Kaltstart-Interview – Datenschutzrecht
Direktstart: lesen, entscheiden, liefern
Beginne nicht mit einem Fragenkatalog. Wenn Material vorliegt, lies es zuerst und starte mit einer verwertbaren Arbeitshypothese:
- Frist oder Sofortrisiko.
- erkannte Rolle, Zielrichtung und Verfahrensstand.
- tragende Tatsachen aus dem Material.
- bester nächster Arbeitsschritt mit direkt nutzbarem Output.
Frage höchstens zwei Punkte nach, und nur wenn ohne diese Antwort der nächste Schritt falsch oder riskant würde. Fehlt Material vollständig, verlange nicht allgemein alle Unterlagen, sondern nenne die drei wichtigsten Dokumente und arbeite mit sichtbaren Annahmen weiter.
Starte mit einem Arbeitsprodukt, nicht mit einer Inventarliste: Kurzvermerk, Fristenblatt, Prüfmatrix, Entwurf, Fragenliste oder Entscheidungsvorschlag. Routing ist nur Mittel zum Zweck. Wenn ein Fachskill eindeutig passt, arbeite unmittelbar in dessen Richtung weiter.
Eingaben
- Öffentliche URL der Datenschutzerklärung oder Datei
- AVV-Mustervorlage (Datei oder Paste)
- Eine abgeschlossene, inhaltlich akzeptable DSFA als Referenz
- Optional: Verarbeitungsverzeichnis nach Art. 30 DSGVO (gibt dem Plugin eine Systemübersicht)
Ablauf
- Voraussetzungs-Check.
~/.claude/plugins/config/claude-fuer-deutsches-recht/datenschutzrecht/CLAUDE.md prüfen.- Wenn befüllt (keine
[PLATZHALTER]) und kein --redo: Bestätigung einholen, bevor überschrieben wird.
- Wenn altes Cache-Profil unter
~/.claude/plugins/cache/… vorhanden: automatisch übertragen, dem Nutzer mitteilen.
- Organisations-Interview. Folgende Fragen stellen (gebearbeitet, nicht einzeln):
- Organisations- oder Kanzleiname, Rechtsform, Hauptniederlassung (Bundesland)
- Primär Verantwortlicher, Auftragsverarbeiter oder beides? Für welche Daten?
- Welche Rechtsgrundlagen Art. 6 DSGVO kommen hauptsächlich zur Anwendung?
- Werden besondere Kategorien (Art. 9 DSGVO) oder Beschäftigtendaten (§ 26 BDSG) verarbeitet?
- Gibt es einen bestellten DSB? Intern oder extern? Name und Kontakt?
- Zuständige Aufsichtsbehörde (BfDI oder LfDI – welches Bundesland)?
- Drittlandtransfers vorhanden? In welche Länder? Welcher Mechanismus (SCC, DPF, Binding Corporate Rules)?
- Praxisumgebung: Kanzlei / internes Team / öffentliche Stelle?
- Wer nutzt das Plugin? (Rechtsanwalt, externer DSB, Compliance-Manager, Sachbearbeitung)
- Ausgangsdokumente lesen.
- Datenschutzerklärung: Datenkategorien, Zwecke, Fristen, Drittempfänger, Rechte, Cookie-Infrastruktur extrahieren.
- AVV-Vorlage: Klauseln zu Sub-AV, Audit, Datenpanne, Datenhaltung, Laufzeit, Haftung herausarbeiten; Abweichungen von DSGVO-Mindestanforderungen kennzeichnen.
- Referenz-DSFA: Struktur, Gliederung, Tiefe, Format für zukünftige DSFAs übernehmen.
- Verarbeitungsverzeichnis (falls bereitgestellt): Systemliste für DSAR-Abfragen übernehmen.
- AVV-Playbook-Fragen.
- Wo sind Sie Deal-Breaker-sensibel? (z.B. Sub-AV-Transparenz, Datenhaltung EU)
- Was akzeptieren Sie unter keinen Umständen?
- Welche Klauseln sind Standard-Fallback?
- Integrations-Check.
- Dokumentenspeicher (Drive / SharePoint / lokaler Pfad) testen.
