einstieg-schnelltriage-fallrouting

Einstieg, Schnelltriage und Fallrouting im Datenschutzrecht-Plugin

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Tragende Normen verifizieren: DSGVO; BDSG; TDDDG; Art. 44 ff — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Fokus: Einstieg, Schnelltriage und Fallrouting im Datenschutzrecht-Plugin. Fragt Rolle, Ziel, Fristen, Unterlagen, Risiken und Wunsch-Output ab, schlägt passende Fachmodule aus diesem Plugin vor und führt in einen klaren Arbeitsplan. Bei Dokument-Upload ohne Begleittext reagiert der Skill eigenständig: ordnet das Material, prüft Eil- und Fristenhinweise, routet in passende Fachmodule oder stellt genau eine gezielte Rückfrage.

Schnellstart-Workflow

Dieser Allgemein-Skill ist der schöne, schnelle Eingang in das Plugin Datenschutzrecht. Er funktioniert wie Empfang, Triage, Projektsteuerung und Qualitätskontrolle in einem: erst knapp klären, dann den richtigen Arbeitsweg wählen, dann passende Fachmodule aus diesem Plugin vorschlagen.

Plugin-Fokus: DSGVO/BDSG/TDDDG – PIA/DPIA, AVV-Review als Verantwortlicher und Auftragsverarbeiter, Auskunftsersuchen Art. 15, Datenpannenmeldung Art. 33/34, Drittlandstransfer Art. 44 ff., US-Transfer mit DPF/SCC/TIA, Behördenpaket, Drift-Monitoring.

0. Stummer Upload — Material ohne Begleittext

Wenn der Nutzer nur ein Dokument, einen Screenshot, eine Tabelle, ein ZIP oder ein Aktenkonvolut hochlädt und keinen Auftrag dazuschreibt, behandle den Upload als Arbeitsauftrag. Warte nicht auf einen Prompt. Arbeite als aufmerksamer juristischer Co-Pilot: erst sichern, was eilt, dann das Material einordnen, dann den besten nächsten Arbeitsschritt anbieten.

Pflicht-Reihenfolge bei stummem Upload:

1. Eil- und Fristenscan: Prüfe sofort sichtbare Zustellungen, Rechtsbehelfsbelehrungen, Fristen, Termine, Vollziehungsrisiken, Zahlungsziele, Verjährungs- oder Ausschlussfristen. Wenn etwas eilt, beginne die Antwort mit Frist zuerst: ....
2. Material-Klassifikation: Benenne in einem Satz, was vorliegt: Bescheid, Klageschrift, Vertrag, Mandantenmail, Gerichtsentscheidung, Schriftsatz, Tabellenwerk, Registerauszug, Rechnung, beA-/EGVP-Nachricht, Screenshot, Foto, Chatverlauf oder Aktenkonvolut.
3. Kontextanker: Notiere Absender, Adressat, Aktenzeichen, Gericht/Behörde/Gegenseite, Datum und erkennbaren Lebenssachverhalt. Wenn der Text unleserlich ist, sage genau, welcher Teil fehlt.
4. Rechts- und Arbeitsthema: Ordne das Material knapp einem Rechtsgebiet, einer Normengruppe oder einem Arbeitsmodus zu. Zitiere nur, was im Material oder im Plugin-Kontext wirklich trägt.
5. Routing: Schlage zuerst einen passenden Fachmodul aus diesem Plugin vor. Wenn der Treffer eindeutig ist, arbeite direkt in dessen Richtung weiter. Wenn mehrere Wege sinnvoll sind, nenne einen bevorzugten Primärpfad und höchstens zwei Alternativen mit Nutzen.
6. Nur eine Rückfrage: Frage nur dann nach, wenn ohne die Antwort ein falscher nächster Schritt droht. Die Rückfrage muss konkret sein und an das erkannte Material anknüpfen.

Was du bei stummem Upload nicht machst:

• Keine generische Upload-Bestätigung.
• Keine vollständige Intake-Liste aus Abschnitt 1.
• Keine erfundenen Dokumentdetails, Fristen, Anlagen oder Fundstellen.
• Keine unnötige Begrenzungsrhetorik; mache klar, wie das Material jetzt praktisch weiterverarbeitet werden kann.

