> ## Documentation Index
> Fetch the complete documentation index at: https://docs.orbit.devotel.io/llms.txt
> Use this file to discover all available pages before exploring further.
# Compliance-Haltungs-FAQ
> Die wiederkehrenden Betreiberfragen zu Orbits Compliance-Haltung – wem die Gates gehören, was standardmäßig offen ist, was fail-open versus fail-closed gilt, warum ein aktivierter Schalter vielleicht noch nicht blockiert und welche Freigaben externe Vorlaufzeit mit sich bringen.
# Compliance-Haltungs-FAQ
Antworten auf die Fragen, die Betreiber stellen, nachdem sie die
[Haltungskarte](/compliance/posture-overview) gelesen haben: *Ich habe
den Schalter aktiviert – warum wird noch nichts blockiert? Warum hat
eine Nummer, die nur im bundesweiten DNC stand, als frei zurückgemeldet?
Was setzt die Plattform tatsächlich für mich durch, und was bleibt
meine Sache?*
Jede Antwort unten verweist auf die vertiefende Seite, die das Thema
besitzt. Lesen Sie diese Seite für das mentale Modell; lesen Sie die
verlinkte Seite, bevor Sie darauf aufsetzen.
Der erste Abschnitt – die Ein-Zeilen-Fragen, ein schneller
Index – deckt die kurzen „Was bedeutet X / blockiert X?"-Anfragen ab,
über die Betreiber aus der Hilfesuche hier landen, jeweils mit Verweis
auf die vertiefende Seite, die das Thema besitzt. Die Fragen auf
Plattformebene folgen darauf.
Diese Seite beschreibt die Plattformsteuerungen von Orbit. Sie ist
**keine Rechtsberatung.** Welche Gesetze für Ihren Verkehr gelten und
welche Haltung angemessen ist, hängt von Ihrer Rechtsordnung, Ihren
Empfängern und den Inhalten ab, die Sie senden. Ziehen Sie
qualifizierten Rechtsbeistand hinzu.
***
## Die Ein-Zeilen-Fragen – der Q\&A-Index
## Was bedeutet fail-open hier?
**Fail-open bedeutet: Das Gate lässt Verkehr durch, wenn seine Eingabe
nicht auflösbar ist, statt zu blockieren.** Ruhezeiten, DNC, RND, der
STIR/SHAKEN-Attestierungs-Floor und das Preference-Center versagen
allesamt by design offen: Ein zeitzonen-umauflösbarer nicht-US-Empfänger
passiert unter der standardmäßigen `skip`-Richtlinie, ein nicht
synchronisierter Bundes-Feed meldet rein bundesweite Nummern als
`no_data` frei, und ein fehlgeschlagener Attestierungs-Eigentumslookup
signalisiert C, statt den Anruf zu blockieren.
Jedes Gate wird aus / offen ausgeliefert, und kein Gate blockiert,
solange seine Eingabe unlesbar ist – Sie verschärfen ausgehend von
einem offenen Standard, Sie lockern nicht ausgehend von einem
restriktiven. Die mit **Fail-open** markierten Zeilen auf
[der Haltungskarte](/compliance/posture-overview) listen die Oberflächen,
und [Send Gates](/compliance/send-gates) beschreibt das exakte Verhalten
je Gate.
***
## Was ist by design fail-closed?
**Fail-closed bedeutet: Das Gate blockiert, wenn aktivierte Kriterien
greifen oder eine erforderliche Freigabe fehlt.** Die
Absender-ID-Registrierung blockiert regulierte A2P-SMS, bis der
Landeseintrag `approved` ist; ein Unterdrückungseintrag verwirft die
Adresse vor der Zustellung, egal über welchen Einstieg; die
Mini-TCPA-Überlagerungen der US-Bundesstaaten blockieren Kampagnen- und
Dialer-Sprachverkehr hart nach dem Prinzip „das strengste gewinnt"; und
der HIPAA-Modus verweigert PHI-Sendungen mit
`422 HIPAA_BAA_REQUIRED`, bis die BAA unterzeichnet ist. Die
Opt-in-RMD-Origination-Guard blockiert, wenn Sie sie einschalten,
ausgehenden Sprachverkehr bereits bei der Origination, wenn Ihre
Einreichung mangelhaft ist.
