regenerierte das Thumbnail nur bei `if !doc.HasThumbnail` – bereits (falsch) erzeugte Thumbnails wären damit für immer schief geblieben. Da Thumbnails niemals WORM sind (`ThumbnailPath()`, regenerierbar), wird jetzt bei jedem Reprocess unbedingt neu gerendert und die Cache-Datei überschrieben (`internal/api/document_handlers.go:~525`).
**Fix 3:** `cmd/archivdms/cmd_documents_reprocess_all.go` hat den Thumbnail-Generator nie verdrahtet (`SetThumbnailer` fehlte, nur `serve` in `main.go` setzte ihn) – `s.thumbs == nil` ließ den Thumbnail-Schritt im Bulk-Lauf still ausfallen. Jetzt identisch zu `main.go` gewired, damit `documents reprocess-all` als Backfill-Pfad taugt.
**Altbestand neu erzeugen (Tenant 3, Dok. 3/4/5/7):** `archivdms documents reprocess-all -tenant 3` (oder gezielt `-tenant 3 -doc 4`), alternativ pro Dokument „Neu verarbeiten" in der UI. Rein-Thumbnail-Variante ohne OCR-Kosten: die gecachten PNGs unter `<BasePath>/thumbnails/3/` löschen – der Lazy-Pfad in `handleGetDocumentThumbnail` rendert beim nächsten Abruf mit dem neuen Flag nach. WORM-Dateien werden dabei nicht angefasst.
**Symbolprüfung (kein `go build` in der Sandbox):** `thumbnail.New(pdftoppmPath, convertPath string, timeout time.Duration) *Generator` und Feld `Generator.Logger *slog.Logger` gegen `internal/thumbnail/thumbnail.go` geprüft; `(*api.Server).SetThumbnailer(*thumbnail.Generator)` gegen `internal/api/server.go:82`; `cfg.OCR.ResolvedPdftoppmPath()` und `logger` (`*slog.Logger`, Zeile 65) im CLI bereits vorhanden; Import `archivdms/internal/thumbnail` in `cmd_documents_reprocess_all.go` ergänzt, `time` war schon importiert. `generateThumbnailBestEffort`-Signatur unverändert, nur die Aufrufbedingung entfernt (`mimeType` ist an der Stelle weiterhin in Scope).
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server).
**Projekt:** archivdms

---

## 2026-07-30 – Review + Überarbeitung: OCR-Textmarkierung/Overlay (Phasen 1–6 komplett)
**Zeit:** ca. 2,0 h (Review Koordinatenkette, 4 Bugfixes, Refactoring Preprocessing-Pfade, Doku)
**Anlass:** Nach dem EXIF-Fix sollte das gesamte Feature nochmal systematisch durchgegangen werden.

**Bug 1 (behoben, wirkt auf JEDES deskewte Dokument): Rücktransformation nutzte nur 2 Box-Ecken.**
`mapWordsToOriginal` hat nur oben-links und unten-rechts invertiert und daraus min/max gebildet. Bei einer reinen Skalierung oder 90°-Drehung ist das korrekt, bei der Deskew-Drehung um einen beliebigen kleinen Winkel aber nicht: unter einer Rotation spannen zwei gegenüberliegende Ecken die achsparallele Hüllbox des gedrehten Rechtecks nicht mehr auf. Ergebnis waren systematisch zu schmale/zu niedrige und versetzte Boxen (bei Winkeln Richtung 45° kollabieren sie gegen null). Jetzt werden alle vier Ecken durch die Kette geschickt und daraus min/max gebildet.

**Bug 2 (behoben, still und gefährlich): übersprungene Transformation statt abgebrochener Kette.**
Konnte für einen Schritt die Geometrie nicht gemessen werden (`buildScaleTransform`/`buildRotationTransform` → `ok == false`), wurde der Schritt einfach nicht in die Kette eingetragen — der Schritt hatte das Bild aber trotzdem verändert. Die restlichen Transformationen rechnen dann in einen Koordinatenraum zurück, den es nicht mehr gibt: das Frontend zeichnet ein selbstbewusst falsches Overlay. Realistischer Auslöser: `image.DecodeConfig` kennt nur die in diesem Package importierten Formate (JPEG/PNG), ein TIFF-/BMP-/WebP-Upload lässt also jede Messung scheitern, während ImageMagick das Bild anstandslos verarbeitet. Neu: `geomChain` (coords.go) sammelt die Schritte und markiert sich als `broken`; `runTesseract` liefert für solche Dokumente **gar keine** Wortboxen (OCR-Text bleibt unberührt) statt falscher. Zusätzlich abgesichert: Deskew meldet Winkel 0, obwohl sich die Bildmaße geändert haben (alte ImageMagick-Builds ohne `%[deskew:angle]`) → ebenfalls Kettenabbruch statt Mapping mit Winkel 0.

**Bug 3 (behoben, 1 px pro 90°-Schritt):** Die `exact90`-Umkehrung rechnete mit der Pixel-INDEX-Konvention (`curW-1-cx`), bekommt von `mapWordsToOriginal` aber Box-KANTEN (`left+width`, also ein kontinuierlicher Bereich `[0,w]`). Auf die kontinuierliche Form (`curW-cx`) umgestellt — identisch zur Konvention in `applyEXIFOrientation`, damit OSD-Rotation und EXIF-Drehung nicht zwei verschiedene Konventionen mischen.

**Bug 4 (behoben, Robustheit EXIF-Parser):** Im JPEG-Markerscan lag `0xD9` (EOI) im RST-Bereich `0xD0..0xD9` und wurde als längenloser Marker behandelt, der `case marker == 0xDA || marker == 0xD9` dahinter war toter Code. Bei einer EXIF-losen Datei lief der Parser damit bis zu 1 MiB durch die Bilddaten und konnte in Rohdaten zufällig ein „Segment" finden. Reihenfolge korrigiert (SOS/EOI zuerst), RST-Bereich auf `0xD0..0xD7` eingegrenzt, Füllbytes `0x00`/`0xFF` explizit. Außerdem `int(v+0.5)` → `math.Round` in `applyEXIFOrientation`, weil Boxkanten nach einer Deskew-Rückrechnung knapp negativ sein können.

**Refactoring (Punkt 5): fünf ImageMagick-Schritte auf einen Helper.**
`clampImageSize`, `deskewImage`, `deskewImageHough`, `normalizeContrast` und `binarizeImage` hatten jeweils dieselben ~35 Zeilen Boilerplate (Binary-Lookup, Scratch-Dateiname mit erhaltener Endung, Timeout-Context, stderr-Capture, Aufräumen einer Teilausgabe, Leerdatei-Prüfung, Cleanup-Closure) in leicht abweichenden Varianten — genau die Divergenz, aus der Bug 2 entstanden ist. Neu: `(*Extractor).convertStep(ctx, file, prefix, label, quiet, args...)` als einzige Implementierung; die fünf Funktionen sind jetzt 3–15 Zeilen und behalten nur ihre spezifische Logik (Winkel-Parsing beim Deskew, Info-Logs). `quiet` unterdrückt Warn-Logs für die Routine-No-ops (clamp/contrast). Verhalten unverändert, insbesondere der Vertrag „`ok == false` heißt: Schritt fand nicht statt, mit der Eingabedatei weiterarbeiten, niemals OCR abbrechen". Die drei Deskew-/Binarisierungs-Pfade bleiben bewusst getrennte Funktionen — sie sind fachlich verschieden (Winkelquelle, Verlustfreiheit), nur die Prozess-Mechanik war doppelt.

**Geprüft und für korrekt befunden (keine Änderung):**
- **Reihenfolge der Rücktransformation:** `mapWordsToOriginal` iteriert die Kette rückwärts, EXIF wird danach genau einmal vorwärts angewandt. Kombinationsfälle (clamp + Deskew + OSD-90° + EXIF 6/8 gleichzeitig) komponieren dadurch korrekt; im Package-Kommentar von `coords.go` jetzt explizit dokumentiert.
- **Hough-Pfad-Vorzeichen:** hier ist die Umkehrung nachweislich richtig, weil der Winkel zwar von OpenCV kommt, aber von `convert -rotate <winkel>` angewandt wird (dokumentiert: positiv = im Uhrzeigersinn). Der Vorzeichen-Vorbehalt betrifft nur ImageMagicks eigenes `-deskew`.
- **Frontend-Skalierung:** die `object-contain`-Formel in `DocumentImagePreview.tsx` ist korrekt und passt zum jetzt EXIF-korrigierten Backend-Raum, weil Browser `naturalWidth/naturalHeight` bereits EXIF-orientiert melden. **Regressionscheck PNG/EXIF-lose Bilder:** `applyEXIFOrientation` ist bei Orientation 1 / fehlendem EXIF ein No-Op und `naturalWidth` = Rohbreite — dieser Pfad ist bit-identisch zu vorher.
- **Mandantentrennung:** `ocr_words` hat bewusst keine `tenant_id`. Alle drei Zugriffspfade laufen über eine vorher geprüfte `document_id`: Lesen (`handleListDocumentOCRWords` → `GetDocument(id, *sess.TenantID)` vor `ListOCRWords`), Schreiben im Jobqueue-Pfad (`ProcessDocumentJob` → `GetDocument(documentID, tenantID)` vor `ReplaceOCRWords`) und Schreiben beim Reprocess (`ReprocessDocument` → `GetDocument(id, tenantID)` vor `ReplaceOCRWords`). Die neuen Codestellen der letzten Sessions (Otsu, Hough, EXIF) liegen alle in `internal/ocr` und sehen nie eine Datenbank oder eine Tenant-ID — kein neuer Zugriffspfad entstanden.
- **PDF/Sonderfälle:** PDF-Raster läuft nie durch `jpegEXIFOrientation` (nur `ocrImage` ruft es auf). Fehlgeschlagenes Hough-Skript (kein python3/OpenCV/Script) → `ok == false`, unrotiertes Bild, kein Kettenschritt. Sehr kleine Bilder → `-resize …@>` ist ein reiner Verkleinerer, Identity-Schritte fallen jetzt sowieso aus der Kette.

**Ergebnis:** Kein `go build`/TS-Build in der Sandbox (keine Go-Toolchain lokal). Symbole manuell gegen die Zieldateien abgeglichen: `geomChain`/`isIdentity`/`recordScale`/`recordRotation` neu in `coords.go` (Import `log/slog` ergänzt), `math` neu in `exif.go`, `convertStep` neu in `ocr.go`; keine verwaisten Referenzen auf `buildScaleTransform`/`buildRotationTransform` außerhalb von `coords.go`, alle bisherigen Importe von `ocr.go` weiterhin in Benutzung (`bytes`, `exec`, `filepath`, `os`, `strconv`, `slog`, `errors`).
**Nachzieh-Schritt:** Bug 1 und 3 verschieben bestehende Koordinaten. Dokumente mit sichtbarem Versatz brauchen erneut „Neu verarbeiten" bzw. `documents reprocess-all`.
**Offen / nicht sicher verifizierbar:** Das Vorzeichen von ImageMagicks `%[deskew:angle]` ist quellcode-seitig geprüft, aber weiterhin nicht gegen echte deskewte Pixel gemessen — dafür braucht es den Testkorpus (Dok. 4–9) auf 192.168.1.204: Boxen über das Originalbild legen und den Restversatz messen. Ebenso offen: PDF-Overlay (Rasterpixel → PDF-Punktraum) ist weiterhin bewusst nicht gemappt, und für TIFF/BMP/WebP-Uploads gibt es jetzt statt falscher Boxen gar keine — falls solche Formate real vorkommen, wäre der saubere Weg, die Maße per `identify`/`convert` zu ermitteln statt per `image.DecodeConfig`.
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server nachholen).
**Projekt:** archivdms

---

## 2026-07-30 – Bugfix: OCR-Overlay-Versatz (Dok. 4) – EXIF-Orientierung fehlte im Koordinatenraum
**Zeit:** ca. 1,0 h (Diagnose Transformationskette + Fix + Doku)
**Meldung:** `/documents/4` – Wortboxen „passen nicht mit den OCR-Feldern".
**Root Cause:** Die Vorverarbeitung (`clampImageSize` → `deskew` → `normalizeContrast` → `rotateForOSD` → optional `binarize`) arbeitet ausschließlich auf ROHEN Pixeln; weder `tesseract` noch `convert` wenden das EXIF-Tag `Orientation` an (dafür bräuchte es `-auto-orient`). `mapWordsToOriginal` rechnet die Boxen folglich korrekt in den ROH-Pixelraum der gespeicherten Datei zurück. Der Browser rendert dieselbe Datei aber EXIF-orientiert (`image-orientation: from-image` ist überall Default) und meldet auch `naturalWidth/naturalHeight` bereits gedreht. Bei einem Handyfoto mit Orientation 6/8 zeigt das Frontend also z. B. 3000×4000, während die Boxen in 4000×3000-Rohkoordinaten vorliegen → Overlay um 90° verdreht und teils komplett außerhalb des Bildes. Kein Deskew-/Subpixel-Problem.
**Deskew-Prüfung (Ergebnis: korrekt, keine Änderung):** ImageMagicks `DeskewImage` setzt das Artefakt `deskew:angle` aus demselben `degrees`, mit dem es die Affine-Matrix `[[cos,-sin],[sin,cos]]` baut, und `AffineTransformImage` vergrößert die Leinwand symmetrisch um das Zentrum (Auto-Crop ist per Default aus). Die Umkehrung in `coords.go` (`rad = -angleDeg`, Zentrum-zu-Zentrum) ist damit die exakte Transponierte – Vorzeichen und Canvas-Vergrößerung stimmen. Am Deskew wurde bewusst NICHTS angefasst.
**Fix:** Neue Datei `internal/ocr/exif.go` – dependency-freier Minimal-Parser `jpegEXIFOrientation` (APP1/`Exif\0\0` → TIFF-Header → IFD0-Tag 0x0112) plus `applyEXIFOrientation`, das die Boxen für alle acht EXIF-Fälle (inkl. der Spiegelfälle 2/4/5/7) vom Roh- in den Darstellungsraum überführt. Eingehängt in `ocrImage` (nur Bildpfad; PDF-Raster ist nicht betroffen) direkt nach der Rücktransformation, mit Logzeile `exif_orientation`/`raw_width`/`raw_height`. Orientation 1, PNG und fehlendes EXIF sind ein No-Op – bestehende, korrekt liegende Dokumente ändern sich nicht.
**Nachzieh-Schritt:** Bereits gespeicherte `ocr_words`-Zeilen liegen weiter im Rohraum. Betroffene Dokumente (u. a. Dok. 4) brauchen einmal „Neu verarbeiten" bzw. den `documents reprocess-all`-Job.
**Verifikation:** Im Log nach dem Reprocess muss für Dok. 4 `ocr word boxes mapped into exif-oriented display space` mit `exif_orientation` 6 oder 8 erscheinen; steht dort nichts, ist die Datei EXIF-neutral und die Ursache liegt woanders (dann als nächstes prüfen: `--psm 1` in `wordBoxesWithFallback` – tesseract kann bei aktiver interner OSD-Rotation TSV-Koordinaten im gedrehten Frame liefern; bewusst noch nicht geändert, da spekulativ).
**Ergebnis:** Kein `go build` in dieser Sandbox möglich (kein Go-Toolchain lokal installiert), kein SSH-Zugriff auf 192.168.1.204 – die geplante `ocr_words`-Stichprobe konnte nicht ausgeführt werden. Änderungen manuell gegen `decodeImageDims` (coords.go), `e.log`/`slog`-Muster und die Importliste abgeglichen; `errors` neu importiert in `ocr.go`.
**Status:** Bereit für Deploy (Build-Verifikation auf dem Server nachholen).
**Projekt:** archivdms

---

## 2026-07-30 – Deploy: OCR-Overlay Phase 5a+5b nach 192.168.1.204
**Beschreibung:** rsync + update.sh für die Phase-5a/5b-Änderungen (DocumentImagePreview.tsx, DocumentPreview.tsx, documents/[id]/page.tsx, DocumentsTable.tsx, SearchResults.tsx). Erstmals real gebaut (vorher nur manuell abgeglichen, kein Sandbox-Build möglich).
**Ergebnis:** Go-Backend-Build OK. Next.js-Frontend-Build OK inkl. TypeScript-Check (Turbopack, Next 16.2.10) — die Promise-Signatur von `searchParams` in `documents/[id]/page.tsx` kompiliert fehlerfrei, keine Anpassung nötig. Beide Dienste (`archivdms`, `archivdms-web`) nach Neustart `active`.
**Status:** Live.
**Projekt:** archivdms

---

## 2026-07-30 – Frontend: OCR-Overlay Phase 5a+5b – Suchtreffer-Highlight & Copy/Select-Textebene
**Beschreibung:** Aufbauend auf dem Overlay-Grundgerüst aus Phase 4. `DocumentImagePreview.tsx` rendert jetzt drei Schichten über demselben `ImageBox`-Ergebnis (scale/offsetX/offsetY): (1) **Highlight-Layer** — Wörter, die zum Suchbegriff passen, in Amber (`bg-amber-400/40` + `ring-amber-500/70`, `mix-blend-multiply` / dark `mix-blend-screen`), immer sichtbar, unabhängig vom Debug-Toggle, `pointer-events-none`. (2) **Debug-Layer** — unverändert alle Wortrahmen bei aktivem Toggle, jetzt rein visuell (`pointer-events-none`, kein Hover-State mehr, das `title`-Tooltip „Wort · Konfidenz %" ist auf die Text-Spans gewandert). (3) **Text-Layer** — immer gerendert: pro Wort ein `<span>` mit echtem Textinhalt, `text-transparent`, `whitespace-pre`, `fontSize = word.height * scale`, `transformOrigin: 0 0`; ein `useLayoutEffect` misst nach dem Layout je Span `offsetWidth` und setzt `scaleX(zielbreite/offsetWidth)` (Verfahren analog zur pdf.js-Textebene), damit die Markierung optisch deckungsgleich zum Wort im Bild liegt. Zwischen den Wörtern liegen 0×0-Marker-Spans mit `" "` bzw. `"\n"` (bei Wechsel von line/par/block/page), damit Kopieren aus der Zwischenablage lesbaren Text mit Wortabständen und Zeilenumbrüchen liefert.
**pointer-events:** Nur die Wort-Spans der Textebene haben `pointer-events-auto`, alle Container bleiben `pointer-events-none`. Damit ist Markieren/Kopieren möglich, während die Bildfläche zwischen den Wörtern (Rechtsklick, „Bild speichern") unverändert erreichbar bleibt — genau das Verhalten einer PDF-Textebene. Highlight- und Debug-Layer sind reine Farbschichten und blockieren die Selektion nicht.
**Suchbegriff-Übergabe:** `DocumentsTable` bekommt die optionale Prop `highlightQuery`; ein `docHref(id)`-Helper hängt `?q=…` an alle vier Vorschau-Links (Grid-Kachel, Grid-Button, Zeilen-Eye-Icon, Zeilen-Button). Gesetzt wird sie ausschließlich von `SearchResults.tsx` (`highlightQuery={query}`), die Dokumentliste bleibt unverändert. `app/(app)/documents/[id]/page.tsx` liest `searchParams` (Promise, Next 16) aus und reicht `highlightQuery` an `DocumentPreview` weiter, das es an beide `DocumentImagePreview`-Stellen (Split + Vollbild) gibt. Zusatz: Der Zurück-Link zeigt bei gesetztem `q` auf `/search?q=…` („← Zurück zur Suche") statt auf `/documents`.
**Matching:** rein clientseitig, Manticore hat serverseitig bereits gefiltert. Query wird lowercase, Suchsyntax-Zeichen (`"'()*+-|@~^`) werden entfernt, an Whitespace getrennt, Tokens < 2 Zeichen verworfen; Treffer = `word.text.toLowerCase().includes(token)`. Ein kleines Amber-Label unter dem OCR-Toggle zeigt „n Suchtreffer hervorgehoben" bzw. „Keine Suchtreffer im Bild".
**Ergebnis:** Kein TypeScript-Build in der Sandbox. Manuell abgeglichen: `OcrWord`-Felder (text/left/top/width/height/confidence/page/block/par/line), `SearchResults`→`DocumentsTable`-Props, die vier Link-Stellen in `DocumentsTable.tsx`, beide `DocumentImagePreview`-Aufrufe in `DocumentPreview.tsx`, `searchParams`-Signatur analog zum bestehenden `params: Promise<…>`. Keine neuen npm-Pakete.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-30 – Frontend: OCR-Overlay Phase 4 – Overlay-Grundgerüst in der Dokumentvorschau
**Beschreibung:** Letzte Phase des ersten Anlaufs. Neuer API-Client `getDocumentOcrWords(documentId)` + Typ `OcrWord` (text/left/top/width/height/confidence/page/block/par/line) in `src/lib/api.ts`, direkt vor `AuditEntry` eingehängt, Muster identisch zu `getDocumentAuditLog`. Neue Client-Komponente `src/components/documents/DocumentImagePreview.tsx`: kapselt das bisherige `<img>` plus einen deckungsgleichen, absolut positionierten Overlay-Layer (`<div className="pointer-events-none absolute inset-0">` mit einer `<span>`-Box je Wort). `DocumentPreview.tsx` lädt die Wortliste einmal per `useEffect` — **nur wenn `isImage`**, PDFs laufen weiter über den `<iframe>` und bringen ihre eigene Textebene mit — und gibt sie an beide Vorschaustellen (Split-Layout und Vollbild-Overlay) weiter; der Sichtbarkeits-State liegt im Elternteil, der Toggle bleibt beim Wechsel in den Vollbildmodus also erhalten.
**Skalierung:** `<img>` nutzt `object-contain`, das gezeichnete Bild füllt die Elementbox also nicht zwingend aus. Umrechnung Original-Pixel → CSS-Pixel: `scale = min(clientWidth/naturalWidth, clientHeight/naturalHeight)`, Letterbox-Versatz `offsetX = (clientWidth - naturalWidth*scale)/2` (analog Y); je Box `left = offsetX + word.left*scale`, `width = word.width*scale` usw. Neu gemessen wird bei `onLoad` des Bildes und über einen `ResizeObserver` auf dem `<img>` — deckt Sidebar-Drag, Fensterresize, Responsive-Umbruch und Vollbildwechsel ab. Größenbegrenzungen (`max-h-[calc(100vh-9rem)]`) liegen bewusst am Rahmen-Div (`frameClassName`), nicht am `<img>`, damit Bild- und Overlay-Box identisch sind.
**Sichtbar/testbar:** Debug-Umschalter „OCR-Boxen (n)" (shadcn `Button`, `ScanText`-Icon, oben links in der Vorschau, gespiegelt zum Vollbild-Button oben rechts). Aktiv zeigt er alle Wortboxen mit dünnem `border-primary/60`-Rahmen und `bg-primary/5`; beim Hovern verstärkt sich der Rahmen und das native `title`-Tooltip zeigt „Wort · Konfidenz %" (kein Tooltip-Primitive im Projekt vorhanden, `title=` ist bestehende Konvention). Während des Ladens ist der Button deaktiviert („OCR lädt …"), ohne Koordinaten erscheint ein dezenter Hinweis. Keine neuen npm-Pakete.
**Offen:** Phase 5a (Suchtreffer-Highlight) und 5b (Copy/Select-Overlay) docken an derselben `ImageBox`-Berechnung an — bewusst nicht Teil dieses Auftrags.
**Ergebnis:** Kein TypeScript-Build in der Sandbox. Manuell abgeglichen: `apiFetch`-Signatur und Export-Muster in `src/lib/api.ts`, Props/Guard-Konventionen (`?? []` gegen Go-nil-slice) und die beiden ersetzten `<img>`-Stellen in `DocumentPreview.tsx` (Split + Vollbild), `Button`-Varianten aus `src/components/ui/button.tsx`.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-30 – Backend: OCR-Overlay Phase 3 – Lese-Endpoint `GET /api/documents/{id}/ocr-words`
**Beschreibung:** Dritte Phase des Text-Highlight/Overlay-Features (Phase 1 Tesseract-TSV-Koordinaten, Phase 2 Tabelle `ocr_words` + Persistenz sind live). Neue Store-Funktion `(*Store).ListOCRWords(ctx, documentID) ([]OCRWord, error)` in `internal/storage/ocr_words.go` — sortiert `ORDER BY page, block, par, line, id` (Lesereihenfolge fürs Zusammensetzen von Zeilen im Renderer), gibt via `make([]OCRWord, 0)` immer eine nicht-nil Slice zurück (bekanntes null-statt-[]-Muster). Neuer Handler `handleListDocumentOCRWords` in neuer Datei `internal/api/ocr_word_handlers.go` mit eigenem DTO `ocrWordResponse` (json: text/left/top/width/height/confidence/page/block/par/line; interne id/document_id werden nicht ausgeliefert). Route in `internal/api/server.go` direkt nach der `/audit`-Route registriert. Reiner Read, daher kein Audit-Eintrag — konsistent zu den übrigen Dokument-GET-Handlern.
**Tenant-Prüfung:** `ocr_words` hat bewusst keine `tenant_id`-Spalte, Zugriff ausschließlich über `document_id`. Der Handler übernimmt exakt das ACL-Muster von `handleDocumentAuditLog`/`handleGetDocumentFile`: zuerst `s.store.GetDocument(ctx, id, *sess.TenantID)` (filtert `WHERE id = $1 AND tenant_id = $2`), bei Fehler 404 „document not found" für unbekannte ID **und** Fremdmandant, erst danach `ListOCRWords`. Kein ungefilterter Zugriff auf `ocr_words` per ID. `ListOCRWords` ist im Doc-Kommentar explizit als „Caller muss Ownership vorher prüfen" markiert.
**Ergebnis:** Kein go build in Sandbox. Manuell gegen die Zieldateien geprüft: `GetDocument(ctx, id, tenantID) (*Document, error)` (storage/documents.go:326), `sessionFromCtx`/`sess.TenantID *int64`/`writeError`/`writeJSON`-Nutzung gegen document_note_handlers.go + audit_handlers.go, `s.logger.Error(...)`-Muster gegen document_handlers.go:144, Spaltennamen/Reihenfolge der SELECT-Liste gegen `initOCRWordsSchema` (inkl. gequotetem `"left"`) und Feldnamen von `storage.OCRWord` (Feld heißt `Word`, nicht `Text`), Store-Query-Muster `s.db.Query`+`rows.Close/Err` gegen documents.go. Für devops-deploy: bei Build-Fehler zuerst `internal/api/ocr_word_handlers.go` prüfen.
**Offen:** Frontend-Overlay (Phase 4) — bewusst nicht Teil dieses Auftrags.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-30 – Bugfix: Job-Queue-Reaper crasht an pgx-Typmismatch (interval-Parameter)
**Beschreibung:** Nach dem Deploy loggte der Reaper dauerhaft `job queue: reaper failed err="storage: find stale jobs: failed to encode args[0]: unable to encode 600 into text format for text (OID 25): cannot find encode plan"`. Ursache in `internal/storage/processing_jobs.go`: die Interval-Berechnung war als String-Konkatenation `($1 || ' seconds')::interval` geschrieben. Postgres leitet für den `||`-Operanden den Typ `text` ab, pgx bekommt aber ein `int64` (600 = job_timeout_seconds) und hat keinen Encode-Plan int64→text. Betroffen waren ZWEI Stellen: `ReapStaleJobs` (Zeile 314, `$1` = Timeout-Sekunden — der geloggte Fehler) und `MarkJobFailed` (Zeile 290, `$5` = Backoff-Sekunden — derselbe Bug, wäre beim ersten Job-Fehlschlag ebenfalls geknallt und hätte das Backoff-Requeue verhindert). Fix: beide Stellen auf arithmetisches `($n::double precision * interval '1 second')` umgestellt — expliziter Cast, kein Text-Umweg, Go-seitig bleibt `int64` unverändert. Kein Schema-/API-Change.
**Tenant-Prüfung:** `ReapStaleJobs` läuft bewusst mandantenübergreifend (kein `WHERE tenant_id`), selektiert aber `tenant_id` mit und reicht sie an `MarkJobFailed(…, sj.tenantID, …)` weiter — jede Folge-Mutation ist damit wieder `id + tenant_id`-scoped. Alle übrigen Queries der Datei (`ClaimNextJobForTenant`, `MarkJobDone`, `MarkJobFailed`, `RequeueJob`, `GetJobForDocument`, `SetDocumentProcessingStatus`) filtern durchgängig auf `tenant_id`; `TenantsWithDueJobs` liefert nur IDs. Kein Cross-Tenant-Leck gefunden.
**Ergebnis:** Kein go build in Sandbox. Geprüft: Signatur `ReapStaleJobs(ctx, timeout time.Duration, maxRetries int) (int, error)` gegen Aufruf `internal/jobqueue/jobqueue.go:242` (`d.cfg.ResolvedJobTimeout()`, `d.cfg.ResolvedMaxRetries()`), Parameter-Reihenfolge von `MarkJobFailed` ($1 jobID, $2 tenantID, $3 next, $4 jobErr, $5 backoff-Sekunden) gegen die Argumentliste, `config.JobQueueConfig.ResolvedJobTimeout() time.Duration` in config/config.go:281.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-30 – Backend: Mandanten-Job-Queue Phase 1+2 (stageDocument/processDocumentJob-Split + Dispatcher/Reaper)
**Beschreibung:** OCR lief bisher synchron im Upload-Request (Lastspitzen + blockierte Requests bei Batch-Scan/SFTP-Massenupload). Umgesetzt wie vorgegeben, ohne Redis, ohne separaten Dienst.
*Phase 1 – Schema + Split:* Neue Datei `internal/storage/processing_jobs.go` — Tabelle `processing_jobs` (id, tenant_id, document_id, status queued/processing/done/failed, retry_count, derive_title, error_message, next_attempt_at, started_at, created_at, updated_at, FK auf documents ON DELETE CASCADE) plus Spalte `documents.processing_status` mit **Default 'done'** (kein Backfill-Code, Default deckt Altbestand). `initProcessingJobsSchema` idempotent, zuletzt in `documents.go initSchema()` eingehängt. Funktionen: `CreateDocumentWithJob` (Dokument- und Job-INSERT **atomar in einer Transaktion**), `TenantsWithDueJobs`, `ClaimNextJobForTenant` (`FOR UPDATE SKIP LOCKED`), `MarkJobDone`, `MarkJobFailed` (exponentielles Backoff 2^retry_count Sekunden über `next_attempt_at`, ab max_retries dauerhaft `failed`), `ReapStaleJobs`, `RequeueJob` (für den späteren manuellen Retry), `GetJobForDocument`, `SetDocumentProcessingStatus`. `Document` um `ProcessingStatus` erweitert (nur Create/Get/List in documents.go füllen es; andere Selects lassen "" → wie 'done' behandeln). In `internal/api/document_handlers.go` wurde `storeUploadedFile` zum synchronen **stageDocument** (Inbox+SHA-256, Duplikat-Check, Move nach `store/`, chmod 0440 WORM, Thumbnail, atomarer Dokument+Job-INSERT, erster Index-Sync) — Signatur unverändert, dadurch laufen HTTP-Handler **und** SFTP-Watcher (`processInboxFile` → `StoreUploadedFile`) über denselben Cutover-Punkt. Neue exportierte Methode `(*Server).ProcessDocumentJob(ctx, tenantID, documentID, deriveTitle)` = asynchrone Hälfte (OCR, Titel-Ableitung, Belegdatum, `autoAssignTaxonomy`, `RunWorkflowsForDocument`, Index-Sync), fasst die WORM-Datei nur lesend an. Archivpfad `<yyyy>/<mm>` folgt jetzt dem Upload-Zeitpunkt (Belegdatum ist beim Staging noch unbekannt), Datei wird danach nie verschoben. `derive_title` am Job bewahrt das alte Verhalten "vorgegebener Titel wird nie von OCR überschrieben". Neue Audit-Konstante `EventDocumentProcessed` — Erfolg UND Fehlschlag werden protokolliert.
*Phase 2 – Queue:* Neues Paket `internal/jobqueue` (`jobqueue.go`): `Dispatcher` mit Worker-Pool (Goroutinen im Backend-Prozess), Round-Robin-Dispatch-Loop (pro Runde ein Job je Mandant, kein globales FIFO), Reaper-Loop (Intervall = halbes Job-Timeout, min. 5s) und `ProcessFunc`-Callback (Funktionswert statt Import, wie `sftpserver.UploadFunc`, gegen Import-Zyklus). Beim Shutdown wird ein bereits geclaimter, noch nicht gestarteter Job sofort requeued statt auf den Reaper-Timeout zu warten. Neue `config.JobQueueConfig` (`jobqueue:` — disabled/workers/poll_interval_ms/job_timeout_seconds/max_retries mit Resolved*-Defaults 2 Worker / 2s / 600s / 5), Verdrahtung in `cmd/archivdms/main.go` (`jobqueue.New(...).Start()` + `defer Stop()`). Doku `migrations/023_processing_jobs.sql`, README (Upload-Ablauf, Job-Queue-Abschnitt, Config-Keys) und `config/config.yml.example` aktualisiert.
**Ergebnis:** Kein go build in der Sandbox. Manuell gegen die Zieldateien geprüft: `Store.db`-Typ (pgxpool, `Begin(ctx)` wie in trash.go/custom_fields.go), `pgx.ErrNoRows`/`pgconn.PgError`-Nutzung wie in documents.go, Spalten-/Scan-Reihenfolge von `CreateDocument`/`GetDocument`/`ListDocuments` (überall `processing_status` vor `created_at` ergänzt, Scan-Ziel `&d.ProcessingStatus` an derselben Position), `s.ocr.Extract(ctx,path,mime)→(result{Text,Barcodes},err)`, `detectMimeType`, `titleFromOCRText`, `tenantScanTitleParams`, `extractDocumentDate`, `sameDate`, `autoAssignTaxonomy`, `RunWorkflowsForDocument(ctx,tenantID,doc,storage.WorkflowTriggerOnUpload)`, `UpdateDocumentOCRText/TitleAuto/Date`, `SyncIndex`, `audit.Entry`-Felder, `sftpserver.UploadFunc`-Signatur (unverändert), `srv.ProcessDocumentJob` vs. `jobqueue.ProcessFunc`. Für devops-deploy: falls Build-Fehler, zuerst `internal/storage/processing_jobs.go` und den umgebauten Block in `document_handlers.go` (ca. Zeile 780–1050) prüfen.
**Offen:** Phase 3 (Frontend-Badge "Wird verarbeitet…" + Retry-Button) inkl. der dafür nötigen HTTP-Endpunkte (`GET`/`POST /api/documents/{id}/processing`) — Store-Funktionen `GetJobForDocument`/`RequeueJob` liegen bereits bereit.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-18 – Frontend: Verwaltungs-UI für Aufbewahrungsregeln (Retention Rules)
**Beschreibung:** UI zur bereits gebauten (noch nicht deployten) Retention-Rules-API. `src/lib/api.ts` ergänzt um Typen `RetentionRule`, `RetentionRuleInput`, `RetentionPreview`, `RetentionTriggerType` und die 6 Fetch-Funktionen `listRetentionRules`/`createRetentionRule`/`updateRetentionRule`/`deleteRetentionRule`/`listRetentionEligible`/`previewRetention`. Neue Client-Island `src/components/retention-rules/RetentionRuleManager.tsx` (Muster: ClassificationTemplateManager) — Data-Table (Name, Dokumenttyp bzw. "Mandanten-Default"-Badge, Auslöser mit Referenz, Frist menschenlesbar, Rechtsgrundlage, Aktiv-Badge grün/grau), Anlegen/Bearbeiten-Dialog für alle Felder (Dokumenttyp-Select aus `/api/document-types`, Auslöser-Select, bedingtes Referenz-Feld bei fixed_date/event mit YYYY-MM-DD-Validierung, Jahre+Tage, Rechtsgrundlage, Checkboxen Freigabepflicht/DSGVO-Konflikt/Aktiv), Löschen mit Bestätigungsdialog. Neue Server-Component-Seite `src/app/(app)/settings/retention-rules/page.tsx` (Rollen-Gate domain_admin/superadmin über `/api/auth/me`, sonst Hinweistext), verlinkt als neue Karte in `src/app/(app)/settings/page.tsx`. Dashboard (`src/app/(app)/page.tsx`) um Kachel "Warten auf Löschfreigabe" erweitert (Zähler aus `GET /api/retention-rules/eligible`, warnfarbig bei >0, verlinkt auf die Regel-Seite; separater Fetch, Fehler blockieren das übrige Dashboard nicht).
**Ergebnis:** Kein npx tsc in Sandbox. Importe manuell gegen echte Dateien geprüft (CurrentUser/TaxonomyEntity/Document in api.ts vorhanden, alle ui-Komponenten dialog/table/input/label/button/badge/card existieren). Nil-Slice-Guards (`?? []`) durchgängig gesetzt.
**Status:** Bereit für Deploy (zusammen mit Backend-API).
**Projekt:** archivdms

---

## 2026-07-18 – Backend: HTTP-API für GoBD-Aufbewahrungsregeln
**Beschreibung:** REST-Handler für die bereits deployte Retention-Rules-Engine (`internal/storage/retention_rules.go`). Neue Datei `internal/api/retention_rule_handlers.go` im Muster von `classification_template_handlers.go` (Tenant-Scoping über `sess.TenantID`, Ownership im Store via id+tenant_id, Audit-Log bei Erfolg UND Fehlschlag). Endpunkte in `server.go routes()` verdrahtet: `GET /api/retention-rules` (Liste, s.auth), `POST /api/retention-rules` (s.authAdmin), `PATCH /api/retention-rules/{id}` (s.authAdmin), `DELETE /api/retention-rules/{id}` (s.authAdmin), `GET /api/retention-rules/eligible` (ListEligibleForDisposition, s.auth), `GET /api/retention-rules/preview` (Dry-Run PreviewRetentionRules, s.auth). Compliance-kritische Mutationen nur domain_admin/superadmin, Lesen breiter. Fehler-Mapping: `ErrRetentionRuleNotFound`→404, validateRetentionRule-Fehler (Prefix "retention rule: ")→400 mit Original-Message, sonst 500. Neue Audit-Konstanten `EventRetentionRuleCreate/Update/Delete` in `internal/audit/audit.go`. Preview-Response gegen nil-Slice geguardet (`[]` statt null).
**Ergebnis:** Kein go build in Sandbox. Manuell gegen Zieldateien geprüft: Store-Signaturen `ListRetentionRules(ctx,tenantID)`, `CreateRetentionRule(ctx,tenantID,RetentionRule)→(*RetentionRule,error)`, `UpdateRetentionRule(ctx,id,tenantID,RetentionRule)`, `DeleteRetentionRule(ctx,id,tenantID)`, `ListEligibleForDisposition(ctx,tenantID)→[]Document`, `PreviewRetentionRules(ctx,tenantID)→[]RetentionPreview`; `RetentionRule`-Felder (DocTypeID/Name/TriggerType/TriggerReference/RetentionYears/RetentionDays/LegalBasis/RequiresApprovalForDestroy/DSGVOConflict/Active/CreatedBy); auth.Session-Felder (UserID/Username/TenantID); writeJSON/writeError-Signaturen; s.auth/s.authAdmin/sessionFromCtx. Für devops-deploy: falls Build-Fehler, hier zuerst schauen.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-18 – Backend: GoBD-Aufbewahrungsregeln-Engine (retention rules / Disposition Schedules)
**Beschreibung:** Neue Aufbewahrungsfristen-Engine (Namens-/Modellreferenz Alfresco Disposition Schedule, NICHT dessen Architektur — bleibt single-binary/Postgres, keine neuen Dependencies). Neue Datei `internal/storage/retention_rules.go`: Tabelle `retention_rules` (tenant-scoped, `doc_type_id` NULL = tenant-weiter Default, `UNIQUE(tenant_id, doc_type_id)`), `RetentionRule`-Struct, sentinel `ErrRetentionRuleNotFound`, CRUD (`CreateRetentionRule`/`ListRetentionRules`/`GetRetentionRule`/`UpdateRetentionRule`/`DeleteRetentionRule`) im reminders.go-Stil, `initRetentionRulesSchema` idempotent + in `documents.go initSchema` NACH Taxonomy/Trash eingehängt. Frist-Berechnung: reine Funktion `computeRetainUntil(rule, doc)` (document_date/upload_date/fixed_date, event wird übersprungen = künftiger Erweiterungspunkt), Batch-Job `ApplyRetentionRules(ctx, tenantID)` (tenantID=0 = alle Mandanten mit aktiven Regeln) SETZT nur `documents.retain_until` wo NULL — löscht nie, verkürzt nie. Präzedenz doc-typ-spezifisch vor Default via `NOT EXISTS`-Subquery. Dry-run über `PreviewRetentionRules` (schreibt nicht). `ListEligibleForDisposition` = retain_until abgelaufen und noch nicht im Papierkorb (keine neue Statusspalte, Vernichtung läuft weiter über 007_trash.sql Vier-Augen-Flow). Neuer CLI-Cron `archivdms retention apply [-config] [-tenant N] [-dry-run]` (`cmd/archivdms/cmd_retention_apply.go`, in main.go dispatch+help verdrahtet). Neue Audit-Konstante `EventRetentionApplied` (Batch-Summary pro Lauf, kein Spam pro Dokument). Doku `migrations/022_retention_rules.sql` + README-Eintrag.
**Ergebnis:** Kein go build in Sandbox verfügbar. Manuell gegen Zieldateien geprüft: Document-Feldnamen (DocumentDate/CreatedAt/DocTypeID/RetainUntil/DeletedAt-über-Query) + Scan-Reihenfolge gegen CreateDocument/GetDocument, storage.Config{Dir,DSN}, storage.New, config.Load/Storage.StorePath/Database.DSN/Audit.ResolvedLogPath, audit.Entry-Felder, nullIfEmpty nicht benötigt (Struktur-Insert). initSchema-Kette (jeder Aufruf `if err := ...; err != nil { return err }`) intakt.
**Build-Fix:** Erster Deploy-Versuch scheiterte am Go-Build wegen Namenskollision `computeRetainUntil` (zwei Funktionen gleichen Namens in internal/storage). Fix: neue Funktion in `retention_rules.go` + alle 7 Aufrufer konsistent auf `computeRuleRetainUntil` umbenannt (sed über die ganze Datei, geprüft).
**Deploy 2026-07-18:** rsync + update.sh auf 192.168.1.204, Go-Build und Next.js-Build sauber ohne Fehler. `retention_rules`-Tabelle in Postgres via idempotentem initSchema bestätigt (`\d retention_rules`, alle Spalten/Indizes/FK vorhanden). CLI `archivdms retention apply -dry-run` getestet, Subcommand bekannt, lief ohne Fehler (0 Änderungen, keine aktiven Regeln). Backend + Frontend danach `active`, Ports 8080/3000/80/443 bestätigt.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Frontend: Notizen-Tab + gespeicherte Suchansichten (Saved Views)
**Beschreibung:** Anschluss der beiden fertigen Backends (document_notes, saved_views) ans Frontend. `src/lib/api.ts`: Typen + Fetch-Funktionen ergänzt — `DocumentNote` + `listDocumentNotes/createDocumentNote/deleteDocumentNote`, `SavedView`/`SavedViewFilters` + `listSavedViews/createSavedView/deleteSavedView`. Neuer vierter Tab "Notizen" in der Dokumentvorschau (`DocumentNotesTab.tsx`): lazy-geladene Notizliste (Autor, Zeitstempel, Text), Textarea+Button (Strg/Cmd+Enter) zum Hinzufügen, Löschen-Icon nur bei eigenen Notizen oder Admin (Spiegel der serverseitigen Regel via getCurrentUser). `DocumentPreview.tsx` TabsList auf grid-cols-4 erweitert + Tab eingehängt. Saved Views: `SavedViewsMenu.tsx` im Such-Header (`search/page.tsx`) — Dropdown zum Laden (navigiert /search mit serialisierten Filtern) inkl. Löschen je Eintrag, "Ansicht speichern"-Button mit Namensdialog. Bestehende shadcn/ui-Komponenten (Textarea/Button/Dialog/DropdownMenu/Input/Label) wiederverwendet, kein neues Design.
**Ergebnis:** Reines Frontend, kein go build nötig. Kein lokales TS-Toolchain verfügbar (npx tsc/local typescript nicht installiert) — Importe/Symbole manuell gegen echte ui-Exports und api.ts gegengeprüft. Nil-Slice-Guards (`?? []`) durchgängig gesetzt.
**Deploy 2026-07-18:** rsync + update.sh auf 192.168.1.204, next build (Turbopack) sauber ohne Fehler, kein Schema-Change. Backend + Frontend danach `active`, Ports 8080/3000/80/443 bestätigt.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Deploy: Titel-Vorlage-Feature live
**Beschreibung:** Klassifizierungsvorlagen können jetzt ein Titel-Muster (`title_template`, Go `text/template`, Platzhalter Korrespondent/Dokumenttyp/Belegdatum/Tags/OCR-Titel) setzen, plus tenant-weiter Default-Fallback (`tenants.default_title_template`) wenn eine Vorlage keins hat. Respektiert `title_manually_set` strikt, gemeinsamer Code-Pfad für manuelle Anwendung + Workflow-Trigger. Admin-UI in Klassifizierungsvorlagen-Verwaltung und Tenant-Settings ergänzt.
**Ergebnis:** Deploy erfolgreich, beide neuen Spalten (idempotent via initSchema) live verifiziert, Go+Next.js-Build sauber, Backend+Frontend aktiv.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Frontend: Titel-Vorlage-UI für Klassifizierungsvorlagen + Tenant-Default
**Beschreibung:** Frontend-Anschluss an das Backend-Titel-Vorlage-Feature. `src/lib/api.ts`: `TenantSettings` um `default_title_template`, `updateTenantSettings`-Patch-Typ um `default_title_template`, `ClassificationTemplate` + `TemplateInput` um `title_template` erweitert. `ClassificationTemplateManager.tsx`: neues Feld `titleTemplate` im Formular-State (leer→beim Speichern `title_template: ""` gesendet, damit Leeren auch löscht), Textarea "Titel-Vorlage (optional)" im Create/Edit-Dialog mit kompaktem Platzhalter-Hilfetext. `ScanTitleDateFormatForm.tsx`: Textarea "Standard-Titel-Vorlage" als Fallback neben Präfix/Datumsformat, Dirty-Tracking + Patch-Feld ergänzt. Seitenbeschreibung in `tenant-settings/page.tsx` angepasst.
**Ergebnis:** Kein npm build in Sandbox — Types manuell gegen bestehende api.ts-Signaturen geprüft.
**Status:** Code fertig, noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Titel-Vorlage für Klassifizierungsvorlagen + tenant-weiter Default-Fallback
**Beschreibung:** Klassifizierungsvorlagen können jetzt einen Dokumenttitel per Go-`text/template`-Muster ableiten, mit tenant-weitem Default als Fallback. Neue Spalte `classification_templates.title_template TEXT NULL` (idempotent in `initClassificationTemplatesSchema`) und `tenants.default_title_template TEXT NULL` (idempotent in `tenantstore` `initSchema`). Rendering in neuer Datei `internal/storage/classification_templates_title.go`: Platzhalter-Struct `{{.Correspondent}}/{{.DocumentType}}/{{.Belegdatum}}/{{.UploadDate}}/{{.Tags}}/{{.OCRTitle}}`, Custom-Func `dateFormat "02.01.2006" .Belegdatum` (leer bei Nulldatum), `Option("missingkey=zero")`. `ValidateTitleTemplate` (Parse ohne Execute) für API-Vorprüfung. Angewendet in `ApplyTemplate` NACH Tags/Feldern: Vorlagen-`title_template` zuerst, sonst Tenant-Default, sonst Titel unangetastet. Setzt nur bei `title_manually_set=false` und lässt das Flag false (erneute Anwendung nach Korrektur möglich); leeres/fehlerhaftes Render-Ergebnis → bestehender Titel bleibt (nie leer). Gilt für manuellen Endpoint UND Workflow-Trigger (gemeinsamer Pfad `ApplyTemplate`). API: Template-CRUD-Structs um `title_template` erweitert; Tenant-Default über bestehenden `GET/PUT /api/tenant-settings` (`default_title_template`, domain_admin-only, jeder Versuch audit-geloggt). Migrations-Doku `021_title_template.sql` + README-Eintrag.
**Ergebnis:** Kein `go build` in Sandbox — geprüfte Symbole gegen Zieldateien: `Store.db`, `GetDocument`, `ListDocumentTags`, `UpdateDocumentTitleAuto`, `GetTemplate`, `Document.{CorrespondentID,DocTypeID,DocumentDate,CreatedAt,Title,TitleManuallySet}`, `ClassificationTemplate.{TitleTemplate,DocTypeID}`, `Tenant.DefaultTitleTemplate`, neuer Helper `nullIfEmptyPtr`. Build-Verifikation steht auf dem Server via devops-deploy aus.
**Status:** Code fertig, noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Deskew-Feinschräglage: Border-Trick getestet und verworfen
**Beschreibung:** Nach OSD-Threshold-Fix meldete User weiter Schräglagenprobleme. Diagnose: ImageMagick `-deskew` erkennt bei eng zugeschnittenen Handyfotos (kein sichtbarer Scan-Hintergrundrand) strukturell keinen brauchbaren Winkel. Getesteter Fix: künstlicher weißer Rand vor `-deskew`, danach `-shave` — an den 4 Testdokumenten (Tenant 3, IDs 3/4/5/7) verifiziert.
**Ergebnis:** Negativ — Rand erzeugte einen konstanten Fake-Winkel (Artefakt statt echter Erkennung), OCR-Textqualität unverändert. Änderung verworfen, Code zurückgesetzt, Server wieder mit Original-Deskew deployt.
**Status:** Verworfen, kein weiterer Threshold-Tuning-Aufwand ohne neues Verfahren (unpaper/textzeilen-basiert).
**Projekt:** archivdms

