ArbeitszeitCheck - Releases

Geändert

• Release-Paket aktualisiert: App-Metadaten auf 1.2.5 angehoben und den signierten Release-Artefaktsatz für App-Store- und GitHub-Veröffentlichung neu erzeugt.

Geändert

• Release-Stand veröffentlichbar gemacht: App-Metadaten auf 1.2.4 angehoben und ein neuer signierter Release-Artefaktsatz (Archiv, Checksummen, App-Store-Signatur) für App-Store-/GitHub-Veröffentlichung erstellt.

Geändert

• Release-Paket aktualisiert: Neues signiertes App-Store-/GitHub-Release-Archiv für den aktuellen Code-Stand mit Docker-basiertem Signatur-Workflow erstellt.

Behoben

• Lokalisierte Dezimaleingaben in den Admin-Einstellungen: Tagesstunden-Felder akzeptieren jetzt zuverlässig Kommawerte wie 7,74 und behalten zwei Nachkommastellen korrekt bei.
• Parsing bei Legacy-Hours-Payloads: Time-Entry-Endpunkte verarbeiten optionale Stundenwerte nun konsistent mit Komma und Punkt, sodass in rückwärtskompatiblen Requests keine stillen Abschneidungen mehr auftreten.

Geändert

• Präzisionshinweise in Eingabefeldern: step-Werte und Hilfetexte wurden auf Zwei-Nachkommastellen-Szenarien (z. B. 38,7-Stunden-Woche) abgestimmt.

Behoben

• Wiederzugriff auf pausierte Einträge: Pausierte Einträge sind im Bearbeiten-/Löschen-Workflow wieder erreichbar und werden beim Speichern mit Endzeit konsistent als completed finalisiert.
• Fortsetzen statt Duplikat bei gleichem Tag: Clock In setzt einen pausierten Tages-Eintrag fort, statt einen neuen automatischen Eintrag zu erzeugen; die Pausenlücke wird korrekt als Break-Historie archiviert.
• Historische Restfälle bei paused: Neue Migration Version1020Date20260421000000 repariert verbleibende verwaiste paused-Datensätze (auch Fälle außerhalb der früheren Einmal-Migration).

Hinzugefügt

• Auto-Fallback mit Nachvollziehbarkeit: Zeiteinträge speichern jetzt ended_reason und policy_applied (z. B. manual_clock_out oder auto_break_fallback) für klare Audit-/Export-Nachweise.
• Einmalige Nutzerinfo nach Auto-Ausstempeln: Beim nächsten Statusabruf wird eine neutrale, konkrete Meldung mit Uhrzeit und Regel eingeblendet.
• Urlaubsanspruch-Policy-Engine: Neue berechnungslogikbasierte Anspruchsermittlung mit Modi manual_fixed, model_based_simple, tariff_rule_based und manual_exception inkl. Simulations-Endpunkt für Admins.
• Tarifregel-Datenmodell und APIs: Versionierte Tarif-Regelwerke/Module sowie Admin-Endpunkte zum Erstellen, Aktualisieren, Aktivieren, Stilllegen und Zuweisen von Urlaubs-Policies.
• Snapshots der Anspruchsberechnung: Persistente Snapshots (at_entitlement_snapshots) mit Berechnungstrace/Policy-Fingerprint für Nachvollziehbarkeit und Diagnose.
• Neue Admin-Seite „Benachrichtigungen“: Eigene Oberfläche für HR-Empfänger und Ereignis-Matrix inkl. dedizierter Notifications-API.

Geändert

• Fallback-Logik differenziert nach Einsatzart: Für Schichtarbeit gilt standardmäßig eine strikte Fallback-Regel; für Nicht-Schichtmodelle eine flexible Regel mit tagsüber konfigurierbarem Ruhefenster (z. B. Familien-/Mittagsunterbrechung ohne Auto-Ausstempeln).
• Export-Transparenz: CSV/JSON-Zeilen enthalten jetzt ended_reason und policy_applied, damit automatische Beendigungen in Reports eindeutig erkennbar sind.
• Urlaubsallokation integriert: Jahresallokation nutzt nun die neue VacationEntitlementEngine und liefert Quelle/Regelwerk/Trace in der Ergebnisstruktur zurück.
• Migrations-Kompatibilität: Bestehende Urlaubswerte aus Nutzer-Modellzuweisungen werden in Policy-Zuordnungen überführt (Version1018Date20260420123000), damit Bestandsinstallationen konsistent weiterlaufen.
• Admin-Einstellungsfluss für Abwesenheiten: Carryover-/Rollover-, Vertretungs- und E-Mail-Schalter sind zentral über die neue Notifications-Seite/API steuerbar.
• Schema Arbeitszeitmodelle: at_models enthält jetzt work_days_per_week (Version1019Date20260420150000) als Grundlage für Formeln.

Behoben

• Aufräumen bei Nutzerlöschung: Beim Entfernen eines Nutzers werden jetzt auch Urlaubs-Policy-Zuordnungen und Entitlement-Snapshots gelöscht (keine verwaisten Policy-/Berechnungsdaten).

Behoben

• Zeitzonen-Konsistenz (Europe/Berlin): Server-/PHP-Zeitzone für ArbeitszeitCheck auf Deutschland ausgerichtet; neue Migration Version1015Date20260415120000 konvertiert bestehende UTC-DATETIME-Werte in App-Tabellen nach Europe/Berlin und setzt app_timezone explizit.
• Ausstempeln-Semantik korrigiert: clockOut() finalisiert Einträge nun zuverlässig mit end_time und status=completed (statt paused ohne Endzeit). Dadurch sind Exporte/Reports wieder vollständig und konsistent.
• Historische Pausiert-Einträge repariert: Migration schließt verwaiste Einträge mit status=paused und end_time IS NULL automatisch über end_time = updated_at und Statuswechsel auf completed.
• Mehrfach-Pausen ohne Datenverlust: Beim Start einer weiteren Pause wird die zuvor abgeschlossene Pause zuerst in breaks (JSON) archiviert; Break-Dauern bleiben vollständig für ArbZG-Prüfungen erhalten.
• Break-Status-Berechnung korrigiert: getBreakStatus() zählt aktive Sitzungszeit nicht mehr doppelt; Warnstufen und Restpausen-Hinweise sind wieder korrekt.
• Export-Spalten korrigiert: duration_hours liefert jetzt Brutto-Dauer (Wall-Clock), working_hours Netto-Arbeitszeit (abzgl. Pausen). Vorher waren beide Spalten identisch.

Geändert

• Export-Transparenz: CSV/JSON-Exporte enthalten jetzt explizite Zeitzonen-Metadaten (timezone, exported_at), damit nachgelagerte Systeme die Uhrzeiten eindeutig interpretieren.
• UI-Klarheit: Dashboard zeigt sichtbaren Zeitzonen-Hinweis (Europe/Berlin (MEZ/MESZ)), Export-Hinweis auf der Zeiteintragsseite nennt die verwendete Zeitzone.
• Bediensicherheit: Vor Clock Out erscheint eine Bestätigungsabfrage mit klarer Abgrenzung zwischen „Pause starten“ und „Ausstempeln“.
• Admin-Transparenz: In den Admin-Einstellungen wird die konfigurierte Zeitzone sichtbar angezeigt.

Behoben

• Genehmigungs-Deadlock (App-Teams): Abwesenheiten und Zeiteintrags-Korrekturen behandeln „hat Kolleg:innen“ nicht mehr wie „hat eine:n Vorgesetzte:n“. Auto-Genehmigung, wenn kein zuweisbarer Genehmiger existiert, folgt TeamResolverService::hasAssignableManagerForEmployee() (explizite Team-Manager bei App-Teams; Legacy-Gruppenmodus weiterhin Kollegen-Proxy). Verhindert Anträge, die dauerhaft auf Managerfreigabe warten, obwohl niemand freigeben darf.
• Zeiteintrags-Korrekturen: Gleiche Zuweisbarkeitsregel wie bei Abwesenheiten (zuvor nur Kollegen-IDs).
• Admin-Users API auf /index.php-Instanzen: Refresh/Edit/History/Update nutzen nun zuverlässig aufgelöste App-URLs; fehlerhafte Requests wie search=[object PointerEvent] treten nicht mehr auf.
• Admin-Teams und Settings auf Rewrite-losen Setups: Zentrale URL-Auflösung enthält jetzt einen robusten /index.php-Fallback, wenn OC.generateUrl() im Seitenkontext fehlt oder unvollständig ist.

Hinzugefügt

• Repair-Schritt ReleaseStuckPendingAbsences: setzt nach Migration verbliebene pending-Abwesenheiten unter derselben Bedingung automatisch auf genehmigt (idempotent).
• Frontend-URL-Sicherheitsleitplanken: Die gemeinsame AJAX-Schicht blockiert externe Cross-Origin-Calls standardmäßig (explizit allowExternal: true nötig); Unit-Tests decken URL-Normalisierung und External-Handling ab.
• Lint-Leitplanken: ESLint-Regeln verhindern neue rohe fetch('/apps/arbeitszeitcheck/...')-Aufrufe und implizite externe fetch(...)-Nutzung außerhalb der vorgesehenen Abstraktionen.

Geändert

• UX: Abwesenheiten zeigen einen Hinweis, wenn App-Teams aktiv sind und kein Genehmiger zugeordnet ist; in der Detailansicht erscheint bei veralteten hängenden Anträgen ein Warnhinweis (bis Repair/Admin die Teamkonfiguration korrigiert).
• Frontend-Architektur: ArbeitszeitCheckUtils stellt nun zentral getRequestToken(), resolveUrl() und isExternalUrl() bereit; genutzt u. a. in admin-users, reports, settings und validation.
• Mobile UX Konsistenz (WCAG 2.1 AA): iPhone-Safe-Area-konforme Abstände, bessere Touch-Targets, klarere Abschnittsstruktur und visuelle Hierarchie für Nutzerseiten (dashboard, time-entries, absences) sowie Managerseiten (manager-dashboard, manager-time-entries, Mitarbeiter-Abwesenheiten).

Dokumentation

• Nutzerhandbücher (EN/DE), tests/WORKFLOW_ROLE_MATRIX.md und Entwicklerdokumentation zur Semantik „zuweisbarer Manager“ und zum Repair-Schritt ergänzt.
• README und Entwicklerdokumentation um zentrale Frontend-URL-Policy, striktes External-Call-Verhalten und Mobile/iOS-Layout-Hinweise ergänzt.

Hinzugefügt

• Monatsabschluss: Karenz und Auto-Finalisierung: Admin-Einstellung month_closure_grace_days_after_eom (0–90, Standard 0). Nach Monatsende haben Mitarbeitende so viele Kalendertage zur manuellen Finalisierung; ist der Monat danach noch offen, finalisiert ein täglicher Hintergrundauftrag automatisch (gleicher Snapshot wie manuell). Ausstehende Zeiteintragsfreigaben und offene Abwesenheits-Workflows blockieren die Auto-Finalisierung. Wiederöffnen bleibt Administrator:innen vorbehalten.
• App-Admin-Whitelist: Neue Admin-Einstellung app_admin_user_ids, um die Administration von ArbeitszeitCheck auf eine ausgewählte Teilmenge der Nextcloud-Admins zu begrenzen. Leere Auswahl bleibt rückwärtskompatibel (alle Nextcloud-Admins dürfen die App verwalten).
• Docker-Testziel für Security-Role-Gating: Verdrahtung von scripts/test-security-role-gating-docker.sh über make test-security-role-gating-docker und composer test:security-role-gating:docker für schnelle Autorisierungs-Regressionstests im Container-Setup.

Geändert

• Monatsabschluss UX/API: Klarere Karten-UI, sichtbares Erfolgs-/Fehlerfeedback (WCAG), serverseitiges canFinalize mit lokalisierten Sperrgründen; manuelle Finalisierung lehnt zukünftige Kalendermonate ab; Abwesenheits-Workflow (pending, substitute_pending, substitute_declined) zusätzlich zu ausstehenden Zeiteintragskorrekturen; API 401 bei fehlender Anmeldung wo passend; Admin: eigener Abschnitt „Monatsabschluss“; Karenzfeld bleibt editierbar mit Hinweis, dass der Wert gespeichert wird und bei aktivierter Funktion gilt; Wiederöffnen mit durchsuchbarer Mitarbeitenden-Auswahl und klarerer Rollenbeschreibung; Validierungsfehler mit höherem Kontrast über Themes hinweg. Auto-Finalize protokolliert Einzelfehler.
• Release-/Signatur-Workflow für Integritätsprüfung gehärtet: make release-signed signiert jetzt den entpackten Release-Archivinhalt (nicht den lokalen Entwicklungs-Checkout), prüft verbotene Entwicklungs-Pfade und packt das signierte Archiv für Deployment/App-Store neu.
• Admin-Autorisierung zentral erzwungen: Zugriffe auf AdminController-Routen werden jetzt per Middleware auf App-Admin-Rechte geprüft; nicht berechtigte angemeldete Nutzer erhalten eine konsistente 403-Seite.

Dokumentation

• Deployment-Hinweise ergänzt: Die Release-Dokumentation fordert nun explizit das Deployment aus dem signierten Tarball und beschreibt das typische Fehlerbild (.git/* / node_modules/*) bei versehentlicher Signierung eines Dev-Trees.
• Deployment-Helferskript: release/deploy-from-release.sh hinzugefügt für Deployment aus signierten Release-Archiven mit Sicherheitsprüfungen (verbotene Pfade, erforderliche signature.json, optionales Disable/Enable und occ integrity:check-app).
• Admin-Betrieb: Nutzer-/Entwicklerdokumentation ergänzt um Einrichtung der App-Admin-Whitelist, Rückfallverhalten bei leerer Auswahl und Verifikation des Role-Gatings im Docker-Testlauf.

