Certified Information Privacy Professional (CIPP/US)

US-amerikanisches Datenschutzrecht ist komplex, fragmentiert und für Unternehmen mit transatlantischem Geschäft operativ relevant. Wer in Compliance-, Rechts- oder Datenschutzrollen arbeitet und mit amerikanischen Partnern, Kunden oder Behörden zu tun hat, kommt an den zentralen US-Datenschutzgesetzen nicht vorbei: HIPAA, CCPA, GLBA, FERPA und dem Geflecht föderaler und staatlicher Regularien. Dieser Kurs vermittelt systematisch das Wissen, das für die IAPP-Zertifizierung Certified Information Privacy Professional / U.S. (CIPP/US) benötigt wird — und damit zugleich das Rüstzeug für den professionellen Umgang mit dem US-amerikanischen Datenschutzrahmen. Kurs- und Prüfungssprache ist Englisch.

Grundlagen des US-Datenschutzrechts und Systemübersicht Das US-amerikanische Datenschutzrecht kennt kein einheitliches Bundesgesetz, das alle Sektoren erfasst. Stattdessen ergibt sich der Schutz personenbezogener Daten aus einem Geflecht sektorspezifischer Bundesgesetze, staatlicher Gesetze und Durchsetzungspraxis der FTC. Dieser Einleitungsblock legt das konzeptionelle Fundament.

• Historische Entwicklung des Datenschutzes in den USA seit den 1970er Jahren
• Verfassungsrechtliche Grundlage: Vierter Zusatzartikel, Right of Privacy und ihre Grenzen
• Überblick über das Verhältnis von Bundesrecht und Staatsrecht im Datenschutz
• Rolle der Federal Trade Commission als wichtigste Datenschutz-Aufsichtsbehörde
• Begriffe: Personally Identifiable Information (PII), Sensitive Data, de-identification
• Vergleich: Opt-in vs. Opt-out, Notice and Choice als tragende Prinzipien

Sektorale Bundesgesetze — Gesundheit, Finanzen und Bildung Der stärkste Schutz im US-amerikanischen Datenschutz gilt in bestimmten Sektoren, die klaren Bundesregelungen unterliegen. Dieser Block behandelt die drei wichtigsten: Gesundheit, Finanzen und Bildung.

• HIPAA (Health Insurance Portability and Accountability Act): Privacy Rule, Security Rule, Breach Notification Rule
• HITECH (Health Information Technology for Economic and Clinical Health Act): Erweiterung und Verschärfung von HIPAA
• FCRA (Fair Credit Reporting Act) und FACTA: Kreditauskunftsdaten und Verbraucherrechte
• GLBA (Gramm-Leach-Bliley Act): Finanzdienstleister und Datenschutzpflichten
• FERPA (Family Educational Rights and Privacy Act): Schüler- und Studentendaten
• Dodd-Frank, Verbraucherschutzgesetz und CFPB: aktuelle Entwicklungen im Finanzsektor

Staatliche Gesetze und der California Consumer Privacy Act (CCPA) Auf Bundesstaatsebene haben sich insbesondere Kalifornien und einige andere Staaten als Gesetzgeber positioniert. Der CCPA hat durch seinen breiten Anwendungsbereich und die Verbraucherrechte internationale Aufmerksamkeit erlangt.

• CCPA: Geltungsbereich, Verbraucherrechte (Auskunft, Löschung, Opt-out-Verkauf)
• Pflichten für Unternehmen unter dem CCPA und seiner Erweiterung CPRA
• Vergleich CCPA mit DSGVO/GDPR: Gemeinsamkeiten, strukturelle Unterschiede
• Staatliche Datensicherheitsgesetze und Breach-Notification-Pflichten im Vergleich
• Unterschiede in den 50 Staaten: Vorrang des Bundesrechts (preemption) vs. Staatsrecht
• Gesetze zur Vernichtung von Daten und zur Nutzung von Sozialversicherungsnummern

Datenschutz am Arbeitsplatz und Beschäftigtendatenschutz Arbeitnehmer-Datenschutz ist im US-Recht schwächer ausgeprägt als in Deutschland, aber nicht inexistent. Dieser Abschnitt ist für Compliance-Fachleute in internationalen Unternehmen besonders relevant.

• Rechtslage zu Mitarbeiterüberwachung: E-Mail, Internet, Videoüberwachung
• Hintergrund-Screening, Voreinstellung und Antidiskriminierungsrecht (Equal Employment)
• Datenschutz im gesamten Arbeitsverhältnis: Einstellung, aktive Beschäftigung, Trennung
• BYOD-Richtlinien (Bring Your Own Device) und mobile Datensicherheit
• Staatliche Gesetze zum Schutz von Mitarbeiterinformationen
• Untersuchungen von Fehlverhalten und Datenschutzgrenzen

Datenschutzmanagement und Aufbau eines Privacy-Programms Datenschutzrecht zu kennen ist eine Sache — es in einer Organisation umzusetzen eine andere. Dieser Block adressiert die Praxis des Datenschutzmanagements.

