datenschutzrecht-kaltstart-interview

Kaltstart-Interview – Datenschutzrecht

Zweck

Dieses Interview richtet das Plugin auf Ihre konkrete Datenschutzpraxis aus: Wer sind Sie als Verantwortlicher oder Auftragsverarbeiter? Welche Rechtsgrundlagen nutzen Sie? Welche Aufsichtsbehörde ist zuständig? Was darf in einem AVV nicht stehen? Die Antworten landen in CLAUDE.md – der Wissensbasis, die jeder andere Skill als Grundlage nutzt.

Eingaben

• Öffentliche URL der Datenschutzerklärung oder Datei
• AVV-Mustervorlage (Datei oder Paste)
• Eine abgeschlossene, inhaltlich akzeptable DSFA als Referenz
• Optional: Verarbeitungsverzeichnis nach Art. 30 DSGVO (gibt dem Plugin eine Systemübersicht)

Ablauf

1. Voraussetzungs-Check.
2. ~/.claude/plugins/config/claude-fuer-deutsches-recht/datenschutzrecht/CLAUDE.md prüfen.
3. Wenn befüllt (keine [PLATZHALTER]) und kein --redo: Bestätigung einholen, bevor überschrieben wird.
4. Wenn altes Cache-Profil unter ~/.claude/plugins/cache/… vorhanden: automatisch übertragen, dem Nutzer mitteilen.

1. Organisations-Interview. Folgende Fragen stellen (gebündelt, nicht einzeln):
2. Organisations- oder Kanzleiname, Rechtsform, Hauptniederlassung (Bundesland)
3. Primär Verantwortlicher, Auftragsverarbeiter oder beides? Für welche Daten?
4. Welche Rechtsgrundlagen Art. 6 DSGVO kommen hauptsächlich zur Anwendung?
5. Werden besondere Kategorien (Art. 9 DSGVO) oder Beschäftigtendaten (§ 26 BDSG) verarbeitet?
6. Gibt es einen bestellten DSB? Intern oder extern? Name und Kontakt?
7. Zuständige Aufsichtsbehörde (BfDI oder LfDI – welches Bundesland)?
8. Drittlandtransfers vorhanden? In welche Länder? Welcher Mechanismus (SCC, DPF, Binding Corporate Rules)?
9. Praxisumgebung: Kanzlei / internes Team / öffentliche Stelle?
10. Wer nutzt das Plugin? (Rechtsanwalt, externer DSB, Compliance-Manager, Sachbearbeitung)

1. Ausgangsdokumente lesen.
2. Datenschutzerklärung: Datenkategorien, Zwecke, Fristen, Drittempfänger, Rechte, Cookie-Infrastruktur extrahieren.
3. AVV-Vorlage: Klauseln zu Sub-AV, Audit, Datenpanne, Datenhaltung, Laufzeit, Haftung herausarbeiten; Abweichungen von DSGVO-Mindestanforderungen kennzeichnen.
4. Referenz-DSFA: Struktur, Gliederung, Tiefe, Format für zukünftige DSFAs übernehmen.
5. Verarbeitungsverzeichnis (falls bereitgestellt): Systemliste für DSAR-Abfragen übernehmen.

1. AVV-Playbook-Fragen.
2. Wo sind Sie Deal-Breaker-sensibel? (z.B. Sub-AV-Transparenz, Datenhaltung EU)
3. Was akzeptieren Sie unter keinen Umständen?
4. Welche Klauseln sind Standard-Fallback?

1. Integrations-Check.
2. Dokumentenspeicher (Drive / SharePoint / lokaler Pfad) testen.
3. Benachrichtigungskanal (Slack / Teams / E-Mail) testen.
4. Aufgabenplanung testen.
5. Nur ✓ melden, wenn ein Tool-Aufruf tatsächlich funktioniert hat; konfiguriert-aber-ungetestet als ⚪ ausweisen.

1. CLAUDE.md schreiben.
2. Alle Platzhalter mit den ermittelten Werten befüllen.
3. Übergeordnetes organisation-profil.md anlegen oder aktualisieren.
4. Zusammenfassung der geschriebenen Konfiguration zeigen.
5. Ersten nützlichen Befehl anbieten.

--check-integrations

Führt nur Schritt 5 erneut aus. Aktualisiert den Abschnitt ## Verfügbare Integrationen in CLAUDE.md. Kein erneutes Interview. Nutzen, wenn ein MCP-Connector neu hinzugefügt oder entfernt wurde.

Quellen und Zitierweise

Verbindlich nach ../../references/zitierweise.md.

