Refine admin roles planning

2026-06-25 03:52:08 +02:00
1 parent 2b8e03f8fa
commit 86f8ee6763
@@ -27,7 +27,7 @@ A5 Modal / Invite Form.
 - E-Mail-Adresse, Pflichtfeld
 - optional Name
 - optional Abteilung
- Rolle, Pflichtauswahl mit Default/Seed-Rollen
+- Rolle, Pflichtauswahl mit `Admin` und selbst angelegten Rollen
 - aktueller Workspace
 ## Aktionen
@@ -16,7 +16,7 @@ subframe: "https://app.subframe.com/f023064a5ca0/design/3d51deee-0d41-456f-a507-
 ## Ziel
-Der Admin erstellt eine eigene Rolle oder bearbeitet eine vorhandene/Seed-Rolle und sieht, wie Berechtigungen pro Bereich gesetzt werden.
+Der Admin erstellt eine eigene Rolle oder bearbeitet eine vorhandene eigene Rolle und sieht, wie Berechtigungen pro Bereich gesetzt werden. Die Systemrolle `Admin` ist geschuetzt.
 ## Pattern / Archetyp
@@ -26,8 +26,8 @@ Grosses Modal / Role Editor.
 - Rollenname
 - Beschreibung
- Typ: Systemrolle, Seed-Rolle, Eigene Rolle
+- Typ als Information: Systemrolle oder Eigene Rolle
- optional Vorlage
+- optionaler Vorlagenbereich beim Erstellen, aber Work in Progress
 - Permission-Bereiche als Arbeitsgeruest
 - konkrete Permission-Zeilen nach Beispielmuster
@@ -43,11 +43,13 @@ Grosses Modal / Role Editor.
 ## Layout / Inhalt
 1. Grosses Modal ueber S02, mit Schliessen-Icon.
-2. Kopfbereich mit Rollenname, Beschreibung und optional Vorlage.
+2. Oben im Modal steht der Bereich `Rolle` mit Rollenname, Beschreibung, Bereich/Kategorie und Typ-Info.
-3. Globale Suche ueber alle Permissions.
+3. Beim Erstellen kann ein Vorlagenbereich sichtbar sein, aber als Work in Progress / noch nicht final.
-4. Linke Sidebar mit Bereichen: Ueberblick, Mitarbeiter, Rollen und Berechtigungen, Workspace Settings, Abrechnung, Audit & Sicherheit, Integrationen/API, CRM/Kunden, Leads/Vertrieb, Projekte/Auftraege, Aufgaben/Dateien, Kommunikation/Support.
+4. Links steht eine Sidebar nach Apple-Settings-Muster: Suchfeld oben, darunter Bereiche.
-5. Startzustand `Ueberblick`: scrollbare Liste aller Bereiche und Permissions.
+5. Die Suche durchsucht alle Permissions und filtert bereichsuebergreifend.
-6. Footer mit `Speichern` und `Abbrechen`.
+6. Hauptbereich scrollt von `Rolle` zu `Allgemein` und weiter in einzelne Rechtebereiche.
 7. Rechtebereiche: Allgemein, Mitarbeiter, Rollen und Berechtigungen, Workspace Settings, Abrechnung, Audit & Sicherheit, Integrationen/API, Dateien, Aufgaben.
 8. Footer mit `Speichern` und `Abbrechen`.
 ## Permission-Zeilenmuster
@@ -57,14 +59,13 @@ Eine Permission wird konkret vorgebaut, damit das Muster klar ist:
 |---|---|
 | Ueberschrift | `Mitarbeiter ansehen` |
 | Beschreibung | `Darf Mitarbeiterliste und Mitarbeiterprofile im Workspace lesen.` |
-| Control | Segmented Control `Aus`, `Read-only`, `Bearbeiten` |
+| Control | Toggle-Switch `An/Aus` |
 Verhalten:
 - `Aus`: kein Zugriff.
- `Read-only`: lesen, aber nicht bearbeiten.
+- `An`: Zugriff ist erlaubt.
- `Bearbeiten`: lesen und aendern.