---

## 2026-07-18 – Fix: OSD-Confidence-Threshold angehoben (Root Cause OCR-Inkonsistenz)
**Beschreibung:** Bestätigter Root Cause der "gleiche Dokumente, unterschiedliche OCR-Ergebnisse"-Meldung (siehe Diagnose-Eintrag oben): `minOSDConfidence` in `internal/ocr/ocr.go` stand bei `0.05`, praktische Werte lagen bei 4 fast identischen Testscans zwischen 0.06 und 5.57 — Rotationsentscheidung (90°/180°) war damit faktisch Zufall. Konstante auf `6.0` angehoben (knapp über dem beobachteten Störbereich), Kommentar mit dem neuen Befund aktualisiert. Info-Level-Logging bleibt für künftige Fälle bestehen.
**Ergebnis:** Deploy erfolgreich, Backend+Frontend aktiv.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Mobile Beleg-Erfassung: Crop-Schritt vor dem Upload (Canvas, ohne neue Dependency)
**Beschreibung:** `/scan`-Kamera-Capture lud das Foto bisher 1:1 hoch (Rand/Hintergrund inklusive). Neuen Crop-Schritt zwischen Aufnahme und Upload eingefügt: neue Komponente `src/components/scan/ImageCropper.tsx` zeigt das aufgenommene Foto mit ziehbarem Zuschneide-Rahmen (Body verschiebbar + 4 Eck-Handles), touch-first via Pointer Events (`touch-none`, `setPointerCapture`). Bestätigen mappt das Display-Rechteck zurück auf die native Pixelauflösung, zeichnet den Ausschnitt in ein Off-Screen-`<canvas>` und exportiert via `toBlob` ein JPEG-`File` (q=0.92), das statt des Originals in den bestehenden Upload-Pipeline-Flow geht. `MobileScanCapture.tsx` um State `cropSrc`/`cropName` erweitert; Aufnahme → Crop → Preview/Upload → Bestätigung, "Neu aufnehmen" bleibt in jedem Schritt erhalten. Keine neue npm-Abhängigkeit (bewusst selbstgebaut wegen Mobile-Bundle-Size).
**Ergebnis:** Build+Deploy auf 192.168.1.204 erfolgreich, Backend+Frontend aktiv, Feature live auf /scan.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – OCR-Inkonsistenz verifiziert: Root Cause OSD-Confidence-Threshold, Logger-Bug in reprocess-all gefixt
**Beschreibung:** 4 gemeldete Testdokumente (IDs 3,4,5,7, Tenant 3, "Eni Service-Station"-Cluster) über `documents reprocess-all -tenant 3` neu verarbeitet, Info-Level-Logs ausgewertet. Dabei Bug gefunden: `cmd/archivdms/cmd_documents_reprocess_all.go` verdrahtete `extractor.Logger` nie (im Unterschied zu main.go), daher liefen alle OCR-Debug/Info-Logs beim CLI-Reprocess-Pfad still ins Leere — jede bisherige Diagnose per reprocess-all war blind. 1-Zeilen-Fix deployt.
**Ergebnis:** Deskew-Winkel bei allen 4 Dokumenten praktisch identisch (~0°) — NICHT die Ursache. OSD-Rotation wird bei Confidence-Werten zwischen 0.06 und 5.57 angewendet (90°/180°) — der Threshold ist zu niedrig, Tesseract "rät" bei so niedriger Konfidenz quasi zufällig, das erklärt die Streuung zwischen fast identischen Scans. Hypothese aus [[project_ocr_inkonsistenz_deskew_osd]] bestätigt. Threshold NICHT geändert (nur Diagnose, wie angewiesen).
**Status:** Diagnose abgeschlossen, Logger-Fix live, Threshold-Entscheidung offen.
**Projekt:** archivdms

---

## 2026-07-18 – Aufräumen: alten Deploy-Pfad /root/archivdms-src gelöscht + Deploy
**Beschreibung:** Verwaisten alten Source-Ordner `/root/archivdms-src` auf 192.168.1.204 gelöscht (nur Altstand, keine Fremddaten), einziger aktiver Pfad ist jetzt `/opt/archivdms-src`. Anschließend regulärer Deploy: rsync + `update.sh`, Backend (Go 1.26.5) und Frontend (Next.js 16.2.10) sauber gebaut.
**Ergebnis:** Backend ✓ läuft, Frontend ✓ läuft. Keine Fehler.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Deploy: Kachel-/Thumbnail-Ansicht (Pfad-Klärung /opt vs /root)
**Vorab-Check:** Letzter db-migrator-Lauf hatte abweichend nach `/opt/archivdms-src` deployt statt dem üblichen `/root/archivdms-src`. Beide Verzeichnisse existierten parallel auf 192.168.1.204; `/opt/archivdms-src` war der neuere/führende Stand (DB-Migration bereits dort verarbeitet, `internal/` mit mehr Einträgen, DEVLOG bis 16:30). Die systemd-Units (`archivdms`, `archivdms-web`) zeigen bei ExecStart/WorkingDirectory nicht auf einen der src-Ordner, sondern auf die gebauten Artefakte in `/opt/archivdms/bin` bzw. `/opt/archivdms/web` — das eigentliche src-Verzeichnis wird nur beim `update.sh`-Lauf relevant.
**Entscheidung:** Deploy nach `/opt/archivdms-src` (statt `/root/archivdms-src`), um den bereits dort verarbeiteten DB-Migrationsstand nicht zu verwerfen bzw. zu divergieren.
**Deploy:** `rsync -az --delete` von lokal nach `root@192.168.1.204:/opt/archivdms-src/`, danach `bash update.sh` dort ausgeführt. Frontend-Build (Next.js/Turbopack) erfolgreich, Backend+Frontend neu eingespielt und gestartet.
**Ergebnis:** Backend ✓ aktiv (Port 8080), Frontend ✓ aktiv (Port 3000), nginx auf 80/443 unverändert. `systemctl is-active archivdms archivdms-web` → beide `active`.
**Projekt:** archivdms

---

## 2026-07-18 – Frontend: Kachel-/Thumbnail-Ansicht der Dokumente-Liste
**Beschreibung:** Neue Grid-/Thumbnail-Ansicht als Toggle-Option neben der bestehenden Data-Table. Umgesetzt direkt in `DocumentsTable.tsx` statt einer separaten `DocumentsGrid.tsx`-Komponente, damit Liste und Grid nachweislich dieselbe gefilterte/sortierte Dokumentenquelle (`documents`-Prop von `page.tsx`), dieselben aufgelösten Doc-Type-/Korrespondenten-Maps und dieselbe `tagsByDoc`-State-Ladung teilen — keine Duplizierung des Datenflusses.
**(1) View-Toggle (`DocumentsTable.tsx`):** Beschrifteter Umschalter „Ansicht: Liste / Kacheln" (shadcn-Buttons, `List`/`LayoutGrid`-Icons), Zustand pro Browser in `localStorage` (`archivdms:documents-view`), gleiches Muster wie der Breiten-Umschalter. Nach Mount nachgeladen (kein Hydration-Mismatch).
**(2) Kachel-Grid:** Responsives `grid-cols-[repeat(auto-fill,minmax(220px,1fr))]`, pro Dokument eine shadcn-Card (`rounded-lg border bg-card`) mit Vorschaubild (`aspect-[3/4]`), darunter kompakt Titel (inline editierbar via bestehendem `startEditTitle`), Doc-Typ-/Korrespondenten-/Tag-Badges, Belegdatum und Vorschau-Button.
**(3) Thumbnail-Loading (`DocumentThumbnail`):** `<img src="/api/documents/{id}/thumbnail">` (läuft über den next.config-Rewrite mit Session-Cookie, wie alle Downloads). Nutzt `doc.has_thumbnail`: ist es explizit `false`, wird die Bildanfrage übersprungen und direkt das `FileText`-Icon gezeigt (spart 404-Roundtrip); `undefined` fällt auf optimistischen Versuch mit `onError`-Fallback zurück.
**(4) API-Typ (`src/lib/api.ts`):** `Document`-Interface um optionales `has_thumbnail?: boolean` ergänzt.
**Prüfung (kein lokaler build):** Types gegen bestehendes `Document`-Interface und Component-Props geprüft, nur additive Änderungen.
**Geänderte Dateien:** `src/components/documents/DocumentsTable.tsx`, `src/lib/api.ts`.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-18 – Deploy: Layout-Rework + OCR-Logging live auf 192.168.1.204
**Beschreibung:** Deploy der beiden vorbereiteten Änderungen (Frontend Layout-Rework 2. Iteration + Backend OCR-Diagnose-Logs auf Info). rsync von `/home/sysops/Dokumente/Scripte/archivdms/` nach `root@192.168.1.204:/root/archivdms-src/`, danach `update.sh` ausgeführt. Go-Build, `npm install` (kein package-lock.json) und `next build` liefen ohne Fehler durch (TypeScript-Check grün, 22 Routen generiert).
**Ergebnis:** Backend ✓ läuft, Frontend ✓ läuft. Cron-Jobs (`archivdms-reminders`, `archivdms-classify-retrain`) und systemd-Units synchronisiert.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Frontend: Dokumente-Liste + Detailansicht luftiger (2. Iteration)
**Beschreibung:** User-Feedback (2. Runde): Liste und Detailansicht weiterhin „zu eng". Vier bestätigte Punkte (Zeilenhöhe, Spaltenbreite/abgeschnittener Text, Schriftgröße, Container-Breite) gezielt adressiert.
**(1) Container-Breite jetzt umschaltbare Benutzer-Option (`src/components/documents/DocumentsWidthLayout.tsx`, neu):** Statt fester Breite ein Client-Wrapper mit beschriftetem Umschalter (Breite: Dynamisch / Breit / Kompakt), persistiert pro Browser in `localStorage` (`archivdms:documents-width`, kein Backend). „Dynamisch" (`max-w-none`, Default) nutzt die volle Fensterbreite und wächst mit; „Breit" = `max-w-[1920px]`, „Kompakt" = `max-w-5xl` (alter Wert). `page.tsx` gibt das feste `<main>` auf und rendert stattdessen `<DocumentsWidthLayout>` (h1 + Umschalter im Header). Zum Testen der bevorzugten Breite.
**(2) Tabellen-Spacing/Typo (`src/components/documents/DocumentsTable.tsx`):** `<Table>` auf `text-[15px]` (vorher geerbt text-sm/14px). Header-Zellen `h-10 px-2` → `h-12 px-4 text-sm`. Alle Body-Zellen `p-2` → `px-4 py-4`, `TableRow` auf `align-top`. Titel-Spalte `min-w-[240px]`, Tags-Spalte `min-w-[160px]`, Dokumenttyp/Korrespondent/Erstellt `whitespace-nowrap` (kein Umbruch/Abschneiden mehr).
**(3) Aktions-Buttons (gleiche Datei):** Aktionsleiste `flex justify-end` → `flex flex-wrap justify-end`. Die 7 Buttons brechen jetzt um, statt die Zeile breitzuziehen und die Inhaltsspalten zu quetschen — Kernursache der „zu schmalen Spalten".
**(4) Detail-Seitenleiste (`src/components/documents/DocumentPreview.tsx`):** Breite MIN 280→340, DEFAULT 360→460, MAX 600→760 px. OCR-Inhalt-`<pre>` von `text-xs`→`text-sm`.
**(5) Detail-Felder (`src/components/documents/DocumentDetailsTab.tsx`):** Field-Karte `gap-1.5 p-2.5`→`gap-2 p-3.5`, Label `text-[10px]`→`text-xs`. Äußerer Container + 2-Spalten-Raster `gap-3`→`gap-4`. Belegdatum-Input `h-8`→`h-9`.
**Prüfung (kein lokaler build):** nur Tailwind-Klassenwerte + numerische Konstanten geändert, keine Symbol-/Typ-Änderungen; bestehende shadcn-Table/Field-Struktur beibehalten.
**Geänderte Dateien:** `src/app/(app)/documents/page.tsx`, `src/components/documents/DocumentsTable.tsx`, `src/components/documents/DocumentPreview.tsx`, `src/components/documents/DocumentDetailsTab.tsx`.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-18 – Backend: OCR-Diagnose-Logs auf Info (Deskew-Winkel + OSD-Confidence sichtbar)
**Beschreibung:** Follow-up zur ocr-specialist-Diagnose (4 identische Scans → unterschiedliche OCR-Ergebnisse, Verdacht: schwankender ImageMagick-Deskew-Winkel + OSD-Rotationsentscheidung bei knapper Confidence). Die dafür eingebauten Logs waren auf `slog.LevelDebug`, der Prod-Logger (`cmd/archivdms/main.go:72`) läuft fest auf `slog.LevelInfo` → unsichtbar. Kein neues Config-Flag, die Logs sind wertvoll genug für dauerhaft Info.
**(1) `deskewImage` (~Z.452):** Erfolgs-Log `"ocr deskew applied"` (`angle_deg`, threshold, src/dst-Bytes) von Debug auf Info.
**(2) `rotateForOSD` (~Z.554):** Bisher keinerlei Logging. Ergänzt drei Info-Logs: `"ocr osd rotation applied"` (rotate_deg, confidence, rotated=true), `"ocr osd rotation skipped (confidence below threshold)"` (rotate_deg, confidence-String cm[1], min_confidence, rotated=false) und `"ocr osd rotation failed"` bei rotateImageFile-Fehler. So pro Dokument sichtbar, welcher Deskew-Winkel und welche OSD-Confidence ermittelt wurde und ob physisch rotiert wurde.
**Signatur-Prüfung (kein lokaler go build):** `(*Extractor).log(level slog.Level, msg string, args ...any)` existiert (Z.82), nil-sicher; `minOSDConfidence` float-Konstante als `any`-Arg unkritisch; keine neuen Imports nötig (`log/slog`, `strconv` bereits vorhanden). devops-deploy: nur `internal/ocr/ocr.go` betroffen.
**Geänderte Dateien:** `internal/ocr/ocr.go`.
**Status:** Bereit für Deploy.
**Projekt:** archivdms

---

## 2026-07-18 – Backend: OCR robuster – MIME-Erkennung mit Magic-Bytes + Deskew-Logging
**Beschreibung:** Zwei Fixes aus ocr-specialist-Diagnose. (1) Echter Bug: falscher/generischer Content-Type verhinderte OCR still. (2) Deskew lief bisher komplett stumm — keine Kalibrier-Grundlage.
**(1) MIME-Erkennung (`internal/api/document_handlers.go`, `detectMimeType`):** Signatur erweitert auf `detectMimeType(contentType, ext, filePath string)`. Ein deklarierter Content-Type wird nur noch verbatim übernommen, wenn er in der neuen Whitelist `ocrSupportedMimeTypes` steht (pdf/jpeg/png/tiff/gif/webp/bmp — genau die Typen, auf die `ocr.Extract` dispatcht). Sonst (application/octet-stream, leer, Müll): neue `sniffMimeType(filePath)` liest erste 512 Bytes via `io.ReadFull` + `http.DetectContentType`; nur ein Treffer aus der Whitelist wird genutzt, sonst Fallback auf die (um gif/webp/bmp erweiterte) Extension-Whitelist wie bisher. So bekommt `ocr.Extract` bei falsch gelabelten, aber OCR-baren Uploads den korrekten Typ statt `unsupported mime type`.
**(2) Sichtbarer Rest-Fehler:** Der bisher nur in `warn` geschluckte OCR-Fehler wird an der Upload-Aufrufstelle (~Z.750) jetzt zusätzlich mit `s.logger.Warn(..., declared_content_type, ext, resolved_mime, err)` geloggt — bleibt für wirklich unbekannte Dateitypen als Warnung sichtbar statt still ocr_text="".
**(3) Weitere Aufrufer angepasst** (Signaturänderung): Download-Serving `document_handlers.go` Z.150 + `public_share_handlers.go` Z.132 (Storage-Pfad übergeben → korrekterer Content-Type beim Download via Sniffing), Reprocess Z.359 (doc.StoragePath übergeben).
**(4) Deskew-Logging (`internal/ocr/ocr.go`, `deskewImage`):** Neues Feld `Extractor.Logger *slog.Logger` + nil-sichere Helper-Methode `(*Extractor).log(level, msg, args...)`. In `deskewImage` jetzt: Warn bei fehlendem convert-Binary, Warn bei cmd.Run-Fehler (unterscheidet Timeout via `cctx.Err()==DeadlineExceeded`), Warn bei leerer/fehlender Ausgabe, Debug bei Erfolg mit `angle_deg` (aus `convert ... -print "%[deskew:angle]\n"`-stdout, "unknown" wenn leer) + src/dst-Bytes. Threshold (40%) NICHT geändert. `main.go`: `extractor.Logger = logger` nach `ocr.New(...)`.
**Signatur-Prüfung (kein lokaler go build – go nicht in Sandbox):** geprüft: `slog.Logger.Log(ctx, Level, msg, ...any)` (stdlib), `http.DetectContentType([]byte) string` (stdlib), `io.ReadFull` + Sentinels `io.ErrUnexpectedEOF`/`io.EOF`, `os.Open`; Imports vorhanden: api hat `net/http`/`os`/`io`/`strings`, ocr.go neu `log/slog`; alle 4 detectMimeType-Aufrufer auf 3 Args umgestellt (grep bestätigt keine 2-Arg-Reste); `rs.StoragePath()` + `doc.StoragePath` existieren bereits (vorher genutzt). devops-deploy: falls rot, zuerst neue 3-Arg-Signatur + `log/slog`-Import prüfen.
**Geänderte Dateien:** `internal/api/document_handlers.go`, `internal/api/public_share_handlers.go`, `internal/ocr/ocr.go`, `cmd/archivdms/main.go`.
**Deploy 2026-07-18:** rsync + `update.sh` auf root@192.168.1.204 — Go-Backend-Build grün (Server-`go build`, keine lokale Go-Toolchain vorhanden), Next.js-Frontend-Build grün. Beide Dienste danach `active`, sauberer Neustart ohne Fehler im Journal (`systemctl is-active archivdms archivdms-web`, `journalctl -u archivdms -n 20`). Backend ✓ läuft, Frontend ✓ läuft.
**Status:** Deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Backend: CLI `documents reprocess-all` (sequenzieller Bulk-Reprocess Altbestand)
**Beschreibung:** Neues Subcommand `archivdms documents reprocess-all [-config PATH] [-tenant N] [-dry-run] [-delay-ms N]`, um die neue robustere Datumserkennung + Naive-Bayes-Klassifizierung + Dedupe auf ALLE bereits archivierten Dokumente aller Mandanten anzuwenden. Bewusst als CLI-One-Shot analog `classify retrain`/`reindex`, NICHT als HTTP-Fan-out: es gibt noch keine Job-Queue, Tesseract-OCR ist CPU/IO-intensiv, System läuft im LXC — ein paralleler Bulk-Reprocess würde genau die Lastspitze erzeugen, die die geplante Mandanten-Queue verhindern soll.
**(1) Kein Logik-Duplikat:** Die bisher inline in `handleReprocessDocument` steckende Pipeline (OCR-Extract → ocr_text/Titel/Belegdatum-Update → additive autoAssignTaxonomy → on_upload-Workflows → Audit) wurde in die exportierte Methode `Server.ReprocessDocument(ctx, tenantID, id int64, actor string) (*storage.Document, error)` ausgelagert. HTTP-Handler und CLI rufen exakt dieselbe Methode. WORM-Datei wird nie angefasst, nur abgeleitete Metadaten.
**(2) Sentinel-Fehler:** `api.ErrReprocessNotFound` / `api.ErrReprocessOCRUnavailable` — Handler mappt auf 404/503, sonst 500; CLI loggt und zählt. Audit (`EventDocumentReprocessed`, Success true/false) passiert innerhalb der Methode mit `actor` (HTTP: Username, CLI: `cron:reprocess-all`), GoBD-Trail bleibt vollständig.
**(3) Sequenziell + Pause:** Ein Dokument nach dem anderen, `-delay-ms` (Default 500ms) Pause zwischen Dokumenten (nicht nach dem letzten). Fortschritt alle 10 Dokumente + am Ende. Per-Dokument-Fehler wird geloggt+gezählt, bricht NIE ab. Abschluss-Zusammenfassung verarbeitet/fehlgeschlagen; Exit 1 bei mind. einem Fehler.
**(4) `-dry-run`:** Nur Zählung der betroffenen Dokumente (via `ListDocuments(ctx, tid, nil)` = alle Tenant-Dokumente, ACL-frei), keine Seiteneffekte. `-tenant N` filtert auf einen Mandanten.
**Neue Dateien:** `cmd/archivdms/cmd_documents_reprocess_all.go`. **Geänderte Dateien:** `internal/api/document_handlers.go` (Refactor Handler→Methode + Sentinels), `cmd/archivdms/main.go` (Dispatch `documents` + Hilfetext).
**Signatur-Prüfung (kein lokaler go build – go nicht in Sandbox):** geprüft gegen Definitionen: `api.New(config.APIConfig, *storage.Store, *auth.Manager, *userstore.Store, *audit.Logger, *slog.Logger)`, `auth.New(*userstore.Store, string)`, `ocr.New(tess, pdftoppm, langs string, timeout, tmpDir)` + Feld `Extractor.TesseractPath`, `audit.New(dsn, logpath, logger)`, `Store.ListDocuments(ctx, tenantID int64, aclUserID *int64) ([]Document, error)`, `Document.ID int64`, `audit.Entry{Username string, TenantID *int64, DocumentID string, Success bool, Detail string}`, `cfg.API` = `config.APIConfig`. devops-deploy: falls Build rot, zuerst diese Symbole prüfen.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-18 – Backend: Belegdatum-Extraktion robuster (Keyword-Scoring, mehr Formate, Plausibilität)
**Beschreibung:** Vorbereitung Buchhaltungs-Anbindung — Belegdatum muss verlässlich das echte Ausstellungs-/Rechnungsdatum treffen, nicht irgendein Datum (Absenderzeile, Copyright-Fußzeile). Bleibt bewusst regelbasiert/deterministisch (kein ML/NLP), GoBD-nachvollziehbar.
**(1) Mehr Formate:** neben DD.MM.YYYY / DD.MM.YY / YYYY-MM-DD jetzt zusätzlich DD/MM/YYYY (inkl. DD/MM/YY) und ausgeschriebene deutsche Monatsnamen ("15. März 2026", "15. Mär. 2026") via `dateGermanMonths`-Map (Voll- + Kurzform inkl. maerz/mrz/sept). Regex `(?i)` mit vier Alternationen, benannte Gruppen.
**(2) Plausibilität:** Jahr nicht vor 1990 (`dateMinYear`, war 2000), nicht in Zukunft über heute + 2 Tage (`dateFutureToleranceDays`, Zeitzonen-Toleranz), Kalender-Check gegen normalisierte Fake-Tage (31.02.). Filtert Copyright-Jahre/Zufallstreffer.
**(3) Keyword-Nähe-Scoring:** In ±40-Zeichen-Fenster (`dateWindowRadius`) um jedes Datum wird nach Signalwörtern gesucht (`dateKeywords`, absteigend sortiert: rechnungsdatum/belegdatum/ausstellungsdatum/"rechnung vom"/"beleg vom" = 0.9, datum = 0.75, vom = 0.55; ohne Kontext `dateScoreNoContext` = 0.4). Höchster Keyword-Score im Fenster gewinnt.
**(4) Mehrfachkandidaten:** alle Treffer werden bewertet, höchster Score gewinnt; bei Gleichstand frühestes Vorkommen (strikt `>`), da Dokumentkopf meist Ausstellungsdatum.
**Neue Signatur:** `extractDocumentDateWithScore(ocrText string) (time.Time, float64, bool)` liefert Datum+Confidence. `extractDocumentDate(ocrText) *time.Time` bleibt unverändert (delegiert) — Aufrufer document_handlers.go (Z.374 Reprocess, Z.740 Upload) müssen NICHT angepasst werden. Storage-Duplikat: neue Funktion `documentDateFromTextWithScore(ocrText) (time.Time, float64, bool)`; alte `documentDateFromText` + Konstante `heuristicDocumentDateScore` (fixer 0.7) ENTFERNT.
**Score-Anbindung:** `GenerateHeuristicSuggestions` (metadata_suggestions.go) setzt `document_date_candidate.score` jetzt aus dem berechneten Score statt fixem 0.7.
**Geänderte Dateien:** `internal/api/date_extraction.go`, `internal/storage/document_date.go` (byte-synchrone Logik-Duplikate wie bisher), `internal/storage/metadata_suggestions.go`.
**Signatur-Prüfung (kein lokaler go build – go in Sandbox nicht installiert):** manuell geprüft: `DocumentDateCandidate.Score float64` (metadata_suggestions.go:59) passt zu `sc` (float64); keine Rest-Referenzen auf entfernte `heuristicDocumentDateScore`/`documentDateFromText` (grep leer); `extractDocumentDate`-Aufrufer nutzen weiter `*time.Time`; storage importiert jetzt zusätzlich `strings`, api ebenso. devops-deploy: falls Build rot, zuerst `strings`-Import + `FindAllStringSubmatchIndex`-Nutzung und die entfernten Symbole prüfen.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Frontend: Details-Tab der Dokumentvorschau überarbeitet (Belegdatum + straffere Bedienung)
**Beschreibung:** Umsetzung des User-Feedbacks „lässt sich schlecht drin arbeiten“ am Details-Tab der Dokumentvorschau plus Anbindung des neuen Belegdatum-Felds.
**(1) Belegdatum-Feld:** Neue editierbare Sektion. `<input type="date">` im bestehenden shadcn-`Input`-Stil (kein neues Calendar-Widget eingeführt, da bislang keins im Projekt genutzt — hält Abhängigkeiten/Optik konsistent). Ändern schreibt sofort per `setDocumentDate` (`PUT /api/documents/{id}/document-date`), leeren löscht (`null`); zusätzlich ein `X`-Button zum expliziten Entfernen. Vorschlags-Chip aus `suggestion.document_date_candidate` wird NUR angezeigt, wenn noch kein `document_date` gesetzt ist, mit Score-Prozent und „Übernehmen“-Klick wie bei Tags (inkl. `markSuggestionReviewed`).
**(2) Layout gestrafft:** Lose `<section>`-Blöcke ersetzt durch ein kompaktes 2-Spalten-Raster für die kurzen Felder (Belegdatum/Dokumenttyp/Korrespondent/Erstellt) — halbiert die Scroll-Strecke im üblichen Sichtungsfall. Titel, Akte und Tags bleiben volle Breite (können lang/mehrzeilig sein). Felder sitzen in leichten Karten-Rahmen (`rounded-md border bg-card/40`) mit kleinem Uppercase-Label, konsistent dark-mode-tauglich.
**(3) Weniger Klicks:** Bestätigt, dass die Command-Popover-Picker (Dokumenttyp/Korrespondent/Akte/Tag) bereits direkt beim `onSelect` speichern — kein separater Apply-Schritt. Für das Datum ist die Übernahme ebenfalls Ein-Klick (onChange bzw. Chip).
**(4) OCR-Kerninfo im Details-Tab:** Das aus dem Text erkannte Belegdatum wird direkt als „Erkannt“-Chip beim Datumsfeld sichtbar — kein Wechsel in den Inhalt-Tab nötig, um das zu prüfen/übernehmen. Bewusst minimal gehalten (Betrag o.ä. liegt nicht strukturiert vor → kein Overengineering).
**Refactor:** Details-Tab-Logik (Titel/Datum/Typ/Korrespondent/Akte/Tags/Vorschläge, ~430 Zeilen) aus `DocumentPreview.tsx` (war 1118 Z.) in neue Komponente `DocumentDetailsTab.tsx` ausgelagert; `DocumentPreview` behält Layout/Resize/Fullscreen/Tabs/Reprocess/Verlauf/Inhalt. Beide Dateien jetzt deutlich unter 700 Z.
**API-Typen (`src/lib/api.ts`):** `Document.document_date?: string | null` ergänzt; neue Fn `setDocumentDate(id, date|null)`; neues Interface `DateCandidate {date, score}`; `SuggestionPayload.document_date_candidate?: DateCandidate | null`.
**Neue Dateien:** `src/components/documents/DocumentDetailsTab.tsx`.
**Geänderte Dateien:** `src/lib/api.ts`, `src/components/documents/DocumentPreview.tsx`.
**Build-Prüfung:** Kein lokaler `next build`/`tsc` möglich (kein `node_modules`). Typen manuell gegen bestehende Interfaces abgeglichen; Imports in DocumentPreview auf tatsächlich noch genutzte reduziert (Badge/Button/Tabs/RotateCw/Maximize2/Minimize2/useRouter/toast/getDocumentAuditLog/reprocessDocument).
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Feature: Belegdatum (document_date) manuell editierbar + als Suggestion-Chip
**Beschreibung:** Das bereits vorhandene, aus dem OCR-Text erkannte Beleg-/Rechnungsdatum (`documents.document_date`, Spalte + Extraktion `extractDocumentDate` + Auto-Set bei Upload/Reprocess waren schon live) wird jetzt (1) manuell setz-/löschbar und (2) als Vorschlags-Chip in der Suggestion-Pipeline angeboten.
**(1) Manueller Endpunkt:** `PUT /api/documents/{id}/document-date` (`handleSetDocumentDate` in `internal/api/document_handlers.go`, Route in `server.go`). Body `{"document_date":"2024-12-31"}` setzt, `{"document_date":null}` (oder leerer String) löscht das Datum. Ownership-Check via `GetDocument(ctx,id,tenantID)` (WHERE tenant_id, kein IDOR). Nutzt bestehenden Store `UpdateDocumentDate` (verschiebt die WORM-Datei NICHT, nur Metadaten-Spalte). Audit: `EventDocumentUpdate` bei Erfolg UND Fehlschlag (invalid_format / not_found / update_failed). Antwort: aktualisiertes `Document`-JSON.
**(2) Suggestion-Chip:** `SuggestionPayload` (`internal/storage/metadata_suggestions.go`) um optionales `document_date_candidate` (`*DocumentDateCandidate{Date string "YYYY-MM-DD", Score float64}`) erweitert. `GenerateHeuristicSuggestions` befüllt es NUR wenn das Dokument noch kein `document_date` hat und der OCR-Text ein plausibles Datum enthält; feste Confidence `heuristicDocumentDateScore = 0.7`. Extraktion `documentDateFromText` in neuer Datei `internal/storage/document_date.go` — bewusste Duplikat der api-Heuristik (storage darf internal/api nicht importieren, sonst Import-Zyklus; gleiche Duplikat-Praxis wie heuristicTitle vs. titleFromOCRText, byte-gleiche Regex). Frontend kann das Datum via obigem PUT übernehmen.
**Neue Dateien:** `internal/storage/document_date.go`.
**Geänderte Dateien:** `internal/api/document_handlers.go` (Handler + Request-Typ), `internal/api/server.go` (Route), `internal/storage/metadata_suggestions.go` (Payload-Feld + Befüllung).
**Signatur-Prüfung (kein lokaler go build – go in Sandbox nicht installiert):** manuell gegen echte Definitionen geprüft: `Store.UpdateDocumentDate(ctx, id, tenantID int64, date *time.Time) error` (documents.go:396) — nil löscht; `Store.GetDocument(ctx,id,tenantID) (*Document,error)`; `Document.DocumentDate *time.Time json:"document_date,omitempty"` (schon vorhanden, GET liefert es bereits); `audit.EventDocumentUpdate = "document_update"` (audit.go:31, bisher ungenutzt, passt); `audit.Entry`-Felder (EventType/Username/TenantID/DocumentID/Success/Detail) wie in Nachbar-Handlern. `SuggestionPayload` neues Feld ist Pointer+omitempty → die 3 anderen Konstruktionsstellen (ollama/naivebayes/scan) brechen nicht (default nil). document_handlers.go importiert `time`/`strings`/`errors`/`encoding/json` bereits. document_date.go importiert regexp/strconv/time. devops-deploy: falls Build rot, zuerst UpdateDocumentDate-Signatur und EventDocumentUpdate-Konstante prüfen.
**Frontend-Übergabe:** JSON-Feld am Dokument = `document_date` (ISO `YYYY-MM-DD`, fehlt/null wenn ungesetzt). Setzen/Löschen: `PUT /api/documents/{id}/document-date` Body `{"document_date":"YYYY-MM-DD"|null}`. Suggestion-Feld im Heuristik-Payload: `suggestion.document_date_candidate` (`{date, score}`).
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Feature: ML-Klassifizierung Phase 5 (Frontend) – Provider-Badge + "Warum vorgeschlagen?"-Popover an Vorschlags-Chips
**Beschreibung:** Erweitert die bestehende Vorschlags-UI in der Dokumentvorschau (`DocumentPreview.tsx`, Reiter „Details“) um Provider-Transparenz für den neuen `naive_bayes`-Provider (Phase 2-4). **(1) Provider-Badge:** Jeder Vorschlagslauf hat genau einen Provider — neben jeder „Vorschläge:“/„Vorschlag:“-Zeile (Titel/Tags/Dokumenttyp/Korrespondent) erscheint nun ein kleines beschriftetes `Badge` (`variant="secondary"`, sprechendes Label statt Icon: `heuristic`→„heuristisch“, `ollama`→„KI“, `naive_bayes`→„gelernt“; unbekannte Provider fallen auf den Rohwert zurück). Ein wiederverwendetes JSX-Element `providerBadge`, kein Duplizieren. **(2) Erklärungs-Popover:** Bei `provider === 'naive_bayes'` und vorhandenem `explanation`-Array (Top-Tokens der Klassenentscheidung) steht neben jedem Kandidaten-Chip ein `Info`-Icon-Button (`lucide-react`), der ein `Popover` „Warum vorgeschlagen?“ mit den ausschlaggebenden Begriffen als Badge-Liste öffnet — GoBD-Nachvollziehbarkeit. Der Popover-Trigger steht NEBEN dem Chip-Button (eigenes `<span className="inline-flex">`), nicht darin (kein `<button>` in `<button>`). Titel-Vorschlag hat keine Kandidaten-Erklärung (NB dichtet keinen Titel). Bestehender shadcn/Tailwind-Stil beibehalten (kein fremdes Design-Vorbild). **API-Typ:** `SuggestionCandidate` in `src/lib/api.ts` um optionales `explanation?: string[] | null` erweitert (nur naive_bayes gesetzt; heuristic/ollama fehlend).
**Geänderte Dateien:** `src/lib/api.ts`, `src/components/documents/DocumentPreview.tsx`.
**Build-Prüfung:** Kein lokaler `next build` möglich (kein `node_modules` in dieser Umgebung). Typen manuell gegen die bestehenden API-Response-Interfaces abgeglichen: `MetadataSuggestion.provider: string`, `SuggestionPayload.*_candidates: SuggestionCandidate[]`, neues optionales `explanation` bricht bestehende Nutzung nicht. `Info` neu aus `lucide-react` importiert; `Popover*`/`Badge` waren bereits importiert.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Feature: ML-Klassifizierung Phase 2-4 – Naive-Bayes-Textklassifikator (LLM-frei), Suggestion-Integration, Retraining-CLI/Cron
**Beschreibung:** Ergänzt die bestehende Regel-Engine (`internal/matching`) um einen eigenständigen, dependency-freien multinomialen Naive-Bayes-Klassifikator, der auch OHNE Ollama/LLM saubere Ergebnisse liefern soll. Phase-1-Schema (`ml_classifier_tokens`/`_classes`/`_runs`, `assigned_via`-Provenance-Spalten) war bereits live.
**(Phase 2 – Kern)** Neues Package `internal/classifier` (`naivebayes.go`). Spricht Postgres über eine kleine `DB`-Schnittstelle (Begin/Query/QueryRow/Exec), die `*pgxpool.Pool` erfüllt — importiert NICHT `internal/storage` (storage importiert classifier, kein Zyklus). **Tokenizer:** Unicode-Kleinschreibung; ein Token = maximaler Lauf aus Buchstaben+Ziffern (Punkte/Slashes/Whitespace trennen), damit strukturierte IDs wie IBAN-Fragmente/Rechnungsnummern (`de89370400…`) als EIN Token erhalten bleiben statt in Einzelziffern zerschreddert zu werden. Filter: deutsche Stopwortliste (gängige Funktionswörter + Boilerplate wie gmbh/seite/www), Tokenlänge 2..40 Runen, rein numerische Tokens < 4 Runen verworfen (Seitenzahlen/Trivialbeträge) aber längere numerische Läufe BEHALTEN (Kunden-/Rechnungsnummern, Jahre wiederholen sich = Signal), gemischte Buchstaben-Ziffern-Tokens immer behalten. **Smoothing:** Laplace/Add-One (alpha=1) mit Vokabulargröße V pro Tenant/Kind — verhindert Null-Wahrscheinlichkeiten ohne Überanpassung bei kleinem Vokabular. **Train(ctx, tenantID, kind):** Full-Rebuild (DELETE+CopyFrom in einer Transaktion pro Tenant/Kind), liest Trainingsdokumente nur mit `assigned_via IN ('manual','rule')` (NICHT `ml_accepted` — Modell soll eigene Vergangenheitsraten nicht verstärken), `deleted_at IS NULL`, Text = title+ocr_text; Klassen mit < 20 Dokumenten (`MinDocsPerClass`) werden verworfen (kein Fehler). **Predict(ctx, tenantID, kind, text):** Log-Likelihood je Klasse + Softmax (max-subtrahiert, numerisch stabil) → Posterior-Wahrscheinlichkeiten in [0,1], damit ein einziger Konfidenz-Floor (`SuggestionFloor = 0.55`, analog heuristischem suggestionFloor) angewendet werden kann; Top-5, plus Explanation: die bis zu 5 Eingabe-Tokens mit größter frequenzgewichteter Log-Marge Gewinner-vs-stärkster-Konkurrent.
**(Phase 3 – Integration)** `Store.GenerateNaiveBayesSuggestions(ctx, documentID, tenantID, requestedBy)` (`internal/storage/metadata_suggestions_naivebayes.go`), analog GenerateOllamaSuggestions: baut title+ocr, klassifiziert alle drei Kinds, mappt Klassen-IDs→Namen via ListTaxonomyEntities, schließt bereits zugewiesene Entities aus, verwirft Klassen deren Entity seit Training gelöscht wurde, speichert als `metadata_suggestions`-Zeile mit `provider='naive_bayes'` in derselben `SuggestionPayload`-Struktur (Title bleibt nil — NB klassifiziert nur, dichtet keinen Titel). Kein Silent-Fallback: echte Fehler werden zurückgegeben. API-Handler `handleGenerateSuggestions` um `case "naive_bayes"` erweitert (`?provider=naive_bayes`). Store-Wrapper `TrainClassifier`/`StartMLRun`/`FinishMLRun` + `MLClassifierKinds` in `internal/storage/ml_classifier_train.go` (kapseln `s.db` für classifier + `ml_classifier_runs`-Schreibzugriff).
**(Phase 4 – CLI/Cron)** `cmd/archivdms/cmd_classify_retrain.go`, Subcommand `archivdms classify retrain [-config PATH] [-tenant N] [-dry-run]`, registriert in main.go neben `reindex`. Iteriert Tenants × Kinds, eine `ml_classifier_runs`-Zeile pro Tenant (running→completed/failed/skipped_insufficient_data), ein Audit-Event `EventMLRetrain` pro Tenant (Success + per-Kind-Detail). Ein Fehler pro Tenant/Kind ist isoliert und blockiert weder andere Kinds noch andere Tenants. `-dry-run` schreibt weder Modell noch Run/Audit. Neues Audit-Event `EventMLRetrain = "ml_classifier_retrain"` in `internal/audit/audit.go`.
**Ergebnis:** Vollständige LLM-freie ML-Klassifizierung: trainierbar per Cron, abrufbar über die bestehende Suggestion-Pipeline (`provider=naive_bayes`), GoBD-nachvollziehbar (Runs-Tabelle + Audit-Log). Kein neues Schema nötig (Phase-1-Tabellen genügen).
**Neue Dateien:** `internal/classifier/naivebayes.go`, `internal/storage/metadata_suggestions_naivebayes.go`, `internal/storage/ml_classifier_train.go`, `cmd/archivdms/cmd_classify_retrain.go`.
**Geänderte Dateien:** `internal/audit/audit.go` (EventMLRetrain), `internal/api/metadata_suggestion_handlers.go` (Provider-Case), `cmd/archivdms/main.go` (classify-Dispatch + Hilfe).
**Signatur-Prüfung (kein lokaler go build – go in Sandbox nicht installiert):** manuell gegen echte Definitionen geprüft: `*pgxpool.Pool` erfüllt classifier.DB (Begin→pgx.Tx, Query, QueryRow, Exec→pgconn.CommandTag); `pgx.Tx.CopyFrom`/`Commit`/`Rollback`/`Exec` genutzt. `Store.GetDocument(ctx,id,tenantID) (*Document,error)`, `ListDocumentTags(...) ([]TaxonomyEntity,error)` (.ID), `ListTaxonomyEntities(ctx,kind,tenantID) ([]TaxonomyEntity,error)` — bestätigt gegen metadata_suggestions.go. `SuggestionPayload`/`SuggestionCandidate`/`metadataSuggestionCols`/`scanMetadataSuggestion` unverändert wiederverwendet. `s.db` ist `*pgxpool.Pool` (storage.go). `tenantSt.List(ctx) ([]*Tenant,error)` mit `.ID`, `GetByID(ctx,id)`, `storage.New(Config{Dir,DSN})`, `audit.New(dsn,logpath,logger)`, `cfg.Storage.StorePath()`/`cfg.Database.DSN()`/`cfg.Audit.ResolvedLogPath()` — alle wie in cmd_reindex.go/cmd_reminders_notify.go. `s.store` in API ist `*storage.Store`. Kein Import-Zyklus (classifier importiert nur pgx). devops-deploy: falls Build rot, zuerst die classifier.DB-Interface-Erfüllung durch pgxpool und pgx.Tx.CopyFrom-Signatur (`(int64,error)`) prüfen.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Feature: (1) Layered Text Recovery bei OCR (Docspell-Muster) + (2) GoBD-Löschprotokoll bei finaler Löschung (ecoDMS-Muster)
**Beschreibung:**
**(1) OCR-Fallback-Stufe.** `runTesseract` (`internal/ocr/ocr.go`) führte bislang die gehärtete Vorverarbeitungskette (clampImageSize → deskewImage → normalizeContrast → rotateForOSD) aus und rief dann `runTesseractWithFallback` auf dem vorverarbeiteten File auf. Jede Vorverarbeitungsstufe war zwar best-effort (bei Binary-Fehler/Timeout übersprungen), ABER wenn eine Stufe technisch erfolgreich ein degeneriertes/leeres Ergebnis produzierte (z.B. Over-Deskew/-Rotate auf marginalem Bild), gab es keinen Rückfall auf die Rohdatei — das OCR-Ergebnis blieb leer/fehlerhaft. Neu: origPath wird vor der Kette gemerkt; nach dem primären Lauf, falls Fehler ODER `strings.TrimSpace(text) == ""`, EIN zusätzlicher Fallback-Lauf `runTesseractWithFallback(ctx, origPath)` auf der unbearbeiteten Rohdatei. Nur wenn dieser nicht-leeren Text liefert, ersetzt er das Ergebnis; sonst bleibt das primäre Ergebnis (leer-ohne-Fehler bzw. aussagekräftigerer Primärfehler) erhalten. Wenn keine Vorverarbeitung lief (filePath == origPath), kein redundanter zweiter Pass. Die bestehende `--psm 1` → default-psm Fallback-Logik in `runTesseractWithFallback` sowie die gesamte Härtung (Rotation/Deskew/Kontrast/Clamp) sind UNVERÄNDERT — die Rohdatei-Stufe ist rein additiv. Wirkt auch im PDF-Raster-Pfad pro Seite (origPath = pdftoppm-Seiten-PNG). Der pdftotext→Raster-Fallback in `ocrPDF` war bereits vorhanden und blieb unberührt.
**(2) Löschprotokoll.** Der `executed`-Pfad (`ConfirmDeleteRequest` in `internal/storage/trash.go` + `handleConfirmDeleteRequest` in `internal/api/trash_handlers.go`) erzeugte bislang beim finalen Löschen zwei generische Audit-Einträge (confirm + execute), wobei execute nur `requested_by_user_id` + entfernten Pfad als Freitext-Detail führte — ohne strukturierte GoBD-Angaben (Titel, content_hash, Antragszeitpunkt, Bestätiger-ID, Rechtsgrundlage, Retention-Stand). KEINE neue Tabelle (Audit-Log ist flexibel genug): `ExecutedDelete` um `RequestedAt time.Time`, `ContentHash string`, `Title string`, `RetainUntil *time.Time` erweitert; `ConfirmDeleteRequest` lädt diese zusätzlich (requested_at aus delete_requests; content_hash/title aus documents, `COALESCE(...,'')`). Der execute-Audit-Eintrag trägt nun ein strukturiertes JSON-Löschprotokoll im `Detail`-Feld: `loeschprotokoll`, document_id, title, content_hash (Fingerprint der entfernten WORM-Datei), worm_file_removed, request_id, requested_by_user_id, requested_at, confirmed_by_user_id, confirmed_by_username, executed_at, retain_until, rechtsgrundlage (Vier-Augen-Prinzip + abgelaufene/fehlende Aufbewahrungsfrist). Fällt JSON-Marshal fehl, bleibt der bisherige Freitext-Detail als Fallback. confirm-Eintrag unverändert.
**Ergebnis:** OCR gibt nicht mehr vorschnell auf, wenn eine gehärtete Vorverarbeitungsstufe ein leeres/fehlerhaftes Ergebnis erzeugt; die Rohdatei wird als letzte Stufe versucht. Finale Löschungen sind jetzt mit vollständigem, selbsterklärendem GoBD-Löschprotokoll im append-only Audit-Log (DB + JSON-Lines-Mirror) nachvollziehbar.
**Geänderte Dateien:** `internal/ocr/ocr.go` (`runTesseract`, Zeilen ~241-283), `internal/storage/trash.go` (`ExecutedDelete`-Struct, `ConfirmDeleteRequest`-Queries + Return), `internal/api/trash_handlers.go` (Imports encoding/json + time; `handleConfirmDeleteRequest` execute-Eintrag).
**Signatur-Prüfung (kein lokaler go build – `which go` leer, go in Sandbox nicht installiert):** manuell gegen echte Definitionen geprüft: `strings` bereits in ocr.go importiert; `runTesseractWithFallback(ctx, filePath) (string, error)` Signatur unverändert genutzt. `sess.UserID` ist `int64` (wie `CreatedBy: &sess.UserID` = `*int64` in classification_template_handlers.go), `sess.Username string`. `ExecutedDelete` hat außer trash.go/trash_handlers.go keine weiteren Konsumenten (grep). documents-Spalten `content_hash`/`title` existieren (in ListTrash-SELECT verwendet). `time` neu in trash_handlers.go importiert, `encoding/json` neu; beide genutzt. devops-deploy: falls Build rot, zuerst ExecutedDelete-Feldnamen und die zwei geänderten SELECTs in ConfirmDeleteRequest prüfen.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-17 – Feature: Duplikat-Check VOR OCR (OCR-Last sparen, GoBD-Doppelablage vermeiden)
**Beschreibung:** Der Upload-/Ingest-Pfad prüfte bislang auf Duplikate erst NACH dem (teuren) OCR-Lauf: Reihenfolge war hash → OCR(inbox) → Belegdatum → Pfad → Filesystem-Kollisionscheck (`os.Stat(storePath)`) → INSERT (DB-Unique-Index `(tenant_id, content_hash)`). Byte-identische Re-Uploads liefen also durch Tesseract/poppler, obwohl sie am Ende verworfen wurden. Fix: früher DB-basierter Hash-Check direkt nach der SHA-256-Berechnung, VOR OCR. (1) **Neue Store-Methode** `Store.DocumentExistsByHash(ctx, tenantID int64, contentHash string) (bool, error)` in `internal/storage/documents.go` — `SELECT EXISTS(...)` auf `(tenant_id, content_hash)`, bewusst OHNE `deleted_at`-Filter, damit das Ergebnis exakt dem Unique-Index/INSERT-Verhalten entspricht. (2) **Pipeline-Umbau** in `storeUploadedFile` (`internal/api/document_handlers.go`, neuer Schritt „1b" nach `contentHash := ...`): bei Treffer Inbox-Scratch-Datei löschen und `storage.ErrDuplicateContentHash` zurückgeben, bevor OCR läuft. Die bestehenden zweiten/dritten Verteidigungslinien (Filesystem-Kollisionscheck Schritt 5, DB-Unique-Index beim INSERT) bleiben unangetastet als Race-Absicherung. Verhalten für den Client unverändert: HTTP-Handler mappt `ErrDuplicateContentHash` weiterhin auf 409, SFTP-Watcher verwirft die Datei still — beide Pfade laufen durch dieselbe Funktion.
**Ergebnis:** Duplikate werden jetzt vor jeglicher OCR-Verarbeitung erkannt; kein Tesseract-Aufruf mehr für byte-identische Re-Uploads. Kein Verhaltensbruch (gleiche Fehler/HTTP-Codes wie zuvor, nur früher).
**Geänderte Dateien:** `internal/storage/documents.go` (neue Methode `DocumentExistsByHash`), `internal/api/document_handlers.go` (Schritt 1b in `storeUploadedFile`).
**Signatur-Prüfung (kein lokaler go build – go in Sandbox nicht installiert):** manuell geprüft gegen echte Definitionen: `s.store` ist `*storage.Store` (wie bei `s.store.CreateDocument`); neue Methode nutzt `s.db.QueryRow(ctx, ...).Scan(&bool)` (pgx-Muster wie `GetDocument`); `storage.ErrDuplicateContentHash` existiert und wird bereits im HTTP-Handler (Zeile ~536, → 409) und im SFTP-Watcher (`internal/sftpserver/server.go` Zeile ~375) via `errors.Is` behandelt; `os.Remove(inboxPath)`, `fmt.Errorf` bereits importiert. devops-deploy: falls Build rot, zuerst Methodenname/Signatur `DocumentExistsByHash` prüfen.
**Status:** Noch nicht deployed.
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Belegdatum aus OCR-Text für WORM-Ablagepfad + Metadatenfeld
**Beschreibung:** Der WORM-Ablagepfad `store/<tenant>/<yyyy>/<mm>/<hash>.<ext>` nutzt jetzt beim Upload das echte Beleg-/Dokumentdatum aus dem OCR-Text statt des Scan-Zeitpunkts, mit Fallback auf `time.Now()` wenn kein Datum erkennbar. (1) **Datums-Erkennung** (`internal/api/date_extraction.go`, neu): `extractDocumentDate(ocrText string) *time.Time` — reine Regex+Validierung (Stil wie titleFromOCRText, kein NLP/keine neue Dependency). Formate `DD.MM.YYYY`, `DD.MM.YY` (→20xx), `YYYY-MM-DD`. Plausibilität: Jahr 2000..heute+1, Monat 1-12, Tag 1-31, kein normalisiert-wegfallender Tag (31.02.), kein Zukunftsdatum. ERSTER Treffer gewinnt (dokumentierte Einschränkung). Plus `sameDate`-Helper. (2) **Ablauf-Umbau in `storeUploadedFile`** (`internal/api/document_handlers.go`): OCR läuft jetzt VOR dem Move (auf der noch veränderbaren Inbox-Datei, mode 0640) — OCR liest nur, WORM unberührt. Reihenfolge neu: hash → OCR(inbox) → Belegdatum → Pfad bauen → Kollisionscheck → Rename → chmod 0440 (genau EIN chmod, danach nie wieder bewegt). Pfad-Jahr/Monat aus Belegdatum, sonst Scan-Zeit. (3) **Neues Feld** `documents.document_date DATE` (nullable, separat von `created_at`): `Document.DocumentDate *time.Time` (JSON `document_date,omitempty`), `CreateDocumentRequest.DocumentDate`, idempotente Migration in `initSchema`, mitgeführt in CreateDocument/GetDocument/ListDocuments. Neue Store-Methode `UpdateDocumentDate`. (4) **Reprocess** (`handleReprocessDocument`): erkennt Belegdatum bei erneuter OCR neu und aktualisiert `document_date` — verschiebt die WORM-Datei NICHT (Pfad bleibt für immer wie beim Upload). (5) Doku-Migration `internal/storage/migrations/019_document_date.sql`.
**Ergebnis:** Der Speicherpfad nutzt jetzt WIRKLICH das Belegdatum (nicht nur ein Anzeigefeld). WORM-Prinzip gewahrt: chmod 0440 erfolgt weiterhin genau einmal nach dem finalen Move, die Datei wird nie nach dem Sperren bewegt/umbenannt.
**Geänderte/neue Dateien:** `internal/api/date_extraction.go` (neu), `internal/api/document_handlers.go`, `internal/storage/documents.go`, `internal/storage/migrations/019_document_date.sql` (neu).
**Signatur-Prüfung (kein lokaler go build):** manuell geprüft gegen echte Definitionen: `s.ocr.Extract(ctx, path, mimeType)` → `result.Text`/`result.Barcodes` (unverändert, nur Pfad-Arg von storePath auf inboxPath); `detectMimeType(contentType, ext)`; `storage.CreateDocumentRequest`-Felder + Scan-/Insert-Spaltenreihenfolge in CreateDocument/GetDocument/ListDocuments (document_date überall an gleicher Position nach retain_until eingefügt); `Store.SyncIndex(ctx,id)`, `ErrDocumentNotFound`. HINWEIS für devops-deploy: `search.go`/`trash.go`/`akten.go` haben EIGENE documents-Spaltenlisten OHNE document_date (bewusst im Scope belassen — dort ist DocumentDate=nil in der Response, kein Build-Bruch, da eigenständige Scans). Falls document_date auch in Such-/Papierkorb-/Akten-Responses gewünscht: dort analog nachziehen.
**Status:** Deployed am 2026-07-16 (siehe Deploy-Eintrag unten).
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Digitale Akte (digitaler Aktenordner) – Backend Phase 1-3
**Beschreibung:** Neues Objekt „Akte" zur Gruppierung von Dokumenten, strikt 1:n via `documents.akte_id BIGINT REFERENCES akten(id) ON DELETE SET NULL` (kein Join-Table). Keine eigene ACL — Akte-Detailliste erbt Sichtbarkeit von den enthaltenen Dokumenten (gleiche `document_visibility`-EXISTS-Klausel + `created_by`-Fallback wie `ListDocuments`). `ON DELETE SET NULL` ist die GoBD-Absicherung: Akte löschen entkoppelt Dokumente, löscht sie nie. (1) **Schema+Store** (`internal/storage/akten.go`, neu): `initAktenSchema` (akten-Tabelle + ALTER documents add akte_id, idempotent, in `documents.go initSchema` nach initSavedViewsSchema eingehängt — Reihenfolge: akten VOR ALTER wegen FK); `Akte`-Struct (inkl. berechnetes `document_count` per COUNT-Subquery); `CreateAkte/ListAkten/GetAkte/UpdateAkte/CloseAkte/DeleteAkte/ListAkteDocuments/SetDocumentAkte`; `ErrAkteNotFound`. (2) **API** (`internal/api/akte_handlers.go`, neu): `GET/POST /api/akten`, `GET/PATCH/DELETE /api/akten/{id}`, `POST /api/akten/{id}/close`, `PUT /api/documents/{id}/akte` (akte_id number|null). Tenant-scoped, Ownership-Check via GetDocument/GetAkte, Korrespondent-Cross-Tenant-Guard. (3) **Audit** (`internal/audit/audit.go`): `EventAkteCreate/Update/Close/Delete/DocumentAdd/DocumentRemove`. (4) **Routen** in `server.go`. (5) Doku-Migration `internal/storage/migrations/018_akten.sql`.
**Geänderte/neue Dateien:** `internal/storage/akten.go` (neu), `internal/storage/documents.go` (initSchema-Hook), `internal/audit/audit.go`, `internal/api/akte_handlers.go` (neu), `internal/api/server.go`, `internal/storage/migrations/018_akten.sql` (neu).
**Signatur-Prüfung (kein lokaler go build):** manuell geprüft: `Store.db *pgxpool.Pool`, `SyncIndex(ctx,id)`, `Document`-Struct-Felder + Scan-Reihenfolge (aus GetDocument abgeschrieben), `pgx.ErrNoRows`, `taxonomyEntityBelongsToTenant(ctx,kind,id,tenantID)`, `auth.HasRole`/`userstore.RoleDomainAdmin`, `auth.Session.{UserID,Username,Role,TenantID}`, `audit.Entry`-Felder, `writeJSON/writeError`, `sessionFromCtx`. Abweichung vom Task-Signaturvorschlag: `ListAkteDocuments` bekam zusätzlichen `aclUserID *int64`-Parameter (nötig für die ACL-Filterung wie ListDocuments). devops-deploy: falls Build rot, hier zuerst schauen.
**Status:** Deployed am 2026-07-16 (siehe Deploy-Eintrag unten). Frontend (Phase 3 GUI) folgt separat.
**Projekt:** archivdms

