Cyarun/website-dpia-audit

Website DPIA & Automatisierungs-Reifegrad-Auditor (website-dpia-audit)

Zweck & Umfang (Nur Websites – Lese-Modus & Reputationsschonend)

Dieses Skill führt eine empirische, lesende, nicht-intrusive Website-DPIA (Datenschutz-Folgenabschätzung) & Automatisierungs-Reifegrad-Prüfung für jede Ziel-Website-URL oder lokale HTML-Build durch. Es ist darauf ausgelegt, deterministisch auf Claude (3.5/3.7/4 Sonnet & Opus), Google Gemini (2.5 Pro/Flash), DeepSeek (R1 & V3) und Alibaba Qwen (Qwen-2.5/Qwen3/QwQ) zu arbeiten.

---

Harte Invarianten (Niemals Verletzen)

1. Gesetzliche Präzision (Nur Quellen der Stufe 1) :

   • DPDP Act, 2023 (Act No. 22 of 2023) : 9 Kapitel, 44 Sektionen, 1 Anhang.
   • DPDP Rules, 2025 (G.S.R. 846(E), bekannt gegeben am 13. November 2025) : 23 Regeln, 7 Anhänge.
     • Gestaffelter Beginn: 13. Nov. 2025 (Regeln 1–2, 17–21); 13. Nov. 2026 (+1 Jahr: Regel 4 Registrierung des Consent Managers); 13. Mai 2027 (+18 Monate: Regeln 3, 5–16, 22–23 operationelle Compliance).
   • Beschwerde-SLA: Maximal 90 Tage gemäß Regel 14(3) i.V.m. Sektion 13 (niemals 30 oder 7 Tage als gesetzliche DPDP-Obergrenze anführen).
   • Aufbewahrung von Sicherheits- & Zugriffsprotokollen: Mindestens 1 Jahr gemäß Regel 8(3) i.V.m. dem Siebten Anhang.
   • DPIA- & Algorithmus-Risikobewertungspflicht: Sektion 10(2)(c)(ii) i.V.m. Regel 13(1)–(3) (jährliche DPIA für bedeutende Datenverantwortliche + Pflicht zu überprüfen, ob algorithmische Software, KI-Chatbots, Session Replay und automatisierte Profilerstellung kein Risiko für die Rechte der betroffenen Personen darstellen).
   • Kinderdaten: Sektion 9(1)–(3) i.V.m. Regeln 10–11 und dem Vierten Anhang (überprüfbare elterliche Einwilligung für Nutzer unter 18 Jahren; striktes Verbot von Tracking, Verhaltensüberwachung und gezielter Werbung, die sich an Kinder richtet).

2. Reputationsschonender, konstruktiver Beratungsrahmen (Null Verleumdung) :

   • Jeder Bericht MUSS als „Vertrauliche & konstruktive Beratungs-DPIA-Reifegrad-Prüfung“ betitelt und formuliert sein, die ausschließlich auf öffentlich beobachtbaren Client-Seite-Signalen zum Zeitpunkt der Überprüfung basiert.
   • Verbotene Wörter: Niemals illegal, rechtswidrig, Gesetzesbrecher, Verletzer, kriminell, schuldig, bestraft, bußgeldbewehrt, verklagt, Täter, Betrug oder Abzocke verwenden.
   • Erforderliche 5-teilige Befundstruktur:
     1. observed_technical_signal (exakter DOM/Header/Cookie/Netzwerk-Nachweis; null Halluzination)
     2. statutory_mapping (exakte DPDP Act 2023 Sektion + DPDP Rules 2025 Regel)
     3. readiness_tier (Aligned | Advisory Enhancement | Priority Readiness Action)
     4. reputation_safe_advisory_note (neutrale, vorstandsgeeignete Erklärung)
     5. recommended_engineering_fix (konkreter Code/Header/CMP-Konfigurationsschritt)

---

Schritt-für-Schritt-Prüfungsablauf

Schritt 1: Sammeln der empirischen Website-Telemetrie & des DPIA-Baseline-Berichts

Führen Sie den lesenden Telemetrie-Sammler gegen die Ziel-Website-URL (oder lokale HTML-Datei) aus:

node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
  --out "/tmp/dpia-telemetry-report.json" \
  --model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"

