Certified Information Privacy Professional (CIPP/E)

Der CIPP/E ist die international anerkannteste Zertifizierung für Datenschutzfachleute im europäischen Raum. Dieser Kurs vermittelt das gesamte Wissensspektrum, das für das von der IAPP (International Association of Privacy Professionals) ausgestellte Zertifikat verlangt wird: von der historischen Entwicklung des europäischen Datenschutzes über die Systematik der Datenschutz-Grundverordnung bis hin zu den praktischen Pflichten von Verantwortlichen und Auftragsverarbeitern. Die Schulung eignet sich sowohl für Fachleute, die die Zertifizierungsprüfung ablegen wollen, als auch für solche, die ihr Wissen zum europäischen Datenschutzrecht strukturiert vertiefen möchten, ohne unmittelbar eine Prüfung anzustreben.

Modul 1 — Grundlagen des europäischen Datenschutzrechts Der erste Abschnitt beleuchtet, wie sich das europäische Datenschutzrecht von nationalen Regelungen zu einem harmonisierten Rechtsrahmen entwickelt hat. Die DSGVO von 2018 war ein Wendepunkt: Wo zuvor verschiedene nationale Umsetzungen der Richtlinie 95/46/EG galten, entstand ein unmittelbar anwendbares Regelwerk für alle EU-Mitgliedstaaten. Dieser historische Kontext ist wichtig, um heutige Regelungsstrukturen zu verstehen und gesetzliche Änderungen einordnen zu können.

• Geschichte des Datenschutzes in Europa: von der Convention 108 zur DSGVO
• Verhältnis zwischen DSGVO, nationalen Datenschutzgesetzen und bereichsspezifischen Regelungen
• Die wichtigsten europäischen Aufsichtsbehörden: EDPB, nationale DPAs, Struktur und Zuständigkeiten
• Harmonisierungsziele der DSGVO und verbleibende nationale Spielräume
• Anwendungsbereich der DSGVO: sachlich, räumlich, personell

Modul 2 — Personenbezogene Daten: Kategorien und Definitionen Die Abgrenzung, was als personenbezogenes Datum gilt, entscheidet darüber, ob die DSGVO greift. Dieser Abschnitt behandelt die Begriffsbestimmungen der Verordnung genau — inklusive der Abgrenzung von anonymen, pseudonymen und besonders sensiblen Datenkategorien.

• Definition personenbezogener Daten: Identifizierbarkeit, Direktbezug und indirekter Personenbezug
• Anonymisierung versus Pseudonymisierung: rechtliche und technische Unterschiede
• Besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen u. a.
• Daten über strafbare Handlungen: besondere Regelungen nach Art. 10
• Praktische Einordnungsfälle: IP-Adressen, Cookies, Online-Kennungen

Modul 3 — Verantwortliche und Auftragsverarbeiter Die DSGVO verteilt Pflichten auf verschiedene Akteure — je nach deren Rolle in der Datenverarbeitung. Wer Verantwortlicher, wer Auftragsverarbeiter und wer gemeinsam Verantwortlicher ist, bestimmt, welche vertraglichen und technischen Anforderungen gelten.

• Verantwortlicher: Definition, Pflichten, Haftung
• Auftragsverarbeiter: Abgrenzung, Vertragspflichten (Art. 28 DSGVO), Unterauftragsverarbeitung
• Gemeinsam Verantwortliche: Anforderungen an die Vereinbarung und externe Kommunikation
• Datenschutzbeauftragte: Bestellpflicht, Aufgaben, Unabhängigkeit
• Dokumentations- und Rechenschaftspflichten des Verantwortlichen

Modul 4 — Verarbeitung personenbezogener Daten: Rechtsgründe und Grundsätze Die Rechtmäßigkeit jeder Verarbeitungstätigkeit hängt von einem gültigen Rechtsgrund ab. Dieser Abschnitt stellt alle sechs Erlaubnistatbestände der DSGVO vor, erläutert ihre Voraussetzungen und zeigt, welche Pflichten je nach Rechtsgrund entstehen. Besondere Aufmerksamkeit gilt der Einwilligung — oft als einfachster Weg betrachtet, aber mit zahlreichen Anforderungen verbunden.

