docs: sync status documents with the delivered pilot

[Fluory]

Warum

Fixes #66

Arbeitsstand

• Ziel: Die Statusdokumente beschreiben den gemessenen Stand statt des Stands vom 22./23.09., damit niemand auf veralteter Information plant.
• Nicht-Ziele: ADR-0001, deployment-vercel.md, AGENTS.md „Project specifics“, Ausnahmen-Register.
• Erledigt: PROJECT-START.md (Status foundation-ready + datierte Notiz), Roadmap (M0/M1 erledigt mit PRs als Beleg, M2 „built – acceptance pending“ mit Erklärung, was Abnahme hier heißt), README (Statuszeile, „What runs today“ mit einem gemergten PR je Zeile), Architekturkarte („Current state“), Fluory/projekte-overview PR feat(review): review fields beside their source, correct, approve or reject #8 aktualisiert.
• Offen: nichts – Review-Befunde umgesetzt, CI grün.
• Annahmen: keine.
• Nächster kleinster Schritt: Merge.

Was ist passiert (Klartext)

Mehrere Übersichtsdokumente sagten noch „Grundgerüst“ oder „in Arbeit“, obwohl der Pilot fertig gebaut und als Version 0.1.0 veröffentlicht ist. Jetzt steht dort, was tatsächlich läuft, jeweils mit dem Änderungsantrag als Beleg, und was noch fehlt: die Abnahme. Weil es ein Referenzprojekt ohne echte Testnutzer ist, steht dabei, was „Abnahme“ hier bedeutet. Auch die Projektübersicht im Nachbar-Repository ist auf diesem Stand.

Plan-Pflicht (SYSTEM.md §4)

• Kein Auslöser – keine Modulgrenze, öffentliche API, Migration, Auth/Rechte, kein Zahlungs-/Daten-/Infrapfad, höchstens zwei Module, keine Architekturvarianten, umkehrbar
• Auslöser zutreffend – Impact Manifest ausgefüllt (Plan vor Code)

Geändert

• PROJECT-START.md: Status foundation-ready, Notiz 2026-09-28 (Epics epic: vertical slice – one request end to end #2, epic: full extraction and quality gate #17, epic: robustness and operations #18 gemergt, v0.1.0, Abnahme offen)
• docs/product/roadmap.md: M0 und M1 erledigt (Belege), M2 „built – acceptance pending“ mit Definition, Showcase-Satz nach ADR-0001-D11-Nachtrag (chore(deploy): showcase on Vercel + Supabase with the AI service on Vercel and a Gemini free-tier key (exception) #67)
• README.md: Statuszeile mit Link auf v0.1.0; „What runs today“ (jede Zeile ein gemergter PR); Showcase-Modell als befristete Ausnahme benannt
• docs/technical/architecture.md: nur die Zeile „Current state“
• CHANGELOG.md: Datum der Überschrift [0.1.0] auf 2026-09-28 (Tag, Release und chore(release): v0.1.0 – pilot scope #86)
• außerhalb: Fluory/projekte-overview PR feat(review): review fields beside their source, correct, approve or reject #8 (projects/requestflow.md, README-Zeile) auf den Stand 2026-09-28, Commit 39ed672

Nachweis (SYSTEM.md §11)

• verify:changed: bash scripts/doku-check.sh grün (0 WARN)
• verify: grün – CI-Lauf 36468204913: Unit 281/281, Integration 147/147, depcruise, build, audit; AI-Service 452
• verify:full / E2E-Spec: grün – derselbe Lauf mit Label verify-full: Playwright 3/3, „eval gate PASSED (replay, 15 cases, threshold 5 points)“ – auf dem Code von main (dieser PR ändert nur Doku)
• Manueller Prüfnachweis: jede README-Zeile „What runs today“ nennt ihre PRs; die OCR-Aussage ist auf den Schalter AI_PDF_OCR=auto eingeschränkt, weil OCR standardmäßig aus ist
• Frischer Review (P1 vor Ready-for-review; Architektur/API/DB immer): unabhängiger Subagent, jede Statuszeile gegen gemergte PRs, Release, Epics und CI-Logs geprüft; „changes requested“ (2 Important, 3 Notes) → alle umgesetzt: docs: sync status documents with the delivered pilot #101 (comment)