• Rollen und Verantwortlichkeiten: Privacy Officer, Legal Counsel, IT-Security
• Datenklassifikation und Inventarisierung: wo liegen welche personenbezogenen Daten?
• Anbieter- und Drittparteienverwaltung aus Datenschutzsicht
• Datenschutzfolgenabschätzungen und Privacy by Design
• Mitarbeiterschulung und Datenschutz-Awareness-Programme
• Reaktion auf Datenschutzverletzungen: Notification-Pflichten, Krisenmanagement
• Nutzungseinstellungen, Datenschutzhinweise und Consent-Management
• Staatlicher Zugriff auf private Daten: NSLs, Gerichtsanordnungen, FISA

Nationale Sicherheit, Strafverfolgung und digitales Datenschutzrecht Dieser Abschnitt beleuchtet die Schnittstelle zwischen privatem Datenschutz und staatlichen Zugriffsmöglichkeiten — ein zentrales Thema im US-Recht, das insbesondere für internationale Unternehmen relevant ist.

• Electronic Communications Privacy Act (ECPA) und Weiterentwicklungen
• Foreign Intelligence Surveillance Act (FISA) und CLOUD Act
• Öffentlich-private Zusammenarbeit im Bereich Cybersicherheit
• Zivilrechtliche Streitigkeiten und eDiscovery: Datenschutz bei Offenlegungspflichten
• Abgleich mit europäischen Übertragungsgrundlagen (Privacy Shield-Nachfolge, SCCs)
• Telekommunikations- und Marketingrecht: CAN-SPAM, TCPA, digitale Werbung

Dieser Kurs richtet sich an Fachleute, die im Bereich Datenschutz, Compliance oder Recht arbeiten und die US-amerikanische Datenschutzlandschaft systematisch verstehen und zertifiziert nachweisen wollen.

• Datenschutzbeauftragte und Privacy Manager in Unternehmen mit USA-Geschäft
• Compliance-Fachkräfte, die internationale Regulierungsrahmen abdecken müssen
• Rechtsanwälte und Syndizi, die US-Datenschutzsachverhalte beraten
• IT-Sicherheitsfachleute mit Zuständigkeit für Datenschutz und Information Security
• Personen, die sich auf eine IAPP-Zertifizierung vorbereiten und gezielt strukturiertes Lernmaterial suchen

Das Kursformat verbindet konzentrierte Wissensvermittlung mit fallbezogener Vertiefung. Komplexe Regelwerke wie HIPAA oder CCPA werden nicht nur abstrahiert, sondern anhand typischer Fallkonstellationen aus der Unternehmenspraxis durchgearbeitet. Der Unterricht orientiert sich inhaltlich am offiziellen IAPP-Wissensrahmen (Body of Knowledge) für das CIPP/US-Programm. Je nach Anbieter sind Live-Kurseinheiten mit selbst gestalteten Lernphasen kombiniert; das spezifische Format (Vollzeit/Teilzeit) variiert anbieterabhängig.

Die genaue Kursdauer variiert je nach Anbieter und Format. Der Stoff ist umfangreich; Teilnehmende sollten neben dem Kurs Zeit für eigenständiges Durcharbeiten der Materialien einplanen. Aktuelle Angebote und Zeitrahmen sind auf Kursweg vergleichbar.

Der Kurs bereitet auf die IAPP-Prüfung Certified Information Privacy Professional / U.S. (CIPP/US) vor. Die Prüfung wird vom International Association of Privacy Professionals (IAPP) durchgeführt und ist ein ANSI-akkreditiertes Zertifizierungsprogramm. Nach bestandener Prüfung führt man das anerkannte Zertifikat CIPP/US. Das Zertifikat muss periodisch durch CPE-Credits (Continuing Privacy Education) erneuert werden. Für den Kursbesuch selbst wird eine Teilnahmebescheinigung ausgestellt.

CIPP/US ist die anerkannteste Qualifikation für US-Datenschutzrecht weltweit und das bevorzugte Zertifikat von Unternehmen, die im US-Markt tätig sind oder US-Geschäftspartner haben. Datenschutzfachleute mit diesem Zertifikat sind international mobil und können in multinationalen Compliance-Teams auf Augenhöhe mit US-rechtlichen Fragestellungen arbeiten. Für in Deutschland oder Europa tätige Fachleute öffnet CIPP/US den Zugang zu Rollen in multinationalen Konzernen, die neben der DSGVO auch US-seitige Anforderungen intern steuern müssen — von HIPAA-konformen Datenverarbeitungen bis zu CCPA-Compliance im E-Commerce. Diese Kombination aus DSGVO-Hintergrund und CIPP/US-Zertifizierung ist am Stellenmarkt ausgesprochen gefragt. Der strukturierte Kursansatz, der sich eng am IAPP-Wissensrahmen orientiert, macht die Vorbereitung nicht nur prüfungsrelevant, sondern auch in der täglichen Berufspraxis unmittelbar anwendbar: Wer versteht, wie US-Datenschutzrecht aufgebaut ist und wo die eigentlichen Haftungsrisiken liegen, kann in konkreten Projektsituationen sicher und kompetent handeln.