Interviewfragen für Datenschutzbeauftragte, mit ausgearbeiteten Antworten

So nutzt du diese Fragen

Die meisten Runden bestehen aus Fällen: Ein Team will etwas mit Personendaten tun, und du berätst. Antworte laut, in der Reihenfolge, in der eine Aufsichtsbehörde fragen würde: welche Daten, auf welcher Grundlage, mit welchem Risiko, mit welchen Maßnahmen. Nenn das Gesetz des Orts, an dem der Job ist, und sag, wann du einen Juristen bitten würdest, einen Punkt zu bestätigen.

Was ein Datenschutzbeauftragter wissen muss

• Das Recht: die DSGVOGrundsätze, Rechtsgrundlagen, Rechte und Pflichten gut genug kennen, um sie auf einen echten Prozess anzuwenden. der EU oder das Gesetz des Orts, daneben ArbeitsrechtWissen, wo Beschäftigtendaten das Arbeitsrecht treffen, von der Einstellung über Kontrollen bis zum Austritt. für Beschäftigtendaten und VertragsarbeitAuftragsverarbeitungsverträge und die Datenklauseln anderer Verträge lesen und verhandeln. mit Dienstleistern.
• Die Methode: Datenschutz-FolgenabschätzungenEine Folgenabschätzung für riskante Verarbeitungen durchführen: Zweck, Risiken für Menschen und die Maßnahmen, die sie senken., das Verarbeitungsverzeichnis und ComplianceRegeln in Abläufe übersetzen, denen Menschen folgen, mit Belegen, dass sie es tun.-Abläufe, die Belege hinterlassen.
• Das Risiko: RisikobewertungenRisiken für die Daten von Menschen nach Wahrscheinlichkeit und Folgen bewerten und vereinbaren, was dagegen geschieht., Grundlagen der IT-SicherheitSicherheitskontrollen und Vorfälle gut genug verstehen, um das Risiko für Personendaten zu beurteilen. und ISO 27001Ein Managementsystem für Informationssicherheit lesen und sehen, wo es die Pflichten des Datenschutzes trifft., wo sich Datenschutz und Sicherheit treffen.
• Die Verzeichnisse: ein Datenschutz-WerkzeugVerarbeitungsverzeichnis, Folgenabschätzungen und Anfragen in einem Datenschutz-Werkzeug oder einem gut gepflegten Register führen. oder ein Register, das vollständig und aktuell ist.

Anzeigen nennen die Werkzeuge gleichrangig nebeneinander, und keines ist überall Pflicht: OneTrust, TrustArc oder Securiti als Datenschutz-Werkzeuge, Microsoft Purview, um Daten in Microsoft 365 zu finden und zu kennzeichnen, und Excel für die vielen Verzeichnisse, die in einer Tabelle leben. Interviewern ist wichtig, was in den Verzeichnissen steht, nicht wo sie liegen.

Rechtsgrundlage, Betroffenenrechte und Löschfristen

Das Marketing will Kundendaten für eine neue Kampagne nutzen. Wie entscheidest du über die Rechtsgrundlage?

Worauf sie achten: dass du den Zweck einer Rechtsgrundlage zuordnest und nicht umgekehrt.

Kurze Antwort: „Eine Rechtsgrundlage ist der rechtliche Grund, Personendaten zu nutzen. Ich frage, was die Kampagne mit welchen Daten tut und was den Kunden gesagt wurde. Dann prüfe ich, ob eine Einwilligung nötig ist, etwa für manches E-Mail-Marketing, oder ob das berechtigte Interesse sie tragen kann; dafür braucht es eine schriftliche Abwägung zwischen dem Interesse der Firma und dem des Kunden.“

Die ausführliche Antwort: Nach den Regeln der EU und ihrer britischen Kopie, der UK GDPR, sind die Rechtsgrundlagen dieselben, aber nationale Gesetze zu Werbeanrufen und Werbe-E-Mails fügen eigene Bedingungen hinzu. Schreib die Begründung auf, passe die Datenschutzhinweise an, wenn der Zweck neu ist, und mach den Widerspruch einfach.

Schwache Antwort: „Wir haben die Daten, also dürfen wir sie nutzen.“ Nachfrage: „Die Daten wurden vor Jahren nur für die Lieferung erhoben.“ Sag, was sich ändert.

Ein Kunde stellt ein Auskunftsersuchen. Wie gehst du Schritt für Schritt damit um?

Worauf sie achten: ein ruhiger Ablauf, der die Frist hält und andere schützt.

