docs: Werkzeugkatalog-Stand aktualisieren (19 Einträge, alle 12 Zweck-Kategorien), Schema-Lücke für Drittland-Hosting dokumentieren

Katalog um 9 weitere recherchierte Werkzeuge erweitert (Notion AI,
Grammarly Business, Midjourney, Julius AI, Synthesia, ElevenLabs,
Zendesk AI, Canva Magic Studio, Zapier) — deckt jetzt alle zwölf
Zweck-Kategorien ab. Midjourney bewusst als Negativbeispiel (kein AVV,
keine EU-Residenz, unbegrenzte Speicherung) aufgenommen statt
weggelassen. DeepSeek NICHT angelegt: verarbeitungsort erlaubt nur
EU/USA/gemischt/on-prem, keiner davon bildet China-Hosting korrekt ab
— Wertebereich müsste zuerst erweitert werden.

CLAUDE.md

@@ -300,19 +300,40 @@ Aufbewahrung, Zertifizierungen, Geeignete Zwecke, Zuletzt geprüft) statt
 als Liste — vorher waren nur Name/Anbieter/Ort auf einen Blick sichtbar,
 der Rest war erst nach Klick auf den Detaileintrag zu sehen.
 
-Der zentrale Katalog ist aktuell mit 10 recherchierten Einträgen befüllt
-(ChatGPT Enterprise, Microsoft 365 Copilot, Claude for Work, GitHub
-Copilot Business, DeepL Pro/API, Google Gemini für Google Workspace,
-Le Chat Enterprise, Perplexity Enterprise Pro, Adobe Firefly Enterprise,
-Otter.ai Business) — deckt damit erstmals alle sechs Zweck-Kategorien
-ab (vorher fehlten Bild und Transkription vollständig, Recherche hatte
-kein dediziertes Werkzeug). Jede Zusicherung ist mit einer echten,
+Der zentrale Katalog ist aktuell mit 19 recherchierten Einträgen
+befüllt (u. a. ChatGPT Enterprise, Microsoft 365 Copilot, Claude for
+Work, GitHub Copilot Business, DeepL Pro/API, Google Gemini für Google
+Workspace, Le Chat Enterprise, Perplexity Enterprise Pro, Adobe Firefly
+Enterprise, Otter.ai Business, Notion AI, Grammarly Business,
+Midjourney, Julius AI, Synthesia, ElevenLabs, Zendesk AI, Canva Magic
+Studio, Zapier) — deckt damit alle zwölf Zweck-Kategorien mit
+mindestens einem Eintrag ab. Jede Zusicherung ist mit einer echten,
 offiziellen Anbieter-Quelle belegt (Stand 2026-08-31), nicht geraten —
-zwei Einträge (Adobe Firefly: Trainingsausschluss ist nicht Standard;
-Otter.ai: Training auf de-identifizierten Aufnahmen, laufende
-Rechtsstreitigkeiten) sind bewusst mit kritischen Einschränkungen
-versehen statt schöngefärbt, das ist die vorgesehene Funktion des
-Katalogs.
+und zwar auch dann, wenn keine Quelle eine positive Zusicherung
+hergibt: Synthesia und Zapier haben `training_standard`/
+`training_opt_out` bewusst NICHT gesetzt, weil keine belegte Aussage
+zum Trainingsausschluss gefunden wurde (nicht mit "trainiert
+nachweislich" verwechseln — es ist ein "wissen wir nicht, deshalb
+keine Haken"). Mehrere Einträge sind bewusst mit kritischen
+Einschränkungen versehen statt schöngefärbt, das ist die vorgesehene
+Funktion des Katalogs: Adobe Firefly (Trainingsausschluss ist nicht
+Standard), Otter.ai (Training auf de-identifizierten Aufnahmen,
+laufende Rechtsstreitigkeiten), **Midjourney (kein AVV, keine
+EU-Datenresidenz, unbegrenzte Speicherung inkl. Training — laut
+CLAUDE.md-Leitplanken für personenbezogene/vertrauliche Daten nicht
+geeignet, absichtlich als Negativbeispiel im Katalog, nicht
+weggelassen)**.
+
+**Bekannte Schema-Lücke (2026-08-31, noch nicht behoben):** Anbieter
+mit Verarbeitung außerhalb EU/USA (z. B. DeepSeek, China) lassen sich
+mit dem aktuellen `verarbeitungsort`-Wertebereich (`EU`/`USA`/
+`gemischt`/`on-prem`, DB-CHECK-Constraint) nicht korrekt abbilden —
+"gemischt" würde fälschlich EU-Berührung suggerieren, "USA" wäre
+schlicht falsch. DeepSeek wurde deshalb bewusst NICHT angelegt statt
+mit einem falschen Wert erzwungen. Vor dem nächsten Katalogeintrag
+außerhalb EU/USA/on-prem-Hosting muss der Wertebereich erweitert werden
+(z. B. um `drittland`) — eigene Migration nötig, Entscheidung noch
+nicht getroffen.
 
 `CurrentKatalogVersion` liefert eine reproduzierbare Kennung des
 aktuellen Katalogzustands (Anzahl Einträge + letzte Änderung) — wird in