gdpr-dsgvo-expert

gdpr-dsgvo-expert skill 概览

gdpr-dsgvo-expert 适合用来做什么

gdpr-dsgvo-expert 是一个面向 GDPR 以及德国 DSGVO/BDSG 审查工作的合规类 skill。它可以帮助 AI agent 扫描代码库中的隐私风险信号，准备 DPIA 材料，审查 GDPR 审计就绪情况，并按照 Article 12(3) 的一个月期限逻辑跟踪数据主体权利请求。

当你需要的是结构化的隐私合规支持，而不是一句笼统的“检查 GDPR”提示词时，就适合使用它。它最适合的场景包括 Compliance Review、隐私工程、内部审计准备、DPIA 起草、DSAR 工作流支持，以及涉及 BDSG 要求的德国本地化隐私检查。

最适合的用户与采用价值

gdpr-dsgvo-expert skill 对隐私团队、DPO 支持人员、合规经理、安全审查人员、正在上线数据处理功能的产品团队，以及希望在法务审查前提前暴露隐私问题的开发者最有帮助。

它的实际价值在于把参考指南和可运行脚本结合在一起：

• scripts/gdpr_compliance_checker.py 扫描代码库中的个人数据模式和高风险实践。
• scripts/dpia_generator.py 根据处理活动输入生成结构化 DPIA 文档。
• scripts/data_subject_rights_tracker.py 跟踪 GDPR 权利请求及其期限。
• references/ 提供 GDPR、DPIA、审计以及德国 BDSG 相关背景。

安装前需要了解的重要边界

这个 skill 不能替代 Data Protection Officer、律师或监管机构的解释。它可以识别可能存在的问题，整理证据，并生成合规交付物草稿，但最终判断应交由具备资质的隐私或法律审查人员完成。

它也不是完整的 GRC 平台。它最适合作为 agent skill 加本地脚本，用于支持评估工作；除非你自行改造存储、访问控制和审计日志，否则不应把它当作企业隐私运营的记录系统。

如何使用 gdpr-dsgvo-expert skill

gdpr-dsgvo-expert 安装与代码库路径

使用你的 skill manager 从 GitHub repository 安装该 skill，例如：

npx skills add alirezarezvani/claude-skills --skill gdpr-dsgvo-expert

源路径为：

ra-qm-team/skills/gdpr-dsgvo-expert

安装后，先阅读 SKILL.md，然后依次查看：

• references/gdpr_compliance_guide.md
• references/dpia_methodology.md
• references/gdpr_audit_playbook.md
• references/german_bdsg_requirements.md
• scripts/gdpr_compliance_checker.py
• scripts/dpia_generator.py
• scripts/data_subject_rights_tracker.py

这个阅读顺序有助于你同时理解法律工作流，以及脚本中内置的具体假设。

为了得到可靠结果需要提供哪些输入

做代码审查时，应提供 repository path、应用用途、用户类型、数据类别、适用司法辖区、第三方处理方、日志策略、保留规则，以及是否可能处理特殊类别数据。

做 DPIA 时，应包括处理目的、合法依据、数据主体、数据字段、处理规模、自动化决策、画像分析、监控、向欧盟以外传输、安全措施和保留期限。

较弱的提示词是：

Check this app for GDPR issues.

更好的 gdpr-dsgvo-expert 使用提示词是：

Use gdpr-dsgvo-expert for Compliance Review of this SaaS billing service. Scan the repository for personal data handling, logging of identifiers, consent or lawful-basis gaps, retention risks, and third-country transfer concerns. The service processes customer names, emails, billing addresses, VAT IDs, payment provider tokens, IP addresses, and support messages for EU and German customers. Output findings by GDPR article, severity, affected files, likely remediation, and items requiring DPO/legal review.

