Datenschutzbeauftragter: Skills, Gehalt und der Weg in den Job

Was ein Datenschutzbeauftragter macht

Ein Datenschutzbeauftragter prüft, ob eine Organisation Personendaten rechtmäßig verarbeitet, berät Führung und Beschäftigte, bevor sie etwas Neues beginnen, schult sie, antwortet Menschen, die nach ihren Daten fragen, und arbeitet mit der Aufsicht, wenn etwas schiefgeht. Er berät und überwacht; die Entscheidungen bleiben bei der Geschäftsleitung, deshalb muss die Rolle unabhängig und frei von Interessenkonflikten sein.

Der Job sitzt zwischen drei anderen. Der Jurist entwirft und vertritt die rechtliche Position, der Compliance Officer deckt das größere Regelwerk einer Firma ab, und das Sicherheitsteam, dazu gehört der Security Analyst, schützt Systeme und reagiert auf Vorfälle. Viele Datenschutzbeauftragte arbeiten als externe Beauftragte für mehrere kleinere Firmen. Die Stufen vom Datenschutzkoordinator bis zum Chief Privacy Officer stehen in den Karrierewegen (auf Englisch).

Die Regeln unterscheiden sich nach Ort, und der Job folgt ihnen. In der EU legt die DSGVO die Aufgaben eines Datenschutzbeauftragten fest und wann einer benannt werden muss; das deutsche BDSG fügt eine eigene Pflicht zur Benennung hinzu; in Großbritannien gelten die UK GDPR und der Data Protection Act 2018; in der Schweiz das revidierte DSG; in Indien der DPDP Act; und in den USA stehen Gesetze der Bundesstaaten wie Kaliforniens CCPA, geändert durch den CPRA, neben Regeln für einzelne Branchen. Jeder Länderabschnitt unten sagt mehr. Diese Seite beschreibt den Job und ist keine Rechtsberatung.

Die Skills, die Anzeigen verlangen

Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills, die sie nennen. Am Computer zeigt ein Skill im Text seinen Anteil, wenn du mit der Maus darauf zeigst; auf dem Handy steht dasselbe in der Tabelle.

Der rechtliche Kern steht vorn: die DSGVOGrundsätze, Rechtsgrundlagen, Rechte und Pflichten gut genug kennen, um sie auf einen echten Prozess anzuwenden. der EU und die nationalen Gesetze daneben, die ComplianceRegeln in Abläufe übersetzen, denen Menschen folgen, mit Belegen, dass sie es tun.-Arbeit, sie in Abläufe zu übersetzen, und Datenschutz-FolgenabschätzungenEine Folgenabschätzung für riskante Verarbeitungen durchführen: Zweck, Risiken für Menschen und die Maßnahmen, die sie senken. für riskante Verarbeitungen. VertragsarbeitAuftragsverarbeitungsverträge und die Datenklauseln anderer Verträge lesen und verhandeln. kommt mit jedem Dienstleister dazu, der Daten verarbeitet, und ArbeitsrechtWissen, wo Beschäftigtendaten das Arbeitsrecht treffen, von der Einstellung über Kontrollen bis zum Austritt., wo es um Beschäftigtendaten geht.

Auf der technischen Seite geht es darum, genug zu wissen, um die richtigen Fragen zu stellen: Grundlagen von ISO 27001Ein Managementsystem für Informationssicherheit lesen und sehen, wo es die Pflichten des Datenschutzes trifft. und IT-SicherheitSicherheitskontrollen und Vorfälle gut genug verstehen, um das Risiko für Personendaten zu beurteilen., wem welche Daten gehörenWissen, wem welche Daten gehören, wo sie liegen und wie lange sie bleiben., RisikobewertungenRisiken für die Daten von Menschen nach Wahrscheinlichkeit und Folgen bewerten und vereinbaren, was dagegen geschieht. und KontrollenPrüfungen in Abläufe einbauen und testen, ob sie wirken, so wie es ein Prüfer täte., die sich testen lassen. Viele Datenschutzbeauftragte führen ihre Verzeichnisse in einem Datenschutz-WerkzeugVerarbeitungsverzeichnis, Folgenabschätzungen und Anfragen in einem Datenschutz-Werkzeug oder einem gut gepflegten Register führen. wie OneTrust, TrustArc oder Securiti, viele in einer gut gepflegten Tabelle; Anzeigen nennen sie gleichrangig nebeneinander. Daten, die über Microsoft 365Personendaten in geteilten Laufwerken, Mail und Werkzeugen für die Zusammenarbeit finden und dort sinnvolle Löschfristen setzen. verteilt sind, sind ein häufiges Thema, und KommunikationEine Regel nacheinander der Entwicklung, dem Marketing und dem Vorstand in einfachen Worten erklären. in einfachen Worten zählt so viel wie das Recht. Konzernrichtlinien sind oft auf EnglischDie Sprache der meisten internationalen Leitlinien zum Datenschutz, der Verträge und der Konzernrichtlinien. geschrieben, und die meisten Anzeigen in den deutschsprachigen Ländern verlangen DeutschIn den meisten deutschen Anzeigen verlangt, wo Beschäftigte, Betriebsräte und Behörden Deutsch sprechen. für die Gespräche mit den Beschäftigten.