+- Abstufungen wie `Read-only` oder `Bearbeiten` koennen spaeter als Advanced Control ergaenzt werden, wenn die Permission nicht binaer ist.
 - Binaere Permissions koennen spaeter als einfacher Toggle `Aus/An` umgesetzt werden.
 - Weitere Permissions werden Development-seitig nach diesem Muster ergaenzt.
 ## Zustaende
@@ -73,7 +74,7 @@ Verhalten:
 |---|---|---|
 | Neue Rolle | leere Felder + Permission-Auswahl | Bauen |
 | Rolle bearbeiten | vorhandene Werte vorausgefuellt | Bauen |
-| Seed-Rolle bearbeiten | Seed-Rolle ist editierbar | Bauen |
+| Vorlage verwenden | WIP-Vorlage kann als Startpunkt fuer eigene Rolle dienen | Nur dokumentieren |
 | Admin-Rolle | kritische Felder/Loeschen geschuetzt | Nur dokumentieren |
 | Rollenname existiert | Inline-Fehler am Namen | Nur dokumentieren |
 | Rolle in Nutzung loeschen | Loeschen blockiert | D03 |
@@ -16,7 +16,7 @@ subframe: "https://app.subframe.com/f023064a5ca0/design/87c24709-4f22-4181-8543-
 ## Ziel
-Der Admin verwaltet Systemrolle, Seed-Rollen und eigene Rollen in einer kompakten Rollen-Tabelle.
+Der Admin verwaltet die Systemrolle `Admin` und selbst angelegte Rollen in einer kompakten Rollen-Tabelle.
 ## Pattern / Archetyp
@@ -25,11 +25,11 @@ A2 List + A6 Settings.
 ## Daten
 - Rollenliste
- Typ: Systemrolle, Seed-Rolle, Eigene Rolle
+- Typ: Systemrolle, Eigene Rolle
 - Beschreibung
 - Mitgliederanzahl / Avatar-Stack
 - Status: Aktiv, Pruefen
- Permission-Bundles als Arbeitsgeruest
+- Permission-Bereiche als Arbeitsgeruest
 ## Aktionen
@@ -43,7 +43,7 @@ A2 List + A6 Settings.
 1. Header `Rollen und Berechtigungen` mit CTA `Rolle anlegen`.
 2. Toolbar mit Suche nach Rollenname und Beschreibung.
-3. Filter: Typ, Permission-Bundle, In Nutzung.
+3. Filter: Typ, Permission-Bereich, In Nutzung.
 4. Tabelle mit Spalten: Rolle, Beschreibung, Typ, Mitglieder, Status, Aktionen.
 5. Aktionen rechts pro Zeile als 3-Punkte-Menue.
 6. Nur eine sichtbare Systemrolle: `Admin`.
@@ -51,8 +51,8 @@ A2 List + A6 Settings.
 ## Rollen / Beispiele
 - Admin als einzige Systemrolle.
 - Seed-Rollen: Geschaeftsfuehrer, Projektleiter, Verwaltung, Vertriebler, Kundensupporter, Monteur.
 - Eigene Rollen koennen frei benannt werden.
 - Rollen-Vorlagen fuer neue Rollen sind Work in Progress und erscheinen nicht als feste Rollen in der Liste.
