Eine DSB-Zertifizierung sollte die Lücke zwischen Ihrem heutigen Wissen und den Aufgaben der nächsten Stelle schließen. CIPP/E, CIPM, CIPT und deutsche Lehrgänge setzen unterschiedliche Schwerpunkte. Ein bekanntes Kürzel allein beantwortet weder die Frage nach der erforderlichen Fachkunde noch die nach einem geeigneten Lernweg.
Dieser Vergleich hilft Ihnen, Programme, Prüfungsnachweise und Folgekosten einzuordnen. Das Ergebnis ist eine begründete Auswahl mit Arbeitsproben und Fortbildungsplan. Die Beispiele betreffen fiktive Personen; sie sind keine Aussagen über garantierte Karriereverläufe oder den Erfolg eines bestimmten Bildungsanbieters.
1. Was in Deutschland tatsächlich verlangt wird
Artikel 37 Absatz 5 DSGVO stellt auf berufliche Qualifikation, datenschutzrechtliches und praktisches Fachwissen sowie die Fähigkeit zur Aufgabenerfüllung ab. Er schreibt kein bestimmtes Personenzertifikat vor. Auch der Hessische Datenschutzbeauftragte erläutert ausdrücklich, dass ein Zertifikat nicht zwingend erforderlich ist und erworbene Kenntnisse zum jeweiligen Arbeitsumfeld passen müssen.
Unterscheiden Sie drei Fragen: Muss die Organisation einen DSB benennen? Eignet sich die konkrete Person für diese Aufgabe? Und verlangt ein Arbeitgeber oder Auftraggeber einen bestimmten Nachweis? Eine vertragliche Anforderung in einer konkreten Ausschreibung ist keine allgemeine gesetzliche Zertifizierungspflicht. Die Grundlagen der DSB-Rolle und ihrer Einbindung sollten vor der Kursauswahl klar sein.
Ebenso wenig ersetzt eine Personenzertifizierung eine datenschutzrechtliche Zertifizierung von Verarbeitungsvorgängen nach Artikel 42 DSGVO. Ein Lehrgang bescheinigt nicht die Rechtmäßigkeit aller Datenverarbeitungen des Arbeitgebers. Die Verantwortung für deren Gestaltung bleibt bei der verantwortlichen Stelle; die unabhängige Beratung und Überwachung dürfen nicht mit einer betrieblichen Freigabegarantie verwechselt werden.
2. Die wichtigsten Programmtypen im Vergleich
| Programm oder Weg | Geprüfter Schwerpunkt laut Anbieter | Sinnvolle Auswahlfrage |
|---|---|---|
| IAPP CIPP/E | Europäisches Datenschutzrecht | Fehlt mir eine systematische rechtliche Grundlage für grenzüberschreitende Aufgaben? |
| IAPP CIPM | Aufbau und Betrieb eines Datenschutzprogramms | Muss ich Wissen in Zuständigkeiten, Arbeitsabläufe und überprüfbare Fortschritte übersetzen? |
| IAPP CIPT | Technische Umsetzung von Datenschutz | Muss ich Architektur- und Entwicklungsentscheidungen fundiert begleiten? |
| Konkreter deutscher DSB-Lehrgang mit Prüfung | Je nach Programm DSGVO, BDSG und betriebliche Praxis | Deckt der aktuelle Lehrplan meine deutschen und branchenspezifischen Aufgaben ab? |
| Gezielte Fachfortbildung ohne umfassende Zertifizierung | Einzelproblem, etwa Beschäftigtendaten oder Auskunft | Ist die vorhandene Grundqualifikation belastbar und fehlt nur eine klar umrissene Vertiefung? |
Die Tabelle ist eine Zuordnung von Lernzielen, keine Rangliste des Arbeitsmarkts. Wer bereits rechtlich sicher arbeitet, gewinnt durch einen weiteren Grundlagenkurs möglicherweise weniger als durch betreute Fallarbeit. Umgekehrt setzt ein Managementkurs eine fehlende rechtliche Prüfungskompetenz nicht automatisch voraussetzungslos instand.
