From 57949c8b5fa80c18032218c256c8ec990abe45cb Mon Sep 17 00:00:00 2001
From: SEB Fotografie - soeren <soeren@sebfoto.de>
Date: Tue, 9 Sep 2025 21:22:58 +0200
Subject: [PATCH] feat: Add legal pages API and seeding

---
 app/Http/Controllers/Api/LegalController.php  |  45 ++++
 .../2025_09_08_120000_seed_legal_pages.php    | 203 ++++++++++++++++++
 database/seeders/LegalPagesSeeder.php         | 185 ++++++++++++++++
 3 files changed, 433 insertions(+)
 create mode 100644 app/Http/Controllers/Api/LegalController.php
 create mode 100644 database/migrations/2025_09_08_120000_seed_legal_pages.php
 create mode 100644 database/seeders/LegalPagesSeeder.php

diff --git a/app/Http/Controllers/Api/LegalController.php b/app/Http/Controllers/Api/LegalController.php
new file mode 100644
index 0000000..333fa04
--- /dev/null
+++ b/app/Http/Controllers/Api/LegalController.php
@@ -0,0 +1,45 @@
+<?php
+
+namespace App\Http\Controllers\Api;
+
+use App\Models\LegalPage;
+use Illuminate\Http\Request;
+use Illuminate\Routing\Controller as BaseController;
+
+class LegalController extends BaseController
+{
+    public function show(Request $request, string $slug)
+    {
+        $locale = $request->query('lang', 'de');
+
+        // Support common English aliases as fallbacks
+        $s = strtolower($slug);
+        $aliasMap = [
+            'imprint' => 'impressum',
+            'privacy' => 'datenschutz',
+            'terms' => 'agb',
+        ];
+        $resolved = $aliasMap[$s] ?? $s;
+
+        $page = LegalPage::query()
+            ->where('slug', $resolved)
+            ->where('is_published', true)
+            ->orderByDesc('version')
+            ->first();
+        if (! $page) {
+            return response()->json(['error' => ['code' => 'not_found', 'message' => 'Legal page not found']], 404);
+        }
+
+        $title = $page->title[$locale] ?? $page->title[$page->locale_fallback] ?? $page->title['de'] ?? $page->title['en'] ?? $page->slug;
+        $body = $page->body_markdown[$locale] ?? $page->body_markdown[$page->locale_fallback] ?? reset($page->body_markdown);
+
+        return response()->json([
+            'slug' => $page->slug,
+            'version' => (int) $page->version,
+            'effective_from' => optional($page->effective_from)->toIso8601String(),
+            'locale' => $locale,
+            'title' => $title,
+            'body_markdown' => (string) $body,
+        ])->header('Cache-Control', 'no-store');
+    }
+}
diff --git a/database/migrations/2025_09_08_120000_seed_legal_pages.php b/database/migrations/2025_09_08_120000_seed_legal_pages.php
new file mode 100644
index 0000000..ddbd58b
--- /dev/null
+++ b/database/migrations/2025_09_08_120000_seed_legal_pages.php
@@ -0,0 +1,203 @@
+<?php
+
+use Illuminate\Database\Migrations\Migration;
+use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Schema;
+
+return new class extends Migration {
+    public function up(): void
+    {
+        if (! Schema::hasTable('legal_pages')) return;
+        $now = now()->toDateString();
+
+        $rows = [
+            [
+                'slug' => 'impressum',
+                'version' => 1,
+                'title' => json_encode(['de' => 'Impressum'], JSON_UNESCAPED_UNICODE),
+                'body_markdown' => json_encode(['de' => self::impressumDe()], JSON_UNESCAPED_UNICODE),
+                'locale_fallback' => 'de',
+                'effective_from' => $now,
+                'is_published' => true,
+                'created_at' => now(),
+                'updated_at' => now(),
+            ],
+            [
+                'slug' => 'datenschutz',
+                'version' => 1,
+                'title' => json_encode(['de' => 'Datenschutzerklärung'], JSON_UNESCAPED_UNICODE),
+                'body_markdown' => json_encode(['de' => self::datenschutzDe($now)], JSON_UNESCAPED_UNICODE),
+                'locale_fallback' => 'de',
+                'effective_from' => $now,
+                'is_published' => true,
+                'created_at' => now(),