- Benachrichtigungskanal (Slack / Teams / E-Mail) testen.
- Aufgabenplanung testen.
- Nur ✓ melden, wenn ein Tool-Aufruf tatsächlich funktioniert hat; konfiguriert-aber-ungetestet als ⚪ ausweisen.
CLAUDE.md schreiben.
- Alle Platzhalter mit den ermittelten Werten befüllen.
- Übergeordnetes
organisation-profil.md anlegen oder aktualisieren.
- Zusammenfassung der geschriebenen Konfiguration zeigen.
- Ersten nützlichen Befehl anbieten.
--check-integrations
Führt nur Schritt 5 erneut aus. Aktualisiert den Abschnitt ## Verfügbare Integrationen in CLAUDE.md. Kein erneutes Interview. Nutzen, wenn ein MCP-Connector neu hinzugefügt oder entfernt wurde.
Quellen und Zitierweise
Verbindlich nach ../../references/zitierweise.md.
- Art. 13, 14 DSGVO (Informationspflichten – Grundlage für Datenschutzerklärungsanalyse)
- Art. 28, 29 DSGVO (Auftragsverarbeitung – Grundlage für AVV-Analyse)
- Art. 30 DSGVO (Verarbeitungsverzeichnis)
- Art. 35 DSGVO (DSFA-Pflicht – Referenz für DSFA-Strukturanalyse)
- § 38 BDSG (Benennungspflicht DSB)
- Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.
Beispiel
Situation: Mittelständische Softwarefirma, Hauptniederlassung NRW, Auftragsverarbeiter für CRM-Kunden, interner DSB, kein DPF, Hosting in Frankfurt.
Erwartete Konfiguration (Auszug):
Praxisumgebung: Unternehmen intern
Primär: Auftragsverarbeiter (Art. 28 DSGVO) für Kundendaten
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Kunden; Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)
Zuständige Aufsichtsbehörde: LfDI NRW (Hauptniederlassung NRW)
DSB: [Name], intern, bestellt nach Art. 37 DSGVO / § 38 BDSG
Drittlandtransfer: nein (Hosting Frankfurt, alle Sub-AVs EU)
Deal-Breaker: Sub-AV-Wechsel ohne 4-Wochen-Vorankündigung
Risiken / typische Fehler
- Falsche Aufsichtsbehörde: Niederlassungsprinzip Art. 56 DSGVO und § 19 BDSG – Hauptniederlassung der Organisation, nicht Serverstandort, ist maßgeblich. Bei grenzüberschreitender Verarbeitung ist federführende Behörde zu bestimmen.
- DSB-Benennungspflicht übersehen: Pflicht nach Art. 37 DSGVO besteht ab Kerngeschäft mit Verarbeitungen, die regelmäßige systematische Überwachung erfordern, oder bei Verarbeitung besonderer Kategorien im großen Umfang; §§ 37–39 BDSG ergänzen.
- CLAUDE.md ohne Verarbeitungsverzeichnis: Ohne Systemliste können spätere DSAR-Abfragen keine vollständige Antwort liefern; Nutzer vor Abschluss darauf hinweisen.
- AVV-Extraktion zu oberflächlich: Das Playbook muss konkrete Fallback-Positionen enthalten, sonst gibt
avv-pruefung immer den generischen Standard aus.
- Integrations-Check: Nur ✓ bei erfolgreichem Test-Aufruf; konfiguriert ≠ funktioniert.
Quellen / Updates
Stand: 05/2026. Bei Änderungen der Aufsichtsbehördenstruktur (Art. 56 DSGVO), BRAO-Novellen oder Änderungen des BDSG Skill aktualisieren.
Querverweise:
datenschutzrecht/skills/datenschutzrecht-anpassen/SKILL.md — Gezielte Anpassung einzelner Profil-Abschnitte ohne Vollinterviewdatenschutzrecht/skills/drittlandstransfer-pruefung/SKILL.md — Drittlandtransfer-Konfiguration im Praxisprofil
Triage zu Beginn
- Erstmalige Einrichtung oder Update des Praxisprofils?
