gdpr-data-handling

Überblick über den gdpr-data-handling Skill

Was der gdpr-data-handling Skill leistet

Der gdpr-data-handling Skill hilft einem Agenten dabei, allgemeine DSGVO-Anforderungen in konkrete Umsetzungshinweise für Datenverarbeitung, Einwilligung, Betroffenenrechte, Aufbewahrung und Privacy-by-Design-Entscheidungen zu übersetzen. Besonders nützlich ist er, wenn Sie mehr brauchen als einen generischen Prompt wie „mach das DSGVO-konform“ und ein strukturiertes Verfahren suchen, um ein Produkt, einen Workflow oder eine Richtlinie gegen typische DSGVO-Pflichten zu prüfen.

Für wen er geeignet ist

Besonders gut geeignet ist der Skill für:

• Produkt- und Engineering-Teams, die Funktionen ausrollen, die personenbezogene Daten von EU-Nutzern verarbeiten
• Compliance-, Legal-Ops- und Security-Reviewer, die eine erste Gap-Analyse durchführen
• Gründer oder operative Teams, die Einwilligungsflows, DSR-Prozesse oder Aufbewahrungskontrollen entwerfen
• AI-Builder, die vor dem Launch gdpr-data-handling for Compliance Review brauchen

Wenn Sie das zu prüfende System bereits kennen, aber eine disziplinierte Checkliste und klare Ausgabestruktur brauchen, passt dieser Skill sehr gut.

Das eigentliche Job-to-be-done

Die meisten Nutzer brauchen keine juristische DSGVO-Zusammenfassung wie aus dem Studium. Sie brauchen Unterstützung bei praktischen Fragen wie:

• welche Kategorien personenbezogener Daten betroffen sind
• auf welche Rechtsgrundlage sich die Verarbeitung stützt
• ob tatsächlich eine Einwilligung erforderlich ist
• welche Betroffenenrechte unterstützt werden müssen
• wo Schwächen bei Aufbewahrung, Löschung und Nachvollziehbarkeit liegen
• welche Abhilfemaßnahmen vor dem Release umgesetzt werden sollten

Genau darin liegt der Kernnutzen des gdpr-data-handling skill.

Wodurch er sich von einem generischen Prompt unterscheidet

Ein normaler Prompt liefert oft nur allgemeine Datenschutzhinweise. Dieser Skill ist hilfreicher, wenn das Modell DSGVO-spezifische Dimensionen sauber durchdenken soll, etwa:

• Kategorien personenbezogener Daten, einschließlich besonderer Kategorien und Daten von Kindern
• Rechtsgrundlagen nach Artikel 6
• Umgang mit Betroffenenrechten
• Erwartungen an Privacy by Design
• operative Compliance-Aufgaben statt nur Policy-Text

Der entscheidende Unterschied ist die Struktur: Sie gibt dem Agenten einen besseren Rahmen für Compliance-Reviews, besonders wenn Ihre Eingaben unvollständig oder unsortiert sind.

Was Sie vor der Installation wissen sollten

Dieser Skill scheint ein einfacher Guidance-Skill zu sein, der sich auf SKILL.md konzentriert und keine zusätzlichen Skripte oder Referenzordner mitbringt. Die Einführung ist dadurch unkompliziert, aber die Qualität der Ergebnisse hängt stark von den von Ihnen gelieferten Fakten ab. Er kann Reviews und Entwürfe beschleunigen, ersetzt aber weder Rechtsberatung noch länderspezifische Einschätzungen oder die Beweiserhebung aus Ihren realen Systemen.

So verwenden Sie den gdpr-data-handling Skill

gdpr-data-handling Installationskontext

Installieren Sie den Skill aus dem Repository, das ihn enthält:

npx skills add https://github.com/wshobson/agents --skill gdpr-data-handling

Nach der Installation rufen Sie ihn in Ihrer Agent-Umgebung so auf wie andere Skills in Ihrem Workflow. Da das Repository für diesen Skill nur SKILL.md bereitstellt, ist außer Installation und sauberer Prompt-Vorbereitung kaum Setup nötig.

Diese Datei sollten Sie zuerst lesen

Starten Sie mit:

• plugins/hr-legal-compliance/skills/gdpr-data-handling/SKILL.md

Da hier keine unterstützenden references/, resources/ oder Skripte sichtbar sind, steckt fast die gesamte Arbeitslogik in dieser Datei. Lesen Sie sie, bevor Sie sich bei einem echten Review auf den Skill verlassen — besonders dann, wenn Sie seine Grenzen genau verstehen müssen.

