feat(dsgvo): Art. 17 Anonymisierung von Mitarbeiterkonten

Statt Hard-Delete (kollidiert mit Lohn-/Steuer-Aufbewahrung) werden bei
DSGVO-Löschanfrage die personenbezogenen Felder der bestehenden User-Zeile
überschrieben; referenzierte Daten (Zeit/Abwesenheit/Auszahlung/AuditLog)
bleiben entkoppelt erhalten.

- users.anonymized_at (Migration 0040); UserOut.anonymized_at.
- user_service.anonymize_user: überschreibt Name/E-Mail (eindeutig anon-<id>@deleted.local),
  entfernt Auth-Material (Passwort/PIN/QR/NFC/TOTP/LDAP-DN), is_active=False, löscht Sessions,
  AuditLog 'user_anonymized'. Personalnummer bleibt reserviert (kein Personenbezug mehr).
  Selbst-Anonymisierung (400), Doppelanonymisierung/Reaktivierung anonymisierter Konten (409).
- POST /users/{id}/anonymize (COMPANY_ADMIN/SUPER_ADMIN, mandantengeprüft).
- UsersPage: "Anonymisieren"-Button mit Sicherheitsabfrage + "Anonymisiert"-Badge.

193/193 Tests grün. Deployed 137 + 164.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

This commit is contained in:

patrick

2026-06-23 14:31:14 +02:00

co-authored by

Claude Opus 4.8

parent 3034c6c55a

commit c122ab6fd7

7 changed files with 153 additions and 2 deletions

									
										backend/app/schemas/user.py
									
		+1
		
												View File
												
				@@ -30,6 +30,7 @@ class UserOut(BaseModel):

				    work_schedule_id: uuid.UUID | None = None

				    entry_date: date | None = None

				    exit_date: date | None = None

				    anonymized_at: datetime | None = None

				class NotificationTypeOut(BaseModel):