Standardmäßig ist der Prompt ausgewählt, der zuerst die Quelle prüft. Sie können zu einem direkten Befehl wechseln oder eine lokale Kopie herunterladen.
Quelldateien prüfen
Lesen Sie SKILL.md und alle von SkillsMP angezeigten Begleitdateien, bevor Sie sich für eine Installation entscheiden.
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Ein direkter Befehl überspringt den Prüf-Prompt. Prüfen Sie die Quelle, bevor Sie ihn ausführen.
DSGVO Art. 28 (Auftragsverarbeitungsvertrag — AV-Vertrag mit Versicherer/Buyout-Partner)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
EU-US Data Privacy Framework (DPF, seit 10.7.2023) — neuer Angemessenheitsbeschluss USA
DSGVO Art. 13/14 (Informationspflichten bei Datenerhebung/-weitergabe — Berechtigte informieren)
DSGVO Art. 30 (Verarbeitungsverzeichnis)
APPI (Act on the Protection of Personal Information, Japan — 個人情報の保護に関する法律): letzte Novelle 2022 (vierte Überarbeitung); PIPC (Personal Information Protection Commission — 個人情報保護委員会) als Aufsichtsbehörde
BetrVG § 87 Abs. 1 Nr. 6 (Mitbestimmung Einführung technischer Einrichtungen zur Überwachung)
Vorgehen
Schritt 1: Datenkategorien bei Pension Buyout — Bestandsaufnahme
Bei jedem Pension Buyout (Buy-in, Buy-out, Longevity Swap) werden hochsensible personenbezogene Daten der Versorgungsberechtigten verarbeitet:
Betroffene Datenkategorien:
Kategorie
DSGVO-Einordnung
Sensitivität
Name, Geburtsdatum, Adresse
Art. 6 DSGVO
Standard
Versorgungsanspruch/Rentenhöhe
Art. 6 DSGVO
Standard (aber vertraulich)
Sterblichkeitsdaten (historisch/erwartet)
Art. 9 DSGVO — Gesundheitsdaten
Hoch
Invaliditätsstatus
Art. 9 DSGVO — Gesundheitsdaten
Hoch
Familienstand, Hinterbliebene
Art. 6 DSGVO
Standard
Bankkontodaten
Art. 6 DSGVO
Standard (vertraulich)
Sozialversicherungsnummer
Ggf. Art. 87 DSGVO / § 39 BDSG
Mittel
Achtung: Sterblichkeitsdaten und Invaliditätsdaten fallen unter Art. 9 DSGVO als Gesundheitsdaten (Schluss aus Sterbetafeln auf Gesundheitszustand). Erhöhter Schutz.
Schritt 2: Rechtsgrundlagen für Datenverarbeitung
Intern (Vorbereitung Transaktion):
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — BAV-Vertrag) und lit. c (rechtliche Verpflichtung — § 14 BetrAVG)
§ 26 Abs. 1 BDSG (Beschäftigtendatenschutz — Verarbeitung für Zwecke des Beschäftigungsverhältnisses)
Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG für Gesundheitsdaten im Beschäftigungsverhältnis
Gegenüber Versicherer/Buyout-Partner:
AV-Vertrag nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag)
Alternativ: gemeinsame Verantwortlichkeit (Art. 26 DSGVO) wenn Versicherer eigene Verarbeitungszwecke verfolgt — prüfen!
Informationspflichten:
Arbeitnehmer/Rentner sind über Datenweitergabe an Versicherer gem. Art. 13/14 DSGVO zu informieren
Praxis: Ergänzung Datenschutzerklärung + separate Information im Rahmen der Buyout-Kommunikation
Schritt 3: Drittlandtransfers
Deutschland → USA
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Aktuell: EU-US Data Privacy Framework (DPF) — Angemessenheitsbeschluss vom 10.7.2023 (Beschluss 2023/1795). US-Unternehmen, die sich selbst-zertifiziert haben, gelten als ausreichend geschützt.