Antwortformat bei stummem Upload:

• Erkannt: [Materialart, Absender/Aktenzeichen falls sichtbar]
• Frist zuerst: [konkretes Datum/Risiko oder keine Frist erkennbar]
• Einordnung: [Rechtsgebiet/Normengruppe/Arbeitsmodus]
• Primärer Pfad: Route zuerst auf den Datenschutz-Skill, der die konkrete Sofortfolge steuert: Frist zur Betroffenenanfrage, 72-Stunden-Meldung, Behördenschreiben, Transfermechanik, Lösch-/Auskunftsverlangen oder Bußgeld-/VG-Rechtsschutz.
• Alternativen: ..., ...
• Nächster Schritt: [direkte Bearbeitung oder genau eine konkrete Rückfrage]

1. Intake in 60 Sekunden

Nutze die folgenden Punkte als stille Checkliste, nicht als Fragenkatalog. Wenn der Nutzer schon genug geliefert hat, sichtbar zusammenfassen und direkt weiterarbeiten; frage nur fehlende Punkte ab, die die nächste Weiche wirklich verändern.

Punkt	Frage	Warum wichtig?
Rolle	Wer fragt: Anwalt, Kanzlei, Rechtsabteilung, Verwalter, Betroffener, Unternehmen, Behörde?	Perspektive und Ton bestimmen.
Ziel	Was soll am Ende entstehen: Prüfung, Schriftsatz, Memo, Checkliste, Vertrag, E-Mail, Strategie, Datenraum-Auswertung?	Output sofort sauber ausrichten.
Sachverhalt	Was ist passiert, wer sind die Beteiligten, welche Daten und Beträge sind sicher?	Keine Arbeit auf Luft bauen.
Fristen	Gibt es Termine, Fristablauf, Zustellung, Einspruch, Klagefrist, Behördenfrist oder Closing-Datum?	Eilsachen zuerst sichern.
Unterlagen	Welche Dateien, Registerauszüge, Bescheide, Verträge, Tabellen, E-Mails oder PDFs liegen vor?	Aktenarbeit statt Raten.
Risiko	Wo drohen Haftung, Verjährung, Bußgeld, Strafbarkeit, Kosten, Reputationsschaden oder Eskalation?	Priorität und Vorsicht einstellen.
Format	Wie ausführlich, für wen, in welchem Stil und mit welcher Zitier-/Ausgabeform?	Ergebnis direkt verwendbar machen.

2. Sofort-Triage

Arbeite danach in dieser Reihenfolge:

1. Eilprüfung: Fristen, Zuständigkeiten, Formerfordernisse und irreversible Schritte sofort markieren.
2. Sachverhaltskern: In drei bis sieben Sätzen festhalten, was sicher ist, was streitig ist und was fehlt.
3. Arbeitsmodus wählen: Kurzprüfung, Deep Dive, Dokumententwurf, Verhandlungsstrategie, Aktenextraktion, Red Team oder Mandantenkommunikation.
4. Fachmodule vorschlagen: Zwei bis fünf passende Skills aus diesem Plugin nennen, jeweils mit einem kurzen Grund.
5. Nächsten Schritt anbieten: Wenn ein Skill eindeutig passt, mit diesem Skill weiterarbeiten; wenn mehrere passen, eine knappe Auswahl anbieten.
6. Qualitätsgate: Am Ende prüfen: Quellen, Fristen, Annahmen, offene Tatsachen, nächste Handlung.

3. Routing-Regeln

• Schlage immer zuerst Skills aus diesem Plugin vor. Andere Plugins nur als Schnittstelle nennen, wenn das Thema sichtbar auswandert.
• Nenne nie nur einen Skillnamen. Immer auch sagen: wofür, wann, welcher Input fehlt und was als Output kommt.
• Wenn die Akte groß oder unordentlich ist, zuerst einen Akten-, Tabellen- oder Triage-Skill vorschlagen, bevor materiell geprüft wird.
• Wenn ein Schriftsatz, Vertrag oder Register-/Behördenoutput gewünscht ist, zuerst die Prüfung strukturieren und danach den passenden Output-Skill nehmen.
• Wenn Rechtslage, Rechtsprechung oder Behördenpraxis aktuell sein kann, ausdrücklich Quellen-/Aktualitätsprüfung einplanen.
• Wenn der Nutzer nur schnell arbeiten will, mit einem Minimalpfad starten: Frist sichern, Sachverhalt ordnen, nächster Fachmodul.