Hinzugefügt

• Revisionssichere Monatsfinalisierung (optional): Admin-Schalter month_closure_enabled (Standard aus). Mitarbeitende können einen vollen Kalendermonat finalisieren; die App speichert kanonischen JSON-Snapshot, SHA-256-Hashkette, Anhänge-Revisionen, Audit-Ereignisse und ein schlankes PDF. Finalisierte Monate sind über normale App-APIs nicht mehr änderbar; Administrator:innen können einen Monat mit Pflichtbegründung wieder öffnen (Audit). Monatsberichte für finalisierte Monate lesen den gespeicherten Snapshot. Datenbank: at_month_closure, at_month_closure_revision (Migration Version1014Date20260409120000).

Dokumentation

• Nutzerhandbücher (DE/EN), Entwicklerdokumentation und Compliance-Hinweise zu Monatsabschluss, Aufbewahrung und Grenzen (Nachweis in der App, keine QES) ergänzt.

Hinzugefügt

• Manager-Ansicht „Mitarbeiter-Abwesenheiten“: Neue In-App-Seite und API für Manager/Admins zur Einsicht von Abwesenheiten mit sicherer Bereichsfilterung, Pagination und lokalisierten Statusbezeichnungen.
• Kopierfunktion für Arbeitszeitmodelle: Neue Kopieraktion mit Modal-UX, eindeutiger Namensvorschlag-Logik und Schutz gegen Doppelklicks.

Geändert

• Manager-Navigation / Sidebar: Struktur in klarere Manager-/Admin-Untermenüs überführt; Berichte in den Manager-Kontext verschoben; Compliance-Link zur besseren Übersicht umgruppiert.
• UX Mitarbeiter-Zeiteinträge (Manager): Standard-Datumswerte sowie Datums-/Übersetzungsdarstellung im Filterfluss verbessert.
• Kalender-Verhalten (Rollback-Bereinigung): Angefangene Funktionalität für direkte Kalendereinträge sowie zugehörige Admin-Optionen/Status/Test-Endpunkte wurde entfernt. Das unterstützte Verhalten bleibt unverändert: keine Synchronisation mit der Nextcloud-Kalender-App; optionale .ics-Anhänge werden weiterhin per E-Mail in den konfigurierten Abwesenheits-Workflows versendet.

Behoben

• Arbeitszeitmodell-Modaldialoge: Interaktionsprobleme im Kopier-Modal, Darstellung des Quellmodells sowie Lokalisierung/Formatierung im Lösch-Dialog korrigiert.
• Abwesenheits-iCal-Härtung: Strengere Status-/Datumsprüfungen, Empfänger-Deduplizierung und datenschutzärmere Beschreibungen für Vertretung/Manager ergänzt.

Dokumentation

• Nutzerhandbücher und Changelogs an das finale Kalenderverhalten (optionale .ics-Mail, keine direkte Kalender-App-Synchronisation) sowie die aktuelle Manager/Admin-UX-Struktur angepasst.

Hinzugefügt

• Urlaubsübertrag / Rollover: VacationRolloverService, Hintergrundauftrag, occ arbeitszeitcheck:vacation-rollover, Migration Version1013Date20260407120000 mit at_vacation_rollover_log; Unit-Tests.

Geändert

• Frontend-L10n: Gemeinsame Partials templates/common/main-ui-l10n.php und teams-l10n.php, damit Übersetzungen früh verfügbar sind; zugehörige Template- und JS-Anpassungen.

Behoben

• Manager-Dashboard — ausstehende Abwesenheiten: Die API liefert summary.typeLabel (serverseitig übersetzter Abwesenheitstyp); die Oberfläche nutzt das bevorzugt, damit Karten lokalisierte Bezeichnungen zeigen (z. B. Urlaub) statt Rohcodes wie vacation.

Dokumentation

• docs/Developer-Documentation.en.md: API-Hinweis zu typeLabel bei Pending Approvals; Nutzerhandbücher EN/DE: Hinweis zu lokalisierten Abwesenheitstypen bei ausstehenden Genehmigungen.

Hinzugefügt

• Entwicklung: CLI occ arbeitszeitcheck:generate-test-data für deterministische Demo-Daten (Zeiteinträge, Abwesenheiten, optional Verstöße, Demo-App-Team) zum Testen von UI, Berichten und Workflows.

Behoben

• Berichte-UI: Berichtstyp-Karten werden bei teambezogenem Scope nicht mehr fälschlich deaktiviert.
• Berichte (Tests): CSV-Download-Test nutzt DataDownloadResponse::render() für den Dateiinhalt.
• Team-Berichte: Nutzer-IDs werden vor Berechtigungsprüfung und Aggregation dedupliziert (keine Doppelzählung bei Mehrfach-Teams).
• Abwesenheits-Badges: Besser lesbare, theme-sichere Kontraste für Urlaub / Krank / Homeoffice / Sonstiges.

Geändert

• Kompatibilität (Dev): Lokale Entwicklungsumgebungen an Nextcloud 33.x ausgerichtet (z. B. offizielles nextcloud-Docker-Image).
• Berichte-Layout: Zu aggressive Vollbreiten-Regel für das Parameterformular zurückgenommen (verbessert Scroll/Layout).

Behoben

• Routing/Kompatibilität: indexApi()-Kompatibilitätsaliases für Legacy-Endpunkte ergänzt, um 500-Fehler in den Nextcloud-Logs zu verhindern.
• PHP-Fatals: Konstruktor-Signaturprobleme in AbsenceService und ComplianceService behoben (konnte die App beim Laden von Services oder beim Speichern von Einstellungen zum Absturz bringen).
• Reports-Sicherheit: Vorschau-Endpunkte gehärtet (start <= end Validierung + maximale Zeitraumbegrenzung) um DoS-Risiken durch untrusted Parameter zu reduzieren.
• Admin-“Gesamte Organisation”: Admin-Organisation-Scope korrekt verarbeitet (userId="" = alle aktivierten Nutzer) inklusive passender Zugriffsprüfung, damit Preview/Download konsistent bleiben.
• Reports-Rendering: Preview-Darstellung für Abwesenheiten und Compliance verbessert, sodass sie zur tatsächlichen Ergebnisstruktur passt.

Geändert

• Reports-UI-Semantik: Team-Scope auf Team-Overview-/Export-Semantik eingeschränkt (verhindert irreführende Preview/Downloads).
• Organisation-Download Hinweis: UI-Hinweis ergänzt, dass Organisation-Download erst vollständig unterstützt ist, sobald dedizierte Organization-Export-Endpunkte verfügbar sind.

Behoben

• ArbZG-Compliance: Pausenprüfung korrigiert (9h/45min-Zweig erreichbar; Prüfung ≥9h vor ≥6h)
• Manager-Logik: employeeHasManager() nutzt nun getManagerIdsForEmployee() statt getColleagueIds()
• Berichte: getTeamHoursSummary() berücksichtigt Periodenparameter (Woche/Monat)
• Admin-Benutzer: hasTimeEntriesToday pro Benutzer statt systemweit
• UserSettingsMapper: Falsy-Null/Leerstring-Behandlung in getIntegerSetting, getFloatSetting, getStringSetting
• Routing: exportUsers-Route vor getUser verschoben (Shadowing behoben)
• Version1009-Migration: MySQL-Backticks durch portablen QueryBuilder ersetzt; OCP\DB\Types
• Doppelte Notifier-Registrierung: Aus Application.php boot() entfernt
• API-Sicherheit: Generische Fehlermeldungen statt roher Exceptions (SubstituteController, GdprController)
• PDF-Export: HTTP 422 mit klarer Meldung statt stillem CSV-Fallback
• LIKE-Injection: WorkingTimeModelMapper::searchByName() verwendet escapeLikeParameter()
• XSS: Modal-Titel in components.js escaped; compliance-violations.js innerHTML escaped
• Admin-Einstellungen: CSRF-requesttoken ergänzt
• AbsenceService DI: Konstruktorargument-Reihenfolge (IDBConnection) korrigiert
• Admin-Feiertage und -Einstellungen: englische Quellstrings für l10n
• UserDeletedListener: TeamMemberMapper und TeamManagerMapper per Injection
• XSS: Team-Namen in admin-teams.js bereinigt

Geändert

• CSS: Shadow-Light-Variable, scopierte Resets, Dark-Mode color-mix, semantische Farben, Navigationshöhe/z-index
• Uhr-Buttons: Doppel-Submit-Guard (deaktiviert während API-Aufrufen)
• initTimeline(): Max-Retry (20) gegen Endlosschleife
• Barrierefreiheit: aria-label auf Header-Buttons, Label für Admin-Suche, aria-modal im Willkommens-Dialog, englische l10n-Keys in Navigation
• Dokumentation: Interne Docs entfernt; docs/README ergänzt; Repo-URLs korrigiert
• Manager-Dashboard: l10n von PHP an JS übergeben für Übersetzungen
• Constants.php; benutzerfreundliche Fehlermeldungen
• Zeiteintrags-Export: Optional (per Admin-Einstellung) können Einträge, die über Mitternacht laufen, im CSV/JSON-Export rein darstellungsbezogen in zwei Kalendertage segmentiert werden (vor/nach 00:00). Die zugrundeliegende Arbeitszeit- und ArbZG-Compliance-Berechnung bleibt unverändert auf Basis des originalen, unsplitteten Zeiteintrags.

Hinzugefügt

• Version1010-Migration: Zusammengesetzte Indizes auf at_entries, at_violations, at_holidays, at_absences

Geändert

• Langfristiges Refactoring: Ersetzung aller \OC::$server-Verwendungen durch OCP-APIs und Konstruktor-Injection
• CSPService: ContentSecurityPolicyNonceManager per Konstruktor injiziert
• Controller: manuelles cspNonce entfernt (configureCSP übernimmt dies); IURLGenerator und IConfig injiziert, wo nötig
• PageController: IURLGenerator und IConfig injiziert; übergibt urlGenerator an Templates
• HealthController: IDBConnection für Datenbank-Check injiziert
• ProjectCheckIntegrationService: LoggerInterface statt OC::$server->getLogger() injiziert
• Templates: \OC::$server durch \OCP\Server::get() (öffentliche OCP-API) ersetzt
• GitHub-Actions-Release-Workflow hinzugefügt (.github/workflows/release.yml)
• PageControllerTest mit vollständigen Konstruktor-Mocks aktualisiert

Fixed

• Resolved duplicate route names in absence API (absence#store, absence#show, absence#update, absence#delete)
• Corrected settings class names in info.xml to use full OCA namespace
• Added declare(strict_types=1) to routes.php

Changed

• Removed non-existent screenshot references from info.xml until real screenshots are captured