- Liegt bereits eine CLAUDE.md vor? Falls ja: Welche Abschnitte sollen aktualisiert werden?
- Welche Dokumente stehen bereit? (Datenschutzerklärung, VVT, bestehende AVV)
- Welche Rechtsgebiete sind relevant? (rein DSGVO / zusätzlich BDSG / TKG-TDDDG / KRITIS)
Output-Template — Praxisprofil-Zusammenfassung
Adressat: DSB / Kanzlei intern — Tonfall: sachlich-strukturiert
Praxisprofil-Zusammenfassung [DATUM]
Organisation: [NAME, RECHTSFORM]
Sitz: [ORT, LAND]
Federführende Aufsichtsbehoerde: [BEHOERDE]
DSB: [NAME, intern/extern]
Hauptrolle: Verantwortlicher / Auftragsverarbeiter / beide
Hauptverarbeitungstaetigkeiten: [KURZBESCHREIBUNG]
Drittlandtransfers: [ja/nein; Länder]
AVV-Playbook: konfiguriert / nicht konfiguriert
Systemliste: konfiguriert / nicht konfiguriert
Naechste Schritte: [LISTE]
Ausformulierungspflicht und Formatstandard. Das Endprodukt wird in vollständigen, ausformulierten Sätzen geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie [Name der Mandantin] werden klar markiert, der umgebende Text bleibt vollständig.
Schriftbild: Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist Times New Roman 11 pt als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.
Nummerierung: Gliederung ausschließlich dezimal (1, 1.1, 1.1.1 und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.
Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
1---2name: kaltstart-interview-123description: Für Kaltstart-Interview – Datenschutzrecht: routet Rolle, Frist, Unterlagen und Fachschritt; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.4---5
6# Kaltstart-Interview – Datenschutzrecht
7
8## Direktstart: lesen, entscheiden, liefern
9
10Beginne nicht mit einem Fragenkatalog. Wenn Material vorliegt, lies es zuerst und starte mit einer verwertbaren Arbeitshypothese:
11
12- Frist oder Sofortrisiko.
13- erkannte Rolle, Zielrichtung und Verfahrensstand.
14- tragende Tatsachen aus dem Material.
15- bester nächster Arbeitsschritt mit direkt nutzbarem Output.
16
17Frage höchstens zwei Punkte nach, und nur wenn ohne diese Antwort der nächste Schritt falsch oder riskant würde. Fehlt Material vollständig, verlange nicht allgemein alle Unterlagen, sondern nenne die drei wichtigsten Dokumente und arbeite mit sichtbaren Annahmen weiter.
18
19Starte mit einem Arbeitsprodukt, nicht mit einer Inventarliste: Kurzvermerk, Fristenblatt, Prüfmatrix, Entwurf, Fragenliste oder Entscheidungsvorschlag. Routing ist nur Mittel zum Zweck. Wenn ein Fachskill eindeutig passt, arbeite unmittelbar in dessen Richtung weiter.
20
21## Eingaben
22
23- Öffentliche URL der Datenschutzerklärung oder Datei
24- AVV-Mustervorlage (Datei oder Paste)
25- Eine abgeschlossene, inhaltlich akzeptable DSFA als Referenz
26- Optional: Verarbeitungsverzeichnis nach Art. 30 DSGVO (gibt dem Plugin eine Systemübersicht)
27
28## Ablauf
29
301. **Voraussetzungs-Check.**
31 - `~/.claude/plugins/config/claude-fuer-deutsches-recht/datenschutzrecht/CLAUDE.md` prüfen.
32 - Wenn befüllt (keine `[PLATZHALTER]`) und kein `--redo`: Bestätigung einholen, bevor überschrieben wird.
33 - Wenn altes Cache-Profil unter `~/.claude/plugins/cache/…` vorhanden: automatisch übertragen, dem Nutzer mitteilen.
34
352. **Organisations-Interview.** Folgende Fragen stellen (gebearbeitet, nicht einzeln):
36 - Organisations- oder Kanzleiname, Rechtsform, Hauptniederlassung (Bundesland)
37 - Primär Verantwortlicher, Auftragsverarbeiter oder beides? Für welche Daten?
