Organisation: Abstimmung (#702) und Aufbewahren statt Loeschen (#700)

Die Abstimmung zaehlt keine Meinungen, sondern erzwingt unabhaengige
Pruefungen aus verschiedenen Datenquellen. Daraus folgt die Regel, an der
alles haengt: Es wird BLIND abgestimmt. Sieht ein Stimmberechtigter die
Stimme eines anderen, stimmt ein guenstiges Modell dem zu, was es gerade
gelesen hat - aus vier Pruefungen werden eine und drei Echos. Damit ist die
Abstimmung das Gegenstueck zur Besprechung, wo jeder die Beitraege sieht.

Und eine Kehrtwende bei #700: Vorgeschlagen war eine Frist mit Kehrbesen
fuer Audit und Receipts. Richtig ist das Gegenteil. In einem Buero voller
Menschen geht taeglich verloren, warum etwas so entschieden wurde - hier
nicht. Bei hundert Agenten sind es 3,3 GB im Jahr; dafuer wirft man kein
Wissen weg. Was bleibt, ist ein Archiv: heiss und kalt trennen, verdichtete
Werte immer behalten, Geheimnisse gar nicht erst hineinschreiben, gezielt
loeschen koennen.

Folge: Die 14-Tage-Voreinstellung der Prompt-History gehoert auf unbegrenzt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/Organisation-Konzept.md

@@ -653,6 +653,61 @@ Modell stilllegt oder umkonfiguriert, verändert die Organisation ohne menschlic
 Beteiligung. Die Leitung *schlägt vor* und begründet; ausgeführt wird nach Freigabe —
 Linie von #205, #641, #687.
 
+### Die Abstimmung: mehrere Blickwinkel statt einer Freigabe
+
+Die Freigabe durch die Leitung (#687) ist eine Entscheidung aus einer Sicht. Für manches
+ist das zu wenig — nicht weil eine Meinung fehlt, sondern weil **mehrere unabhängige
+Prüfungen fehlen**:
+
+> Der Einkäufer will Ware für 150 € bestellen.
+> **Buchhaltung** prüft, ob wir uns das leisten können.
+> **Logistik** prüft, ob wir noch genug davon am Lager haben.
+> **Marketing** prüft, ob es überhaupt ins Sortiment passt.
+> Jeder hat eine Stimme. 3 von 4 dafür → bestellt. 1 von 4 → nicht. 2 von 4 → eskaliert,
+> mit den Begründungen.
+
+Das ist keine Demokratie im politischen Sinn, und der Unterschied ist wichtig für den
+Bau: **Es werden nicht Meinungen gezählt, sondern unabhängige Prüfungen erzwungen.** Jede
+Stimme kommt aus einer anderen Datenquelle — Kontostand, Lagerbestand, Sortiment. Das ist
+der eigentliche Gewinn, nicht die Mehrheit.
+
+Daraus folgt die wichtigste Regel:
+
+> **Es wird blind abgestimmt.** Kein Stimmberechtigter sieht die Stimme eines anderen,
+> bevor er die eigene abgibt. Sonst stimmt ein günstiges Modell dem zu, was es gerade
+> gelesen hat, und aus vier Prüfungen wird eine Prüfung mit drei Echos.
+
+Damit ist die Abstimmung das genaue Gegenteil der Besprechung (#686): Dort sieht jeder
+Teilnehmer die bisherigen Beiträge, weil Abstimmung im Wortsinn der Zweck ist. Hier sieht
+niemand sie, weil Unabhängigkeit der Zweck ist. Beide Mittel gehören nebeneinander, und
+sie dürfen nicht verwechselt werden.
+
+**Die weiteren Festlegungen:**
+
+- **Jede Stimme trägt Begründung und Beleg.** Nicht „nein", sondern „nein — Lagerbestand
+  340 Stück, Abfrage vom 22.09. 08:14". Ohne Beleg ist eine Stimme eine Meinung
+  (#697).
+- **Wer beantragt, stimmt nicht mit.** Dieselbe Linie wie bei der Leitung, die ihre
+  eigenen Aufrufe nicht freigibt (#687).
+- **Eine fehlende Stimme ist kein Ja.** Scheitert ein Lauf oder antwortet ein
+  Stimmberechtigter nicht in der Frist, fehlt die Stimme. Kommt das Quorum nicht
+  zustande, wird eskaliert — nichts wird stillschweigend durchgewinkt.
+- **Die Schwellen gehören zur Regel, nicht ins Modell.** Wie viele Stimmen, wer, ab
+  welchem Betrag, was bei Gleichstand — das steht in der Freigaberegel der Einheit und
+  ist einstellbar.
+- **Abstimmen kostet.** Vier Stimmberechtigte sind vier Läufe zusätzlich zum
+  eigentlichen Vorgang. Abstimmungen gehören deshalb an Schwellen gebunden — die 150 €
+  aus dem Beispiel sind vermutlich zu wenig dafür, und genau das soll die Auswertung
+  zeigen.
+- **Alles wird erfasst:** Antrag, jede Stimme mit Begründung und Beleg, Ergebnis, Kosten.
+  Erst damit lässt sich hinterher fragen, ob die Abstimmung etwas verhindert hat oder nur
+  Geld gekostet hat.
+
+Und eine Eigenschaft, die man leicht für eine Lücke hält: Eine Abstimmung gibt keinem
+Agenten einen neuen Gesprächspartner. Die Stimmberechtigten reden nicht miteinander — sie
+sehen den Antrag und antworten. Deshalb steht sie **nicht** in der Ausnahmeliste aus
+Abschnitt 3.
+
 ### Die Doctrine: wie eine Leitung steuert, ohne jeden Auftrag anzufassen
 