Kurze Antwort: „Betroffener ist die Person, um deren Daten es geht; mit einem Auskunftsersuchen verlangt sie eine Kopie ihrer Daten und Auskunft darüber, wie sie genutzt werden. Ich prüfe, wer fragt, halte das Datum fest, durchsuche jedes System, das ihre Daten haben könnte, entferne, was andere Menschen betrifft, und antworte innerhalb der gesetzlichen Frist, meist eines Monats.“

Die ausführliche Antwort: Ein Auskunftsersuchen kommt oft mitten in einem Streit, also behandle es wie ein rechtliches Dokument. Vereinbare vorab mit dem Kundenservice und der IT, wo gesucht wird, und halte fest, was verschickt wurde.

Schwache Antwort: „Der Kundenservice schickt ihm seine Kontoseite.“ Nachfrage: „Das Ersuchen ist Teil eines Rechtsstreits mit der Firma.“ Sag, was sich ändert.

Wie würdest du Löschfristen für eine Firma festlegen, die noch nie etwas gelöscht hat?

Worauf sie achten: ein praktischer Plan, kein perfekter.

Kurze Antwort: „Ich fange mit den Daten an, die das größte Risiko tragen, etwa Bewerbungsunterlagen und Kundendaten, lege für jede Art eine Frist aus den gesetzlichen Aufbewahrungspflichten und dem Bedarf des Geschäfts fest und vereinbare das Löschen mit den Verantwortlichen. Dann baue ich das Löschen in die Systeme ein, damit es passiert, ohne dass jemand daran denken muss.“

Die ausführliche Antwort: Steuer- und Handelsrecht setzen manche Fristen; über den Rest entscheidet die Firma und schreibt auf, warum. Prüf auch Backups und geteilte Laufwerke, wo sich alte Kopien verstecken.

Schwache Antwort: „Alles behalten, es könnte nützlich sein.“ Nachfrage: „Der Vertrieb sagt, das Löschen alter Leads kostet Umsatz.“ Sag, wie du antwortest.

Folgenabschätzungen, Dienstleister und Übermittlungen

Die Firma will ein KI-Werkzeug einführen, das Kunden-E-Mails liest. Wie würdest du die Folgenabschätzung durchführen?

Worauf sie achten: dass du eine neue Technik mit derselben Methode beurteilst wie alles andere.

Kurze Antwort: „Eine Datenschutz-Folgenabschätzung, kurz DSFA, beschreibt die Verarbeitung, prüft, ob sie nötig und verhältnismäßig ist, bewertet die Risiken für die Betroffenen und listet die Maßnahmen. Bei einem KI-Werkzeug frage ich, welche Daten es sieht, ob der Anbieter sie zum Training nutzt, wo sie verarbeitet werden, wie Fehler auffallen und wie lange etwas gespeichert bleibt.“

Die ausführliche Antwort: Hol die IT-Sicherheit, den fachlich Verantwortlichen und den Anbieter früh dazu. In der EU fügt die KI-Verordnung, der AI Act, für manche Einsätze eigene Pflichten hinzu, also prüf, welche gelten. Eine Folgenabschätzung endet mit einer Entscheidung der Geschäftsleitung; der Datenschutzbeauftragte berät dazu.

Schwache Antwort: „KI-Werkzeuge sind neu, also warten wir.“ Nachfrage: „Der Anbieter sagt nicht, ob er mit euren Daten trainiert.“ Sag, was du rätst.

Ein neuer Dienstleister soll unsere Kundendaten verarbeiten. Was brauchst du von ihm als Auftragsverarbeiter?

Worauf sie achten: die Rollen von Verantwortlichem und Auftragsverarbeiter und eine echte Prüfung des Dienstleisters.

Kurze Antwort: „Der Verantwortliche entscheidet, wozu und wie Daten genutzt werden; ein Auftragsverarbeiter verarbeitet sie in seinem Auftrag. Ich brauche einen Auftragsverarbeitungsvertrag, der ihn an unsere Weisungen bindet, seine technischen und organisatorischen Maßnahmen, eine Liste seiner Unterauftragnehmer und das Recht, ihn zu prüfen.“

Die ausführliche Antwort: Frag, wie er mit einer Datenpanne umgeht und wie schnell er uns informiert, wo die Daten liegen und wie sie am Ende zurückgegeben oder gelöscht werden. Richte die Prüfung nach dem Risiko: Ein Dienstleister für die Lohnabrechnung bekommt mehr Fragen als ein Werkzeug zur Buchung von Besprechungsräumen.