• Grundsätze der Datenverarbeitung: Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität
• Die sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigtes Interesse
• Einwilligung: Freiwilligkeit, Informiertheit, Widerrufbarkeit, besondere Anforderungen für Minderjährige
• Berechtigtes Interesse: Interessenabwägungstest und Dokumentation
• Zweckbindung: Umwidmung von Daten und Kompatibilitätsprüfung

Modul 5 — Rechte der betroffenen Personen Die DSGVO gibt den betroffenen Personen ein umfassendes Rechtsinstrumentarium an die Hand. Dieser Abschnitt geht jeden Anspruch durch, erklärt die Voraussetzungen und zeigt, welche Fristen und Pflichten der Verantwortliche einzuhalten hat.

• Auskunftsrecht (Art. 15): Umfang, Fristen, Ausnahmen
• Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit: Voraussetzungen und technische Implikationen
• Widerspruchsrecht: Direktmarketing, Profiling, öffentliches Interesse
• Automatisierte Entscheidungen und Profiling nach Art. 22 DSGVO
• Umgang mit Betroffenenanfragen: Fristen, Identitätsprüfung, Ausnahmen

Der Kurs richtet sich an Fachleute, die professionell mit europäischem Datenschutzrecht arbeiten oder dies künftig tun wollen — unabhängig davon, ob sie explizit im Datenschutz tätig sind.

• Datenschutzbeauftragte und datenschutzrechtliche Berater:innen
• Compliance Manager und Risk Officers mit europäischer Zuständigkeit
• Juristen und Rechtsabteilungen, die DSGVO-Mandate betreuen
• IT- und Systemverantwortliche, die datenschutzkonforme Architekturen planen müssen
• Personalverantwortliche, die Mitarbeiterdaten DSGVO-konform verwalten

Der Kurs findet im Combined-Learning-Format statt — in der Regel als Teilzeitkurs, mit einzelnen Vollzeitphasen je nach Terminangebot. Theoretische Vermittlung der Datenschutznormen wird durch Fallbesprechungen und Anwendungsbeispiele aus der Praxis ergänzt. Teilnehmende arbeiten mit den offiziellen IAPP-Studienunterlagen, die auch für die Zertifizierungsprüfung maßgeblich sind.

Die Kursdauer variiert je nach Intensitätsformat. Teilzeitkurse erstrecken sich typischerweise über mehrere Wochen. Die genaue Stundenanzahl und der Zeitplan werden beim jeweiligen Anbieter festgelegt.

Die IAPP verleiht das Zertifikat CIPP/E nach bestandener Prüfung. Diese Prüfung wird separat bei der IAPP abgelegt; der Kurs bereitet inhaltlich darauf vor, ohne selbst die Prüfung abzunehmen. Das CIPP/E-Zertifikat gilt als der weltweit anerkannteste Nachweis für fundiertes Wissen im europäischen Datenschutzrecht und ist in Stellen, die DSGVO-Compliance erfordern, ein anerkanntes Qualifikationsmerkmal. Zusätzlich wird ein trägerinternes Zertifikat über die Kursteilnahme ausgestellt.

Das CIPP/E-Zertifikat ist in der DSGVO-Compliance-Welt das dominierende Qualifikationsmerkmal. Unternehmen, die personenbezogene Daten von EU-Bürger:innen verarbeiten — also faktisch alle global tätigen Organisationen mit europäischem Kundenstamm — suchen aktiv nach Fachleuten, die dieses Zertifikat vorweisen können. Der Besitz des CIPP/E signalisiert, dass man nicht nur oberflächlich mit der DSGVO vertraut ist, sondern deren Systematik, Abwägungen und praktische Anwendungsgrenzen wirklich versteht. Die Ausbildung schärft darüber hinaus den Blick für die Schnittstellen zwischen Datenschutz und anderen Rechtsbereichen: IT-Sicherheit, Arbeitsrecht, Vertragsrecht und internationale Datenübermittlung sind Felder, bei denen datenschutzrechtliches Wissen täglich gefragt ist. Wer CIPP/E-zertifiziert ist, kann in diesen Überschneidungsbereichen fundiert agieren. Langfristig bietet das Zertifikat auch Optionen in Richtung weiterführender IAPP-Qualifikationen: Der CIPM (Certified Information Privacy Manager) für Programmmanagement und der CIPT (Certified Information Privacy Technologist) für technische Umsetzung bauen inhaltlich auf CIPP/E-Wissen auf und ermöglichen eine Spezialisierung je nach beruflichem Schwerpunkt.