Das Muster gilt von der Plattformebene abwärts: Was einen Empfänger
oder eine Aufsichtsbehörde schützt, blockiert; was Ihre eigene
Listenhygiene schützt, ist Opt-in und fail-open. Die mit
**Fail-closed** markierten Zeilen auf
[der Haltungskarte](/compliance/posture-overview) zählen die Oberflächen
auf – verdrahten Sie ein Empfängerschutz-Gate niemals als fail-open.
***
## Wo sehe ich meine Gates?
An zwei Stellen. Im Dashboard enthält die Route-Gruppe
**Einstellungen → Compliance** jedes beschreibbare Gate; über die API
melden die Lesezugriffe `GET /api/v1/settings/compliance/*` den
aktuellen Wert jedes Schalters zurück – Marketing-Richtlinie bei
unbekannter Einwilligung, Standard-Consent-Richtlinie,
Länderrichtlinien, Inbound-Länder-Gate, Fraud-Caps,
Kanalraten-Überschreibungen, KI-Turn-Audit und die Inbox-KI-
Privatsphäre-Gates. Die Werte von `GET /compliance/health` und der
Endpunkt `GET /compliance/quiet-hours/preview` sind die schreibgeschützten
Oberflächen derselben Haltung.
Verifizieren Sie jede Schreiboperation mit dem zugehörigen GET –
gehen Sie nie davon aus, dass ein PUT angekommen ist. Die Oberfläche
Einstellungen → Compliance ist auf
[der Haltungskarte](/compliance/posture-overview) Zeile für Zeile
abgebildet, und
[Die Haltung Ihres Mandanten vor dem ersten Versand konfigurieren](/compliance/tenant-posture-first-run)
führt sie in Tag-eins-Reihenfolge durch.
***
## Wie viele Minuten braucht eine Haltung?
**Zwei Schalter für eine der beiden häufigsten Haltungen.** Für
*„Marketing an US-Mobilfunk"*: (1) den `sms`-Kanal auf dem
Organisations-Ruhezeiten-Gate aktivieren und (2) etwaige ältere
Opt-out-Listen per `POST /compliance/suppression-list/import`
massenimportieren, während Sie die Marken- und Kampagnenregistrierung
abschließen – US-Long-Code-Verkehr degradiert ohne diese Registrierung
unabhängig von der Gate-Haltung. Siehe
[Haltung A](/compliance/posture-overview#posture-a-us-marketing-sms-operator).
Für *„Terminerinnerungen im Gesundheitswesen"*: (1) die BAA
unterzeichnen und den HIPAA-Modus aktivieren (`PUT /api/v1/settings/hipaa`
– der Modus verweigert die Aktivierung, bis das geschehen ist) und
(2) die Inbox-KI-Gates schließen mit
`PATCH /api/v1/settings/compliance/inbox-ai-privacy`
(`auto_categorize: false`, `auto_summarize: false`), denn beide werden
eingeschaltet ausgeliefert und senden Eingangsnachrichtentexte an ein
Drittanbieter-LLM. Siehe
[Haltung D](/compliance/posture-overview#posture-d-regulated-healthcare-sender)
und den vollständigen
[HIPAA-Onboarding](/guides/hipaa-onboarding)-Leitfaden.
***
## Wie prüfe ich, was ein Gate getan hat?
**Lesen Sie den überprüfbaren Datensatz – Orbit protokolliert jede
Gate-Entscheidung,** einschließlich Consent-Entscheidungen,
Unterdrückungseinträgen, Scrub-Ergebnissen, Zertifizierungen und den
owner-only-Einstellungsänderungen im Organisations-Audit-Log. Für einen
konkreten Versand beantwortet der Datensatz, *warum* er zurückgehalten
oder durchgelassen wurde: Ruhezeiten-Rückhaltungen melden das aufgelöste
Fenster und der Vorschau-Endpunkt den `next_allowed_at`-Zeitstempel, und
Sprachblockierungen melden `outside_state_window`- /
`state_blocked_day`-Gründe, sodass staatliche Rückhaltungen von
bundesweiten unterscheidbar bleiben.