• Art. 13, 14 DSGVO (Informationspflichten – Grundlage für Datenschutzerklärungsanalyse)
• Art. 28, 29 DSGVO (Auftragsverarbeitung – Grundlage für AVV-Analyse)
• Art. 30 DSGVO (Verarbeitungsverzeichnis)
• Art. 35 DSGVO (DSFA-Pflicht – Referenz für DSFA-Strukturanalyse)
• § 38 BDSG (Benennungspflicht DSB)
• Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.
• Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.

Ausgabeformat

Abschlusszusammenfassung als strukturierte Auflistung der geschriebenen Konfiguration:

• Welche Werte aus Interview übernommen
• Welche aus Ausgangsdokumenten extrahiert
• Welche als Fallback-Standard gesetzt (Kennzeichnung: "Standard – bitte anpassen")
• Offene Punkte, die noch ausgefüllt werden müssen
• Erste empfohlene Folgeaktion (z.B. anwendungsfall-triage für aktuelle Verarbeitungstätigkeit)

Beispiel

Situation: Mittelständische Softwarefirma, Hauptniederlassung NRW, Auftragsverarbeiter für CRM-Kunden, interner DSB, kein DPF, Hosting in Frankfurt.

Erwartete Konfiguration (Auszug):

Praxisumgebung: Unternehmen intern
Primär: Auftragsverarbeiter (Art. 28 DSGVO) für Kundendaten
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Kunden; Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)
Zuständige Aufsichtsbehörde: LfDI NRW (Hauptniederlassung NRW)
DSB: [Name], intern, bestellt nach Art. 37 DSGVO / § 38 BDSG
Drittlandtransfer: nein (Hosting Frankfurt, alle Sub-AVs EU)
Deal-Breaker: Sub-AV-Wechsel ohne 4-Wochen-Vorankündigung

Risiken / typische Fehler

• Falsche Aufsichtsbehörde: Niederlassungsprinzip Art. 56 DSGVO und § 19 BDSG – Hauptniederlassung der Organisation, nicht Serverstandort, ist maßgeblich. Bei grenzüberschreitender Verarbeitung ist federführende Behörde zu bestimmen.
• DSB-Benennungspflicht übersehen: Pflicht nach Art. 37 DSGVO besteht ab Kerngeschäft mit Verarbeitungen, die regelmäßige systematische Überwachung erfordern, oder bei Verarbeitung besonderer Kategorien im großen Umfang; §§ 37–39 BDSG ergänzen.
• CLAUDE.md ohne Verarbeitungsverzeichnis: Ohne Systemliste können spätere DSAR-Abfragen keine vollständige Antwort liefern; Nutzer vor Abschluss darauf hinweisen.
• AVV-Extraktion zu oberflächlich: Das Playbook muss konkrete Fallback-Positionen enthalten, sonst gibt avv-pruefung immer den generischen Standard aus.
• Integrations-Check: Nur ✓ bei erfolgreichem Test-Aufruf; konfiguriert ≠ funktioniert.

Quellen / Updates

Stand: 05/2026. Bei Änderungen der Aufsichtsbehördenstruktur (Art. 56 DSGVO), BRAO-Novellen oder Änderungen des BDSG Skill aktualisieren.

Querverweise:

• datenschutzrecht/skills/datenschutzrecht-anpassen/SKILL.md — Gezielte Anpassung einzelner Profil-Abschnitte ohne Vollinterview
• datenschutzrecht/skills/drittlandstransfer-pruefung/SKILL.md — Drittlandtransfer-Konfiguration im Praxisprofil

Aktuelle Rechtsprechung (v14.2)

• Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.

Triage zu Beginn

1. Erstmalige Einrichtung oder Update des Praxisprofils?
2. Liegt bereits eine CLAUDE.md vor? Falls ja: Welche Abschnitte sollen aktualisiert werden?
3. Welche Dokumente stehen bereit? (Datenschutzerklärung, VVT, bestehende AVV)
4. Welche Rechtsgebiete sind relevant? (rein DSGVO / zusätzlich BDSG / TKG-TDDDG / KRITIS)

Output-Template — Praxisprofil-Zusammenfassung

Adressat: DSB / Kanzlei intern — Tonfall: sachlich-strukturiert

Praxisprofil-Zusammenfassung [DATUM]
Organisation: [NAME, RECHTSFORM]
Sitz: [ORT, LAND]
Federführende Aufsichtsbehoerde: [BEHOERDE]
DSB: [NAME, intern/extern]
Hauptrolle: Verantwortlicher / Auftragsverarbeiter / beide
Hauptverarbeitungstaetigkeiten: [KURZBESCHREIBUNG]
Drittlandtransfers: [ja/nein; Laender]
AVV-Playbook: konfiguriert / nicht konfiguriert
Systemliste: konfiguriert / nicht konfiguriert
Naechste Schritte: [LISTE]