-- "EU"/"USA"/"gemischt"/"on-prem" als grobe Eimer verschleierten, dass
-- auch die USA bereits ein Drittland sind (DSGVO Art. 44 ff. kennt nur
-- EU/EWR vs. Drittland) und dass "gemischt" nichts über die tatsächlich
-- beteiligten Länder aussagt (z. B. Irland+USA bei Microsoft 365
-- Copilot vs. Frankreich bei Mistral) — beides macht einen Unterschied
-- für die Einschätzung, nicht nur für die Anzeige. Ersetzt durch eine
-- Liste tatsächlicher Länder (oder einer Region, wenn der Anbieter
-- selbst keinen einzelnen Staat benennt, z. B. "EU-Region" bei
-- OpenAI/Microsoft).
ALTER TABLE werkzeug ADD COLUMN verarbeitungslaender TEXT[] NOT NULL DEFAULT '{}';

ALTER TABLE werkzeug DROP CONSTRAINT werkzeug_verarbeitungsort_check;

UPDATE werkzeug SET verarbeitungslaender =
  CASE verarbeitungsort
    WHEN 'EU' THEN ARRAY['EU-Region (Land nicht migriert, bitte prüfen)']
    WHEN 'USA' THEN ARRAY['USA']
    WHEN 'on-prem' THEN ARRAY['On-Premise (selbst gehostet)']
    ELSE ARRAY['nicht spezifiziert (bitte prüfen)']
  END;

ALTER TABLE werkzeug DROP COLUMN verarbeitungsort;

-- Ob ein US-Anbieter unter dem EU-US Data Privacy Framework zertifiziert
-- ist (schmalere, für Schrems-Nachfolgeverfahren anfällige Rechtsgrundlage)
-- oder sich rein auf Standardvertragsklauseln stützt, stand bisher nur als
-- Fließtext in "einschraenkungen" — jetzt strukturiert und damit künftig
-- filterbar.
ALTER TABLE werkzeug ADD COLUMN dpf_zertifiziert BOOLEAN NOT NULL DEFAULT false;