# Richtlinien Monitor > Für Policy-Monitor – Drift-Monitoring Datenschutzerklärung: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt. - Skill: `klotzkette/richtlinien-monitor` (Agent Skill) - Install (CLI): `npx skillmds add klotzkette/richtlinien-monitor` - Raw SKILL.md: https://api.skillmd.com/api/skills/klotzkette/richtlinien-monitor/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: Klotzkette (https://skillmd.com/u/klotzkette) - Updated: 2026-09-08 - Page: https://skillmd.com/skills/klotzkette/richtlinien-monitor --- # Policy-Monitor – Drift-Monitoring Datenschutzerklärung ## Eingaben - **Sweep-Modus:** Ausgabenordner aus `CLAUDE.md` (wo DSFAs, AVV-Reviews, Triage-Ergebnisse gespeichert sind), Datenschutzerklärungsquelle (URL oder Datei), Liste aktueller Verarbeitungstätigkeiten - **Direkt-Modus:** Beschreibung der geplanten Änderung der Verarbeitungspraxis ## Ablauf – Sweep-Modus 1. **Commitment-Inventur.** Alle Datenschutz-Commitment-Flächen aus `CLAUDE.md` lesen: - Datenschutzerklärung (Haupt-URL / Dokument) - CMP / Cookie-Consent-Banner-Konfiguration - App-Store Privacy Labels - In-Produkt-Einwilligungsflows - Sektorspezifische Hinweise (TDDDG, KUG) 2. **Praxis-Inventur.** Aktuelle Verarbeitungspraxis aus Ausgaben des Plugins rekonstruieren: - Neueste AVV-Reviews (neue Sub-AVs, neue Drittlandtransfers) - Neueste DSFA-Ergebnisse (neue Verarbeitungstätigkeiten) - Neueste Triage-Ergebnisse (Rechtsgrundlagenänderungen) - Aus `CLAUDE.md` bekannte Systemliste und Drittlandsituation 3. **Drift-Analyse.** Für jede Commit-Fläche: Ist-Inhalt gegen Praxis-Inventur abgleichen. | Commit-Fläche | Praxis-Ist | Erklärung-Ist | Drift? | Schwere | |---|---|---|---|---| | Datenschutzerklärung – Empfänger | [aktuelle Liste] | [publizierte Liste] | Ja/Nein | 🔴/🟡/🟢 | | Cookie-Banner – Kategorien | [aktiv gesetzt] | [angekündigt] | Ja/Nein | … | | Speicherfristen | [tatsächlich] | [publiziert] | Ja/Nein | … | | Drittlandtransfer-Mechanismus | [aktuell] | [publiziert] | Ja/Nein | … | 4. **Drift-Klassifikation.** - 🔴 **Sofortiger Handlungsbedarf:** Verarbeitung erfolgt, die in der Erklärung nicht angekündigt ist → Informationspflicht-Verstoß Art. 13/14 DSGVO, potenziell rechtswidrige Verarbeitung. - 🟠 **Hoch:** Wesentliche Erweiterung des Verarbeitungsumfangs nicht reflektiert (z.B. neuer Zweck, neues Empfänger-Land). - 🟡 **Mittel:** Aktualisierung empfohlen, keine unmittelbare Rechtswidrigkeit (z.B. neue Formulierung genauer als nötig, aber nicht falsch). - 🟢 **Gering:** Kosmetische Anpassung, kein Handlungsdruck. 5. **Änderungsentwürfe.** Für jede 🔴- und 🟠-Drift: konkreten Textvorschlag für die Datenschutzerklärung formulieren (nicht als Meta-Kommentar, sondern als fertiger Erklärungstext). 6. **Sweep-Bericht.** Zusammenfassung: [N] Drifts, davon [N] 🔴, [N] 🟠, [N] 🟡; Änderungsvorschläge inline; Folgeaktionen. ## Ablauf – Direkt-Modus 1. Geplante Änderung der Verarbeitungspraxis beschreiben lassen. 