Fixed

• Admin notifications layout (HTTP 500): unescaped % in premium help copy (50% = 0.50) crashed L10N vsprintf → guest/error shell (body-login + guest.css) centered the sidebar and checkbox labels. Literal percents use %%; JS placeholder strings go through TemplateL10n.
• Admin notifications interaction jump: initVacationUnitMigration referenced l10n outside init() (ReferenceError) and soft-keyboard reveal scrolled checkboxes/radios into a visualViewport feedback loop — clicking controls no longer throws or yanks the page.
• Focus/select page jumps (global): soft-keyboard helper never scrolls for selects, date/time, or desktop focus; only reveals typed fields when the keyboard has shrunk the visual viewport; jump nav stays in document flow (no sticky chrome) on all admin settings pages.
• Notifications page clarity: six card-level jump pills with matching card titles (Absences & vacation, Calendar & email, Overtime alerts/bank, Hour premiums, HR office) and a one-line lead — same words in nav and headings.
• Premium categories table UX: fixed column widths, left-aligned category labels, proper checkbox touch targets, and % beside the percent field (no more stacked/centered mess).
• BANSS vacation-unit migrate crash window: pending flag + committed audit detection finishes the IConfig unit flip if the process dies after DB commit (never leaves hour magnitudes labeled as days). Heal also runs on every getUnit() read path (not only Apply).
• DATEV premiums vs closed months: sealed months always export frozen month-closure premium buckets (NN-06), including mid-month ranges; half-open exclusive end from ExportController no longer bleeds +1 day into the next month.
• Anniversary mode switch: calendar→anniversary requires explicit missing-hire acknowledgement when employment starts are missing (VAC_YEAR_MISSING_HIRE_ACK_REQUIRED).
• Vacation mutations during unit migrate: create/update/shorten/approve/cancel vacation refuse with VAC_UNIT_MIGRATE_IN_PROGRESS while the migration lock or pending crash-window flag is set.
• Month-close premium seal: policy load + classification share one exclusive azc/pp/policy lock with admin policy save so sealed snapshots cannot mix versions.
• BANSS migration UX: visible 7.7 callout + “Use 7.7” control; confirm dialogs show the conversion factor.
• Employee app hours preview: debit preview is hours-only (no holiday-blind weekday estimate).
• Anniversary approval lock: FOR UPDATE scope follows hire-anniversary windows (not blind calendar Jan–Dec).
• Vacation year mode flip: refreshes open allocations for access-allowed users (AC-101.4); audit records hire-ack count + refresh count.
• Hours-mode rollover: VacationRolloverService receives VacationUnitService so carryover writes keep carryover_hours (no silent clear-to-days).
• Migrate-idle on balance CLI/rollover: import + automatic rollover refuse while unit migration is in progress.
• Migrate-idle TOCTOU: writers hold LOCK_SHARED on azc/vu/migrate for the whole critical section (withIdleShared / absence shared hold); migrate still takes exclusive.
• Year-mode flip race: exclusive azc/vy/mode + migrate-idle shared around config write + AC-101.4 refresh; reports allocationsFailedCount; refuses during unit migrate.
• Bachus admin UX: vacation year/unit as giant choice cards; long help + FIFO/overlap/DATEV collapsed under “More options”; short first-paint copy.
• Premium policy busy: concurrent admin save returns HTTP 409 PREMIUM_POLICY_BUSY (injectable ILockingProvider for deterministic tests).
• Premium tagged_multi: no longer sums money into total_valued_hours; unique wall-clock total_classified_hours; DST night-window coverage.
• Mobile clock-in (Kommen): mutating API calls now always send a JSON body with Content-Type: application/json, so reverse proxies/WAFs no longer return opaque HTTP 400 without a message. Error envelopes include stable error_code values; mobile surfaces server messages (or localized fallbacks) instead of English “Request failed (400)”.
• Web / desklet clock actions: clock-out, break start/end, daily-max enforcement, and dashboard desklet POSTs now always send a JSON body (same proxy-safe contract as mobile). Desklet and widget errors forward business-rule messages and error_code instead of a generic “Action failed”.
• Desklet project selection: when ProjectCheck linking is enabled, the dashboard desklet shows an accessible project picker before Kommen and posts projectCheckProjectId with clock-in; daily-maximum callout hides clock-in until the next day. When ProjectCheck is installed but linking is off, the desklet shows a clear neutral callout (same guidance as the full dashboard / mobile home).
• Desklet template vars: workspace partial reads $_['deskletConfig'] / $_['l'] (OCP\Template assign), so project options and JSON config actually reach the rendered HTML.
• Utils.ajax empty POST: bare mutating calls via ArbeitszeitCheckUtils.ajax now send JSON.stringify({}) with Content-Type: application/json (no Content-Type-without-body).
• Admin kiosk/license/tariff/holidays DELETE/POST: shared normalizeMutatingFetchInit forces a JSON body whenever Content-Type claims JSON (or when the body is missing on mutating verbs), closing the same proxy-400 class on revoke/clear-license/holiday-delete paths.
• Mobile project selection: home dashboard and manual time-entry expose ProjectCheck assignable projects when admin linking is enabled; accessible project picker before Kommen/Weiterarbeiten and on create-entry.
• Today’s hours: getTodayHours() no longer clamps to the daily maximum, so UI and error copy report real worked hours.
• Lock conflicts: HTTP 423 responses include error_code=locked and a duplicated message field for clients.

Added

• Companion contract coverage: T-MOB-02 additive-key assertions; Kiosk 1.0.6 version alignment (Employee 1.0.4 unit-aware remains publish-ready off-host).
• Mobile home payload fields atDailyMaximum and projectCheck for companion clients; callouts when daily max is reached or ProjectCheck linking is installed but disabled.
• Dashboard widget clockIn accepts optional projectCheckProjectId.
• Desklet config exposes projectCheck projects and l10n for the project picker / daily-maximum notice.

Added

• Portfolio access door: Administration can switch between Open (everyone with app access) and Restricted mode with explicit user and group allowlists; deleted users are removed from the allowlist automatically.

Changed

• l10n: Expanded EN/DE catalogs (DACH holiday regions, clearer admin and report copy) and refreshed secondary locales.

Added

• Companion API floor: OCS capabilities now expose arbeitszeitcheck.companion.min (1) so DutyCheck / AudioCheck mobile clients can fail closed with app_outdated when the server companion contract is missing or newer than the installed app.

Fixed

• Austrian break-split UX (web): the time-entry form and correction dialog no longer show “Compliant” for illegal AZG §11 splits that still sum to 30 minutes (e.g. 20+10). Client validation mirrors BreakSplitValidator; the server remains authoritative. Bootstrap complianceParams now includes allowedBreakSplitPatterns like the mobile capabilities block.
• Admin settings region consistency: country→region repair uses values written in the same request and skips no-op POSTs (empty body still returns 400), so unit mocks and concurrent saves cannot wipe a just-saved region.
• Compliance PDF export honesty: format=pdf for compliance reports returns HTTP 422 with a clear error (same as time-entry/absence exports) instead of silently downloading CSV.
• Capabilities accessibility claim: advertise WCAG AA (matches product/E2E target), not AAA.
• License trust anchor: AZC_VENDOR_PUBLIC_KEY_B64 env override is gated to PHPUnit / explicit AZC_ALLOW_VENDOR_KEY_OVERRIDE=1 so a compromised environment cannot swap the vendor public key on a live instance.
• Cross-product license rejection: AZC2 payloads that carry a foreign product marker (e.g. deskcheck) are rejected even if the wire prefix and signature verify.

Added

• Vitest coverage for client break-split evaluation; PHPUnit contract that AT web bootstrap exposes split patterns; suite legacy-isolation unit + integration guards.

Changed

• Kiosk pairing code TTL (temporary): pending terminal pairing codes now remain valid for 14 days instead of 10 minutes (KIOSK_PAIRING_TTL_SECONDS), so Google Play reviewers can pair the Terminal app from review notes without the code expiring before audit. Admin UI copy and all 10 locale catalogs updated accordingly. Revert to 600 seconds (10 minutes) after the Terminal app is published.

Changed

• Kiosk stamp errors are specific instead of generic: business-rule rejections during clock in/out and break start/end now return stable machine codes (KIOSK_ALREADY_CLOCKED_IN, KIOSK_NOT_CLOCKED_IN, KIOSK_ON_BREAK_END_FIRST, KIOSK_BREAK_ALREADY_STARTED, KIOSK_NOT_ON_BREAK, KIOSK_DAILY_HOURS_LIMIT, KIOSK_REST_PERIOD_REQUIRED, KIOSK_ACTION_REJECTED) instead of one opaque KIOSK_ACTION_INVALID, so terminals can show actionable messages.
• Detailed compliance messages pass through: rest-period and daily-hours rejections keep the detailed, translated server message (which shift ended when, when clock-in is possible again) instead of a generic phrase.
• HTTP semantics: kiosk state conflicts (already clocked in, break already started, end break first) answer 409 Conflict; compliance limits stay 400.

Fixed

• Kiosk error copy translated: the new kiosk error messages ship in all 10 supported languages (en/de/fr/es/da/nl/it/pl/sv/nb) with full catalog parity.

Fixed

• Stuck badge scan cannot be cancelled: Admin “Cancel scan” no longer depends on acquiring exclusive DB locks. If locks are orphaned (crash or pre-1.5.20 truncated keys), cancel force-aborts: clears the enrollment, purges known lock rows for that employee/tablet, and returns success so a new card can be enrolled immediately.
• Start / PIN / RFID blocked by orphan locks: starting a scan and assigning PIN/badge first retry briefly (live changes win by waiting), then purge the stuck keys once and retry — instead of looping on “already running” until the ~1h lock TTL. Live locks are never purged on first contact, so concurrent admin actions stay serialized.
• Double-click on “Generate PIN” could return HTTP 500: a unique-constraint race between two concurrent PIN generates is now mapped to the retryable “busy” error instead of an unmapped server error.
• Cancel hidden after reload: Cancel stays available whenever a tablet is selected in Kiosk admin, not only during an in-page poll, so stuck server-side scans can always be cleared.
• German translations broken: l10n/de.js contained a syntax error (strings appended outside the catalog), which disabled the entire German catalog in the browser. All locale catalogs regenerated with full key parity across the 10 supported languages.

Changed

• Kiosk maintenance: expired incomplete enrollments are garbage-collected every 15 minutes so tablets leave enrollment mode even if nobody cancelled.
• Busy copy: no longer tells admins to “cancel first” in a way that implies cancel itself might be impossible.

Fixed

• DB lock keys truncated at 64 chars: exclusive locks for time tracking, absences, month closure, entitlement snapshots, and kiosk PIN/RFID/enrollment now use short stable keys (oc_file_locks.key is VARCHAR(64)). Over-long keys were truncated on insert so releaseLock never matched and mutations stayed stuck with LockedException / KIOSK_BUSY until TTL.
• Stuck lock cleanup on upgrade: post-migration repair ClearStuckKioskEnrollmentLocks clears legacy over-long lock rows left behind by older builds.
• Kiosk enrollment cancel races: cancel uses ordered user→terminal locks with short retries, returns stable idle/completed/cancelled outcomes, and no longer deadlocks or leaves Admin on a hard busy failure while a scan finishes.

Changed

• Kiosk admin enrollment UX: numbered wizard steps, clearer assign/cancel controls, and improved enrollment panel feedback during badge scan.

Fixed

• Kiosk API JSON errors: unexpected and rate-limit failures now return stable JSON machine codes so Terminal clients can show actionable messages instead of opaque failures.
• Stamp session recovery: one-shot kiosk session claims are released when a stamp mutation fails, so terminals can recover instead of staying stuck on a claimed session.
• PHPUnit full suite: fixed a fatal from a redeclared template helper so the complete test run no longer aborts mid-suite.

Changed

• Full-width admin shells: My Settings and manager month-closures use the wide page shell instead of narrow constrained layouts.
• Audit log filters: redesigned filter row layout (dates/actions, then user/action/entity) so fields no longer collapse into empty grid holes from shared page-pattern subgrid rules.
• Reports export chooser: replaced nested badge cards with a theme-safe radiogroup of full-width options (solid icon wells, Selected state, keyboard arrow navigation).
• Admin / manager surface polish: shared stat tiles and layout tweaks across dashboards, license, kiosk, users, and working-time models for clearer hierarchy and WCAG-friendlier contrast.

Fixed

• Audit log / reports fetch races: ignore stale responses when a newer filter or export-option request is already in flight.

Added

• Dedicated admin user detail page: user editing moved off the users list onto its own detail view (route, template, and admin JS), with clearer navigation from the users overview.

Changed

• Kiosk admin enrollment UX: improved enrollment polling, status feedback, and kiosk-facing copy during badge/PIN assignment.
• Kiosk error messaging: clearer, actionable messages for common enrollment and credential failures.

Fixed

• Kiosk identify/assign races: identify and assign flows now take enrollment locks so concurrent admin/kiosk actions cannot corrupt in-flight enrollment state.
• Credential assignment under load: kiosk credential updates are serialized with enrollment so badge/PIN changes stay consistent with the active session.

Changed

• Mobile / widget home payload: impliedDailyHours (contract daily target) is included alongside weekly hours so clients can show “Daily target” like the employee dashboard.

• Session CSRF restored for browser cookie sessions on NoCSRFRequired APIs: mutating clock/absence/export endpoints that stay NoCSRFRequired for mobile Basic auth now re-require a valid request token whenever a Nextcloud session cookie is present. Mobile clients without session cookies are unchanged. Forged Authorization: Basic … headers can no longer bypass CSRF while the victim’s session cookie is sent.

Fixed

• Absence cancel/delete/shorten race with approve: those mutations now take the same per-user absence lock and re-read status under the lock.
• Status-path stale-pause repair / daily-max auto-complete: side effects run under the time-tracking user lock without nesting an outer DB transaction around a second lock acquisition.
• Manual time entry create/update overlap races: overlap check + insert/update share the time-tracking user lock with clock mutations.
• Month finalize/reopen TOCTOU: exclusive per-user/month lock around seal and reopen; calendar “today” / month-ended checks use organisation storage timezone.
• Compliance cron / weekly average windows: use storage timezone instead of PHP default/new DateTime().
• Absence business-day gates: “today” for cancel/shorten/substitute rules and vacation allocation reads use storage timezone.
• Dashboard load-error callout: keeps aria-live="assertive" for screen readers; clock/break buttons guard double-submit client-side.

Added

• Auto break setting exposed to clients: the dashboard widget data (and the mobile home dashboard payload built on it) now includes autoBreakCalculation, the personal "automatic ArbZG §4 break insertion" setting, so client apps can explain whether the server may insert breaks automatically.

Added

• Mobile home dashboard endpoint: new GET /api/mobile/dashboard returns the full employee home payload (status, vacation entitlement/remaining, week hours, balance) for the proprietary employee mobile app, instead of the lean desklet summary.

Changed

• Time-tracking status endpoint usable from the mobile app: GET status no longer requires a CSRF token, matching the other read-only mobile endpoints (still requires an authenticated session or app password).

Changed

• Vendor public key baked into the app: AZC2 license verification now uses the production Ed25519 vendor public key by default. Customer servers no longer need AZC_VENDOR_PUBLIC_KEY_B64 for real licenses from SbdLicenseOps to verify. The env var remains an optional override (tests / experiments only).
• Clearer signature-mismatch warning: the admin license page no longer tells admins to configure AZC_VENDOR_PUBLIC_KEY_B64 as the primary fix.

Changed

• Kiosk admin UX overhaul: clearer three-step flow (find employee → allow access → assign badge/PIN), richer status labels, confirmations, and actionable error messages (including license/slot limits with a link to License administration).

Fixed

• Kiosk admin APIs required CSRF again: removed NoCSRFRequired from admin JSON endpoints so state-changing kiosk actions are protected like other admin APIs.
• Race conditions in kiosk pairing, enrollment, and PIN lockout: exclusive locks around terminal pairing, badge enrollment start/scan, and failed-PIN accounting so concurrent requests cannot double-consume license slots or skip lockout.
• Badge enrollment only on active terminals: enrollment now requires a paired (active) terminal instead of accepting pending/revoked ones.
• CSV credential import size limit: imports larger than 1 MB are rejected with a clear error instead of loading unbounded input.
• Sensitive kiosk responses are not cached: pairing codes and one-time PINs are returned with Cache-Control: no-store.