Risiko: Schrems III — politische Stabilität des DPF ungewiss. Empfehlung: Parallel immer EU-SCC (Standard Contractual Clauses) als Fallback.
Transfer Impact Assessment (TIA) für SCC:
Risikoanalyse des lokalen US-Rechts (NSA-Überwachung nach FISA § 702, EO 12333)
Praxistipp: In der Regel SCC ausreichend für normale Pensionsdaten-Transfers zu zertifizierten US-Unternehmen; bei Gesundheitsdaten (Art. 9 DSGVO) erhöhte Sorgfalt.
Deutschland → Japan
DSGVO Art. 46: Japan hat einen Angemessenheitsbeschluss der EU-Kommission (Beschluss 2019/419, seither fortlaufend); Transfer zu japanischen Empfängern ohne SCC zulässig.
APPI-Anforderungen (Japan → EU und umgekehrt):
Japan APPI (最終改正 2022年, 施行 2022年4月) schreibt vor:
Bei Übermittlung personenbezogener Daten ins Ausland: Information des Betroffenen + Einwilligung, es sei denn Ausnahmetatbestand (Art. 24 APPI a.F. / Art. 28 APPI n.F.)
PIPC-Richtlinien: Drittlandtransfer nur in Länder mit ausreichendem Schutzniveau (Japan hat EU auf diese Liste gesetzt) oder mit vertraglicher Absicherung
Yuki Yamamoto-Brennecke koordiniert APPI-Compliance für das Kyoto-Büro
Versicherer-Datenraum Japan:
Bei Einbindung japanischer Versicherungsgesellschaften in einen globalen Buyout ist zu beachten:
PIPC-Meldepflicht bei Datenschutzverstößen (Art. 26 APPI n.F.)
Deutschland → UK (post-Brexit)
Angemessenheitsbeschluss UK: Gültig bis 2025; Verlängerung unter Vorbehalt
UK GDPR als nationales Recht weiterhin auf EU-Standard — praktisch kaum Unterschied für normale Pensionsdaten
Schritt 4: Datenraum-Strukturierung für Buyout
Anforderungen sicherer Datenraum:
Zugangskontrolle: Rollenbasierte Berechtigungen (need-to-know); Wasserzeichen auf Dokumenten
Anonymisierung: Daten für Indikationsphase anonymisieren/pseudonymisieren; vollständige Identifikation erst nach NDA und fortgeschrittener Due Diligence
Löschfristen: Daten aus Datenraum werden nach Abschluss der Transaktion oder bei Abbruch gelöscht (Dokumentation der Löschung gem. Art. 5 Abs. 2 DSGVO)
AUFTRAGSVERARBEITUNGSVERTRAG (AV-VERTRAG)
gem. Art. 28 DSGVO
zwischen
[Konzern Muster AG] (nachfolgend "Verantwortlicher")
und
[Versicherungsgesellschaft / Buyout-Partner] (nachfolgend "Auftragsverarbeiter")
§ 1 Gegenstand und Zweck
Der Auftragsverarbeiter verarbeitet personenbezogene Daten der Versorgungs-
berechtigten des Verantwortlichen ausschließlich zum Zweck der Durchführung
der Pension-Buyout-Transaktion und der nachgelagerten Versorgungsleistungserbringung.
§ 2 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich
auf dokumentierte Weisung des Verantwortlichen.
§ 3 Technisch-organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter implementiert TOMs gem. Art. 32 DSGVO:
- Verschlüsselung (AES-256 oder gleichwertig)
- Pseudonymisierung während der Analysephase
- Zugangskontrolle (Zwei-Faktor-Authentifizierung)
- Löschkonzept nach Transaktionsabschluss (max. [X] Jahre)
§ 4 Drittlandtransfer
Sofern der Auftragsverarbeiter Daten in ein Drittland (außerhalb EWR) übermittelt,
geschieht dies nur mit ausreichender Garantie gem. Art. 46 DSGVO (SCC oder
Angemessenheitsbeschluss). Japan: Angemessenheitsbeschluss 2019/419 gilt;
USA: EU-US DPF-Zertifizierung oder EU-SCC erforderlich.