---

## 2026-07-16 – Deploy: Digitale Akte + Belegdatum-Ablaufumbau (verifiziert)
**Beschreibung:** rsync + `update.sh` auf 192.168.1.204. Go-Backend und Next.js-Frontend bauten beide sauber ohne Fehler (kein Fix nötig, die aus dem Vorabend bekannte Sonderregel „search.go/trash.go/akten.go ohne document_date" war wie erwartet kein Build-Bruch). Backend + Frontend danach aktiv, journalctl fehlerfrei. Schema verifiziert: `documents.document_date` (date) und Tabelle `akten` (inkl. FK `documents.akte_id → akten.id ON DELETE SET NULL`) vorhanden. Echter End-to-End-Upload-Test (testuser@archivdms.local, temporär tenant_id=3 + Temp-Passwort via lokal gebautem bcrypt-Go-Tool, danach zurückgesetzt): PNG mit Text „Rechnungsdatum: 03.02.2025" hochgeladen → `document_date=2025-02-03`, Speicherpfad `store/3/2025/02/<hash>.png` (Belegdatum statt Scan-Datum bestätigt), OCR-Text korrekt extrahiert (65 Zeichen), Datei nach Upload `-r--r-----` (0440, WORM-Sperre bestätigt), keine hängenden Dateien in `inbox/3` oder `ocr-tmp`. `GET /api/akten` ohne Auth → 401 wie erwartet. Testdokument, Testuser-Zustand und temporäres bcrypt-Tool nach dem Test vollständig zurückgesetzt/gelöscht.
**Ergebnis:** Beide Features sauber deployed und funktional verifiziert, kein Datenverlust, WORM-Prinzip intakt.
**Projekt:** archivdms

---

## 2026-07-16 – Fix: "Modelle laden"-Button nutzte gespeicherten statt eingetippten base_url
**Beschreibung:** Bug: Der "Modelle laden"-Button in der Ollama-Konfiguration griff bislang auf den gespeicherten `base_url`-Wert zu, nicht auf den aktuell im Formularfeld eingetippten (noch ungespeicherten) Wert — Nutzer musste erst speichern, sonst kam Fehler "base_url muss zuerst gesetzt werden". Fix: `GET /api/ollama-config/models` akzeptiert jetzt optionalen `?base_url=`-Query-Param, der bei Vorhandensein den gespeicherten Wert überschreibt; Frontend schickt den aktuellen Eingabefeld-Wert mit.
**Geänderte Dateien:** `internal/api/ollama_config_handlers.go`, `src/lib/api.ts`, `src/components/settings/OllamaConfigForm.tsx`.
**Deploy:** rsync + update.sh auf 192.168.1.204, Build (Backend+Frontend) erfolgreich, Dienste neu gestartet, Health-Check grün (Backend ✓, Frontend ✓), journalctl ohne Fehler.
**Projekt:** archivdms

---

## 2026-07-16 – Frontend: Ollama-Modelle laden als Vorschlags-Chips im Konfigurationsformular
**Beschreibung:** Anbindung des Endpoints `GET /api/ollama-config/models` an die Ollama-Config-GUI. (1) `src/lib/api.ts`: `listOllamaModels(tenantId?)` → GET `/api/ollama-config/models` (+`?tenant_id=` für Superadmin), gibt `string[]` aus dem `models`-Feld zurück (non-nil-Guard). (2) `src/components/settings/OllamaConfigForm.tsx`: Button „Modelle laden" (RefreshCw-Icon, Spinner via `animate-spin` während Laden) neben dem Modell-Freitextfeld. Disabled solange `base_url`-Feld leer ist (clientseitige Prüfung, kein Request). Erfolg: geladene Modellnamen als anklickbare Chip-Buttons unter dem Feld (Muster wie Datumsformat-Vorschläge in `ScanTitleDateFormatForm.tsx`), Klick trägt Namen ins Feld ein; aktuell gewähltes Modell wird `default`-Variante hervorgehoben. Feld bleibt Freitext-editierbar. Fehler (400 base_url fehlt / 502 nicht erreichbar) landen als `toast.error` mit Backend-Meldung; leere Liste → `toast.info`.
**Geänderte Dateien:** `src/lib/api.ts`, `src/components/settings/OllamaConfigForm.tsx`.
**Status:** Noch nicht deployed. Keine neuen Dependencies (lucide-react/RefreshCw bereits vorhanden).
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Ollama-Modell-Liste vom konfigurierten Server abrufen (Picklist statt Freitext)
**Beschreibung:** Endpoint, der die auf dem konfigurierten Ollama-Server tatsächlich installierten Modelle live abfragt, damit das Frontend das Modell-Feld als Auswahl statt Freitext anbieten kann. Kein Caching, reiner Live-Abruf pro Aufruf. (1) **LLM-Client** (`internal/llm/ollama.go`): neue Funktion `ListModels(ctx, baseURL, timeout)([]string, error)` — GET `<base_url>/api/tags`, parsed `{"models":[{"name":...}]}`, gibt die name-Felder zurück. Rückgabe immer non-nil via `make([]string,0,len)` (Projekt-Standard gegen nil-slice→JSON-null). LimitReader 4MB, klare Fehler bei Netzwerk/Timeout/Non-200 (kein stiller Fallback). (2) **Handler** (`internal/api/ollama_config_handlers.go`): `handleListOllamaModels` für `GET /api/ollama-config/models`, admin-only, Tenant-Resolve über `resolveTenantSettingsTenant` (superadmin braucht `?tenant_id=`). Lädt `GetOllamaConfig`; leere base_url ⇒ 400 "base_url muss zuerst gesetzt werden". Kurzer Listing-Timeout (10s Default, unabhängig vom Generate-Timeout; gespeicherter Wert nur genutzt wenn <10s). Ollama nicht erreichbar ⇒ 502 (externe Abhängigkeit, nicht 500). Response `{"models":[...]}`. Kein Audit-Log (reine Leseoperation). (3) **Route** in `server.go` bei den anderen `/api/ollama-config`-Routen.
**Geänderte Dateien:** `internal/llm/ollama.go`, `internal/api/ollama_config_handlers.go`, `internal/api/server.go`.
**Signatur-Prüfung (kein lokaler go build):** manuell gegen echte Definitionen geprüft: `GetOllamaConfig(ctx,tenantID)(*OllamaConfig,error)`, `OllamaConfig.{BaseURL,TimeoutSeconds}`, `resolveTenantSettingsTenant(w,r)(int64,bool)`, `authAdmin`, `writeError`/`writeJSON`, neue `llm.ListModels`-Signatur. devops-deploy: falls Build rot, hier zuerst schauen.
**Status:** Noch nicht deployed. Frontend-Anbindung (Picklist) folgt separat.
**Projekt:** archivdms

---

## 2026-07-16 16:53 – Frontend: Ollama-Konfigurationsseite (Mandanten-Einstellungen)
**Beschreibung:** GUI für die bereits fertige Backend-API `GET/PUT /api/ollama-config` gebaut, nach dem Muster von `tenant-settings`. (1) `src/lib/api.ts`: Typ `OllamaConfig` (`enabled`, `base_url`, `model`, `timeout_seconds`) + `getOllamaConfig(tenantId?)` / `updateOllamaConfig(config, tenantId?)` (Full-Body-PUT, gesamtes Objekt wird gesendet). (2) Neue Server-Component-Seite `src/app/(app)/settings/ollama-config/page.tsx` mit Rollen-Gate (domain_admin/superadmin) und Superadmin-Mandanten-Auswahl (Formular lädt clientseitig nach Mandantenwahl). (3) Neue Client-Component `src/components/settings/OllamaConfigForm.tsx`: Checkbox „Aktiviert", Server-URL, Modell, Timeout (5–120), Speichern mit `toast.success/error` (Backend-Validierungsfehler landen im Toast), Hinweistext. Keine Switch-Komponente im Projekt → einfache `<input type=checkbox>` im bestehenden Stil. (4) Karte auf `src/app/(app)/settings/page.tsx` (admin-only) verlinkt.
**Geänderte/neue Dateien:** neu `src/app/(app)/settings/ollama-config/page.tsx`, `src/components/settings/OllamaConfigForm.tsx`; geändert `src/lib/api.ts`, `src/app/(app)/settings/page.tsx`.
**Status:** Noch nicht deployed. Keine neuen Dependencies.
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Externer Ollama-Server als dritter Metadaten-Vorschlags-Provider (pro Mandant, noch nicht deployed)
**Beschreibung:** Grundlage für die Anbindung eines EXTERNEN, bereits laufenden Ollama-Servers geschaffen (kein lokaler Install auf 192.168.1.204 — IP/Port kommt später vom Admin). Verbindung ist PRO MANDANT konfigurierbar (analog LDAP-/tenant-settings-Muster), nicht global. (1) **Schema:** neue Tabelle `tenant_ollama_config` (tenant_id PK, enabled, base_url, model, timeout_seconds, updated_at), idempotent in `documents.go` `initSchema` via `initOllamaConfigSchema` nach `initMetadataSuggestionsSchema` eingehängt; Doku-Migration `017_tenant_ollama_config.sql`. Kein FK auf tenants (konsistent zum restlichen Schema, Init-Reihenfolge nicht garantiert). (2) **Store** (`internal/storage/ollama_config.go`): `GetOllamaConfig` (liefert Default/disabled statt Fehler bei fehlender Zeile), `UpsertOllamaConfig` (Validierung: enabled ⇒ base_url mit http(s)-Präfix + model gesetzt, timeout 5–120s; base_url normalisiert ohne Trailing-Slash). base_url ist interne Netzwerk-URL, kein Secret → normal zurückgegeben (kein Masking wie LDAP-Passwort). (3) **API** (`internal/api/ollama_config_handlers.go`): `GET/PUT /api/ollama-config`, admin-only via `authAdmin`, Tenant-Resolve über bestehendes `resolveTenantSettingsTenant` (superadmin braucht `?tenant_id=`), Audit-Event `EventOllamaConfigUpdate` bei Erfolg UND Fehlschlag. (4) **LLM-Client** (`internal/llm/ollama.go`, neues Package): `GenerateJSON` — einzelner blockierender POST auf `<base_url>/api/generate` (`stream:false, format:json`), parsed äußere Envelope, gibt inneres `response`-Feld als `json.RawMessage` zurück; kein Retry/Pool, LimitReader 4MB, klare Fehler bei Netzwerk/Timeout/Non-200/leere Antwort. (5) **Ollama-Provider** (`internal/storage/metadata_suggestions_ollama.go`): `GenerateOllamaSuggestions` baut Prompt aus Titel + ersten 2000 Zeichen OCR + Namenslisten der Taxonomie-Entities, fordert striktes JSON-Schema, mapped zurückgelieferte Namen per Exact-then-Fuzzy (`matching.FuzzyScore`, Floor 0.8) auf existierende Entity-IDs, schreibt `metadata_suggestions` mit `provider='ollama'` — identisches `SuggestionPayload`-Schema wie heuristic (Frontend unverändert). (6) **Handler-Anbindung:** `handleGenerateSuggestions` liest `?provider=` (Default `heuristic`), bei `ollama` Config-Check auf enabled; Ollama-Fehler ⇒ 502, KEIN stiller Fallback auf heuristic (GoBD-Nachvollziehbarkeit). OCR-Textkorrektur bewusst NICHT Teil dieser Aufgabe (separater Endpoint später, baut auf dem Client auf).
**Geänderte/neue Dateien:** neu `internal/storage/ollama_config.go`, `internal/storage/metadata_suggestions_ollama.go`, `internal/llm/ollama.go`, `internal/api/ollama_config_handlers.go`, `internal/storage/migrations/017_tenant_ollama_config.sql`; geändert `internal/storage/documents.go` (initSchema-Hook), `internal/audit/audit.go` (EventOllamaConfigUpdate), `internal/api/server.go` (2 Routen), `internal/api/metadata_suggestion_handlers.go` (Provider-Auswahl).
**Signatur-Prüfung (kein lokaler go build):** manuell gegen echte Definitionen geprüft: `GetDocument(ctx,id,tenantID)(*Document,error)`, `ListTaxonomyEntities(ctx,kind,tenantID)([]TaxonomyEntity,error)`, `ListDocumentTags(ctx,documentID,tenantID)([]TaxonomyEntity,error)`, `matching.FuzzyScore(pattern,caseSensitive,text)float64`, `Document.{Title,OCRText,DocTypeID,CorrespondentID}`, `TaxonomyEntity.{ID,Name}`, `scanMetadataSuggestion`/`metadataSuggestionCols`, `resolveTenantSettingsTenant`, `s.audlog.Log(audit.Entry{...})`, `Store.db (*pgxpool.Pool)`. devops-deploy: falls Build rot, hier zuerst schauen.
**Status:** Noch nicht deployed. Migration läuft idempotent beim Start (initSchema). Kein Ollama-Server konfiguriert → Provider bleibt no-op bis ein Mandant `enabled=true` setzt.
**Projekt:** archivdms

---

## 2026-07-16 – OCR: Titel-Heuristik gegen Bildrauschen gehärtet + Diagnose Dokument 9 (Tenant 3, kein Fix)
**Beschreibung:** `titleFromOCRText` (`internal/api/document_handlers.go`) nahm bisher stur die erste nicht-leere Zeile ≥3 Zeichen als Titel — bei mehreren Tankstellenbeleg-Testdokumenten (Tenant 3, IDs 6 und 8) landete dadurch Bildrauschen wie `"od?"` oder `"Ent Service- 'Station"` im Titel statt der sauberen Kopfzeile. Neue Filterfunktion `isUsableTitleLine`: Zeile muss ≥3 Zeichen haben UND einen Anteil von Buchstaben/Ziffern an den Nicht-Leerzeichen ≥75 % (`titleCandidateMinAlnumRatio`) aufweisen; Scan zusätzlich auf die ersten 8 Zeilen begrenzt (`titleCandidateScanLines`), damit keine zufällig passende Zeile tief im OCR-Rauschen gezogen wird. Gegen die realen `ocr_text`-Werte der Dokumente 1 (sauber, digital), 3, 4, 5, 6, 7, 8, 9 (alle Tenant 3, Scans) simuliert (Python-Nachbau der Go-Logik, da kein lokaler `go build` verfügbar): Dokumente 1, 3, 4, 5, 7, 8 liefern exakt denselben Titel wie vorher (keine Regression) — bei diesen war die erste Zeile bereits sauber genug. Dokument 6 verbessert sich von `"od?"` (Ratio 0,67, fällt jetzt durch den 0,75-Filter) auf `"rVvice-Station"` (nächste Zeile mit Ratio 0,93) — kein perfekter Titel, aber kein reines Rauschen mehr. Dokument 9 bleibt unverändert bei `"sısgley"`, da dessen `ocr_text` komplett unbrauchbar ist (siehe Diagnose unten) — Titel-Heuristik kann keinen sauberen Ausgangstext reparieren, das ist erwartet.
Eine zunächst erwogene Alternative ("längste Zeile unter den ersten 8 nehmen, die den Ratio-Filter besteht") wurde verworfen: sie hätte bei Dokument 3/4/5/7 den korrekten Titel "Eni Service-Station" gegen falsche, aber lange Zeilen wie "Tankstellen-Nr.: 0000005066" getauscht — klare Regression, per Simulation verifiziert.
**Diagnose Dokument 9** (`storage_path` `/var/lib/archivdms/store/3/2026/07/64c82e1e5d3b357677d7f075ec72d27b218e5c4a818b11d67476576a958e920b.jpg`): EXIF-Orientation identisch zu den funktionierenden Dokumenten 3–8 (`RightTop`, 4000×3000) — die Rotation ist NICHT die Ursache des Unterschieds. `tesseract --psm 0` (OSD) liefert für Dokument 9 nur `Rotate: 0` bei sehr niedriger Konfidenz (0,68) statt der bei den anderen Dokumenten erkannten 90°-Drehung (Konfidenz 5,9 bei Dokument 3). Code-Ursache: `rotateForOSD` (`internal/ocr/ocr.go` Zeile ~500) bricht bei `degrees == 0` sofort ab, bevor die Konfidenz überhaupt geprüft wird — bei Dokument 9 wird also trotz erkennbar unsicherem OSD-Ergebnis gar nicht rotiert. Manueller Test mit `convert -rotate 90` (derselbe Winkel wie bei den funktionierenden Dokumenten) liefert vereinzelte lesbare Fragmente ("Susanne Rittweger", "Halberstädter Chaussee >25"), der Großteil des Texts bleibt aber auch bei korrekter Rotation unlesbares Zeichenrauschen — andere getestete Rotationen (0/180/270, mit und ohne Horizontal-Flip) liefern keinen zusammenhängenden Text. Schlussfolgerung: Dokument 9 ist ein grundsätzlich zu unscharfes/verrauschtes Foto (vermutlich Bewegungsunschärfe), keine reine Rotations-Fehlerkennung — **kein Code-Fix vorgenommen**, da selbst mit korrekter Rotation kein brauchbares OCR-Ergebnis erzielbar ist. Empfehlung: Dokument neu scannen/fotografieren statt softwareseitig zu reparieren.
**Geänderte Dateien:** `internal/api/document_handlers.go` (`titleFromOCRText` umgebaut, neue Konstanten `titleCandidateScanLines`/`titleCandidateMinAlnumRatio`, neue Funktion `isUsableTitleLine`, Import `unicode` ergänzt).
**Status:** Code geändert, noch nicht deployed (macht devops-deploy). Kein Reindex nötig (`ocr_text` selbst unverändert, nur Titel-Ableitung betroffen) — falls Titel-Feld separat indexiert wird, Reindex-Hinweis an manticore-performance.
**Projekt:** archivdms

---

## 2026-07-16 16:08 – Frontend: Dokumentvorschau mit ziehbarem Resizer + Vollbild-Modus (noch nicht deployed)
**Beschreibung:** `DocumentPreview.tsx` empfand der User als zu klein. Zwei Ergänzungen ohne neue Dependencies (kein `react-resizable-panels` vorhanden → eigene Maus-Drag-Lösung mit React-State). (1) **Resizer:** Bisheriges `grid lg:grid-cols-[1fr_360px]` durch Flexbox (`lg:flex-row`) ersetzt. Dazwischen ein schmaler Griff-Balken (`w-1.5 cursor-col-resize hover:bg-primary/20`); `onMouseDown` startet Drag-Tracking über `window`-`mousemove`/`mouseup`-Listener (in `useEffect`, aktiv nur während `isResizing`). Breite der Seitenleiste als State (`sidebarWidth`, geklemmt 280–600px), angewendet nur ab `lg` via CSS-Variable (`--sidebar-w` + `lg:[width:var(--sidebar-w)]`), mobil volle Breite. Breite in `localStorage` persistiert; Doppelklick auf Griff setzt Standard (360px) zurück; Text-Selektion/Cursor während Drag über `window.document.body` unterdrückt (Prop heißt `document`, überschattet globales `document`!). (2) **Vollbild:** `Maximize2`-Icon-Button oben rechts über der Vorschaufläche togglet `isFullscreen` → `fixed inset-0 z-50 bg-background`-Overlay mit voller Vorschau (Bild `object-contain` bzw. PDF-iframe), Header mit "Vollbild verlassen"-Button (`Minimize2`) und Escape-Taste-Listener. Bestehender Höhenfix (`h-[calc(100vh-3.5rem)]`), Tabs (Details/Inhalt/Verlauf) und alle Mutationen unverändert.
**Geänderte Dateien:** `src/components/documents/DocumentPreview.tsx` (Imports `Maximize2`/`Minimize2`; State+Effekte für Resize/Fullscreen; Layout Grid→Flex; Griff-Balken; Vollbild-Overlay; `isImage`-Helper).
**Status:** Noch nicht deployed. Keine neuen Dependencies, kein `npm install`.
**Projekt:** archivdms

---

## 2026-07-16 15:52 – Frontend: Datumsformat als freies Text-Input statt Radio-Liste (noch nicht deployed)
**Beschreibung:** UI-Anpassung an die neue Backend-Freiform-Fähigkeit. In `ScanTitleDateFormatForm.tsx` ersetzt die bisherige Radio-Card-Auswahl (`role="radiogroup"` über `available_formats`) durch ein freies shadcn `Input`-Textfeld (`maxLength={40}`, `font-mono`, Wert = bestehender `selected`-State), analog zum Präfix-Feld darüber. Darunter eine Reihe kleiner Vorschlags-Buttons (`variant="outline" size="sm"`, `h-7 font-mono text-xs`) aus `settings.available_formats` — Klick befüllt das Textfeld (setzt `selected`), Nutzer kann danach frei weiterschreiben. Dezente Platzhalter-Legende (`text-xs text-muted-foreground`: YYYY/MM/DD/HH/hh/mm/ss/AM/PM). Live-Vorschau (`formatPreview` + `previewTitle`) unverändert übernommen. Ungültige Formate (z.B. kein Platzhalter) liefert das Backend als 400 mit Fehlermeldung; `apiFetch` propagiert `body.error`, `handleSave`s `toast.error(err.message)` zeigt sie an — kein Zusatzcode nötig, verifiziert in `src/lib/api.ts`.
**Geänderte Dateien:** `src/components/settings/ScanTitleDateFormatForm.tsx` (Radiogroup entfernt, Input+Vorschlags-Buttons+Legende; ungenutzter `cn`-Import entfernt).
**Status:** Noch nicht deployed. Keine neuen Dependencies (`Input`/`Button` vorhanden), kein `npm install`.
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Freies Token-Datumsformat für Scan-Titel statt 3 fester Optionen (noch nicht deployed)
**Beschreibung:** Das bisher auf 3 feste Format-Schlüssel begrenzte `scan_title_date_format`-Setting wird auf ein freies Token-Muster umgestellt. Der Admin kann jetzt beliebige Muster eingeben (z.B. `DD.MM.YYYY`, `YYYY/MM/DD HH:mm:ss`). Neuer neutraler Übersetzer `dateformat.Translate` (eigenes Package, um Zirkelbezug api↔tenantstore zu vermeiden), von beiden Packages importiert. In der DB wird weiterhin der nutzerlesbare TOKEN-String gespeichert; die Übersetzung nach Go-Layout passiert zur Laufzeit bei jeder Titel-Generierung (`scanTitleDateLayout` ruft jetzt `dateformat.Translate`).
**Unterstützte Tokens (längste zuerst):** `AM/PM`/`PM`→`PM`, `YYYY`→`2006`, `YY`→`06`, `MM`→`01`, `DD`→`02`, `HH`→`15`, `hh`→`03`, `mm`→`04`, `ss`→`05`; alles andere bleibt Literal. Fehler bei leer, >40 Zeichen oder wenn kein einziger Platzhalter vorkommt.
**Neue Dateien:** `internal/dateformat/dateformat.go` (Regex-Alternation `AM/PM|YYYY|YY|MM|DD|HH|hh|mm|ss|PM` + `ReplaceAllStringFunc`, `MaxPatternLen=40`, `Translate(pattern) (string, error)`).
**Geänderte Dateien:** `internal/api/document_handlers.go` (Map `scanTitleDateFormats` entfernt → `exampleScanTitleFormats []string` mit 5 Vorschlägen; `scanTitleDateLayout` nutzt `dateformat.Translate` mit Default-Fallback; `titleFromOCRText`/`tenantScanTitleParams`-Default-Zweige nutzen jetzt `scanTitleDateLayout(defaultScanTitleDateFormat)`; `dateformat` importiert), `internal/tenantstore/store.go` (`UpdateScanTitleDateFormat` validiert jetzt via `dateformat.Translate` statt fester Liste; `dateformat` importiert; Struct-Kommentar aktualisiert), `internal/api/tenant_settings_handlers.go` (Validierung in `handleUpdateTenantSettings` via `dateformat.Translate`, 400 mit Übersetzer-Fehlermeldung; `availableScanTitleFormats` liefert Kopie von `exampleScanTitleFormats`; neuer Helper `effectiveScanTitleFormat`; `sort`-Import entfernt, `dateformat`-Import hinzu; Feldname `available_formats` BEIBEHALTEN, nur Semantik jetzt Vorschläge statt Allow-List).
**Routen:** `GET/PUT /api/tenant-settings` — `scan_title_date_format` akzeptiert jetzt beliebige Token-Muster; `available_formats` = Beispiel-Vorschläge (kein Constraint mehr).
**Frontend-Hinweis (separat, NICHT Teil dieser Änderung):** `src/components/settings/ScanTitleDateFormatForm.tsx` rendert `available_formats` aktuell als Auswahl (Zeile 137) — Feldname unverändert, funktioniert weiter, sollte aber später auf freies Text-Input + Vorschlags-Buttons umgebaut werden, damit die neue Freiform-Fähigkeit auch im UI nutzbar ist.
**Kein lokaler go build** (kein Go). Manuell gegen echte Definitionen geprüft: `dateformat.Translate(string) (string, error)` neu; `scanTitleDateLayout` weiterhin `(string) string`; Map `scanTitleDateFormats` restlos entfernt (grep: keine weiteren Referenzen); `titleFromOCRText`-3-Param-Signatur unverändert; `writeJSON`/`writeError`/`audit.Entry`/`sessionFromCtx` wie gehabt; Modul `archivdms`, Import `archivdms/internal/dateformat`.
**Status:** Noch nicht deployed. Kein Schema-Change (Spalte existiert, nur App-Validierung geändert). Bestehende DB-Werte (die 3 alten Schlüssel) bleiben gültig, da sie ebenfalls übersetzbar sind.
**Projekt:** archivdms

---

## 2026-07-16 – Frontend: Präfix-Feld für Scan-Titel + Live-Vorschau (noch nicht deployed)
**Beschreibung:** Anbindung des neuen Backend-Felds `scan_title_prefix` (`GET/PUT /api/tenant-settings`, PATCH-artig). In der bestehenden Einstellungs-Komponente ein Text-Input für das Titel-Präfix oberhalb der Datumsformat-Auswahl, mit Live-Vorschau des vollständigen Titels (Präfix + Leerzeichen + Beispiel-Datum aus `formatPreview`). Speichern-Button sendet beide Felder unabhängig; nur tatsächlich geänderte Felder gehen in den PUT-Body (PATCH-Semantik). Funktioniert identisch im Superadmin-Pfad (Mandanten-Auswahl) und für domain_admin über denselben `renderForm()`.
**Geänderte Dateien:** `src/lib/api.ts` (`TenantSettings.scan_title_prefix: string`; `updateTenantSettings` nimmt jetzt `patch: { scan_title_date_format?, scan_title_prefix? }` statt eines einzelnen `format`-Strings), `src/components/settings/ScanTitleDateFormatForm.tsx` (shadcn `Input` für Präfix mit `maxLength={40}` + clientseitigem `slice(0,40)`, State `prefix`, `formatDirty`/`prefixDirty`-Ableitung, `handleSave` baut selektiven Patch, Präfix wird bei Mandantenwechsel mitgeladen, Live-Vorschau).
**Status:** Noch nicht deployed. Keine neuen Dependencies, kein `npm install` nötig (`Input` bereits vorhanden).
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Pro-Mandant konfigurierbares Präfix-Wort für Platzhalter-Titel (noch nicht deployed)
**Beschreibung:** Analog zum bereits fertigen Datumsformat-Setting (Migration 015) wird jetzt auch das hart codierte Präfix-Wort "Scan" (aus `titleFromOCRText`, greift wenn beim Upload kein Titel angegeben ist und OCR keine sinnvolle Überschrift liefert) pro Mandant konfigurierbar — z.B. "Beleg", "Import", "Eingang". Beide Settings (Präfix + Datumsformat) sind unabhängig voneinander über denselben Endpoint änderbar.
**Neue Dateien:** `internal/storage/migrations/016_tenant_scan_title_prefix.sql` (Doku-only, Source of Truth bleibt Go-Code).
**Geänderte Dateien:** `internal/tenantstore/store.go` (neues Feld `Tenant.ScanTitlePrefix`, `initSchema` `ALTER TABLE ... ADD COLUMN IF NOT EXISTS scan_title_prefix TEXT NOT NULL DEFAULT 'Scan'`, `GetByID`/`Create`/`List`-Scans um die Spalte erweitert, neue Methode `UpdateScanTitlePrefix(ctx, tenantID, prefix)` mit Validierung nicht-leer + max 40 Zeichen via `utf8.RuneCountInString`, `strings`+`unicode/utf8` importiert), `internal/api/document_handlers.go` (`titleFromOCRText(ocrText, prefix, dateLayout string)` — neuer zweiter Parameter, `fmt.Sprintf("%s %s", prefix, ...)`; Konstante `defaultScanTitlePrefix = "Scan"`; `tenantScanTitleLayout` ersetzt durch `tenantScanTitleParams(ctx, tenantID) (prefix, dateLayout string)` das Prefix+Layout in EINEM GetByID lädt — kein zusätzlicher DB-Query; beide Aufrufer `storeUploadedFile` + `handleReprocessDocument` angepasst), `internal/api/tenant_settings_handlers.go` (`tenantSettingsResponse` + `updateTenantSettingsRequest` um `scan_title_prefix` erweitert; PUT auf PATCH-artige Pointer-Felder `*string` umgestellt, damit beide Settings unabhängig änderbar sind: nur mitgeschickte Felder werden aktualisiert, Validierung vor Persistierung, leeres Präfix → 400, Store-Fehler → 400; Response reloaded Tenant für effektiven Stand beider Felder; `strings` importiert; Helper `effectiveScanTitlePrefix`).
**Routen:** `GET /api/tenant-settings` → jetzt zusätzlich `"scan_title_prefix":"..."`. `PUT /api/tenant-settings` akzeptiert `{"scan_title_prefix":"Beleg"}` und/oder `{"scan_title_date_format":"..."}` (beide optional, mind. eines nötig sonst 400). Audit-Log-Detail listet nur geänderte Felder.
**Kein lokaler go build** (kein Go auf diesem Rechner). Manuell gegen echte Definitionen geprüft: `Tenant`-Struct-Felder + neue `(*Store).UpdateScanTitlePrefix` in store.go; `titleFromOCRText` neue 3-Parameter-Signatur an beiden Aufrufstellen (document_handlers.go:280, :663); `tenantScanTitleParams` liefert `(string, string)`; `scanTitleDateLayout`/`defaultScanTitleDateFormat`/`scanTitleDateFormats` unverändert genutzt; `writeJSON`/`writeError`/`audit.Entry`/`sessionFromCtx` wie im bestehenden Handler; keine Test-Dateien referenzieren geänderte Symbole (grep bestätigt).
**Status:** Noch nicht deployed. Schema-Change idempotent über initSchema. Kein Reindex nötig. Frontend-Erweiterung (Präfix-Feld) folgt separat.
**Projekt:** archivdms