Beste Einsatzfälle in der Praxis

Nutzen Sie gdpr-data-handling usage für Aufgaben wie:

• die Prüfung eines neuen Features, das personenbezogene Daten erhebt oder weitergibt
• die Kontrolle, ob ein Einwilligungsflow tatsächlich nötig und wirksam ist
• die Zuordnung eines Produkt-Workflows zu passenden Rechtsgrundlagen
• die Bewertung der DSR-Readiness für Auskunft, Löschung oder Portabilität
• das Erstellen eines Compliance-Review-Memos mit Risiken und Abhilfemaßnahmen
• den Belastungstest von Privacy-by-Design-Behauptungen vor dem Launch

Am stärksten ist der Skill, wenn der Agent konkrete Systemfakten bekommt und nicht nur abstrakte Absichten.

Welche Eingaben der Skill braucht, um gut zu arbeiten

Geben Sie dem Skill genug operative Details, damit er Pflichten belastbar ableiten kann. Besonders hilfreich sind:

• was das Produkt tut
• welche Nutzergruppen betroffen sind, insbesondere EU-Nutzer oder Kinder
• welche Datenfelder erhoben werden
• woher Daten kommen und wohin sie fließen
• ob besondere Kategorien personenbezogener Daten oder Strafdaten betroffen sind
• warum jede Verarbeitungstätigkeit stattfindet
• bestehende Einwilligungs- und Hinweisflüsse
• Aufbewahrungsfristen
• der DSR-Prozess
• Anbieter, Unterauftragsverarbeiter und der Transferkontext

Schwacher Input: „Prüfe unsere App auf DSGVO.“

Starker Input: „Prüfe unsere Recruiting-Plattform auf DSGVO. Wir erheben Name, E-Mail, CV, Interviewnotizen, optionale Angaben zu Unterstützungsbedarf wegen Behinderung und Recruiter-Bewertungen. EU-Kandidaten können Konten erstellen, Dokumente hochladen und Löschung beantragen. Die Daten werden in AWS EU-West gespeichert und mit einem US-E-Mail-Anbieter sowie einem Analytics-Anbieter geteilt. Für Marketing-E-Mails stützen wir uns derzeit auf Einwilligung und für die Bewerbungsverarbeitung auf Vertragserfüllung.“

So wird aus einem groben Ziel ein starker Prompt

Ein guter gdpr-data-handling guide Prompt besteht meist aus vier Teilen:

1. Systembeschreibung
2. Dateninventar
3. rechtliche bzw. Compliance-Annahmen
4. gewünschtes Ausgabeformat

Beispiel-Prompt:
„Use the gdpr-data-handling skill to perform a compliance review of our employee wellness app. Identify personal data categories, likely legal bases, where explicit consent is required, DSR obligations, retention risks, and privacy-by-design gaps. Then produce a prioritized remediation list with high/medium/low severity and note assumptions where facts are missing.”

Dieser Prompt ist besser, weil er Klassifizierung, Analyse und Priorisierung verlangt statt allgemeiner DSGVO-Ratschläge.

Ein praktischer Workflow, der Zeit spart

Ein belastbarer Workflow sieht so aus:

1. System und Nutzer beschreiben
2. Datenkategorien und Verarbeitungszwecke auflisten
3. den Agenten bitten, jede Aktivität einer Rechtsgrundlage zuzuordnen
4. nach Auswirkungen auf Rechte, Einwilligung, Aufbewahrung und Transfers fragen
5. eine Gap-Liste mit Schweregrad und nächsten Schritten anfordern
6. nach dem ersten Durchlauf mit fehlenden Fakten nachschärfen

Dieser gestufte Ansatz funktioniert besser, als sofort nach einer finalen Policy oder einer abschließenden rechtlichen Bewertung zu fragen.

Welche Ausgaben Sie anfordern sollten

Für die Umsetzung im Team sollten Sie Ausgaben verlangen, mit denen sich konkret arbeiten lässt:

• Tabelle der Verarbeitungstätigkeiten
• Zuordnung der Rechtsgrundlagen
• Entscheidungsmatrix zur Einwilligung
• Checkliste zur Unterstützung von DSR
• Anforderungen an Aufbewahrung und Löschung
• Empfehlungen zu Privacy by Design
• Launch-Blocker versus Nicht-Blocker
• offene Fragen für die Rechtsprüfung

Diese Formate machen den gdpr-data-handling skill für Engineering- und Compliance-Teams deutlich nützlicher als ein rein erzählender Fließtext.