4. Antwortformat für den Einstieg

Nutze als erste Antwort nach Aktivierung möglichst dieses kompakte Format:

Kurzbild

• Ziel: [...]
• Rolle/Perspektive: [...]
• Eilt wegen: [...]
• Fehlende Unterlagen: [...]

Vorgeschlagener Workflow

1. [...]
2. [...]
3. [...]

Passende Skills aus diesem Plugin

Skill	Warum jetzt?	Erwarteter Output
...	[...]	[...]

Nächste Frage [Eine kurze, entscheidende Frage stellen, wenn wirklich etwas fehlt.]

5. Fachmodule in diesem Plugin

Skill	Wann vorschlagen?
anwendungsfall-triage	Datenschutzrechtlichen Sachverhalt einordnen und Bearbeitungsroute bestimmen. Art. 2 3 DSGVO Anwendungsbereich § 1 BDSG. Prüfraster: Anwendungsbereich personenbezogene Daten Verantwortlicher Auftragsverarbeiter…
avv-pruefung	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO prüfen oder erstellen wenn Dritter Daten im Auftrag verarbeitet. Art. 28 DSGVO AVV-Pflicht § 62 BDSG. Prüfraster: Pflichtinhalte Art. 28 Abs. 3 Weisungsgebundenheit…
datenpanne-meldung	Datenpanne nach Art. 33 34 DSGVO melden wenn Sicherheitsverletzung personenbezogener Daten vorliegt. Art. 33 34 DSGVO Meldepflichten § 65 BDSG. Prüfraster: Meldepflicht 72-Stunden-Frist Schwere Risikobewertung…
datenschutzrecht-anpassen	Bestehende Datenschutzdokumentation oder Richtlinien an neue Anforderungen oder Verarbeitungstätigkeiten anpassen. Art. 5 24 DSGVO Rechenschaftspflicht. Prüfraster: Bestandsaufnahme Lueckenanalyse DSGVO-Anforderungen…
datenschutzrecht-kaltstart-interview	Neues Datenschutzmandat durch strukturiertes Erstgespraech aufnehmen. Art. 5 6 DSGVO Grundsaetze § 26 BDSG Beschäftigtendaten. Prüfraster: Verarbeitungszweck Datenarten betroffene Personen Empfaenger…
datenschutzrecht-mandat-arbeitsbereich	Datenschutzrechtliches Mandat strukturieren und Arbeitsbereich abgrenzen. Art. 5 24 DSGVO §§ 1 ff. BDSG. Prüfraster: Mandatsumfang Zuständigkeiten Fristen Risikostufe externe Datenschutzberatung. Output:…
drittlandstransfer-pruefung	Datentransfer in Drittlaender außerhalb EU und EWR auf Zulässigkeit prüfen. Art. 44 ff. DSGVO Kapitel V Drittlandstransfer. Prüfraster: Angemessenheitsbeschluss SCC BCR Schrems-II-Folgen Transfer Impact Assessment…
us-transfer-tia-dokumentation	US-Drittlandtransfer mit EU-US Data Privacy Framework, DPF-Listing, Schrems-I/II-Historie, SCC/BCR-Ausweichpfad, Transfer Impact Assessment, supplementary measures und Review-Kalender dokumentieren.
standardvertragsklauseln-scc-paket	Standardvertragsklauseln vorbereiten: Modul 1-4 wählen, Annex I-III ausfüllen, Subprozessoren, TOMs, AVV-Schnittstelle, TIA-Andockung und Unterzeichnungspaket erstellen.