---

## 2026-07-16 – Frontend: Admin-UI für Scan-Titel-Datumsformat (noch nicht deployed)
**Beschreibung:** Frontend zur bereits fertigen Backend-Route `GET/PUT /api/tenant-settings`. Neue Admin-Unterseite „Allgemeine Einstellungen" mit Auswahl des Datumsformats für automatisch generierte Scan-Titel. Bestehender GUI-Stil (shadcn/ui, Server-Component-Rollen-Gate wie `classification-templates`, `toast` + `router.refresh()` nach Mutation) beibehalten.
**Neue Dateien:** `src/app/(app)/settings/tenant-settings/page.tsx` (Server Component, Rollen-Gate domain_admin/superadmin, lädt `settings` via `serverApiFetch`; superadmin scoped mit `?tenant_id=` aus `me.tenant_id`, domain_admin ohne), `src/components/settings/ScanTitleDateFormatForm.tsx` (`"use client"`, Radiogroup-artige Optionsliste der `available_formats` mit Live-Beispiel-Vorschau je Format, Speichern-Button nur aktiv bei Änderung, Erfolgs-/Fehler-Toast, `router.refresh()`).
**Geänderte Dateien:** `src/lib/api.ts` (Typ `TenantSettings`, Funktionen `getTenantSettings(tenantId?)` / `updateTenantSettings(format, tenantId?)` — optionaler `tenant_id`-Query für superadmin), `src/app/(app)/settings/page.tsx` (neue Admin-Karte „Allgemeine Einstellungen" → `/settings/tenant-settings`, `isAdmin`-gated).
**UI-Hinweis:** Kein `radio-group`/`select` shadcn-Component vorhanden — Optionsliste als zugängliche `role="radiogroup"`-Buttons gebaut, konsistent mit vorhandenem Border-/Primary-Styling. Beispiel-Vorschau rein clientseitig illustrativ (fixer Zeitpunkt 16.07.2026 14:30), maßgebliches Formatting bleibt im Backend.
**Status:** Noch nicht deployed. Kein `npm install` nötig (keine neuen Dependencies).
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Pro-Mandant konfigurierbares Datumsformat für Platzhalter-Titel (noch nicht deployed)
**Beschreibung:** Nutzer-Feedback: das hart codierte deutsche Format `Scan DD.MM.YYYY HH:MM` (aus `titleFromOCRText`, greift wenn beim Upload kein Titel angegeben ist und OCR keine sinnvolle Überschrift liefert) soll pro Mandant (nicht global, nicht pro Nutzer) einstellbar sein. Kleine feste Auswahl an Format-Schlüsseln statt Freitext-Go-Layout, um unsichere/fehlerhafte Layout-Strings auszuschließen.
**Format-Schlüssel → Go-Layout** (`scanTitleDateFormats`-Map in `document_handlers.go`, Single Source of Truth für Validierung + Rendering): `DD.MM.YYYY HH:mm`→`02.01.2006 15:04` (deutsch, Default), `YYYY-MM-DD HH:mm`→`2006-01-02 15:04` (ISO), `MM/DD/YYYY hh:mm AM/PM`→`01/02/2006 03:04 PM` (US). Beim Setzen wird serverseitig geprüft dass der Wert ein bekannter SCHLÜSSEL ist (nicht das rohe Layout), sonst 400.
**Neue Dateien:** `internal/api/tenant_settings_handlers.go` (`handleGetTenantSettings`/`handleUpdateTenantSettings`, `resolveTenantSettingsTenant` analog `resolveLDAPTenant`, `availableScanTitleFormats`), `internal/storage/migrations/015_tenant_scan_title_format.sql` (Doku-only, Source of Truth bleibt Go-Code).
**Geänderte Dateien:** `internal/tenantstore/store.go` (neues Feld `Tenant.ScanTitleDateFormat`, `initSchema` `ALTER TABLE ... ADD COLUMN IF NOT EXISTS scan_title_date_format TEXT NOT NULL DEFAULT 'DD.MM.YYYY HH:mm'`, `GetByID`/`Create`/`List`-Scans um die Spalte erweitert, neue Methode `UpdateScanTitleDateFormat`), `internal/api/document_handlers.go` (`titleFromOCRText(ocrText, dateLayout string)` — neuer zweiter Parameter; Helper `scanTitleDateLayout`, Konstante `defaultScanTitleDateFormat`, Server-Methode `tenantScanTitleLayout(ctx, tenantID)` lädt Tenant + fällt best-effort auf Default zurück; beide Aufrufer `storeUploadedFile` und `handleReprocessDocument` angepasst), `internal/api/server.go` (2 Routen nach den ldap-config-Routen).
**Routen:** `GET /api/tenant-settings` → `{"scan_title_date_format":"...","available_formats":[...]}` (sortierte Schlüsselliste fürs Frontend-Dropdown), `PUT /api/tenant-settings` Body `{"scan_title_date_format":"..."}` (unbekannter Schlüssel → 400). Beide `s.authAdmin` (min. domain_admin). superadmin muss `?tenant_id=` mitgeben, domain_admin ist auf Session-Tenant gepinnt (IDOR-sicher, Query ignoriert). Create/Update im Audit-Log via `audit.EventTenantMgmt`, auch Fehlschläge (`Success:false`).
**Kein lokaler go build** (kein Go auf diesem Rechner). Manuell gegen echte Definitionen geprüft: `s.tenantStore *tenantstore.Store` mit `GetByID(ctx, id int64) (*Tenant, error)` (store.go), neue `UpdateScanTitleDateFormat(ctx, tenantID int64, format string) error`; `s.authAdmin` (server.go:136), `sessionFromCtx(...)` liefert `.Role`/`.TenantID *int64`/`.Username`, `userstore.RoleSuperAdmin`/`RoleDomainAdmin`, `writeJSON`/`writeError`, `audit.Entry`{EventType/Username/TenantID/Success/Detail} + `audit.EventTenantMgmt` (audit.go:27) — alle identisch zu `ldap_handlers.go` verwendet. `titleFromOCRText`-Aufrufer: reprocess nutzt lokale `ctx`+`tenantID` (Zeile ~223/tenantID im Scope), `storeUploadedFile` hat Parameter `ctx context.Context`+`tenantID int64` (Zeile 568/569). `context` bereits importiert. `strconv` in tenant_settings_handlers.go importiert.
**Status:** Noch nicht deployed. Schema-Change idempotent über initSchema. Kein Reindex nötig. Frontend-Dropdown folgt separat (bekommt `available_formats` mitgeliefert).
**Projekt:** archivdms

---

## 2026-07-16 – Deploy: Notes, SavedViews, OCR-Pixel-Guard
**Vorgehen:** rsync nach root@192.168.1.204:/root/archivdms-src/, `bash update.sh`. Erster Lauf brach beim Binary-Kopieren mit `Text file busy` ab (Backend-Service lief noch parallel zum eigentlichen Stop-Schritt) — behoben durch expliziten `systemctl stop archivdms` vor erneutem `update.sh`-Lauf. Go-Build selbst kompilierte beim ersten Versuch bereits fehlerfrei (nur transitive Modul-Downloads für go-ldap/kr-text/go-internal, kein Code-Fehler in den drei Features). Kein Fix an Notes/SavedViews/OCR-Code nötig.
**Verifikation:** `systemctl is-active archivdms archivdms-web` → beide `active`, journalctl zeigt sauberen Start ohne Fehler. `psql \dt document_notes saved_views` → beide Tabellen vorhanden (idempotent via initSchema angelegt). Smoketest ohne Auth: `GET/POST /api/documents/1/notes` und `GET/POST /api/saved-views` → alle vier 401 wie erwartet (Routing + Auth-Middleware korrekt verdrahtet).
**Status:** Alle drei Features live auf 192.168.1.204. Frontend für Notes/SavedViews folgt separat.
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Gespeicherte Suchansichten (SavedViews, noch nicht deployed)
**Beschreibung:** Paperless-ngx inspiriert: Nutzer speichern ihre aktuelle Such-/Filter-Query als benannte, wiederverwendbare Ansicht. `filters` speichert die serialisierte `index.SearchQuery` als JSONB (1:1 wieder einlesbar). Ansicht privat für Ersteller, außer `is_shared=true` → tenant-weit sichtbar, aber weiterhin nur vom Ersteller änderbar/löschbar. Create/Update/Delete im Audit-Log.
**Neue Dateien:** `internal/storage/saved_views.go` (`initSavedViewsSchema`, `SavedView`-Struct mit `Filters json.RawMessage`, `CreateSavedView`/`ListSavedViews`/`UpdateSavedView`/`DeleteSavedView`, Sentinel-Errors `ErrSavedViewNotFound`/`ErrSavedViewForbidden`, Helper `savedViewMissReason`), `internal/api/saved_view_handlers.go` (List/Create/Update/Delete-Handler + `savedViewErrStatus`), `internal/storage/migrations/014_saved_views.sql` (Doku-only, Source of Truth bleibt Go-Code).
**Geänderte Dateien:** `internal/storage/documents.go` (`initSavedViewsSchema`-Aufruf in `initSchema` NACH `initDocumentNotesSchema`), `internal/audit/audit.go` (`EventSavedViewCreate`/`Update`/`Delete`), `internal/api/server.go` (4 Routen, eigener Block nach den notes-Routen, NICHT unter `/api/documents/{id}/...` da tenant-weit).
**Routen:** `GET /api/saved-views` → `{"views":[...]}` (eigene + geteilte), `POST /api/saved-views` Body `{"name","filters","is_shared"}` (leerer Name → 400, leere filters → `{}` Default), `PATCH /api/saved-views/{id}` (nur Ersteller, 403/404), `DELETE /api/saved-views/{id}` (nur Ersteller). Alle `s.auth`, tenant-scoped.
**Sicherheit:** Update/Delete filtern `WHERE id AND tenant_id AND user_id` (IDOR-Guard, nur Ersteller). Bei 0 Zeilen disambiguiert `savedViewMissReason` zwischen 404 (existiert nicht im Tenant) und 403 (fremder Ersteller). `ListSavedViews` nutzt `make([]SavedView, 0)` (Projekt-Standard gegen nil-slice→JSON-null).
**Kein lokaler go build** (kein Go auf diesem Rechner). Manuell gegen echte Definitionen geprüft: `s.db *pgxpool.Pool` (QueryRow/Query/Exec, storage.go:35), `pgx.ErrNoRows`, `index.SearchQuery`-Felder (Query/TagIDs/DocTypeID/ACLGroupIDs/Page/PageSize — index.go:50, filters wird als opaker JSON durchgereicht, kein direktes Struct-Mapping im Backend nötig), `sessionFromCtx`/`writeJSON`/`writeError` (server.go 363/369/381), `audit.Entry`-Felder (EventType/Username/TenantID/DocumentID/Success/Detail), `auth.Session`-Felder (`UserID int64`, `TenantID *int64`, `Username`, `Role` — auth.go:26), `initDocumentNotesSchema`-Einhängepunkt (documents.go:186). Neue Audit-Konstanten `audit.EventSavedView*`.
**Status:** Noch nicht deployed. Schema-Change idempotent über initSchema. Kein Reindex nötig (SavedViews nicht im Volltext-Index).
**Projekt:** archivdms

---

## 2026-07-16 – Feature: Freitext-Notizen pro Dokument (noch nicht deployed)
**Beschreibung:** Neues kleines Feature (Paperless-ngx inspiriert): reiner Freitext-Kommentar mit Autor + Zeitstempel pro Dokument, klar abgegrenzt von den strukturierten Custom-Fields. Notizen sind KEINE GoBD-Belege → hartes DELETE statt Soft-Delete, aber Create/Delete werden im Audit-Log protokolliert.
**Neue Dateien:** `internal/storage/document_notes.go` (Schema `initDocumentNotesSchema`, `DocumentNote`-Struct, `CreateDocumentNote`/`ListDocumentNotes`/`DeleteDocumentNote`, Sentinel-Errors `ErrNoteNotFound`/`ErrNoteForbidden`), `internal/api/document_note_handlers.go` (List/Create/Delete-Handler), `internal/storage/migrations/013_document_notes.sql` (Doku-only, Source of Truth bleibt Go-Code).
**Geänderte Dateien:** `internal/storage/documents.go` (`initDocumentNotesSchema`-Aufruf in `initSchema` NACH `initMetadataSuggestionsSchema`), `internal/audit/audit.go` (`EventNoteCreate`/`EventNoteDelete`), `internal/api/server.go` (3 Routen GET/POST/DELETE bei den `/api/documents/{id}/...`-Routen).
**Routen:** `GET /api/documents/{id}/notes` → `{"notes":[...]}`, `POST /api/documents/{id}/notes` Body `{"text":"..."}` (leer → 400, Autor = sess.UserID), `DELETE /api/documents/{id}/notes/{noteId}` (nur Autor oder domain_admin, 403 sonst, 404 bei falschem Tenant/nicht existent). Alle `s.auth`, tenant-scoped.
**Sicherheit:** `CreateDocumentNote` prüft Dokument-Existenz+Tenant (deleted_at IS NULL) vor Insert (IDOR-Guard). `ListDocumentNotes` nutzt `make([]DocumentNote, 0)` (Projekt-Standard gegen nil-slice→JSON-null). `DeleteDocumentNote` liest author_id, vergleicht gegen requesterID/isAdmin bevor DELETE.
**Kein lokaler go build** (kein Go auf diesem Rechner). Manuell gegen echte Definitionen geprüft: `s.db *pgxpool.Pool` (QueryRow/Query/Exec), `pgx.ErrNoRows`, `s.store`-Methoden neu, `sessionfromCtx`/`writeJSON`/`writeError` (server.go 367/373/385), `auth.HasRole`+`userstore.RoleDomainAdmin`, `audit.Entry`-Felder, `storage.ErrDocumentNotFound`. `sess.UserID`/`sess.TenantID *int64`/`sess.Role`/`sess.Username` aus `auth.Session`.
**Status:** Noch nicht deployed. Schema-Change idempotent über initSchema. Kein Reindex nötig (Notizen sind nicht im Volltext-Index).
**Projekt:** archivdms

---

## 2026-07-16 – Datenbereinigung: Testartefakt Dokument-ID 2 gelöscht
**Beschreibung:** Auf Nutzerbestätigung Hard-Delete von `documents.id=2` — `tenant_id=0` war kein gültiger Mandant (nur 1/2/3 existieren im System), eindeutig ein Testartefakt/Datenanomalie ohne gültigen Mandantenbezug. Vor dem Löschen geprüft: Zeile war bereits soft-deleted (`deleted_at` gesetzt, `deleted_by=2`). Alle FK-referenzierenden Tabellen (`reminders`, `document_tags`, `document_field_values`, `document_delete_requests`, `document_grants`, `document_visibility`, `document_shares`) hatten 0 Zeilen zu `document_id=2` — keine Waisen zu bereinigen. `audit_log` referenziert die ID 3x über ein `varchar`-Feld ohne FK-Constraint (append-only, WORM-Trigger gegen UPDATE/DELETE) — bewusst unangetastet gelassen, Audit-Trail bleibt bestehen wie bei jeder Löschung üblich.
**Ausgeführt:** `delete from documents where id=2;` (1 Zeile). Zugehörige WORM-Datei `/var/lib/archivdms/store/0/2026/07/1618709a695a2a6dc1ce498402fdebf81d8039f29f66400e43b451bd6db839e9.jpg` (read-only `-r--r-----`, 3.559.742 Bytes) als root vom Server-Filesystem entfernt. Verifiziert: `select * from documents where id=2` liefert 0 Zeilen, Datei nicht mehr vorhanden.
**Hinweis:** Dokument 2 war zuvor als Testfall im Deskew-Threshold-Vergleich (siehe Eintrag weiter unten) referenziert — betrifft nur die dortige Doku, keine Code-/Schema-Auswirkung.
**Kein Schema-Change, kein Deploy nötig** — reines DB+Filesystem-Cleanup, kein `initSchema`-Bezug.
**Projekt:** archivdms

---

## 2026-07-16 – Deskew-Vorverarbeitung gegen Schräglage (ImageMagick, noch nicht deployed)
**Beschreibung:** Der vorherige OSD-Fix behebt nur 90°/180°-Grob-Rotation (Tesseract-OSD erkennt ausschließlich 90°-Schritte). Verbleibendes Problem war Schräglage (wenige Grad Neigung bei handgescannten/fotografierten Dokumenten) — dafür neuer Vorverarbeitungsschritt `deskewImage()` in `internal/ocr/ocr.go` (~Zeile 253-300), der `convert <src> -deskew 40% <dst>` (ImageMagick) VOR der bestehenden OSD-Rotation aufruft. Reihenfolge in `runTesseract()`: Deskew zuerst (Feinneigung) → OSD-Rotation (90°/180°) → Tesseract-Erkennung. Best-effort wie der Rest der Pipeline: fehlt `convert`, schlägt der Aufruf fehl oder läuft in den bestehenden `e.timeout()` (Standard 60s), wird mit der Original-Datei ohne Deskew weitergemacht (`ok=false`), kein Abbruch des OCR-Vorgangs. WORM unberührt — `deskewImage` bekommt nie den Pfad in `store/`, nur bereits kopierte Arbeitsdateien (Originalbild bei `ocrImage`, gerasterte Seiten bei `pdfRasterOCR`), Ausgabe landet unter `TmpDir` und wird per `defer cleanup()` gelöscht.
**Server-Paketinstallation:** `imagemagick-7-common` war bereits installiert (nur Metapaket, keine Binary). `apt-get install imagemagick` auf 192.168.1.204 nachgezogen (zieht `imagemagick-7.q16`, `netpbm`, `libnetpbm11t64`, `hicolor-icon-theme` als Abhängigkeiten), liefert jetzt `/usr/bin/convert` (ImageMagick 7.1.1-43 Q16, via update-alternatives auf `convert-im7.q16`).
**Threshold-Wahl:** 40% manuell gegen dms doc ids 2, 7, 8 (bekannte Problemfälle aus der OSD-Diagnose) auf dem Server getestet (`convert ... -deskew 40%` + `tesseract --psm 1`, Vergleich mit/ohne). Deutliche Verbesserung bei doc 7 (vorher fast komplett unlesbares Kauderwelsch, danach klar lesbarer Fließtext "Service-Station", "Halberstädter Chaussee", Adresse etc.) und doc 2 (Wortgrenzen/Zeichenfehler reduziert). 80% probeweise gegen doc 8 getestet — schlechter (Überrotation bei kontrastarmem Beleg), daher bei 40% geblieben. Testartefakte (`/tmp/deskew-test/`) nach Verifikation vom Server gelöscht.
**Neues Feld:** `Extractor.ConvertPath` (analog `TesseractPath`/`PdftoppmPath`), Default `"convert"` über neue Methode `convertPath()`. `ocr.New()`-Signatur unverändert (kein Config-Wiring nötig, wie schon bei `pdftotext`, das ebenfalls fest verdrahtet ist) — Feld ist nur für zukünftige Konfigurierbarkeit vorbereitet.
**Geänderte Dateien:** `internal/ocr/ocr.go` (`deskewImage()`, `convertPath()`, `ConvertPath`-Feld, Aufruf in `runTesseract()`), `cmd/archivdms/main.go` (Startup-Warnung falls `convert` nicht im PATH, analog tesseract/pdftoppm-Check).
**Kein lokaler go build** (kein Go auf diesem Rechner installiert) — Signaturen manuell verifiziert, bestehende Patterns (os/exec, Timeout, best-effort ok-Bool-Rückgabe wie `rotateForOSD`) 1:1 übernommen.
**Status:** Noch nicht deployed. Kein DB-Schema-Change. Kein Reindex-Trigger nötig solange `ocr_text` nur besser statt strukturell anders wird — falls Reprocess-Endpoint auf betroffene Bestandsdokumente angewendet wird, Manticore-Reindex an manticore-performance-Agent übergeben.
**Projekt:** archivdms

---

## 2026-07-16 – Deploy: OCR-OSD-Fix + Reprocess-Endpoint + Bildvorschau
**Zeit:** ca. 09:05–09:20 Uhr. Deploy von drei fertigen lokalen Änderungen (OCR-OSD-Fix `internal/ocr/ocr.go` `--psm 1` mit Fallback, `POST /api/documents/{id}/reprocess`-Endpoint, `DocumentPreview.tsx`-Bildvorschau `<img object-contain>` statt `<iframe>`) via rsync + `update.sh` auf 192.168.1.204. Go-Backend und Next.js-Frontend bauten beim ersten Anlauf sauber durch, kein Fix nötig. Beide Dienste (`archivdms`, `archivdms-web`) aktiv, journalctl fehlerfrei. Smoketest `POST /api/documents/1/reprocess` ohne Auth → 401 wie erwartet. Verifikation des eigentlichen OSD-Fix-Effekts (Dokument 3 neu prozessieren + `ocr_text` prüfen) **nicht durchgeführt** — keine Admin-Test-Credentials verfügbar (Passwörter bewusst nicht in Memory abgelegt, Sicherheitsprinzip). `ocr_text` von Dokument 3 zeigt aktuell noch den alten kaputten Text (Kauderwelsch), da Reprocess noch nicht ausgelöst wurde. Offen: Nutzer müsste Reprocess selbst mit gültigem Login auslösen oder Credentials bereitstellen.

## 2026-07-16 – Re-OCR / Neu-Verarbeitung bereits archivierter Dokumente (Backend)
**Beschreibung:** Neuer Endpoint `POST /api/documents/{id}/reprocess` (`handleReprocessDocument` in `internal/api/document_handlers.go`), damit Dokumente mit kaputtem `ocr_text` aus älteren OCR-Läufen (gedrehte Handyfotos vor dem EXIF-Orientation-Fix in `internal/ocr/ocr.go`) ohne Re-Upload neu extrahiert werden können. Läuft synchron im Request (kein Job-Queue-System vorhanden), gleiches Pipeline-Muster wie der Upload-Pfad `storeUploadedFile`: OCR erneut via `s.ocr.Extract(ctx, doc.StoragePath, mimeType)`, `ocr_text` per neuer Store-Methode `UpdateDocumentOCRText` aktualisiert, danach best-effort `autoAssignTaxonomy` (nur additiv: füllt doc_type/correspondent nur wenn noch leer, hängt Tags nur an) und `RunWorkflowsForDocument(..., WorkflowTriggerOnUpload)`. **WORM unberührt** — nur die abgeleitete Metadatenspalte `ocr_text` wird neu geschrieben, die Datei im Store nie. Titel wird nur neu abgeleitet, wenn er noch der Auto-Platzhalter „Scan …" ist (`isAutoDerivedTitle`), nie bei manueller Umbenennung. ACL/Tenant-Check via `s.store.GetDocument(ctx, id, *sess.TenantID)` (404 bei nicht gefunden/kein Zugriff), `s.auth` (kein Admin nötig). Audit-Event `EventDocumentReprocessed` (neu in `internal/audit/audit.go`), inkl. Fehlschläge (document_not_found, ocr_extractor_not_configured, ocr_failed, update_ocr_text_failed). Response: aktualisiertes Document-JSON (nach Re-Read, damit doc_type/correspondent aus Auto-Assign sichtbar sind).
**Neue Store-Methode:** `UpdateDocumentOCRText(ctx, id, tenantID int64, ocrText string) error` in `internal/storage/documents.go`, Muster analog `UpdateDocumentTitle` (UPDATE mit WHERE id+tenant_id, `nullIfEmpty(ocrText)`, `ErrDocumentNotFound` bei 0 Rows, `s.SyncIndex`). Kein Schema-Change (`ocr_text` existiert bereits) → keine Migrationsdatei nötig.
**Geprüfte Symbole (kein lokaler go build):** `s.ocr.Extract(ctx, filePath, mimeType string) (*ocr.Result, error)` mit `Result{Text string; Barcodes []string}` (ocr.go:37/94), `s.store.GetDocument(ctx, id, tenantID int64) (*Document, error)`, `s.autoAssignTaxonomy(ctx, tenantID int64, doc *storage.Document, barcodes []string, ocrText string) string`, `s.store.RunWorkflowsForDocument(ctx, tenantID, doc, storage.WorkflowTriggerOnUpload)` (identischer Aufruf wie in storeUploadedFile), `s.store.UpdateDocumentTitle`, `titleFromOCRText`, `detectMimeType("", ext)`, `storage.ErrDocumentNotFound`, `sessionFromCtx(...).TenantID *int64`. Imports (errors, fmt, filepath, strconv, strings, storage, audit) alle bereits in document_handlers.go vorhanden.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/document_handlers.go` (Handler + isAutoDerivedTitle), `internal/storage/documents.go` (UpdateDocumentOCRText), `internal/audit/audit.go` (EventDocumentReprocessed), `internal/api/server.go` (Route).

---

## 2026-07-16 – Tabs (Details/Inhalt/Verlauf) in der Dokumentvorschau (Frontend)
**Beschreibung:** Letzter Schritt der Paperless-ngx-Adaption: Die Seitenleiste in `src/components/documents/DocumentPreview.tsx` wurde in drei Tabs (shadcn `Tabs`, `src/components/ui/tabs.tsx` bereits vorhanden, `@radix-ui/react-tabs` bereits in package.json) gegliedert. **Details** (Standard) enthält unverändert den bisherigen Sidebar-Inhalt (Titel-Edit, Tags, Dokumenttyp/Korrespondent-Comboboxen, Vorschlags-Chips, Erstellungsdatum). **Inhalt** zeigt `document.ocr_text` read-only in einem scrollbaren `<pre>` mit `whitespace-pre-wrap`, monospace, `bg-muted`; leerer Text → Hinweis „Kein OCR-Text vorhanden.". **Verlauf** lädt den Audit-Trail lazy erst beim ersten Öffnen des Tabs (`handleTabChange`, danach im State gecacht) über die neue Client-Funktion `getDocumentAuditLog(documentId)` (`GET /api/documents/{id}/audit`); Einträge neueste zuerst sortiert, pro Zeile Event-Typ, lokal formatierter Zeitstempel (`toLocaleString("de-DE")`), Nutzer, IP, optionaler Detail-Text, sowie grünes „Erfolg"/rotes „Fehlschlag"-Badge je `success`. Ladefehler → dezente Fehlermeldung statt Crash. `?? []`-Guards auf `res.entries` und die State-Liste.
**API-Client:** In `src/lib/api.ts` Typen `AuditEntry`/`AuditLogResponse` + Funktion `getDocumentAuditLog(documentId)` ergänzt. `ocr_text` war im `Document`-Typ bereits deklariert.
**Hinweis:** Kein npm install — nur bestehende shadcn/ui-Komponenten. Build-Verifikation via Deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/components/documents/DocumentPreview.tsx` (geändert), `src/lib/api.ts` (geändert).

---

## 2026-07-16 – Dokument-Audit-Trail (Verlauf-Tab) je Dokument (Backend)
**Beschreibung:** Neuer Handler `handleDocumentAuditLog` in `internal/api/audit_handlers.go`, Route `GET /api/documents/{id}/audit` (registriert in `server.go` bei den anderen `/api/documents/{id}/...`-Routen, direkt nach `/file`). Liefert den auf ein einzelnes Dokument gefilterten Audit-Trail für die Dokumentvorschau. Im Gegensatz zur bestehenden `/api/audit`-Route (bleibt bewusst domain_admin-only, voller Tenant-Log) für jeden eingeloggten Nutzer via `s.auth` erreichbar — aber mit ACL/Tenant-Check: `s.store.GetDocument(ctx, id, *sess.TenantID)` (gleiches Muster wie `handleGetDocument`/`handleGetDocumentFile`), 404 bei nicht gefunden/kein Zugriff, bevor der Log ausgegeben wird. Query via `audit.QueryFilter{TenantID: sess.TenantID, DocumentID: strconv.FormatInt(id, 10)}`. Response identisch zu `handleAuditLog`: `{"entries": [...], "total": n}`.
**Format-Abgleich DocumentID:** `audit.QueryFilter.DocumentID` ist `string`, Spalte `document_id VARCHAR(64)`. Insert-Seite in `document_handlers.go` befüllt `audit.Entry.DocumentID` mit `strconv.FormatInt(doc.ID, 10)` bzw. `r.PathValue("id")` (beides dezimaler String ohne Padding) — Query hier nutzt exakt `strconv.FormatInt(id, 10)`, identisches Format, Filter matcht.
**Geprüfte Symbole (kein lokaler go build):** `s.store.GetDocument(ctx, id int64, tenantID int64) (doc, error)` (Signatur aus handleGetDocument bestätigt), `s.audlog.Query(audit.QueryFilter) ([]Entry, int, error)`, `audit.QueryFilter{TenantID *int64, DocumentID string}`, `sessionFromCtx(...).TenantID *int64`, `r.PathValue("id")`. Import `strconv` in audit_handlers.go ergänzt.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/audit_handlers.go` (Handler + strconv-Import), `internal/api/server.go` (Route).

---

## 2026-07-16 – Dokumenttyp & Korrespondent editierbar in der Dokumentvorschau (Frontend)
**Beschreibung:** In `src/lib/api.ts` zwei Client-Funktionen `setDocumentDocType(documentId, docTypeId: number|null)` und `setDocumentCorrespondent(documentId, correspondentId: number|null)` ergänzt (analog Stil zu `attachTag`/`updateDocumentTitle`), die die neuen Backend-Endpunkte `PUT /api/documents/{id}/doc-type` bzw. `.../correspondent` konsumieren (Body `{"doc_type_id"|"correspondent_id": number|null}`, null entfernt die Zuordnung). In `src/components/documents/DocumentPreview.tsx` Dokumenttyp und Korrespondent von reinen Anzeige-Badges zu editierbar umgebaut: gleiches UX-Pattern wie das bestehende Tag-Popover (shadcn Popover + Command-Combobox mit Suche), Liste aus den bereits geladenen `docTypes`/`correspondents`-Props, plus Option „Keine Zuordnung" zum Entfernen. Klick auf einen Eintrag ruft `setDocumentDocType`/`setDocumentCorrespondent` + `router.refresh()`. Kein Freitext-Neuanlegen (läuft über Taxonomie-Verwaltung in den Settings). Die bislang nur informativen Vorschlags-Chips für Dokumenttyp/Korrespondent (vormals `border-muted-foreground/40`, nicht klickbar) jetzt klickbar gemacht: übernehmen den Vorschlag via Set-Funktion, danach `router.refresh()` + best-effort `markSuggestionReviewed` (gleiches Muster wie Tag-/Titel-Chips); Stil auf `suggestionClass` vereinheitlicht. Fehler (400/404 bei ungültiger/fremder ID) → Toast, kein Crash. Alle Listen `?? []`-geguardet.
**Hinweis:** Kein npm install — nur bestehende shadcn/ui-Komponenten (Popover, Command, Badge, Button). Build-Verifikation via Deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/lib/api.ts` (geändert), `src/components/documents/DocumentPreview.tsx` (geändert).

---

## 2026-07-16 – Deploy: Set-Endpoints & editierbare Dokumenttyp/Korrespondent-Chips
**Beschreibung:** rsync nach `root@192.168.1.204:/root/archivdms-src/`, `update.sh` ausgeführt. Go-Backend (neue Handler `PUT /api/documents/{id}/doc-type` und `.../correspondent`, neue Audit-Events) und Next.js-Frontend (editierbare Comboboxen + Vorschlags-Chips in `DocumentPreview.tsx`) bauten beide auf Anhieb sauber durch, keine Fixes nötig.
**Projekt:** archivdms

### Verifikation
- `systemctl is-active archivdms archivdms-web` → beide `active`, journalctl beider Dienste ohne Fehler (nur reguläre Stop/Start-Zyklen durch update.sh)
- `PUT /api/documents/1/doc-type` ohne Auth → 401
- `PUT /api/documents/1/correspondent` ohne Auth → 401
- `/documents/1` (Frontend) → weiterhin 307 Redirect zu Login

---

## 2026-07-16 – Set-Endpoints für Dokumenttyp & Korrespondent (Backend)
**Beschreibung:** Zwei dedizierte HTTP-Endpunkte ergänzt, um Dokumenttyp und Korrespondent eines Dokuments manuell zu setzen bzw. zu entfernen — bislang wurden `SetDocumentDocType`/`SetDocumentCorrespondent` nur intern beim Upload/Auto-Assign aufgerufen (kein REST-Zugang, Frontend-Chips daher nur informativ). Bewusst ZWEI dedizierte `PUT`-Endpunkte statt einer Erweiterung des `PATCH /api/documents/{id}`-Titel-Handlers gewählt: Der Titel-Handler nutzt ein simples single-field-Pattern mit „title required"; das Kommentar im Code (Zeile ~162) dokumentierte bereits die Absicht dedizierter Set-Endpunkte, weil das Setzen des Dokumenttyps eine ACL-Visibility-Recompute auslöst. `PUT /api/documents/{id}/doc-type` (Body `{"doc_type_id": number|null}`) und `PUT /api/documents/{id}/correspondent` (Body `{"correspondent_id": number|null}`). Request-Structs nutzen `*int64`-Pointer → `null` oder `0` entfernt die Zuordnung (Store-Konvention: 0 = keine Zuordnung). Tenant-Scoping wie beim Titel-Handler (`sess.TenantID`), plus Ownership-Check via `GetDocument` (404 bei fremdem/fehlendem Dokument) und Cross-Tenant-IDOR-Schutz: die referenzierte Taxonomie-Entität wird gegen `ListTaxonomyEntities(kind, tenantID)` geprüft (Helper `taxonomyEntityBelongsToTenant`), 0/null überspringt den Lookup. Visibility-Recompute wird NICHT extra angestoßen — `SetDocumentDocType` ruft `RecomputeVisibility` intern, `SetDocumentCorrespondent` synct nur den Index (Korrespondent ist nicht Teil der ACL); verifiziert in `taxonomy.go` Z. 364-387. Audit-Log bei Erfolg UND Fehlversuch (neue Events `EventDocTypeSet`/`EventCorrespondentSet` in audit.go).
**Hinweis:** Kein `go build` in der Sandbox. Manuell gegen echte Definitionen geprüft: `SetDocumentDocType(ctx, documentID, tenantID, docTypeID int64) error` und `SetDocumentCorrespondent(ctx, documentID, tenantID, correspondentID int64) error` (taxonomy.go 365/378), `GetDocument(ctx, id, tenantID int64) (*Document, error)` (documents.go 187), `ListTaxonomyEntities(ctx, kind string, tenantID int64) ([]TaxonomyEntity, error)` mit Feld `.ID` (taxonomy.go 176). Route-Registrierung nach Vorbild `PATCH /api/documents/{id}`.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/document_handlers.go` (2 Handler + Helper + Request-Structs), `internal/api/server.go` (2 Routen), `internal/audit/audit.go` (2 Event-Konstanten).

---

## 2026-07-16 – Vorschlags-Chips (heuristische Metadaten) in der Dokumentvorschau (Frontend)
**Beschreibung:** Paperless-ngx-Vorbild angepasst: klickbare Vorschlags-Chips in `src/components/documents/DocumentPreview.tsx`, die die bestehenden Backend-Endpunkte `POST/GET /api/documents/{id}/suggest-metadata` und `POST .../{suggestionId}/reviewed` konsumieren (Provider „heuristic", OCR-basiert, kein LLM). In `src/lib/api.ts` Typen `SuggestionCandidate`/`SuggestionPayload`/`MetadataSuggestion` plus `generateSuggestions`/`getLatestSuggestion`/`markSuggestionReviewed` ergänzt; `getLatestSuggestion` behandelt 404 (ErrSuggestionNotFound) sauber als `null` statt Fehler (eigener fetch statt apiFetch). Die Vorschau lädt beim Mount via `useEffect` nur den zuletzt gespeicherten Vorschlag (kein Auto-Generieren — spart Server-OCR), ein Button „Vorschläge aktualisieren" (Sparkles-Icon) triggert `generateSuggestions`. Chips visuell unterscheidbar von zugewiesenen Badges: `variant="outline"` + gestrichelter Rahmen + dezenter Primary-Tint; Score als kleine Prozentzahl + Tooltip (`title`). Titel-Chip → `updateDocumentTitle`, Tag-Chips (gefiltert um bereits zugewiesene) → `attachTag`, danach jeweils `markSuggestionReviewed` (best-effort) + `router.refresh()`. Dokumenttyp/Korrespondent haben noch keinen Set-Endpunkt im api.ts → Chips nur informativ (gedämpfter Stil, ohne Klick-Aktion), Edit-Dropdown folgt separat. Alle Kandidatenlisten `?? []`-geguardet (Go nil-slice→JSON-null). Keine Sektion/leerer Rahmen, wenn kein Vorschlag/leere Liste.
**Hinweis:** Kein npm install — nur bestehende shadcn/ui-Komponenten (badge, button) + Sparkles aus lucide-react. Build-Verifikation via Deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/lib/api.ts` (geändert), `src/components/documents/DocumentPreview.tsx` (geändert).

---

## 2026-07-16 – Dokumentenvorschau-Seite mit Tag-Verwaltung (Frontend)
**Beschreibung:** Neue Detail-/Vorschauseite `/documents/{id}` auf Wunsch „brauchen auch eine dokumentenvorschau um tags hinzuzufügen oder sogar bearbeiten". Server Component `src/app/(app)/documents/[id]/page.tsx` lädt SSR (Session-Cookie via `serverApiFetch`) das Dokument (`GET /api/documents/{id}`), zugewiesene Tags, den Tenant-Tag-Pool sowie Dokumenttypen/Korrespondenten und übergibt sie an das Client-Island `src/components/documents/DocumentPreview.tsx`. Alle Array-Antworten mit `?? []`/`.catch(() => [])` gegen das Go nil-slice→JSON-null-Muster abgesichert. Vorschau: `<iframe src="/api/documents/{id}/file">` (same-origin, Cookie-Auth greift automatisch, Browser-natives PDF/Bild-Rendering, keine PDF.js-Lib). Rechte Seitenleiste: Inline-Titel-Edit (Pencil-Pattern aus DocumentsTable dupliziert, kein Overengineering-Umbau), Tags als entfernbare Badges (X → `detachTag`) plus Popover+Command-Combobox (gefiltert um bereits zugewiesene Tags) zum Hinzufügen via `attachTag`, Dokumenttyp/Korrespondent als Anzeige-Badges. Mutationen via `router.refresh()` (Projektkonvention). `getDocument(id)` in `src/lib/api.ts` ergänzt. In `DocumentsTable.tsx` Verlinkung ergänzt: Eye-Icon-Link neben dem Titel-Edit + „Vorschau"-Button in der Aktionen-Spalte; bestehender Inline-Titel-Edit unverändert.
**Hinweis:** Kein npm install in dieser Umgebung — nur bestehende shadcn/ui-Komponenten (command, popover, badge, input, button) verwendet, keine neuen Dependencies. Build-Verifikation via Deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/app/(app)/documents/[id]/page.tsx` (neu), `src/components/documents/DocumentPreview.tsx` (neu), `src/lib/api.ts` (geändert), `src/components/documents/DocumentsTable.tsx` (geändert).

---

## 2026-07-16 – Datei-Auslieferung für Browser-Vorschau (Backend)
**Beschreibung:** Neuer Endpoint `GET /api/documents/{id}/file` liefert die gespeicherten Datei-Bytes eines Dokuments für Inline-Vorschau (PDF/Bild direkt im Browser). Handler `handleGetDocumentFile` in `internal/api/document_handlers.go`: gleiche Tenant-Scoping-Logik wie `handleGetDocument` (`s.store.GetDocument(ctx, id, *sess.TenantID)`), unbekannte id **und** fremder Tenant → einheitlich 404 (keine Existenz-Preisgabe, konsistent mit `handleGetDocument`). Datei via `os.Open(doc.StoragePath)` + `io.Copy` gestreamt (identisches Muster wie `handlePublicShareDownload`), Content-Type über `detectMimeType("", ext)` aus der Datei-Endung des Storage-Pfads abgeleitet (Document-Struct hat kein MIME-Feld), `Content-Disposition: inline` mit `safeDownloadName(doc.Title, ext)`, `X-Content-Type-Options: nosniff`. Datei fehlt auf Disk (WORM sollte das verhindern) → 500 + `s.logger.Error`. Kein Audit-Log (reines Lesen — konsistent mit `handleGetDocument`, das ebenfalls nicht auditiert). Route in `server.go` bei den übrigen `/api/documents/{id}/...`-Routen registriert.
**Hinweis:** Kein Go-Toolchain in Sandbox — manuell gegen echte Definitionen geprüft: `storage.Document`-Feldnamen `StoragePath`/`Title`/`ID` (documents.go:30-47, kein MimeType-Feld vorhanden → Endung genutzt), `Store.GetDocument(ctx, id, tenantID int64) (*Document, error)` (documents.go:187), package-Helfer `detectMimeType(contentType, ext string) string` (document_handlers.go:599) und `safeDownloadName(title, ext string) string` (public_share_handlers.go:188), `auth.Session{UserID, TenantID *int64}`/`sessionFromCtx`/`writeError`, `s.logger`. Imports (`os`/`io`/`path/filepath`/`strconv`) bereits vorhanden. Noch nicht gebaut/deployt — Build-Verifikation via devops-deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/document_handlers.go` (geändert), `internal/api/server.go` (geändert).

---

## 2026-07-16 – Workflows + heuristische Metadaten-Vorschläge: Erster Build+Deploy (Verifikation)
**Beschreibung:** Erster echter Compile-Check der im vorherigen Eintrag beschriebenen Features (nie zuvor mit Go-Toolchain geprüft). rsync nach `/root/archivdms-src` auf 192.168.1.204, dort zunächst `go mod tidy` nötig (go.sum unvollständig für mehrere bestehende Abhängigkeiten, nicht durch die neuen Features verursacht), danach `go build ./...` **fehlerfrei im ersten Anlauf** — keine Signatur-/Typ-Fixes nötig, die vom Vorgänger-Agent dokumentierten Annahmen (`RunWorkflowsForDocument(ctx, tenantID, doc, triggerType)`, Audit-Konstanten, Request-/Result-Typen) waren korrekt. `update.sh` komplett durchgelaufen: Go-Backend gebaut, Next.js-Frontend gebaut (unverändert, kompiliert weiter fehlerfrei), beide Dienste sauber neu gestartet.
**Verifikation:** `psql \dt` zeigt alle vier neuen Tabellen (`workflows`, `workflow_actions`, `workflow_runs`, `metadata_suggestions`) — von `initSchema` idempotent angelegt, Migrations-Doku-Dateien 012_*.sql wie erwartet nur Dokumentation. journalctl (archivdms + archivdms-web, letzte Logs) ohne Errors/Panics/Fatals. Smoketest unauthenticated: `GET /api/workflows` → 401, `POST /api/documents/1/suggest-metadata` → 401 (Routen existieren, Auth-Middleware greift). `systemctl is-active` beide `active`.
**Projekt:** archivdms

### Geänderte/neue Dateien
Deploy-Verifikation, keine Code-Änderungen — betrifft die im vorherigen Eintrag genannten Backend-Dateien.

---

## 2026-07-16 – Workflows + heuristische Metadaten-Vorschläge: Verdrahtung/API (Backend)
**Beschreibung:** Zwei von Vorgänger-Agenten begonnene Features (Storage-Layer fertig) fertig verdrahtet. **Workflows/Consumption-Regeln:** Audit-Events `EventWorkflowCreate/Update/Delete/Run` in `internal/audit/audit.go` ergänzt; Handler-Datei `internal/api/workflow_handlers.go` (neu) mit CRUD (`GET/POST /api/workflows`, `GET/PUT/DELETE /api/workflows/{id}`), Action-Bulk-Replace (`PUT /api/workflows/{id}/actions`), Dry-Run (`POST /api/workflows/{id}/test`), Runs-Liste (`GET /api/workflows/{id}/runs`) — CRUD+Actions domain_admin, Test+Runs normale Tenant-Aktion, jede schreibende Op audit-geloggt inkl. Fehlschlag; Routen in `server.go`. Upload-Pipeline: in `document_handlers.go` `storeUploadedFile` nach `autoAssignTaxonomy` `RunWorkflowsForDocument(ctx, tenantID, doc, storage.WorkflowTriggerOnUpload)` best-effort (nur `s.logger.Warn`, nie Upload-Fehler). Migration-Doku `012_workflows.sql`. **Heuristische Metadaten-Vorschläge (KEIN LLM):** `initMetadataSuggestionsSchema` in `documents.go initSchema` verdrahtet (nach initWorkflowsSchema); Audit-Event `EventSuggestionGenerated`; Handler `internal/api/metadata_suggestion_handlers.go` (neu): `POST/GET /api/documents/{id}/suggest-metadata` + `POST /api/documents/{id}/suggest-metadata/{suggestionId}/reviewed` — liefert nur Vorschläge, wendet nie an (Anwenden über normale Edit-Endpunkte); Routen in `server.go`. Migration-Doku `012_metadata_suggestions.sql`.
**Hinweis:** Kein Go-Toolchain in Sandbox — jede referenzierte Signatur manuell gegen die Definition geprüft: `RunWorkflowsForDocument(ctx, tenantID int64, doc *Document, triggerType string)` (Task-Beschreibung war ungenau, echte Signatur verwendet), `CreateWorkflowRequest`/`UpdateWorkflowRequest`-Felder, `SetWorkflowActions([]WorkflowActionInput)`, `TestWorkflow(ctx, id, tenant, *int64, string)→*WorkflowTestResult`, `ListWorkflowRuns(ctx, id, tenant, limit)`, `GenerateHeuristicSuggestions(ctx, docID, tenant, *int64)`, `GetLatestSuggestion`, `MarkSuggestionReviewed(ctx, id, tenant, reviewedBy int64)`, Fehler-Sentinels (`ErrWorkflowNotFound/ErrDuplicateWorkflowName/ErrInvalidConditionTree/ErrInvalidWorkflowAction/ErrSuggestionNotFound/ErrDocumentNotFound`), `audit.Entry`-Felder, `auth.Session{UserID int64, Username string, TenantID *int64}`, `writeJSON/writeError/sessionFromCtx`. Noch nicht gebaut/deployt — Build-Verifikation via devops-deploy.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/audit/audit.go` (geändert), `internal/storage/documents.go` (geändert), `internal/api/server.go` (geändert), `internal/api/document_handlers.go` (geändert), `internal/api/workflow_handlers.go` (neu), `internal/api/metadata_suggestion_handlers.go` (neu), `internal/storage/migrations/012_workflows.sql` (neu), `internal/storage/migrations/012_metadata_suggestions.sql` (neu).

---

## 2026-07-16 – Klassifizierungsvorlagen Frontend (Phase 3)
**Beschreibung:** Frontend zum frisch gelieferten Backend für Klassifizierungsvorlagen ("Klassifizierungsvorlage" = gebündelte Klassifizierung aus Dokumenttyp, Tags, Feld-Vorgaben und Aufbewahrungsdauer). `lib/api.ts`: Typen (`ClassificationTemplate`, `TemplateFieldDefault`, `TemplateFieldDefaultInput`, `TemplateInput`, `FieldDefaultChange`, `ApplyTemplateResult`) exakt nach den Go-JSON-Tags plus Client-Funktionen (`listClassificationTemplates(docTypeId?)`, `getClassificationTemplate`, `create/update/deleteClassificationTemplate`, `setTemplateTags`, `setTemplateFieldDefaults`, `applyTemplate`). Admin-Verwaltung: Server-Component `/settings/classification-templates` (Rollen-Gate domain_admin/superadmin) lädt Vorlagen + Dokumenttypen + Tags + Custom-Fields, Client-Island `ClassificationTemplateManager.tsx` (CRUD-Liste + Dialog mit Name/Beschreibung/Dokumenttyp-Dropdown/retain_years/Aktiv-Toggle/Tag-Multi-Select als Badge-Toggle/Feld-Vorgaben-Editor je Feldtyp inkl. Overwrite-Checkbox; Speichern in 3 Endpunkten: core → tags → field-defaults; Löschbestätigung). Anwenden: `ApplyTemplateDialog.tsx` (Vorlagen-Picker gefiltert nach doc_type_id, dry_run-Vorschau als lesbares Diff — Tags add/vorhanden, Felder set/überschreiben/übersprungen, Aufbewahrung vorher→nachher bzw. "blockiert"-Hinweis bei RetainUntilBlocked, Overwrite-Checkbox default off, Bestätigen re-callt mit dry_run=false), verdrahtet als Button "Vorlage anwenden" in `DocumentsTable.tsx`. Settings-Index-Karte ergänzt. Alle Array-Props/-Results mit `?? []` normalisiert (Defense-in-Depth trotz Go-Root-Fix).
**Hinweis:** Kein Node-Toolchain in Sandbox — Importpfade und konsumierte Typen/Funktionen manuell gegen `lib/api.ts` geprüft. Noch nicht gebaut/deployt.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/lib/api.ts` (geändert), `src/app/(app)/settings/classification-templates/page.tsx` (neu), `src/components/classification-templates/ClassificationTemplateManager.tsx` (neu), `src/components/classification-templates/ApplyTemplateDialog.tsx` (neu), `src/components/documents/DocumentsTable.tsx` (geändert), `src/app/(app)/settings/page.tsx` (geändert).

