Replace fragile HTML allowlist sanitizer

NEXT_STEPS.md

@@ -51,19 +51,20 @@
 - Fehler enthalten Query-Kontext ohne Secrets.
 - Verhalten entspricht der definierten Error-Strategie.
 
-- #TODO Replace fragile HTML allowlist sanitizer
-- Aufwand: `M`
-- Labels: `security`, `string`
-- Akzeptanzkriterien:
-- `onlySimpleHTML()` wird durch robusteren Ansatz ersetzt.
-- Erlaubte Tags sind konfigurierbar dokumentiert.
-- Regression-Tests fuer typische Eingaben vorhanden.
-
-- #TODO Code-Qualitaet
-
-- Sammel-Issue: Naming-Konvention, SQL-Binding-Refactor, Legacy-Markierung, Markdown-Konsolidierung, klare Modulgrenzen.
+- Code-Qualitaet (aufgeteilt in Unter-Issues)
 - Aufwand: `L`
-- Empfehlung: in 3-5 Unter-Issues aufteilen.
+- Labels: `quality`, `refactor`
+- Unter-Issues:
+- Define and enforce naming conventions for functions, files and constants.
+- Refactor SQL binding helpers to one consistent, typed API surface.
+- Mark legacy functions/modules (`@deprecated`) and document replacement path.
+- Consolidate Markdown docs (README + API notes) into one canonical structure.
+- Clarify module boundaries and ownership (I/O, SQL, parsing, formatting).
+- Akzeptanzkriterien:
+- Kurzer Styleguide in `README.md` vorhanden und auf bestehende Dateien angewendet.
+- Keine neuen Legacy-Einstiege ohne Markierung und Migrationshinweis.
+- SQL-Helper nutzen einheitliche Signaturen in geaenderten Modulen.
+- Modulgrenzen sind in Doku und Dateistruktur konsistent nachvollziehbar.
 
 - #TODO Tests und Tooling