docs: finalize Gemini privacy handoff

docs/ARCHITECTURE.md

@@ -8,12 +8,12 @@ Javis beginnt als modularer Monolith. Module besitzen klare Zuständigkeiten und
 
 1. Interface: implementierte CLI; später möglicherweise Sprache, Mobilzugriff und Living Mind.
 2. Core: implementierter Gesprächsablauf und Sitzungslogik.
-3. Providers: kleine Schnittstelle und implementierter lokaler Ollama-Adapter.
-4. Memory: implementierte SQLite-Sitzungen; ein semantischer Index ist nur geplant.
+3. Providers: kleine Schnittstelle, lokaler Ollama- und optionaler Gemini-Adapter.
+4. Memory: SQLite-Sitzungen und separates inhaltsfreies Provider-Audit.
 5. Obsidian: zunächst lesender Adapter, später eng begrenzte Entwürfe.
 6. Tools und Status: feste Schemas, Allowlists, Timeouts und bereinigte Ausgaben.
-7. Security: Freigaben, Secret-Provider und Berechtigungsprüfung.
-8. Audit: nachvollziehbare Aktionen ohne geheime Inhalte.
+7. Security: lokaler Datenschutzrouter, Freigaben und Betriebssystem-Keyring.
+8. Audit: Provider-Metadaten ohne Prompts, Antworten oder geheime Inhalte.
 
 ## Plattformgrenzen
 
@@ -24,10 +24,13 @@ Javis beginnt als modularer Monolith. Module besitzen klare Zuständigkeiten und
 
 ## Implementierter Chatfluss
 
-`interface.cli` nimmt Text an, `core.chat_service` verbindet Sitzungsverlauf und
-Provider, `providers.ollama` spricht nur die lokale Ollama-HTTP-API an und
-`memory.sqlite_store` speichert erfolgreiche Benutzer-/Assistentenpaare atomar.
-Scheitert das Modell, wird keine erfundene Antwort gespeichert.
+`interface.cli` nimmt Text an und verbindet den `core.provider_router`.
+Dieser klassifiziert die aktuelle Anfrage vollständig lokal, minimiert den
+freigegebenen Kontext und wählt Gemini oder Ollama. `core.chat_service` speichert
+erst eine erfolgreiche Antwort zusammen mit der Benutzernachricht atomar.
 
-Es existiert kein Cloudadapter, Toolaufruf, Obsidian-Zugriff oder eigener
-öffentlicher Netzwerkdienst. Der Ollama-Endpunkt muss eine Loopback-Adresse sein.
+Gemini ist nur bei lokaler Aktivierung, vorhandenem Key, `free_only = true`,
+bestätigtem Nicht-Billing und passender Datenschutzentscheidung erreichbar.
+Ollama bleibt Loopback-, Datenschutz-, Offline-, Quota- und Fehlerfallback.
+Es existiert weiterhin kein Toolaufruf, Obsidian-Zugriff oder eigener öffentlicher
+Netzwerkdienst.