 ## Zustaende
@@ -6,7 +6,7 @@
 		{"id":"m01","type":"file","file":"02 Wireframes/P2 Auth/WF-P2 Admin RBAC/Screens/M01 Mitarbeiter einladen.md","x":780,"y":-360,"width":440,"height":230},
 		{"id":"s02","type":"file","file":"02 Wireframes/P2 Auth/WF-P2 Admin RBAC/Screens/S02 Rollen und Berechtigungen.md","x":1560,"y":440,"width":440,"height":230},
 		{"id":"note-d01","type":"text","text":"# D01 Rollen-Dropdown\n\nKein eigener Screen.\n\nDas Dropdown ist direkt in S01 enthalten:\n- Rolle wechseln\n- `Rollen und Berechtigungen bearbeiten` fuehrt zu S02\n- letzter Admin wird ueber V01 blockiert","x":720,"y":440,"width":500,"height":250},
-		{"id":"note-seed","type":"text","text":"# Seed-Rollen\n\nAdmin als einzige Systemrolle.\n\nSeed-Rollen: Geschaeftsfuehrer, Projektleiter, Verwaltung, Vertriebler, Kundensupporter, Monteur.\n\nSeed-Rollen sind editierbar.","x":1520,"y":1020,"width":520,"height":240},
+		{"id":"note-seed","type":"text","text":"# Rollenmodell\n\nAdmin ist die einzige Start-/Systemrolle.\n\nWeitere Rollen werden vom Admin selbst angelegt.\n\nRollen-Vorlagen sind Work in Progress und werden nicht als feste Rollen in der Liste gezeigt.","x":1520,"y":1020,"width":520,"height":240},
 		{"id":"note-backlog","type":"text","text":"# Backlog / V2\n\nReassign beim Deaktivieren, Rollen-Loeschen mit Ersatzrolle, Gruppen, Rechtekatalog, Rollen-Audit, Review-Zyklus, Rechte-Matrix, Bulk-Aktionen, erweiterter Admin-Schutz.","x":3200,"y":1020,"width":600,"height":240},
 		{"id":"d03","type":"file","file":"02 Wireframes/P2 Auth/WF-P2 Admin RBAC/Screens/D03 Rolle in Nutzung blockiert.md","x":3280,"y":440,"width":440,"height":230},
 		{"id":"note-permission","type":"text","text":"# Permission-Muster\n\nIm Rollen-Modal wird eine konkrete Permission-Zeile vorgebaut:\n\n`Mitarbeiter ansehen`\nBeschreibung darunter\nControl: `Aus / Read-only / Bearbeiten`\n\nFinaler Rechtekatalog liegt bei Development.","x":2360,"y":1010,"width":560,"height":260},
@@ -78,7 +78,8 @@ Wie schneiden wir RBAC so, dass es genug fuer Dev/Handoff ist, aber nicht zu ein
 |---|---|---|
 | Settings-Struktur statt separatem Admin-Center | genommen | bestehende Route ist `Settings -> Roles & Permissions` |
 | Gruppen raus | genommen | Gruppen werden in diesem Paket nicht gebaut |
-| Vorgebaute Rollen | genommen | Admin startet mit sinnvollen Seed-Rollen |
+| Startrollen | genommen | Zum Start gibt es nur die Systemrolle `Admin`; weitere Rollen legt der Admin selbst an |
 | Rollen-Vorlagen | WIP | Beim Erstellen koennen spaeter Vorlagen angeboten werden, sind aber noch nicht final |
 | Eigene Rollen anlegen und benennen | genommen | Rollen-Editor erlaubt Custom Roles |
 | Rollen-Editor als eigener Arbeitsmoment | genommen | Permission-Bundles + Advanced brauchen Raum |
 | Kein separater Berechtigungen-Tab | genommen | Berechtigungen sind fuer Admins Teil des Tabs `Rollen und Berechtigungen` |
@@ -90,7 +91,7 @@ Wie schneiden wir RBAC so, dass es genug fuer Dev/Handoff ist, aber nicht zu ein
 1. Admin oeffnet Mitarbeiterliste.
 2. Admin laedt Nutzer ein und weist eine oder mehrere Rollen zu.
-3. Admin nutzt vorgebaute Rollen oder erstellt eine eigene Rolle mit eigenem Namen.
+3. Admin nutzt `Admin` als geschuetzte Systemrolle oder erstellt eine eigene Rolle mit eigenem Namen.