+                'updated_at' => now(),
+            ],
+            [
+                'slug' => 'agb',
+                'version' => 1,
+                'title' => json_encode(['de' => 'Allgemeine Geschäftsbedingungen'], JSON_UNESCAPED_UNICODE),
+                'body_markdown' => json_encode(['de' => self::agbDe($now)], JSON_UNESCAPED_UNICODE),
+                'locale_fallback' => 'de',
+                'effective_from' => $now,
+                'is_published' => true,
+                'created_at' => now(),
+                'updated_at' => now(),
+            ],
+        ];
+
+        foreach ($rows as $r) {
+            DB::table('legal_pages')->updateOrInsert(
+                ['slug' => $r['slug'], 'version' => $r['version']],
+                $r
+            );
+        }
+    }
+
+    public function down(): void
+    {
+        if (! Schema::hasTable('legal_pages')) return;
+        DB::table('legal_pages')->whereIn('slug', ['impressum','datenschutz','agb'])->delete();
+    }
+
+    private static function impressumDe(): string
+    {
+        return <<<MD
+# Impressum
+
+Anbieter dieser Seiten:
+
+Sören Eberhardt‑Biermann  
+Schweriner Str. 15  
+19306 Neustadt‑Glewe, Deutschland
+
+Kontakt:
+
+- Telefon mobil: 0173 / 9266802  
+- Fax: 038757 / 54169  
+- E‑Mail: soeren@sebfoto.de  
+- Website: https://sebfoto.de
+
+Umsatzsteuer‑Identifikationsnummer gemäß § 27a UStG: (falls vorhanden, bitte ergänzen)
+
+Verantwortlich für den Inhalt nach § 55 Abs. 2 RStV:  
+Sören Eberhardt‑Biermann, Anschrift wie oben
+
+Haftung für Inhalte:
+
+Als Diensteanbieter sind wir gemäß § 7 Abs.1 TMG für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Nach §§ 8 bis 10 TMG sind wir als Diensteanbieter jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen. Verpflichtungen zur Entfernung oder Sperrung der Nutzung von Informationen nach den allgemeinen Gesetzen bleiben hiervon unberührt.
+
+Haftung für Links:
+
+Unser Angebot enthält ggf. Links zu externen Websites Dritter, auf deren Inhalte wir keinen Einfluss haben. Deshalb können wir für diese fremden Inhalte auch keine Gewähr übernehmen. Für die Inhalte der verlinkten Seiten ist stets der jeweilige Anbieter oder Betreiber verantwortlich.
+
+Urheberrecht:
+
+Die durch die Seitenbetreiber erstellten Inhalte und Werke auf diesen Seiten unterliegen dem deutschen Urheberrecht. Vervielfältigung, Bearbeitung, Verbreitung oder jede Art der Verwertung außerhalb der Grenzen des Urheberrechts bedürfen der schriftlichen Zustimmung des jeweiligen Autors bzw. Erstellers.
+MD;
+    }
+
+    private static function datenschutzDe(string $date): string
+    {
+        return <<<MD
+# Datenschutzerklärung
+
+Diese Datenschutzerklärung informiert dich über die Verarbeitung personenbezogener Daten bei Nutzung der Fotospiel‑Plattform (Gast‑PWA, Admin‑PWA, Super‑Admin Backend).
+
+Verantwortlicher:
+
+Sören Eberhardt‑Biermann, Schweriner Str. 15, 19306 Neustadt‑Glewe, Deutschland  
+E‑Mail: soeren@sebfoto.de
+
+Zwecke der Verarbeitung:
+
+- Bereitstellung der Plattform, Ausspielen von Inhalten, Upload und Anzeige von Veranstaltungsfotos  
+- Moderation und Auswertung (z. B. Likes)  
+- Sicherheit, Missbrauchs‑/Fehleranalyse, Systemlogs
+
+Rechtsgrundlagen (DSGVO):
+
+- Art. 6 Abs. 1 lit. b (Vertrag/Teilnahmebedingungen der Veranstaltung)  
+- Art. 6 Abs. 1 lit. f (berechtigtes Interesse an sicherem, funktionsfähigem Betrieb)  
+- Art. 6 Abs. 1 lit. a (Einwilligung, sofern erforderlich; z. B. für Push/Benachrichtigungen)
+
+Kategorien verarbeiteter Daten:
+
+- Foto‑Uploads (Bilddateien, optional Metadaten wie Emotion/Task), Gerätekennung (pseudonym) für Likes/Uploads  
+- Ereignis‑/Nutzungsdaten (Zeitpunkt, Anzahl der Uploads/Likes), Protokolldaten (IP, HTTP‑Header, Fehlerlogs)
+
+Speicherdauer:
+
+Fotos und Ereignisdaten werden für die Dauer der Veranstaltung und eine anschließende Veröffentlichungs‑/Auswahlphase gespeichert. Logdaten werden in der Regel nach 14–30 Tagen gelöscht. Abweichungen werden tenant‑spezifisch dokumentiert.