Doku-Entscheidung (genau eine)

• Keine langlebige Doku betroffen – Begründung: –
• Doku betroffen und im selben PR aktualisiert:
  • Produktdoku (P0: README): Status, „What runs today“
  • Technische Doku: –
  • Architekturkarte: „Current state“
  • ADR: –
  • CHANGELOG [Unreleased] (sichtbares Feature oder Verhalten – im selben PR, nie „später"): kein sichtbares Verhalten geändert

Entferntes oder Umbenanntes: docs/ + README gegrept, Treffer bereinigt: „app skeleton“ (README), „setup-in-progress“ (PROJECT-START), „Current state (2026-09-23)“ (Architekturkarte) ersetzt

Dateigrößen und neue Bausteine (SYSTEM.md §7)

Dateien über 500 Zeilen im Diff (Ausnahmen: generierter Code, Lockfiles, Fixtures, Migrationen, Schemas, Ressourcen, Doku, Konfiguration):

• keine
• bewusst belassen – Begründung: –
• im selben PR nach fachlicher Verantwortung geteilt
• Folge-Issue –

Über 800 Zeilen mit neuer Fachlogik oder über 1000 Zeilen (P1/P2): nicht betroffen

Neue Shared-Komponente, Utility-Datei, Adapter oder fachlicher Service:

• nein
• ja – gesucht nach: –

Subagent-Einsätze

• 1 × frischer Review (read-only) – Ergebnis und Umsetzung im PR-Kommentar.

Risiken / offene Punkte

• Keine.

---

🤖 Generated with Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated
requestflow-ai	Error		Sep 28, 2026 6:54pm UTC

[vercel]

Deployment failed for project requestflow with the following error:

Resource is limited - try again in 24 hours (more than 100, code: "api-deployments-free-per-day").

Learn More: https://vercel.com/doc-edit?upgradeToPro=build-rate-limit

[vercel]

Deployment failed for project requestflow-ai with the following error:

Resource is limited - try again in 24 hours (more than 100, code: "api-deployments-free-per-day").

Learn More: https://vercel.com/doc-edit?upgradeToPro=build-rate-limit

[Fluory]

Frischer Review (unabhängiger Subagent, liest nur, Stand 352707d + overview PR #8 @ 39ed672)