 4. Wenn ein Nutzer deaktiviert wird, bestaetigt der Admin eine kurze Sicherheitsfrage.
 ### Varianten / Branches
@@ -134,8 +135,8 @@ Wie schneiden wir RBAC so, dass es genug fuer Dev/Handoff ist, aber nicht zu ein
 | Rollen-Dropdown in Mitarbeiterliste | direkte Rollenzuweisung und Sprung zum Tab `Rollen und Berechtigungen` | Nur dokumentieren |
 | Mitarbeiter deaktivieren | einfache Sicherheitsbestaetigung | Bauen |
 | Deaktivieren mit Reassign | spaetere Uebertragung offener Verantwortlichkeiten | Backlog |
-| Rollen und Berechtigungen | vorgebaute und eigene Rollen verwalten | Bauen |
+| Rollen und Berechtigungen | Systemrolle `Admin` und eigene Rollen verwalten | Bauen |
-| Rolle erstellen/bearbeiten | eigene Rollen anlegen/benennen, Seed-Rollen bearbeiten, Permission-Bundles setzen | In S02 loesen |
+| Rolle erstellen/bearbeiten | eigene Rollen anlegen/benennen und atomar Permissions setzen | In S02 loesen |
 | Rechtebereiche im Tab `Rollen und Berechtigungen` | erklaert Berechtigungen im Kontext der Rolle | In S02 loesen |
 | Rolle loeschen mit Ersatzrolle | verhindert Rechteverlust | Backlog |
 | Letzter Admin blockiert | Sicherheitsblocker | Validiert |
@@ -149,15 +150,9 @@ Wie schneiden wir RBAC so, dass es genug fuer Dev/Handoff ist, aber nicht zu ein
 | Typ | Rolle | Zweck | Notiz |
 |---|---|---|---|
 | Systemrolle | Admin | Vollzugriff auf Mitarbeiter, Rollen, Workspace-Settings und kritische Admin-Funktionen | einzige sichtbare Systemrolle |
-| Seed-Rolle | Geschaeftsfuehrer | Leitung, voller fachlicher Ueberblick, Team/Rechte/Billing | bearbeitbare Startrolle |
+| Custom Role | frei benennbar | Admin legt eigene Rolle an | Name, Beschreibung, Bereich und Permission-Bereiche |
 | Seed-Rolle | Projektleiter | Projekte, Aufgaben, Teamueberblick, operative Steuerung | bearbeitbare Startrolle |
 | Seed-Rolle | Verwaltung | Buero, Stammdaten, Rechnungen, Mitglieder-Ueberblick | bearbeitbare Startrolle |
 | Seed-Rolle | Vertriebler | Leads, Angebote, Kundenkommunikation | bearbeitbare Startrolle |
 | Seed-Rolle | Kundensupporter | Kundenanfragen, Kommunikation, Servicefaelle | bearbeitbare Startrolle |
 | Seed-Rolle | Monteur | zugewiesene Auftraege/Tasks mobil bearbeiten | bearbeitbare Startrolle |
 | Custom Role | frei benennbar | Admin legt eigene Rolle an | Name, Beschreibung, Permission-Bundles |
-Notiz: Die sechs Seed-Rollen sind fachliche Startpunkte und sollen direkt bearbeitbar sein. Admins koennen zusaetzlich eigene Rollen anlegen und benennen.
+Notiz: Es gibt in v1 keine sichtbaren vordefinierten Rollen ausser `Admin`. Vorlagen wie Geschaeftsfuehrer, Projektleiter, Verwaltung, Vertriebler, Kundensupporter oder Monteur koennen spaeter beim Erstellen einer Rolle angeboten werden, sind aber Work in Progress und nicht Teil der initialen Rollenliste.