2. Prüfen: Welche Art. 13/14 DSGVO-Pflichtinformationen sind betroffen? - Neue Datenkategorie → Art. 13 Abs. 1 lit. c DSGVO - Neuer Zweck → Art. 13 Abs. 1 lit. c DSGVO - Neuer Empfänger → Art. 13 Abs. 1 lit. e DSGVO - Neue Speicherfrist → Art. 13 Abs. 2 lit. a DSGVO - Neues Drittland → Art. 13 Abs. 1 lit. f DSGVO 3. Prüfen: Ändert sich die Rechtsgrundlage (Art. 6/9 DSGVO)? Muss ggf. neue Einwilligung eingeholt werden? 4. Prüfen: Ist eine DSFA erforderlich? (Weiterleitung an `dsfa-erstellung` anbieten) 5. Änderungsentwurf für betroffene Abschnitte der Datenschutzerklärung erstellen. 6. Prüfen: Erfordern App-Store-Labels oder Cookie-Banner-Konfiguration Anpassung? ## Quellen und Zitierweise Verbindlich nach `../../references/zitierweise.md`. - Art. 13 DSGVO (Informationspflicht bei Datenerhebung bei Betroffenen) - Art. 14 DSGVO (Informationspflicht bei Datenerhebung nicht bei Betroffenen) - Art. 5 Abs. 1 lit. a DSGVO (Transparenzgrundsatz) - Art. 12 DSGVO (Transparente Information) - §§ 19, 25 TDDDG (Einwilligung Endgerätezugriff, Cookie-Einwilligung) - EDSA-Leitlinien 03/2022 zu Dunklen Designmustern (Consent-Flows) - EDSA-Leitlinien 05/2020 zu Einwilligung - Paal, in: Paal/Pauly, DSGVO/BDSG, 3. Aufl. 2021, Art. 13 Rn. 1 ff. - Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert. - Quellenregel: Literatur nur mit Nutzerquelle oder lizenziertem Live-Zugriff; keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen. ## Beispiel (Direkt-Modus) **Geplante Änderung:** Das Unternehmen möchte einen neuen Analytics-Anbieter mit Sitz in den USA integrieren (bisher EU-only). **Analyse:** - Neue Datenkategorie: Nein (Nutzungsverhalten bereits erfasst). - Neuer Empfänger (Drittland USA): **Ja** – Art. 13 Abs. 1 lit. f DSGVO (Drittlandtransfer mit Transfermechanismus angeben). - Consent-Management: Ist der Anbieter nur nach Einwilligung aktiv (§ 25 TDDDG)? Dann Cookie-Banner anpassen (neue Kategorie / neuer Anbieter). - DSFA: `anwendungsfall-triage` empfehlen – bei umfangreichem Tracking ggf. DSFA nach Art. 35 DSGVO erforderlich. **Änderungsentwurf (Datenschutzerklärung, Abschnitt "Drittlandsübermittlung"):** > "[Neue Passage] Wir übermitteln Daten an [Anbieter] mit Sitz in den USA. Die Übermittlung erfolgt auf Grundlage von [Transfermechanismus: EU-Standardvertragsklauseln nach Beschluss 2021/914/EU / EU-US Data Privacy Framework]. Eine Transferfolgenabschätzung liegt vor. Weitere Informationen erhalten Sie auf Anfrage bei unserem Datenschutzbeauftragten." ## Risiken / typische Fehler - **Sweep ohne konfigurierten Ausgabenordner:** Ohne Ordner-Pfad kann der Sweep keine Praxis-Inventur aus Plugin-Ausgaben erstellen; Direkt-Modus bleibt aber ohne Ausgabenordner vollständig nutzbar. - **Datenschutzerklärungsversion nicht datiert:** Nutzer sollten publizierte Erklärungen immer mit Datum versehen; anderenfalls kann Drift nicht datiert werden. - **Cookie-Banner ≠ Datenschutzerklärung:** TDDDG-Einwilligung (§ 25 TDDDG) ist unabhängig von der DSGVO-Rechtsgrundlage; eine korrekte Datenschutzerklärung ersetzt nicht den rechtskonformen Cookie-Banner. - **Stillschweigendes Weglassen veralteter Klauseln:** Wenn eine