---

## 2026-07-16 – Klassifizierungsvorlagen: Erster Build+Deploy (Backend+Frontend komplett)
**Beschreibung:** Erster Compile-Check des kompletten neuen Feature-Umfangs (Backend: `internal/storage/classification_templates.go`, `internal/storage/classification_templates_apply.go`, `internal/api/classification_template_handlers.go`, Migration `011_classification_templates.sql`, plus Änderungen an `internal/audit/audit.go`, `internal/storage/documents.go`, `internal/api/server.go` mit 8 neuen Routen; Frontend wie oben). Deploy via rsync + `update.sh` auf 192.168.1.204: Go-Backend baute fehlerfrei, Next.js/TypeScript-Build (`next build`, Turbopack) kompilierte fehlerfrei inkl. TypeScript-Check, neue Route `/settings/classification-templates` erscheint korrekt in der Next.js-Routenliste. Beide Dienste (archivdms, archivdms-web) starteten sauber neu.
**Hinweis:** Voller Retest erfolgreich: 11 Frontend-Routen (inkl. `/settings/classification-templates`) → 307 durch nginx, 9 API-Endpunkte (inkl. `/api/classification-templates`) unauthenticated → 401, `PATCH /api/documents/1` unauth → 401, `POST /api/documents/1/apply-template` unauth → 401. journalctl (archivdms + archivdms-web, letzte 15 min) ohne Panics/Errors. `df -h` 6% belegt, `free -h` 3.8Gi verfügbar. psql: `classification_templates`, `classification_template_tags`, `classification_template_field_defaults` existieren (Schema via initSchema angelegt), je 0 Zeilen wie erwartet.
**Projekt:** archivdms

### Geänderte/neue Dateien
Deploy-Verifikation, keine Code-Änderungen — betrifft alle in den vorherigen zwei Einträgen genannten Backend- und Frontend-Dateien.

---

## 2026-07-16 – Dokumenttitel nachträglich bearbeitbar
**Beschreibung:** Nutzerfrage "kann man den Titel konfigurieren" — es gab keine Möglichkeit, den Titel eines bereits hochgeladenen Dokuments zu ändern (nur Tags/Dokumenttyp/Korrespondent/Felder hatten Edit-UI). Neu: `internal/storage/documents.go` `UpdateDocumentTitle` (tenant-scoped UPDATE + Index-Sync, Muster wie `SetDocumentCorrespondent`) + neuer Sentinel `ErrDocumentNotFound`; `internal/api/document_handlers.go` `handleUpdateDocumentTitle` für `PATCH /api/documents/{id}` (Audit-Log Erfolg/Fehlschlag); Route in `server.go` registriert. Frontend: `updateDocumentTitle()` in `lib/api.ts`, Titel-Zelle in `DocumentsTable.tsx` jetzt Click-to-Edit (Stift-Icon bei Hover, Inline-Input, Enter/Escape).
**Hinweis:** Build/Deploy verifiziert (Go+Next.js grün, `PATCH /api/documents/1` unauthenticated → 401).
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/storage/documents.go`, `internal/api/document_handlers.go`, `internal/api/server.go`, `src/lib/api.ts`, `src/components/documents/DocumentsTable.tsx` (alle geändert).

---

## 2026-07-16 – Root-Fix Nil-Slice-Muster (Go-Backend gibt jetzt `[]` statt `null`)
**Beschreibung:** Statt das Nil-Slice-Muster weiter komponentenweise im Frontend zu patchen (heute 8×), an der Quelle behoben: Go-Listen-Funktionen deklarierten `var out []T` und appendeten nur bei Treffern — leere Resultsets blieben ein `nil`-Slice, das `encoding/json` als JSON `null` serialisiert; Frontend-`.map()`/`.forEach()` crashte. Sweep über `internal/storage/*.go`, `internal/api/*.go`, `internal/tenantstore/`, `internal/userstore/`: alle JSON-serialisierten Listen-Rückgaben von `var out []T` auf `out := make([]T, 0)` umgestellt (non-nil leeres Slice). Bereits korrekte Funktionen (`listGrantInfos`, `ListGroupIDsForUser`, `ListGroupMembersDetailed`, `SearchDocuments`) waren schon `[]T{}` — nicht angefasst. Rein interne Akkumulatoren (nie serialisiert) bewusst NICHT geändert: `ListDueReminders` (CLI-Mailer), `ListActiveMatchers` (Taxonomie-Matching), `ListGroupMembers []int64`, `readGrants []grantRow`, `collectDocIDs`, `index_sync` Reindex-IDs, `parseInt64List` (Query-Param-Parser). Frontend-`?? []`-Guards bleiben als Defense-in-Depth erhalten.
**Hinweis:** Kein Go-Toolchain in Sandbox — Typ-Korrektheit jedes `make([]T, 0)` gegen die jeweilige Funktionssignatur gegengeprüft (Element-Typ passt zum deklarierten Rückgabe-Slice). Build/Deploy verifiziert: Go- und Next.js-Build grün, beide Dienste sauber aktiv, voller Smoke-Test (10 Seiten 307, 8 APIs 401, keine Panics, `created_by`-Daten intakt).
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/storage/documents.go`, `internal/storage/reminders.go`, `internal/storage/custom_fields.go`, `internal/storage/trash.go`, `internal/storage/sftp_credentials.go`, `internal/storage/taxonomy.go`, `internal/storage/shares.go`, `internal/storage/permissions.go`, `internal/tenantstore/store.go`, `internal/userstore/userstore.go` (alle geändert).

---

## 2026-07-16 – DocumentFieldsDialog-Crash (achtes Auftreten des Nil-Slice-Musters)
**Beschreibung:** "Felder bearbeiten" crashte mit "Cannot read properties of null (reading 'map')" — `DocumentFieldsDialog.tsx` rief `.map()` auf `listDocumentFieldValues()`/`listDocumentTypeFields()`-Ergebnissen ohne Guard auf, gleiches Nil-Slice-Muster wie zuvor. Fix: `?? []`-Normalisierung. Achtes bekanntes Auftreten dieses Bugs heute (nach DocumentsTable, RemindersTable, SearchResults, GrantsEditor, CustomFieldManager, DocumentTypeFieldsSection, PermissionGroupManager) — Root-Fix auf Go-Seite (Listen-Handler generell `[]` statt `null` zurückgeben) dem Nutzer vorgeschlagen, noch nicht bestätigt/umgesetzt.
**Hinweis:** Build/Deploy verifiziert.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/components/custom-fields/DocumentFieldsDialog.tsx` (geändert).

---

## 2026-07-16 – Rechte-Bug: eigene Uploads unsichtbar ohne Grants
**Beschreibung:** Nutzer meldete "Beleg wurde als hochgeladen angezeigt, finde ihn aber nicht in der Ablage". Root Cause: Das ACL-Modell (`internal/storage/permissions.go` `RecomputeVisibility`, `document_visibility`) gewährt Sichtbarkeit ausschließlich über Berechtigungsgruppen-Grants (Tag/Dokumenttyp/Einzeldokument). Solange keine Dokumenttypen/Tags/Grants existieren (Tenant 3 hatte 0 Dokumenttypen), bekommt ein frischer Upload NULL Sichtbarkeits-Einträge — die Rolle `user` (nicht domain_admin/superadmin, die die ACL umgehen) sieht ihr eigenes Dokument dann nie in `/documents`. Deshalb schwer zu greifen: Admin-Check zeigte das Dokument problemlos.
**Fix:** `internal/storage/documents.go`: neue nullable Spalte `documents.created_by BIGINT` (idempotent via `initSchema`), `CreatedBy *int64` in `Document`-Struct und `CreateDocumentRequest`, durchgereicht durch `CreateDocument`/`GetDocument`/`ListDocuments`. `ListDocuments`-ACL-Subquery jetzt `documents.created_by = $2 OR EXISTS (...)` statt nur EXISTS — Uploader sieht eigene Dokumente immer, unabhängig von Grants. `internal/api/document_handlers.go`: `handleUploadDocument` (Multipart) und `handleCreateDocument` (JSON-Metadaten-Pfad) setzen `CreatedBy: &sess.UserID`; `StoreUploadedFile` (exportierter Wrapper für den SFTP-Watcher, keine interaktive Session) übergibt `nil` — SFTP-Dokumente bleiben beim reinen Grant-Modell.
**Hinweis:** Rein additive Schema-Änderung (nullable Spalte), kein Backfill für Bestandsdaten nötig/durchgeführt (betroffenes Dokument id=7 blieb bewusst NULL, da vor dem Fix hochgeladen — entweder Admin richtet Berechtigungsgruppen/Dokumenttypen ein, oder Nutzer lädt erneut hoch). Build/Deploy verifiziert, Spalte `created_by` bestätigt in Live-Schema.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/storage/documents.go`, `internal/api/document_handlers.go` (beide geändert).

---

## 2026-07-16 – Titel automatisch aus OCR-Text ableiten
**Beschreibung:** Nutzer-Feedback: "Datei und Titel sind Pflichtfelder, können diese nicht aus dem Bild geholt werden". `internal/api/document_handlers.go`: `handleUploadDocument` verlangt Titel nicht mehr zwingend; `storeUploadedFile` leitet bei leerem Titel — NACH der bereits laufenden OCR-Extraktion, vor dem DB-Insert — über neuen Helper `titleFromOCRText(ocrText)` einen Titel aus der ersten sinnvollen Textzeile (≥3 Zeichen, auf 120 Zeichen gekappt) ab, Fallback "Scan DD.MM.YYYY HH:MM" falls OCR nichts liefert. Frontend: `MobileScanCapture.tsx` sendet keinen eigenen "Scan <Datum>"-Titel mehr (lässt Backend ableiten), `DocumentUploadForm.tsx` Titel-Feld jetzt optional (Label/Placeholder angepasst, Client-Validierung verlangt nur noch die Datei).
**Hinweis:** Build/Deploy verifiziert (Go + Next.js grün, beide Dienste sauber aktiv).
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/document_handlers.go`, `src/components/scan/MobileScanCapture.tsx`, `src/components/documents/DocumentUploadForm.tsx` (alle geändert).

---

## 2026-07-16 – Scan-Upload: Vorschau-Bestätigung nach Upload
**Beschreibung:** `src/components/scan/MobileScanCapture.tsx`: Nutzer-Feedback "keine kleine Vorschau was hochgeladen wurde" — Vorschaubild verschwand bisher sofort nach erfolgreichem Upload. Jetzt bleibt das Foto mit grünem Häkchen-Overlay + "Hochgeladen"-Label sichtbar, neuer Button "Nächsten Beleg erfassen" startet die nächste Aufnahme bewusst statt automatisch zu leeren. Kein Backend-Change.
**Hinweis:** Erster Deploy-Versuch scheiterte transient an "Text file busy" beim Binary-Austausch (systemd hatte alten Prozess noch nicht vollständig freigegeben) — Service kurz inaktiv, dadurch vermutlich ein kurzes 502-Fenster beim Nutzer. Zweiter `update.sh`-Lauf erfolgreich, beide Dienste sauber aktiv, Feature live.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/components/scan/MobileScanCapture.tsx` (geändert).

---

## 2026-07-16 – Nil-Slice-Crash-Sweep (Suche + 4 weitere Komponenten)
**Beschreibung:** Suche (`/search`) crashte reproduzierbar mit "This page couldn't load" — gleiches Muster wie DocumentsTable/RemindersTable (leere Go-Slice wird als JSON `null` serialisiert, Frontend mappt ungeguarded). Nutzer explizit unzufrieden wegen Mehrbenutzer-Zuverlässigkeit. Sweep über verbleibende Verdachtskandidaten aus Memory-Notiz, alle gefixt mit `?? []`-Normalisierung: `SearchResults.tsx` (results/activeTagIds/tags/docTypes/correspondents — der eigentliche Suche-Crash), `GrantsEditor.tsx` (entities/groups), `CustomFieldManager.tsx` (initial-State), `DocumentTypeFieldsSection.tsx` (docTypes/fields-Props + `assigned` aus `listDocumentTypeFields()`), `PermissionGroupManager.tsx` (users-Prop, initialGroups-State, `members` aus `listGroupMembers()`).
**Hinweis:** Build/TypeScript-Check grün, `/search` liefert 307 statt 500. Root-Fix auf Go-Seite (Listen-Handler generell `make([]T,0)` statt nil-Slice) weiterhin offen — nächster Kandidat, falls wieder eine andere Liste crasht.
**Projekt:** archivdms

### Geänderte/neue Dateien
`src/components/search/SearchResults.tsx`, `src/components/permissions/GrantsEditor.tsx`, `src/components/custom-fields/CustomFieldManager.tsx`, `src/components/custom-fields/DocumentTypeFieldsSection.tsx`, `src/components/permissions/PermissionGroupManager.tsx` (alle geändert).

---

## 2026-07-16 – Upload-Diagnose-Logging + RemindersTable-Crash-Fix
**Beschreibung:** (1) `internal/api/document_handlers.go` `handleUploadDocument`: Info-Log zu Beginn jedes Upload-Requests (Username, Tenant, Content-Length, Max-Bytes, Remote-Addr) + Warn-Log/Audit-Eintrag bei `ParseMultipartForm`-Fehlschlag — deckt sowohl Übergrößen-Abbruch (MaxBytesReader) als auch Client-seitige Verbindungsabbrüche ab, die vorher spurlos blieben (siehe 502-Diagnose vom 15.07.). Rein Logging, keine Funktionsänderung. (2) `src/components/reminders/RemindersTable.tsx`: gleicher SSR-Crash wie `DocumentsTable.tsx` — `reminders`-Prop kann als JSON `null` ankommen (leerer Status-Bucket open/done/dismissed), `.map()`/`.length` crashte ungeguarded; jetzt `?? []`-Normalisierung. Trat beim Klick auf "Wiedervorlage" im Menü auf ("This page couldn't load"). Als systemisches Muster in Memory vermerkt — weitere Kandidaten (`GrantsEditor.tsx`, `CustomFieldManager.tsx`, `DocumentTypeFieldsSection.tsx`, `SearchResults.tsx`, `PermissionGroupManager.tsx`) noch nicht verifiziert.
**Hinweis:** Beide Fixes deployed und verifiziert (Build grün, Services sauber neu gestartet, `/reminders` liefert 307 statt 500).
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/document_handlers.go`, `src/components/reminders/RemindersTable.tsx` (beide geändert).

---

## 2026-07-15 21:55 (Server-Config, kein Codeänderung)
**Beschreibung:** Root Cause für wiederkehrende 502 bei Upload gefunden: `/etc/archivdms/config.yml` (192.168.1.204) hatte `storage.max_upload_size_mb: 50`, nginx erlaubt aber `client_max_body_size 512M`. Hochauflösende Handy-/Scan-Fotos über `/scan` überschritten das Go-seitige Limit — `http.MaxBytesReader` bricht die TCP-Verbindung beim Überschreiten sofort ab statt sauberer Fehlerantwort, nginx sieht das als `sendfile() failed (32: Broken Pipe) while sending request to upstream` → 502, Backend loggt nichts (Abbruch passiert innerhalb `ParseMultipartForm`, vor jedem Log-Call). Bestätigt gerätunabhängig (Desktop UND Mobil betroffen, nicht nur Mobilfunk-Instabilität wie ursprünglich vermutet). Fix: `max_upload_size_mb` auf 200 angehoben (Backup `config.yml.bak.<timestamp>` angelegt), `systemctl restart archivdms`, sauber hochgefahren.
**Hinweis:** Reine Server-Konfigänderung, kein Rebuild/Deploy nötig, kein Codeänderung.
**Projekt:** archivdms

---

## 2026-07-15 21:35 – 21:50 (15m)
**Beschreibung:** Drei Bugfixes + Deploy. (1) `internal/api/dashboard_handlers.go`: Superadmin (kein `tenant_id`, per Design) bekam `403 "tenant context required"` auf `GET /api/dashboard` — jetzt leeres `storage.DashboardStats{}` statt Fehler, da es für Superadmin keinen einzelnen Tenant zum Scopen gibt. (2) Useranlegen durch Superadmin ordnete neue User keinem Tenant zu (Frontend hatte keinen Tenant-Selektor, Backend-Feld `tenant_id` im Payload existierte, wurde nie gesendet) — `settings/users/page.tsx` lädt jetzt `GET /api/tenants` für Superadmin-Caller, `UserManager.tsx` zeigt Pflicht-Dropdown "Mandant" beim Anlegen (außer bei Rolle superadmin selbst). (3) `internal/ldapstore/ldapstore.go:194`: `GetWithSecret` gibt 3 Werte zurück, Aufruf erwartete nur 2 (`assignment mismatch`) — Build-Fehler, blockierte alle Deploys bis gefunden. (4) `src/components/documents/DocumentsTable.tsx`: SSR-Crash "This page couldn't load" nach Upload — `documents`/`docTypes`/`correspondents`/`permissionGroups`-Props können vom Backend als JSON `null` (nil-Slice) statt `[]` ankommen, `.forEach()`/`.map()` darauf crashte; jetzt `?? []`-Normalisierung für alle vier Props am Komponenten-Anfang.
**Hinweis:** Keine Go-/Node-Toolchain in der Sandbox, Code manuell gegen bestehende Muster geprüft, Build/Deploy auf 192.168.1.204 verifiziert — erst nach Fix (3) baute der Baum überhaupt wieder.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/dashboard_handlers.go`, `internal/ldapstore/ldapstore.go`, `src/app/(app)/settings/users/page.tsx`, `src/components/users/UserManager.tsx`, `src/components/documents/DocumentsTable.tsx` (alle geändert).

---

## 2026-07-15 21:00 – 21:30 (30m)
**Beschreibung:** LDAP-Verzeichnisanbindung end-to-end verdrahtet (Login-Logik/Stores existierten bereits, Baum baute wegen ungenutzter Imports nicht). (1) `internal/api/server.go`: Felder `ldapStore *ldapstore.Store` + `ldapAuth *ldapauth.Authenticator` samt Setter `SetLDAP(store, authn)` (Muster wie `SetTenants`); zwei Routen registriert: `GET /api/ldap-config` und `PUT /api/ldap-config`, beide `s.authAdmin` (domain_admin/superadmin). Damit sind die zuvor „imported and not used"-Imports (`ldapauth`, `ldapstore`) gebunden. (2) Neu `internal/api/ldap_handlers.go`: `handleGetLDAPConfig` (liefert Config OHNE bind_password, nur `bind_password_set`; 404 wenn nicht konfiguriert; 503 wenn LDAP serverseitig aus), `handleUpsertLDAPConfig` (optionales neues Bind-Passwort, Schema-Defaults für user_filter/attr_*), Helfer `resolveLDAPTenant` — domain_admin ist IDOR-sicher auf die Session-Tenant gepinnt (Query-Param ignoriert), superadmin zielt via `?tenant_id=` auf jede Tenant. Audit-Pflicht erfüllt: jeder Schreibversuch inkl. Fehlschlägen über `EventLdapConfigChanged` (`Success:false`) protokolliert. (3) `cmd/archivdms/main.go`: `ldapstore.New(dsn, cfg.API.Secret)` (Bind-Passwort-Schlüssel via HKDF-SHA256 aus Master-Secret in cryptutil) + `ldapauth.New(0)`; bei leerem `api.secret` bzw. Init-Fehler bleibt LDAP aus (Login lokal-only), sonst `authMgr.SetLDAP(ldapSt, ldapAuthn, tenantSt, audlog)` und `srv.SetLDAP(...)`. `auth.go`-Login-Logik nicht angefasst. Kein Frontend (Backend-Task).
**Hinweis:** Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende Muster (tenant_handlers, auth.go, ldapstore-API) auf Kompilierbarkeit geprüft (Feld-/Signatur-/Import-Abgleich), `go build ./...` vor Deploy auf 192.168.1.204 verifizieren.
**Projekt:** archivdms

### Geänderte/neue Dateien
`internal/api/server.go`, `cmd/archivdms/main.go` (geändert); `internal/api/ldap_handlers.go` (neu).

---

## 2026-07-15 20:05 – 20:50 (45m)
**Beschreibung:** Externe Share-Links im Frontend umgesetzt (Backend war fertig, nicht angefasst). (1) `next.config.ts`: neuer Rewrite `/public/api/:path* → <backend>/public/:path*` — die öffentlichen Backend-Routen liegen NICHT unter `/api`, brauchen also einen eigenen Proxy-Prefix; bewusst kollisionsfrei zur menschlich sichtbaren Seite `/public/share/[token]`. (2) `middleware.ts`: `PUBLIC_PATHS` um `"/public"` erweitert — deckt sowohl die Share-Seite als auch den `/public/api`-Proxy ab, sonst würde der Share-Link auf `/login` umgeleitet. (3) `src/lib/api.ts`: Share-Block (Typen `DocumentShare`/`CreateShareInput`/`CreatedShare`/`PublicShareMeta`, Fetch-Funktionen `listDocumentShares`/`createShare`/`revokeShare`/`listTenantShares`) plus login-freie `fetchPublicShareMeta`/`downloadPublicShare` (plain fetch, kein Cookie) und `publicShareUrl`. (4) Neu: `ShareStatusBadge.tsx` (Status-Ableitung aktiv/abgelaufen/widerrufen/Limit erreicht in Backend-Prüfreihenfolge, Farb-Badges), `ShareDialog.tsx` (Liste bestehender Shares + Erzeugungsformular, Klartext-Token einmalig als kopierbarer Link), `TenantSharesManager.tsx` + `src/app/(app)/settings/shares/page.tsx` (Admin-Übersicht, rollen-gated), `src/app/public/share/[token]/page.tsx` (login-freie Download-Seite, kein App-Shell, root-Layout). (5) `DocumentsTable.tsx`: Button "Teilen" + Dialog-Einbindung. (6) `settings/page.tsx`: Karte/Link zu `/settings/shares` (admin-only).
**Hinweis:** `/public/share/*` liegt außerhalb der `(app)`-Gruppe und ist via `PUBLIC_PATHS` vom Auth-Gate ausgenommen — bestätigt kein Login nötig. Keine Backend-Änderung. Keine neuen npm-Dependencies. Keine Go-/Node-Toolchain in der Sandbox: Code manuell gegen bestehende Muster geprüft, `npm run build` vor Deploy verifizieren.

---
## 2026-07-15 Deploy – Share-Links-Frontend live
**Beschreibung:** Deploy auf 192.168.1.204 via rsync + `update.sh` (kein git, lokales Quellverzeichnis → `/root/archivdms-src` → Build). Go-Backend und Next.js-Frontend (Turbopack) fehlerfrei gebaut, Route `/public/share/[token]` im Build-Output bestätigt. Backend + Frontend danach aktiv (`✓ läuft`).
**Verifikation:** `curl -k https://localhost/public/share/nonexistent-token` → `200`, kein Redirect. Vergleichsaufruf `https://localhost/documents` (geschützt) → `307` zu `/login`. Bestätigt: Public-Share-Route umgeht das Auth-Gate wie vorgesehen, geschützte Routen bleiben davon unberührt.
**Status:** Erfolgreich, keine Fehler, keine manuellen Nacharbeiten nötig.
**Projekt:** archivdms

### Geänderte/neue Dateien
`next.config.ts`, `middleware.ts`, `src/lib/api.ts`, `src/components/documents/DocumentsTable.tsx`, `src/app/(app)/settings/page.tsx` (geändert); `src/components/shares/ShareDialog.tsx`, `src/components/shares/ShareStatusBadge.tsx`, `src/components/shares/TenantSharesManager.tsx`, `src/app/(app)/settings/shares/page.tsx`, `src/app/public/share/[token]/page.tsx` (neu).

---

## 2026-07-15 19:30 – 19:55 (25m)
**Beschreibung:** Berechtigungs-Frontend vom optimistischen Session-Tracking auf echten Serverstand umgestellt (Backend-GET-Endpunkte existieren jetzt). (1) `src/lib/api.ts`: neue Typen `GroupMember` (user_id/username/email) und `GrantInfo` (group_id/group_name/access) sowie Fetch-Funktionen `listGroupMembers`, `listDocumentTypeGrants`, `listTagGrants`, `listDocumentGrants` im Permissions-Block; NOTE-Kommentar zum fehlenden GET entfernt. (2) `PermissionGroupManager.tsx`: Mitglieder-Dialog lädt beim Öffnen die echte Mitgliederliste (`useEffect` mit active-Guard, Lade-/Fehlerzustand); Adds/Removes aktualisieren `members`-State synchron statt `membersByGroup`-Session-Map; `userById` entfernt. (3) `GrantsEditor.tsx`: neue Prop `onList`, lädt Grants beim Entity-Wechsel vom Server (mapping group_id→groupId), State `current` statt `grantsByEntity`-Session-Map, Lade-/Fehlerzustand. `DocumentTypeGrantsSection.tsx`/`TagGrantsSection.tsx` reichen `listDocumentTypeGrants`/`listTagGrants` durch. (4) `DocumentGrantsDialog.tsx`: lädt beim Öffnen echte Freigaben via `listDocumentGrants`, Lade-/Fehlerzustand. (5) Alle "in dieser Sitzung"-Hinweistexte und Labels entfernt (jetzt "Zugeordnet"/"Freigaben", Leerzustand "Keine ... gesetzt").
**Hinweis:** Server-Component-Seiten (permission-groups/document-types/tags) unverändert — Grants/Mitglieder sind per-Selection/on-open interaktiv und nicht sinnvoll server-vorladbar; Basisdaten (Gruppen/User/Typen/Tags) werden bereits server-seitig via `serverApiFetch` geladen. Keine Go-/Node-Toolchain in der Sandbox: Code manuell gegen bestehende Muster geprüft, `npm run build` vor Deploy verifizieren. Keine neuen npm-Dependencies.

---

## 2026-07-15 19:55 – 20:00 (5m)
**Beschreibung:** Deploy auf 192.168.1.204: Dashboard-Frontend (neue Startseite `src/app/(app)/page.tsx`, altes Root-Redirect `src/app/page.tsx` entfernt), Berechtigungs-Backend-GET-Ergänzung und Berechtigungs-Frontend (echter Serverstand statt Session-Tracking) gebündelt ausgerollt. Build fehlerfrei (Backend+Frontend), kein Routing-Konflikt durch die page.tsx-Verschiebung, keine Suspense-Fehler. Dienste laufen.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Keine lokalen Code-Änderungen, reiner Deploy-Schritt (rsync + update.sh).

---
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Geändert: src/lib/api.ts, src/components/permissions/PermissionGroupManager.tsx, src/components/permissions/GrantsEditor.tsx, src/components/permissions/DocumentTypeGrantsSection.tsx, src/components/permissions/TagGrantsSection.tsx, src/components/permissions/DocumentGrantsDialog.tsx.

---

## 2026-07-15 19:05 – 19:30 (25m)
**Beschreibung:** Fehlende Read-Endpunkte für das Berechtigungsmodell ergänzt (Backend), damit das Frontend den tatsächlichen Serverstand nach Reload anzeigen kann statt optimistisches lokales Tracking. (1) `internal/storage/permissions.go`: neue Typen `GroupMember` (user_id/username/email) und `GrantInfo` (group_id/group_name/access); neue Store-Funktionen `ListGroupMembersDetailed` (JOIN gegen users, tenant-scoped über group-ownership + `u.tenant_id`), `ListDocumentTypeGrants`, `ListTagGrants`, `ListDocumentGrants` (jeweils JOIN gegen permission_groups für group_name, Owner-Check der Ressource id+tenant_id, gemeinsamer Helper `listGrantInfos`, non-nil Slices). (2) `internal/api/permission_handlers.go`: Handler `handleListGroupMembers`, `handleListDocumentTypeGrants`, `handleListTagGrants`, `handleListDocumentGrants` (gleicher tenant-context + Fehlermapping via `grantStatus` wie die bestehenden Mutations-Handler; reine Lese-Endpunkte, kein Audit-Log). (3) `internal/api/server.go`: vier neue GET-Routen auf denselben Pfaden wie die bestehenden POST/DELETE (ServeMux Methoden-Pattern), alle `s.authAdmin`.
**Response-Schema:** GET /api/permission-groups/{id}/members → `[{"user_id":1,"username":"...","email":"..."}]`; GET /api/document-types/{id}/grants, /api/tags/{id}/grants → `[{"group_id":1,"group_name":"...","access":"read"}]`; GET /api/documents/{id}/grants → wie Grants, `access` zusätzlich `"deny"` möglich.
**Hinweis:** Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende pgx-v5-Muster (ListPermissionGroups, readGrants, checkDocAndGroup) geprüft. `users`-Tabelle hat username/email/tenant_id (userstore.go). `go build ./...` vor Deploy verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Geändert: internal/storage/permissions.go, internal/api/permission_handlers.go, internal/api/server.go.

---

## 2026-07-15 18:10 – 18:55 (45m)
**Beschreibung:** Frontend für das Berechtigungsmodell (Permission Groups + layered ACL-Grants; Backend `internal/api/permission_handlers.go` + `internal/storage/permissions.go` unangetastet). (1) `src/lib/api.ts`: neuer Block mit Typen `GrantAccess` (read/write), `DocumentGrantAccess` (read/write/deny), `PermissionGroup` sowie Fetch-Funktionen `listPermissionGroups`/`createPermissionGroup`/`deletePermissionGroup`, `addGroupMember`/`removeGroupMember`, `setDocumentTypeGrant`/`deleteDocumentTypeGrant`, `setTagGrant`/`deleteTagGrant`, `setDocumentGrant`/`deleteDocumentGrant` (DELETE-Grants via `?group_id=`-Query, entspricht `grantGroupID`-Handler). (2) `src/app/(app)/settings/permission-groups/page.tsx` (neu): Server-Component, Rollen-Gate wie settings/users, lädt Gruppen + Tenant-User parallel. (3) `src/components/permissions/PermissionGroupManager.tsx` (neu): Client-Island Gruppen anlegen/löschen + Mitglieder-Dialog (User-Picker aus `listUsers`). (4) `src/components/permissions/GrantsEditor.tsx` (neu, shared) + Wrapper `DocumentTypeGrantsSection.tsx`/`TagGrantsSection.tsx`: Default-Grants je Dokumenttyp bzw. Tag (Gruppe + Lesen/Schreiben), eingehängt in settings/document-types + settings/tags (admin-gated). (5) `src/components/permissions/DocumentGrantsDialog.tsx` (neu): Einzeldokument-Freigaben inkl. `deny` (Sperren), als "Freigaben"-Button in `DocumentsTable.tsx` neben "Felder" (nur admin, `canManageGrants`). (6) Nav-Eintrag "Berechtigungsgruppen" in `AppSidebar.tsx` (ADMIN_NAV, ShieldCheck) + Karte in settings-Übersicht.
**Hinweis:** Das Backend exponiert bewusst KEIN GET für Gruppen-Mitglieder oder die Grant-Tabellen (nur GET /api/permission-groups). Die Mitglieder-/Grant-Verwaltung führt daher optimistisches lokales State-Tracking (zeigt nur in der aktuellen Sitzung vorgenommene Änderungen, startet leer) — im UI klar so beschriftet. Keine Go-/Node-Toolchain in der Sandbox: Code manuell gegen bestehende Muster (UserManager, DocumentTypeFieldsSection, DocumentFieldsDialog, serverApiFetch/Rollen-Gate) geprüft, `npm run build` vor Deploy verifizieren. Keine neuen npm-Dependencies.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: src/app/(app)/settings/permission-groups/page.tsx, src/components/permissions/PermissionGroupManager.tsx, src/components/permissions/GrantsEditor.tsx, src/components/permissions/DocumentTypeGrantsSection.tsx, src/components/permissions/TagGrantsSection.tsx, src/components/permissions/DocumentGrantsDialog.tsx. Geändert: src/lib/api.ts, src/app/(app)/settings/document-types/page.tsx, src/app/(app)/settings/tags/page.tsx, src/app/(app)/documents/page.tsx, src/components/documents/DocumentsTable.tsx, src/components/shell/AppSidebar.tsx, src/app/(app)/settings/page.tsx.

---

## 2026-07-15 17:15 – 18:00 (45m)
**Beschreibung:** Frontend für die Volltextsuche (nutzt den bestehenden Backend-Endpunkt `GET /api/documents/search`, Backend unangetastet). (1) `src/lib/api.ts`: neue Typen `SearchResultDoc` (extends Document + `score`), `SearchResult` (results/total/page/page_size), `SearchParams` sowie Client-Funktion `searchDocuments()` und Server-Helper `serverSearchQuery()` (baut den Query-String für `serverApiFetch`); `buildSearchQuery` serialisiert `q`, wiederholbare `tag`-Params, `doc_type_id`, `page`, `page_size`. (2) `src/components/shell/SearchBar.tsx` (neu): globales Suchfeld in der TopBar, navigiert bei Submit zu `/search?q=...`; leerer Begriff löst KEINE Navigation aus; seedet aus `?q=`. (3) `src/components/shell/TopBar.tsx`: bisherigen ⌘K-Auslöser-Button durch `SearchBar` ersetzt (CommandPalette weiter via ⌘K erreichbar). (4) `src/app/(app)/search/page.tsx` (neu): Server Component, liest `q`/`tag`/`doc_type_id`/`page` aus searchParams, lädt Tags/Dokumenttypen/Korrespondenten für Filter+Namensauflösung, führt die Suche via `serverApiFetch` in einer in `<Suspense>` gestreamten Async-Subkomponente aus; ohne Kriterien Hinweis "Suchbegriff eingeben", bei Endpunkt-Fehler (503 Manticore down) klare Meldung "Suche vorübergehend nicht verfügbar". (5) `src/components/search/SearchResults.tsx` (neu): Client-Island mit Tag-/Dokumenttyp-Filter-Chips und Pagination (beide steuern die URL → Server-Refetch, kein Client-Spinner), Trefferzahl bzw. "Keine Ergebnisse für „…"", Zeilendarstellung über die wiederverwendete `DocumentsTable`. (6) `src/app/(app)/search/loading.tsx` (neu): Skeleton.
**Hinweis:** Keine Go-/Node-Toolchain in der Sandbox — Code manuell gegen bestehende Muster (DocumentsPage/DocumentsTable, session.ts/serverApiFetch, api.ts-Konventionen) geprüft, `npm run build` vor Deploy auf dem Server verifizieren. Da Manticore-DSN aktuell nicht konfiguriert ist, liefert die Suche mit gültigem Cookie 503 → im UI als "Suche vorübergehend nicht verfügbar" sichtbar. Keine neuen npm-Dependencies.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: src/components/shell/SearchBar.tsx, src/app/(app)/search/page.tsx, src/app/(app)/search/loading.tsx, src/components/search/SearchResults.tsx. Geändert: src/lib/api.ts, src/components/shell/TopBar.tsx.

---

## 2026-07-15 (Deploy)
**Beschreibung:** Deploy Phase 2+3 Manticore-Integration (Reindex-CLI + Such-Endpunkt, Backend-only) auf root@192.168.1.204 via rsync + `update.sh`. Go-Build ohne Fehler (keine Schema-Änderung, initSchema unverändert durchgelaufen), Node/Next.js-Build ebenfalls ok. Backend + Frontend danach aktiv (`systemctl is-active` → active/active). Funktionstest `GET /api/documents/search` ohne Auth-Cookie → `401` (erwartet, kein 404/500). `archivdms reindex -h` liefert erwartetes Usage (`-config`, `-tenant`). Backend-Logs seit Neustart ohne Fehler.
**Hinweis:** Manticore-DSN aktuell nicht in `/etc/archivdms/config.yml` konfiguriert — Such-Endpunkt liefert mit gültigem Auth-Cookie erwartungsgemäß 503 "Suche nicht verfügbar, Manticore nicht konfiguriert" (kein Deploy-Blocker, wie vom Nutzer vorgegeben). 503-Fall mit echtem Cookie nicht separat verifiziert (kein Test-Login zur Hand), 401-Pfad bestätigt korrektes Routing/Auth-Reihenfolge.
**Projekt:** archivdms

---

## 2026-07-15 (Deploy)
**Beschreibung:** Deploy des Suspense-Fixes für `SearchBar` (`useSearchParams()` in `src/components/shell/TopBar.tsx` jetzt in `<React.Suspense fallback={<SearchBarFallback />}>` gewrappt) auf root@192.168.1.204 via rsync + `update.sh`. Go-Build ohne Fehler. Next.js-Build diesmal fehlerfrei durchgelaufen (vorheriger Versuch war am fehlenden Suspense-Boundary gescheitert) — alle `(app)`-Routen inkl. `/settings/correspondents`, `/settings/*`, `/documents`, `/search`, `/reminders`, `/scan`, `/trash` erfolgreich generiert (16/16 Seiten). Backend + Frontend danach aktiv (`systemctl is-active` → active/active), Ports 80/443 (nginx), 3000 (Next.js), 8080 (Backend) lauschen wie erwartet.
**Hinweis:** Manticore-DSN in `/etc/archivdms/config.yml` unangetastet gelassen (war bereits korrekt gesetzt und funktionierend, laut Vorgabe nicht anfassen).
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Kein Code geändert (reiner Deploy-Schritt), Quelle: rsync von `/home/sysops/Dokumente/Scripte/archivdms/` nach Server.

---

## 2026-07-15 16:00 – 16:45 (45m)
**Beschreibung:** Manticore-Search Phase 3: Such-Endpunkt `GET /api/documents/search?q=&tag=&doc_type_id=&page=&page_size=`. (1) `internal/index`: Interface `Indexer` um `Search(ctx, SearchQuery) (hits []SearchHit, total int, err error)` erweitert; neue Typen `SearchQuery` (Query, TagIDs, DocTypeID, ACLGroupIDs, Page, PageSize) + `SearchHit` (ID, Score). `manticoreIndex.Search` in `manticore.go`: MATCH gegen `@(title,ocr_text,tags,correspondent,doc_type)`, Volltext-Term über neue `escapeMatch`-Funktion escaped (Query-Injection-Schutz, analog archivmail-Muster). Filter: `deleted=0`, optional `ANY(tag_ids) IN (...)`, `doc_type_id=?`, `ANY(acl_group_ids) IN (...)` — MVA-Listen inline aus int64 (injection-sicher), doc_type_id als Bind-Placeholder. Separater COUNT(*) für total, LIMIT/OFFSET-Pagination, ORDER BY WEIGHT() DESC bei Volltext sonst created_ts DESC. Nicht-nil aber leere ACLGroupIDs → 0 Treffer (kurzgeschlossen). `noopIndexer.Search` ergänzt. (2) `internal/storage/search.go` (neu): `SearchDocuments(ctx, tenantID, index.SearchQuery)` → holt ranked ids+scores aus Manticore, dann EIN Batch-SELECT `WHERE id = ANY($1) AND tenant_id=$2 AND deleted_at IS NULL` (Postgres bleibt autoritativ für Ownership+Soft-Delete), gibt in Index-Reihenfolge `SearchResultDoc` (eingebettetes Document + `score`) zurück; stale Index-Einträge werden übersprungen. `SearchResult`-Envelope (results/total/page/page_size). `ErrSearchUnavailable` (=ErrNoIndexer) bei fehlendem Indexer. (3) `internal/storage/permissions.go`: neue Helper `ListGroupIDsForUser(ctx, userID, tenantID)` (tenant-scoped Gruppen-IDs eines Users, leerer statt nil Slice bei keiner Gruppe). (4) `internal/api/search_handlers.go` (neu): `handleSearchDocuments` — Auth/Tenant wie handleListDocuments, ACL-Filter nur für Rolle 'user' (domain_admin/superadmin: ACLGroupIDs nil = kein Filter), fehlender Indexer → 503 "Suche nicht verfügbar, Manticore nicht konfiguriert". Query-Param-Helper (parsePositiveInt/clampInt/parseOptionalInt64/parseInt64List, page_size auf 1..100 begrenzt). (5) Route in server.go registriert (`GET /api/documents/search` vor `/{id}`, ServeMux bevorzugt literalen Pfad).
**Hinweis:** Keine Postgres-Schema-Änderung (Suche nutzt nur Manticore + Lese-Queries) → keine neue Migration. Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende Muster (handleListDocuments, pgx-v5-ANY, archivmail-Manticore-Search) geprüft, vor Deploy `go build` auf Server verifizieren. Kein Frontend in diesem Schritt.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/api/search_handlers.go, internal/storage/search.go. Geändert: internal/index/index.go, internal/index/manticore.go, internal/storage/permissions.go, internal/api/server.go

---

## 2026-07-15 15:30 – 16:00 (30m)
**Beschreibung:** Manticore-Search Phase 2: Reindex-CLI `archivdms reindex [-config PATH] [-tenant N]`. (1) Neue Store-Methode `ReindexTenant(ctx, tenantID, batchSize, progress)` in `internal/storage/index_sync.go`: liest COUNT der nicht-gelöschten Dokumente (deleted_at IS NULL) eines Mandanten, streamt dann per Keyset-Pagination (`id > lastID ORDER BY id ASC LIMIT batchSize`, Default 500) — speicherschonend auch bei sehr vielen Dokumenten. Pro Dokument `buildDocumentDoc` + `indexer.ForTenant(tid).IndexSync`. `progress(done,total)`-Callback nach jedem Doc. Neuer Sentinel `ErrNoIndexer` — anders als der Request-Pfad (stiller No-op bei fehlendem Indexer) schlägt Reindex bewusst LAUT fehl, damit ein No-op nicht als Erfolg missverstanden wird. (2) Neu `cmd/archivdms/cmd_reindex.go`: gleiches Subcommand-/FlagSet-Muster wie `reminders notify`. Ohne `-tenant` alle Tenants (`tenantstore.List`), mit `-tenant=N` nur dieser (vorher GetByID-Existenzprüfung). Fehlt `index.manticore_dsn` → Fehlermeldung "Manticore nicht konfiguriert, index.manticore_dsn fehlt" + exit(1) (kein stiller No-op). Fortschritt alle 100 Dokumente + am Tenant-Ende, Abschluss-Zusammenfassung (Anzahl Tenants, Dokumente gesamt, Dauer) auf Logger + stdout. Teil-Fehler bei einzelnen Tenants → Sammelfehler, exit(1) am Ende. (3) main.go: Dispatch-Case `reindex` + Hilfetext.
**Hinweis:** Kein Such-Endpunkt (Phase 3). Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende Muster (reminders-Subcommand, pgx-v5-Store, config.Index.ManticoreDSN) geprüft, vor Deploy `go build` auf Server verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: cmd/archivdms/cmd_reindex.go. Geändert: internal/storage/index_sync.go, cmd/archivdms/main.go

---

## 2026-07-15 14:15 – 15:15 (60m)
**Beschreibung:** Manticore-Search-Integration Phase 1 (nur Schema + Sync-Layer, KEIN Such-Endpunkt). (1) Neues Paket `internal/index/`: `index.go` mit `DocumentDoc`, Interfaces `Indexer` (IndexSync/Delete) + `TenantIndexer` (ForTenant/Close) — bewusst OHNE Abhängigkeit auf internal/storage (kein Import-Zyklus). `manticore.go`: `ManticoreTenantManager` über MySQL-Protokoll (Port 9306, `github.com/go-sql-driver/mysql`, CGO-frei). Pro Mandant RT-Tabelle `documents_tenant_<id>` (Tabellenname-Regex-Validierung gegen Injection), idempotentes `ensureTable`. `IndexSync` = REPLACE INTO (id-basierter Upsert); die zwei MVA-Spalten tag_ids/acl_group_ids werden inline gerendert (Manticore erlaubt keine Bind-Placeholder in `(a,b,c)`), injection-sicher weil reine int64. Fällt ensureTable/Verbindung aus → `noopIndexer` bzw. Manager gar nicht gesetzt; Index-Fehler werden NIE an den Request weitergereicht. (2) `internal/storage/index_sync.go`: `SyncIndex`/`DeleteFromIndex` (best-effort, nur geloggt), `buildDocumentDoc` projiziert documents-Row + Tags (document_tags/tags) + ACL-Gruppen (document_visibility). Store bekommt nil-fähiges Feld `indexer index.TenantIndexer` + Logger via neuem `SetIndexer`. (3) Sync-Punkte verdrahtet: RecomputeVisibility (permissions.go, deckt ACL+Tags+DocType über AttachTag/DetachTag/SetDocumentDocType ab), SetDocumentCorrespondent (taxonomy.go), Upload/Create + handleCreateDocument + handleSetDocumentFieldValues (api), SoftDelete→Delete, Restore→SyncIndex, ConfirmDeleteRequest(executed)→Delete (GoBD: final gelöscht = nicht mehr auffindbar). (4) Config: neuer optionaler Block `index.manticore_dsn` (leer = deaktiviert, Indexer nil, alles No-op). main.go instanziiert Manager nur bei gesetztem DSN. (5) go.mod: `github.com/go-sql-driver/mysql v1.8.1` (+ indirect `filippo.io/edwards25519 v1.1.0`). (6) Doku-Migration `internal/storage/migrations/010_search_index.sql` (Doku-only, keine Postgres-Schema-Änderung — Manticore ist extern).
**Hinweis:** Postgres bleibt Source of Truth; Index ist rein sekundär/best-effort. Kein Such-Endpunkt und kein Reindex-CLI in diesem Schritt (Phase 2/3). Keine Go-Toolchain in der Sandbox und keine go.sum-Datei im Projekt — Code manuell gegen bestehende pgx-v5/Store-Muster geprüft, vor Deploy `go mod tidy` + `go build` auf Server verifizieren. Kein Frontend in diesem Schritt.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/index/index.go, internal/index/manticore.go, internal/storage/index_sync.go, internal/storage/migrations/010_search_index.sql. Geändert: internal/storage/storage.go, internal/storage/permissions.go, internal/storage/taxonomy.go, internal/storage/trash.go, internal/api/document_handlers.go, internal/api/custom_field_handlers.go, config/config.go, cmd/archivdms/main.go, go.mod

---

## 2026-07-15 15:15 – 15:20 (5m)
**Beschreibung:** Deploy auf 192.168.1.204: Dashboard-Backend, Berechtigungsmodell (permission_groups/document_type_grants/tag_grants/document_grants/document_visibility), externe Share-Links (document_shares/document_share_accesses) und Manticore-Sync-Layer (Phase 1, No-op ohne DSN) gebündelt ausgerollt. `go mod tidy` zog go-sql-driver/mysql + Transitiv-Deps nach, go.sum aktualisiert. Alle 8 neuen Tabellen via initSchema angelegt, Build fehlerfrei (Backend+Frontend), Dienste laufen, `/api/dashboard` korrekt hinter Auth (401 ohne Cookie). Manticore-Dienst selbst läuft bereits auf dem Server (früheres Setup), noch ohne konfigurierten DSN.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Keine lokalen Code-Änderungen, reiner Deploy-Schritt (rsync + update.sh).

