docs: record merge and hybrid provider plan

docs/NEXT_SESSION.md

@@ -2,8 +2,8 @@
 
 ## Ziel
 
-Nach Abschluss und Merge von `feat/core-chat`: den ersten Textchat gemeinsam
-benutzen und nur konkrete Bedienungs- oder Stabilitätsprobleme priorisieren.
+Nächstes separates Featurepaket: kostenlose Gemini-Anbindung mit strikt lokalem
+Datenschutzrouting und Ollama als Ausfall-, Quota-, Offline- und Sensitivitätsfallback.
 
 ## Vor Änderungen erneut prüfen
 
@@ -14,12 +14,17 @@ benutzen und nur konkrete Bedienungs- oder Stabilitätsprobleme priorisieren.
 
 ## Vorgeschlagener Umfang
 
-- Start-/Stoppablauf von Ollama auf Alltagstauglichkeit prüfen
-- reale mehrteilige Gespräche und verständliche Fehlermeldungen beobachten
-- bei Bedarf Streaming, Sitzungstitel oder eine explizite lokale TOML-Konfiguration
-  als eigenes kleines Feature planen
-- erst nach Messung auf der Zielhardware ein kleineres Laptop-Modell auswählen
+- aktuelle kostenlose Gemini-Modelle, Kennungen und Kontingente ausschließlich in
+  offizieller Google-Dokumentation prüfen; Kandidaten nicht ungeprüft übernehmen
+- Providerrouter mit `free_only = true` und ohne Billing-Konfiguration entwerfen
+- lokale Datenschutzentscheidung `allowed`, `ask` oder `never` vor jedem Cloudaufruf
+- Gemini-Key nur über lokalen Secret-Provider; Wert niemals an Modell, Git,
+  Obsidian, Logs, Dokumentation oder Chat geben
+- Gemini-Erfolg, fehlenden/ungültigen Key, 429, Netzwerkausfall, lokalen Fallback,
+  `never`, `ask` und ausbleibende Billing-Aktivierung testen
 
 ## Nicht beginnen
 
-Keine zweite Modelllaufzeit, kein Obsidian-Schreiben, kein SSH-/Serverzugriff, keine Sprache und kein Living-Mind-Frontend.
+Keinen echten Schlüssel anfordern oder dokumentieren, kein Billingkonto verbinden,
+keine kostenpflichtigen Fallbacks, keinen vollständigen Vault übertragen und
+weiterhin kein Obsidian-Schreiben, SSH-/Serverzugriff, Sprache oder Living Mind.