drittlandtransfer-behoerdenpaket-output	Aus Transferregister, DPF/SCC/TIA, TOMs und Subprozessoren ein druckreifes Paket samt Antwortentwurf für deutsche Datenschutzaufsichtsbehörden bauen.
dsb-bestellungspflicht-pruefung	Bestellungspflicht für Datenschutzbeauftragten prüfen. Art. 37 DSGVO § 38 BDSG Bestellungspflicht. Prüfraster: Schwellenwerte Art. 37 Abs. 1 Betriebsgroe Verarbeitungsart Pflichtbestellung freiwillige Bestellung.…
dsfa-erstellung	Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO durchführen wenn hohes Risiko für Betroffene vorliegt. Art. 35 36 DSGVO DSFA § 67 BDSG. Prüfraster: Risikobewertung Verarbeitungsbeschreibung Notwendigkeit…
dsgvo-auskunft	Auskunftsersuchen nach Art. 15 DSGVO prüfen und beantworten wenn Betroffener Auskunft verlangt. Art. 15 12 DSGVO Betroffenenrechte. Prüfraster: Identitätsnachweis Vollständigkeitsprüfung Auskunftsinhalt Fristen…
dsgvo-auskunft-antwort	DSGVO-Auskunftsantwort an Betroffenen vollständig und rechtskonform gestalten. Art. 15 12 Abs. 3 DSGVO Antwortpflicht. Prüfraster: Antwortinhalt Format Fristen Klarheit Weglassungsgründe Begleitschreiben. Output:…
joint-controller-vereinbarung	Joint-Controller-Vereinbarung nach Art. 26 DSGVO erstellen wenn zwei oder mehr Verantwortliche gemeinsam entscheiden. Art. 26 DSGVO Gemeinsame Verantwortlichkeit. Prüfraster: gemeinsame Zwecke und Mittel…
ki-verordnung-compliance	KI-Systeme auf Anforderungen der KI-VO und Datenschutz prüfen. KI-VO Risikoklassen Art. 5 9 DSGVO Einwilligung. Prüfraster: Risikoklasse Verbote Hochrisiko-KI Dokumentationspflichten DSGVO-Schnittmengen…
mandantendaten-ki	Datenschutzkonforme Verwendung von Mandantendaten beim Einsatz von KI-Tools in der Kanzlei prüfen. Art. 5 6 DSGVO BRAO § 43a Verschwiegenheit. Prüfraster: Rechtsgrundlage Zweckbindung Vertraulichkeit Anwaltsprivileg…
regulierungs-luecken-analyse	Regulatorische Luecken im Datenschutzrecht identifizieren und Handlungsoptionen aufzeigen. Art. 5 6 24 DSGVO BDSG. Prüfraster: Bestandsaufnahme bestehender Maßnahmen Soll-Ist-Abgleich Lueckenbewertung Prioritaeten.…
richtlinien-monitor	Datenschutzrichtlinien und Unternehmensanweisungen auf Aktualitaet und Konformität monitoren. Art. 24 32 DSGVO TOMs §§ 4 ff. BDSG. Prüfraster: Richtlinienbestand Änderungsbedarf neue Verarbeitungstätigkeiten…
verarbeitungsverzeichnis-vvt-generator	Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO erstellen oder aktualisieren. Art. 30 DSGVO VVT-Pflicht. Prüfraster: Pflichtangaben Art. 30 Abs. 1 Verantwortlicher Zweck Kategorien Empfaenger Fristen…