运行内置脚本

扫描代码库：

python scripts/gdpr_compliance_checker.py /path/to/project

输出适合审查流水线使用的 JSON：

python scripts/gdpr_compliance_checker.py . --json --output report.json

生成 DPIA：

python scripts/dpia_generator.py --interactive

或：

python scripts/dpia_generator.py --input processing_activity.json --output dpia_report.md

跟踪 DSAR：

python scripts/data_subject_rights_tracker.py add --type access --subject "Jane Doe"

然后查看状态或生成报告：

python scripts/data_subject_rights_tracker.py list

python scripts/data_subject_rights_tracker.py report --output compliance_report.json

真实审查中的建议工作流

先进行 repository 扫描，然后让 agent 按风险和 GDPR 相关性对发现的问题进行分类。接下来，把每个问题映射到证据：文件、日志、数据库字段、API endpoints、供应商以及保留规则。如果处理活动看起来属于高风险场景，可以使用 DPIA references 和 generator 创建 DPIA 草稿。

对于德国业务，应明确要求该 skill 检查 BDSG 相关角度，例如 DPO 任命阈值、§ 26 BDSG 下的员工数据、视频监控、信用评分，以及德国监管机构审查就绪情况。

gdpr-dsgvo-expert skill 常见问题

gdpr-dsgvo-expert 足以满足法律合规要求吗？

不够。gdpr-dsgvo-expert 可以支持合规分析、文档整理和问题发现，但不能作出具有约束力的法律结论。应把输出视为提供给 DPO、隐私法律顾问、安全负责人或合规负责人的结构化审查材料。

它比普通 GDPR 提示词好在哪里？

通用提示词主要依赖模型记忆和你的指令。gdpr-dsgvo-expert skill 增加了定义清晰的工作流、GDPR/BDSG references、DPIA methodology、audit playbook material，以及用于代码扫描、DPIA 生成和 DSAR 期限跟踪的 Python utilities。这让审查过程更可重复，也更容易检查。

哪些人不适合使用这个 skill？

如果你需要认证工具、企业级 case management、面向监管机构的法律意见、跨生产系统的自动化数据发现，或在没有额外治理措施的情况下形成可辩护记录，不应把它作为唯一的隐私控制手段。如果你无法提供处理活动上下文，它也不太适合；仅凭代码通常无法证明合法依据、同意有效性或保留合规性。

它支持德国 DSGVO/BDSG 相关问题吗？

支持。该 repository 包含 references/german_bdsg_requirements.md，覆盖德国特定领域，例如 DPO 任命阈值、员工数据、视频监控、信用评分以及州级数据保护背景。做面向德国的审查时，请说明业务所在地、员工人数、处理类型，以及是否涉及员工数据或监控数据。

如何改进 gdpr-dsgvo-expert skill 的使用效果

用更充分的上下文提升 gdpr-dsgvo-expert 结果质量

质量提升最大的做法，是提供源代码无法呈现的运营上下文。请包括 data-flow diagrams、RoPA entries、vendor lists、cookie/consent behavior、retention schedules、hosting regions、subprocessors、breach procedures 和 privacy notices。

不要只要求查找“GDPR risks”，而是要求一个明确的交付物：

Produce a DPIA gap review for this feature. Identify whether Article 35 triggers apply, list missing information, assess risks to data subjects, propose mitigations, and separate engineering fixes from DPO/legal decisions.

需要留意的常见失败模式

checker 可能会把测试数据、示例邮箱或无害模式标记为个人数据。它也可能漏掉依赖上下文判断的风险，例如合法依据不清、保留期限过长、同意设计无效、处理方未经审查，或国际传输保障不足。

AI 生成的 DPIA 可能看起来完整，却掩盖证据缺口。应要求每一个结论都引用 repository evidence、你提供的事实，或明确标注为“unknown / needs confirmation”。

第一轮输出后继续迭代

在第一轮 gdpr-dsgvo-expert 指南式输出之后，可以按受众要求进一步细化：

• 面向工程团队：文件级发现、代码模式和修复任务。
• 面向合规团队：条款映射、风险等级、证据缺口和 owner。
• 面向 DPO/legal：尚未解决的判断、高风险处理和决策点。
• 面向审计就绪：控制措施、记录、期限以及需要收集的证明。

正式使用前加入项目专属规则

如果要在持续工作中获得更高质量的结果，可以在 prompts 或本地 wrapper docs 中扩展你所在组织的隐私标准：已批准的合法依据、保留期限、同意规则、处理方审批流程、加密要求、DSAR 工作流 owner，以及升级标准。

如果你改造这些脚本，请加入组织特定模式，例如内部 identifiers、customer IDs、CRM fields、log formats、analytics events 和国家/地区特定的数据类别。这样可以把 gdpr-dsgvo-expert 从通用合规辅助工具，变成更精准的审查助手。