 ### Permission-Bundles fuer den Editor
@@ -178,16 +173,16 @@ Die folgenden Bundles sind nur ein Arbeitsgeruest fuer Planung und Wireframe. Si
 | Aufgaben/Dateien | Tasks, Dokumente, Uploads, Freigaben | fachliches Modul, ggf. spaeter |
 | Kommunikation/Support | Anfragen, Chat, Telefonie/Support-Kontext | fachliches Modul, ggf. spaeter |
-### Grober Rollenzuschnitt
+### Rollen-Vorlagen WIP
-| Rolle | Permission-Richtung |
+| Vorlage | Permission-Richtung | Status |
-|---|---|
+|---|---|---|
-| Geschaeftsfuehrer | fast alles, inklusive Mitarbeiter, Rollen, Workspace Settings, Abrechnung, Audit |
+| Geschaeftsfuehrer | fast alles, inklusive Mitarbeiter, Rollen, Workspace Settings, Abrechnung, Audit | WIP, nicht in v1-Rollenliste |
-| Projektleiter | Projekte/Auftraege, Aufgaben/Dateien, Team-Ueberblick, Mitglieder nur lesen |
+| Projektleiter | Projekte/Auftraege, Aufgaben/Dateien, Team-Ueberblick, Mitglieder nur lesen | WIP |
-| Verwaltung | Mitarbeiter lesen, Workspace/Account-Basis, Abrechnung/Rechnungen, Kunden-/Projekt-Ueberblick |
+| Verwaltung | Mitarbeiter lesen, Workspace/Account-Basis, Abrechnung/Rechnungen, Kunden-/Projekt-Ueberblick | WIP |
-| Vertriebler | CRM/Kunden, Leads/Vertrieb, Angebote, eigene Pipeline |
+| Vertriebler | CRM/Kunden, Leads/Vertrieb, Angebote, eigene Pipeline | WIP |
-| Kundensupporter | Kundenkommunikation, Supportfaelle, lesender Projekt-/Kundenkontext |
+| Kundensupporter | Kundenkommunikation, Supportfaelle, lesender Projekt-/Kundenkontext | WIP |
-| Monteur | eigene/zugewiesene Auftraege, Aufgaben, Dateien, mobile Ausfuehrung |
+| Monteur | eigene/zugewiesene Auftraege, Aufgaben, Dateien, mobile Ausfuehrung | WIP |
 ---
@@ -283,13 +278,13 @@ Layout:
 1. Header: `Rollen und Berechtigungen`, CTA `Rolle anlegen`.
 2. Toolbar:
   - Suchfeld: Rollenname, Beschreibung.
-   - Filter `Typ`: Systemrolle, Seed-Rolle, Eigene Rolle.
+   - Filter `Typ`: Systemrolle, Eigene Rolle.
-   - Filter `Permission-Bundle`: z. B. Mitarbeiter, Abrechnung, Projekte.
+   - Filter `Permission-Bereich`: z. B. Mitarbeiter, Abrechnung, Dateien, Aufgaben.
   - Filter `In Nutzung`: mit Mitgliedern / ohne Mitglieder.
 3. Tabelle:
   - Rolle.
   - Beschreibung.
-   - Typ: System, Seed-Rolle, Eigene Rolle.
+   - Typ: Systemrolle, Eigene Rolle.
   - Mitglieder: Avatar-Stack oder Anzahl.
   - Status: Aktiv, Pruefen.
   - Aktionen: 3-Punkte-Menue rechts.
@@ -314,42 +309,45 @@ Layout:
 ### M02 Rolle erstellen/bearbeiten
-Ziel: Admin erstellt eine eigene Rolle oder passt eine vorhandene/Seed-Rolle an, ohne die Rollen-Subpage zu verlassen.
+Ziel: Admin erstellt eine eigene Rolle oder passt eine vorhandene eigene Rolle an, ohne die Rollen-Subpage zu verlassen. Die Systemrolle `Admin` ist geschuetzt.
 Layout:
 1. Sehr grosses Modal ueber dem Tab `Rollen und Berechtigungen`.
 2. Modal kann jederzeit geschlossen werden.
-3. Kopfbereich:
+3. Oben im Modal steht der Bereich `Rolle` als Einstiegs-/Pre-Bereich:
   - Rollenname.
   - Beschreibung.
-   - optional: Start aus Vorlage.
+   - Bereich/Kategorie der Rolle, z. B. Team, Verwaltung, Operativ.
-   - optional: Standardrolle fuer neue Nutzer.
+   - Typ als Information: `Systemrolle` oder `Eigene Rolle`; nicht frei umstellbar.
-4. Globale Berechtigungs-Suche:
+   - beim Erstellen optional ein Vorlagenbereich `Vorlage verwenden`, aber sichtbar als Work in Progress.
-   - Suchfeld oben im Modal.
+   - dieser Bereich ersetzt einen separaten Pre-Screen; alles bleibt im gleichen Modal.
 4. Linke Sidebar:
   - oben links sitzt die globale Suche, aehnlich Apple-Einstellungen.
   - darunter stehen die Bereiche als Navigation.