Wenn die Audit-Frage über Gate-Zeilen hinauswächst: Ein-Klick-Pakete mit
Framework-Zuordnung auf
[Evidence Binder](/compliance/evidence-binder) (SOC 2 / ISO 27001 /
GDPR / HIPAA), wortwörtliche KI-Turn-Aufzeichnungen auf
[AI Turn Audit](/compliance/ai-turn-audit) (standardmäßig aus – es
speichert mehrjährige wortwörtliche personenbezogene Daten, also nur
nach schriftlicher Richtlinie aktivieren) und die
DSGVO-Art.-33/34-Frist auf
[Breach Incident Register](/compliance/breach-incident-register).
***
## Ist das Rechtsberatung?
Nein. Die Gates und ihr Audit-Trail sind von Mandanten verwaltete
Steuerungen, und die Verantwortung für die Wahl einer Haltung – und
für die Entscheidung, ob eine Haltung angemessen ist – bleibt bei
Ihnen. Orbit ist die Leitung und das Journal; es entscheidet nicht,
dass ein Versand konform ist, reicht nichts bei einer Aufsichtsbehörde
für Sie ein und versendet keine Kundenbenachrichtigungen für Sie.
Welche Gesetze für Ihren Verkehr gelten, hängt davon ab, wo Sie und
Ihre Empfänger sich befinden und was Sie senden. Bestätigen Sie Ihre
Pflichten mit qualifiziertem Rechtsbeistand, bevor Sie sich auf eine
hier beschriebene Haltung verlassen.
***
## Sind manche dieser Gates plattformseitig Pflicht?
**Nein – mit genau einer Ausnahme.** Compliance-Steuerungen sind von
Mandanten verwaltet: Orbit stellt die Steuerfläche bereit (Gates,
Zeitfenster, Scans, Register), jedes konditionierte Steuerung wird aus
ausgeliefert, und die Plattform vollstreckt, was Sie einstellen, statt
eine Haltung vorzuschreiben. Die einzige Ausnahme ist das
**bundesweite US-TCPA-Sprachwählzeitfenster**: Kampagnen- und
Dialer-Sprachverkehr zu US-Empfängern (+1) außerhalb des
8–21-Uhr-Empfängerlokalzeitfensters wird hart blockiert
(`422 TCPA_FEDERAL_DIALING_WINDOW_BLOCKED`) – ohne Mandantenschalter,
ohne Organisations-Bypass und ohne Fail-open bei nicht auflösbarer
Empfänger-Zeitzone. Die gesetzliche Strafe von 500–1.500 US-Dollar pro
Anruf ist keine, die der Mandant erlassen könnte.
Strengere Mini-TCPA-Überlagerungen einzelner Bundesstaaten (Floridas
Sonntagsverbot, Missouris 19:30-Uhr-Schluss und die Fenster von
Oklahoma/Louisiana/Alabama/West Virginia) bauen auf dieser
Bundesschiene auf und sind ebenfalls kein Mandantenregler. Alles
andere – Ruhezeiten, DNC, RND, STIR/SHAKEN-Floors, HIPAA-Modus, DSAR,
KYC-Gates – können Sie schalten, standardmäßig offen. Die vollständige
Asymmetrie-Liste steht auf
[Was nicht mandantenseitig schaltbar ist](/compliance/posture-overview).
