ADR-011 — Google Maps/Places als bewusste Cloud-Ausnahme

Google Maps/Places (Adress-Autocomplete) ist die einzige externe Cloud-Abhängigkeit im Projekt — bewusst auf den Admin-/Event-Management-Bereich begrenzt, mit expliziten CSP-Ausnahmen.

Kontext

Die Leitplanke aus ADR-001 verlangt einen zu 100 % lokal gehosteten Stack ohne externe Cloud-Abhängigkeiten. Für die Adresseingabe bei Events (Ort, PLZ, Straße) wurde dennoch die Google Places API (Place Autocomplete Element) eingebunden, um Tippfehler und uneinheitliche Adressdaten in der Veranstaltungsverwaltung zu vermeiden. Diese Ausnahme wurde im Sicherheitsaudit (TASK-223, Datenschutz-Audit audit-log-2026-05-28) sowie im Verarbeitungsverzeichnis (VT-10) und der AVV-Übersicht (AV-02) bereits fachlich erfasst; diese Seite hält die Architektur-Entscheidung selbst fest.

Entscheidung

Google Places API wird weiterhin genutzt (Entscheidung des Verantwortlichen, 2026-05-29), obwohl sie der Lokal-first-Leitplanke widerspricht. Der Nutzen (konsistente, valide Adressdaten) überwiegt in der Einschätzung des Verantwortlichen den Nachteil einer einzelnen, eng begrenzten Cloud-Abhängigkeit.

Scope

Nur Admin-/Event-Management-UI (apps/web/components/ui/google-places-autocomplete.tsx). Das Places-Script wird ausschließlich dort geladen.
Teilnehmende sind nicht betroffen — für sie wird das Script zu keinem Zeitpunkt geladen, es fließen keine Teilnehmerdaten an Google.
Verarbeitet werden ausschließlich Adressfragmente, die Admins/Event-Manager:innen selbst eintippen — keine Teilnehmer- oder Veranstaltungsdaten aus der Datenbank.

Konsequenzen

CSP-Ausnahmen in apps/web/proxy.ts: img-src/connect-src erlauben https://*.googleapis.com und https://*.gstatic.com (Wildcard, weil die neue Places API RPCs unter places.googleapis.com separat von maps.googleapis.com aufruft). Das initiale Script selbst läuft unter strict-dynamic, da es per nonced Code dynamisch nachgeladen wird (document.head.appendChild).
Drittlandtransfer (USA): Als einzige aktive Drittland-Übermittlung im System gesondert im Verarbeitungsverzeichnis (VT-10) und in der AVV-Übersicht (AV-02) geführt. Die rechtliche Absicherung (EU-US Data Privacy Framework bzw. SCC) ist ein offener Punkt beim Verantwortlichen/DSB, keine technische Aufgabe.
Keine Ausweitung ohne erneute Prüfung: Jede weitere Cloud-Anbindung (z. B. andere Google-APIs, weitere Drittanbieter) durchläuft dieselbe Abwägung wie hier und bekommt ein eigenes ADR — diese Ausnahme deckt ausschließlich Places/Maps im beschriebenen Scope ab.