38 - Welche Rechtsgrundlagen Art. 6 DSGVO kommen hauptsächlich zur Anwendung?
39 - Werden besondere Kategorien (Art. 9 DSGVO) oder Beschäftigtendaten (§ 26 BDSG) verarbeitet?
40 - Gibt es einen bestellten DSB? Intern oder extern? Name und Kontakt?
41 - Zuständige Aufsichtsbehörde (BfDI oder LfDI – welches Bundesland)?
42 - Drittlandtransfers vorhanden? In welche Länder? Welcher Mechanismus (SCC, DPF, Binding Corporate Rules)?
43 - Praxisumgebung: Kanzlei / internes Team / öffentliche Stelle?
44 - Wer nutzt das Plugin? (Rechtsanwalt, externer DSB, Compliance-Manager, Sachbearbeitung)
45
463. **Ausgangsdokumente lesen.**
47 - Datenschutzerklärung: Datenkategorien, Zwecke, Fristen, Drittempfänger, Rechte, Cookie-Infrastruktur extrahieren.
48 - AVV-Vorlage: Klauseln zu Sub-AV, Audit, Datenpanne, Datenhaltung, Laufzeit, Haftung herausarbeiten; Abweichungen von DSGVO-Mindestanforderungen kennzeichnen.
49 - Referenz-DSFA: Struktur, Gliederung, Tiefe, Format für zukünftige DSFAs übernehmen.
50 - Verarbeitungsverzeichnis (falls bereitgestellt): Systemliste für DSAR-Abfragen übernehmen.
51
524. **AVV-Playbook-Fragen.**
53 - Wo sind Sie Deal-Breaker-sensibel? (z.B. Sub-AV-Transparenz, Datenhaltung EU)
54 - Was akzeptieren Sie unter keinen Umständen?
55 - Welche Klauseln sind Standard-Fallback?
56
575. **Integrations-Check.**
58 - Dokumentenspeicher (Drive / SharePoint / lokaler Pfad) testen.
59 - Benachrichtigungskanal (Slack / Teams / E-Mail) testen.
60 - Aufgabenplanung testen.
61 - Nur ✓ melden, wenn ein Tool-Aufruf tatsächlich funktioniert hat; konfiguriert-aber-ungetestet als ⚪ ausweisen.
62
636. **`CLAUDE.md` schreiben.**
64 - Alle Platzhalter mit den ermittelten Werten befüllen.
65 - Übergeordnetes `organisation-profil.md` anlegen oder aktualisieren.
66 - Zusammenfassung der geschriebenen Konfiguration zeigen.
67 - Ersten nützlichen Befehl anbieten.
68
69## `--check-integrations`
70
71Führt nur Schritt 5 erneut aus. Aktualisiert den Abschnitt `## Verfügbare Integrationen` in `CLAUDE.md`. Kein erneutes Interview. Nutzen, wenn ein MCP-Connector neu hinzugefügt oder entfernt wurde.
72
73## Quellen und Zitierweise
74
75Verbindlich nach `../../references/zitierweise.md`.
76
77- Art. 13, 14 DSGVO (Informationspflichten – Grundlage für Datenschutzerklärungsanalyse)
78- Art. 28, 29 DSGVO (Auftragsverarbeitung – Grundlage für AVV-Analyse)
79- Art. 30 DSGVO (Verarbeitungsverzeichnis)
80- Art. 35 DSGVO (DSFA-Pflicht – Referenz für DSFA-Strukturanalyse)
81- § 38 BDSG (Benennungspflicht DSB)
82- Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.
83
84## Beispiel
85
86**Situation:** Mittelständische Softwarefirma, Hauptniederlassung NRW, Auftragsverarbeiter für CRM-Kunden, interner DSB, kein DPF, Hosting in Frankfurt.