   - Beispiele: Rolle, Allgemein, Mitarbeiter, Rollen und Berechtigungen, Workspace Settings, Abrechnung, Audit & Sicherheit, Integrationen/API, Dateien, Aufgaben.
   - Klick springt zum jeweiligen Bereich im scrollbaren Modal.
 5. Globale Berechtigungs-Suche:
   - Suchfeld links ueber der Sidebar.
   - durchsucht alle Berechtigungen/Rechtebereiche ueber alle Module hinweg.
   - filtert die sichtbaren Treffer bereichsuebergreifend.
   - Treffer bleiben ihren Bereichsueberschriften zugeordnet, damit Kontext erhalten bleibt.
-5. Linke Sidebar:
+6. Hauptbereich:
-   - zeigt die Rechtebereiche/Module als Navigation.
+   - startet oben mit `Rolle`.
-   - Beispiele: Ueberblick, Mitarbeiter, Rollen und Berechtigungen, Workspace Settings, Abrechnung, Audit & Sicherheit, Integrationen/API, CRM/Kunden, Leads/Vertrieb, Projekte/Auftraege, Aufgaben/Dateien, Kommunikation/Support.
+   - darunter folgen `Allgemein` und die weiteren Rechtebereiche.
   - Klick springt zum jeweiligen Bereich im Modal.
 6. Startzustand `Ueberblick`:
   - ist initial aktiv.
   - zeigt eine scrollbare Liste aller Berechtigungen/Rechtebereiche.
   - die Bereichsueberschriften entsprechen den Eintraegen in der linken Sidebar.
-   - Admin kann bis ganz nach unten scrollen.
+   - Admin kann durch alle Bereiche nach unten scrollen.
-7. Rechtebereiche:
+7. Permission-Abschnitte:
-   - jeder Bereich hat Toggle/Checkboxen, um Berechtigungen an- oder auszuschalten.
+   - jeder Bereich hat einzelne Zeilen mit Toggle-Switches, um Berechtigungen an- oder auszuschalten.
   - Bereich kann eine Kurzbeschreibung enthalten.
   - einzelne technische Rechte koennen als Advanced Details aufgeklappt werden, falls noetig.
 8. Permission-Zeilenmuster:
   - eine Beispiel-Permission wird im Wireframe konkret vorgebaut.
-   - Aufbau: links Ueberschrift, darunter kurze Beschreibung; rechts die Zugriffsauswahl.
+   - Aufbau als Tabelle/Liste wie in der Referenz: links Setting/Permission, mittig Beschreibung, rechts Enable/Disable.
   - Beispiel-Ueberschrift: `Mitarbeiter ansehen`.
   - Beispiel-Beschreibung: `Darf Mitarbeiterliste und Mitarbeiterprofile im Workspace lesen.`
-   - Control: Segmented Control `Aus`, `Read-only`, `Bearbeiten`; alternativ Toggle `Aus/An`, wenn die Permission nur binaer ist.
+   - Control: Toggle-Switch `An/Aus`.
-   - `Read-only` steht fuer lesenden Zugriff ohne Bearbeiten/Aendern.
+   - Wenn ein Recht Abstufungen braucht, kann spaeter `Read-only/Bearbeiten` als Detail/Advanced Control ergaenzt werden.
   - weitere Permissions koennen Development-seitig nach diesem Muster ergaenzt werden.
 9. Footer:
   - Speichern.
@@ -391,7 +389,7 @@ Layout:
 ## 9. Validierte Screen-Liste
-Alle aktiven Screen-Kandidaten sind von David validiert. Seed-Rollen und Permission-Bundles sind als v1-Arbeitsfassung dokumentiert; der finale Rechtekatalog wird im Development ausgearbeitet.