Verarbeitung eingestellt wird, muss die Datenschutzerklärung aktiv aktualisiert werden – das Fehlen einer Praxis ist kein Automatismus für korrekte Erklärung. - **Frequenz:** EDSA empfiehlt anlassbezogene Aktualisierung; ein rein jährliches Review ist bei schnell wachsenden Produkten nicht ausreichend. ## Quellen / Updates Stand: 05/2026. Aktualität prüfen bei Änderungen des TDDDG, neuen EDSA-Leitlinien zu Transparenz und Einwilligung sowie DSK-Orientierungshilfen zu Telemedien. **Querverweise:** - `datenschutzrecht/skills/regulierungs-luecken-analyse/SKILL.md` — Eingehende neue Anforderungen vs. Praxis-Drift - `datenschutzrecht/skills/drittlandstransfer-pruefung/SKILL.md` — Drittlandtransfer-Passagen in Datenschutzerklärungen - `datenschutzrecht/skills/anwendungsfall-triage/SKILL.md` — Neue Verarbeitungstätigkeiten identifizieren ## Faktische Updates (Stand 05/2026) - **TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz):** Seit 14.05.2024 (loest TTDSG ab); enthaelt §§ 24-25 zur Cookie- und Endgeraetezugriffs-Einwilligung. Quelle: gesetze-im-internet.de/tdddg. - **EDSA-Guidelines Cookies / Tracking:** EDSA-Guidelines 02/2023 und Aktualisierungen (z.B. Dark Patterns) live über edpb.europa.eu prüfen. - **DSK-Beschlüsse (Datenschutzkonferenz Bund-Länder):** Aktuelle DSK-Beschlüsse zu Cookies, Drittlandtransfer, KI, Beschäftigtendatenschutz live über datenschutzkonferenz-online.de prüfen. - **EuGH-Linie Cookies / Einwilligung:** Aktuelle EuGH-Verfahren zur Granularitaet, Freiwilligkeit, Pay-or-OK-Modellen live über curia.europa.eu prüfen. - **DSA-Werbetransparenz:** Datenschutzerklaerung sollte bei Plattformen Hinweise auf DSA-Werbearchiv (Art. 39 DSA) und Empfehlungssysteme (Art. 38 DSA) enthalten. - **KI-VO Art. 50:** Falls Webseite Chatbot oder KI-generierte Inhalte enthaelt — KI-VO-Transparenzpflichten ab 02.08.2026 in Datenschutzerklaerung / Impressum / Hinweise integrieren. ## Triage zu Beginn 1. Routinemonitor (wöchentlich/monatlich) oder konkreter Anlass (neue Verarbeitung, Systemwechsel)? 2. Welche Dokumente sollen geprüft werden? (Datenschutzerklärung Website / intern / beides) 3. Welche neuen Verarbeitungsvorgänge wurden seit dem letzten Monitor eingeführt? 4. Gibt es EDSA-Leitlinien oder DSK-Beschlüsse, die seit dem letzten Monitor in Kraft getreten sind? ## Output-Template — Monitor-Ergebnis **Adressat:** DSB / Compliance — Tonfall: sachlich-strukturiert ``` Richtlinien-Monitor [DATUM] Organisation: [NAME] Geprüfte Dokumente: [LISTE] Befunde: | Nr. | Dokument | Abweichung / Drift | Prioritaet | Frist | |-----|------------------|----------------------------------|------------|--------| | 1 | Datenschutzerklärung | Cookie-Liste veraltet (3 neue) | HOCH | [DATUM]| | 2 | Datenschutzerklärung | Empfaenger nicht konkret benannt| MITTEL | [DATUM]| | 3 | Interne Richtlinie | KI-Tools noch nicht erwaehnt | HOCH | [DATUM]| Keine Abweichungen: [LISTE GEPRÜFTER BEREICHE] Empfehlung: Aktualisierung bis [DATUM] Verantwortlich: [PERSON/ROLLE] ``` > Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.