---

## 2026-07-15 13:00 – 14:00 (60m)
**Beschreibung:** Externe Share-Links (Backend) implementiert. (1) Neu `internal/storage/shares.go`: Schema (document_shares, document_share_accesses) via `initSharesSchema`, eingehängt in `storage.New`. Token = 32 Byte crypto/rand, base64url, nur beim Erzeugen einmalig zurückgegeben; persistiert wird ausschließlich der SHA-256-Hash (token_hash). password_hash optional (bcrypt Cost 12). `CreateShare` prüft Dokument-Ownership (id+tenant_id, IDOR-Guard), expires_at Pflicht. `ResolveShareByToken` sucht IMMER über token_hash (nie id) und joint documents. `ResolvedShare` kapselt password_hash/storage_path/content_hash unexportiert (nur über Accessor-Methoden erreichbar → keine versehentliche Serialisierung). Prüfreihenfolge `VerifyState`: revoked → expired → max_accesses; `VerifyPassword` bcrypt (Dummy-Hash-Compare wenn kein PW, gegen Timing-Leak). `IncrementShareAccess` bumpt access_count atomar mit WHERE-Guard (schließt max_accesses-Race). `RevokeShare` = nur revoked_at/revoked_by (kein Hard-Delete). `LogShareAccess` schreibt jeden Versuch nach document_share_accesses (result-Enum). (2) Neu `internal/api/share_handlers.go` (auth): POST/GET `/api/documents/{id}/shares`, DELETE `/api/shares/{share_id}`, GET `/api/shares` (domain_admin). Token nur in der Create-Response. (3) Neu `internal/api/public_share_handlers.go` OHNE s.auth: GET `/public/share/{token}` (Metadaten: Titel, requires_password, expires_at), POST `/public/share/{token}/download` (Body optional {password}, streamt Datei per io.Copy aus WORM-Store, storage_path/content_hash nie im Response). Per-IP Token-Bucket-Rate-Limiter (`ipRateLimiter`, 20 Burst / 1 pro s, in-memory, keine neue Dependency) am Server. Jeder öffentliche Zugriff → document_share_accesses + Audit `EventShareAccessed`. (4) Neue Audit-Konstanten `EventShareCreated`/`EventShareRevoked`/`EventShareAccessed`; Create/Revoke audit-geloggt (auch Fehlschläge). (5) Doku-Migration `internal/storage/migrations/009_shares.sql`.
**Hinweis:** tenant_id/created_by/revoked_by ohne FK auf tenants/users — konsistent mit permissions/documents und weil tenants/users erst NACH storage.New() angelegt werden. Zugriffskontrolle Create/Revoke: tenant-scoped (Store erzwingt id+tenant_id, Parität zu handleGetDocument). Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende pgx-v5-Muster geprüft, vor Deploy `go build` auf Server verifizieren. Kein Frontend in diesem Schritt.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/shares.go, internal/api/share_handlers.go, internal/api/public_share_handlers.go, internal/storage/migrations/009_shares.sql. Geändert: internal/storage/storage.go, internal/audit/audit.go, internal/api/server.go

---

## 2026-07-15 11:45 – 12:45 (60m)
**Beschreibung:** Berechtigungsmodell (Backend) implementiert: gruppenaufgelöste, geschichtete Dokument-ACL. (1) Neu `internal/storage/permissions.go`: Schema (permission_groups, permission_group_members, document_type_grants, tag_grants, document_grants, document_visibility) via `initPermissionsSchema`, eingehängt in `storage.New`. CRUD für Gruppen + Mitglieder + die drei Grant-Ebenen. `RecomputeVisibility(ctx, documentID)` löst die drei Ebenen auf (document_grants > tag_grants > document_type_grants, 'deny' auf Dokumentebene entfernt eine Gruppe komplett aus allen tieferen Ebenen, 'write' schlägt 'read' innerhalb einer Ebene) und materialisiert das Ergebnis per DELETE+INSERT in einer Transaktion nach document_visibility. Ownership überall via id+tenant_id geprüft. (2) `ListDocuments` erweitert um Parameter `aclUserID *int64`: bei Rolle 'user' EXISTS-Subquery gegen document_visibility JOIN permission_group_members; domain_admin/superadmin übergeben nil → sehen unverändert alles im Tenant. (3) RecomputeVisibility-Aufrufe angehängt an `AttachTag`/`DetachTag`/`SetDocumentDocType` (taxonomy.go) und an jedes Grant-CRUD (grant-Änderung recomputet alle betroffenen Dokumente). (4) Neu `internal/api/permission_handlers.go` + Routen in server.go: POST/GET/DELETE /api/permission-groups, POST/DELETE .../{id}/members, POST/DELETE /api/document-types/{id}/grants, /api/tags/{id}/grants, /api/documents/{id}/grants (access read|write|deny) — alle domain_admin-only. (5) Neue Audit-Event-Konstante `EventPermissionGrantChanged`, jede Grant-/Gruppen-Änderung protokolliert (auch Fehlschläge). (6) Doku-Migration `internal/storage/migrations/008_permissions.sql`.
**Hinweis:** tenant_id/user_id/granted_by ohne FK auf tenants(id)/users(id) — konsistent mit documents/taxonomy und weil tenants/users erst NACH storage.New() angelegt werden (Reihenfolge cmd/archivdms/main.go); Tenant-Ownership applikationsseitig geprüft. Keine Go-Toolchain in der Sandbox — Code manuell gegen bestehende pgx-v5-Muster geprüft, vor Deploy `go build` auf Server verifizieren. Kein Frontend in diesem Schritt.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/permissions.go, internal/api/permission_handlers.go, internal/storage/migrations/008_permissions.sql. Geändert: internal/storage/storage.go, internal/storage/documents.go, internal/storage/taxonomy.go, internal/audit/audit.go, internal/api/server.go, internal/api/document_handlers.go

---

## 2026-07-15 11:00 – 11:30 (30m)
**Beschreibung:** Dashboard-Backend (MVP) gebaut. Neuer Endpunkt `GET /api/dashboard` (auth, tenant-scoped, kein Admin nötig, read-only → kein Audit-Log-Eintrag) liefert aggregierte Kennzahlen für den Mandanten. (1) `internal/storage/dashboard.go`: neue Store-Funktion `GetDashboardStats(ctx, tenantID, userID)` mit direkten Live-COUNT/GROUP-BY-Queries (kein Caching, keine Materialized Views). Kennzahlen: total_documents (deleted_at IS NULL), documents_this_month (date_trunc('month', now())), trash_count, pending_delete_requests (status IN pending/blocked_retention), reminders_due (status=open, due_date<=now, per User), reminders_upcoming_7d, retention_expiring_30d (retain_until zwischen heute und +30 Tage, aktive Docs), documents_by_type (Top 5, LEFT JOIN document_types via doc_type_id, Fallback Freitext doc_type bzw. "(ohne Typ)"). Alle Queries mit `WHERE tenant_id`. (2) `internal/api/dashboard_handlers.go`: `handleDashboard`. (3) Route in `internal/api/server.go` registriert.
**Hinweis:** Keine Go-Toolchain in dieser Sandbox — Code manuell gegen bestehende pgx-v5/tenant-scoping-Muster geprüft. Keine Schema-Änderung → keine Migrationsdatei. Vor Deploy `go build` auf Server verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/dashboard.go, internal/api/dashboard_handlers.go. Geändert: internal/api/server.go

---

## 2026-07-15 10:00 – 10:45 (45m)
**Beschreibung:** Custom-Fields-Frontend gebaut (Backend unverändert). (1) `src/lib/api.ts` um CustomField-Typen/CRUD ergänzt: CustomFieldDef/CreateCustomFieldInput/UpdateCustomFieldInput + list/create/update/deleteCustomField, DocumentTypeField/-Assignment + list/setDocumentTypeFields, DocumentFieldValue/-Input + list/setDocumentFieldValues. (2) Feld-Definitionsverwaltung: neue Server-Component-Seite `src/app/(app)/settings/custom-fields/page.tsx` (rollen-gated domain_admin/superadmin) + Client-Island `src/components/custom-fields/CustomFieldManager.tsx` (Liste, Anlegen mit Name/Label/Typ, enum_options bei Typ Auswahl, currency bei monetary; Bearbeiten nur label/enum/currency da Name/Typ immutable; Löschen mit Bestätigung, 409-in-Verwendung-Hinweis). (3) Zuordnung Feld↔Dokumenttyp als Sektion `DocumentTypeFieldsSection` in `settings/document-types` integriert (Dokumenttyp wählen, Felder an-/abwählen + required/visible/sort_order, Bulk-PUT). (4) Dokument-Feldwerte editierbar via `DocumentFieldsDialog` (Button "Felder" pro Zeile in DocumentsTable): lädt Dokumenttyp-Feldzuordnung (nur visible) + bestehende Werte, typgerechte Inputs (Checkbox/Select/Date/Number/Text), Pflichtfelder markiert, Batch-PUT, Server-Validierung. Nav-Eintrag "Felder" (AppSidebar, admin-only) + Settings-Übersichtskarte ergänzt.
**Hinweis:** Kein tsc/Build in dieser Sandbox verfügbar — vor Deploy `npm run build`/Typecheck auf Server verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: src/app/(app)/settings/custom-fields/page.tsx, src/components/custom-fields/CustomFieldManager.tsx, src/components/custom-fields/DocumentTypeFieldsSection.tsx, src/components/custom-fields/DocumentFieldsDialog.tsx. Geändert: src/lib/api.ts, src/app/(app)/settings/document-types/page.tsx, src/app/(app)/settings/page.tsx, src/components/shell/AppSidebar.tsx, src/components/documents/DocumentsTable.tsx

---

## 2026-07-15 09:00 – 09:05 (5m)
**Beschreibung:** Deploy der neuen User-Management-UI (Frontend-only, kein Backend geändert, Build/Typecheck bislang nicht verifiziert) auf 192.168.1.204. rsync Quellcode → /root/archivdms-src, update.sh ausgeführt: Go-Backend-Build erfolgreich (unverändert). Next.js-Frontend-Build erfolgreich, TypeScript-Check ohne Fehler, neue Route `/settings/users` erscheint korrekt in der Build-Ausgabe (ƒ dynamisch). Beide Dienste (archivdms, archivdms-web) nach Neustart aktiv (systemctl is-active bestätigt).
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu/geändert (lokal bereits vorhanden, nur deployed): src/app/(app)/settings/users/page.tsx, src/components/users/UserManager.tsx, src/lib/api.ts (User-CRUD-Funktionen), src/app/(app)/settings/page.tsx, src/components/shell/AppSidebar.tsx

---

## 2026-07-15 08:45 – 08:52 (7m)
**Beschreibung:** Deploy der Custom-Fields- und Papierkorb-Features (bislang nur lokal implementiert, `go build` noch nicht verifiziert) auf 192.168.1.204. rsync Quellcode → /root/archivdms-src, update.sh ausgeführt: Go-Build erfolgreich (keine Fehler, zwei fehlende Testify-Untermodule `github.com/rogpeppe/go-internal/fmtsort` und `github.com/kr/text` wurden von `go build` automatisch nachgezogen), Next.js-Frontend-Build erfolgreich. Beide Dienste (archivdms, archivdms-web) sowie nginx aktiv, Ports 80/443/3000/8080 belegt. Schema-Verifikation direkt in PostgreSQL: `custom_field_defs` (mit Check-Constraint auf field_type, FKs von document_field_values/document_type_fields) und Papierkorb-Umsetzung als `documents.deleted_at`/`deleted_by`-Spalten plus `document_delete_requests`-Tabelle (Status-Check-Constraint, UNIQUE(document_id,status)) sind vorhanden. Backend-Log (journalctl) zeigt keine Schema-/Panic-/Fatal-Einträge, nur normale Start/Stop-Zyklen.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Keine Code-Änderungen, nur Deploy (rsync + update.sh) von bereits vorhandenen lokalen Änderungen.

---

## 2026-07-15 01:00 – 01:30 (30m)
**Beschreibung:** Papierkorb + gestaffeltes Löschkonzept (GoBD) implementiert. Schema idempotent an initSchema angehängt (initTrashSchema in neuer internal/storage/trash.go): `documents.deleted_at`/`deleted_by`-ALTER (Soft-Delete) plus `document_delete_requests` (Vier-/Zwei-Augen-Workflow, UNIQUE(document_id,status)). DELETE /api/documents/{id} von Hard- auf Soft-Delete umgebaut (setzt deleted_at/deleted_by, WORM-Datei bleibt physisch unangetastet, EventDocumentTrash). ListDocuments filtert jetzt `deleted_at IS NULL`. Store-Logik: SoftDelete/ListTrash/Restore (cancelt offene Anträge)/CreateDeleteRequest/ListDeleteRequests/CancelDeleteRequest/ConfirmDeleteRequest. Vier-Augen-Prinzip (confirmed_by != requested_by) im Go-Store erzwungen (ErrSelfConfirm), Retention (retain_until) zweimal geprüft (bei Antrag + bei Confirm), blockierter Versuch wird als status='blocked_retention' protokolliert → 409. Finales Löschen in Transaktion: os.Remove der WORM-Datei (Verzeichnis schreibbar, Datei 0440 egal), DB-Row als Tombstone behalten (storage_path/ocr_text geleert, content_hash bleibt). Neue API-Handler (internal/api/trash_handlers.go) + Routen in server.go (confirm = authAdmin/domain_admin). Neue Audit-Events (EventDocumentTrash/Restore/DeleteRequest/DeleteConfirm/DeleteExecute/DeleteBlocked), jede Phase eigener append-only Eintrag; bei Confirm zwei Einträge (Confirm + Execute mit requested_by-Referenz). Migrations-Doku 007_trash.sql + README ergänzt (inkl. nachgetragenem 006-Eintrag).
**Hinweis:** `go build` konnte in dieser Sandbox nicht ausgeführt werden (go nicht im PATH) — vor Deploy lokal/auf Server `make build` verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/trash.go, internal/api/trash_handlers.go, internal/storage/migrations/007_trash.sql
Geändert: internal/audit/audit.go (Event-Konstanten), internal/storage/documents.go (initTrashSchema-Hook, ListDocuments-Filter), internal/api/document_handlers.go (handleDeleteDocument → Soft-Delete), internal/api/server.go (Trash-Routen), internal/storage/migrations/README.md

---

## 2026-07-15 00:30 – 00:52 (22m)
**Beschreibung:** Custom Fields Feature (Backend/API) implementiert. Neues Schema in initSchema angehängt (initCustomFieldsSchema, idempotent): custom_field_defs, document_type_fields, document_field_values inkl. Indizes — Regel enum→value_text, monetary→value_number. Store-Logik (internal/storage/custom_fields.go): CRUD Feld-Definitionen (Name/field_type immutable beim Update, Löschschutz 409 wenn Werte referenzieren), Dokumenttyp-Zuordnung als Bulk-Replace in Transaktion, Dokument-Werte als Batch-Upsert mit serverseitiger Validierung (Typ/Enum/Datum + required-Pflichtprüfung gegen document_type_fields). API-Handler (internal/api/custom_field_handlers.go) + Routen in server.go: Definitionen-Mutation nur domain_admin, alles tenant-skopiert (id+tenant_id), Ownership-Checks. Jede Werteänderung erzeugt Audit-Eintrag (EventDocumentUpdate, "custom_field:<name> changed"), Fehlschläge inkl. Migrations-Doku 006_custom_fields.sql ergänzt.
**Hinweis:** `go build` konnte in dieser Sandbox nicht ausgeführt werden (go nicht im PATH, Pfadsuche blockiert) — vor Deploy lokal `make build` verifizieren.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/custom_fields.go, internal/api/custom_field_handlers.go, internal/storage/migrations/006_custom_fields.sql
Geändert: internal/storage/documents.go (initSchema-Hook), internal/api/server.go (Routen)

---

## 2026-07-15 00:12 – 00:18 (6m)
**Beschreibung:** Mobile Beleg-Erfassung per Web gebaut: neue Route `/scan` (MobileScanCapture.tsx, Kamera-Capture via input capture="environment"), Sidebar-Link ergänzt, nutzt bestehende Upload-Pipeline (Hash/WORM/OCR/Matching). README ergänzt.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: src/app/(app)/scan/page.tsx, src/components/scan/MobileScanCapture.tsx
Geändert: src/components/shell/AppSidebar.tsx, README.md

---

## 2026-07-14 23:33 – 23:37 (4m)
**Beschreibung:** Projektspezifische Subagenten angelegt (.claude/agents/), analog archivmail-Vorbild: backend-dev, frontend-dev, devops-deploy (Ziel 192.168.1.204), db-migrator, code-review, archivdms-architect, retention-compliance. Ziel: spätere Weiterentwicklung des Projekts über spezialisierte Subagenten delegierbar machen.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: .claude/agents/{backend-dev,frontend-dev,devops-deploy,db-migrator,code-review,archivdms-architect,retention-compliance}.md

---

## 2026-07-14 14:40 – 14:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:41 – 14:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:41 – 14:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:43 – 14:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:46 – 14:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:56 – 14:56 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:57 – 14:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:59 – 14:59 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 14:40 – 16:59 (2h19m)
**Beschreibung:** Recherche (Paperless-ngx, ecoDMS, DMS-Marktstandards) → Featureliste + Prompt erstellt und veröffentlicht → Plan für Grundgerüst + Wiedervorlage-Modul erstellt und freigegeben → Scaffold (Go-Backend + Next.js-Frontend, aus archivmail-Mustern portiert) und Wiedervorlage-Feature (PROJ-1) als Code geschrieben → README.md verfasst.
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session (kein Git-Repo initialisiert).

### Geänderte Dateien
Neu erstellt: go.mod, config/, internal/{api,audit,auth,mailer,storage,tenantstore,userstore}/, cmd/archivdms/, deploy/cron.d/, features/{README.md,PROJ-1-wiedervorlage.md}, src/ (Next.js-Grundgerüst + Reminder-Komponenten), README.md, dms-featureliste-prompt.md.

### Status
Code geschrieben, nicht gebaut/getestet (kein Go/Node-Toolchain in dieser Umgebung ausgeführt, absichtlich keine Installation).

---
## 2026-07-14 16:37 – 16:45 (7m)
**Beschreibung:** Claude Code Session
**Projekt:** Proxmox-Scan

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 16:45 – 16:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 16:47 – 16:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 16:48 – 16:48 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 16:57 – 16:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 16:59 – 17:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:01 – 17:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:02 – 17:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:04 – 17:04 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:05 – 17:05 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:05 – 17:06 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:06 – 17:07 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 17:07 – 17:07 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 21:45 – 21:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 21:51 – 21:51 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:00 – 22:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:01 – 22:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:03 – 22:07 (4m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:07 – 22:07 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:09 – 22:09 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:10 – 22:11 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:11 – 22:15 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

---
## 2026-07-14 22:07 – 22:15 (8m)
**Beschreibung:** Upload/OCR-Pipeline-Session abgeschlossen: fehlenden `os/exec`-Import in `cmd/archivdms/main.go` ergänzt (wurde für `exec.LookPath`-Warnungen zu tesseract/pdftoppm benötigt), README.md um Storage-Struktur (`inbox/store/ocr-tmp`, WORM chmod 0440), neue Config-Keys (`storage.base_path`, `storage.max_upload_size_mb`, `ocr.*`) und vollständige apt-Abhängigkeiten (inkl. `tesseract-ocr-eng`) ergänzt.
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session (kein Git-Repo).

### Geänderte Dateien
- `cmd/archivdms/main.go` (Import `os/exec` ergänzt)
- `README.md` (Storage-/OCR-Abschnitt, Abhängigkeiten, Projektstatus)
- `DEVLOG.md`

---
## 2026-07-14 22:15 – 22:20 (5m)
**Beschreibung:** Eingebetteter Per-Mandant-SFTP-Server umgesetzt (Plan `lazy-splashing-puppy.md`): neues Package `internal/sftpserver` (Server+Auth+virtueller Software-Chroot per Tenant-Inbox-Ordner+Polling-Watcher alle 5s), das denselben Upload-Pipeline-Kern (`internal/api.Server.StoreUploadedFile`, dafür exportierter Wrapper um `storeUploadedFile`, Signatur der internen Funktion auf `io.Reader`+`filename`/`contentType` statt `*multipart.FileHeader` umgestellt) wie der HTTP-Upload nutzt. Neue Tabelle `sftp_credentials` (bcrypt, Store analog `userstore.go`), Admin-CRUD-API (`/api/admin/sftp-credentials`), neue Audit-Events, `SFTPConfig` in `config.go`/`config.yml.example`, Verdrahtung in `main.go` (nur wenn `cfg.SFTP.Enabled`). `github.com/pkg/sftp` neu in `go.mod` ergänzt (Version manuell eingetragen, kein `go get`/`go mod tidy` ausgeführt — vor dem ersten echten Build nötig).
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session (kein Git-Repo).

### Geänderte Dateien
- `go.mod` (neues Require `github.com/pkg/sftp`)
- `config/config.go` (`SFTPConfig`)
- `config/config.yml.example` (`sftp:`-Block)
- `internal/audit/audit.go` (neue Event-Konstanten)
- `internal/storage/storage.go` (SFTP-Schema-Init verdrahtet)
- `internal/storage/sftp_credentials.go` (neu)
- `internal/storage/migrations/004_sftp_credentials.sql` (neu)
- `internal/storage/migrations/README.md`
- `internal/sftpserver/server.go` (neu)
- `internal/sftpserver/tenantfs.go` (neu)
- `internal/api/document_handlers.go` (Signatur `storeUploadedFile` verallgemeinert, `StoreUploadedFile`-Wrapper ergänzt)
- `internal/api/sftp_handlers.go` (neu)
- `internal/api/server.go` (Routen)
- `cmd/archivdms/main.go` (SFTP-Server-Start)
- `README.md` (SFTP-Abschnitt, Struktur-Tabelle)
- `DEVLOG.md`
## 2026-07-14 22:21 – 22:21 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:24 – 22:25 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 22:26 – 22:28 (2m)
**Beschreibung:** install.sh/update.sh für native Debian-13/LXC-Installation (kein Docker, kein Git-Remote) hinzugefügt, README um Installations-Abschnitt ergänzt.
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
- `install.sh` (neu) — native Installation: Basispakete, Node.js 24.x (NodeSource), Go 1.26.5 von upstream, Manticore Search (dynamische Versionsermittlung analog archivmail), Systembenutzer `archivdms`, sudo-NOPASSWD-Whitelist, Storage-Struktur `/var/lib/archivdms/{inbox,store,ocr-tmp}`, PostgreSQL-Setup, `config.yml` aus `config/config.yml.example`, nginx-Reverse-Proxy + Let's-Encrypt-Hinweis, systemd-Units `archivdms`/`archivdms-web`, Cron-Job-Installation, ruft `update.sh` für Erst-Build auf. Kein `INSTALL_MODE=docker`-Zweig, kein `git clone` — Quellcode kommt aus `ARCHIVDMS_SRC` (Default: Skriptverzeichnis).
- `update.sh` (neu) — baut aus lokalem Quellverzeichnis neu (rsync statt `git pull`), `go build` + `npm run build`, spielt Backend/Frontend/Cron-Job ein, synchronisiert systemd-Units, startet Dienste neu, Health-Checks.
- `README.md` (Abschnitt "Installation" ergänzt)
- `DEVLOG.md`

---
## 2026-07-14 22:29 – 22:29 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:09 – 23:16 (7m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:17 – 23:19 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:21 – 23:25 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:26 – 23:27 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:28 – 23:28 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:28 – 23:28 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:31 – 23:32 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:33 – 23:37 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:37 – 23:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:39 – 23:39 (Login/UI/Performance-Umbau)
**Beschreibung:** Login-Screen + Middleware-Cookie-Gate, App-Shell (Sidebar/TopBar/Cmd+K), Server-Component-Umbau von /documents und /reminders (Server-seitiger Fetch mit manuell weitergereichtem Session-Cookie, Server Actions + revalidatePath statt Full-Reload), echter Upload-Fortschritt via XMLHttpRequest, neue shadcn-UI-Bausteine von Hand nachgebaut (command, sidebar, sonner, skeleton, table, dropdown-menu, avatar, sheet, tabs, progress). Kein npm/go-Toolchain in dieser Umgebung ausgeführt — package.json um cmdk/sonner/@radix-ui/react-avatar/@radix-ui/react-progress ergänzt, `npm install` muss vor dem nächsten Build/Deploy nachgeholt werden.
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session (kein Git-Repo vorhanden).

### Geänderte Dateien
middleware.ts, src/lib/session.ts, src/lib/api.ts, src/app/layout.tsx, src/app/page.tsx, src/app/login/page.tsx, src/components/auth/LoginForm.tsx, src/app/(app)/layout.tsx, src/app/(app)/documents/{page,loading}.tsx, src/app/(app)/reminders/{page,loading,actions}.ts(x), src/app/(app)/settings/page.tsx, src/components/shell/{AppSidebar,TopBar,CommandPalette}.tsx, src/components/documents/{DocumentsTable,DocumentUploadForm}.tsx, src/components/reminders/RemindersTable.tsx, src/components/ui/{command,sidebar,sonner,skeleton,table,dropdown-menu,avatar,sheet,tabs,progress}.tsx, src/hooks/use-mobile.tsx, tailwind.config.ts, src/app/globals.css, package.json.

---
## 2026-07-14 23:40 – 23:42 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:45 – 23:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:47 – 23:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:48 – 23:49 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:49 – 23:49 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:50 – 23:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:50 – 23:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:51 – 23:51 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:52 – 23:52 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:54 – 23:55 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:57 – 23:58 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-14 23:59 – 00:01 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:03 – 00:03 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-15 00:00 – 00:10 (10m)
**Beschreibung:** Plan lazy-splashing-puppy umgesetzt: strukturierte Entitäten (Tags/Dokumenttypen/Korrespondenten) als eigene DB-Tabellen mit Matching-Algorithmus + Barcode-Wert, neue Matching-Engine (any/all/exact/regex/fuzzy, selbst implementierte Levenshtein-Ratio), Barcode-Erkennung via zbarimg-Sidecar (`internal/barcode`), OCR-Signaturumbau `ExtractText` -> `Extract` (liefert Text + Barcodes), Ingest-Integration (Barcode-Wert-Lookup + Matching-Engine, automatische Zuweisung, Audit-Log), CRUD-Handler + Routen für alle drei Entitätstypen plus Tag-Attach/Detach, Settings-Frontend-Seiten und DocumentsTable-Erweiterung um Tag-Badges/Dokumenttyp/Korrespondent. Kein `go build`/`npm install` in dieser Umgebung ausgeführt (kein Go/Node hier) — Build/Deploy-Verifikation steht auf dem Zielserver noch aus.
**Projekt:** archivdms

### Commits
Keine Commits (kein Git-Repo).

### Geänderte Dateien
Neu: internal/storage/taxonomy.go, internal/storage/migrations/005_taxonomy.sql, internal/matching/matching.go, internal/barcode/barcode.go, internal/api/taxonomy_handlers.go, src/components/taxonomy/TaxonomyManager.tsx, src/app/(app)/settings/{tags,document-types,correspondents}/page.tsx
Geändert: internal/storage/documents.go, internal/storage/migrations/README.md, internal/ocr/ocr.go, internal/api/document_handlers.go, internal/api/server.go, src/lib/api.ts, src/components/documents/DocumentsTable.tsx, src/app/(app)/documents/page.tsx, src/app/(app)/settings/page.tsx, README.md

---
## 2026-07-15 00:10 – 00:16 (6m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:16 – 00:19 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:22 – 00:22 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:24 – 00:26 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:27 – 00:27 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:28 – 00:35 (7m)
**Beschreibung:** Tenant-Verwaltung (POST/GET /api/tenants, superadmin-only) implementiert und Sicherheitslücke in `handleCreateUser` behoben: Superadmin konnte strukturell keinen tenant-gebundenen User anlegen, weil `TenantID` immer hart auf `sess.TenantID` (nil für Superadmin) gesetzt wurde. Fix ist rollenabhängig: Superadmin darf `tenant_id` aus dem Request übernehmen, domain_admin bekommt seinen eigenen `sess.TenantID` weiterhin hart erzwungen (IDOR-Schutz, ein abweichender Wert im Body wird ignoriert, nicht nur geprüft). Frontend: neue Seite `/settings/tenants` (nur für superadmin sichtbar, Server-Component-Rollencheck über `/api/auth/me`), Sidebar-Eintrag "Mandanten" nur für superadmin.
**Projekt:** archivdms

### Geänderte Dateien
- internal/audit/audit.go (EventTenantMgmt)
- internal/api/tenant_handlers.go (neu)
- internal/api/server.go (Routen POST/GET /api/tenants, requireRole(RoleSuperAdmin))
- internal/api/user_handlers.go (Kernfix: rollenabhängige tenant_id-Zuweisung in handleCreateUser)
- src/lib/api.ts (Tenant/TenantInput/CurrentUser Typen, createTenant/listTenants/getCurrentUser)
- src/app/(app)/settings/tenants/page.tsx (neu)
- src/components/tenants/TenantManager.tsx (neu)
- src/app/(app)/settings/page.tsx (Link nur für superadmin)
- src/app/(app)/layout.tsx (liest Rolle server-seitig, reicht sie an AppSidebar durch)
- src/components/shell/AppSidebar.tsx (Nav-Eintrag "Mandanten" nur für superadmin)
- README.md (Hinweis auf Tenant-Verwaltung)
- DEVLOG.md (dieser Eintrag)

---
## 2026-07-15 00:29 – 00:30 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:32 – 00:32 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:33 – 00:34 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 00:35 – 00:35 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 09:56 – 09:56 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 09:57 – 10:00 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 10:39 – 10:39 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 10:41 – 10:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 10:42 – 10:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 10:47 – 10:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 10:48 – 10:48 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:30 – 11:30 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:30 – 11:30 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:31 – 11:31 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:31 – 11:31 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:32 – 11:47 (14m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 11:47 – 11:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-15 – Benutzerverwaltung (Frontend)
**Beschreibung:** User-Management-Seite unter /settings/users gebaut (für domain_admin/superadmin): Liste, Anlegen/Bearbeiten/Löschen via Dialoge, Rollen- und Aktiv-Status-Verwaltung, optionaler Passwort-Reset. Rollencheck server-seitig via GET /api/auth/me, Sidebar-Menüpunkt "Benutzer" nur bei passender Rolle. Kein Backend-Code geändert.
**Projekt:** archivdms

### Geänderte/neue Dateien
- NEU  src/app/(app)/settings/users/page.tsx (Server Component, rollen-gegated)
- NEU  src/components/users/UserManager.tsx (Client-Island: CRUD-Dialoge)
- ÄND  src/lib/api.ts (User-Typen + list/create/update/deleteUser)
- ÄND  src/app/(app)/settings/page.tsx (Benutzer-Card für Admins, Platzhalter entfernt)
- ÄND  src/components/shell/AppSidebar.tsx (Nav-Eintrag "Benutzer" für Admins)
- ÄND  README.md

---
## 2026-07-15 11:50 – 11:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:18 – 12:18 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:18 – 12:18 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:24 – 12:24 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:24 – 12:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:25 – 12:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:29 – 12:29 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:30 – 12:30 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-15 – Papierkorb & gestaffelte Löschung (Frontend)
**Beschreibung:** Frontend für Soft-Delete-Papierkorb + Vier-Augen-Löschung (Backend war fertig).
**Projekt:** archivdms

### Geänderte/neue Dateien
- `src/lib/api.ts` – neu: `deleteDocument` (Soft-Delete-Hinweis), Trash-Typen (`TrashDocument`, `DeleteRequest`, `DeleteRequestStatus`) und Fetch-Funktionen (`listTrash`, `restoreDocument`, `listDeleteRequests`, `createDeleteRequest`, `cancelDeleteRequest`, `confirmDeleteRequest`).
- `src/app/(app)/trash/page.tsx` – neu: Server-Component, lädt `/api/trash`, `/api/auth/me`, best-effort `/api/users` (id→Name).
- `src/app/(app)/trash/loading.tsx` – neu: Skeleton.
- `src/components/trash/TrashManager.tsx` – neu: Client-Island (Liste, Wiederherstellen, Lösch-Request-Dialog mit Status/Verlauf, Vier-Augen-Logik requester≠confirmer, Retention-Sperre, Toasts).
- `src/components/documents/DocumentsTable.tsx` – Aktion „In Papierkorb verschieben" (Bestätigungsdialog) ergänzt, da DELETE jetzt Soft-Delete ist.
- `src/components/shell/AppSidebar.tsx` – Nav-Eintrag „Papierkorb" (Trash2-Icon).

### Hinweis
Kein Build ausgeführt (kein Node-Toolchain in dieser Umgebung). Backend nicht angefasst.
## 2026-07-15 12:34 – 12:34 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-15 – Deploy: Custom Fields UI + Papierkorb UI
**Beschreibung:** Deploy der beiden Frontend-Features (Custom Fields Verwaltung + Papierkorb/Vier-Augen-Löschung) auf 192.168.1.204. Vorab Konfliktprüfung in `src/lib/api.ts` und `src/components/shell/AppSidebar.tsx` (beide Feature-Branches ändern diese Dateien) — keine doppelten Exports/Imports gefunden, sauber zusammengeführt.
**Projekt:** archivdms

### Deploy-Ablauf
- rsync Quellcode → `root@192.168.1.204:/root/archivdms-src/`
- `bash update.sh` auf dem Server ausgeführt

### Build-Ergebnis
- Go Backend: erfolgreich gebaut
- Next.js Frontend (Turbopack, Next 16.2.10): `next build` erfolgreich, TypeScript-Check ohne Fehler, alle 15 Routen generiert inkl. `/trash` und `/settings/custom-fields`
- Kein package-lock.json vorhanden → Fallback `npm install` (erwartetes Verhalten laut update.sh)

### Dienste nach Deploy
- `archivdms` (Backend, Port 8080): active
- `archivdms-web` (Frontend, Port 3000): active
- nginx (80/443): läuft

---
## 2026-07-15 12:36 – 12:36 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:38 – 12:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:39 – 12:40 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:40 – 12:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:43 – 12:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:47 – 12:48 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 12:55 – 12:56 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 13:10 – 13:11 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 13:18 – 13:18 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 14:01 – 14:02 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 14:24 – 14:45 (20m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 14:45 – 14:48 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 15:34 – 15:35 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 15:52 – 15:52 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:02 – 16:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:03 – 16:04 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:21 – 16:21 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:22 – 16:22 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:24 – 16:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:29 – 16:29 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:30 – 16:31 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:32 – 16:32 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:32 – 16:33 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:33 – 16:33 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 – Manticore-Suche in archivdms aktiviert
**Beschreibung:** Manticore Search Integration produktiv geschaltet (war bereits als Dienst installiert, aber nicht angebunden).
**Projekt:** archivdms

### Durchgeführt
- Manticore-Dienst-Status geprüft: läuft bereits (searchd, Port 9306/9308 nur 127.0.0.1) — kein externer Zugriff, keine Firewall-Änderung nötig.
- `index.manticore_dsn: "archivdms@tcp(127.0.0.1:9306)/?charset=utf8mb4"` in `/etc/archivdms/config.yml` ergänzt (Backup vorher angelegt).
- `systemctl restart archivdms` — Log zeigt `search index enabled (manticore)`, kein Verbindungsfehler.
- `archivdms reindex -config /etc/archivdms/config.yml` ausgeführt: 2 Tenants, 1 Dokument, 69ms, keine Fehler.
- Verifikation: `SHOW TABLES` zeigt `documents_tenant_1`, `documents_tenant_2`; Dokumentanzahl stimmt mit Postgres überein (Tenant 1: 1 Dokument, Tenant 2: 0).
- Funktionstest: `/api/documents/search` liefert ohne Cookie 401 (nicht mehr 503) — Suchpfad ist aktiv. Echter Login-Test mit Testtenant-Zugangsdaten nicht durchgeführt (Passwort nicht dokumentiert im Projektverzeichnis).

### Geänderte Dateien
- Server: `/etc/archivdms/config.yml` (index.manticore_dsn ergänzt)

---
## 2026-07-15 16:34 – 16:34 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:38 – 16:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:40 – 16:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:42 – 16:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:42 – 16:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 – Dashboard-Startseite
**Beschreibung:** Dashboard-Übersicht als neue Landing-Page (Route "/") gebaut. Server Component lädt GET /api/dashboard via serverApiFetch. Kennzahlen-Kacheln (total_documents, documents_this_month, reminders_due, reminders_upcoming_7d, pending_delete_requests, trash_count, retention_expiring_30d) mit lucide-Icons, klickbar (Link → /documents, /reminders, /trash). reminders_due (rot) und pending_delete_requests (amber) werden bei Wert > 0 farblich hervorgehoben. documents_by_type als Tailwind-Balkenliste (keine Chart-Lib eingeführt). Skeleton-loading.tsx. Sidebar um "Übersicht"-Eintrag ergänzt (aktiv-Logik für "/" gesondert).
**Projekt:** archivdms

### Geänderte Dateien
- src/app/(app)/page.tsx (neu), src/app/(app)/loading.tsx (neu)
- src/app/page.tsx (entfernt – Kollision mit (app)/page.tsx auf "/")
- src/lib/api.ts (DashboardStats/DocumentTypeCount-Typ + getDashboardStats)
- src/components/shell/AppSidebar.tsx (Nav-Eintrag Übersicht + isActive-Fix)
- README.md

---
## 2026-07-15 16:45 – 16:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:51 – 16:52 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:55 – 16:55 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 16:59 – 17:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:00 – 17:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:00 – 17:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:01 – 17:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:08 – 17:08 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:09 – 17:09 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:14 – 17:14 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:15 – 17:15 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:16 – 17:17 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:22 – 17:22 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:23 – 17:23 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:24 – 17:24 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:26 – 17:27 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:28 – 17:30 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 17:31 – 23:14 (5h 43m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:16 – 23:17 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:17 – 23:18 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:25 – 23:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:27 – 23:27 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 21:26 – 21:28 (2m)
**Beschreibung:** Deploy: LDAP-Wiring (server.go SetLDAP/ldap_handlers.go, main.go), ldapstore GetWithSecret-Fix, dashboard_handlers superadmin-403-Fix, Frontend Tenant-Selector-Fix — Build lief diesmal durch (unused-import-Fehler aus vorherigem Versuch behoben).
**Projekt:** archivdms

### Deploy
rsync + `update.sh` auf root@192.168.1.204 — Go-Backend und Next.js-Frontend erfolgreich gebaut, beide Dienste laufen (`archivdms`, `archivdms-web` active). Log bestätigt `ldap directory integration enabled`.

### Smoke-Test
- `GET /api/dashboard` → 401 (missing authorization), kein 500 — Routing/Handler intakt.
- `GET /api/ldap-config` → 401 (missing authorization), kein 404 — Route registriert.
- Kein authentifizierter Session-Test durchgeführt (keine Testzugangsdaten griffbereit).

---
## 2026-07-15 23:27 – 23:27 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:32 – 23:32 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:32 – 23:33 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:34 – 23:34 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:37 – 23:37 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:39 – 23:39 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:44 – 23:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:45 – 23:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:47 – 23:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:47 – 23:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:48 – 23:48 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:50 – 23:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:53 – 23:54 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-15 23:59 – 23:59 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 00:00 – 00:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 00:01 – 00:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 00:01 – 00:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 – Deploy: Upload-Logging-Fix
**Beschreibung:** internal/api/document_handlers.go: handleUploadDocument loggt jetzt Info-Zeile bei jedem Upload-Request (username, tenant_id, content_length, max_bytes, remote_addr) sowie Warn+Audit bei ParseMultipartForm-Fehler (Oversize/Client-Abbruch). Reine Logging-Änderung, keine funktionale Änderung. Behebt fehlende Log-Spur aus der früheren 502-Upload-Untersuchung.
**Projekt:** archivdms

### Deploy
rsync Quellcode → root@192.168.1.204:/root/archivdms-src/, danach update.sh ausgeführt.
Go-Build: OK. Next.js-Build: OK. Backend + Frontend nach Neustart aktiv, Health-Check grün, keine Fehler im journalctl-Log.

---
## 2026-07-16 00:02 – 00:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 00:04 – 00:04 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-16 – Klassifizierungsvorlagen Phase 1+2 (classification templates)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Beschreibung
Klassifizierungsvorlagen implementiert (Phase 1 CRUD + Phase 2 Apply/Preview).
Vorlage = benanntes Bündel aus Dokumenttyp, Tags, Custom-Field-Defaultwerten und
Aufbewahrungsdauer, in einem Schritt auf ein Dokument anwendbar. Bewusst KEINE
persistente Kopplung template<->document (GoBD): Anwendung nur per Audit-Eintrag.
Retention-Regel absolut: eine Vorlage kann retain_until nur verlängern, nie
verkürzen — auch nicht mit overwrite=true; abgelehnter Verkürzungsversuch wird
protokolliert (RetainUntilBlocked, EventTemplateApplied Success=true mit Hinweis).
Field-Defaults werden nicht-destruktiv gemergt (SetDocumentFieldValues ist
full-replace, daher Union aus Bestandswerten + Vorlagen-Writes).

### Geänderte / neue Dateien
- NEU internal/storage/classification_templates.go — Schema (initClassificationTemplatesSchema, wired in documents.go initSchema NACH Taxonomy/CustomFields), Typen ClassificationTemplate, TemplateFieldDefault, TemplateFieldDefaultInput, CreateTemplateRequest, UpdateTemplateRequest; Sentinels ErrClassificationTemplateNotFound, ErrDuplicateTemplateName; Methoden CreateTemplate/ListTemplates/GetTemplate/UpdateTemplate/DeleteTemplate/SetTemplateTags/SetTemplateFieldDefaults (+ helper listTemplateTags/listTemplateFieldDefaults/templateOwned)
- NEU internal/storage/classification_templates_apply.go — ApplyTemplateResult, FieldDefaultChange; PreviewApplyTemplate + ApplyTemplate (+ computeRetainUntil, applyTemplateFieldValues, templateDefaultToInput, existingValueToInput, formatTemplateDefault/formatExistingValue/formatFieldValueParts)
- NEU internal/api/classification_template_handlers.go — handleListTemplates/handleGetTemplate/handleCreateTemplate/handleUpdateTemplate/handleDeleteTemplate/handleSetTemplateTags/handleSetTemplateFieldDefaults/handleApplyTemplate (+ writeTemplateApplyError)
- NEU internal/storage/migrations/011_classification_templates.sql (Doku)
- internal/audit/audit.go — neue EventTemplateCreate/Update/Delete/Applied
- internal/storage/documents.go — initSchema ruft initClassificationTemplatesSchema
- internal/api/server.go — 8 neue Routen registriert
- internal/storage/migrations/README.md — 011-Eintrag

### Verifikation (kein go-Toolchain in Sandbox)
Manuell gegengeprüfte Symbole: SetDocumentFieldValues-Signatur (ctx,docID,tenantID,[]DocumentFieldValueInput)->([]string,error), DocumentFieldValue/-Input-Felder, isEmptyResolved/containsString/scanTaxonomyEntity/nullIfEmpty (gleiches package storage), auth.Session.UserID(int64)/Username/TenantID, audit.Entry-Felder, AttachTag(ctx,docID,tagID) macht RecomputeVisibility selbst, GetDocument mappt no-rows NICHT auf Sentinel -> in PreviewApplyTemplate via pgx.ErrNoRows auf ErrDocumentNotFound gemappt.
## 2026-07-16 01:45 – 09:50 (8h 04m)
**Beschreibung:** Claude Code Session
**Projekt:** components

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:00 – 10:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:04 – 10:11 (7m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:11 – 10:12 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:13 – 10:13 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:36 – 10:37 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:38 – 10:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 – Deploy: Dokumentenvorschau-Seite mit Tag-Verwaltung
**Beschreibung:** Deploy und Verifikation des neuen Features `/documents/{id}` (Dokumentenvorschau, Tag-Hinzufügen/Entfernen).

### Änderungen
- Backend: `GET /api/documents/{id}/file` (Handler `handleGetDocumentFile` in `internal/api/document_handlers.go`, Route in `server.go`) — liefert Dokumentdatei inline für Browser-Vorschau.
- Frontend: neue Seite `src/app/(app)/documents/[id]/page.tsx` + `src/components/documents/DocumentPreview.tsx`, neue API-Funktion `getDocument` in `src/lib/api.ts`, Verlinkung in `DocumentsTable.tsx`.

### Deploy
rsync nach `root@192.168.1.204:/root/archivdms-src/`, `update.sh` ausgeführt. Go-Backend und Next.js-Frontend bauten beide auf Anhieb sauber durch (keine Fixes nötig). Route `/documents/[id]` erscheint im Next.js-Build als dynamisch (ƒ).

### Verifikation
- `systemctl is-active archivdms archivdms-web` → beide `active`
- `GET /api/documents/1/file` → 401 (Endpoint existiert, Auth-Gate greift)
- `/documents/1` (Frontend) → 307 Redirect zu Login (wie alle anderen App-Seiten ohne Session)
- journalctl beider Dienste: keine Fehler, nur reguläre Stop/Start-Zyklen durch update.sh

---
## 2026-07-16 10:40 – 10:49 (9m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 10:50 – 11:00 (9m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 11:05
**Beschreibung:** Dokumentvorschau um Paperless-inspirierte Tabs erweitert (Details/Inhalt/Verlauf) — Backend: neuer dokument-scoped Audit-Endpoint `GET /api/documents/{id}/audit` (jeder berechtigte Nutzer, nicht nur domain_admin). Frontend: `DocumentPreview.tsx` in Tabs gegliedert, OCR-Volltext read-only anzeigbar, Audit-Verlauf pro Dokument mit lazy fetch. Deployed und verifiziert (Build fehlerfrei, Smoketests 401/307 wie erwartet).
**Projekt:** archivdms

### Geänderte Dateien
- internal/api/audit_handlers.go (neu: handleDocumentAuditLog)
- internal/api/server.go (Route GET /api/documents/{id}/audit)
- src/lib/api.ts (Typen AuditEntry/AuditLogResponse, getDocumentAuditLog)
- src/components/documents/DocumentPreview.tsx (Tabs Details/Inhalt/Verlauf)

---
## 2026-07-16 11:01 – 11:06 (4m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 11:11 – 11:12 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 – OCR-Diagnose Dokument 3: rotierter Handyscan (ocr-specialist)
**Beschreibung:** Dokument ID 3 (Tankquittung, Handyfoto Xiaomi Redmi Note 9 Pro) hatte komplett unbrauchbaren `ocr_text`.
**Projekt:** archivdms

### Diagnose
- Original: `/var/lib/archivdms/store/3/2026/07/7a2ac5d43091...jpg`, 4000x3000px, EXIF-Orientation=6 (Pixel-Daten liegen quer/gedreht, EXIF-Tag verlangt 90° CW-Rotation für korrekte Anzeige)
- Tesseract wertet EXIF-Orientation grundsätzlich nicht aus und lief bislang ohne `--psm`-Flag (Default psm 3, kein OSD) → Text wurde auf falsch orientierten Pixeln erkannt → Kauderwelsch
- Kein Bildqualitätsproblem, rein Rotations-/Pipeline-Problem — reproduzierbar bei jedem verdreht/quer aufgenommenen Foto-Upload, nicht nur bei Dokument 3
- `osd.traineddata` bereits auf dem Server installiert (`tesseract --list-langs` zeigt `osd`), kein zusätzliches Sidecar-Binary nötig
- Verifiziert: `tesseract <original.jpg> - -l deu+eng --psm 1` liefert sauberen, korrekten Text ("Eni Service-Station", Tankstellen-Rechnung vollständig lesbar)

### Code-Änderung
- `internal/ocr/ocr.go`: `runTesseract()` nutzt jetzt `--psm 1` (Automatic page segmentation with OSD) statt Tesseract-Default. Bei Fehlschlag (OSD kann bei textarmen Seiten mit "Too few characters" abbrechen) automatischer Fallback auf Default-PSM ohne OSD, damit bisher funktionierende Fälle nicht regressieren. Aufrufer (`ocrImage`, `pdfRasterOCR`) unverändert, Signatur von `runTesseract` unverändert.
- Kein `go build` lokal möglich (keine Go-Toolchain in dieser Session verfügbar) — Signaturen und Aufrufer manuell verifiziert (grep über alle `runTesseract`-Call-Sites).