+
+Empfänger/Weitergabe:
+
+Interne Empfänger (Administratoren/Moderatoren der jeweiligen Veranstaltung). Keine Weitergabe an Dritte außer im Rahmen der Auftragsverarbeitung (Hosting/Backup) oder bei gesetzlicher Verpflichtung.
+
+Hosting/Verarbeitung:
+
+Die Plattform wird auf eigenem/angemietetem Server gehostet. Mediendateien werden über die Anwendung bereitgestellt (Symlink `/storage`).
+
+Cookies/Tracking:
+
+Die Gast‑PWA nutzt keine Tracking‑Cookies. Es werden nur technisch notwendige Local‑Storage/IndexedDB‑Einträge und ein Pseudonym‑Geräte‑Identifikator für Uploads/Likes verwendet. Optionaler Service‑Worker Cache dient der Offline‑Nutzung.
+
+Deine Rechte:
+
+Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (Art. 15–21 DSGVO). Beschwerden an die zuständige Aufsichtsbehörde sind möglich.
+
+Kontakt für Datenschutzanfragen:  
+E‑Mail: soeren@sebfoto.de
+
+Stand: {$date}
+MD;
+    }
+
+    private static function agbDe(string $date): string
+    {
+        return <<<MD
+# Allgemeine Geschäftsbedingungen (AGB)
+
+Diese AGB regeln die Nutzung der Fotospiel‑Plattform durch Veranstalter (Tenant) und Gäste (Teilnehmer).
+
+1. Leistungsumfang
+
+Fotospiel ermöglicht das Erstellen, Hochladen, Moderieren und Anzeigen von Fotos im Rahmen veranstaltungsbezogener Galerien. Zusatzfunktionen (Likes, Aufgaben/Emotions, Slideshow) können variieren.
+
+2. Registrierung/Vertragsschluss
+
+Veranstalter erhalten einen Zugang (Tenant‑Admin). Gäste nutzen die PWA ohne Registrierung; Teilnahmebedingungen werden durch den Veranstalter kommuniziert.
+
+3. Nutzungsrechte an Uploads
+
+Gäste räumen dem Veranstalter und dem Plattformbetreiber ein einfaches, auf die jeweilige Veranstaltung beschränktes Nutzungsrecht zur Anzeige/Moderation/Präsentation ein. Weitergehende Nutzung (z. B. Social‑Media/Marketing) bedarf der Einwilligung des Rechteinhabers, sofern nicht gesetzlich zulässig.
+
+4. Verantwortlichkeiten/Moderation
+
+Veranstalter sind inhaltlich verantwortlich für ihre Events und moderieren Inhalte. Der Betreiber kann Inhalte bei Rechtsverstößen entfernen oder den Zugang sperren.
+
+5. Verbotene Inhalte
+
+Keine rechtswidrigen, diskriminierenden, pornografischen, gewaltverherrlichenden oder die Rechte Dritter verletzenden Inhalte. Keine Uploads mit personenbezogenen Daten Dritter ohne Rechtsgrundlage/Einwilligung.
+
+6. Verfügbarkeit/Haftung
+
+Es besteht kein Anspruch auf permanente Verfügbarkeit. Der Betreiber haftet bei Vorsatz und grober Fahrlässigkeit; im Übrigen nur bei Verletzung wesentlicher Vertragspflichten, begrenzt auf vorhersehbare Schäden.
+
+7. Datenschutz
+
+Es gilt die Datenschutzerklärung. Veranstalter sind für ihre rechtliche Grundlage gegenüber Gästen verantwortlich (z. B. Einwilligungen/Aushänge).
+
+8. Laufzeit/Kündigung
+
+Nutzung ist eventbezogen. Der Betreiber kann bei Verstößen kündigen oder den Zugang sperren.