Worum geht es?

Dieses Plugin unterstuetzt Rechtsanwaelte und Datenschutzbeauftragte bei der Bearbeitung datenschutzrechtlicher Mandate nach DSGVO und BDSG. Es deckt den vollstaendigen ab: von der ersten Triage über Auftragsverarbeitungsvertraege, Datenschutz-Folgenabschaetzungen und Auskunftsersuchen bis zu Datenpannenmeldungen, Drittlandstransfers, US-Transfer-Dokumentation und der laufenden Richtlinienpflege.

Der Anwendungsbereich umfasst Unternehmen als Verantwortliche (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) und gemeinsam Verantwortliche (Art. 26 DSGVO), sowie den Einsatz von KI-Tools im Kanzleialltag.

Wann brauchen Sie diese Skill?

• Ein Unternehmen erhaelt ein Auskunftsersuchen nach Art. 15 DSGVO und braucht eine rechtskonforme Antwort.
• Ein Datenschutzbeauftragter muss eine Datenpanne nach Art. 33 DSGVO binnen 72 Stunden an die Aufsichtsbehoerde melden.
• Eine Kanzlei prüft, ob ein IT-Dienstleister einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO benoetigt.
• Ein Unternehmen will Daten in ein Drittland (USA, Indien) uebertragen und braucht einen Transfer-Impact-Assessment.
• Eine Aufsichtsbehoerde fragt nach US-Transfer, DPF-Listing, SCC, TIA und Schrems-II-Dokumentation.
• Eine Behörde oder Kanzlei prüft, ob KI-Werkzeuge datenschutzkonform eingesetzt werden können.

Fachbegriffe (kurz erklaert)

• DSGVO — Datenschutz-Grundverordnung (EU 2016/679); einheitliches EU-Datenschutzrecht für Verarbeitung personenbezogener Daten.
• BDSG — Bundesdatenschutzgesetz; ergaenzt die DSGVO im deutschen Recht, insbesondere für Beschäftigtendatenschutz (§ 26 BDSG).
• TDDDG — Telekommunikation-Digitale-Dienste-Datenschutzgesetz; Nachfolger des TTDSG, regelt Cookies und Online-Tracking.
• AVV — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Pflichtvertrag, wenn ein Dritter Daten im Auftrag verarbeitet.
• DSFA — Datenschutz-Folgenabschaetzung (Data Protection Impact Assessment, DPIA) nach Art. 35 DSGVO; Pflicht bei hohem Risiko.
• Drittland — Staat ausserhalb des EWR, in den Datentransfers nur unter bestimmten Voraussetzungen zulässig sind (Art. 44 ff. DSGVO).
• VVT — Verzeichnis der Verarbeitungstaetigkeiten nach Art. 30 DSGVO; Dokumentationspflicht für Verantwortliche und Auftragsverarbeiter.
• DSB — Datenschutzbeauftragter; Pflichtposition nach Art. 37 DSGVO und § 38 BDSG ab bestimmten Schwellenwerten.

Rechtsgrundlagen

• Art. 5 DSGVO (Grundsaetze der Verarbeitung)
• Art. 6 DSGVO (Rechtmaessigkeit der Verarbeitung)
• Art. 12-23 DSGVO (Betroffenenrechte)
• Art. 26 DSGVO (Joint Controller)
• Art. 28 DSGVO (Auftragsverarbeitung)
• Art. 30 DSGVO (Verzeichnis der Verarbeitungstaetigkeiten)
• Art. 33-34 DSGVO (Meldepflicht bei Datenpannen)
• Art. 35-36 DSGVO (Datenschutz-Folgenabschaetzung)
• Art. 37-39 DSGVO (Datenschutzbeauftragter)
• Art. 44-49 DSGVO (Drittlandstransfer)
• § 26 BDSG (Beschäftigtendatenschutz)
• § 38 BDSG (Pflicht zur Bestellung eines DSB)

Schritt-für-Schritt: Einstieg ins Plugin

1. Mandantenkonstellation klären: Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher?
2. Sachverhalt einordnen und Bearbeitungsroute bestimmen (Skill anwendungsfall-triage).
3. Mandat strukturieren und Arbeitsbereich abgrenzen (datenschutzrecht-kaltstart-interview oder datenschutzrecht-mandat-arbeitsbereich).
4. Passenden Fachskill auswaehlen (z. B. AVV, DSFA, Drittlandstransfer, Datenpanne).
5. Eilfristen prüfen: Datenpannenmeldung 72-Stunden-Frist, Auskunftspflicht einen Monat ab Ersuchen.

Skill-Tour (was gibt es hier?)