§ 5 Unterstützung Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung
von Auskunfts-, Löschungs- und Berichtigungsansprüchen (Art. 15–22 DSGVO)
innerhalb von zehn Werktagen nach Anfrage.
§ 6 Meldepflicht bei Datenpannen
Der Auftragsverarbeiter meldet Datenschutzverletzungen unverzüglich, spätestens
jedoch innerhalb von 24 Stunden nach Feststellung, an den Verantwortlichen.
CHECKLISTE DRITTLANDTRANSFER DSGVO Art. 46
Treuenfels Yamamoto · Dr. von Sompeh-Ostermann
Empfängerland USA:
□ Empfänger im EU-US DPF-Register eingetragen? (www.dataprivacyframework.gov)
Wenn Ja: Kein SCC erforderlich; TIA trotzdem empfohlen für Gesundheitsdaten
Wenn Nein: EU-SCC (Standard Contractual Clauses 2021) verwenden
□ Transfer Impact Assessment (TIA) für Gesundheitsdaten (Art. 9 DSGVO) durchgeführt?
□ Schrems-II-Zusatzklauseln im AV-Vertrag aufgenommen?
Empfängerland Japan:
□ Angemessenheitsbeschluss EU-Kommission 2019/419 für Japan: Gültig (Stand 2024)
□ APPI-Compliance des japanischen Empfängers bestätigt?
□ Yuki Yamamoto-Brennecke (Kyoto-Büro) für PIPC-Fragen eingebunden?
UK:
□ UK GDPR Angemessenheitsbeschluss gültig?
(Überprüfung empfohlen — Laufzeit bis Mitte 2025)
Allgemein:
□ Datenschutz-Folgenabschätzung (DSFA Art. 35 DSGVO) durchgeführt?
□ AV-Vertrag gem. Art. 28 DSGVO abgeschlossen?
□ Verarbeitungsverzeichnis (Art. 30 DSGVO) aktualisiert?
□ Information der Betroffenen gem. Art. 13/14 DSGVO?
□ Betriebsrat über Datenverarbeitung informiert (§ 87 Abs. 1 Nr. 6 BetrVG)?
Fallstricke
Sterblichkeitsdaten als Art. 9-Daten: Auch wenn Sterbetafeln statistisch aggregiert erscheinen, können aus individuellen Gesundheitsinformationen (Invaliditätsstatus, Krebserkrankung) Schlüsse gezogen werden. Diese sind als Art. 9-Daten einzustufen — erhöhter Schutz und DSFA-Pflicht.
Schrems II — Risiko fortbestehend: Das EU-US Data Privacy Framework kann erneut vom EuGH für ungültig erklärt werden (Schrems III). Parallel immer SCC verwenden und TIA dokumentieren.
Japan APPI 2022 — Verschärfung: Die APPI-Novelle 2022 hat die Anforderungen an Drittlandtransfers erheblich verschärft (Art. 28 APPI n.F.). Altverträge aus vor 2022 müssen überprüft werden.
Betriebsrats-Mitbestimmung: Wenn ein elektronisches Datenraum-System eingesetzt wird, greift § 87 Abs. 1 Nr. 6 BetrVG (Mitbestimmung technischer Überwachungseinrichtungen). Betriebsrat muss eingebunden werden — vor Eröffnung des Datenraums.
→ buyout-im-ma-deal-asset-vs-share — Datenräume im M&A-Kontext
→ country-by-country-benefits-matrix-konzern — lokale Datenschutzanforderungen je Land
→ japan-bav-und-corporate-pension-iorp — APPI Japan im Detail
Aktuelle Rechtsprechung und Leitsaetze (Ergaenzung v14.2)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Quellenregel
Quellenregel: Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen; Literatur nur mit Nutzerquelle oder lizenziertem Live-Zugriff.