Added

• Instance-bound AZC2 licenses: license keys can now carry the Nextcloud instance ID and are rejected when applied on a different instance. The stored license state records the bound instance ID and a fingerprint of the applied key (migration 1033). The admin license page shows the instance ID to include when ordering a license.
• Daily license maintenance job: a new background job re-applies license limits once a day, so expired licenses or reduced seat/terminal quotas take effect overnight instead of only on the next admin interaction.
• Signature-verification warning in admin UI: if a stored license cannot be verified with the configured vendor public key, the admin page now shows a clear warning callout explaining the mismatch and how to fix it.

Changed

• Mobile license gate covers the whole mobile API: previously only clock/break POST endpoints returned HTTP 402 without a valid mobile license; now all /api/* mobile requests are gated (bootstrap, kiosk, and admin endpoints excluded), with an explicit LICENSE_REQUIRED error code for clients.
• Admin license page overhaul: redesigned layout with seat/terminal usage bars, assignment timestamps, and direct purchase/renewal contact actions.

Fixed

• Kiosk terminal pairing could leak device slots: creating or activating a terminal now reserves the licensed device slot transactionally — if pairing fails midway, the reserved slot is revoked instead of staying occupied.

Added

• Pre-migration backup before app updates: new BackupBeforeUpdate repair step runs automatically before schema migrations, plus occ arbeitszeitcheck:upgrade-backup for manual exports. Upgrade backups are catalogued with integrity checks and covered by unit/integration tests.

Fixed

• Manager "Record time for an employee" failed with "Status is required" (#27): shipped in this build (documented for 1.5.1 but missing from the published tarball). Manager-recorded inserts now set status and audit justification before validation runs.
• Data loss after disable during Nextcloud upgrade: UninstallRepairFlow now distinguishes disable from explicit removal — tables and settings are preserved on disable (including auto-disable during server upgrades); full cleanup runs only on app removal.

Behoben

• Update auf 1.5.0 versetzte die gesamte Instanz in den Wartungsmodus (#24): Die anteilige Urlaubsberechnung aus 1.5.0 fügte VacationAllocationService eine 9. Konstruktor-Abhängigkeit (VacationProrationService) hinzu, doch die Container-Factory in Application.php der veröffentlichten Version übergab weiterhin nur 8 Argumente. Beim occ upgrade löst Nextcloud die Reparaturschritte über den Container auf, der dabei transitiv VacationAllocationService erzeugt — das fehlende Argument verursachte einen ArgumentCountError, brach das Upgrade ab und ließ den Server im Wartungsmodus, bis die App deaktiviert wurde. Die Factory übergibt jetzt alle 9 Abhängigkeiten.

Geändert

• Das Sicherheitsnetz für die Dependency Injection wurde gehärtet, damit diese Art von Upgrade-Absturz nicht erneut ausgeliefert werden kann. Dies war der zweite ArgumentCountError beim Upgrade (nach 1.4.2); die bisherige Prüfung validierte nur die in info.xml aufgeführten Reparaturschritt-Klassen, sodass eine transitive Abhängigkeit wie VacationAllocationService durchrutschte. Das Release-Gate (scripts/check-repair-step-di.php) hatte zudem einen schlummernden Fehler: Eine falsche Namespace-Pfadauflösung führte dazu, dass die Argument-Anzahl-Prüfung faktisch nie lief. Das Gate wurde neu geschrieben:
• es löst jetzt jede App-Klasse korrekt zu ihrer Quelldatei auf und
• prüft die Konstruktor-Argumentanzahl jedes in Application.php registrierten Dienstes (nicht nur der Reparaturschritte) mithilfe des PHP-Tokenizers, sodass mehrzeilige Factories und Constructor Property Promotion exakt berücksichtigt werden.
• Zwei neue automatisierte Wächter sichern dies ab: ServiceContainerDiRegistrationTest (statisch, reflexionsbasiert, alle registrierten Dienste) und ContainerServiceResolutionIntegrationTest, der alle registrierten Dienste über den echten Nextcloud-Container auflöst — genau jenen Weg, der beim Upgrade fehlschlägt.

Hinzugefügt

• Anteiliger Urlaub bei unterjährigem Ein-/Austritt (#23): Beschäftigte, die unterjährig ein- oder austreten, erhalten ihren Jahresurlaubsanspruch jetzt anteilig zum tatsächlich beschäftigten Teil des Jahres gekürzt, statt immer die vollen Jahres­tage zu bekommen.
• Neues optionales Eintrittsdatum und Austrittsdatum je Mitarbeitende unter Mitarbeitende → Bearbeiten. Sind beide leer, erfolgt keine Kürzung (voller Anspruch, unverändertes bisheriges Verhalten).
• Neue globale Admin-Einstellung Anteiliger Urlaub → Berechnungsmethode: Volle Monate (Zwölftelung, deutscher Standard) — 1/12 je angefangenem Beschäftigungsmonat, ein Bruchteil von mindestens einem halben Tag wird aufgerundet (§ 5 BUrlG); oder Exakte Tage — Jahresanspruch × beschäftigte Tage ÷ Tage des Jahres.
• Die Anspruchsvorschau im Admin-Bereich und der Erklär-Dialog „Wie wird mein Urlaubsanspruch berechnet?“ für Beschäftigte zeigen den gekürzten Wert mit deutlichem Hinweis, sodass die angezeigte Zahl stets dem nutzbaren Saldo entspricht.
• Die Kürzung wird zur Nachvollziehbarkeit im Berechnungs-Trace und in historischen Snapshots festgehalten.

Behoben

• Fehlgeschlagenes App-Upgrade (1.3.x → 1.4.x): EnsureArbeitszeitCheckSchema war in Application.php nur mit IDBConnection registriert, der Reparaturschritt benötigt aber auch IConfig — das führte zu ArgumentCountError bei occ upgrade / Web-Updater und ließ die App im Zustand „Upgrade erforderlich“ mit fehlender Navigation hängen. Alle Reparaturschritte aus info.xml sind jetzt explizit im Container registriert; RepairStepDiRegistrationTest und erweiterter UpgradeRepairIntegrationTest verhindern ein Wiederauftreten.

Behoben

• Datenverlust nach Nextcloud-Upgrade: UninstallDropTables erhält Tabellen und Einstellungen beim Deaktivieren (Durchlauf 1); die vollständige Bereinigung läuft nur beim Entfernen der App (Durchlauf 2). Behebt, dass das automatische Deaktivieren bei Server-Upgrades die Daten löschte, wenn die App wieder aktiviert wurde.

Hinzugefügt

• Forensik bei Abwesenheitsfreigaben: approved_by_user_id wird nun direkt am Abwesenheitsdatensatz gespeichert (Freigabe/Ablehnung/Auto-Freigabe), inkl. Migration und API-Ausgabe.

Geändert

• Integrität der Urlaubsanspruch-Snapshots: Deterministisches Key-Upsert auf (user_id, period_key, as_of_date) ergänzt und per Migrations-Unique-Index auf Datenbankebene abgesichert.
• Nebenläufigkeitskontrolle in kritischen Workflows: Create/Update/Approve/Reject/Substitute-Flows sind nun mit nutzerspezifischen Mutations-Locks plus transaktionalen Rechecks/Row-Locks abgesichert, um Race-Conditions bei Überschneidungen und Überfreigaben zu verhindern.
• Release-Absicherung: Workflow-bezogene Unit- und Integrationstests wurden auf die gehärteten Mutationspfade angepasst und erfolgreich ausgeführt.

Behoben

• Legacy-Snapshot-Reparaturpfad: Upsert behandelt historische fehlerhafte Zeilen sowie parallele Unique-Key-Konflikte robust via deterministischem Retry-Update.
• Race-Condition bei Resturlaub-Updates: VacationYearBalanceMapper::upsert löst gleichzeitige Unique-Key-Konflikte jetzt per Re-Read/Update-Fallback.

Geändert

• Release-Paket aktualisiert: App-Metadaten auf 1.2.5 angehoben und den signierten Release-Artefaktsatz für App-Store- und GitHub-Veröffentlichung neu erzeugt.

Geändert

• Release-Stand veröffentlichbar gemacht: App-Metadaten auf 1.2.4 angehoben und ein neuer signierter Release-Artefaktsatz (Archiv, Checksummen, App-Store-Signatur) für App-Store-/GitHub-Veröffentlichung erstellt.

Geändert

• Release-Paket aktualisiert: Neues signiertes App-Store-/GitHub-Release-Archiv für den aktuellen Code-Stand mit Docker-basiertem Signatur-Workflow erstellt.

Behoben

• Lokalisierte Dezimaleingaben in den Admin-Einstellungen: Tagesstunden-Felder akzeptieren jetzt zuverlässig Kommawerte wie 7,74 und behalten zwei Nachkommastellen korrekt bei.
• Parsing bei Legacy-Hours-Payloads: Time-Entry-Endpunkte verarbeiten optionale Stundenwerte nun konsistent mit Komma und Punkt, sodass in rückwärtskompatiblen Requests keine stillen Abschneidungen mehr auftreten.

Geändert

• Präzisionshinweise in Eingabefeldern: step-Werte und Hilfetexte wurden auf Zwei-Nachkommastellen-Szenarien (z. B. 38,7-Stunden-Woche) abgestimmt.

Behoben

• Wiederzugriff auf pausierte Einträge: Pausierte Einträge sind im Bearbeiten-/Löschen-Workflow wieder erreichbar und werden beim Speichern mit Endzeit konsistent als completed finalisiert.
• Fortsetzen statt Duplikat bei gleichem Tag: Clock In setzt einen pausierten Tages-Eintrag fort, statt einen neuen automatischen Eintrag zu erzeugen; die Pausenlücke wird korrekt als Break-Historie archiviert.
• Historische Restfälle bei paused: Neue Migration Version1020Date20260421000000 repariert verbleibende verwaiste paused-Datensätze (auch Fälle außerhalb der früheren Einmal-Migration).

Hinzugefügt

• Auto-Fallback mit Nachvollziehbarkeit: Zeiteinträge speichern jetzt ended_reason und policy_applied (z. B. manual_clock_out oder auto_break_fallback) für klare Audit-/Export-Nachweise.
• Einmalige Nutzerinfo nach Auto-Ausstempeln: Beim nächsten Statusabruf wird eine neutrale, konkrete Meldung mit Uhrzeit und Regel eingeblendet.
• Urlaubsanspruch-Policy-Engine: Neue berechnungslogikbasierte Anspruchsermittlung mit Modi manual_fixed, model_based_simple, tariff_rule_based und manual_exception inkl. Simulations-Endpunkt für Admins.
• Tarifregel-Datenmodell und APIs: Versionierte Tarif-Regelwerke/Module sowie Admin-Endpunkte zum Erstellen, Aktualisieren, Aktivieren, Stilllegen und Zuweisen von Urlaubs-Policies.
• Snapshots der Anspruchsberechnung: Persistente Snapshots (at_entitlement_snapshots) mit Berechnungstrace/Policy-Fingerprint für Nachvollziehbarkeit und Diagnose.
• Neue Admin-Seite „Benachrichtigungen“: Eigene Oberfläche für HR-Empfänger und Ereignis-Matrix inkl. dedizierter Notifications-API.

Geändert

• Fallback-Logik differenziert nach Einsatzart: Für Schichtarbeit gilt standardmäßig eine strikte Fallback-Regel; für Nicht-Schichtmodelle eine flexible Regel mit tagsüber konfigurierbarem Ruhefenster (z. B. Familien-/Mittagsunterbrechung ohne Auto-Ausstempeln).
• Export-Transparenz: CSV/JSON-Zeilen enthalten jetzt ended_reason und policy_applied, damit automatische Beendigungen in Reports eindeutig erkennbar sind.
• Urlaubsallokation integriert: Jahresallokation nutzt nun die neue VacationEntitlementEngine und liefert Quelle/Regelwerk/Trace in der Ergebnisstruktur zurück.
• Migrations-Kompatibilität: Bestehende Urlaubswerte aus Nutzer-Modellzuweisungen werden in Policy-Zuordnungen überführt (Version1018Date20260420123000), damit Bestandsinstallationen konsistent weiterlaufen.
• Admin-Einstellungsfluss für Abwesenheiten: Carryover-/Rollover-, Vertretungs- und E-Mail-Schalter sind zentral über die neue Notifications-Seite/API steuerbar.
• Schema Arbeitszeitmodelle: at_models enthält jetzt work_days_per_week (Version1019Date20260420150000) als Grundlage für Formeln.

Behoben

• Aufräumen bei Nutzerlöschung: Beim Entfernen eines Nutzers werden jetzt auch Urlaubs-Policy-Zuordnungen und Entitlement-Snapshots gelöscht (keine verwaisten Policy-/Berechnungsdaten).