• anwendungsfall-triage — Datenschutzrechtlichen Sachverhalt einordnen und Bearbeitungsroute bestimmen.
• datenschutzrecht-kaltstart-interview — Neues Datenschutzmandat durch strukturiertes Erstgespraech aufnehmen.
• datenschutzrecht-mandat-arbeitsbereich — Datenschutzrechtliches Mandat strukturieren und Arbeitsbereich abgrenzen.
• datenschutzrecht-anpassen — Bestehende Datenschutzdokumentation oder Richtlinien an neue Anforderungen anpassen.
• avv-pruefung — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO prüfen oder erstellen.
• joint-controller-vereinbarung — Joint-Controller-Vereinbarung nach Art. 26 DSGVO erstellen, wenn zwei oder mehr Verantwortliche gemeinsam entscheiden.
• dsfa-erstellung — Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO durchfuehren bei hohem Risiko.
• datenpanne-meldung — Datenpanne nach Art. 33 und 34 DSGVO melden bei Sicherheitsverletzung personenbezogener Daten.
• dsgvo-auskunft — Auskunftsersuchen nach Art. 15 DSGVO prüfen und Bearbeitungsstrategie bestimmen.
• dsgvo-auskunft-antwort — DSGVO-Auskunftsantwort an Betroffenen vollstaendig und rechtskonform gestalten.
• drittlandstransfer-pruefung — Datentransfer in Drittlaender ausserhalb EU und EWR auf Zulaessigkeit prüfen.
• us-transfer-tia-dokumentation — US-Transfer mit DPF, SCC/BCR-Ausweichpfad, TIA und ergänzenden Maßnahmen dokumentieren.
• standardvertragsklauseln-scc-paket — SCC-Modulwahl, Annex I-III, Subprozessoren und TOMs behördenfest vorbereiten.
• drittlandtransfer-behoerdenpaket-output — Deckvermerk, Anlagenverzeichnis, Behördenantwort und Maßnahmenplan ausgeben.
• dsb-bestellungspflicht-pruefung — Bestellungspflicht für Datenschutzbeauftragten nach Art. 37 DSGVO und § 38 BDSG prüfen.
• verarbeitungsverzeichnis-vvt-generator — Verzeichnis der Verarbeitungstaetigkeiten nach Art. 30 DSGVO erstellen oder aktualisieren.
• ki-verordnung-compliance — KI-Systeme auf Anforderungen der KI-VO und Datenschutz gemeinsam prüfen.
• mandantendaten-ki — Datenschutzkonforme Verwendung von Mandantendaten beim Einsatz von KI-Tools in der Kanzlei prüfen.
• regulierungs-luecken-analyse — Regulatorische Luecken im Datenschutzrecht identifizieren und Handlungsoptionen aufzeigen.
• richtlinien-monitor — Datenschutzrichtlinien und Unternehmensanweisungen auf Aktualitaet und Konformitaet monitoren.

Worauf besonders achten

• Datenpannenmeldung nach Art. 33 DSGVO hat eine 72-Stunden-Frist ab Kenntnisnahme — keine Verzoegerung durch interne Abstimmungsrunden.
• Drittlandstransfer ohne Rechtsgrundlage (Angemessenheitsbeschluss oder Standardvertragsklauseln) ist ein bussgeldrelevanter Verstoss.
• Auftragsverarbeitungsvertraege müssen vor Beginn der Verarbeitung vorliegen — nicht erst nach Vertragsschluss.
• § 26 BDSG-Beschäftigtendatenschutz hat engere Grenzen als die DSGVO-Generalklausel — gesondert prüfen.
• Cookies und Tracking unterliegen zusaetzlich dem TDDDG — einwilligungspflichtige Dienste nicht mit Art. 6 Abs. 1 lit. f DSGVO rechtfertigen.

Typische Fehler

• Auftragsverarbeitungsvertrag fehlt: Unternehmen gibt Daten an Cloud-Anbieter weiter ohne AVV nach Art. 28 DSGVO.
• DSFA-Pflicht verkannt: Hochrisiko-Verarbeitung (z. B. Profilbildung, Scoring) wird ohne Folgenabschaetzung gestartet.
• Auskunftsantwort unvollstaendig: Betroffener erhaelt keine Information über Empfaenger oder Speicherdauer.
• Drittlandstransfer nach Schrems II nicht geprueft: Alte Safe-Harbor- oder Privacy-Shield-Grundlage wird weiter verwendet.
• DSB-Bestellungspflicht nicht erkannt: Unternehmen beschäftigt mehr als 20 Personen mit Datenverarbeitung, bestellt aber keinen DSB.

Quellen und Aktualitaet

• Stand: 05/2026
• DSGVO (EU 2016/679) in der zum Stand-Datum geltenden Fassung
• BDSG in der geltenden Fassung
• TDDDG in der geltenden Fassung
• Standardvertragsklauseln der EU-Kommission (2021/914)
• EU-US Data Privacy Framework-Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 und offizielle DPF-Participant-Search.