+Alle aktiven Screen-Kandidaten sind von David validiert. Das Rollenmodell startet nur mit `Admin` plus eigenen Rollen; Vorlagen und finaler Rechtekatalog werden spaeter ausgearbeitet.
 | ID | Screen/Zustand | Typ | Umsetzung | Ort | Status |
 |---|---|---|---|---|---|
@@ -447,7 +445,7 @@ Diese Punkte sind bewusst nicht Teil der v1-Screen-Liste, sollen aber fuer spaet
 | Rechtekatalog als eigener Tab | Alle technischen Berechtigungen unabhaengig von Rollen durchsuchen/erklaeren | v1 zeigt Rechte nur im Rollen-Editor |
 | Rollen-Audit | Historie, wer Rollen/Rechte geaendert hat | Audit-Viewer nicht Teil dieses Pakets |
 | Rollen-Review / Needs Review | Rollen markieren, die geprueft werden muessen, inkl. Review-Zyklus | Status `Pruefen` ist UI-vorbereitet, Prozess spaeter |
-| Rollen-Templates erweitern | weitere branchenspezifische Seed-Rollen oder Workspace-Templates | aktuelle Seed-Rollen reichen fuer v1 |
+| Rollen-Vorlagen ausarbeiten | branchenspezifische Rollen-Vorlagen fuer neue Rollen definieren | Vorlagen sind aktuell Work in Progress und nicht Teil der initialen Rollenliste |
 | Rechte-Matrix | Vergleich mehrerer Rollen nebeneinander | fuer v1 zu breit/technisch |
 | Bulk-Aktionen | mehrere Mitarbeiter gleichzeitig einladen, deaktivieren oder Rollen zuweisen | spaeter, wenn Teamlisten groesser werden |
 | Admin-Schutz erweitert | detaillierte Regeln fuer Selbst-Deaktivierung, letzter Admin, kritische Rollenwechsel | v1 dokumentiert Blocker, genaue Policy spaeter mit Dev/Security |
@@ -459,8 +457,8 @@ Diese Punkte sind bewusst nicht Teil der v1-Screen-Liste, sollen aber fuer spaet
 - [x] Paket ist angelegt.
 - [x] D-P2 Admin-Screens sind geprueft.
 - [x] Gruppen sind fuer dieses Paket rausgenommen.
- [x] Vorgebaute Rollen plus eigene Rollen sind als Richtung notiert.
+- [x] `Admin` als einzige Startrolle plus eigene Rollen sind als Richtung notiert.
- [x] Seed-Rollen- und Permission-Bundle-Vorschlag ist dokumentiert.
+- [x] Rollen-Vorlagen sind als Work in Progress dokumentiert.
 - [x] Permission-Bundles sind als Arbeitsgeruest markiert, nicht als finaler Rechtekatalog.
 - [x] Permission-Zeilenmuster fuer das Rollen-Modal ist dokumentiert.
 - [x] Grober Screen-Aufbau mit Suche/Filtern ist dokumentiert.
@@ -474,7 +472,7 @@ Diese Punkte sind bewusst nicht Teil der v1-Screen-Liste, sollen aber fuer spaet
 - [x] V01 Letzter Admin blockiert ist validiert.
 - [x] Reassign ist in den Backlog gelegt.
 - [x] Backlog/V2-Liste ist dokumentiert.
- [x] Seed-Rollen und Permission-Bundles sind fuer v1 ausreichend benannt.
+- [x] Permission-Bundles sind fuer v1 als UI-Arbeitsgeruest ausreichend benannt.
 - [x] David hat die Kandidaten validiert.
 - [x] Screen-Dateien sind angelegt.
 - [x] Canvas ist angelegt.