Behoben

• Zeitzonen-Konsistenz (Europe/Berlin): Server-/PHP-Zeitzone für ArbeitszeitCheck auf Deutschland ausgerichtet; neue Migration Version1015Date20260415120000 konvertiert bestehende UTC-DATETIME-Werte in App-Tabellen nach Europe/Berlin und setzt app_timezone explizit.
• Ausstempeln-Semantik korrigiert: clockOut() finalisiert Einträge nun zuverlässig mit end_time und status=completed (statt paused ohne Endzeit). Dadurch sind Exporte/Reports wieder vollständig und konsistent.
• Historische Pausiert-Einträge repariert: Migration schließt verwaiste Einträge mit status=paused und end_time IS NULL automatisch über end_time = updated_at und Statuswechsel auf completed.
• Mehrfach-Pausen ohne Datenverlust: Beim Start einer weiteren Pause wird die zuvor abgeschlossene Pause zuerst in breaks (JSON) archiviert; Break-Dauern bleiben vollständig für ArbZG-Prüfungen erhalten.
• Break-Status-Berechnung korrigiert: getBreakStatus() zählt aktive Sitzungszeit nicht mehr doppelt; Warnstufen und Restpausen-Hinweise sind wieder korrekt.
• Export-Spalten korrigiert: duration_hours liefert jetzt Brutto-Dauer (Wall-Clock), working_hours Netto-Arbeitszeit (abzgl. Pausen). Vorher waren beide Spalten identisch.

Geändert

• Export-Transparenz: CSV/JSON-Exporte enthalten jetzt explizite Zeitzonen-Metadaten (timezone, exported_at), damit nachgelagerte Systeme die Uhrzeiten eindeutig interpretieren.
• UI-Klarheit: Dashboard zeigt sichtbaren Zeitzonen-Hinweis (Europe/Berlin (MEZ/MESZ)), Export-Hinweis auf der Zeiteintragsseite nennt die verwendete Zeitzone.
• Bediensicherheit: Vor Clock Out erscheint eine Bestätigungsabfrage mit klarer Abgrenzung zwischen „Pause starten“ und „Ausstempeln“.
• Admin-Transparenz: In den Admin-Einstellungen wird die konfigurierte Zeitzone sichtbar angezeigt.

Behoben

• Genehmigungs-Deadlock (App-Teams): Abwesenheiten und Zeiteintrags-Korrekturen behandeln „hat Kolleg:innen“ nicht mehr wie „hat eine:n Vorgesetzte:n“. Auto-Genehmigung, wenn kein zuweisbarer Genehmiger existiert, folgt TeamResolverService::hasAssignableManagerForEmployee() (explizite Team-Manager bei App-Teams; Legacy-Gruppenmodus weiterhin Kollegen-Proxy). Verhindert Anträge, die dauerhaft auf Managerfreigabe warten, obwohl niemand freigeben darf.
• Zeiteintrags-Korrekturen: Gleiche Zuweisbarkeitsregel wie bei Abwesenheiten (zuvor nur Kollegen-IDs).
• Admin-Users API auf /index.php-Instanzen: Refresh/Edit/History/Update nutzen nun zuverlässig aufgelöste App-URLs; fehlerhafte Requests wie search=[object PointerEvent] treten nicht mehr auf.
• Admin-Teams und Settings auf Rewrite-losen Setups: Zentrale URL-Auflösung enthält jetzt einen robusten /index.php-Fallback, wenn OC.generateUrl() im Seitenkontext fehlt oder unvollständig ist.

Hinzugefügt

• Repair-Schritt ReleaseStuckPendingAbsences: setzt nach Migration verbliebene pending-Abwesenheiten unter derselben Bedingung automatisch auf genehmigt (idempotent).
• Frontend-URL-Sicherheitsleitplanken: Die gemeinsame AJAX-Schicht blockiert externe Cross-Origin-Calls standardmäßig (explizit allowExternal: true nötig); Unit-Tests decken URL-Normalisierung und External-Handling ab.
• Lint-Leitplanken: ESLint-Regeln verhindern neue rohe fetch('/apps/arbeitszeitcheck/...')-Aufrufe und implizite externe fetch(...)-Nutzung außerhalb der vorgesehenen Abstraktionen.

Geändert

• UX: Abwesenheiten zeigen einen Hinweis, wenn App-Teams aktiv sind und kein Genehmiger zugeordnet ist; in der Detailansicht erscheint bei veralteten hängenden Anträgen ein Warnhinweis (bis Repair/Admin die Teamkonfiguration korrigiert).
• Frontend-Architektur: ArbeitszeitCheckUtils stellt nun zentral getRequestToken(), resolveUrl() und isExternalUrl() bereit; genutzt u. a. in admin-users, reports, settings und validation.
• Mobile UX Konsistenz (WCAG 2.1 AA): iPhone-Safe-Area-konforme Abstände, bessere Touch-Targets, klarere Abschnittsstruktur und visuelle Hierarchie für Nutzerseiten (dashboard, time-entries, absences) sowie Managerseiten (manager-dashboard, manager-time-entries, Mitarbeiter-Abwesenheiten).

Dokumentation

• Nutzerhandbücher (EN/DE), tests/WORKFLOW_ROLE_MATRIX.md und Entwicklerdokumentation zur Semantik „zuweisbarer Manager“ und zum Repair-Schritt ergänzt.
• README und Entwicklerdokumentation um zentrale Frontend-URL-Policy, striktes External-Call-Verhalten und Mobile/iOS-Layout-Hinweise ergänzt.

Hinzugefügt

• Monatsabschluss: Karenz und Auto-Finalisierung: Admin-Einstellung month_closure_grace_days_after_eom (0–90, Standard 0). Nach Monatsende haben Mitarbeitende so viele Kalendertage zur manuellen Finalisierung; ist der Monat danach noch offen, finalisiert ein täglicher Hintergrundauftrag automatisch (gleicher Snapshot wie manuell). Ausstehende Zeiteintragsfreigaben und offene Abwesenheits-Workflows blockieren die Auto-Finalisierung. Wiederöffnen bleibt Administrator:innen vorbehalten.
• App-Admin-Whitelist: Neue Admin-Einstellung app_admin_user_ids, um die Administration von ArbeitszeitCheck auf eine ausgewählte Teilmenge der Nextcloud-Admins zu begrenzen. Leere Auswahl bleibt rückwärtskompatibel (alle Nextcloud-Admins dürfen die App verwalten).
• Docker-Testziel für Security-Role-Gating: Verdrahtung von scripts/test-security-role-gating-docker.sh über make test-security-role-gating-docker und composer test:security-role-gating:docker für schnelle Autorisierungs-Regressionstests im Container-Setup.

Geändert

• Monatsabschluss UX/API: Klarere Karten-UI, sichtbares Erfolgs-/Fehlerfeedback (WCAG), serverseitiges canFinalize mit lokalisierten Sperrgründen; manuelle Finalisierung lehnt zukünftige Kalendermonate ab; Abwesenheits-Workflow (pending, substitute_pending, substitute_declined) zusätzlich zu ausstehenden Zeiteintragskorrekturen; API 401 bei fehlender Anmeldung wo passend; Admin: eigener Abschnitt „Monatsabschluss“; Karenzfeld bleibt editierbar mit Hinweis, dass der Wert gespeichert wird und bei aktivierter Funktion gilt; Wiederöffnen mit durchsuchbarer Mitarbeitenden-Auswahl und klarerer Rollenbeschreibung; Validierungsfehler mit höherem Kontrast über Themes hinweg. Auto-Finalize protokolliert Einzelfehler.
• Release-/Signatur-Workflow für Integritätsprüfung gehärtet: make release-signed signiert jetzt den entpackten Release-Archivinhalt (nicht den lokalen Entwicklungs-Checkout), prüft verbotene Entwicklungs-Pfade und packt das signierte Archiv für Deployment/App-Store neu.
• Admin-Autorisierung zentral erzwungen: Zugriffe auf AdminController-Routen werden jetzt per Middleware auf App-Admin-Rechte geprüft; nicht berechtigte angemeldete Nutzer erhalten eine konsistente 403-Seite.

Dokumentation

• Deployment-Hinweise ergänzt: Die Release-Dokumentation fordert nun explizit das Deployment aus dem signierten Tarball und beschreibt das typische Fehlerbild (.git/* / node_modules/*) bei versehentlicher Signierung eines Dev-Trees.
• Deployment-Helferskript: release/deploy-from-release.sh hinzugefügt für Deployment aus signierten Release-Archiven mit Sicherheitsprüfungen (verbotene Pfade, erforderliche signature.json, optionales Disable/Enable und occ integrity:check-app).
• Admin-Betrieb: Nutzer-/Entwicklerdokumentation ergänzt um Einrichtung der App-Admin-Whitelist, Rückfallverhalten bei leerer Auswahl und Verifikation des Role-Gatings im Docker-Testlauf.

Hinzugefügt

• Revisionssichere Monatsfinalisierung (optional): Admin-Schalter month_closure_enabled (Standard aus). Mitarbeitende können einen vollen Kalendermonat finalisieren; die App speichert kanonischen JSON-Snapshot, SHA-256-Hashkette, Anhänge-Revisionen, Audit-Ereignisse und ein schlankes PDF. Finalisierte Monate sind über normale App-APIs nicht mehr änderbar; Administrator:innen können einen Monat mit Pflichtbegründung wieder öffnen (Audit). Monatsberichte für finalisierte Monate lesen den gespeicherten Snapshot. Datenbank: at_month_closure, at_month_closure_revision (Migration Version1014Date20260409120000).

Dokumentation

• Nutzerhandbücher (DE/EN), Entwicklerdokumentation und Compliance-Hinweise zu Monatsabschluss, Aufbewahrung und Grenzen (Nachweis in der App, keine QES) ergänzt.

Hinzugefügt

• Manager-Ansicht „Mitarbeiter-Abwesenheiten“: Neue In-App-Seite und API für Manager/Admins zur Einsicht von Abwesenheiten mit sicherer Bereichsfilterung, Pagination und lokalisierten Statusbezeichnungen.
• Kopierfunktion für Arbeitszeitmodelle: Neue Kopieraktion mit Modal-UX, eindeutiger Namensvorschlag-Logik und Schutz gegen Doppelklicks.

Geändert

• Manager-Navigation / Sidebar: Struktur in klarere Manager-/Admin-Untermenüs überführt; Berichte in den Manager-Kontext verschoben; Compliance-Link zur besseren Übersicht umgruppiert.
• UX Mitarbeiter-Zeiteinträge (Manager): Standard-Datumswerte sowie Datums-/Übersetzungsdarstellung im Filterfluss verbessert.
• Kalender-Verhalten (Rollback-Bereinigung): Angefangene Funktionalität für direkte Kalendereinträge sowie zugehörige Admin-Optionen/Status/Test-Endpunkte wurde entfernt. Das unterstützte Verhalten bleibt unverändert: keine Synchronisation mit der Nextcloud-Kalender-App; optionale .ics-Anhänge werden weiterhin per E-Mail in den konfigurierten Abwesenheits-Workflows versendet.

Behoben

• Arbeitszeitmodell-Modaldialoge: Interaktionsprobleme im Kopier-Modal, Darstellung des Quellmodells sowie Lokalisierung/Formatierung im Lösch-Dialog korrigiert.
• Abwesenheits-iCal-Härtung: Strengere Status-/Datumsprüfungen, Empfänger-Deduplizierung und datenschutzärmere Beschreibungen für Vertretung/Manager ergänzt.

Dokumentation

• Nutzerhandbücher und Changelogs an das finale Kalenderverhalten (optionale .ics-Mail, keine direkte Kalender-App-Synchronisation) sowie die aktuelle Manager/Admin-UX-Struktur angepasst.

Hinzugefügt

• Urlaubsübertrag / Rollover: VacationRolloverService, Hintergrundauftrag, occ arbeitszeitcheck:vacation-rollover, Migration Version1013Date20260407120000 mit at_vacation_rollover_log; Unit-Tests.

Geändert

• Frontend-L10n: Gemeinsame Partials templates/common/main-ui-l10n.php und teams-l10n.php, damit Übersetzungen früh verfügbar sind; zugehörige Template- und JS-Anpassungen.

Behoben

• Manager-Dashboard — ausstehende Abwesenheiten: Die API liefert summary.typeLabel (serverseitig übersetzter Abwesenheitstyp); die Oberfläche nutzt das bevorzugt, damit Karten lokalisierte Bezeichnungen zeigen (z. B. Urlaub) statt Rohcodes wie vacation.

Dokumentation

• docs/Developer-Documentation.en.md: API-Hinweis zu typeLabel bei Pending Approvals; Nutzerhandbücher EN/DE: Hinweis zu lokalisierten Abwesenheitstypen bei ausstehenden Genehmigungen.

Hinzugefügt

• Entwicklung: CLI occ arbeitszeitcheck:generate-test-data für deterministische Demo-Daten (Zeiteinträge, Abwesenheiten, optional Verstöße, Demo-App-Team) zum Testen von UI, Berichten und Workflows.

Behoben

• Berichte-UI: Berichtstyp-Karten werden bei teambezogenem Scope nicht mehr fälschlich deaktiviert.
• Berichte (Tests): CSV-Download-Test nutzt DataDownloadResponse::render() für den Dateiinhalt.
• Team-Berichte: Nutzer-IDs werden vor Berechtigungsprüfung und Aggregation dedupliziert (keine Doppelzählung bei Mehrfach-Teams).
• Abwesenheits-Badges: Besser lesbare, theme-sichere Kontraste für Urlaub / Krank / Homeoffice / Sonstiges.

Geändert

• Kompatibilität (Dev): Lokale Entwicklungsumgebungen an Nextcloud 33.x ausgerichtet (z. B. offizielles nextcloud-Docker-Image).
• Berichte-Layout: Zu aggressive Vollbreiten-Regel für das Parameterformular zurückgenommen (verbessert Scroll/Layout).