Schwache Antwort: „Das ist eine große Firma, also passt das.“ Nachfrage: „Sein Standardvertrag schließt jede Prüfung aus.“ Sag, was du verhandeln würdest.

Unser Support-Team sitzt in Indien, die Kunden sind in der EU. Wie machst du die Übermittlung zulässig?

Worauf sie achten: die Regeln für Übermittlungen und ein Blick auf das Risiko, nicht nur ein Formular.

Kurze Antwort: „Personendaten dürfen die EU nur mit einer Garantie verlassen. Wo kein Angemessenheitsbeschluss sagt, dass der Schutz im anderen Land angemessen ist, sind die Standardvertragsklauseln das übliche Mittel, Mustervertragsklauseln der Europäischen Kommission, dazu eine Bewertung der Risiken in diesem Land und, wo nötig, zusätzliche Maßnahmen.“

Die ausführliche Antwort: Für das Team in Indien gilt auch Indiens DPDP Act, also sollte der Vertrag zu beiden passen. Begrenze, was das Team sehen kann, protokolliere die Zugriffe und prüf sie.

Schwache Antwort: „Es ist derselbe Konzern, also findet keine Übermittlung statt.“ Nachfrage: „Das Team braucht vollen Zugriff auf die Kundendaten.“ Sag, worum du bitten würdest.

Wie baust du Privacy by Design in eine neue App ein, bevor es eine Zeile davon gibt?

Worauf sie achten: dass du mit Produkt und Entwicklung arbeitest, nicht hinter ihnen her.

Kurze Antwort: „Privacy by Design, Datenschutz durch Technikgestaltung, heißt, dass der Schutz von Anfang an Teil des Plans ist. Ich sitze in den ersten Planungsrunden, frage, welche Daten jede Funktion wirklich braucht, setze mich für Voreinstellungen ein, die am wenigsten teilen, und vereinbare Regeln zu Löschen und Zugriff, bevor gebaut wird.“

Die ausführliche Antwort: Gib dem Team eine kurze Checkliste und einen Ansprechpartner, damit Fragen früh kommen. Prüf vor dem Start noch einmal und halte die Entscheidungen im Verarbeitungsverzeichnis fest.

Schwache Antwort: „Ich prüfe es nach dem Start.“ Nachfrage: „Das Produktteam will sicherheitshalber das Geburtsdatum erheben.“ Sag, was du fragst.

Unsere Website setzt Tracking-Cookies, bevor jemand klickt. Was rätst du?

Worauf sie achten: die Regeln zu Cookies und eine Lösung, mit der das Geschäft leben kann.

Kurze Antwort: „In der EU verlangen die ePrivacy-Regeln, in Deutschland das TDDDG, eine Einwilligung, bevor nicht notwendige Cookies gesetzt werden. Ich würde Marketing und IT jedes Cookie auflisten lassen, die nicht notwendigen blockieren, bis der Besucher zustimmt, und das Ablehnen so einfach machen wie das Zustimmen.“

Die ausführliche Antwort: Teste das Banner selbst in einem frischen Browser. Vereinbare mit dem Marketing, welche Werkzeuge es wirklich braucht, und speichere die Einwilligung, damit sie sich später nachweisen lässt.

Schwache Antwort: „Das machen doch alle.“ Nachfrage: „Das Marketing sagt, die Zahlen werden sinken.“ Sag, wie du das besprichst.

Datenpannen und die Aufsichtsbehörde

Am Freitagabend wird ein Laptop mit einer unverschlüsselten Kundenliste gestohlen. Was passiert jetzt?

Worauf sie achten: Tempo, Urteilsvermögen und die Fristen.

Kurze Antwort: „Ich starte die Uhr, finde heraus, welche Daten darauf waren und zu etwa wie vielen Menschen, und beurteile das Risiko für sie. Nach den Regeln der EU und Großbritanniens geht eine Datenpanne, die die Rechte von Menschen gefährdet, binnen 72 Stunden an die Aufsichtsbehörde, und an die Betroffenen selbst, wenn das Risiko hoch ist. Die Fakten und meine Begründung halte ich in jedem Fall fest.“

Die ausführliche Antwort: Arbeite mit der IT-Sicherheit daran, das Gerät aus der Ferne zu löschen, wenn möglich, und mit Geschäftsleitung und Kommunikation daran, was die Betroffenen erfahren. Beheb danach die Ursache, etwa die fehlende Verschlüsselung, und prüf dieselbe Lücke an anderen Stellen.

Schwache Antwort: „Wir warten bis Montag, ob er wieder auftaucht.“ Nachfrage: „Die Führungskraft bittet dich, es nicht zu melden.“ Sag, was du tust.