 Ein Agent wird heute von zwei Texten geprägt: `Identity.md` sagt, **wer** er ist,
@@ -769,11 +824,45 @@ Abfrage. Ob die Abweichung ein Problem ist, deutet die Aufsicht (#680).
   „was kostet mich das Marketing?" muss eine Frage sein, keine Rechenaufgabe.
 - **Verdichtete Werte.** Tagessummen je Agent und Einheit, damit eine Sechsmonatsansicht
   nicht Millionen Laufzeilen liest (#700).
-- **Aufbewahrung auch für Audit und Receipts (#700).** Für Transkripte gibt es eine Frist
-  und einen Kehrbesen (#660), für `RunUsage` eine Löschung — für `AuditLog` und
-  `RunReceipts` nichts. Gemessen auf der Testinstanz: 636 Läufe erzeugen 4.155
-  Audit-Zeilen. Hundert Agenten kämen auf etwa 7.400 Zeilen am Tag, also einige Millionen
-  im Jahr — in genau der Tabelle, die jede Auswertung liest.
+- **Ein Archiv statt eines Kehrbesens (#700).** Siehe unten — die Datenmenge ist ein
+  Problem der Abfragen, nicht der Festplatte.
+
+### Aufbewahren statt löschen
+
+**Gelöscht wird so wenig wie möglich.** Der Grund ist nicht Sammelwut, sondern der
+einzige echte Vorteil, den eine Organisation aus Agenten gegenüber einer aus Menschen
+hat: In einem Büro voller Menschen geht jeden Tag verloren, warum etwas so entschieden
+wurde. Hier nicht. Fünf Jahre nach einem gescheiterten Vorhaben lässt sich nachlesen,
+wie es dazu kam — welche Aufgabe wie formuliert war, was der Agent wirklich gelesen hat,
+wer was freigab, welche Stimme welchen Beleg hatte.
+
+Das ist bezahlbar, und zwar deutlich: Bei hundert Agenten fallen etwa 9 MB am Tag an,
+also rund 3,3 GB im Jahr. Das ist keine Größe, für die man Wissen wegwirft.
+
+**Was trotzdem zu tun ist, ist etwas anderes als Löschen:**
+
+1. **Heiß und kalt trennen.** Die Arbeitsdatenbank hält, was der Betrieb braucht; ältere
+   Läufe wandern in ein Archiv — eigene Dateien je Zeitraum, abfragbar, aber nicht im
+   Weg. Was die Abfragen langsam macht, sind Millionen Zeilen in der heißen Tabelle,
+   nicht Gigabyte auf der Platte.
+2. **Verdichtete Werte bleiben immer.** Tagessummen je Agent und Einheit sind winzig und
+   beantworten die meisten Fragen, ohne das Archiv anzufassen.
+3. **Geheimnisse gar nicht erst hineinschreiben.** Aufbewahren heißt nicht, Zugangsdaten
+   aufzubewahren. Die Maskierung beim Schreiben (#660, allgemein #192) ist die Antwort —
+   nicht späteres Löschen, das ohnehin zu spät käme.
+4. **Die Ausnahmen bleiben.** Ein Agent, der besondere Geheimnisse verwaltet, wird gar
+   nicht aufgezeichnet (`never` aus #660). Das ist eine Entscheidung je Agent und bleibt
+   es.
+
+**Zwei Dinge, die der Betreiber entscheiden muss, nicht das Produkt:** In den Aufzeichnungen
+stehen bei einem Handelsbetrieb auch Kundendaten, und für personenbezogene Daten gibt es
+Aufbewahrungs- *und* Löschpflichten. Das Produkt muss beides können — unbegrenzt
+aufbewahren und gezielt löschen, was gelöscht werden muss. Die Vorgabe „so wenig löschen
+wie möglich" ist die Voreinstellung, nicht die einzige Möglichkeit.
+
+**Folge für die Prompt-History:** Die Voreinstellung von 14 Tagen (#660, festgelegt am
+2026-09-19) widerspricht dieser Linie. Sie gehört auf „unbegrenzt" umgestellt; die
+Möglichkeit, je Agent kürzer oder gar nicht aufzuzeichnen, bleibt unverändert.
 