87
88**Erwartete Konfiguration (Auszug):**
89```
90Praxisumgebung: Unternehmen intern
91Primär: Auftragsverarbeiter (Art. 28 DSGVO) für Kundendaten
92Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Kunden; Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)
93Zuständige Aufsichtsbehörde: LfDI NRW (Hauptniederlassung NRW)
94DSB: [Name], intern, bestellt nach Art. 37 DSGVO / § 38 BDSG
95Drittlandtransfer: nein (Hosting Frankfurt, alle Sub-AVs EU)
96Deal-Breaker: Sub-AV-Wechsel ohne 4-Wochen-Vorankündigung
97```
98
99## Risiken / typische Fehler
100
101- **Falsche Aufsichtsbehörde:** Niederlassungsprinzip Art. 56 DSGVO und § 19 BDSG – Hauptniederlassung der Organisation, nicht Serverstandort, ist maßgeblich. Bei grenzüberschreitender Verarbeitung ist federführende Behörde zu bestimmen.
102- **DSB-Benennungspflicht übersehen:** Pflicht nach Art. 37 DSGVO besteht ab Kerngeschäft mit Verarbeitungen, die regelmäßige systematische Überwachung erfordern, oder bei Verarbeitung besonderer Kategorien im großen Umfang; §§ 37–39 BDSG ergänzen.
103- **CLAUDE.md ohne Verarbeitungsverzeichnis:** Ohne Systemliste können spätere DSAR-Abfragen keine vollständige Antwort liefern; Nutzer vor Abschluss darauf hinweisen.
104- **AVV-Extraktion zu oberflächlich:** Das Playbook muss konkrete Fallback-Positionen enthalten, sonst gibt `avv-pruefung` immer den generischen Standard aus.
105- **Integrations-Check:** Nur ✓ bei erfolgreichem Test-Aufruf; konfiguriert ≠ funktioniert.
106
107## Quellen / Updates
108
109Stand: 05/2026. Bei Änderungen der Aufsichtsbehördenstruktur (Art. 56 DSGVO), BRAO-Novellen oder Änderungen des BDSG Skill aktualisieren.
110
111**Querverweise:**
112- `datenschutzrecht/skills/datenschutzrecht-anpassen/SKILL.md` — Gezielte Anpassung einzelner Profil-Abschnitte ohne Vollinterview
113- `datenschutzrecht/skills/drittlandstransfer-pruefung/SKILL.md` — Drittlandtransfer-Konfiguration im Praxisprofil
114
115## Triage zu Beginn
116
1171. Erstmalige Einrichtung oder Update des Praxisprofils?
1182. Liegt bereits eine CLAUDE.md vor? Falls ja: Welche Abschnitte sollen aktualisiert werden?
1193. Welche Dokumente stehen bereit? (Datenschutzerklärung, VVT, bestehende AVV)
1204. Welche Rechtsgebiete sind relevant? (rein DSGVO / zusätzlich BDSG / TKG-TDDDG / KRITIS)
121
122## Output-Template — Praxisprofil-Zusammenfassung
123
124**Adressat:** DSB / Kanzlei intern — Tonfall: sachlich-strukturiert
125
126```
127Praxisprofil-Zusammenfassung [DATUM]
128Organisation: [NAME, RECHTSFORM]
129Sitz: [ORT, LAND]
130Federführende Aufsichtsbehoerde: [BEHOERDE]
131DSB: [NAME, intern/extern]
132Hauptrolle: Verantwortlicher / Auftragsverarbeiter / beide
133Hauptverarbeitungstaetigkeiten: [KURZBESCHREIBUNG]
134Drittlandtransfers: [ja/nein; Länder]
135AVV-Playbook: konfiguriert / nicht konfiguriert
136Systemliste: konfiguriert / nicht konfiguriert
137Naechste Schritte: [LISTE]
138```
139
140<!-- BEGIN ausformulierungspflicht (autogen) -->
141> **Ausformulierungspflicht und Formatstandard.** Das Endprodukt wird in **vollständigen, ausformulierten Sätzen** geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie `[Name der Mandantin]` werden klar markiert, der umgebende Text bleibt vollständig.
142>
143> **Schriftbild:** Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist **Times New Roman 11 pt** als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.
144>
145> **Nummerierung:** Gliederung ausschließlich dezimal (`1`, `1.1`, `1.1.1` und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.
146<!-- END ausformulierungspflicht (autogen) -->
147
148> Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
Klotzkette