### Offen / Übergabe
- Dokument 3 selbst braucht Re-OCR (bestehender `ocr_text` in DB ist der alte, kaputte Wert) — Re-Trigger-Mechanismus für bereits hochgeladene Dokumente existiert aktuell nicht, ggf. an Backend Developer für manuellen Re-OCR-Endpoint übergeben
- Nach Deploy: **→ manticore-performance** informieren, dass sich `ocr_text` für neu verarbeitete/re-ocr'te Dokumente ändert (Reindex-Bedarf)
- Fix noch nicht deployed (kein Deploy in dieser Session durchgeführt)

### Geänderte Dateien
- internal/ocr/ocr.go
## 2026-07-16 11:12 – 11:21 (8m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-16 – "Neu verarbeiten"-Button + Live-Verifikation OCR-Fix

**Beschreibung:** Frontend-Button "Neu verarbeiten" (DocumentPreview.tsx, api.ts `reprocessDocument`) deployt, ruft bereits vorhandenen Endpoint `POST /api/documents/{id}/reprocess` auf. Backend unverändert. Danach Live-Test des zuvor gefixten OCR/Rotation-Bugs an Dokument 3 (Tankstellen-Rechnung, Tenant 3) durchgeführt.

### Deploy
- rsync + update.sh auf 192.168.1.204 — Backend + Frontend Build erfolgreich, beide Dienste laufen (`Backend ✓`, `Frontend ✓`), Logs ohne Fehler.

### Live-Verifikation Reprocess-Endpoint
- Kein CLI-Bypass im Go-Binary vorhanden (`archivdms help` zeigt nur serve/reminders/reindex/version).
- Endpoint ist tenant-scoped (`sess.TenantID` erforderlich) — Superadmin (kein Tenant) kann ihn NICHT aufrufen, schlägt mit "invalid document id" fehl.
- Für den Test **einmalig temporäres Passwort** für `superadmin` (id 1) und `testuser@archivdms.local` (id 3) per bcrypt-Hash (Go-Snippet mit golang.org/x/crypto/bcrypt, cost 12, wie im Backend) direkt in `users.password_hash` gesetzt.
- `testuser` (normal Tenant 1) temporär auf `tenant_id=3` umgesetzt, um Zugriff auf Dokument 3 zu haben (Dokument gehört echtem Kunden-Tenant 3, dessen eigentlicher User `patrick@perlbach24.de` wurde NICHT angefasst).
- Login per E-Mail (nicht Username, da Username-Login nur für tenant-lose Accounts funktioniert) → Bearer-Token → `POST /api/documents/3/reprocess`.
- **Ergebnis: OCR-Fix bestätigt.** Vorher: Kauderwelsch ("LaSHbaL INES... Grp HALB EASLHTIHRSL..."). Nachher: lesbarer deutscher Text (Eni Service-Station Susanne Rittweger, Halberstädter Chaussee 25, 39116 Magdeburg, Beleg SUPER PLUS 55,99 EUR, USt-Id DE129218205 etc.) — restliche Restfehler (TSE-Signaturblock, wenige Wörter) sind normale OCR-Unschärfe bei kleiner Handy-Foto-Auflösung, kein Rotationsfehler mehr.
- Aufräumen: `testuser.tenant_id` zurück auf 1 gesetzt. Temporäre Dateien/Tool auf dem Server gelöscht (`/root/bcrypttool`, `/tmp/hash.txt`, `/tmp/setpw.sql`).

### WICHTIG — temporäre Passwörter noch aktiv
Die bcrypt-Hashes von `superadmin` (id 1) und `testuser@archivdms.local` (id 3) wurden testweise auf `Hv0JbcZNkB3fA0ppBclG` gesetzt und NICHT zurückgesetzt (ursprünglicher Hash war nicht bekannt/wiederherstellbar). **Beide Passwörter zeitnah ändern.**

### Geänderte Dateien
- src/components/documents/DocumentPreview.tsx
- src/lib/api.ts
## 2026-07-16 11:22 – 11:29 (6m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-16 – OCR-Rotationsfix auf alle betroffenen Dokumente ausgeweitet

**Beschreibung:** Nutzer meldete mindestens ein Dokument mit komplett leerem/kauderwelsch `ocr_text` nach dem doc-3-Fix. Systematische Prüfung aller 8 Dokumente in der DB (`select id, tenant_id, storage_path, length(ocr_text), source from documents`) ergab: Dokument 1 (natives PDF) und Dokument 3 (bereits gefixt) waren in Ordnung, **Dokumente 2, 4, 5, 6, 7, 8 lieferten alle Kauderwelsch** — gleiches Rotationsproblem wie bei Dokument 3, nur bisher nicht aufgefallen weil `ocr_text` nicht leer sondern nur unbrauchbar war.

### Ursache (Root Cause, tiefer als der vorherige Fix)
Der vorherige Fix (`--psm 1` für automatische OSD-Rotation) reicht nicht aus: Tesseract erkennt die Rotation intern korrekt (`Rotate: 90` etc. im `--psm 0`-Log), wendet sie aber bei niedriger `Orientation confidence` **nicht an** und liest stillschweigend die unrotierten Pixel — ohne Fehler, nur mit Müll-Output. Beobachtete Confidence-Werte bei den betroffenen Dokumenten: 0.11 bis 7.21 (alle *korrekt* in der Rotationsrichtung, nur bei niedrigem Wert von Tesseract selbst verworfen).

### Fix (`internal/ocr/ocr.go`)
- Neue Funktion `rotateForOSD()`: läuft `tesseract <file> - --psm 0` separat, parst `Rotate:` und `Orientation confidence:` per Regex.
- Ab `minOSDConfidence = 0.05` (bewusst sehr niedrig, siehe Kommentar im Code — bei Confidence 0.11 war die erkannte Richtung trotzdem korrekt, ein falscher Rotate-Wert ist nicht schlimmer als gar keine Rotation) wird das Bild **physisch selbst rotiert** — reines `image`/`image/jpeg`/`image/png` aus der Stdlib (`rotate90CW()`), kein CGO, kein neuer Sidecar-Prozess.
- Danach läuft die normale Erkennungskette (`--psm 1` + Fallback, jetzt `runTesseractWithFallback()`) auf dem rotierten Bild statt sich auf Tesseracts internes Auto-Rotate zu verlassen.
- `runTesseract()` ist jetzt der Wrapper: OSD-Erkennung + Rotation zuerst (best effort, `ok=false` fällt sauber auf alte Logik zurück), dann `runTesseractWithFallback()`.

### Verifikation
- `go vet ./internal/ocr/...` auf dem Server (Go-Toolchain dort vorhanden, lokal nicht) — sauber, keine Fehler.
- Manuell mit echter Tesseract-Binary auf dem Server nachgestellt (kleines Standalone-Go-Rotationsprogramm + `tesseract --psm 0` + `tesseract --psm 1` auf dem rotierten Bild) für alle 6 betroffenen Dokumente (2, 4, 5, 6, 7, 8) — jedes lieferte danach lesbaren deutschen Text (Tankstellenbeleg "Eni Service-Station", Rechnungsdaten, TSE-Signaturblock etc.) statt Kauderwelsch.
- **Kein Live-Reprocess-Test über die API in dieser Session** — der laufende Server hat noch die alte Binary, das Deploy macht devops-deploy danach. Verifikation daher direkt gegen Tesseract simuliert, nicht über den Volltest-Reprocess-Endpoint.
- Server-Checkout (`/root/archivdms-src/internal/ocr/ocr.go`) wurde nach dem `go vet`-Check wieder auf den zuvor deployten Stand zurückgesetzt (nur lokaler Code hat den Fix, kein ungewolltes Deploy).

### Auffällige Dokumente (Diagnose-Tabelle)
| ID | Tenant | Vorher (`length(ocr_text)`) | Diagnose | Nach Fix (simuliert) |
|----|--------|------|----------|----|
| 1  | 1 | 59 | Natives PDF, Text korrekt — kein Bug | unverändert, kein Fix nötig |
| 2  | 0 | 855 | Rotate:90, Confidence 2.01 → nicht angewendet | lesbar |
| 3  | 3 | 934 | bereits in Vorsession gefixt (Rotate:90) | lesbar (bestätigt) |
| 4  | 3 | 852 | Rotate:90, Confidence 7.21 → nicht angewendet | lesbar |
| 5  | 3 | 820 | Rotate:180, Confidence 0.62 → nicht angewendet | lesbar |
| 6  | 3 | 944 | Rotate:90, Confidence 0.40 → nicht angewendet | lesbar |
| 7  | 3 | 362 | Rotate:90, Confidence 0.57 → nicht angewendet, kürzester/schlechtester Text | lesbar |
| 8  | 3 | 678 | Rotate:90, Confidence **0.11** → deutlichster Beleg für zu hohe interne Schwelle bei Tesseract | lesbar |

### Empfehlung an devops-deploy
Nach Deploy dieses Fixes: alle betroffenen Dokument-IDs (2, 3(bereits erledigt), 4, 5, 6, 7, 8) per `POST /api/documents/{id}/reprocess` neu verarbeiten, damit `ocr_text` in der DB aktualisiert wird — der Fix wirkt nur bei Neuverarbeitung, nicht rückwirkend auf bereits gespeicherten Text.

### Übergabe an manticore-performance
Nach dem Reprocess der oben genannten Dokumente: Reindex-Bedarf für `ocr_text` dieser IDs (Volltext-Index muss die aktualisierten Texte übernehmen).

### Geänderte Dateien
- internal/ocr/ocr.go
## 2026-07-16 11:33 – 11:47 (13m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-16 – Deploy: OSD-Rotation + Deskew-Vorverarbeitung (ImageMagick) — verifiziert

**Beschreibung:** Deploy der beiden bisher nur einzeln/manuell getesteten OCR-Fixes (OSD-basierte 90°/180°-Rotationskorrektur + `convert -deskew 40%`-Vorverarbeitung in `internal/ocr/ocr.go`, Startup-Check für `convert` in `cmd/archivdms/main.go`) auf 192.168.1.204. rsync + `update.sh` — Go-Build und kombinierter Build beider Fixes liefen auf Anhieb sauber durch (keine Iteration nötig), Frontend-Build ebenfalls grün, beide Dienste danach aktiv. Startup-Check für `convert` läuft still bei Erfolg (nur `logger.Warn` bei Fehler) — kein Warn-Log im journalctl, `which convert` bestätigt `/usr/bin/convert` (ImageMagick 7.1.1-43) vorhanden.

**Verifikation:** testuser vorübergehend auf tenant_id=3 umgesetzt (danach zurück auf tenant_id=1), `POST /api/documents/{id}/reprocess` für Dokumente 2, 4, 5, 6, 7, 8 aufgerufen. Doc 2 liegt unter `tenant_id=0` (kein gültiger Tenant, weder 1/2/3) — nicht erreichbar über testuser (tenant-scoped ACL), auch nicht über superadmin (Reprocess-Endpoint verlangt `sess.TenantID != nil`, superadmin hat keinen). Nicht reprozessiert, keine Datenänderung an Doc 2 vorgenommen (Tenant-Zuordnung wirkt wie Datenanomalie, außerhalb des Fix-Scopes — Rückfrage nötig statt eigenmächtiger Korrektur). Docs 4–8 erfolgreich reprozessiert, `ocr_text` per psql vor/nach verglichen:

| Doc-ID | Vorher (Ausschnitt) | Nachher (Ausschnitt) | Lesbar? |
|---|---|---|---|
| 2 | `Gh HN EABLHTIIHDSL+ZEMPOAH...` | — nicht reprozessiert (tenant_id=0, unzugänglich) — | nein (unverändert) |
| 4 | `OSH! dL4NE6 ... und1ja211015 ...` | `Eni service-Station\nsusanne Rittweger\nHalberstädter Chaussee 25\n39116 Magdeburg...` | ja |
| 5 | `(ISH d LINEG! ... GLPLANDEPULFLIHPS...` | `Ent »erVice-Station\nSusanne Kittwegei\nHalberstadtey Chaussee 25...` | ja (weitgehend, einzelne Zeichenfehler) |
| 6 | `LOSHLALANEB! ... HORB EAULHDINBS...` | `Susanne Kittweger\nHalberstädter Chaussee 25\n39116 Magdeburg...` | ja |
| 7 | `11821.1845 ... SLOP : : BL UBZUNJEUBLS...` | `Eni service-Station\nSusanne Rittweger\nHalberstädter Chaussee 25...` | ja |
| 8 | `(SHEA LINES! ... G/b/WALb AHMET IMPS...` | `Eni Servioe- Station\nSusann LL Wage}\nHalberstädter Chaussee 25...` | ja (etwas mehr Restrauschen, kontrastarmer Beleg) |

Alle 5 zugänglichen Dokumente (4–8) von unlesbarem Kauderwelsch auf klar lesbaren Fließtext (Tankstellenbeleg: Adresse, Firma, Beträge) verbessert. Deskew+OSD-Kombination wirkt wie erwartet.

**Offener Punkt:** Doc 2 (`tenant_id=0`) braucht Rückfrage/Klärung vor weiterem Vorgehen — kein regulärer Tenant, evtl. Datenmigrationsartefakt.

**Aufräumen:** testuser wieder auf `tenant_id=1` zurückgesetzt (verifiziert per psql).

### Geänderte Dateien (bereits vor diesem Deploy geschrieben, hier nur ausgerollt)
- internal/ocr/ocr.go
- cmd/archivdms/main.go

**Projekt:** archivdms

---
## 2026-07-16 11:48 – 12:00 (11m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:11 – 12:11 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:12 – 12:15 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:16 – 12:16 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:16 – 12:17 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:26
**Beschreibung:** Zwei Nachbesserungen an der OCR-Pipeline. (1) Titel-Reprocess-Bug: Reprocess ließ Titel unverändert, wenn er nicht exakt dem "Scan DD.MM.YYYY"-Platzhalter entsprach — betraf Dokumente deren Titel schon vor dem Rotation/Deskew-Fix (falsch) aus Kauderwelsch-OCR abgeleitet wurde (z.B. Dokument 5: "Ent »erVice-Station"). Neue Spalte `documents.title_manually_set` (Migration idempotent in initSchema) unterscheidet jetzt echt "Nutzer hat umbenannt" von "automatisch abgeleitet" — PATCH-Titel-Endpoint setzt das Flag, Reprocess überschreibt Titel nur wenn Flag false. (2) Kontrast-Vorverarbeitung: `internal/ocr/ocr.go` normalisiert Graustufen+Kontrast via ImageMagick (`-colorspace Gray -normalize`) zwischen Deskew und OSD-Rotation, reduziert Zeichenfehler bei Foto-Belegen (getestet an Dokument 5: "Kittwegei"→"Rittweger"-Bereich, Kauderwelsch-Zeilen verschwunden).
**Projekt:** archivdms

### Geänderte Dateien
- internal/storage/documents.go (title_manually_set Spalte+Migration, UpdateDocumentTitleAuto)
- internal/api/document_handlers.go (handleReprocessDocument nutzt Flag statt Platzhalter-Regex)
- internal/ocr/ocr.go (normalizeContrast() zwischen Deskew und OSD-Rotation)

### Offen
Live-Verifikation von Dokument 5 nach Reprocess steht noch aus (Test-Session war nach Server-Neustart invalidiert, kein Passwort mehr gespeichert).

---
## 2026-07-16 12:17 – 12:27 (9m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:31 – 12:32 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:36 – 12:36 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:37 – 12:39 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:40 – 12:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:41 – 12:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:44 – 12:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:45 – 12:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 – OCR: Pixel-Guard eingebaut, Despeckle/Blur/unpaper getestet und verworfen
**Beschreibung:** ocr-specialist Agent, Vorverarbeitungs-Tuning `internal/ocr/ocr.go`
**Projekt:** archivdms

### Was getestet wurde
Vergleich an dms doc ids 4-9 (Tenant 3, alle 4000x3000 Handyfotos derselben
Tankquittung, unterschiedlich stark verwackelt/schräg), jeweils Original-
Pipeline (deskew+normalize) als Baseline gegen:
- ImageMagick `-despeckle`: verbessert doc 6 (PLZ "33116"→korrekt "39116"),
  zerstört aber docs 5/8/9 komplett (Tesseracts interne OSD-Rotationserkennung
  kippt bei zusätzlichem Rauschen auf marginalen Bildern, Ergebnis
  gespiegelt/wirr). Netto negativ über den Testsatz.
- ImageMagick `-unsharp 0x1.0`: destabilisiert Layout-/Rotationserkennung auf
  doc 6 (verschachtelte, doppelte Textausgabe), kein klarer Gewinn sonst.
- ImageMagick `-median 1`: neutral bis leicht negativ, kein Mehrwert ggü.
  bestehendem `-normalize`.
- `unpaper` 7.0.0 (zu Testzwecken auf 192.168.1.204 installiert): für
  gescannte Buch-/Dokumentseiten gebaut (Rand-/Maskenerkennung), nicht für
  bereits eng zugeschnittene Handyfotos — reduziert Tesseract-Ausgabelänge
  auf jedem Testdokument (z.B. doc 4: 832→521 Zeichen). Nicht übernommen,
  Paket bleibt aber installiert falls später für echte Scans relevant.
- Festes Resize auf ~2500px längste Kante vor OCR: verliert Detailschärfe
  bei kleiner Quittungsschrift (eine ganze Kopfzeile verschwand bei doc 6),
  reduziert Tesseract-Ausgabelänge auf den meisten docs. Verworfen als
  pauschaler Schritt.

Fazit: keiner der Unschärfe-/Rauschentfernungs-Ansätze verbessert das
Ergebnis zuverlässig genug über den Testsatz, das Risiko einer Verschlechterung
überwiegt den gelegentlichen Gewinn — nicht in die Pipeline übernommen
(ausführlich dokumentiert als Code-Kommentar in `ocr.go`, damit das nicht
versehentlich erneut versucht wird ohne erneuten Test).

### Was tatsächlich eingebaut wurde
`clampImageSize()` als neuer erster Schritt in `runTesseract()` (vor
`deskewImage`): `convert <src> -resize 30000000@> <dst>`, reiner
Safety-Guard gegen pathologisch große Uploads (>30 Megapixel), analog zu
Paperless' `OCR_MAX_IMAGE_PIXELS`. No-op auf dem aktuellen Testkorpus
(alle ~12MP), verifiziert an einem künstlich auf 8000x6000 hochskalierten
Testbild (wird korrekt auf ~6325x4743 verkleinert). Aktuelle Upload-Größen
(4000x3000) waren ohnehin nicht das Problem — kompletter
deskew+normalize+OSD+tesseract-Durchlauf für ein Testdokument lag bei
~0,27s auf dem Server (4 Cores, 4GB RAM) — daher rein defensiv, keine
Performance-Optimierung anhand der aktuellen Daten begründet.

### Geänderte Dateien
- `internal/ocr/ocr.go` — `clampImageSize()` ergänzt, in `runTesseract()`
  als erster Schritt eingehängt; ausführlicher Kommentar zu getesteten und
  verworfenen Despeckle/Blur/unpaper-Ansätzen.

### Server
- `unpaper` 7.0.0 zu Testzwecken auf 192.168.1.204 installiert
  (`apt-get install unpaper`), wird aktuell nicht von der Pipeline genutzt.
- Kein Deploy in dieser Session (macht devops-deploy).

### Für manticore-performance
Keine Änderung an `ocr_text`-Extraktion selbst (nur Vorverarbeitung vor
Tesseract) — kein Reindex-Bedarf durch diese Änderung.

---
## 2026-07-16 12:46 – 12:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:47 – 12:50 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 12:53 – 12:54 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:06 – 13:06 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:07 – 13:10 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:13 – 13:17 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:18 – 13:20 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:20 – 13:24 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:26 – 13:27 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:27 – 13:28 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:30 – 13:35 (5m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:40 – 13:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:46
**Beschreibung:** Layout-Fix Dokumentvorschau — Höhenberechnung berücksichtigte TopBar (56px) nicht, Seite lief über Viewport hinaus und wirkte gestaucht ("Detailsansicht zu klein"). `h-[calc(100vh-0px)]` → `h-[calc(100vh-3.5rem)]`, Vorschaufläche vergrößert (60vh→75vh Mindesthöhe, Bild nutzt mehr verfügbare Höhe). Deployed.
**Projekt:** archivdms

### Geänderte Dateien
- src/components/documents/DocumentPreview.tsx

---
## 2026-07-16 13:44 – 13:46 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 13:50 – 13:51 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 15:00 – 15:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 15:24
**Beschreibung:** Scan-Titel-Datumsformat als Admin-Einstellung konfigurierbar gemacht (Wunsch: bisheriges Format "Scan DD.MM.YYYY HH:MM" war fix, User wollte Wahlmöglichkeit). Neue Tenant-Spalte `scan_title_date_format` (Default "DD.MM.YYYY HH:mm"), 3 auswählbare Formate (deutsch/ISO/US), `GET/PUT /api/tenant-settings` (domain_admin/superadmin), neue Einstellungsseite `/settings/tenant-settings`. Deployed, verifiziert (Spalte angelegt, 401/307 Smoketests bestanden).
**Projekt:** archivdms

### Geänderte Dateien
- internal/tenantstore/store.go (ScanTitleDateFormat Feld+Migration+UpdateScanTitleDateFormat)
- internal/api/tenant_settings_handlers.go (neu)
- internal/api/document_handlers.go (titleFromOCRText Parameter, scanTitleDateFormats Map)
- internal/api/server.go (Route)
- src/lib/api.ts (TenantSettings Typ+Funktionen)
- src/app/(app)/settings/tenant-settings/page.tsx (neu)
- src/components/settings/ScanTitleDateFormatForm.tsx (neu)
- src/app/(app)/settings/page.tsx (Verlinkung)

---
## 2026-07-16 15:13 – 15:24 (10m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:10
**Beschreibung:** Dokumentvorschau bekam dynamische Größenanpassung — per Maus ziehbare Trennlinie zwischen Vorschau und Seitenleiste (280-600px, localStorage-persistiert, Doppelklick setzt Standard 360px zurück) plus Vollbild-Toggle für die Datei-Vorschau (Escape zum Verlassen). Keine neue Dependency, reine React-State/Flexbox-Lösung. Deployed.
**Projekt:** archivdms

### Geänderte Dateien
- src/components/documents/DocumentPreview.tsx

---
## 2026-07-16 15:53
**Beschreibung:** Scan-Titel-Datumsformat von 3 festen Optionen auf freies Token-Format umgestellt. Neues Package `internal/dateformat` (`Translate`: YYYY/YY/MM/DD/HH/hh/mm/ss/AM-PM als Platzhalter, Rest bleibt Literal, Fehler wenn kein Platzhalter enthalten). DB speichert weiter den lesbaren Token-String, Übersetzung nach Go-Layout zur Laufzeit. Frontend: Radio-Liste ersetzt durch freies Textfeld + anklickbare Vorschlags-Buttons + Platzhalter-Legende. Deployed, Build sauber.
**Projekt:** archivdms

### Geänderte Dateien
- internal/dateformat/dateformat.go (neu)
- internal/api/document_handlers.go (exampleScanTitleFormats statt fester Map)
- internal/tenantstore/store.go (Validierung via dateformat.Translate)
- internal/api/tenant_settings_handlers.go (Validierung via dateformat.Translate)
- src/components/settings/ScanTitleDateFormatForm.tsx (freies Textfeld+Vorschlags-Buttons+Legende)

---
## 2026-07-16 15:39
**Beschreibung:** Scan-Titel-Text-Präfix (bisher hart "Scan") als zweites Tenant-Setting ergänzt, gleicher Endpoint wie Datumsformat (`GET/PUT /api/tenant-settings`, jetzt PATCH-artig — nur mitgeschickte Felder ändern sich). Neue Spalte `tenants.scan_title_prefix` (Default "Scan", max 40 Zeichen). Frontend: Eingabefeld mit Live-Vorschau des vollständigen Titels in derselben Einstellungsseite. Deployed, verifiziert.
**Projekt:** archivdms

### Geänderte Dateien
- internal/tenantstore/store.go (ScanTitlePrefix Feld+Migration+UpdateScanTitlePrefix)
- internal/api/document_handlers.go (titleFromOCRText Prefix-Parameter, tenantScanTitleParams)
- internal/api/tenant_settings_handlers.go (PATCH-Semantik für beide Felder)
- src/lib/api.ts (TenantSettings, updateTenantSettings PATCH-Signatur)
- src/components/settings/ScanTitleDateFormatForm.tsx (Präfix-Eingabefeld+Vorschau)

---
## 2026-07-16 15:31
**Beschreibung:** Bugfix "tenant_id query parameter required for superadmin" auf /settings/tenant-settings — Superadmin hat laut Design nie einen eigenen tenant_id (immer null), Seite hat das fälschlich als Query-Param verwendet. Fix: Mandanten-Dropdown für Superadmin (GET /api/tenants), Einstellungen laden erst nach Auswahl clientseitig. Deployed.
**Projekt:** archivdms

### Geänderte Dateien
- src/app/(app)/settings/tenant-settings/page.tsx
- src/components/settings/ScanTitleDateFormatForm.tsx

---
## 2026-07-16 15:29 – 15:32 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 15:33 – 15:40 (7m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 15:46 – 15:54 (7m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:06 – 16:10 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:25 – 16:33 (8m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:38 – 16:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:39 – 16:44 (5m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:44 – 16:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:55
**Beschreibung:** Ollama-Integration (externes lokales LLM) als dritter Metadaten-Vorschlags-Provider neben heuristic, pro Mandant konfigurierbar (Server-URL, Modell, Timeout). Neues Package `internal/llm` (Ollama-HTTP-Client), `internal/storage/metadata_suggestions_ollama.go` (Provider, nutzt gleiches SuggestionPayload-Schema), Tabelle `tenant_ollama_config`. Kein stiller Fallback auf heuristic bei Ollama-Fehler (Nachvollziehbarkeit). Einstellungsseite `/settings/ollama-config` (gleiches Muster wie tenant-settings: Superadmin wählt Mandant zuerst). Kein Ollama-Server auf 192.168.1.204 installiert — läuft extern, Feature standardmäßig disabled. Deployed, Build sauber, kein Fix nötig. OCR-Textkorrektur via LLM als nächster Schritt noch offen (nur Client-Grundlage steht).
**Projekt:** archivdms

### Geänderte Dateien
- internal/storage/ollama_config.go (neu)
- internal/storage/metadata_suggestions_ollama.go (neu)
- internal/llm/ollama.go (neu)
- internal/api/ollama_config_handlers.go (neu)
- internal/storage/documents.go (initOllamaConfigSchema Hook)
- internal/audit/audit.go (EventOllamaConfigUpdate)
- internal/api/server.go (Routen)
- internal/api/metadata_suggestion_handlers.go (provider Query-Param)
- src/lib/api.ts (OllamaConfig Typ+Funktionen)
- src/app/(app)/settings/ollama-config/page.tsx (neu)
- src/components/settings/OllamaConfigForm.tsx (neu)
- src/app/(app)/settings/page.tsx (Verlinkung)

---
## 2026-07-16 16:45 – 16:55 (9m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 16:56 – 16:56 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:01
**Beschreibung:** Ollama-Modellliste live abrufbar statt reinem Freitextfeld. Neuer Endpoint `GET /api/ollama-config/models` fragt `/api/tags` des konfigurierten Ollama-Servers ab. Frontend: "Modelle laden"-Button mit Chip-Auswahl in der Ollama-Einstellungsseite, Feld bleibt zusätzlich frei editierbar. Deployed, Build sauber.
**Projekt:** archivdms

### Geänderte Dateien
- internal/llm/ollama.go (ListModels)
- internal/api/ollama_config_handlers.go (handleListOllamaModels)
- internal/api/server.go (Route)
- src/lib/api.ts (listOllamaModels)
- src/components/settings/OllamaConfigForm.tsx (Button+Chip-Auswahl)

---
## 2026-07-16 16:57 – 17:01 (4m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:04
**Beschreibung:** Bugfix "save ollama config failed: storage: ..." — rohe Go-Fehlermeldung durch saubere deutsche Texte ersetzt, plus Frontend-Vorab-Validierung (aktiviert ohne Server-URL/Modell wird clientseitig abgefangen, kein unnötiger Request). Deployed.
**Projekt:** archivdms

### Geänderte Dateien
- internal/storage/ollama_config.go
- internal/api/ollama_config_handlers.go
- src/components/settings/OllamaConfigForm.tsx

---
## 2026-07-16 17:02 – 17:04 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:08
**Beschreibung:** Bugfix "base_url muss zuerst gesetzt werden" beim "Modelle laden"-Button — nutzte bisher nur den gespeicherten base_url-Wert aus der DB, nicht den aktuell eingetippten ungespeicherten Feldinhalt. `GET /api/ollama-config/models` akzeptiert jetzt optionalen `?base_url=`-Query-Param (überschreibt gespeicherten Wert), Frontend schickt aktuelles Eingabefeld mit — kein vorheriges Speichern mehr nötig um eine URL zu testen. Deployed.
**Projekt:** archivdms

### Geänderte Dateien
- internal/api/ollama_config_handlers.go
- src/lib/api.ts
- src/components/settings/OllamaConfigForm.tsx

---
## 2026-07-16 17:06 – 17:08 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:09 – 17:09 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:17 – 17:19 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:24 – 17:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 17:32 – 17:49 (16m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-16 20:50
**Beschreibung:** Digitale-Akte-Frontend fertiggestellt (nach Session-Limit-Abbruch eines Agenten: api.ts/AktenTable/AkteDetail/AkteStatusBadge/Seiten waren schon fertig, Sidebar-Link und Akte-Zuordnungs-Combobox in DocumentPreview manuell nachgezogen). Akten-Liste (`/akten`), Akte-Detail (`/akten/{id}`), "Akte zuordnen"-Combobox in der Dokumentvorschau (Single-Select, analog Dokumenttyp/Korrespondent). Deployed, Build sauber ohne Fixes.
**Projekt:** archivdms

### Geänderte Dateien
- src/lib/api.ts (Akte-Typen+Funktionen, Document.akte_id)
- src/app/(app)/akten/page.tsx (neu)
- src/app/(app)/akten/[id]/page.tsx (neu)
- src/components/akten/AktenTable.tsx (neu)
- src/components/akten/AkteDetail.tsx (neu)
- src/components/akten/AkteStatusBadge.tsx (neu)
- src/components/shell/AppSidebar.tsx (Sidebar-Link)
- src/components/documents/DocumentPreview.tsx (Akte-Combobox)

---
## 2026-07-16 17:52 – 20:50 (2h 57m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:06 – 21:06 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:07 – 21:07 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:08 – 21:08 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:09 – 21:09 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:10 – 21:11 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:11 – 21:11 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:11 – 21:12 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:13 – 21:14 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 21:14 – 21:14 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 22:46 – 22:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 22:49 – 22:49 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 22:52 – 22:55 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 – Deploy: Früher Duplikat-Check (SHA-256 vor OCR)
**Beschreibung:** Deploy des Duplikat-Check-Features (`internal/storage/documents.go`, `internal/api/document_handlers.go`) auf root@192.168.1.204 via rsync + `update.sh`. Go Backend und Next.js Frontend bauten fehlerfrei (`go build` grün, `next build` grün). Dienste neu gestartet und verifiziert.
**Ergebnis:** Backend (Port 8080, systemd `archivdms`) ✓ läuft, Frontend (Port 3000, systemd `archivdms-web`) ✓ läuft. nginx (80/443) unverändert aktiv.

---
## 2026-07-17 22:55 – 23:00 (4m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 23:00 – 23:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 23:03 – 23:06 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 – DB-Migration: ML-Retraining-Klassifizierung Phase 1 (Naive-Bayes)
**Beschreibung:** Schema für Phase 1 des Retraining-Klassifizierungs-Features ergänzt (ergänzt bestehende Regel-Engine, kein Ersatz).
**Projekt:** archivdms

### Neue Tabellen (internal/storage/ml_classifier.go, initMLClassifierSchema)
- `ml_classifier_tokens` (tenant_id, kind, entity_id, token, count)
- `ml_classifier_classes` (tenant_id, kind, entity_id, doc_count, total_tokens)
- `ml_classifier_runs` (tenant_id, started_at, completed_at, doc_count, status, error)

### Neue Spalten (Provenienz manual/rule/ml_accepted, Default 'manual')
- `document_tags.assigned_via`
- `documents.doc_type_assigned_via`
- `documents.correspondent_assigned_via`

### Vorgehen
- Drift-Check gegen Go-Structs bestätigt: Tabelle heißt `document_tags` (nicht `document_tag_assignments`), `documents.doc_type_id`/`correspondent_id` existierten bereits (aus 005_taxonomy.sql).
- initMLClassifierSchema in documents.go initSchema() nach initAktenSchema eingehängt.
- Migrations-Doku `internal/storage/migrations/020_ml_classifier.sql` + README.md ergänzt.
- Go-Build auf 192.168.1.204 (`_build`) grün, Binary nach `/opt/archivdms/bin/archivdms` kopiert, Dienst neu gestartet.
- Live-Verifikation: alle 3 Tabellen + 3 Spalten vorhanden, bestehende Zeilen (3 document_tags, 8 documents) tragen Default `manual`, keine Datenverluste.

### Geänderte Dateien
- internal/storage/ml_classifier.go (neu)
- internal/storage/documents.go
- internal/storage/migrations/020_ml_classifier.sql (neu)
- internal/storage/migrations/README.md

---
## 2026-07-17 23:09 – 23:24 (15m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-17 23:26
**Beschreibung:** Täglichen Cron-Job für `archivdms classify retrain` (Naive-Bayes-Retraining, alle Tenants) eingerichtet, analog zum bestehenden Reminder-Cron.
**Projekt:** archivdms

### Vorgehen
- Bestehendes Muster `deploy/cron.d/archivdms-reminders` als Vorlage genutzt (gleicher Aufbau: MAILTO, Kommentarblock, Nutzer `archivdms`, Logdatei unter `/var/log/archivdms/`).
- Neue Datei `deploy/cron.d/archivdms-classify-retrain` angelegt: `30 3 * * * archivdms /usr/local/bin/archivdms classify retrain -config /etc/archivdms/config.yml >> /var/log/archivdms/classify-retrain.log 2>&1` — 03:30 Uhr, versetzt zum stündlichen Reminder-Job (Minute 5).
- `update.sh` und `install.sh` um denselben Copy/Chmod-Block für die neue Cron-Datei ergänzt (Pattern exakt gespiegelt), damit sie bei jedem Deploy automatisch mit ausgerollt wird.
- logrotate greift bereits über `*.log`-Glob in `$LOG_DIR` — keine Änderung nötig.
- Deploy gefahren: rsync + `update.sh` auf 192.168.1.204, Go-Build und Next.js-Build grün, Backend + Frontend laufen (`systemctl is-active` → active/active).
- Live-Verifikation: `/etc/cron.d/archivdms-classify-retrain` korrekt installiert, `archivdms classify retrain -dry-run` läuft fehlerfrei gegen 3 Tenants.

### Geänderte Dateien
- deploy/cron.d/archivdms-classify-retrain (neu)
- update.sh
- install.sh

---
## 2026-07-17 23:26 – 23:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-17 – Explanation-Feld in SuggestionCandidate (Storage)
**Beschreibung:** Frontend-Lücke geschlossen: geteilte `storage.SuggestionCandidate` um `Explanation []string \`json:"explanation,omitempty"\`` ergänzt (erwartet in `src/lib/api.ts`, `explanation?: string[]`). Im naive_bayes-Mapping `naiveBayesCandidates` wird `p.TopTokens` (aus `classifier.Predict`) jetzt durchgereicht. Heuristic/ollama unverändert (Feld bleibt leer/omitempty).
**Projekt:** archivdms

### Geänderte Dateien
- internal/storage/metadata_suggestions.go (Struct-Feld)
- internal/storage/metadata_suggestions_naivebayes.go (Mapping)

### Symbol-Prüfung (kein go in Sandbox)
- `classifier.SuggestionCandidate.TopTokens []string` – existiert (naivebayes.go:97), von `Predict` befüllt (Z.469).
- Alle `storage.SuggestionCandidate{...}`-Literale sind keyed (Feldnamen) → neues Feld bricht nichts.
- Frontend `src/lib/api.ts:374` erwartet `explanation?: string[] | null` → JSON-Tag passt.

---
## 2026-07-17 23:28 – 23:30 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---

## 2026-07-17 – Deploy: ML-Klassifizierungs-Feature (Naive-Bayes-Retraining) komplett
**Beschreibung:** Finaler Deploy des ML-Klassifizierungs-Features auf 192.168.1.204 (rsync + update.sh, Backend + Frontend neu gestartet). Alle 5 Phasen abgeschlossen:
- Phase 1 – Schema: Tabellen/Felder für Trainingsdaten und Naive-Bayes-Modellzustand
- Phase 2 – Klassifikator-Kern: `internal/classifier/naivebayes.go` (Training, Predict, TopTokens)
- Phase 3 – Suggestion-Integration: `internal/storage/metadata_suggestions_naivebayes.go` liefert Naive-Bayes-Kandidaten inkl. Explanation-Tokens in den bestehenden Suggestion-Flow ein (neben heuristic/ollama)
- Phase 4 – Retraining-CLI + Cron: eigenständiges Retraining-Kommando, täglich 03:30 Uhr per Cron auf dem Server eingeplant
- Phase 5 – Frontend: Provider-Badge (heuristic/ollama/naive_bayes) und Explanation-Popover in der Vorschlags-UI, `storage.SuggestionCandidate.Explanation []string` durchgereicht

**Projekt:** archivdms
**Server:** root@192.168.1.204 – Deploy per rsync + `bash update.sh`, Dienste `archivdms` und `archivdms-web` neu gestartet und Status geprüft.

---
## 2026-07-17 23:30 – 23:30 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:03 – 00:07 (4m)
**Beschreibung:** Deploy: robustere Belegdatum-Extraktion (Keyword-Scoring, mehr Formate, Plausibilitätscheck)
**Projekt:** archivdms
**Server:** root@192.168.1.204 – Deploy per rsync + `bash update.sh`. Go-Build grün, Frontend-Build grün, Dienste `archivdms` und `archivdms-web` neu gestartet und Status geprüft (aktiv, Ports 80/443/3000/8080 belegt).

### Geänderte Dateien
- `internal/api/date_extraction.go`
- `internal/storage/document_date.go`
- `internal/storage/metadata_suggestions.go`

---
## 2026-07-18 00:00 – 00:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:32 – 00:33 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:39 – 00:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:41 – 00:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:41 – 00:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 00:49 – Deploy: OCR-Diagnose-Logs (Deskew/OSD) live
**Beschreibung:** Deploy der oben beschriebenen Info-Level-Logging-Änderung in `internal/ocr/ocr.go` auf root@192.168.1.204. Rsync + `update.sh` ausgeführt: `go build` grün ("[OK] Go Backend gebaut"), Next.js-Frontend-Build erfolgreich, systemd-Units synchronisiert, Dienste neu gestartet.
**Verifikation:** `systemctl is-active archivdms archivdms-web` → beide `active`. Ports bestätigt: 8080 (archivdms), 3000 (next-server), 80/443 (nginx).
**Projekt:** archivdms

---
## 2026-07-18 00:46 – 17:49 (17h 03m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 17:50 – 17:51 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 17:54 – 17:54 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 17:55 – 17:55 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 17:56 – 17:56 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:02 – 18:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:03 – 18:03 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:24 – 18:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:25 – 18:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 – Eager Thumbnail-Generierung (ocr-specialist)
**Beschreibung:** Bestehende lazy Thumbnail-Pipeline (internal/thumbnail, GET /api/documents/{id}/thumbnail, PNG via pdftoppm/ImageMagick convert, Cache unter storageCfg.ThumbnailPath()/<tenant>/<hash>.png) war schon vollständig vorhanden. Ergänzt: eager Generierung zum gleichen Zeitpunkt wie OCR — direkt nach dem Anlegen des Dokuments in storeUploadedFile() sowie am Ende von ReprocessDocument() (dort nur falls has_thumbnail noch false ist, WORM-Datei ändert sich bei Reprocess ja nicht). Neue Helper-Funktion generateThumbnailBestEffort() in internal/api/document_handlers.go kapselt Generate()-Aufruf + SetDocumentHasThumbnail(), rein best-effort (Warn-Log statt Fehler, blockiert Upload/Reprocess nie).

**DB:** neue Spalte documents.has_thumbnail BOOLEAN NOT NULL DEFAULT false (idempotentes ALTER TABLE in initSchema, internal/storage/documents.go). Reiner UI-Hint — die Thumbnail-Auslieferung selbst bleibt unverändert lazy-fallback-fähig, alte Dokumente ohne Spalten-Backfill funktionieren weiter.

### Geänderte Dateien
- internal/storage/documents.go (Document.HasThumbnail Feld, initSchema ALTER, CreateDocument/GetDocument/ListDocuments SELECT+Scan erweitert, neue Methode SetDocumentHasThumbnail)
- internal/api/document_handlers.go (neue generateThumbnailBestEffort(), Aufruf in storeUploadedFile() nach Schritt 7 und in ReprocessDocument() vor dem Audit-Log)

### Offen / Übergabe
- db-migrator: has_thumbnail-Spalte auf 192.168.1.204 anlegen (ADD COLUMN IF NOT EXISTS, keine Backfill-Migration nötig)
- Frontend: doc.has_thumbnail als Feld in der Document-API-Response verfügbar, kann optional genutzt werden um den 404-Roundtrip bei fehlendem Thumbnail zu vermeiden; GET .../thumbnail funktioniert unverändert auch ohne diese Prüfung
- manticore-performance: kein Reindex nötig, has_thumbnail ist nicht indiziert
## 2026-07-18 18:29 – 18:29 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:30 – 18:31 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 – DB-Migration: documents.has_thumbnail
**Projekt:** archivdms

### Beschreibung
Schema-Drift-Check und Migration für neue Spalte `documents.has_thumbnail
BOOLEAN NOT NULL DEFAULT false` (eager Thumbnail-Hint, siehe
internal/storage/documents.go, ADD COLUMN IF NOT EXISTS bereits im Code des
Backend-Agents vorhanden, initSchema idempotent). Vor Deploy war die Spalte
auf 192.168.1.204 noch nicht live (Drift bestätigt). Deploy via
`ARCHIVDMS_SRC=/opt/archivdms-src bash update.sh` (rsync + Go-Build +
Next.js-Build + Neustart archivdms/archivdms-web), initSchema lief beim
Backend-Start automatisch. Live verifiziert:
`has_thumbnail | boolean | NO | false` — Typ/NOT NULL/Default korrekt. Kein
Backfill nötig (Default false, alte Dokumente nutzen weiter Lazy-Generierung
über GET /api/documents/{id}/thumbnail). Migrations-Doku
(internal/storage/migrations/) unverändert gelassen, da Spalte bereits unter
bestehendem Eintrag dokumentiert ist (title_manually_set/has_thumbnail-Zeile
im Store-Kommentar, kein separater Migrations-File nötig — Backend-Agent hat
das bereits inline in initSchema kommentiert).

### Geänderte Dateien (Server, kein lokaler Commit)
- Deploy von internal/storage/documents.go (initSchema-Ergänzung) auf
  192.168.1.204 ausgerollt.

---
## 2026-07-18 18:32 – 18:32 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:33 – 18:34 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:35 – 18:35 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:35 – 18:35 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:35 – 18:35 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:42 – 18:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:44 – 18:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:44 – 18:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 18:45 – 18:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:25 – 19:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:26 – 19:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:27 – 19:27 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:31 – 19:32 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:33 – 19:35 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:36 – 19:36 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:38 – 19:38 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:39 – 19:39 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:40 – 19:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:40 – 19:40 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:41 – 19:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:42 – 19:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:43 – 19:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:45 – 19:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:47 – 19:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:50 – 19:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:52 – 19:52 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:53 – 19:54 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:58 – 19:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 – A/B-Test: deskewImage vs. Tesseract-interne Skew-Korrektur (verworfen)
**Beschreibung:** ocr-specialist Agent
**Projekt:** archivdms

Auftrag (Architect-Empfehlung): prüfen ob der externe ImageMagick-Deskew-Schritt
(`deskewImage()` in internal/ocr/ocr.go, Aufruf in `runTesseract`) bei
Foto-Uploads weggelassen werden sollte, damit Tesseracts eigene interne
Skew-Korrektur (läuft mit `--psm 1`/OSD-Layoutanalyse automatisch mit) statt
der außenkantenbasierten ImageMagick-Vorkorrektur wirkt.

**Wichtiger Befund vorab:** `runTesseract()` ist der einzige Aufrufpfad für
`deskewImage()` und wird sowohl von `ocrImage()` (direkte Foto-Uploads) als
auch von `pdfRasterOCR()` (pdftoppm-gerasterte PDF-Seiten) genutzt — es gibt
aktuell KEINE getrennte Foto- vs. PDF-Pipeline. Eine "nur für Fotos"
Deaktivierung würde eine Unterscheidung am Aufrufort erfordern, die es noch
nicht gibt.