 ---
 
@@ -834,7 +923,8 @@ für sich schon nützt und keine die nächste blockiert.
 | **7** | Entscheidungsinstanz an der Spitze (#690) | Der Betrieb läuft weiter, wenn der Mensch schläft |
 | **8** | Freigabe durch die Leitung innerhalb von Grenzen | Der Mensch hört auf, Flaschenhals zu sein |
 | **9** | Kontrollpflicht der Leitung, abgestufte personelle Mittel (#693); Doctrine (#698) | Fehler findet die Leitung, nicht erst der Mensch — und sie kann steuern |
-| **9a** | Kosten je Einheit, Abweichungsmeldung (#699), Aufbewahrung (#700) | Ineffizienz wird sichtbar, bevor sie einen Monat lang läuft |
+| **9a** | Kosten je Einheit, Abweichungsmeldung (#699), Archiv (#700) | Ineffizienz wird sichtbar, bevor sie einen Monat lang läuft |
+| **9b** | Abstimmung als dritte Freigabeform (#702) | Vier Blickwinkel statt einer Unterschrift, wo es sich lohnt |
 | **10** | Oberfläche: Organigramm statt Agentenliste, Lage je Abteilung | Bei fünfzig Agenten ist eine flache Liste keine Übersicht |
 | **11** | Organisationsvorlagen (#691) | Ein Haus lässt sich weitergeben statt nachbauen |
 
@@ -929,7 +1019,8 @@ nur nicht selbst an.
 | #697 | Stille Post vermeiden: Weitergaben hängen an und tragen den Verweis |
 | #698 | Doctrine.md — die Leitung steuert ihre Einheit, eine Ebene tief |
 | #699 | Kosten je Einheit aufrechnen und Abweichungen melden |
-| #700 | Aufbewahrung für Audit und Receipts, verdichtete Tageswerte |
+| #700 | Archiv statt Kehrbesen: heiß und kalt trennen, verdichtete Tageswerte |
+| #702 | Abstimmung: unabhängige Prüfungen, blind, mit Beleg je Stimme |
 | #654, #196, #657 | Sandbox, Shell, Skriptprüfung — der eigentliche Werkzeugkasten |
 | #687 | Freigabe durch die Leitung innerhalb von Grenzen |
 | #688 | Organigramm in Oberfläche und WebUI |