Was collect_website_dpia_telemetry.mjs automatisch im lesenden Modus prüft:

• A. Pre-Consent-Speicherung & Cookies: First-Party- und Third-Party-Cookies, die vor jeglicher Benutzerinteraktion gesetzt werden (httpOnly, secure, sameSite, Ablauf), localStorage, sessionStorage, IndexedDB und ServiceWorker-Registrierungen.
• B. Website-Automationen, KI-Agenten, Session Replay & Verhaltensprofilierung (Regel 13(2) & Sektion 6) :
  • Marketing- & CRM-Automationen: HubSpot, Marketo, Pardot, ActiveCampaign, Klaviyo, Braze, MoEngage, WebEngage, CleverTap, Zoho PageSense/SalesIQ, Mailchimp, Customer.io, Drip, OmniSend.
  • CDP & Event-Router: Segment (analytics.js), Google Tag Manager (gtm.js), RudderStack, mParticle, Snowplow, Tealium, Adobe Launch.
  • Session Replay & Verhaltens-Heatmaps: Microsoft Clarity, Hotjar, FullStory, LogRocket, Smartlook, PostHog, Mouseflow, CrazyEgg, Contentsquare, LuckyOrange.
  • KI-Chatbots & Support-Widgets: Intercom, Drift, Crisp, Freshchat, Zendesk, Tidio, LiveChat, Botpress, Voiceflow, Ada, Yellow.ai, Haptik, Verloop, Gupshup, Wati / WhatsApp Business schwebende Widgets.
  • Werbe-Pixel & Auto-Advanced Matching: Meta Pixel (fbevents.js, fbq), Google Ads/Analytics (gtag.js), LinkedIn Insight (lintrk), X/Twitter, Snap, TikTok, Criteo, Taboola, Outbrain.
  • Formular-Listener & Dark Patterns: Vorausgefüllte Kontrollkästchen (input[type="checkbox"][checked]), gebündelte Einwilligung, unsichere http://-Formularaktionen, Pre-Submit-Felderfassungs-Listener, On-Load-Web-Push-Eingabeaufforderungen (Notification.requestPermission) und Canvas-/Audio-Fingerprinting-Signale.
• C. Gesetzliche Kontrollpfeiler:
  • Sec 5 / Regel 3: Vorhandensein des Links zur Datenschutzerklärung & Verfügbarkeitssignale in den Sprachen des Achten Anhangs (Indien).
  • Sec 6 / Regeln 3–4: CMP-Vorhandensein (OneTrust, Cookiebot, CookieYes, Osano, TrustArc, Securiti, Didomi, Klaro/benutzerdefiniert) & visuelle Symmetrie zwischen Accept und Reject / Essential Only-Steuerelementen + Link zum Widerruf der Einwilligung.
  • Sec 8(5) / Regel 6 / Regel 8(3): HTTPS, HSTS, CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Subresource Integrity (integrity=) bei externen Skripten und 1-jährige Protokollaufbewahrungsempfehlung.
  • Sec 9 / Regeln 10–11: Kindersignale vs. aktive Verhaltens-/Werbe-Tracker.
  • Sec 13 / Regel 14(3): Kontaktdaten des DSB/Beschwerdebeauftragten und Überprüfung des 90-tägigen gesetzlichen SLA.
  • Sec 16 / Regel 15: Bestandsverzeichnis der grenzüberschreitenden Subprozessoren-Domänen.

Schritt 2: Synthetisieren & Validieren gegen das Multi-Modell-Schema

1. Laden Sie das universelle Prompt-Paket aus products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md.
2. Validieren Sie das Ausgabe-JSON gegen products/dpia-audit-skill/schema/dpia-website-report.schema.json.
3. Präsentieren Sie sowohl den strukturierten JSON-Bericht als auch eine zusammenfassende Executive-Markdown-Tabelle für den Benutzer, wobei der Haftungsausschluss der Vertraulichen & konstruktiven Beratungs-DPIA-Reifegrad-Prüfung erhalten bleibt.

---

Referenzartefakte

• Telemetrie-Sammler & Berichtsgenerator: products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs
• Multi-Modell-Prompt-Paket (Claude / Gemini / DeepSeek / Qwen) : products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md
• JSON-Schema-Vertrag: products/dpia-audit-skill/schema/dpia-website-report.schema.json