Die IT-Sicherheit meldet einen Angriff auf einen Server, auf dem Personendaten liegen könnten. Wie arbeitest du mit dem Sicherheitsteam zusammen?

Worauf sie achten: ein gemeinsamer Ablauf, in dem jede Seite ihren Teil kennt.

Kurze Antwort: „Die Sicherheit findet, begrenzt und untersucht; ich beurteile, was es für die Menschen bedeutet, deren Daten auf dem Server lagen, und ob eine Meldung fällig ist. Wir führen eine gemeinsame Akte zum Vorfall, treffen uns zu festen Zeiten, solange er läuft, und ich stelle die Fragen, die eine Aufsichtsbehörde stellen wird: welche Daten, wie viele Menschen, seit wann, und liegen sie noch offen.“

Die ausführliche Antwort: Vereinbare das vor jedem Vorfall im Notfallplan, mit Namen und Telefonnummern. Geh danach gemeinsam durch, was die Arbeit gebremst hat, und beheb es.

Schwache Antwort: „Die Sicherheit sagt mir Bescheid, wenn sie fertig ist.“ Nachfrage: „Die Untersuchung dauert eine Woche, die Frist endet aber in drei Tagen.“ Sag, was du meldest.

Die Aufsichtsbehörde schreibt, dass sich ein Kunde beschwert hat. Wie antwortest du?

Worauf sie achten: Zusammenarbeit, Fakten und eine klare Verantwortung.

Kurze Antwort: „Die Aufsichtsbehörde ist die Aufsicht für den Datenschutz. Ich bestätige die Frist, sammle die Fakten bei den beteiligten Teams, gleiche das, was wir getan haben, mit unseren Verzeichnissen ab und antworte vollständig und pünktlich. Wo wir einen Fehler gemacht haben, sage ich das und zeige, was wir geändert haben.“

Die ausführliche Antwort: Halte die Geschäftsleitung auf dem Laufenden, hol den Juristen dazu, wenn ein Bußgeld droht, und nutze die Beschwerde als Anlass, einen Ablauf zu reparieren. Ein gutes Arbeitsverhältnis zur Aufsicht hilft der Firma.

Schwache Antwort: „Den ganzen Kontakt mit der Behörde überlassen wir den Juristen.“ Nachfrage: „Die Fakten zeigen, dass das Team deinen früheren Rat ignoriert hat.“ Sag, wie du das berichtest.

Beschäftigtendaten, Schulungen und Audits

Die Geschäftsleitung will Daten der Beschäftigten auf ihren Laptops überwachen. Was rätst du, und was ist mit dem Betriebsrat?

Worauf sie achten: sorgfältiger Umgang mit Beschäftigtendaten und die Menschen, die beteiligt werden müssen.

Kurze Antwort: „Ich frage, welches Problem die Überwachung lösen soll und ob ein milderes Mittel reicht. Die Überwachung von Beschäftigten braucht einen klaren Zweck, Grenzen, eine Information an die Beschäftigten und oft eine Folgenabschätzung. In Deutschland bestimmt der Betriebsrat bei technischen Einrichtungen mit, die Leistung überwachen können, also muss er vor jedem Start beteiligt sein.“

Die ausführliche Antwort: Vereinbare Löschfristen und wer die Ergebnisse sehen darf, schließ heimliche Überwachung aus und halte die Regeln in einer Betriebsvereinbarung fest, wo es einen Betriebsrat gibt. HR und der Jurist kommen früh dazu.

Schwache Antwort: „Die Laptops gehören der Firma, also ist alles erlaubt.“ Nachfrage: „Der Betriebsrat lehnt ab.“ Sag, was dann passiert.

Wie würdest du eine Datenschutzschulung gestalten, an die sich die Beschäftigten erinnern?

Worauf sie achten: eine Schulung, die Verhalten ändert, kein abgehaktes Kästchen.

Kurze Antwort: „Kurz, nach Rollen und mit echten Fällen aus unserer eigenen Firma: was der Kundenservice am Telefon sagen darf, was HR aufbewahren darf, was Entwickler fragen müssen, bevor sie echte Daten nutzen. Am Ende stelle ich ein paar Fragen, und ich wiederhole sie jedes Jahr.“

Die ausführliche Antwort: Miss die Wirkung: weniger Fehler, mehr Fragen an den Datenschutzbeauftragten, schnellere Meldungen von Datenpannen. Schule Führungskräfte getrennt, denn die Beschäftigten folgen ihnen.