Zertifikate tauchen in vielen Anzeigen auf und sind hier gleichrangig genannt: CIPP/E und CIPM der IAPP, eines internationalen Verbands für Fachleute im Datenschutz, und in Deutschland Lehrgänge, die mit einem Zertifikat von TÜV oder DEKRA als Datenschutzbeauftragter enden. Kein Gesetz verlangt ein bestimmtes davon; die Regeln verlangen Fachwissen, und Arbeitgeber lesen ein Zertifikat als ein Zeichen dafür, neben den Fällen, die du bearbeitet hast.

Wo die Jobs sind, Land für Land

Jedes Land unten hat seine eigenen Zahlen: welche Städte die meisten Jobs in unserer Liste haben, ob die Zahl steigt oder sinkt, wie oft Anzeigen Homeoffice oder hybrides Arbeiten anbieten, die Titel im Land und Gehaltsspannen aus veröffentlichten Studien in der Landeswährung. Für Österreich haben wir keine eigene Gehaltsrecherche; dort steht, wie du eine Anzeige liest.

Ein neuer Prozess, Schritt für Schritt

1. Früh davon hören: Ein Team plant eine neue App, einen neuen Dienstleister oder eine neue Nutzung von Kundendaten und fragt den Datenschutzbeauftragten, bevor es beginnt.
2. Die Daten erfassen: was erhoben wird, von wem, wozu, wohin es geht und wie lange es bleibt.
3. Rechtsgrundlage und Risiken finden: die Rechtsgrundlage für jede Nutzung und eine Folgenabschätzung, wenn das Risiko für Menschen hoch ist.
4. Die Maßnahmen vereinbaren: weniger Daten, kürzere Aufbewahrung, begrenzte Zugriffe, ein Vertrag mit dem Dienstleister und klare Hinweise an die Betroffenen.
5. Dokumentieren und prüfen: der Eintrag im Verarbeitungsverzeichnis und später eine Prüfung, ob die Maßnahmen umgesetzt sind.

Der größte Teil der Arbeit ist Beratung wie diese, dazu Anfragen von Menschen, die ihre Daten sehen oder löschen lassen wollen, Schulungen und die seltene Datenpanne, die beurteilt und vielleicht binnen kurzer Frist gemeldet werden muss. Einen guten Datenschutzbeauftragten fragen Teams früh, weil sie den Rat nützlich finden, nicht weil sie ihn fürchten.

Dein Lebenslauf für einen Job als Datenschutzbeauftragter

Den Lebenslauf eines Datenschutzbeauftragten lesen zwei: die Bewerbersoftware, die die Wörter der Anzeige sucht, und eine Leitung Recht oder Compliance, die wissen will, welche Organisationen du betreut hast, unter welchen Gesetzen du gearbeitet hast und was sich durch deinen Rat geändert hat. Zeig beides: die Stichwörter und die Belege.

Nutze die Stichwörter der Anzeige

• Nenne die Arbeit so wie die Anzeige: „DSGVO“, „Datenschutz-Folgenabschätzung“, „Verarbeitungsverzeichnis“, „Betroffenenanfragen“, „Auftragsverarbeitungsverträge“ und das nationale Gesetz des Landes. Die Skill-Tabelle oben zeigt, welche Stichwörter die Anzeigen am häufigsten nutzen.
• Sag, was du betreut hast: die Branche, die Größe der Organisation und ob du intern oder extern beauftragt warst.
• Schreib ein Zertifikat oder einen Kurs, den du noch machst, als „laufend“ mit dem geplanten Monat, damit niemand es für abgeschlossen hält.
• Lass eine Zeile zu deiner Herkunft stehen, etwa ein Jurastudium, ein Hintergrund in der IT oder in der Prüfung, weil sie die Fragen prägt, die du bekommst.

Belege jeden Skill

Eine Zeile aus dem Datenschutz belegt sich mit einer Veränderung: ein Verzeichnis, das vollständig wurde, Anfragen, die pünktlich beantwortet wurden, ein riskantes Projekt, das vor dem Start sicher wurde, eine Datenpanne, die in der Frist bearbeitet war.

Lass Vertrauliches weg: keine Namen von Betroffenen oder Kunden, keine Details offener Untersuchungen.

Wie wir unsere Daten lesen

• Die Jobs: die Jobs als Datenschutzbeauftragter, Datenschutzkoordinator und Datenschutzmanager, Data Protection Officer, Privacy Officer und Privacy Manager in unserer Jobsuche, so zugeordnet, wie die Suche sie findet. Unsere Liste ist nicht der ganze Markt, deshalb nennen wir Anteile und Rangfolgen, nie Anzahlen.
• Die Skills: Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills darin mit einer festen Wortliste. Wir behalten nur diese Zählung, nie den Text der Anzeige.
• Gehalt: aus veröffentlichten Gehaltsstudien, mit Quelle und Datum, als Spanne vom Berufseinstieg bis Senior. Es ist nicht aus unseren Anzeigen berechnet.
• Datum: Jede Zahl wird täglich neu berechnet und nennt den Tag, an dem sie berechnet wurde.

Mehr zu diesem Beruf