1. [Important] – README.md „What runs today“, Zeile 1 – „forced row-level security on every table“ ist zu stark. Erzwungene RLS und der Guard (feat(tenancy): guard test – every app table has forced RLS #37) gelten nur für das Schema app; identity (Better Auth) und pgboss haben keine RLS (data-model.md Z. 11–12, Ausnahmenregister). – Die öffentliche Sicherheitsaussage geht über den Beleg hinaus und verletzt „no claims without a merged PR“. – „on every company-data table (schema app)“.
2. [Important] – docs/technical/architecture.md „Current state“ – „every module below is built“ widerspricht der Tabelle darunter: audit (Z. 35) und app (Z. 41) stehen dort auf „partial“. – Die Karte widerspricht sich selbst. – „every module except audit and app (partial) is built“ (die Tabelle bleibt laut Issue unberührt).
3. [Note] – README-Statuszeile „(2026-09-27)“ und overview requestflow.md – Tag, GitHub-Release und Merge von chore(release): v0.1.0 – pilot scope #86 sind vom 2026-09-28; die Release-Notes nennen die angenommenen Grenzen am 2026-09-28, und overview D6 sagt selbst 2026-09-28. Das falsche Datum stammt aus der CHANGELOG-Überschrift [0.1.0] – 2026-09-27. – Überall 2026-09-28, die CHANGELOG-Überschrift mit korrigieren.
4. [Note] – roadmap.md M1 „(chore(app): TS app skeleton, docker compose and verify commands #21, feat(identity,tenancy): invite-only login, companies and forced RLS #31–feat(tenancy): guard test – every app table has forced RLS #37)“ – feat(tenancy): guard test – every app table has forced RLS #37 gehört zu Epic epic: robustness and operations #18 („Fixes feat(tenancy): guard test – every app table has forced RLS #29 · Epic epic: robustness and operations #18“); der Abschlusskommentar von Epic epic: vertical slice – one request end to end #2 nennt chore(app): TS app skeleton, docker compose and verify commands #21, feat(identity,tenancy): invite-only login, companies and forced RLS #31–feat(export): export approved requests exactly once to the ERP mock #36. – Falscher Beleg, bei M2 fehlt feat(tenancy): guard test – every app table has forced RLS #37. – M1 „feat(identity,tenancy): invite-only login, companies and forced RLS #31–feat(export): export approved requests exactly once to the ERP mock #36“, M2 „feat(tenancy): guard test – every app table has forced RLS #37–feat(observability): correlated structured logs and full health #45“.
5. [Note] – roadmap.md M1 „done“ – Das Abnahmekriterium „Slice demo on local Docker“ ist nicht belegt. Laut Epic-epic: vertical slice – one request end to end #2-Kommentar lief lokal alles nativ (Docker Hub 429), docker compose up ist nur über den CI-Job compose-smoke bewiesen. – Beleg nennen (compose-smoke + E2E-Smoke) oder die Abweichung kennzeichnen.

Geprüft ohne Befund:

• Die übrigen „What runs today“-Zeilen passen zu gemergten PRs; OCR ist korrekt auf AI_PDF_OCR=auto eingeschränkt.
• Die Zahlen im Overview stimmen mit CI-Lauf 36468204913 (verify-full, grün) überein: 281 Unit-, 147 Integrations- und 452 pytest-Tests, 3/3 E2E, Eval-Gate mit 15 Fällen.
• Next 16 und gemini-3.5-flash stimmen.
• feat(review): original PDF page beside the values with the cited passage highlighted #97 ist korrekt als Draft genannt; feat(review): original PDF page beside the extracted values with the cited passage highlighted #74, docs(showcase): public case study page with a guided entry to the sample request #75, docs(showcase): publish measured evidence – field accuracy, corrections, handling time #76, infra(ai): Vercel container registry is full – AI service builds fail #98 und Epic epic: public showcase #19 sind offen.
• Nicht-Ziele eingehalten: 4 Dateien im Diff; ADR, deployment-vercel.md, AGENTS.md und Ausnahmenregister unberührt.
• Nichts Vertrauliches: Das Overview-Repo ist privat, die Zeile steht im Freelance-Abschnitt.
• Randnotiz: ADR-0002 (overview D7) gibt es bisher nur im Draft feat(review): original PDF page beside the values with the cited passage highlighted #97.

Urteil: „changes requested“ – Zwei Important-Befunde verletzen das Test-Kriterium „no stale claims“ aus #66; alle Korrekturen sind Einzeiler.

---

Umsetzung

Alle fünf Befunde und die Randnotiz geprüft und umgesetzt: RequestFlow 67943c3, overview PR #8 962de69.

#	Umsetzung
1	README: „forced row-level security on every company-data table (schema app)“; overview ebenso
2	„every module below except audit and app (partial) is built“
3	2026-09-28 in README, overview und CHANGELOG-Überschrift [0.1.0] (bestätigt: Release veröffentlicht 2026-09-28T11:41Z)
4	M1 „#21, #31–#36“, M2 „#37–#45, follow-ups #53–#63“
5	M1 nennt den Beleg: Die Slice-Demo lief auf nativem PostgreSQL + SeaweedFS (Docker Hub 429 lokal), docker compose up ist per CI compose-smoke bewiesen, der Ablauf per Playwright-Smoke
Randnotiz	overview D7: „ADR-0002, in draft PR #97“