Schwache Antwort: „Alle lesen einmal im Jahr die Richtlinie.“ Nachfrage: „Die Beschäftigten klicken sich in zwei Minuten durch den Kurs.“ Sag, was du änderst.

Wie prüfst du, wie eine Abteilung mit Personendaten umgeht?

Worauf sie achten: eine Methode, die echte Lücken findet und die Beziehung erhält.

Kurze Antwort: „Ich stimme den Umfang mit der Leitung der Abteilung ab, vergleiche ihre Einträge im Verarbeitungsverzeichnis mit dem, was sie wirklich tut, ziehe Stichproben aus Akten und Zugriffsrechten und spreche mit den Leuten, die die Arbeit machen. Der Bericht bewertet jedes Ergebnis, nennt einen Verantwortlichen und ein Datum, und ich prüfe später, ob es behoben ist.“

Die ausführliche Antwort: Das Verarbeitungsverzeichnis hält fest, welche Daten jeder Prozess nutzt, wozu und wie lange; ein Audit prüft dieses Verzeichnis an der Wirklichkeit. Nutze jedes Jahr dieselbe Methode, damit der Fortschritt sichtbar wird.

Schwache Antwort: „Ich schicke einen Fragebogen und lege die Antworten ab.“ Nachfrage: „Die Leitung der Abteilung bestreitet ein Ergebnis.“ Sag, wie du das klärst.

Unabhängigkeit und Runden für erfahrene Datenschutzbeauftragte

Wie bleibst du unabhängig, und wie würdest du einen Interessenkonflikt in deiner eigenen Rolle erkennen?

Worauf sie achten: dass du verstehst, warum der Datenschutzbeauftragte die Verarbeitung nicht selbst steuert.

Kurze Antwort: „Der Datenschutzbeauftragte berät und überwacht, berichtet an die oberste Leitung und darf keine Weisungen dazu bekommen, wie er seine Aufgaben erfüllt. Ein Interessenkonflikt entsteht, wenn er auch entscheidet, wozu und wie Daten genutzt werden, etwa als Leiter der IT oder des Marketings. Ich würde das offen ansprechen und eine Trennung der Rollen vorschlagen.“

Die ausführliche Antwort: Unabhängigkeit heißt auch Mittel: Zeit, Budget und Zugang zu Informationen. Halte die Rolle schriftlich fest, berichte regelmäßig an die Geschäftsleitung und dokumentiere, wenn ein Rat nicht befolgt wird.

Schwache Antwort: „Ich tue, was meine Führungskraft entscheidet.“ Nachfrage: „Die Firma will, dass du zugleich Datenschutzbeauftragter und Leiter Compliance bist.“ Sag, was du prüfen würdest.

Wie würdest du als Senior-Datenschutzbeauftragter oder Head of Privacy ein Datenschutzprogramm über mehrere Länder aufbauen?

Worauf sie achten: ein Blick von oben: Prioritäten, Menschen und Berichte.

Kurze Antwort: „Ich würde einen Konzernstandard auf Grundlage der strengsten gemeinsamen Pflichten setzen, nationale Regeln dort ergänzen, wo sie abweichen, und in jedem Land einen Ansprechpartner benennen. Dann würde ich einen Plan für die größten Risiken vereinbaren, der Geschäftsleitung jedes Quartal über den Fortschritt berichten und ihn an wenigen Kennzahlen messen, etwa pünktlich beantworteten Anfragen und Folgenabschätzungen vor dem Start.“

Die ausführliche Antwort: In der EU ist die DSGVO die Grundlage; die UK GDPR, das revidierte DSG der Schweiz, Indiens DPDP Act und Gesetze der US-Bundesstaaten wie Kaliforniens CCPA fügen jeweils eigene Punkte hinzu. Ein Datenschutzkoordinator in jedem Land kann die tägliche Arbeit tragen, während der Head of Privacy den Standard verantwortet.

Schwache Antwort: „Eine Richtlinie für alle, und fertig.“ Nachfrage: „Ein Länderchef sagt, der Konzernstandard ist zu viel für ein kleines Büro.“ Sag, wie du entscheidest.

Dein Lebenslauf für diese Fragen

Jede Station in deinem Lebenslauf lädt zu den Fragen oben ein: was du betreut hast, die schweren Fälle und was sich geändert hat. Gib jeder dieser Geschichten eine Zeile, bei der ein Head of Privacy mehr hören will:

Bewerte deinen Lebenslauf kostenlos an einem Job als Datenschutzbeauftragter, den du willst; übe den Bereich, den sie als dünn erkennt, zuerst, mit einem echten Fall, ohne Namen erzählt.