+
+9. Schlussbestimmungen
+
+Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Betreibers. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
+
+Stand: {$date}
+MD;
+    }
+};
+
diff --git a/database/seeders/LegalPagesSeeder.php b/database/seeders/LegalPagesSeeder.php
new file mode 100644
index 0000000..f18caa6
--- /dev/null
+++ b/database/seeders/LegalPagesSeeder.php
@@ -0,0 +1,185 @@
+<?php
+
+namespace Database\Seeders;
+
+use App\Models\LegalPage;
+use Illuminate\Database\Seeder;
+use Illuminate\Support\Carbon;
+
+class LegalPagesSeeder extends Seeder
+{
+    public function run(): void
+    {
+        $now = Carbon::now();
+
+        // Impressum (DE)
+        $impressumDe = <<<MD
+# Impressum
+
+Anbieter dieser Seiten:
+
+Sören Eberhardt‑Biermann  
+Schweriner Str. 15  
+19306 Neustadt‑Glewe, Deutschland
+
+Kontakt:
+
+- Telefon mobil: 0173 / 9266802  
+- Fax: 038757 / 54169  
+- E‑Mail: soeren@sebfoto.de  
+- Website: https://sebfoto.de
+
+Umsatzsteuer‑Identifikationsnummer gemäß § 27a UStG: (falls vorhanden, bitte ergänzen)
+
+Verantwortlich für den Inhalt nach § 55 Abs. 2 RStV:  
+Sören Eberhardt‑Biermann, Anschrift wie oben
+
+Haftung für Inhalte:
+
+Als Diensteanbieter sind wir gemäß § 7 Abs.1 TMG für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Nach §§ 8 bis 10 TMG sind wir als Diensteanbieter jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen. Verpflichtungen zur Entfernung oder Sperrung der Nutzung von Informationen nach den allgemeinen Gesetzen bleiben hiervon unberührt.
+
+Haftung für Links:
+
+Unser Angebot enthält ggf. Links zu externen Websites Dritter, auf deren Inhalte wir keinen Einfluss haben. Deshalb können wir für diese fremden Inhalte auch keine Gewähr übernehmen. Für die Inhalte der verlinkten Seiten ist stets der jeweilige Anbieter oder Betreiber verantwortlich.
+
+Urheberrecht:
+
+Die durch die Seitenbetreiber erstellten Inhalte und Werke auf diesen Seiten unterliegen dem deutschen Urheberrecht. Vervielfältigung, Bearbeitung, Verbreitung oder jede Art der Verwertung außerhalb der Grenzen des Urheberrechts bedürfen der schriftlichen Zustimmung des jeweiligen Autors bzw. Erstellers.
+MD;
+
+        $this->upsert('impressum', [
+            'de' => 'Impressum',
+        ], [
+            'de' => $impressumDe,
+        ], $now);
+
+        // Datenschutz (DE) — baseline for Fotospiel platform
+        $datenschutzDe = <<<MD
+# Datenschutzerklärung
+
+Diese Datenschutzerklärung informiert dich über die Verarbeitung personenbezogener Daten bei Nutzung der Fotospiel‑Plattform (Gast‑PWA, Admin‑PWA, Super‑Admin Backend).
+
+Verantwortlicher:
+
+Sören Eberhardt‑Biermann, Schweriner Str. 15, 19306 Neustadt‑Glewe, Deutschland  
+E‑Mail: soeren@sebfoto.de
+
+Zwecke der Verarbeitung:
+
+- Bereitstellung der Plattform, Ausspielen von Inhalten, Upload und Anzeige von Veranstaltungsfotos  
+- Moderation und Auswertung (z. B. Likes)  
+- Sicherheit, Missbrauchs‑/Fehleranalyse, Systemlogs
+
+Rechtsgrundlagen (DSGVO):
+
+- Art. 6 Abs. 1 lit. b (Vertrag/Teilnahmebedingungen der Veranstaltung)  
+- Art. 6 Abs. 1 lit. f (berechtigtes Interesse an sicherem, funktionsfähigem Betrieb)  
+- Art. 6 Abs. 1 lit. a (Einwilligung, sofern erforderlich; z. B. für Push/Benachrichtigungen)
+
+Kategorien verarbeiteter Daten:
+
+- Foto‑Uploads (Bilddateien, optional Metadaten wie Emotion/Task), Gerätekennung (pseudonym) für Likes/Uploads  
+- Ereignis‑/Nutzungsdaten (Zeitpunkt, Anzahl der Uploads/Likes), Protokolldaten (IP, HTTP‑Header, Fehlerlogs)
+
+Speicherdauer:
+
+Fotos und Ereignisdaten werden für die Dauer der Veranstaltung und eine anschließende Veröffentlichungs‑/Auswahlphase gespeichert. Logdaten werden in der Regel nach 14–30 Tagen gelöscht. Abweichungen werden tenant‑spezifisch dokumentiert.
+
+Empfänger/Weitergabe:
+
+Interne Empfänger (Administratoren/Moderatoren der jeweiligen Veranstaltung). Keine Weitergabe an Dritte außer im Rahmen der Auftragsverarbeitung (Hosting/Backup) oder bei gesetzlicher Verpflichtung.