***
## Was blockiert der Compliance-Gesundheitswert nie?
Alles auf der Gesundheitsoberfläche ist schreibgeschützt: Sie meldet
Ihre Haltung, sie ändert sie nie. `GET /compliance/health` (plus
`/health/numbers` und `/health/campaigns`) mischt
Einwilligungsabdeckung, Opt-out-Dynamik, STOP-Antwort-Rate und
Carrier-Ablehnungen zu einem 0–100-Wert mit einem sortierten
`warnings`-Array – er blockiert nie einen Versand, unterdrückt nie
einen Kontakt und begrenzt nie Ihren Verkehr. Nutzen Sie ihn als
Frühwarnanzeige: welchen Absender ein Carrier gerade drosselt, bevor
der Verkehr degradiert. Dieselbe Regel gilt für den
Ruhezeiten-Vorschau-Endpunkt – er beantwortet „würde dieser Versand
zurückgehalten?", ohne irgendetwas zurückzuhalten. Siehe
[Compliance-Gesundheitswerte](/compliance/compliance-health).
***
## Ich habe Ruhezeiten aktiviert – schützt das meine Kampagnensendungen?
Ja, wenn einer der beiden Regler gesetzt ist. Kampagnen-, Drip- und
Journey-Sendungen werden gegen das **Kampagnen-Fallback-Zeitfenster**
bewertet (gesetzt in Einstellungen → Kampagnenlimits oder
`PUT /api/v1/campaigns/quiet-hours/settings`); wenn Sie nie eines
setzen, fallen sie auf den Plattformstandard 21:00–09:00 zurück. Für
1:1- und Ad-hoc-Verkehr existiert Schutz nur dort, wo ein Kanal auf dem
Organisations-Gate aktiviert ist
(`settings → quiet_hours..enabled`). „Ruhezeiten an" muss also
mindestens eines bedeuten: einen aktivierten Kanal auf dem
Organisations-Gate oder ein Fallback-Fenster, das Ihr Kampagnenverkehr
erbt. Prüfen Sie vor einem Rollout
`GET /compliance/quiet-hours/preview`, um genau zu sehen, was und bis
wann zurückgehalten würde. Das Zwei-Regler-Modell steht auf
[Konfiguration der Ruhezeiten](/guides/quiet-hours-configuration).
Beachten Sie erneut die einzige Plattformausnahme oben: Kampagnen- und
Dialer-Sprachverkehr zu US-Empfängern wird immer vom bundesweiten
8–21-Uhr-Fenster zurückgehalten, selbst wenn beide Schalter aus sind –
siehe [Send Gates](/compliance/send-gates).
***
## Ist die Absender-ID-Freigabe sofort da?
**Nein.** Die Registrierung einer Absender-ID in Orbit reicht sie in
den Compliance-Workflow ein, doch die endgültige Freigabe erfolgt
durch die Regulierungsbehörde oder den Carrier des jeweiligen Landes –
nicht durch die Plattform. Ein Landeseintrag bleibt auf `pending` (oder
kehrt mit Begründung als `rejected` zurück), bis diese externe
Entscheidung eintrifft, und A2P-SMS in ein Land, das eine registrierte
Absender-ID verlangt, ist **fail-closed**: blockiert, bis der
Landeseintrag `approved` meldet. Planen Sie Vorlaufzeit ein – manche
Märkte brauchen Tage bis Wochen – und fügen Sie die KYC-Dokumente des
Landes von Anfang an bei, um eine Neu-Einreich-Schleife zu vermeiden.
Siehe [Absender-ID-Registrierung](/compliance/sender-id-registration)
und den Wiederherstellungsworkflow auf
[Eine ausstehende Nummer oder Absender-ID beheben](/compliance/troubleshooting-pending-gated-surfaces).
Dasselbe Muster externer Vorlaufzeit gilt für US-10DLC (Marken- und
Kampagnenprüfung, typisch 1–5 Werktage, je Carrier separat erfasste
Status) und für Nummernkäufe in regulierten Ländern, die auf
`pending_compliance` ruhen, bis ein genehmigtes Compliance-Profil
angehängt ist.