**Testaufbau:** Baseline-Reprocess (tenant 3, `reprocess-all`, mit aktuellem
Deskew-Code) vs. zweiter Reprocess-Lauf nach temporärem Auskommentieren des
`deskewImage()`-Aufrufs in `runTesseract`, jeweils via rsync+update.sh auf
192.168.1.204 deployt, `ocr_text`-Länge und Lesbarkeit pro Dokument (ids
3,4,5,6,7,8,12) verglichen.

**Ergebnis: gemischt, kein eindeutiger Gewinn.**
- Doc 5: 742 → 854 Zeichen (besser ohne Deskew)
- Doc 12: 919 → 975 Zeichen (besser ohne Deskew)
- Doc 3: 930 → 923 Zeichen (~gleich)
- Doc 6, 8: identisch (Deskew griff hier ohnehin kaum, Winkel nahe 0)
- Doc 4: 779 → 737 Zeichen (schlechter ohne Deskew)
- **Doc 7: 617 → 413 Zeichen (deutlich schlechter ohne Deskew)** — klarer
  Ausreißer nach unten, disqualifiziert die Änderung.

**Entscheidung:** verworfen, wie schon beim Border-Trick-Test zuvor. Code
zurückgesetzt (`deskewImage()`-Aufruf wieder aktiv), Server erneut deployt
(rsync+update.sh) und `reprocess-all -tenant 3` erneut gelaufen lassen, um
`ocr_text` in der DB wieder auf den Mit-Deskew-Stand zu bringen. Kein
Netto-Effekt auf den produktiven Code — Ausgangszustand wiederhergestellt.

**Offen für später:** falls die Foto- vs. PDF-Pipeline-Trennung ohnehin mal
gebraucht wird (z.B. für andere formatspezifische Vorverarbeitung), wäre das
der Punkt, an dem eine bedingte Deskew-Logik technisch möglich würde — aktuell
aber keine Grundlage dafür, da die Vergleichsergebnisse pipeline-unabhängig
gemischt ausfielen.

### Geänderte Dateien
- internal/ocr/ocr.go (temporär geändert für Test, danach zurückgesetzt — kein Netto-Diff)

---
## 2026-07-18 19:58 – 19:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 19:58 – 19:59 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 20:00 – 20:01 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 20:01 – 20:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 20:02 – 20:02 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 20:05 – 20:06 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 20:08 – 22:49 (2h 40m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 22:49 – 22:50 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 22:51 – 22:51 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:17 – 23:18 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:19 – 23:19 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:26 – 23:40 (14m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:41 – 23:41 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:42 – 23:42 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:43 – 23:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:43 – 23:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:44 – 23:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:44 – 23:46 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:47 – 23:50 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 Deploy – Retention-Rules API + Frontend
**Beschreibung:** Deploy auf root@192.168.1.204 — neue Retention-Rules-API (6 Endpunkte, internal/api/retention_rule_handlers.go) inkl. Audit-Events, Frontend /settings/retention-rules mit RetentionRuleManager und Dashboard-Kachel "Warten auf Löschfreigabe". Kein neues DB-Schema (retention_rules-Tabelle bereits vorhanden).
**Projekt:** archivdms

### Deploy-Ergebnis
- Go-Build: OK
- Next.js-Build: OK (alle Routen inkl. /settings/retention-rules erzeugt)
- Backend (archivdms): active
- Frontend (archivdms-web): active
- Funktionscheck GET /api/retention-rules: HTTP 401 (Route registriert, Unauthorized ohne Session wie erwartet)
- journalctl: keine Fehler, nur bekannter Warn-Hinweis (libreoffice/soffice fehlt, betrifft Office-Ingest, nicht dieses Deploy)

---
## 2026-07-18 23:52 – 23:53 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:54 – 23:55 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:55 – 23:57 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:57 – 23:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 – systemd-Timer für `retention apply` eingerichtet
**Beschreibung:** Auf 192.168.1.204 `/etc/systemd/system/archivdms-retention.service` (oneshot, User/Group `archivdms`, gleiche ReadWritePaths/ReadOnlyPaths/NoNewPrivileges/ProtectSystem wie Hauptdienst `archivdms.service`, ExecStart `archivdms retention apply -config /etc/archivdms/config.yml` ohne `-tenant`) und `archivdms-retention.timer` (`OnCalendar=*-*-* 03:00:00`, `Persistent=true`) angelegt, `daemon-reload` + `enable --now` auf den Timer.
**Ergebnis:** `systemctl list-timers` zeigt nächsten Lauf Sun 2026-07-19 03:00:00 UTC. Manueller Testlauf (`systemctl start archivdms-retention.service`, kein `-dry-run`) sauber durchgelaufen: Log `retention apply: complete updated=0 tenant=0`, Result=success, ExecMainStatus=0 — aktuell 0 Dokumente betroffen (retain_until vermutlich bereits überall gesetzt oder keine passenden Regeln fällig).

---
## 2026-07-18 23:58 – 23:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:58 – 23:58 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-18 23:59 – 23:59 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-19 00:00 – 00:01 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-29 22:02 – 11:34 (13h 32m)
**Beschreibung:** Claude Code Session
**Projekt:** wireguard-ui-multi

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – OCR-Overlay Phase 1: TSV-Wort-Extraktion (Resume nach API-Abbruch)
**Beschreibung:** Vorheriger Lauf brach mitten in Phase 1 (OCR-Overlay-Feature) ab. Diagnose ergab: coords.go (WordBox, geomTransform, mapWordsToOriginal) war bereits vollständig und konsistent, aber ocr.go rief `e.wordBoxesWithFallback(...)` auf, ohne dass diese Funktion je definiert wurde — Kompilierfehler. Ergänzt in internal/ocr/ocr.go:
- `wordBoxesWithFallback(ctx, filePath) ([]WordBox, error)` — tesseract `--psm 1 tsv` mit Fallback auf Default-PSM `tsv`, analog zum bestehenden `runTesseractWithFallback`-Muster.
- `parseTesseractTSV(raw string) []WordBox` — parst tesseract TSV-Output (level==5 Wortzeilen, Spalten block/par/line/left/top/width/height/conf/text).

Keine DB/API/Frontend-Änderungen (Phase 1 = reine Backend-Datengrundlage laut Auftrag). Koordinaten-Rücktransformation (Deskew-Subpixel-Grenzfall) bleibt dokumentierte bekannte Einschränkung in coords.go, kein neuer Tuning-Versuch (bereits zweimal verworfen, siehe Projekt-Memory).

**Geänderte Dateien:** internal/ocr/ocr.go
## 2026-07-30 11:34 – 12:02 (27m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 12:20 – Deploy: Reaper-Encode-Bugfix + OCR-Words-Endpoint
**Beschreibung:** Deploy nach root@192.168.1.204 (rsync nach /root/archivdms-src/, dann update.sh). Enthält Reaper-Encode-Bugfix (Interval-Query-Typmismatch in processing_jobs.go) sowie neuen Endpoint `GET /api/documents/{id}/ocr-words`.

Stolperstein beim ersten update.sh-Lauf: `cp: cannot create regular file '/opt/archivdms/bin/archivdms': Text file busy` — ein verwaister, nicht systemd-verwalteter Prozess `archivdms reprocess --help` (PID 21874, seit ~10 Min, PPID 1) hielt das Binary offen. Manuell mit `kill` beendet, danach lief update.sh sauber durch.

Ergebnis:
- Build: OK (Go-Backend + Next.js-Frontend erfolgreich gebaut)
- Dienste archivdms + archivdms-web: aktiv
- Route-Check: `curl https://localhost/api/documents/1/ocr-words` → 401 (Route registriert, nur Auth fehlt — kein 404), Registrierung bestätigt in internal/api/server.go:183
- Journal-Beobachtung auf alten Fehler "unable to encode 600 into text format" läuft im Hintergrund

**Geänderte Dateien (Deploy, keine Codeänderung durch diese Session):** —

---
## 2026-07-30 12:06 – 12:21 (14m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 12:21 – 12:21 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 12:26
**Beschreibung:** Deploy OCR-Overlay Phase 4 (Frontend) nach root@192.168.1.204
**Projekt:** archivdms

### Deploy
rsync + update.sh, Go-Backend gebaut, Next.js-Frontend gebaut (TypeScript-Check lief mit, keine Fehler). Backend + Frontend + nginx aktiv nach Deploy.

### Geänderte Dateien
- src/components/documents/DocumentImagePreview.tsx (neu)
- src/components/documents/DocumentPreview.tsx (geändert)
- src/lib/api.ts (getDocumentOcrWords ergänzt)

---
## 2026-07-30 12:24 – 12:27 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 12:32 – 12:39 (6m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 14:48 – 14:49 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 14:54 – 14:54 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 15:01 – 15:03 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – Otsu-Binarisierung in OCR-Preprocessing (ocr-specialist)
**Beschreibung:** Otsu-Auto-Threshold (`convert -auto-threshold Otsu`) als optionaler letzter Preprocessing-Schritt vor Tesseract ergänzt, hinter Feature-Flag `ocr.binarize_ocr` (Default: false/aus, da noch nicht gegen Praxis-Korpus validiert; kann Fotos/Farbstempel/Unterschriften schaden).

### Geänderte Dateien
- internal/ocr/ocr.go — Extractor.Binarize Feld, binarizeImage() (nach deskewImage/normalizeContrast-Pattern), Aufruf in runTesseract() NACH rotateForOSD (letzter Schritt vor Tesseract)
- config/config.go — OCRConfig.BinarizeOCR bool (yaml: binarize_ocr)
- cmd/archivdms/main.go — extractor.Binarize = cfg.OCR.BinarizeOCR

### Hinweise
- ImageMagick auf 192.168.1.204 verifiziert: 7.1.1-43 (unterstützt `-auto-threshold Otsu`-Syntax)
- Logging (Info bei Erfolg, Warn bei Skip) analog Deskew/OSD ergänzt, damit sich in der Praxis beobachten lässt ob es hilft oder schadet
- Kein go build in Sandbox möglich (kein Go-Toolchain) — nur manuell gegen bestehende Symbole/Config-Struktur geprüft, Build-Verifikation vor Deploy nachholen
- Kein Commit/Push (lokal)

---
## 2026-07-30 – Deploy Otsu-Binarisierung (devops-deploy)
**Zeit:** 15:xx (siehe Timestamp oben)
**Ergebnis:** Build-Fehler beim ersten Deploy-Versuch — `internal/ocr/ocr.go:335: e.Binarize undefined`: das `Binarize`-Feld war im `Extractor`-Struct nur als Kommentar dokumentiert, aber die eigentliche Feld-Deklaration `Binarize bool` fehlte. Direkt gefixt (eine Zeile ergänzt), erneut rsync + update.sh — danach Build ok (Backend + Frontend), beide Dienste (`archivdms`, `archivdms-web`) aktiv. `binarize_ocr` fehlt erwartungsgemäß in `/etc/archivdms/config.yml`, Startup läuft ohne Crash mit Default false (Go-Zero-Value für bool bei fehlendem YAML-Key).
## 2026-07-30 15:04 – 15:09 (4m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – Otsu-Binarisierung Vorher/Nachher-Test (devops-deploy)
**Beschreibung:** `ocr.binarize_ocr` temporär auf true gesetzt und gezielt an den 4 bekannten Testdokumenten aus der Deskew/OSD-Diagnose (Tenant 3, IDs 3/4/5/7) reprocessed — bewusst NICHT über `documents reprocess-all` (hätte alle 9 Tenant-3-Dokumente angefasst), sondern über einen temporären CLI-Subcommand `test-reprocess-ids` (eigene Datei `cmd_test_reprocess_ids.go` + ein Dispatch-Case in `main.go`), der `Server.ReprocessDocument` gezielt für eine ID-Liste aufruft. Nach dem Test wieder vollständig entfernt (main.go aus Backup wiederhergestellt, Testdatei gelöscht) und sauber neu deployt.

### Vorher/Nachher (Zeichenlänge ocr_text)
- Doc 3: 930 → 933
- Doc 4: 779 → 790
- Doc 5: 742 → 723
- Doc 7: 617 → 624

### Einschätzung
Otsu-Log ("ocr otsu binarize applied") erschien bei allen 4 Dokumenten. Textlänge praktisch unverändert (±10-20 Zeichen), Fehlerbild bleibt vergleichbar verrauscht (z.B. Doc 3: OCR-Fehler wandern von einer Stelle zur anderen, Datum "94.06.26"→"24.06.26" leicht korrekter, aber andere Wörter neu verstümmelt). Kein klarer Qualitätsgewinn und keine klare Verschlechterung erkennbar an diesem kleinen Korpus (4 stark verrauschte Kassenbon-Fotos) — Otsu scheint hier weitgehend neutral. Für eine belastbarere Aussage bräuchte es sauberere/repräsentativere Testdokumente (aktuelle 4 sind Extremfälle aus der Deskew/OSD-Diagnose).

### Rücksetzung
`ocr.binarize_ocr` wieder aus `/etc/archivdms/config.yml` entfernt (Default false), Backend via regulärem `update.sh`-Redeploy neu gebaut und gestartet — kein Otsu-Code, kein Test-Subcommand mehr im deployten Stand. `systemctl is-active archivdms archivdms-web` → beide `active`.

---
## 2026-07-30 – Hough-Transform Deskew-Winkelerkennung als alternativer Preprocessing-Pfad (ocr-specialist)
**Beschreibung:** Neues Sidecar-Skript `internal/ocr/scripts/hough_deskew.py` (python3 + OpenCV, kein CGO, keine PyPI-Extras außer opencv-python/numpy) trennt Winkelerkennung von Winkelanwendung: Otsu-Threshold + größte-Kontur-`minAreaRect`, Fallback `HoughLinesP`-Medianwinkel, gibt genau einen Float (Grad, `-rotate`-Konvention) auf stdout aus. Grund: ImageMagicks eigenes `-deskew` (Peak/Valley-Hintergrundprojektion) braucht Randkontext und versagt bei eng beschnittenen Handyfotos — zwei frühere Workarounds (künstlicher Rand, Deskew ganz weglassen) waren bereits negativ getestet, siehe Agent-Memory `project_deskew_border_trick_tested_negative` / `project_deskew_disable_for_photos_tested_negative`.

### Go-Änderungen
- `internal/ocr/ocr.go`: neue Extractor-Felder `DeskewMethod`, `PythonPath`, `HoughDeskewScriptPath` (alle als echte Struct-Felder deklariert, nicht nur kommentiert — nach dem Otsu-Vorfall vom 15:xx-Eintrag oben diesmal explizit gegengelesen); neue Funktionen `houghDeskewAngle()` (ruft Skript auf, best-effort: jeder Fehler → `ok=false`, Winkel 0, Pipeline läuft mit unrotiertem Bild weiter) und `deskewImageHough()` (Winkel per Skript, Rotation per `convert -rotate <winkel>` — ImageMagick bleibt reines Rotationswerkzeug). `runTesseract()` verzweigt jetzt per `strings.EqualFold(e.DeskewMethod, "hough")` zwischen bisherigem `deskewImage()` (ImageMagick-`-deskew`, unverändertes Default-Verhalten) und `deskewImageHough()`.
- `config/config.go`: `OCRConfig.DeskewMethod` (`yaml:"deskew_method"`, Werte `imagemagick`|`hough`, Default `imagemagick` über `ResolvedDeskewMethod()`) und `OCRConfig.HoughDeskewScriptPath` (`yaml:"hough_deskew_script_path"`, Default `/opt/archivdms/scripts/hough_deskew.py` über `ResolvedHoughDeskewScriptPath()`).
- `cmd/archivdms/main.go`: Extractor-Felder aus Config gesetzt, Warnung beim Start falls `deskew_method: hough` konfiguriert ist aber `python3` oder das Skript fehlen.

### Python/OpenCV-Abhängigkeitsstatus auf 192.168.1.204
Per SSH geprüft: `python3-opencv` ist NICHT installiert, aber als apt-Kandidat verfügbar (`4.10.0+dfsg-5`, Debian-Repo). `numpy`/`PIL` ebenfalls nicht vorhanden (kommen transitiv mit `python3-opencv` mit). Vor Aktivierung von `ocr.deskew_method: hough` in Produktion: `apt-get install -y python3-opencv` nötig — an devops-deploy zur Installation vor Code-Deploy übergeben. Solange nicht installiert bleibt `deskew_method` auf Default `imagemagick`, bestehendes Verhalten unverändert.

### Fallback-Verhalten bei Skript-Fehler
`houghDeskewAngle()` behandelt fehlendes `python3`, fehlendes Skript, Timeout, non-zero Exit und unparsebaren stdout-Wert einheitlich als `ok=false` (Winkel 0) mit Warn-Log — niemals ein Abbruch der gesamten OCR-Pipeline, gleiches Best-Effort-Muster wie `deskewImage`/`normalizeContrast`/`binarizeImage`. Bei negligiblem Winkel (< 0.05°) wird der `convert -rotate`-Schritt übersprungen.

### Offen / nächste Schritte
- Noch nicht gegen Testkorpus (Tenant 3, Doc-IDs 3/4/5/7) verifiziert — braucht `python3-opencv`-Installation auf 204 zuerst.
- Kein `go build` in dieser Session möglich (kein Go-Toolchain in der Sandbox) — Struct-Felder und Aufrufstellen manuell gegengelesen, Klammerbilanz geprüft.
- Reindex-Bedarf für `ocr_text` erst relevant, sobald der Hough-Pfad tatsächlich aktiviert und Dokumente reprocessed werden — dann an manticore-performance übergeben.

---
## 2026-07-30 – Deploy: Hough-Deskew-Feature ausgerollt (devops-deploy)
**Beschreibung:** `python3-opencv` (4.10.0, apt) auf 192.168.1.204 installiert — Voraussetzung für den optionalen `deskew_method: hough`-Pfad, war zuvor offen. Danach Standard-Deploy (rsync + update.sh).

- `update.sh` erweitert: neuer Schritt "Spiele OCR-Hilfsskripte ein" kopiert `internal/ocr/scripts/hough_deskew.py` nach `/opt/archivdms/scripts/hough_deskew.py` (chmod 755, chown archivdms:archivdms) — fehlte bisher komplett, Config-Default-Pfad wäre sonst ins Leere gelaufen. Analog zum bestehenden Cron-Job-Copy-Muster eingebaut, mit Warn-Fallback falls Quelldatei fehlt.
- Go-Build (inkl. `go mod tidy`/`download` für neu referenzierte Module) und Next.js-Build liefen fehlerfrei durch, keine Struct-Feld-Fehler.
- Beide Dienste (archivdms, archivdms-web) nach Neustart aktiv, `python3 -c "import cv2"` auf dem Server erfolgreich (Version 4.10.0).
- Default bleibt `imagemagick` — kein Verhaltenswechsel für Bestandsbetrieb, funktionale Verifikation des Hough-Pfads (Testkorpus Tenant 3) steht weiterhin aus.
## 2026-07-30 15:11 – 16:43 (1h 32m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 16:46 – 16:52 (5m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 19:55 – 19:55 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – Bugfix: CLI reprocess-all ignorierte ocr.deskew_method (devops-deploy)
**Beschreibung:** Fix aus vorheriger Session war nur auf dem Server unter `/root/archivdms-src` editiert, fehlte im echten Quellrepo — ins lokale Repo portiert und regulär deployt.

- `cmd/archivdms/cmd_documents_reprocess_all.go` (`runDocumentsReprocessAll`): `extractor.Binarize`, `extractor.DeskewMethod`, `extractor.HoughDeskewScriptPath` wurden nie aus `cfg.OCR` gesetzt (nur `SofficePath`/`Logger`) — CLI-Reprocess ignorierte den Config-Schalter `ocr.deskew_method` komplett und fiel immer auf ImageMagick zurück. Verdrahtung analog `main.go` (Zeilen 191–203) nachgezogen, inkl. Warn-Logs bei fehlendem `python3`/`hough_deskew.py`.
- Standard-Deploy (rsync + update.sh): Go-Build und Next.js-Build fehlerfrei, beide Dienste nach Neustart aktiv.
- Hough-Deskew-Test wiederholt: `ocr.deskew_method: hough` gesetzt, Dienst neu gestartet, Tenant 3 Dokumente 3/4/5/7 einzeln reprocesst. Log zeigt jetzt korrekt "ocr hough deskew angle detected" (statt ImageMagick-Deskew) — Fix wirkt. Für alle 4 Dokumente `angle_deg=0` erkannt (unter Rotationsschwelle, kein Rotate ausgeführt).
- Vorher/Nachher OCR-Textlänge (Tenant 3, imagemagick vs. hough): Doc3 930→923, Doc4 779→737, Doc5 742→854, Doc7 617→413. Gemischtes Bild, keine klare Verbesserung — da Hough für diese 4 Scans keinen Rotationswinkel über der Schwelle findet, bleibt der Effekt gegenüber ImageMagick-Fallback marginal. Root-Cause-Verifikation der Deskew/OSD-Inkonsistenz (siehe project_ocr_inkonsistenz_deskew_osd) bleibt weiterhin offen.
- Config nach Test zurückgesetzt (kein `deskew_method`-Eintrag = Default `imagemagick`), Dienst neu gestartet, beide Dienste (archivdms, archivdms-web) bestätigt aktiv.

---
## 2026-07-30 19:56 – 20:17 (20m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 20:22 – 20:31 (9m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 Deploy: GoBD-Verfahrensdokumentation-Export
**Beschreibung:** Deploy von internal/api/compliance_handlers.go (neu), internal/storage/compliance.go (neu), audit.go (EventComplianceExport), server.go Route GET /api/compliance/procedure-documentation nach 192.168.1.204.

### Ergebnis
- Build (Go + Next.js): OK, keine Fehler.
- Dienste archivdms + archivdms-web: laufen (active).
- Route-Registrierung geprüft: `GET /api/compliance/procedure-documentation` liefert 401 (Admin-Auth erforderlich), kein 404 → korrekt registriert und gemounted.
- Voller Funktionstest mit Session-Cookie für Tenant 3 nicht durchgeführt (kein einfacher Testzugang/Credentials vorhanden, DB-Query zur Nutzersuche im Sandbox-Modus blockiert). Gemäß Vorgabe bei fehlendem Zugang: Build+Route-Check als ausreichend gewertet.

---
## 2026-07-30 21:28 – 21:42 (13m)
**Beschreibung:** Claude Code Session
**Projekt:** Scripte

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 22:31 – 22:33 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – Migration: document_date_score persistieren
**Beschreibung:** Vorbereitung für die geplante Buchhaltungs-Pull-API — der bisher nur zur Laufzeit berechnete Belegdatum-Konfidenzwert (0.4-0.9, extractDocumentDateWithScore / documentDateFromTextWithScore) wird jetzt persistiert, damit er später als Qualitätsfilter (Score >= 0.75) dienen kann.

### Migration
- Neue Spalte `documents.document_date_score NUMERIC` (nullable, kein Backfill für Altbestand), idempotent via `Store.initSchema` in `internal/storage/documents.go`.
- Doku: `internal/storage/migrations/025_document_date_score.sql`, README dort aktualisiert.

### Geänderte Dateien
- `internal/storage/documents.go` — `Document.DocumentDateScore`, `CreateDocumentRequest.DocumentDateScore`, initSchema-ALTER, Create/Get/List-Queries erweitert, `UpdateDocumentDate` Signatur um `score *float64` erweitert (score wird bei date=nil zwangsweise mit auf nil gesetzt).
- `internal/api/document_handlers.go` — `handleSetDocumentDate` setzt bei manueller Datumseingabe Score fest auf 1.0 ("manuell bestätigt"), nie den alten automatischen Score stehen lassen; `ReprocessDocument` und `ProcessDocumentJob` nutzen jetzt `extractDocumentDateWithScore` statt `extractDocumentDate` und schreiben Datum+Score gemeinsam.
- `internal/storage/migrations/025_document_date_score.sql` (neu), `internal/storage/migrations/README.md`.

### Tenant-Isolation
Reine Query-Erweiterung um eine zusätzliche Spalte in bestehenden `WHERE tenant_id = ...`-Queries — keine Query verliert den Tenant-Filter, kein neuer Zugriffspfad.

### Ergebnis
Deploy nach 192.168.1.204 über devops-deploy-Subagent, Dienste laufen sauber. Live verifiziert: `\d+ documents` zeigt `document_date_score | numeric` nullable, kein Default — wie vorgesehen.

---
## 2026-07-30 22:35 – 22:47 (12m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-07-30 – Deploy: Accounting API Keys + Verfahrensdoku-Download
**Beschreibung:** Deploy nach 192.168.1.204 (rsync + update.sh) für neue Settings-Seite `/settings/accounting-keys`, `AccountingApiKeyManager.tsx`, `ProcedureDocumentationDownload.tsx`, `api.ts`-Ergänzungen sowie Änderungen an `retention-rules/page.tsx` und `settings/page.tsx`.

### Geänderte Dateien
- `frontend/app/settings/accounting-keys/page.tsx` (neu)
- `frontend/components/AccountingApiKeyManager.tsx` (neu)
- `frontend/components/ProcedureDocumentationDownload.tsx` (neu)
- `frontend/lib/api.ts` (erweitert)
- `frontend/app/settings/retention-rules/page.tsx` (geändert)
- `frontend/app/settings/page.tsx` (geändert)

### Ergebnis
Go-Backend-Build ok. Next.js-Build (Turbopack, Next.js 16.2.10) inkl. TypeScript-Check ok, keine Fehler — alle 24 Routen inkl. `/settings/accounting-keys` erfolgreich generiert. `update.sh` durchgelaufen, Dienste `archivdms` und `archivdms-web` aktiv, Ports 80/443 (nginx), 3000 (Next.js), 8080 (Backend) hören.

---
## 2026-07-30 23:03 – 23:03 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivmail

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-01 20:18 – 20:20 (2m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-01 20:21 – 20:21 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-01 20:23 – 20:23 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-01 20:24 – 20:25 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** aicontrolcenter

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-02 14:43 – 14:43 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-02 14:44 – 14:44 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-02 14:44 – 14:45 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-02 14:46 – 14:46 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-02 14:48 – 14:48 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 20:46 – 20:47 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 20:48 – 20:49 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** tickets

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 20:56 – 20:59 (3m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 20:59 – 21:00 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 21:03 – 21:04 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 21:23 – 21:23 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** agents

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 21:23 – 21:23 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 21:26 – 21:26 (0m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
Keine Commits in dieser Session.

### Geänderte Dateien
Keine Änderungen ermittelbar.

---
## 2026-08-11 21:27 – 21:28 (1m)
**Beschreibung:** Claude Code Session
**Projekt:** archivdms

### Commits
- 9a24ea2 FDN-01: repository & projektgerüst

### Geänderte Dateien
- .claude/agent-memory/archivdms-architect/project_ollama_integration_plan.md              |   22 +
- .claude/agent-memory/ocr-specialist/MEMORY.md                                            |    4 +
- .claude/agent-memory/ocr-specialist/project_deskew_border_trick_tested_negative.md       |   16 +
- .claude/agent-memory/ocr-specialist/project_deskew_disable_for_photos_tested_negative.md |   24 +
- .claude/agent-memory/ocr-specialist/project_deskew_preprocessing.md                      |   18 +
- .claude/agent-memory/ocr-specialist/project_title_heuristic_and_osd_zero_rotate_gap.md   |   14 +
- .claude/agent-memory/retention-compliance/MEMORY.md                                      |    1 +
- .claude/agent-memory/retention-compliance/project_gobd_verfahrensdokumentation.md        |   52 +
- .claude/agents/DEVLOG.md                                                                 |   68 +
- .claude/agents/archivdms-architect.md                                                    |   37 +
- .claude/agents/backend-dev.md                                                            |   78 +
- .claude/agents/code-review.md                                                            |   51 +
- .claude/agents/db-migrator.md                                                            |   52 +
- .claude/agents/devops-deploy.md                                                          |   76 +
- .claude/agents/frontend-dev.md                                                           |   68 +
- .claude/agents/manticore-performance.md                                                  |   53 +
- .claude/agents/ocr-specialist.md                                                         |   53 +
- .claude/agents/retention-compliance.md                                                   |   69 +
- .claude/agents/retention-dms-vergleich.md                                                |   45 +
- .claude/skills/devops-deploy/SKILL.md                                                    |   76 +
- .eslintrc.json                                                                           |    3 +
- .gitea/workflows/ci.yml                                                                  |  122 ++
- .gitignore                                                                               |    7 +
- DEVLOG.md                                                                                | 6062 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- Makefile                                                                                 |   18 +
- cmd/archivdms/cmd_classify_retrain.go                                                    |  189 ++
- cmd/archivdms/cmd_documents_reprocess_all.go                                             |  249 +++
- cmd/archivdms/cmd_reindex.go                                                             |  145 ++
- cmd/archivdms/cmd_reminders_notify.go                                                    |  150 ++
- cmd/archivdms/cmd_retention_apply.go                                                     |  113 ++
- cmd/archivdms/main.go                                                                    |  365 ++++
- components.json                                                                          |   17 +
- config/config.go                                                                         |  415 +++++
- config/config.yml.example                                                                |   80 +
- deploy/cron.d/archivdms-classify-retrain                                                 |   14 +
- deploy/cron.d/archivdms-reminders                                                        |   13 +
- dms-featureliste-prompt.md                                                               |   87 +
- features/PROJ-1-wiedervorlage.md                                                         |   77 +
- features/README.md                                                                       |   11 +
- go.mod                                                                                   |   23 +
- install.sh                                                                               |  552 ++++++
- internal/api/accounting_handlers.go                                                      |  391 ++++
- internal/api/akte_handlers.go                                                            |  280 +++
- internal/api/audit_handlers.go                                                           |   51 +
- internal/api/auth_handlers.go                                                            |   99 +
- internal/api/classification_template_handlers.go                                         |  404 ++++
- internal/api/compliance_handlers.go                                                      |  535 ++++++
- internal/api/custom_field_handlers.go                                                    |  320 ++++
- internal/api/dashboard_handlers.go                                                       |   29 +
- internal/api/date_extraction.go                                                          |  216 +++
- internal/api/document_bulk_export_handlers.go                                            |  426 +++++
- internal/api/document_export_handlers.go                                                 |  265 +++
- internal/api/document_handlers.go                                                        | 1675 +++++++++++++++++
- internal/api/document_note_handlers.go                                                   |  111 ++
- internal/api/ldap_handlers.go                                                            |  168 ++
- internal/api/metadata_suggestion_handlers.go                                             |  154 ++
- internal/api/ocr_word_handlers.go                                                        |   75 +
- internal/api/ollama_config_handlers.go                                                   |  134 ++
- internal/api/permission_handlers.go                                                      |  458 +++++
- internal/api/processing_job_handlers.go                                                  |  122 ++
- internal/api/public_share_handlers.go                                                    |  281 +++
- internal/api/reminder_handlers.go                                                        |  171 ++
- internal/api/retention_rule_handlers.go                                                  |  247 +++
- internal/api/saved_view_handlers.go                                                      |  140 ++
- internal/api/search_handlers.go                                                          |  122 ++
- internal/api/server.go                                                                   |  554 ++++++
- internal/api/sftp_handlers.go                                                            |  116 ++
- internal/api/share_handlers.go                                                           |  159 ++
- internal/api/taxonomy_handlers.go                                                        |  291 +++
- internal/api/tenant_handlers.go                                                          |   50 +
- internal/api/tenant_settings_handlers.go                                                 |  233 +++
- internal/api/trash_handlers.go                                                           |  237 +++
- internal/api/user_handlers.go                                                            |  129 ++
- internal/api/workflow_handlers.go                                                        |  327 ++++
- internal/audit/audit.go                                                                  |  507 +++++
- internal/auth/auth.go                                                                    |  380 ++++
- internal/auth/ratelimit.go                                                               |   70 +
- internal/barcode/barcode.go                                                              |   64 +
- internal/classifier/naivebayes.go                                                        |  617 +++++++
- internal/cryptutil/secretbox.go                                                          |   73 +
- internal/dateformat/dateformat.go                                                        |   61 +
- internal/index/index.go                                                                  |   94 +
- internal/index/manticore.go                                                              |  319 ++++
- internal/jobqueue/jobqueue.go                                                            |  258 +++
- internal/ldapauth/ldapauth.go                                                            |  239 +++
- internal/ldapstore/ldapstore.go                                                          |  263 +++
- internal/llm/ollama.go                                                                   |  166 ++
- internal/mailer/mailer.go                                                                |  162 ++
- internal/mailer/templates.go                                                             |   20 +
- internal/matching/matching.go                                                            |  219 +++
- internal/ocr/convert.go                                                                  |  230 +++
- internal/ocr/coords.go                                                                   |  359 ++++
- internal/ocr/exif.go                                                                     |  224 +++
- internal/ocr/ocr.go                                                                      | 1060 +++++++++++
- internal/ocr/scripts/hough_deskew.py                                                     |  134 ++
- internal/pagesplit/pagesplit.go                                                          |  514 ++++++
- internal/sftpserver/server.go                                                            |  398 ++++
- internal/sftpserver/tenantfs.go                                                          |  133 ++
- internal/storage/accounting_api_keys.go                                                  |  173 ++
- internal/storage/accounting_pull.go                                                      |  218 +++
- internal/storage/akten.go                                                                |  230 +++
- internal/storage/classification_templates.go                                             |  453 +++++
- internal/storage/classification_templates_apply.go                                       |  306 +++
- internal/storage/classification_templates_title.go                                       |  198 ++
- internal/storage/compliance.go                                                           |   74 +
- internal/storage/custom_fields.go                                                        |  646 +++++++
- internal/storage/dashboard.go                                                            |  114 ++
- internal/storage/document_date.go                                                        |  163 ++
- internal/storage/document_notes.go                                                       |  132 ++
- internal/storage/documents.go                                                            |  588 ++++++
- internal/storage/index_sync.go                                                           |  217 +++
- internal/storage/metadata_suggestions.go                                                 |  320 ++++
- internal/storage/metadata_suggestions_naivebayes.go                                      |  128 ++
- internal/storage/metadata_suggestions_ollama.go                                          |  215 +++
- internal/storage/migrations/001_initial.sql                                              |   60 +
- internal/storage/migrations/002_reminders.sql                                            |   17 +
- internal/storage/migrations/003_documents_unique_hash.sql                                |    8 +
- internal/storage/migrations/004_sftp_credentials.sql                                     |   17 +
- internal/storage/migrations/005_taxonomy.sql                                             |   68 +
- internal/storage/migrations/006_custom_fields.sql                                        |   44 +
- internal/storage/migrations/007_trash.sql                                                |   36 +
- internal/storage/migrations/008_permissions.sql                                          |   78 +
- internal/storage/migrations/009_shares.sql                                               |   53 +
- internal/storage/migrations/010_search_index.sql                                         |   42 +
- internal/storage/migrations/011_classification_templates.sql                             |   52 +
- internal/storage/migrations/012_metadata_suggestions.sql                                 |   33 +
- internal/storage/migrations/012_workflows.sql                                            |   57 +
- internal/storage/migrations/013_document_notes.sql                                       |   21 +
- internal/storage/migrations/014_saved_views.sql                                          |   25 +
- internal/storage/migrations/015_tenant_scan_title_format.sql                             |   20 +
- internal/storage/migrations/016_tenant_scan_title_prefix.sql                             |   19 +
- internal/storage/migrations/017_tenant_ollama_config.sql                                 |   26 +
- internal/storage/migrations/018_akten.sql                                                |   31 +
- internal/storage/migrations/019_document_date.sql                                        |   23 +
- internal/storage/migrations/020_ml_classifier.sql                                        |   55 +
- internal/storage/migrations/021_title_template.sql                                       |   31 +
- internal/storage/migrations/022_retention_rules.sql                                      |   53 +
- internal/storage/migrations/023_processing_jobs.sql                                      |   59 +
- internal/storage/migrations/024_ocr_words.sql                                            |   46 +
- internal/storage/migrations/025_document_date_score.sql                                  |   31 +
- internal/storage/migrations/026_accounting_api_keys.sql                                  |   46 +
- internal/storage/migrations/README.md                                                    |   42 +
- internal/storage/ml_classifier.go                                                        |   64 +
- internal/storage/ml_classifier_train.go                                                  |   59 +
- internal/storage/ocr_words.go                                                            |  160 ++
- internal/storage/ollama_config.go                                                        |  122 ++
- internal/storage/permissions.go                                                          |  721 ++++++++
- internal/storage/processing_jobs.go                                                      |  401 ++++
- internal/storage/reminders.go                                                            |  170 ++
- internal/storage/retention_rules.go                                                      |  533 ++++++
- internal/storage/saved_views.go                                                          |  158 ++
- internal/storage/search.go                                                               |  115 ++
- internal/storage/sftp_credentials.go                                                     |  155 ++
- internal/storage/shares.go                                                               |  389 ++++
- internal/storage/storage.go                                                              |  122 ++
- internal/storage/taxonomy.go                                                             |  387 ++++
- internal/storage/trash.go                                                                |  443 +++++
- internal/storage/workflows.go                                                            | 1028 +++++++++++
- internal/tenantstore/store.go                                                            |  217 +++
- internal/thumbnail/thumbnail.go                                                          |  160 ++
- internal/userstore/userstore.go                                                          |  442 +++++
- middleware.ts                                                                            |   52 +
- next-env.d.ts                                                                            |    5 +
- next.config.ts                                                                           |   28 +
- package.json                                                                             |   53 +
- postcss.config.mjs                                                                       |    9 +
- src/app/(app)/akten/[id]/page.tsx                                                        |   53 +
- src/app/(app)/akten/page.tsx                                                             |   39 +
- src/app/(app)/documents/[id]/page.tsx                                                    |   75 +
- src/app/(app)/documents/loading.tsx                                                      |   15 +
- src/app/(app)/documents/page.tsx                                                         |   66 +
- src/app/(app)/layout.tsx                                                                 |   31 +
- src/app/(app)/loading.tsx                                                                |   20 +
- src/app/(app)/page.tsx                                                                   |  220 +++
- src/app/(app)/reminders/actions.ts                                                       |   25 +
- src/app/(app)/reminders/loading.tsx                                                      |   15 +
- src/app/(app)/reminders/page.tsx                                                         |   52 +
- src/app/(app)/scan/page.tsx                                                              |   16 +
- src/app/(app)/search/loading.tsx                                                         |   19 +
- src/app/(app)/search/page.tsx                                                            |  170 ++
- src/app/(app)/settings/accounting-keys/page.tsx                                          |   51 +
- src/app/(app)/settings/classification-templates/page.tsx                                 |   69 +
- src/app/(app)/settings/correspondents/page.tsx                                           |   22 +
- src/app/(app)/settings/custom-fields/page.tsx                                            |   50 +
- src/app/(app)/settings/document-types/page.tsx                                           |   48 +
- src/app/(app)/settings/ollama-config/page.tsx                                            |   66 +
- src/app/(app)/settings/page.tsx                                                          |  222 +++
- src/app/(app)/settings/permission-groups/page.tsx                                        |   56 +
- src/app/(app)/settings/retention-rules/page.tsx                                          |   73 +
- src/app/(app)/settings/shares/page.tsx                                                   |   52 +
- src/app/(app)/settings/tags/page.tsx                                                     |   42 +
- src/app/(app)/settings/tenant-settings/page.tsx                                          |   66 +
- src/app/(app)/settings/tenants/page.tsx                                                  |   46 +
- src/app/(app)/settings/users/page.tsx                                                    |   60 +
- src/app/(app)/trash/loading.tsx                                                          |   15 +
- src/app/(app)/trash/page.tsx                                                             |   56 +
- src/app/globals.css                                                                      |   69 +
- src/app/layout.tsx                                                                       |   33 +
- src/app/login/page.tsx                                                                   |   27 +
- src/app/public/share/[token]/page.tsx                                                    |  143 ++
- src/components/DEVLOG.md                                                                 |  596 ++++++
- src/components/accounting/AccountingApiKeyManager.tsx                                    |  322 ++++
- src/components/akten/AkteDetail.tsx                                                      |  361 ++++
- src/components/akten/AkteStatusBadge.tsx                                                 |   22 +
- src/components/akten/AktenTable.tsx                                                      |  383 ++++
- src/components/auth/LoginForm.tsx                                                        |  123 ++
- src/components/classification-templates/ApplyTemplateDialog.tsx                          |  354 ++++
- src/components/classification-templates/ClassificationTemplateManager.tsx                |  670 +++++++
- src/components/compliance/ProcedureDocumentationDownload.tsx                             |   49 +
- src/components/custom-fields/CustomFieldManager.tsx                                      |  455 +++++
- src/components/custom-fields/DocumentFieldsDialog.tsx                                    |  314 ++++
- src/components/custom-fields/DocumentTypeFieldsSection.tsx                               |  215 +++
- src/components/documents/DocumentDetailsTab.tsx                                          |  897 +++++++++
- src/components/documents/DocumentImagePreview.tsx                                        |  301 +++
- src/components/documents/DocumentNotesTab.tsx                                            |  166 ++
- src/components/documents/DocumentPreview.tsx                                             |  460 +++++
- src/components/documents/DocumentUploadForm.tsx                                          |  129 ++
- src/components/documents/DocumentsTable.tsx                                              |  555 ++++++
- src/components/documents/DocumentsWidthLayout.tsx                                        |   81 +
- src/components/documents/ProcessingStatusBadge.tsx                                       |  182 ++
- src/components/permissions/DocumentGrantsDialog.tsx                                      |  231 +++
- src/components/permissions/DocumentTypeGrantsSection.tsx                                 |   38 +
- src/components/permissions/GrantsEditor.tsx                                              |  234 +++
- src/components/permissions/PermissionGroupManager.tsx                                    |  370 ++++
- src/components/permissions/TagGrantsSection.tsx                                          |   36 +
- src/components/reminders/CreateReminderButton.tsx                                        |  111 ++
- src/components/reminders/ReminderBadge.tsx                                               |   25 +
- src/components/reminders/ReminderList.tsx                                                |   65 +
- src/components/reminders/RemindersTable.tsx                                              |  110 ++
- src/components/retention-rules/RetentionRuleManager.tsx                                  |  493 +++++
- src/components/scan/ImageCropper.tsx                                                     |  298 +++
- src/components/scan/MobileScanCapture.tsx                                                |  193 ++
- src/components/search/SavedViewsMenu.tsx                                                 |  188 ++
- src/components/search/SearchResults.tsx                                                  |  193 ++
- src/components/settings/OllamaConfigForm.tsx                                             |  230 +++
- src/components/settings/ScanTitleDateFormatForm.tsx                                      |  214 +++
- src/components/shares/ShareDialog.tsx                                                    |  263 +++
- src/components/shares/ShareStatusBadge.tsx                                               |   42 +
- src/components/shares/TenantSharesManager.tsx                                            |  100 +
- src/components/shell/AppSidebar.tsx                                                      |   87 +
- src/components/shell/CommandPalette.tsx                                                  |   81 +
- src/components/shell/SearchBar.tsx                                                       |   45 +
- src/components/shell/TopBar.tsx                                                          |   77 +
- src/components/taxonomy/TaxonomyManager.tsx                                              |  254 +++
- src/components/tenants/TenantManager.tsx                                                 |  131 ++
- src/components/theme-provider.tsx                                                        |   16 +
- src/components/trash/TrashManager.tsx                                                    |  364 ++++
- src/components/ui/avatar.tsx                                                             |   50 +
- src/components/ui/badge.tsx                                                              |   36 +
- src/components/ui/button.tsx                                                             |   56 +
- src/components/ui/calendar.tsx                                                           |   70 +
- src/components/ui/card.tsx                                                               |   71 +
- src/components/ui/command.tsx                                                            |  163 ++
- src/components/ui/dialog.tsx                                                             |  122 ++
- src/components/ui/dropdown-menu.tsx                                                      |  194 ++
- src/components/ui/input.tsx                                                              |   22 +
- src/components/ui/label.tsx                                                              |   26 +
- src/components/ui/popover.tsx                                                            |   31 +
- src/components/ui/progress.tsx                                                           |   28 +
- src/components/ui/sheet.tsx                                                              |  137 ++
- src/components/ui/sidebar.tsx                                                            |  237 +++
- src/components/ui/skeleton.tsx                                                           |   15 +
- src/components/ui/sonner.tsx                                                             |   31 +
- src/components/ui/table.tsx                                                              |  117 ++
- src/components/ui/tabs.tsx                                                               |   55 +
- src/components/ui/textarea.tsx                                                           |   22 +
- src/components/users/UserManager.tsx                                                     |  485 +++++
- src/hooks/use-mobile.tsx                                                                 |   19 +
- src/lib/api.ts                                                                           | 1577 ++++++++++++++++
- src/lib/session.ts                                                                       |   51 +
- src/lib/utils.ts                                                                         |    6 +
- tailwind.config.ts                                                                       |   77 +
- tsconfig.json                                                                            |   41 +
- update.sh                                                                                |  379 ++++

## 2026-08-11 22:22 – 22:22 (0m)
**Beschreibung:** Deploy FDN-08 (Korrelations-ID-Middleware, Metrics-Endpoint, Panic-Recovery) auf 192.168.1.204
**Projekt:** archivdms

### Ergebnis
- Build (Backend + Frontend via update.sh): grün
- Dienste archivdms + archivdms-web: aktiv
- /metrics (localhost:8080): HTTP 200, Prometheus-Textformat (archivdms_build_info, archivdms_uptime_seconds, archivdms_panics_total, archivdms_http_requests_total u.a.)
- api.metrics_allowed_ips in /etc/archivdms/config.yml: nicht gesetzt, läuft auf Loopback-Default — bei Bedarf Monitoring-IP ergänzen
- request_id im Log: Middleware erzeugt/propagiert request_id korrekt (observability.go), aber handleLogin nutzt reqLog(ctx) nicht — Testanfragen gegen /api/auth/login (401) erzeugten keine sichtbare Logzeile mit request_id. Kein Fix vorgenommen (nur Feststellung).

---

## 2026-08-11 (Deploy)
**Beschreibung:** Deploy FDN-08-Nachbesserung: metricsMiddleware loggt jetzt jede Anfrage (nicht nur 5xx, observability.go), Login/Logout/Me loggen über s.reqLog(ctx) mit request_id (auth_handlers.go) — schließt die oben notierte Lücke.
**Projekt:** archivdms

### Ergebnis
- Build (update.sh, Backend + Frontend): grün
- Dienste archivdms + archivdms-web: aktiv
- Verifikation: falscher Login-Versuch (POST /api/auth/login, username=nonexistent) erzeugte zwei Logzeilen mit identischer request_id `877f455ddd038d6a`:
  - `msg="login failed" request_id=877f455ddd038d6a username=nonexistent reason=invalid_credentials`
  - `msg="request rejected" request_id=877f455ddd038d6a method=POST route=/api/auth/login status=401`
- Korrelations-ID zwischen fachlichem Log und Access-Log funktioniert wie vorgesehen.

---