Wo der Skill voraussichtlich am meisten hilft

Der Skill stiftet den größten Mehrwert, wenn Ihr Team ein erstes strukturiertes Review braucht, aber noch kein ausgereiftes Privacy-Playbook hat. Besonders hilfreich ist er, um fehlende Annahmen sichtbar zu machen: Teams wissen oft, welche Daten sie erheben, aber nicht, auf welche Rechtsgrundlage sie sich tatsächlich stützen oder wie eine Auskunfts- oder Löschanfrage Ende zu Ende erfüllt werden soll.

Einschränkungen und Trade-offs

Da der Skill dokumentationsgetrieben ist und keine integrierte Automatisierung enthält, prüft er nicht selbstständig Ihre Datenbanken, Logs, Vendor-Verträge oder Produktionskonfigurationen. Er kann auf Basis der gelieferten Fakten solide Review-Artefakte erzeugen, aber keine Implementierungsnachweise verifizieren. Betrachten Sie ihn als geführte Compliance-Analyseschicht, nicht als Auditing-System.

Wann gewöhnliches Prompting ausreicht

Wenn Sie nur eine kurze Erklärung zu DSGVO-Konzepten brauchen, genügt oft ein allgemeiner Prompt. Installieren Sie gdpr-data-handling, wenn Sie eine wiederholbare Struktur für Implementierungs-Reviews wollen — insbesondere rund um Rechtsgrundlagen, den Umgang mit Betroffenenrechten und Designentscheidungen, die in konkrete Engineering-Aufgaben überführt werden müssen.

gdpr-data-handling Skill FAQ

Ist gdpr-data-handling gut für Einsteiger?

Ja, sofern Sie Ihr Produkt bereits verstehen. Der Skill hilft Einsteigern, indem er das Review um praktische DSGVO-Konzepte wie Rechtsgrundlagen und Betroffenenrechte organisiert. Weniger hilfreich ist er, wenn Sie Ihre Datenflüsse noch nicht erfasst haben, weil das Modell dann zu viel raten muss.

Kann ich gdpr-data-handling for Compliance Review verwenden?

Ja. Das ist einer der besten Einsatzzwecke. Der Skill eignet sich sehr gut für einen ersten Compliance-Review eines Features, Produkts oder Workflows — besonders wenn Sie eine Gap-Liste und einen Abhilfeplan wollen statt einer allgemeinen Erklärung der Verordnung.

Ersetzt er einen Anwalt oder DPO?

Nein. Der gdpr-data-handling skill kann helfen, wahrscheinliche Pflichten, Risiken und fehlende Kontrollen zu identifizieren, aber er liefert keine Rechtsberatung und bestätigt auch nicht, dass Ihre Auslegung in einem Streit mit einer Aufsichtsbehörde standhält. Nutzen Sie ihn, um besser vorbereitet in die juristische Prüfung zu gehen und blinde Flecken zu reduzieren.

Ist das nur für Einwilligungsmanagement?

Nein. Einwilligung ist nur eine von mehreren Rechtsgrundlagen, und viele Teams verlassen sich zu stark darauf. Der Skill hilft auch bei Vertragserforderlichkeit, berechtigten Interessen, rechtlicher Verpflichtung, Privacy by Design, DSR-Handling und Datenklassifizierung. Gerade dieser breitere Rahmen ist ein wichtiger Grund, ihn einer engen Einwilligungs-Checkliste vorzuziehen.

Wann sollte ich diesen Skill nicht verwenden?

Lassen Sie ihn aus, wenn:

• Ihre Aufgabe ausschließlich nicht-europäische Datenschutzthemen ohne DSGVO-Bezug betrifft
• Sie eine automatisierte Beweiserhebung aus Systemen brauchen
• Sie länderspezifische Rechtsberatung außerhalb des Skill-Scopes benötigen
• Sie noch gar nicht wissen, welche Daten Ihr System verarbeitet

In diesen Fällen sollten Sie zuerst Data Discovery betreiben oder einen Spezialisten hinzuziehen.

Worin unterscheidet er sich von einem einfachen DSGVO-Prompt?

Ein einfacher Prompt liefert oft generische Compliance-Formulierungen. gdpr-data-handling usage ist besser, wenn das Modell in einem Durchgang konsistent Datenkategorien, Rechtsgrundlage, Rechte und Umsetzungsfolgen prüfen soll. Die Struktur reduziert Auslassungen, besonders bei Feature-Reviews.

