Rechtliche Compliance

Was macht Rechtliche Compliance?

Machen Sie ein Projekt rechtlich startklar: rechtliche Dokumente, Einwilligungserfassung, Einwilligungsnachweise, Cookie-Handling, Widerrufsregeln, Datenminimierung, Medienrechte und Prüfung lokaler Gesetze.

Das Ergebnis ist ein Entwurf zur Überprüfung, keine automatisch angewandten Änderungen. Ein Entwickler liest den Entwurf, genehmigt ihn, und erst dann setzt ein Agent ihn um. So bleibt jede rechtliche und Code-Entscheidung sichtbar und reversibel.

Wichtige Einschränkungen

Sie sind kein Anwalt, und Gesetze ändern sich. Führen Sie bei jedem Durchlauf Folgendes durch:

• Durchsuchen Sie das Web, um den aktuellen Stand jedes von Ihnen zitierten Gesetzes zu bestätigen. Notieren Sie die Quell-URL und das Datum der Überprüfung. Die Referenzdateien in diesem Skill können veraltet sein.
• Kennzeichnen Sie jede Rechtsbehauptung, bei der Sie sich nicht sicher sind, mit (verify).
• Teilen Sie dem Benutzer mit, dass ein lokaler Anwalt die Dokumente vor dem Start prüfen muss, insbesondere bei regulierten Branchen (Gesundheit, Finanzen, Minderjährige, Glücksspiel, Krypto, KI-Entscheidungen über Personen).
• Versprechen Sie niemals „vollständigen Schutz“. Das Ziel ist, die üblichen und teuren Lücken zu schließen.

Arbeitsablauf

Schritt 1: Projekt zuerst inspizieren

Bevor Sie Fragen stellen, erfahren Sie, was der Code bereits verrät. Das reduziert die Fragen auf die, die nur der Benutzer beantworten kann. Suchen Sie nach:

• Tech-Stack, Frontend und Backend, mobil oder Web, Standort der Datenbank.
• Vorhandenen rechtlichen Seiten (suchen Sie nach „terms“, „privacy“, „cookies“, „refund“, „legal“, „términos“, „privacidad“).
• Registrierungs- und Anmeldeabläufen sowie jedem Formular, das personenbezogene Daten sammelt. Listen Sie jedes Feld auf.
• Drittanbieter-Skripten und SDKs: Analysedienste, Werbung, Pixel, Session Replay, Chat-Widgets, Karten, eingebettete Videos, Schriftarten von CDNs, Fehlerverfolgung, A/B-Tests.
• Cookies und Local Storage, die die App setzt.
• Zahlungen: Anbieter, einmalig oder Abonnement, digitale oder physische Waren.
• E-Mails und SMS: transaktional und Marketing.
• Bildern, Videos, Schriftarten, Icons und Audio im Repository oder von URLs geladen.
• Hosting und Datenstandort (Cloud-Region).
• Allen KI-Funktionen, die Benutzerdaten verarbeiten.

Wenn es noch keinen Code gibt, überspringen Sie diesen Schritt und fragen Sie in Schritt 2 mehr.

Schritt 2: Benutzer interviewen

Lesen Sie references/intake-questionnaire.md. Stellen Sie nur die Fragen, die Schritt 1 nicht beantwortet hat. Fragen Sie in kleinen Gruppen (5 bis 8 Fragen auf einmal), beginnend mit der wichtigsten Gruppe: Rechtspersönlichkeit und Länder. Bieten Sie nach Möglichkeit sinnvolle Standardantworten an, damit der Benutzer schnell antworten kann.

Raten Sie keine Fakten über das Unternehmen. Ein falscher Firmenname, ein falsches Land oder eine falsche Datennutzung in einem rechtlichen Dokument ist schlimmer als ein fehlender Eintrag. Wenn der Benutzer eine Antwort nicht weiß, schreiben Sie einen klaren [TODO: ...]-Platzhalter und fügen Sie ihn der Liste der offenen Fragen hinzu.

Schritt 3: Anwendbare Gesetze ermitteln

Gesetze gelten basierend auf dem Ort, an dem das Unternehmen niedergelassen ist, und dem Ort, an dem sich seine Benutzer befinden. Ein kolumbianisches Startup, das nach Mexiko und in die USA verkauft, muss Teile aller drei Rechtsordnungen befolgen.

1. Erstellen Sie die Liste der Länder (und US-Bundesstaaten) aus dem Interview.
2. Lesen Sie die entsprechende Datei in references/jurisdictions/:
   • latam.md für Kolumbien, Mexiko, Brasilien, Argentinien, Chile, Peru und allgemeine Hinweise zu Lateinamerika.
   • united-states.md für Bundes- und Landesgesetze.
   • other.md für jedes andere Land (kurze Hinweise zu EU und Großbritannien sowie eine Methode zur Recherche eines unbekannten Landes).
3. Durchsuchen Sie das Web, um zu bestätigen, dass jedes Gesetz noch aktuell ist, und um Änderungen nach dem Referenzdatum zu finden.
4. Verwenden Sie die strengste anwendbare Regel, wenn Regeln kollidieren und ein einziger globaler Ablauf einfacher ist. Ein einziger Widerrufszeitraum, der die längste gesetzliche Mindestfrist erfüllt, ist beispielsweise einfacher als einer pro Land. Teilen Sie dem Benutzer mit, wenn Sie diese Wahl treffen, und was sie ihn kostet.