***
## Funktioniert der DNC-Scrub auf der SaaS von allein?
Teilweise – und die Lücke ist die Betreiberfrage, für die dieses FAQ
existiert. Die DNC-Kette prüft Ihre **eigenen** Schichten (DNC-Flags
von Kontakten, DNC-Liste, Unterdrückung, Consent-Opt-outs) plus die
Plattformliste, sobald Sie sich mit `dnc_sync_enabled` anmelden. Die
**Bundes-/Staaten-/TCR-Feed-Schicht** unterfüttert die Prüfung erst,
wenn ein Snapshot synchronisiert ist, und auf der Devotel-gehosteten
SaaS wird der TCR-Feed nur befüllt, wenn die Betreiber-Anmeldedaten
des iconectiv-TCR-Partners (`DEVOTEL_TCR_API_KEY` /
`DEVOTEL_TCR_PARTNER_ID`) konfiguriert sind – ist einer davon nicht
gesetzt, schaltet der Konnektor stumm und kein Feed kommt an. Bis
das geschieht, folgen zwei Konsequenzen:
* `GET /compliance/dnc/check` meldet `403 DNC_SYNC_NOT_ENABLED`, bis
Sie sich anmelden, und auch danach meldet es auf jeder Antwort
`federal_feeds_synced: false` – eine Nummer, die nur im
FTC-Bundesregister steht, **meldet in diesem Zustand frei zurück.**
Behandeln Sie eine Frei-Meldung niemals als bundesweiten Safe Harbor,
solange nicht `federal_feeds_synced: true` gilt.
* `GET /compliance/rnd/check` degradiert analog: Bis der FCC-Feed
synchronisiert ist, ist jedes Urteil `no_data` (kein Safe Harbor),
und die Aktivierung von `rnd_scrub_enabled` wird mit einem `409`
verweigert, bis der Feed angeschlossen ist.
Lesen Sie die Quell- und Frische-Felder auf jeder Antwort, und lesen
Sie die Fail-open-Anmerkung auf [DNC-Scrubbing](/compliance/dnc-scrub)
sowie die Feed-Konfiguration auf
[10DLC-Registrierung](/guides/10dlc-registration). Auf der SaaS pflegt
Orbit die synchronisierten Snapshots zentral, sobald die Feeds
angeschlossen sind – Sie verdrahten niemals Ihre eigene
Registerintegration je Mandant.
***
## Welche Steuerungen versagen offen und welche geschlossen?
Verdichtet aus der [Haltungskarte](/compliance/posture-overview) – die
Spalte, die Sie verinnerlichen sollten, bevor Sie einem Schalter
vertrauen:
| Steuerung | Standard | Nicht auflösbare Eingabe |
| ------------------------------------------------------------ | ------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Ruhezeiten (Organisations-Gate je Kanal, Kampagnen-Fallback) | Aus | **Fail-open** – zeitzonen-umauflösbare nicht-US-Empfänger passieren unter der standardmäßigen `skip`-Richtlinie |
| DNC-Scrub | Aus | **Fail-open** – kein synchronisierter Bundes-Feed bedeutet, dass eine rein bundesweite Nummer frei zurückmeldet |
| RND-Scrub | Aus | **Fail-open / No-Data** – nicht synchronisierter Feed degradiert jedes Urteil zu `no_data`, kein Safe Harbor |
| STIR/SHAKEN-Attestierung + Inbound-Floor | Kein Floor | **Fail-open** – ein fehlgeschlagener Eigentumslookup attestiert C und lässt den Anruf durch statt zu blockieren |
| Notfall-Stopp | Inaktiv | **By design fail-open** – blockiert nichts, bis Sie ihn ziehen |
| Preference-Center | Nicht konfiguriert | **Fail-open** – ohne Konfiguration existiert keine kontaktzugewandte Oberfläche |
| Absender-ID-Registrierung | Nichts registriert | **Fail-closed** – regulierte A2P-SMS blockiert, bis der Landeseintrag `approved` ist |
| Unterdrückungseinträge | Leere Liste | **Fail-closed für vorhandene Einträge** – eine unterdrückte Adresse wird vor der Zustellung verworfen |
| HIPAA-Modus | Aus | **Fail-closed gegenüber PHI** – der HIPAA-Modus lässt sich nicht aktivieren und PHI-Sendungen werden abgelehnt (`422 HIPAA_BAA_REQUIRED`), bis die BAA unterzeichnet ist |
| KYC-gepflichtete Nummern | Keine erforderlich | **Fail-closed für gehaltene Vermögenswerte** – eine Nummer in einem regulierten Land ruht auf `pending_compliance` |
| US-Bundes-Sprachfenster + Staatsüberlagerungen | Immer aktiv | **Fail-closed, plattformseitig** – die eine Schiene, die Sie nicht kontrollieren |
Das Muster: Alles, was einen **Empfänger oder eine Aufsichtsbehörde**
schützt, versagt geschlossen oder liegt auf Plattformebene; alles, was
**Ihre eigene Listenhygiene** schützt, ist Opt-in und fail-open. Die
vertiefenden Seiten hinter jeder Zeile stehen auf
[Send Gates](/compliance/send-gates).
