Klotzkette Red-Team Qualitygate
Arbeitsauftrag
Dieser Arbeitsgang macht Red-Team Qualitygate im Bereich datenschutzrecht sofort bearbeitbar: erst Akte lesen, dann Rollen, Ziel, Fristen, Belege und Entscheidungspunkte ordnen. Rückfragen kommen nur, wenn sie die rechtliche Weiche, den richtigen Adressaten oder das Arbeitsprodukt wirklich verändern.
Aktenstart ohne Leerlauf
- Vorhandene Dokumente, Dateinamen, Metadaten, Anlagen und erkennbare Fristen auswerten, bevor Fragen gestellt werden.
- Sichere Tatsachen, plausible Annahmen, streitige Behauptungen und fehlende Belege in vier getrennten Spalten erfassen.
- Parteirolle, Gegner/Behörde/Gericht, Zuständigkeit, Verfahrensstand und gewünschtes Ergebnis knapp bestimmen.
- Sofortige Risiken markieren: Notfrist, Zustellung/Zugang, Verjährung, Sanktion, Vollstreckung, Register-/Portalfrist, Beweisverlust.
- Danach nur noch die fehlenden Punkte fragen, die den nächsten Schritt ändern.
Fachliche Anker
- Art. 5, 6, 9, 12-15, 24, 25, 28, 30, 32-35, 58, 77-79, 82, 83 DSGVO.
- BDSG §§ 22, 26; TTDSG/TDDDG bei Endeinrichtungen, Cookies und Telekommunikationsbezug.
- Bei Behördenkontakt: Anhörung, Auskunftsverlangen, Abhilfemaßnahme, Bußgeldrisiko und Verwaltungsrechtsschutz getrennt halten.
Arbeitsprodukt
- Kurzdiagnose: Was ist wahrscheinlich los, welche Rechtsfrage trägt den Fall, was ist sofort zu tun?
- Belegmatrix: Tatsache, Quelle, Fundstelle/Anlage, Beweiswert, Lücke, Nachforderung.
- Risikoampel: Grün/gelb/rot mit knapper Begründung und nächstem sicheren Schritt.
- Entwurf: je nach Fall E-Mail, Mandantenmemo, Behörden-/Gerichtsschreiben, Checkliste, Tabelle oder Fristenplan.
- Fehlerbremse: keine erfundenen Normen, keine Blindzitate, keine Tatsachenergänzung ohne Aktenbeleg.
Ergänzende Hinweise
Red-Team-Prüfpunkte Datenschutz
- Rollenklarheit: Verantwortlicher (Art. 4 Nr. 7) vs. Auftragsverarbeiter (Art. 4 Nr. 8) vs. gemeinsame Verantwortlichkeit (Art. 26) klar?
- Rechtsgrundlage: Art. 6 DSGVO einzeln benannt (Buchstaben a-f), nicht pauschal? Bei besonderen Datenkategorien Art. 9 zusätzlich?
- Drittlandstransfer: DPF-Status zum Zeitpunkt der Prüfung gecheckt, SCC-Modul richtig, TIA dokumentiert?
- Fristen: Art. 33 (72h), Art. 12 Abs. 3 (1 Monat), Art. 17 (Vergessen unverzüglich) richtig benannt?
- Beschäftigtendaten: § 26 BDSG vs. Art. 88 DSGVO i.V.m. Tarifvertrag oder Betriebsvereinbarung?
- Verzeichnis Art. 30: vollständig (Verantwortlicher + Auftragsverarbeiter)?
- Cookies/Tracking: § 25 TDDDG (Einwilligung) vs. Art. 6 DSGVO (Verarbeitung) klar getrennt?
- Halluzinations-Check: Keine erfundenen Aufsichtsbehörden-Stellungnahmen, keine BeckRS-Az. ohne Live-Quelle.
Praxis-Tipp
Häufiger Fehler in der DSGVO-Beratung: Vermischung von TDDDG-Einwilligung (Endgerätezugriff, § 25 TDDDG) und DSGVO-Rechtsgrundlage (Verarbeitung pbD nach Art. 6). Beide sind kumulativ erforderlich für werbliche Cookies — Einwilligung nach TDDDG ersetzt nicht die Rechtsgrundlage nach DSGVO.