Schritt 4: Jeden Punkt prüfen und entwerfen

Arbeiten Sie jeden der folgenden Punkte durch. Lesen Sie für jeden die genannte Referenzdatei.

Punkt	Referenz
Allgemeine Geschäftsbedingungen (AGB)	references/documents.md
Datenschutzerklärung	references/documents.md
Cookie-Richtlinie und Entscheidung zur Einwilligung	references/cookies.md
Checkboxen im Registrierungsformular mit Links	references/consent-records.md
Nachvollziehbare Einwilligungsnachweise	references/consent-records.md
Widerrufsbelehrung	references/documents.md (Abschnitt Widerruf) und die Jurisdiktionsdatei
Datenminimierung	references/data-minimization.md
Bild- und Medienrechte	references/media-rights.md
Checkliste lokaler Gesetze	die Jurisdiktionsdateien

Regel zum Widerrufszeitraum: Die Standardeinstellung des Benutzers ist 5 Tage nach dem Kauf. Verwenden Sie den längeren Zeitraum aus dieser Standardeinstellung und der gesetzlichen Mindestfrist jedes anwendbaren Landes. Notieren Sie, ob das Gesetz Werktage oder Kalendertage zählt und ab welchem Ereignis (Kaufdatum, Lieferdatum oder Vertragsdatum).

Schritt 5: Entwurf schreiben

Erstellen Sie den Entwurfsordner im Projekt. Standardpfad: docs/legal-compliance/. Verwenden Sie die Struktur in assets/draft-structure.md. Kurz gefasst:

docs/legal-compliance/
├── README.md                  # Zusammenfassung, Geschäftsprofil, Gesetze, Checkliste, offene Fragen
├── documents/
│   ├── terms-and-conditions.md
│   ├── privacy-policy.md
│   ├── cookies-policy.md
│   └── refund-policy.md
├── data-inventory.md          # Jedes Datenfeld, sein Zweck, Rechtsgrundlage, Aufbewahrungsfrist
├── media-inventory.md         # Jeder Medien-Asset, Quelle, Lizenz, Status
└── implementation-plan.md     # Code-Änderungen, die vorzunehmen sind, Schritt für Schritt, im Stack des Projekts

Schreiben Sie die rechtlichen Dokumente in der Sprache (oder den Sprachen) der Zielbenutzer. Verwenden Sie die echten Geschäftsdaten aus dem Interview. Schreiben Sie in klarer Sprache: kurze Sätze, klare Überschriften. Klare Sprache ist für Benutzer leichter zu verstehen, und viele Gesetze (z.B. in Brasilien, Mexiko und Kalifornien) verlangen klare und zugängliche Hinweise.

Schreiben Sie implementation-plan.md für den tatsächlichen Stack des Projekts, mit Dateipfaden und Code-Skizzen, damit ein Agent ihn ohne weiteren Designaufwand umsetzen kann. Wenn es keinen Code gibt, beschreiben Sie die Änderungen in stack-neutralen Begriffen (Datenmodell, UI-Verhalten, API-Verhalten).

Schritt 6: Präsentieren und auf Freigabe warten

Geben Sie dem Benutzer eine kurze Zusammenfassung:

• Anwendbare Gesetze und warum.
• Die Checkliste mit Status: erledigt, fehlt oder benötigt eine Entscheidung.
• Hochriskante Lücken zuerst (z.B. Tracker, die vor der Einwilligung laden, kein Einwilligungsnachweis, Medien ohne Lizenz).
• Offene Fragen und [TODO]-Punkte.
• Punkte, die ein Anwalt prüfen muss.

Dann anhalten. Ändern Sie keinen Anwendungscode, bis der Benutzer den Plan genehmigt. Wenn er genehmigt, setzen Sie implementation-plan.md Schritt für Schritt um und aktualisieren Sie die Checkliste in README.md, sobald Punkte abgeschlossen sind.

Laufende Pflichten, über die der Benutzer zu informieren ist

Compliance ist keine einmalige Aufgabe. Fügen Sie diese Punkte in die README ein:

• Aktualisieren Sie die Dokumente, wenn sich das Produkt, die Datennutzung, Dritte oder das Gesetz ändern. Erhöhen Sie die Versionsnummer, behalten Sie alte Versionen und bitten Sie Benutzer bei wesentlichen Änderungen um erneute Zustimmung.
• Bewahren Sie Einwilligungsnachweise so lange auf, wie es das Gesetz verlangt (siehe references/consent-records.md).
• Beantworten Sie Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Widerspruch) innerhalb der gesetzlichen Frist.
• Haben Sie einen Plan zur Reaktion auf Datenpannen mit den Fristen jedes Landes.
• Überprüfen Sie die Compliance erneut, bevor Sie in ein neues Land gehen oder eine neue Datennutzung hinzufügen.