@@ -134,8 +134,8 @@ Diese Datei ist der erste Ort, um zu sehen:
 | WF-P2 2FA Verwalten | Eigenstaendiger Flow | Genommen | 2FA verwalten wird als separater wiederverwendbarer Flow geplant. | UI kann modal sein; fachlich eigener Flow |
 | WF-P2 2FA Verwalten | Schlanker 2FA-Flow | Genommen | 2FA-Code-Eingaben sind Inline-Zustaende; nur Verwaltung, Device/Token hinzufuegen und Deaktivieren sind eigene Modals. | Device entfernen nur Row-Action + Confirm |
 | WF-P2 Admin RBAC | Gruppen | Raus | Gruppen sind nicht Teil des RBAC-Pakets. | Falls spaeter noetig, eigener Settings-Bereich |
-| WF-P2 Admin RBAC | Rollenmodell | Genommen | Es gibt vorgebaute Rollen und Admins koennen eigene Rollen anlegen und benennen. | Wichtig fuer Rollen-Editor |
+| WF-P2 Admin RBAC | Rollenmodell | Genommen | Zum Start gibt es nur die Systemrolle `Admin`; Admins koennen eigene Rollen anlegen und benennen. | Vordefinierte Rollen sind raus |
-| WF-P2 Admin RBAC | Seed-Rollen | Genommen | Geschaeftsfuehrer, Projektleiter, Verwaltung, Vertriebler, Kundensupporter, Monteur als bearbeitbare Startrollen. | fuer v1 ausreichend; Namen koennen spaeter angepasst werden |
+| WF-P2 Admin RBAC | Rollen-Vorlagen | WIP | Beim Erstellen einer Rolle koennen spaeter Vorlagen angeboten werden, sie sind aber noch nicht final. | In v1 nur als vorbereiteter/disabled Bereich dokumentieren |
 | WF-P2 Admin RBAC | Settings-Aufteilung | Genommen | `Settings -> Mitarbeiter` wird Oberpunkt; Tabs: `Mitarbeiter`, `Rollen und Berechtigungen`. | Sichtbarer Wireframe-Einstieg; technische Route spaeter abstimmen |
 | WF-P2 Admin RBAC | Rollenzuweisung | Genommen | In der Mitarbeiterliste gibt es pro Mitarbeiter ein Rollen-Dropdown; Bearbeiten fuehrt zu `Rollen und Berechtigungen`. | Kein eigenes Rollen-Modal aus S01 |
 | WF-P2 Admin RBAC | Berechtigungen | Genommen | Kein separater Berechtigungen-Tab; Rechtebereiche leben im Tab `Rollen und Berechtigungen` beim Bearbeiten einer Rolle. | Macht das Paket kompakter |
@@ -145,7 +145,7 @@ Diese Datei ist der erste Ort, um zu sehen:
 | WF-P2 Admin RBAC | Deaktivierung | Genommen | V1 hat nur ein kleines Confirm-Modal; danach Status `Deaktiviert`. | Reassign offener Verantwortlichkeiten ist Backlog |
 | WF-P2 Admin RBAC | Rollen-Loeschen | Genommen | Rollen koennen nur geloescht werden, wenn keine Mitarbeiter zugewiesen sind; sonst kleines Blocker-Modal. | Ersatzrolle/Bulk-Reassign ist Backlog |
 | WF-P2 Admin RBAC | Deaktivieren mit Reassign | Backlog | Offene Aufgaben/Projekte/Verantwortlichkeiten werden spaeter uebertragen. | Nicht Teil der aktuellen Screen-Liste |
-| WF-P2 Admin RBAC | V2-Backlog | Dokumentiert | Reassign, Rollen-Loeschen mit Ersatzrolle, Gruppen, Rechtekatalog, Rollen-Audit, Rollen-Review, Templates, Rechte-Matrix, Bulk-Aktionen, erweiterter Admin-Schutz. | Details im Paket-Backlog |
+| WF-P2 Admin RBAC | V2-Backlog | Dokumentiert | Reassign, Rollen-Loeschen mit Ersatzrolle, Gruppen, Rechtekatalog, Rollen-Audit, Rollen-Review, ausgearbeitete Vorlagen, Rechte-Matrix, Bulk-Aktionen, erweiterter Admin-Schutz. | Details im Paket-Backlog |
 | WF-P2 Konto loeschen | Loeschungsanfrage statt direkter Loeschung | Genommen | V1 stellt nur eine Anfrage, keine sofortige technische Loeschung. | Einstieg unter Settings -> Workspaces |
 | WF-P2 Konto loeschen | Settings -> Workspaces | Genommen | Minimaler Workspaces-Bereich enthaelt Loeschungsanfrage. | Spaeter kann dort mehr Workspace-Verwaltung hinzukommen |
 | WF-P2 Konto loeschen | Voller Loesch-/Export-Wizard | Backlog | Erklaerung und Datenexport-Hinweis werden in v1 im Modal integriert. | Kein mehrstufiger Wizard jetzt |