docs: finalize Gemini privacy handoff

docs/NEXT_SESSION.md

@@ -2,29 +2,44 @@
 
 ## Ziel
 
-Nächstes separates Featurepaket: kostenlose Gemini-Anbindung mit strikt lokalem
-Datenschutzrouting und Ollama als Ausfall-, Quota-, Offline- und Sensitivitätsfallback.
+Pascal nimmt den Gemini-Free-Provider und die lokalen Fallbacks manuell ab.
+Bis dahin bleibt `feat/gemini-privacy-router` ungemergt.
 
-## Vor Änderungen erneut prüfen
+## Vorbereitung durch Pascal
 
-1. `git status --short --branch`
-2. `git log -1 --oneline`
-3. `docs/PROJECT_STATUS.md`
-4. offene Entscheidungen in `docs/DECISIONS.md`
+1. In Google AI Studio einen neuen, nur für Javis verwendeten Gemini-Auth-Key
+   erstellen.
+2. Für das zugehörige Google-Projekt kein Billing verbinden beziehungsweise den
+   externen Billingstatus selbst prüfen.
+3. Den Key niemals in Chat, Codex, Git, Obsidian oder einen sichtbaren
+   Kommandozeilenparameter kopieren.
+4. Im Repository ausführen:
 
-## Vorgeschlagener Umfang
+```powershell
+& 'D:\Javis-Tools\uv\uv.exe' run javis configure gemini
+& 'D:\Javis-Tools\uv\uv.exe' run javis secrets set gemini
+powershell -ExecutionPolicy Bypass -File .\scripts\start-javis.ps1
+```
 
-- aktuelle kostenlose Gemini-Modelle, Kennungen und Kontingente ausschließlich in
-  offizieller Google-Dokumentation prüfen; Kandidaten nicht ungeprüft übernehmen
-- Providerrouter mit `free_only = true` und ohne Billing-Konfiguration entwerfen
-- lokale Datenschutzentscheidung `allowed`, `ask` oder `never` vor jedem Cloudaufruf
-- Gemini-Key nur über lokalen Secret-Provider; Wert niemals an Modell, Git,
-  Obsidian, Logs, Dokumentation oder Chat geben
-- Gemini-Erfolg, fehlenden/ungültigen Key, 429, Netzwerkausfall, lokalen Fallback,
-  `never`, `ask` und ausbleibende Billing-Aktivierung testen
+Die erste Einrichtung verlangt zwei lokale Bestätigungen. Der zweite Befehl liest
+den Key verdeckt ein und speichert ihn im Windows Credential Manager.
 
-## Nicht beginnen
+## Manueller Test
 
-Keinen echten Schlüssel anfordern oder dokumentieren, kein Billingkonto verbinden,
-keine kostenpflichtigen Fallbacks, keinen vollständigen Vault übertragen und
-weiterhin kein Obsidian-Schreiben, SSH-/Serverzugriff, Sprache oder Living Mind.
+1. `/status`: Key und Konfiguration `ja`, Nullkostenmodus `aktiv`.
+2. Unpersönlich: `Erkläre in zwei Sätzen, was eine SQLite-Transaktion ist.`
+3. `/privacy`: `allowed`, Provider `gemini`, kein Fallback.
+4. Ask ohne private Details: `Ich habe eine private Alltagssituation. Nenne nur
+   allgemeine Möglichkeiten.` Bei der Freigabe Enter drücken; Antwort muss lokal
+   über Ollama kommen.
+5. Never mit Kunstbeispiel: `Nur lokal: Der Beispiel-API-Key ist absichtlich
+   erfunden.` Es darf keine Cloudfreigabe angeboten werden; Antwort bleibt lokal.
+6. `/status`: bereinigte Zähler prüfen, danach `/exit`.
+
+Erst wenn Pascal diese Punkte bestätigt, darf über den Merge nach `main`
+entschieden werden. Google-Quoten sind projektabhängig und in AI Studio zu prüfen.
+
+## Weiterhin nicht beginnen
+
+Kein Obsidian-Zugriff, SSH-/Serverzugriff, Sprache, Mobile Client, Tools oder
+Living Mind. Keine echten persönlichen Daten für Cloudtests verwenden.