Behoben

• Routing/Kompatibilität: indexApi()-Kompatibilitätsaliases für Legacy-Endpunkte ergänzt, um 500-Fehler in den Nextcloud-Logs zu verhindern.
• PHP-Fatals: Konstruktor-Signaturprobleme in AbsenceService und ComplianceService behoben (konnte die App beim Laden von Services oder beim Speichern von Einstellungen zum Absturz bringen).
• Reports-Sicherheit: Vorschau-Endpunkte gehärtet (start <= end Validierung + maximale Zeitraumbegrenzung) um DoS-Risiken durch untrusted Parameter zu reduzieren.
• Admin-“Gesamte Organisation”: Admin-Organisation-Scope korrekt verarbeitet (userId="" = alle aktivierten Nutzer) inklusive passender Zugriffsprüfung, damit Preview/Download konsistent bleiben.
• Reports-Rendering: Preview-Darstellung für Abwesenheiten und Compliance verbessert, sodass sie zur tatsächlichen Ergebnisstruktur passt.

Geändert

• Reports-UI-Semantik: Team-Scope auf Team-Overview-/Export-Semantik eingeschränkt (verhindert irreführende Preview/Downloads).
• Organisation-Download Hinweis: UI-Hinweis ergänzt, dass Organisation-Download erst vollständig unterstützt ist, sobald dedizierte Organization-Export-Endpunkte verfügbar sind.

Behoben

• ArbZG-Compliance: Pausenprüfung korrigiert (9h/45min-Zweig erreichbar; Prüfung ≥9h vor ≥6h)
• Manager-Logik: employeeHasManager() nutzt nun getManagerIdsForEmployee() statt getColleagueIds()
• Berichte: getTeamHoursSummary() berücksichtigt Periodenparameter (Woche/Monat)
• Admin-Benutzer: hasTimeEntriesToday pro Benutzer statt systemweit
• UserSettingsMapper: Falsy-Null/Leerstring-Behandlung in getIntegerSetting, getFloatSetting, getStringSetting
• Routing: exportUsers-Route vor getUser verschoben (Shadowing behoben)
• Version1009-Migration: MySQL-Backticks durch portablen QueryBuilder ersetzt; OCP\DB\Types
• Doppelte Notifier-Registrierung: Aus Application.php boot() entfernt
• API-Sicherheit: Generische Fehlermeldungen statt roher Exceptions (SubstituteController, GdprController)
• PDF-Export: HTTP 422 mit klarer Meldung statt stillem CSV-Fallback
• LIKE-Injection: WorkingTimeModelMapper::searchByName() verwendet escapeLikeParameter()
• XSS: Modal-Titel in components.js escaped; compliance-violations.js innerHTML escaped
• Admin-Einstellungen: CSRF-requesttoken ergänzt
• AbsenceService DI: Konstruktorargument-Reihenfolge (IDBConnection) korrigiert
• Admin-Feiertage und -Einstellungen: englische Quellstrings für l10n
• UserDeletedListener: TeamMemberMapper und TeamManagerMapper per Injection
• XSS: Team-Namen in admin-teams.js bereinigt

Geändert

• CSS: Shadow-Light-Variable, scopierte Resets, Dark-Mode color-mix, semantische Farben, Navigationshöhe/z-index
• Uhr-Buttons: Doppel-Submit-Guard (deaktiviert während API-Aufrufen)
• initTimeline(): Max-Retry (20) gegen Endlosschleife
• Barrierefreiheit: aria-label auf Header-Buttons, Label für Admin-Suche, aria-modal im Willkommens-Dialog, englische l10n-Keys in Navigation
• Dokumentation: Interne Docs entfernt; docs/README ergänzt; Repo-URLs korrigiert
• Manager-Dashboard: l10n von PHP an JS übergeben für Übersetzungen
• Constants.php; benutzerfreundliche Fehlermeldungen
• Zeiteintrags-Export: Optional (per Admin-Einstellung) können Einträge, die über Mitternacht laufen, im CSV/JSON-Export rein darstellungsbezogen in zwei Kalendertage segmentiert werden (vor/nach 00:00). Die zugrundeliegende Arbeitszeit- und ArbZG-Compliance-Berechnung bleibt unverändert auf Basis des originalen, unsplitteten Zeiteintrags.

Hinzugefügt

• Version1010-Migration: Zusammengesetzte Indizes auf at_entries, at_violations, at_holidays, at_absences

Geändert

• Langfristiges Refactoring: Ersetzung aller \OC::$server-Verwendungen durch OCP-APIs und Konstruktor-Injection
• CSPService: ContentSecurityPolicyNonceManager per Konstruktor injiziert
• Controller: manuelles cspNonce entfernt (configureCSP übernimmt dies); IURLGenerator und IConfig injiziert, wo nötig
• PageController: IURLGenerator und IConfig injiziert; übergibt urlGenerator an Templates
• HealthController: IDBConnection für Datenbank-Check injiziert
• ProjectCheckIntegrationService: LoggerInterface statt OC::$server->getLogger() injiziert
• Templates: \OC::$server durch \OCP\Server::get() (öffentliche OCP-API) ersetzt
• GitHub-Actions-Release-Workflow hinzugefügt (.github/workflows/release.yml)
• PageControllerTest mit vollständigen Konstruktor-Mocks aktualisiert

Fixed

• Resolved duplicate route names in absence API (absence#store, absence#show, absence#update, absence#delete)
• Corrected settings class names in info.xml to use full OCA namespace
• Added declare(strict_types=1) to routes.php

Changed

• Removed non-existent screenshot references from info.xml until real screenshots are captured

Fixed

• Admin notifications layout (HTTP 500): unescaped % in premium help copy (50% = 0.50) crashed L10N vsprintf → guest/error shell (body-login + guest.css) centered the sidebar and checkbox labels. Literal percents use %%; JS placeholder strings go through TemplateL10n.
• Admin notifications interaction jump: initVacationUnitMigration referenced l10n outside init() (ReferenceError) and soft-keyboard reveal scrolled checkboxes/radios into a visualViewport feedback loop — clicking controls no longer throws or yanks the page.
• Focus/select page jumps (global): soft-keyboard helper never scrolls for selects, date/time, or desktop focus; only reveals typed fields when the keyboard has shrunk the visual viewport; jump nav stays in document flow (no sticky chrome) on all admin settings pages.
• Notifications page clarity: six card-level jump pills with matching card titles (Absences & vacation, Calendar & email, Overtime alerts/bank, Hour premiums, HR office) and a one-line lead — same words in nav and headings.
• Premium categories table UX: fixed column widths, left-aligned category labels, proper checkbox touch targets, and % beside the percent field (no more stacked/centered mess).
• BANSS vacation-unit migrate crash window: pending flag + committed audit detection finishes the IConfig unit flip if the process dies after DB commit (never leaves hour magnitudes labeled as days). Heal also runs on every getUnit() read path (not only Apply).
• DATEV premiums vs closed months: sealed months always export frozen month-closure premium buckets (NN-06), including mid-month ranges; half-open exclusive end from ExportController no longer bleeds +1 day into the next month.
• Anniversary mode switch: calendar→anniversary requires explicit missing-hire acknowledgement when employment starts are missing (VAC_YEAR_MISSING_HIRE_ACK_REQUIRED).
• Vacation mutations during unit migrate: create/update/shorten/approve/cancel vacation refuse with VAC_UNIT_MIGRATE_IN_PROGRESS while the migration lock or pending crash-window flag is set.
• Month-close premium seal: policy load + classification share one exclusive azc/pp/policy lock with admin policy save so sealed snapshots cannot mix versions.
• BANSS migration UX: visible 7.7 callout + “Use 7.7” control; confirm dialogs show the conversion factor.
• Employee app hours preview: debit preview is hours-only (no holiday-blind weekday estimate).
• Anniversary approval lock: FOR UPDATE scope follows hire-anniversary windows (not blind calendar Jan–Dec).
• Vacation year mode flip: refreshes open allocations for access-allowed users (AC-101.4); audit records hire-ack count + refresh count.
• Hours-mode rollover: VacationRolloverService receives VacationUnitService so carryover writes keep carryover_hours (no silent clear-to-days).
• Migrate-idle on balance CLI/rollover: import + automatic rollover refuse while unit migration is in progress.
• Migrate-idle TOCTOU: writers hold LOCK_SHARED on azc/vu/migrate for the whole critical section (withIdleShared / absence shared hold); migrate still takes exclusive.
• Year-mode flip race: exclusive azc/vy/mode + migrate-idle shared around config write + AC-101.4 refresh; reports allocationsFailedCount; refuses during unit migrate.
• Bachus admin UX: vacation year/unit as giant choice cards; long help + FIFO/overlap/DATEV collapsed under “More options”; short first-paint copy.
• Premium policy busy: concurrent admin save returns HTTP 409 PREMIUM_POLICY_BUSY (injectable ILockingProvider for deterministic tests).
• Premium tagged_multi: no longer sums money into total_valued_hours; unique wall-clock total_classified_hours; DST night-window coverage.
• Mobile clock-in (Kommen): mutating API calls now always send a JSON body with Content-Type: application/json, so reverse proxies/WAFs no longer return opaque HTTP 400 without a message. Error envelopes include stable error_code values; mobile surfaces server messages (or localized fallbacks) instead of English “Request failed (400)”.
• Web / desklet clock actions: clock-out, break start/end, daily-max enforcement, and dashboard desklet POSTs now always send a JSON body (same proxy-safe contract as mobile). Desklet and widget errors forward business-rule messages and error_code instead of a generic “Action failed”.
• Desklet project selection: when ProjectCheck linking is enabled, the dashboard desklet shows an accessible project picker before Kommen and posts projectCheckProjectId with clock-in; daily-maximum callout hides clock-in until the next day. When ProjectCheck is installed but linking is off, the desklet shows a clear neutral callout (same guidance as the full dashboard / mobile home).
• Desklet template vars: workspace partial reads $_['deskletConfig'] / $_['l'] (OCP\Template assign), so project options and JSON config actually reach the rendered HTML.
• Utils.ajax empty POST: bare mutating calls via ArbeitszeitCheckUtils.ajax now send JSON.stringify({}) with Content-Type: application/json (no Content-Type-without-body).
• Admin kiosk/license/tariff/holidays DELETE/POST: shared normalizeMutatingFetchInit forces a JSON body whenever Content-Type claims JSON (or when the body is missing on mutating verbs), closing the same proxy-400 class on revoke/clear-license/holiday-delete paths.
• Mobile project selection: home dashboard and manual time-entry expose ProjectCheck assignable projects when admin linking is enabled; accessible project picker before Kommen/Weiterarbeiten and on create-entry.
• Today’s hours: getTodayHours() no longer clamps to the daily maximum, so UI and error copy report real worked hours.
• Lock conflicts: HTTP 423 responses include error_code=locked and a duplicated message field for clients.

Added

• Companion contract coverage: T-MOB-02 additive-key assertions; Kiosk 1.0.6 version alignment (Employee 1.0.4 unit-aware remains publish-ready off-host).
• Mobile home payload fields atDailyMaximum and projectCheck for companion clients; callouts when daily max is reached or ProjectCheck linking is installed but disabled.
• Dashboard widget clockIn accepts optional projectCheckProjectId.
• Desklet config exposes projectCheck projects and l10n for the project picker / daily-maximum notice.

Added

• Portfolio access door: Administration can switch between Open (everyone with app access) and Restricted mode with explicit user and group allowlists; deleted users are removed from the allowlist automatically.

Changed

• l10n: Expanded EN/DE catalogs (DACH holiday regions, clearer admin and report copy) and refreshed secondary locales.

Added

• Companion API floor: OCS capabilities now expose arbeitszeitcheck.companion.min (1) so DutyCheck / AudioCheck mobile clients can fail closed with app_outdated when the server companion contract is missing or newer than the installed app.

Fixed

• Austrian break-split UX (web): the time-entry form and correction dialog no longer show “Compliant” for illegal AZG §11 splits that still sum to 30 minutes (e.g. 20+10). Client validation mirrors BreakSplitValidator; the server remains authoritative. Bootstrap complianceParams now includes allowedBreakSplitPatterns like the mobile capabilities block.
• Admin settings region consistency: country→region repair uses values written in the same request and skips no-op POSTs (empty body still returns 400), so unit mocks and concurrent saves cannot wipe a just-saved region.
• Compliance PDF export honesty: format=pdf for compliance reports returns HTTP 422 with a clear error (same as time-entry/absence exports) instead of silently downloading CSV.
• Capabilities accessibility claim: advertise WCAG AA (matches product/E2E target), not AAA.
• License trust anchor: AZC_VENDOR_PUBLIC_KEY_B64 env override is gated to PHPUnit / explicit AZC_ALLOW_VENDOR_KEY_OVERRIDE=1 so a compromised environment cannot swap the vendor public key on a live instance.
• Cross-product license rejection: AZC2 payloads that carry a foreign product marker (e.g. deskcheck) are rejected even if the wire prefix and signature verify.

Added

• Vitest coverage for client break-split evaluation; PHPUnit contract that AT web bootstrap exposes split patterns; suite legacy-isolation unit + integration guards.

Changed

• Kiosk pairing code TTL (temporary): pending terminal pairing codes now remain valid for 14 days instead of 10 minutes (KIOSK_PAIRING_TTL_SECONDS), so Google Play reviewers can pair the Terminal app from review notes without the code expiring before audit. Admin UI copy and all 10 locale catalogs updated accordingly. Revert to 600 seconds (10 minutes) after the Terminal app is published.