+
+Hosting/Verarbeitung:
+
+Die Plattform wird auf eigenem/angemietetem Server gehostet. Mediendateien werden über die Anwendung bereitgestellt (Symlink `/storage`).
+
+Cookies/Tracking:
+
+Die Gast‑PWA nutzt keine Tracking‑Cookies. Es werden nur technisch notwendige Local‑Storage/IndexedDB‑Einträge und ein Pseudonym‑Geräte‑Identifikator für Uploads/Likes verwendet. Optionaler Service‑Worker Cache dient der Offline‑Nutzung.
+
+Deine Rechte:
+
+Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (Art. 15–21 DSGVO). Beschwerden an die zuständige Aufsichtsbehörde sind möglich.
+
+Kontakt für Datenschutzanfragen:  
+E‑Mail: soeren@sebfoto.de
+
+Stand: {$now->format('Y-m-d')}
+MD;
+
+        $this->upsert('datenschutz', [
+            'de' => 'Datenschutzerklärung',
+        ], [
+            'de' => $datenschutzDe,
+        ], $now);
+
+        // AGB (DE) — baseline Terms for Fotospiel
+        $agbDe = <<<MD
+# Allgemeine Geschäftsbedingungen (AGB)
+
+Diese AGB regeln die Nutzung der Fotospiel‑Plattform durch Veranstalter (Tenant) und Gäste (Teilnehmer).
+
+1. Leistungsumfang
+
+Fotospiel ermöglicht das Erstellen, Hochladen, Moderieren und Anzeigen von Fotos im Rahmen veranstaltungsbezogener Galerien. Zusatzfunktionen (Likes, Aufgaben/Emotions, Slideshow) können variieren.
+
+2. Registrierung/Vertragsschluss
+
+Veranstalter erhalten einen Zugang (Tenant‑Admin). Gäste nutzen die PWA ohne Registrierung; Teilnahmebedingungen werden durch den Veranstalter kommuniziert.
+
+3. Nutzungsrechte an Uploads
+
+Gäste räumen dem Veranstalter und dem Plattformbetreiber ein einfaches, auf die jeweilige Veranstaltung beschränktes Nutzungsrecht zur Anzeige/Moderation/Präsentation ein. Weitergehende Nutzung (z. B. Social‑Media/Marketing) bedarf der Einwilligung des Rechteinhabers, sofern nicht gesetzlich zulässig.
+
+4. Verantwortlichkeiten/Moderation
+
+Veranstalter sind inhaltlich verantwortlich für ihre Events und moderieren Inhalte. Der Betreiber kann Inhalte bei Rechtsverstößen entfernen oder den Zugang sperren.
+
+5. Verbotene Inhalte
+
+Keine rechtswidrigen, diskriminierenden, pornografischen, gewaltverherrlichenden oder die Rechte Dritter verletzenden Inhalte. Keine Uploads mit personenbezogenen Daten Dritter ohne Rechtsgrundlage/Einwilligung.
+
+6. Verfügbarkeit/Haftung
+
+Es besteht kein Anspruch auf permanente Verfügbarkeit. Der Betreiber haftet bei Vorsatz und grober Fahrlässigkeit; im Übrigen nur bei Verletzung wesentlicher Vertragspflichten, begrenzt auf vorhersehbare Schäden.
+
+7. Datenschutz
+
+Es gilt die Datenschutzerklärung. Veranstalter sind für ihre rechtliche Grundlage gegenüber Gästen verantwortlich (z. B. Einwilligungen/Aushänge).
+
+8. Laufzeit/Kündigung
+
+Nutzung ist eventbezogen. Der Betreiber kann bei Verstößen kündigen oder den Zugang sperren.
+
+9. Schlussbestimmungen
+
+Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Betreibers. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
+
+Stand: {$now->format('Y-m-d')}
+MD;
+
+        $this->upsert('agb', [
+            'de' => 'Allgemeine Geschäftsbedingungen',
+        ], [
+            'de' => $agbDe,
+        ], $now);
+    }
+
+    private function upsert(string $slug, array $titleByLocale, array $bodyByLocale, \DateTimeInterface $effectiveFrom): void
+    {
+        $existing = LegalPage::where('slug', $slug)->orderByDesc('version')->first();
+        $version = $existing ? ($existing->version + 1) : 1;
+        LegalPage::updateOrCreate(
+            ['slug' => $slug, 'version' => $version],
+            [
+                'title' => $titleByLocale,
+                'body_markdown' => $bodyByLocale,
+                'locale_fallback' => 'de',
+                'version' => $version,
+                'effective_from' => $effectiveFrom,
+                'is_published' => true,
+            ]
+        );
+    }
+}
+