***
## Deckt diese Seite die Hochrisiko-Stufe aus Annex III des EU AI Act ab?
Nein – und die Trennlinie folgt demselben von Mandanten verwalteten
Muster wie alles andere auf dieser Seite. Orbit liefert die
**Art.-50-Transparenz-Oberfläche**: Hinweise zur Offenlegung von
KI-Interaktionen, Kennzeichnung KI-generierter Inhalte und exportierbare
Nachweise, konfiguriert je Workspace auf
[EU AI Act – Art.-50-Transparenz](/compliance/eu-ai-act). Annex III
ist eine gesonderte Stufe: Die Hochrisiko-Anwendungsfälle (zum Beispiel
Emotionserkennung, biometrische Kategorisierung und die übrigen
gelisteten Klassen) tragen Pflichten zu Risikomanagement,
Daten-Governance, technischer Dokumentation und
Konformitätsbewertung auf einem späteren Zeitplan als die
Transparenzpflicht. Die Einstufung – ob Ihre Bereitstellung in einen
Annex-III-Anwendungsfall fällt – treffen Sie mit qualifiziertem
Rechtsbeistand; die Steuerungen bleiben in jedem Fall von Mandanten
verwaltet, genau wie bei den Gates oben. Sofern ein
Annex-III-Anwendungsfall zutrifft, gilt die Art.-50-Transparenz
zusätzlich obendrauf.
***
## Ist irgendetwas davon Rechtsberatung?
Nein. Orbit ist die Leitung und das Journal: Es trägt Ihre Sendungen,
vollstreckt die von Ihnen gesetzten Gates und führt den überprüfbaren
Datensatz (Consent-Entscheidungen, Unterdrückungseinträge,
Scrub-Ergebnisse, Zertifizierungen). Es entscheidet nicht, dass ein
Versand konform ist, reicht nichts bei einer Aufsichtsbehörde für Sie
ein und versendet keine Kundenbenachrichtigungen für Sie. Die Haltung,
die Sie wählen, ist additiv ausgehend von einem offenen Standard, und
die Verantwortung für diese Wahl bleibt bei Ihnen. Bestätigen Sie
Ihre Pflichten mit qualifiziertem Rechtsbeistand.
***
## Weiterführende Referenzen
* [Ihre Mandanten-Compliance-Haltung: Die Übersicht](/compliance/posture-overview) – die vollständige Karte, die dieses FAQ verdichtet.
* [Send Gates](/compliance/send-gates) – jedes Versand-Gate und sein exaktes Gate-Verhalten.
* [DNC-Scrubbing](/compliance/dnc-scrub) – Quellen, Frische und die Fail-open-Anmerkung.
* [Compliance-Gesundheitswerte](/compliance/compliance-health) – die schreibgeschützte Signalschicht.
* [EU AI Act – Art.-50-Transparenz](/compliance/eu-ai-act) – die Offenlegungsoberfläche plus der Verweis auf den ausgelassenen Annex III.
* [Eine ausstehende Nummer oder Absender-ID beheben](/compliance/troubleshooting-pending-gated-surfaces) – gehaltene Vermögenswerte hinter einer externen Freigabe.
* [Plattform-FAQ](/reference/faq) – nicht-Compliance-Fragen (Authentifizierung, Abrechnung, Kanäle, Webhooks).