Changed

• Kiosk stamp errors are specific instead of generic: business-rule rejections during clock in/out and break start/end now return stable machine codes (KIOSK_ALREADY_CLOCKED_IN, KIOSK_NOT_CLOCKED_IN, KIOSK_ON_BREAK_END_FIRST, KIOSK_BREAK_ALREADY_STARTED, KIOSK_NOT_ON_BREAK, KIOSK_DAILY_HOURS_LIMIT, KIOSK_REST_PERIOD_REQUIRED, KIOSK_ACTION_REJECTED) instead of one opaque KIOSK_ACTION_INVALID, so terminals can show actionable messages.
• Detailed compliance messages pass through: rest-period and daily-hours rejections keep the detailed, translated server message (which shift ended when, when clock-in is possible again) instead of a generic phrase.
• HTTP semantics: kiosk state conflicts (already clocked in, break already started, end break first) answer 409 Conflict; compliance limits stay 400.

Fixed

• Kiosk error copy translated: the new kiosk error messages ship in all 10 supported languages (en/de/fr/es/da/nl/it/pl/sv/nb) with full catalog parity.

Fixed

• Stuck badge scan cannot be cancelled: Admin “Cancel scan” no longer depends on acquiring exclusive DB locks. If locks are orphaned (crash or pre-1.5.20 truncated keys), cancel force-aborts: clears the enrollment, purges known lock rows for that employee/tablet, and returns success so a new card can be enrolled immediately.
• Start / PIN / RFID blocked by orphan locks: starting a scan and assigning PIN/badge first retry briefly (live changes win by waiting), then purge the stuck keys once and retry — instead of looping on “already running” until the ~1h lock TTL. Live locks are never purged on first contact, so concurrent admin actions stay serialized.
• Double-click on “Generate PIN” could return HTTP 500: a unique-constraint race between two concurrent PIN generates is now mapped to the retryable “busy” error instead of an unmapped server error.
• Cancel hidden after reload: Cancel stays available whenever a tablet is selected in Kiosk admin, not only during an in-page poll, so stuck server-side scans can always be cleared.
• German translations broken: l10n/de.js contained a syntax error (strings appended outside the catalog), which disabled the entire German catalog in the browser. All locale catalogs regenerated with full key parity across the 10 supported languages.

Changed

• Kiosk maintenance: expired incomplete enrollments are garbage-collected every 15 minutes so tablets leave enrollment mode even if nobody cancelled.
• Busy copy: no longer tells admins to “cancel first” in a way that implies cancel itself might be impossible.

Fixed

• DB lock keys truncated at 64 chars: exclusive locks for time tracking, absences, month closure, entitlement snapshots, and kiosk PIN/RFID/enrollment now use short stable keys (oc_file_locks.key is VARCHAR(64)). Over-long keys were truncated on insert so releaseLock never matched and mutations stayed stuck with LockedException / KIOSK_BUSY until TTL.
• Stuck lock cleanup on upgrade: post-migration repair ClearStuckKioskEnrollmentLocks clears legacy over-long lock rows left behind by older builds.
• Kiosk enrollment cancel races: cancel uses ordered user→terminal locks with short retries, returns stable idle/completed/cancelled outcomes, and no longer deadlocks or leaves Admin on a hard busy failure while a scan finishes.

Changed

• Kiosk admin enrollment UX: numbered wizard steps, clearer assign/cancel controls, and improved enrollment panel feedback during badge scan.

Fixed

• Kiosk API JSON errors: unexpected and rate-limit failures now return stable JSON machine codes so Terminal clients can show actionable messages instead of opaque failures.
• Stamp session recovery: one-shot kiosk session claims are released when a stamp mutation fails, so terminals can recover instead of staying stuck on a claimed session.
• PHPUnit full suite: fixed a fatal from a redeclared template helper so the complete test run no longer aborts mid-suite.

Changed

• Full-width admin shells: My Settings and manager month-closures use the wide page shell instead of narrow constrained layouts.
• Audit log filters: redesigned filter row layout (dates/actions, then user/action/entity) so fields no longer collapse into empty grid holes from shared page-pattern subgrid rules.
• Reports export chooser: replaced nested badge cards with a theme-safe radiogroup of full-width options (solid icon wells, Selected state, keyboard arrow navigation).
• Admin / manager surface polish: shared stat tiles and layout tweaks across dashboards, license, kiosk, users, and working-time models for clearer hierarchy and WCAG-friendlier contrast.

Fixed

• Audit log / reports fetch races: ignore stale responses when a newer filter or export-option request is already in flight.

Added

• Dedicated admin user detail page: user editing moved off the users list onto its own detail view (route, template, and admin JS), with clearer navigation from the users overview.

Changed

• Kiosk admin enrollment UX: improved enrollment polling, status feedback, and kiosk-facing copy during badge/PIN assignment.
• Kiosk error messaging: clearer, actionable messages for common enrollment and credential failures.

Fixed

• Kiosk identify/assign races: identify and assign flows now take enrollment locks so concurrent admin/kiosk actions cannot corrupt in-flight enrollment state.
• Credential assignment under load: kiosk credential updates are serialized with enrollment so badge/PIN changes stay consistent with the active session.

Changed

• Mobile / widget home payload: impliedDailyHours (contract daily target) is included alongside weekly hours so clients can show “Daily target” like the employee dashboard.

• Session CSRF restored for browser cookie sessions on NoCSRFRequired APIs: mutating clock/absence/export endpoints that stay NoCSRFRequired for mobile Basic auth now re-require a valid request token whenever a Nextcloud session cookie is present. Mobile clients without session cookies are unchanged. Forged Authorization: Basic … headers can no longer bypass CSRF while the victim’s session cookie is sent.

Fixed

• Absence cancel/delete/shorten race with approve: those mutations now take the same per-user absence lock and re-read status under the lock.
• Status-path stale-pause repair / daily-max auto-complete: side effects run under the time-tracking user lock without nesting an outer DB transaction around a second lock acquisition.
• Manual time entry create/update overlap races: overlap check + insert/update share the time-tracking user lock with clock mutations.
• Month finalize/reopen TOCTOU: exclusive per-user/month lock around seal and reopen; calendar “today” / month-ended checks use organisation storage timezone.
• Compliance cron / weekly average windows: use storage timezone instead of PHP default/new DateTime().
• Absence business-day gates: “today” for cancel/shorten/substitute rules and vacation allocation reads use storage timezone.
• Dashboard load-error callout: keeps aria-live="assertive" for screen readers; clock/break buttons guard double-submit client-side.

Added

• Auto break setting exposed to clients: the dashboard widget data (and the mobile home dashboard payload built on it) now includes autoBreakCalculation, the personal "automatic ArbZG §4 break insertion" setting, so client apps can explain whether the server may insert breaks automatically.

Added

• Mobile home dashboard endpoint: new GET /api/mobile/dashboard returns the full employee home payload (status, vacation entitlement/remaining, week hours, balance) for the proprietary employee mobile app, instead of the lean desklet summary.

Changed

• Time-tracking status endpoint usable from the mobile app: GET status no longer requires a CSRF token, matching the other read-only mobile endpoints (still requires an authenticated session or app password).

Changed

• Vendor public key baked into the app: AZC2 license verification now uses the production Ed25519 vendor public key by default. Customer servers no longer need AZC_VENDOR_PUBLIC_KEY_B64 for real licenses from SbdLicenseOps to verify. The env var remains an optional override (tests / experiments only).
• Clearer signature-mismatch warning: the admin license page no longer tells admins to configure AZC_VENDOR_PUBLIC_KEY_B64 as the primary fix.

Changed

• Kiosk admin UX overhaul: clearer three-step flow (find employee → allow access → assign badge/PIN), richer status labels, confirmations, and actionable error messages (including license/slot limits with a link to License administration).

Fixed

• Kiosk admin APIs required CSRF again: removed NoCSRFRequired from admin JSON endpoints so state-changing kiosk actions are protected like other admin APIs.
• Race conditions in kiosk pairing, enrollment, and PIN lockout: exclusive locks around terminal pairing, badge enrollment start/scan, and failed-PIN accounting so concurrent requests cannot double-consume license slots or skip lockout.
• Badge enrollment only on active terminals: enrollment now requires a paired (active) terminal instead of accepting pending/revoked ones.
• CSV credential import size limit: imports larger than 1 MB are rejected with a clear error instead of loading unbounded input.
• Sensitive kiosk responses are not cached: pairing codes and one-time PINs are returned with Cache-Control: no-store.

Added

• Instance-bound AZC2 licenses: license keys can now carry the Nextcloud instance ID and are rejected when applied on a different instance. The stored license state records the bound instance ID and a fingerprint of the applied key (migration 1033). The admin license page shows the instance ID to include when ordering a license.
• Daily license maintenance job: a new background job re-applies license limits once a day, so expired licenses or reduced seat/terminal quotas take effect overnight instead of only on the next admin interaction.
• Signature-verification warning in admin UI: if a stored license cannot be verified with the configured vendor public key, the admin page now shows a clear warning callout explaining the mismatch and how to fix it.

Changed

• Mobile license gate covers the whole mobile API: previously only clock/break POST endpoints returned HTTP 402 without a valid mobile license; now all /api/* mobile requests are gated (bootstrap, kiosk, and admin endpoints excluded), with an explicit LICENSE_REQUIRED error code for clients.
• Admin license page overhaul: redesigned layout with seat/terminal usage bars, assignment timestamps, and direct purchase/renewal contact actions.

Fixed

• Kiosk terminal pairing could leak device slots: creating or activating a terminal now reserves the licensed device slot transactionally — if pairing fails midway, the reserved slot is revoked instead of staying occupied.

Added

• Pre-migration backup before app updates: new BackupBeforeUpdate repair step runs automatically before schema migrations, plus occ arbeitszeitcheck:upgrade-backup for manual exports. Upgrade backups are catalogued with integrity checks and covered by unit/integration tests.

Fixed

• Manager "Record time for an employee" failed with "Status is required" (#27): shipped in this build (documented for 1.5.1 but missing from the published tarball). Manager-recorded inserts now set status and audit justification before validation runs.
• Data loss after disable during Nextcloud upgrade: UninstallRepairFlow now distinguishes disable from explicit removal — tables and settings are preserved on disable (including auto-disable during server upgrades); full cleanup runs only on app removal.

Behoben

• Update auf 1.5.0 versetzte die gesamte Instanz in den Wartungsmodus (#24): Die anteilige Urlaubsberechnung aus 1.5.0 fügte VacationAllocationService eine 9. Konstruktor-Abhängigkeit (VacationProrationService) hinzu, doch die Container-Factory in Application.php der veröffentlichten Version übergab weiterhin nur 8 Argumente. Beim occ upgrade löst Nextcloud die Reparaturschritte über den Container auf, der dabei transitiv VacationAllocationService erzeugt — das fehlende Argument verursachte einen ArgumentCountError, brach das Upgrade ab und ließ den Server im Wartungsmodus, bis die App deaktiviert wurde. Die Factory übergibt jetzt alle 9 Abhängigkeiten.

Geändert

• Das Sicherheitsnetz für die Dependency Injection wurde gehärtet, damit diese Art von Upgrade-Absturz nicht erneut ausgeliefert werden kann. Dies war der zweite ArgumentCountError beim Upgrade (nach 1.4.2); die bisherige Prüfung validierte nur die in info.xml aufgeführten Reparaturschritt-Klassen, sodass eine transitive Abhängigkeit wie VacationAllocationService durchrutschte. Das Release-Gate (scripts/check-repair-step-di.php) hatte zudem einen schlummernden Fehler: Eine falsche Namespace-Pfadauflösung führte dazu, dass die Argument-Anzahl-Prüfung faktisch nie lief. Das Gate wurde neu geschrieben:
• es löst jetzt jede App-Klasse korrekt zu ihrer Quelldatei auf und
• prüft die Konstruktor-Argumentanzahl jedes in Application.php registrierten Dienstes (nicht nur der Reparaturschritte) mithilfe des PHP-Tokenizers, sodass mehrzeilige Factories und Constructor Property Promotion exakt berücksichtigt werden.
• Zwei neue automatisierte Wächter sichern dies ab: ServiceContainerDiRegistrationTest (statisch, reflexionsbasiert, alle registrierten Dienste) und ContainerServiceResolutionIntegrationTest, der alle registrierten Dienste über den echten Nextcloud-Container auflöst — genau jenen Weg, der beim Upgrade fehlschlägt.

Hinzugefügt

• Anteiliger Urlaub bei unterjährigem Ein-/Austritt (#23): Beschäftigte, die unterjährig ein- oder austreten, erhalten ihren Jahresurlaubsanspruch jetzt anteilig zum tatsächlich beschäftigten Teil des Jahres gekürzt, statt immer die vollen Jahres­tage zu bekommen.
• Neues optionales Eintrittsdatum und Austrittsdatum je Mitarbeitende unter Mitarbeitende → Bearbeiten. Sind beide leer, erfolgt keine Kürzung (voller Anspruch, unverändertes bisheriges Verhalten).
• Neue globale Admin-Einstellung Anteiliger Urlaub → Berechnungsmethode: Volle Monate (Zwölftelung, deutscher Standard) — 1/12 je angefangenem Beschäftigungsmonat, ein Bruchteil von mindestens einem halben Tag wird aufgerundet (§ 5 BUrlG); oder Exakte Tage — Jahresanspruch × beschäftigte Tage ÷ Tage des Jahres.
• Die Anspruchsvorschau im Admin-Bereich und der Erklär-Dialog „Wie wird mein Urlaubsanspruch berechnet?“ für Beschäftigte zeigen den gekürzten Wert mit deutlichem Hinweis, sodass die angezeigte Zahl stets dem nutzbaren Saldo entspricht.
• Die Kürzung wird zur Nachvollziehbarkeit im Berechnungs-Trace und in historischen Snapshots festgehalten.