So verbessern Sie den gdpr-data-handling Skill

Geben Sie dem Skill ein Verarbeitungsinventar, keinen Slogan

Der größte Qualitätssprung entsteht, wenn Sie vage Anfragen durch ein kompaktes Verarbeitungsinventar ersetzen. Dazu gehören:

• Akteur: Kunde, Mitarbeiter, Kandidat, Kind, Patient
• Daten: erhobene Felder
• Zweck: warum verarbeitet wird
• Grundlage: Ihre aktuelle Annahme
• Bewegung: Speicherung, Weitergabe, Transfers
• Lebenszyklus: Aufbewahrung und Löschung

So kann gdpr-data-handling analysieren statt spekulieren.

Markieren Sie Hochrisiko-Kategorien frühzeitig

Weisen Sie gleich zu Beginn des Prompts auf besondere Kategorien personenbezogener Daten, Strafdaten, Daten von Kindern, großflächiges Monitoring oder grenzüberschreitende Transfers hin. Diese Faktoren verändern die Compliance-Analyse wesentlich und entscheiden oft darüber, ob zusätzliche Schutzmaßnahmen oder eine tiefere Prüfung nötig sind.

Bitten Sie darum, Annahmen von Schlussfolgerungen zu trennen

Ein häufiger Fehler ist Scheinsicherheit. Bessere Ergebnisse erhalten Sie, wenn Sie den Agenten auffordern, Folgendes getrennt zu kennzeichnen:

• bestätigte Fakten
• Annahmen
• wahrscheinliche Pflichten
• ungeklärte Rechtsfragen

Diese Trennung macht das Ergebnis intern sicherer nutzbar.

Fordern Sie Abhilfemaßnahmen in Umsetzungssprache an

Bleiben Sie nicht bei „DSGVO-Risiken identifizieren“ stehen. Fragen Sie gezielt nach:

• erforderlichen Kontrollen
• Vorschlägen für Verantwortliche
• Prioritätsstufe
• zu sammelnden Nachweisen
• vorgeschlagenen Produkt- oder Prozessänderungen

So wird der gdpr-data-handling guide zu einem umsetzbaren Werkzeug für Engineering- und Compliance-Teams.

Vergleichen Sie Ist-Zustand und Zielbild

Für stärkere Ergebnisse sollten Sie angeben, was bereits vorhanden ist:

• Consent-Banner oder Account-Flow
• Zusammenfassung des Datenschutzhinweises
• Aufbewahrungsregeln
• Löschprozess
• Vendor-Liste
• Sicherheitskontrollen

Bitten Sie den Skill dann, den aktuellen Zustand mit den erwarteten DSGVO-Zielanforderungen zu vergleichen. Eine Gap-Analyse ist deutlich handlungsnäher als eine generische Checkliste.

Iterieren Sie nach der ersten Ausgabe

Nutzen Sie den ersten Durchlauf, um fehlende Fakten sichtbar zu machen. Fragen Sie dann mit Prompts wie diesen nach:

• „Reassess legal bases now that analytics is optional and disabled by default for EU users.”
• „Update the review assuming disability information is processed only when candidates request accommodations.”
• „Prioritize remediation items that block launch in the next 30 days.”

Oft wird der gdpr-data-handling skill erst in diesem zweiten Durchgang wirklich entscheidungsrelevant.

Achten Sie auf diese typischen Fehlerbilder

Schwache Ergebnisse entstehen meist durch:

• unklare Datenkategorien
• keine Trennung zwischen Controller- und Processor-Rollen
• die Annahme, dass immer Einwilligung erforderlich ist
• ignorierte Aufbewahrungs- und Löschprozesse
• vergessene Vendor-Weitergaben oder internationale Transfers
• die Forderung nach einer finalen rechtlichen Antwort ohne ausreichende Faktenbasis

Beheben Sie diese Punkte in den Eingaben, bevor Sie dem Skill die Schuld geben.

Kombinieren Sie ihn mit repository-spezifischem Kontext

Wenn Sie eine echte Codebase oder ein reales Produkt prüfen, fügen Sie Architekturbeschreibungen, API-Felder, Signup-Flows und Vendor-Dokumente in den Prompt ein. Der Skill selbst bietet allgemeine Leitlinien; erst der Kontext Ihres Systems macht daraus ein belastbares Review.

Nutzen Sie gdpr-data-handling als Review-Schicht, nicht als Checkbox

Die besten Ergebnisse mit gdpr-data-handling erzielen Sie, wenn Sie ihn als Teil eines lebenden Workflows einsetzen: Design-Review, Pre-Launch-Review, DSR-Readiness-Checks und Neubewertung nach Änderungen. Teams ziehen mehr Nutzen daraus, wenn sie die Analyse nach Produktänderungen erneut durchführen, statt die erste Ausgabe als endgültig zu behandeln.