Behoben

• Fehlgeschlagenes App-Upgrade (1.3.x → 1.4.x): EnsureArbeitszeitCheckSchema war in Application.php nur mit IDBConnection registriert, der Reparaturschritt benötigt aber auch IConfig — das führte zu ArgumentCountError bei occ upgrade / Web-Updater und ließ die App im Zustand „Upgrade erforderlich“ mit fehlender Navigation hängen. Alle Reparaturschritte aus info.xml sind jetzt explizit im Container registriert; RepairStepDiRegistrationTest und erweiterter UpgradeRepairIntegrationTest verhindern ein Wiederauftreten.

Behoben

• Datenverlust nach Nextcloud-Upgrade: UninstallDropTables erhält Tabellen und Einstellungen beim Deaktivieren (Durchlauf 1); die vollständige Bereinigung läuft nur beim Entfernen der App (Durchlauf 2). Behebt, dass das automatische Deaktivieren bei Server-Upgrades die Daten löschte, wenn die App wieder aktiviert wurde.

Behoben

• Kalender-Tagesdetails-Panel (#11): Seitenleiste beginnt unter der Nextcloud-Kopfzeile (Schließen-Button nicht mehr unter dem Profilmenü); Kalender und App-Navigation bleiben sichtbar; Tagwechsel ohne Schließen; schließen per X, Escape oder Klick außerhalb; live gemessener Header-Offset; Vitest in js/calendar-day-panel.test.js.

Geändert

• Overlay-Tokens (--azc-overlay-top / --azc-overlay-height) für feste Panels und mobile Navigation; theme-sichere Dashboard-Callouts (WCAG-2.1-AA-Kontrast).

Neu

• Einheitliches Layout-System: css/common/page-patterns.css mit .azc-page-stack, .azc-shell--wide / --minimal, gemeinsame Filter-Grid- und Empty-/Loading-Muster; shellWidth auf der Seiten-Shell (auto-breit für Dashboards, Admin-Tabellen, Manager-Listen).
• Gemeinsames Filter-Panel (templates/common/azc-filter-panel.php) sowie Admin App-Teams-Callouts, wenn use_app_teams deaktiviert ist.
• Dialog-API: ArbeitszeitCheckComponents.openDialog(); Modale setzen inert auf Navigation/Hauptinhalt statt aria-hidden auf #app-content (Live-Regionen bleiben verfügbar).
• AzcApi.isApiSuccess() für konsistente JSON-Erfolgsprüfungen.
• E2E: layout-smoke.spec.js, a11y-smoke.spec.js (@axe-core/playwright, WCAG 2.1 AA).
• Vitest: js/common/components.test.js (Focus-Trap / aria-hidden / Typed-Confirm-Label) und Abdeckung für isConfirmAccepted in utils.test.js.

Geändert

• Alle Routen-Seiten sind in .azc-page-stack gewrapped; Legacy-.section-Chrome wird in der App-Shell zurückgesetzt; .btn ist Alias auf .azc-btn-Styling unter #app-content.azc-app.
• Admin-Teams-Seite nutzt die volle Seiten-Shell (buildAdminShellParams); die Navigation bietet einen einzigen Skip-Link in die App-Nav.
• Persönliche Einstellungen und SettingsController laden Assets nur noch über FrontEndAssetService::registerCore().
• tests/WORKFLOW_ROLE_MATRIX.md: Manager-Rolle erfordert App-Teams; /reports ist Manager/Admin only.

Behoben

• ArbZG §3 Höchstarbeitszeit & Auto-Clock-Out (Nacht-/Schichtarbeit): Live-Sessions, Clock-In, Compliance-Prüfungen, manuelle Einträge, automatische Pausen und Pausen-Erinnerungen nutzen einheitlich DailyWorkingHoursCalculator (Kalendertag-Clipping bei Mitternacht). Behebt falsche automatische Ausstempelung kurz nach Mitternacht. Frontend stempelt nur noch automatisch aus, wenn at_daily_maximum=true (keine reine Client-Extrapolation). Nutzer-Stats sowie Manager-Wochen/Monatssummen verwenden getWorkingHoursForPeriod() (gleicher Rechner). Compliance „Überschreitung der Tageshöchstarbeitszeit“ verwendet findAllCalendarDaysExceedingMaximum() (keine Fehl-Verstöße für legale 22:00–08:00-Zeilen). E2E: overnight-daily-maximum.spec.js.
• API-Compliance-Gate: blockingIssuesForCompletedEntry() + Vor-Speichern-Prüfung in apiStore / update / store — ArbZG-§4-Pausenregeln blocken ungültige manuelle Einträge serverseitig (Strict-Modus mit zusätzlichen Prüfungen ohne vorzeitige Verstoßschreibung).
• Clock-Status-API (ArbZG Kalendertag): at_daily_maximum und session_hours_on_calendar_today werden immer zurückgegeben (auch nach Ausstempeln), damit Clients Clock-In ohne aktive Session blocken können; Overnight-E2E prüft den Vertrag.
• Admin-Mitarbeitende-Seite: Pagination-Label nutzt {shown} / {total}-Platzhalter und TemplateL10n für den JS-Export — behebt Internal Server Error.
• Mitarbeiter-Abwesenheitsantragsformular: azc-card-Layout, sichtbarer Seitentitel, Workflow-Callouts (Auto-Approve vs. Manager-/Vertretungspfad), Fieldsets für Antragsdaten und Vertretung, parallele Datumsfelder, klarere optional/pflicht-Labels, azc-btn-Aktionen.
• Zeiteintrag erstellen/bearbeiten: Page-Shell + Assets via TimeEntryController; Zeitzonen- und Genehmigungs-Callouts; azc-card mit Fieldsets (Datum/Uhrzeit, Pausen, Notiz); ausgerichtete Pausen-Matrix-Labels; dynamische Pausen synchron zur PHP-Barrierefreiheit; responsives Fieldset-Layout (WCAG 2.1 AA).
• Abwesenheits-Routen (erstellen/bearbeiten/anzeigen): AbsenceController nutzt PageShellTrait + Form-Assets; Fehler werden in der Listen-Seite mit sichtbarem Callout gerendert.
• Navigation-Flags: zentralisiert in NavigationFlagsService + NavigationFlagsTrait (alle Page-Controller inkl. Manager, Vertretung, Compliance); Compliance-Seiten nutzen forComplianceUser() (Vertretungs-Nav verborgen).
• Kalender Abwesenheitsanzeigen: Monats/Wochen-Zellen zeigen lesbare Chips (Typ + Status + getöntes Icon), Wochenansicht zeigt Abwesenheiten, Tagespanel listet Status, Legende, forced-colors und Themen-sicherer Kontrast.
• Manager Monatsabschluss-PDF: refaktoriert zu azc-card-Schritt-Wizard mit nummerierten Schritten und Standardbreite.
• Manager-Abwesenheiten & Zeiteinträge / Manager-Dashboard / Admin-Feiertage / Admin-Urlaubslayer / Mitarbeiter-Zeiteinträge-Liste: durchgängig auf azc-page-stack + azc-card + gemeinsames Filter-Grid + zentriertes Standardbreite-Shell migriert.
• Dashboard Überstundensaldo: negative und positive Salden auf getönten Pills mit Haupttext (statt direkter --color-error / --color-success), damit Werte in allen Nextcloud-Themes lesbar bleiben (WCAG-Kontrast).
• Einheitliche Datentabellen: page-patterns.css definiert ein einziges Tabellen-System unter #app-content.azc-app (.table-container + .table.table--hover, Aktions-Spalten, Empty-/Loading-Zellen); TableConventionTest sichert die Konvention.
• Audit-Pass (Workflows / a11y / Sicherheit): l10n für App-Teams-Callouts (en/de); Admin-Teams volle Shell; Arbeitszeitmodell löschen fail-closed mit getipptem DELETE; Kalender-Tagespanel mit inert + Focus-Trap + Escape; Admin-Einstellungen mit azc-callout-Fehlern; Manager-Dashboard-Fehlerpfad inkl. Team-Modus-URLs.
• Breadcrumb-Trail: vereinfachtes Shell-Markup und scoped Styles — Pfad liest sich als eine Zeile (Primärlink, gedämpfte Sektion, fette aktuelle Seite) mit CSS-/-Trennern.
• Compliance-Dashboard-Karten: Status- und Verstoßblöcke auf azc-card Header/Body migriert (Titel + Hilfe links, Aktionen rechts).
• Admin-Dashboard-Layout: Styles greifen jetzt korrekt auf azc-app--admin-dashboard; zusätzliches .section-Padding entfernt; azc-callout-Warnbanner, Stat-Karten-Grid, Issue-Block in azc-card.
• Confirm-Dialog Typed Phrase (Client): enthält das übersetzte Label nach t() noch %s (Test-Stubs / fehlende Substitution), wird die angeforderte Phrase (DELETE, REMOVE, …) angewandt — destruktive Prompts ohne rohen Platzhalter.
• GDPR-Löschen-UX: ohne confirmDialog gibt es eine assertive Fehlermeldung statt stillem Scheitern; gemeinsame isConfirmAccepted / confirmDialogReason-Helfer.
• Fail-closed destruktive Bestätigungen: Utils.confirmDestructiveAction() blockt Monatsabschluss/Wieder­öffnen, Korrekturen-Rückzug und Überstundenauszahlung (Einzel/Bulk), wenn die Dialog-API fehlt oder der Nutzer abbricht — kein stilles Durchwinken (audit-kritisch). Alle Admin-Löschpfade (Feiertage, Teams, Urlaubslayer, Tarif retire) nutzen den gleichen Helfer.
• Monatsabschluss-Lock-Hinweis (W7): gemeinsames templates/common/month-closure-lock.php mit Schloss-Icon auf Zeiteinträgen, wenn der gewählte Monat finalisiert ist.
• Einstellungen-UX: Sektionen mit azc-card-Abständen und azc-btn-Controls.
• Vertretungsanträge-Seite: doppelter <h1> und Waisenkind-</div> entfernt; Styles auf .azc-app--substitution-requests umgestellt; Empty-State mit azc-empty-state.
• Dashboard Clock Double-Submit (W11): setLoadingState() setzt aria-busy="true" auf Clock-/Pause-Buttons während API-Calls (mit Disabled-Zustand und Loading-Label).
• Reports DATEV-Auffindbarkeit (W23): Admins sehen unter dem Dateiformat einen Hinweis auf Globale Einstellungen → Exporte und Berichtswesen (CSV/JSON bleiben auf dieser Seite).
• Admin-Benachrichtigungen (W13): sticky Save-Footer, beforeunload bei ungespeicherten Änderungen und aria-busy während des Speicherns.
• GDPR-Datenlöschung speichert nun den vom Nutzer angegebenen Grund: GdprController::delete() liest den reason-Parameter aus dem destruktiven Confirm-Dialog (js/settings.js schickt ihn bereits), trimmt/clampt auf 500 Zeichen und schreibt ihn in den gdpr_data_deletion_request-Audit-Log-Eintrag neben IP/User-Agent. Aufbewahrungsfristen unverändert.
• Tarif-Regelsätze schreiben jetzt eine vollständige Audit-Spur: AdminController::createTariffRuleSet/updateTariffRuleSet/activateTariffRuleSet/retireTariffRuleSet/deleteTariffRuleSet schreiben strukturierte tariff_rule_set_*-Einträge mit alten/neuen Snapshots (Code, Version, Jurisdiktion, Status, Aktivierungsmodus, Gültigkeitsfenster, Modulliste).
• Admin-Autorisierung antwortet API/AJAX-Aufrufern jetzt mit JSON: AppAdminMiddleware liefert keine HTML-403 mehr für fetch/XHR oder /api/...-Pfade. AJAX-Consumer erhalten { ok: false, error: { code: 'admin_required' } } mit HTTP 403; Browser-Page-Loads weiterhin das Standard-core/403-Template.
• Einzige Quelle für Frontend-Assets: doppelte CSS/JS-Liste aus Application::boot() entfernt — jeder Seiten-Entry läuft über FrontEndAssetService::register{Core,Page}() (inkl. app-vanilla.css, das nun von css/app.css importiert wird). Beendet Ladereihenfolge-Überraschungen.
• E2E-Urlaubs-Seed (ensure-e2e-vacation): UserVacationPolicyAssignment initialisiert vacation_mode nicht mehr vor, damit INSERT die Spalte immer persistiert (behebt SQL 1364 auf strikter MariaDB).
• E2E-Clock-Seed (ensure-e2e-clock): Dev/CI-only OCC-Command für e2e_*-Nutzer leert aktive Sessions und backdatet den letzten abgeschlossenen Eintrag, wenn ArbZG-§5-Ruhezeit Playwright-Clock-In blockieren würde; in run-e2e-docker.sh verdrahtet.
• Audit-Härtungs-Folgepass: Manager-Dashboard (unbalancierte Klammer bei „Payout eligible: %s h“ behoben), Admin-Mitarbeitende (auMsg() statt undefinierter t()), Icon-Katalog (doppelter calendar-off-Eintrag entfernt), Stylesheets (clip-path: inset(50%) statt clip: rect(...), korrekte border-color-Reihenfolge auf .inline-notice--warning/--info, leere Block-Kommentare entfernt).