CIPP/E: europäische Rechtsgrundlagen
Die IAPP beschreibt CIPP/E als europäische Ausrichtung ihrer Datenschutzqualifikation und stellt einen aktuellen Wissenskatalog sowie eine Prüfungsübersicht bereit. Diese Unterlagen sind die bessere Vergleichsgrundlage als die Zahl beworbener Seminartage. Prüfen Sie ihre Version gegen den tatsächlichen Prüfungstermin; Vorbereitungsmaterial kann älter sein als die zu prüfenden Inhalte.
Für eine angehende DSB mit technischem Hintergrund kann dieser Weg die rechtliche Systematik stärken. Als eigene Arbeitsprobe eignet sich beispielsweise eine begründete Auswahl der Rechtsgrundlage für drei unterschiedliche Kundenprozesse. Eine bloße Liste von Artikeln reicht nicht: Die Person sollte Zweck, Erforderlichkeit, Alternativen und Informationspflichten erklären können. Deutsches Beschäftigtendatenschutzrecht und Spezialrecht bleiben ergänzend zu bearbeiten, soweit das Aufgabenprofil sie erfordert.
CIPM: Datenschutz organisatorisch umsetzen
CIPM richtet sich auf das Management eines Datenschutzprogramms über dessen Lebenszyklus. Das passt etwa zu einer Person, die rechtliche Einzelfragen versteht, aber Verantwortlichkeiten, Eskalationen und Kontrollen bislang nur informell organisiert hat.
Eine geeignete ergänzende Arbeitsprobe ist ein Ablauf für Betroffenenanfragen: Eingang, Identitätsklärung, Fachbereichsabfrage, rechtliche Prüfung, Freigabe und Fristüberwachung. Bewerten Sie, ob auch Vertretung und schwierige Fälle funktionieren. Ein hübsches Prozessbild ohne benannte Bearbeiter oder nachvollziehbaren Abschluss zeigt noch keine Umsetzungskompetenz. Für die Auswahl der dabei erforderlichen Belege hilft der Leitfaden zur Rechenschaftspflicht und ihren Nachweisen.
CIPT: technische Entscheidungen verstehen
CIPT fokussiert die technische Einbettung von Datenschutz. Für Entwicklerinnen, Sicherheitsverantwortliche oder technisch arbeitende Datenschutzteams kann dieser Schwerpunkt passend sein. Er ist keine pauschale Alternative zu rechtlicher Fachkunde und macht aus einer organisatorisch ungeeigneten Doppelrolle keine unabhängige DSB-Funktion.
Als Arbeitsprobe lässt sich eine neue Analysefunktion prüfen: Welche Daten verlassen das Endgerät? Welche Kennungen ermöglichen Wiedererkennung? Wo liegen Schlüssel? Was wird nach einer Löschanfrage tatsächlich entfernt? Der praktische Nutzen zeigt sich daran, ob die Person belastbare Fragen stellt und mit dem Entwicklungsteam überprüfbare Änderungen formuliert, statt lediglich allgemeine Verschlüsselung zu empfehlen.
3. Deutsche Lehrgänge konkret statt nach Markennamen prüfen
Es gibt nicht das eine einheitliche „TÜV-Zertifikat“ mit identischen Bedingungen für jeden Anbieter. Vergleichen Sie die konkrete ausstellende Stelle, Programmkennung und Prüfungsordnung. Ein Teilnahmebeleg, eine bestandene Lehrgangsprüfung und eine Personenzertifizierung können unterschiedliche Aussagen treffen.
Als überprüfbares Beispiel führt TÜV Rheinland den Lehrgang 32110 mit 40 Unterrichtseinheiten, DSGVO- und BDSG-Inhalten und anschließender Prüfung bei PersCert TÜV. Die Seite verweist für Zulassung, Gültigkeit und weitere Programmbedingungen auf das Zertifizierungsprogramm 85873. Daraus lässt sich weder eine identische Regel für andere TÜV-Organisationen noch eine behördliche Zulassung zur DSB-Tätigkeit ableiten.
Fordern Sie vor der Buchung eine Beispielaufgabe und die genaue Abschlussbeschreibung an. Fragen Sie, ob Feedback zu einer eigenen Falllösung vorgesehen ist. Ein Kurs kann sich gut für einen Einstieg eignen und dennoch für eine spezialisierte Krankenhaus- oder Behördenfunktion zusätzliche Fortbildung erfordern. Lassen Sie sich nicht durch einen allgemein beworbenen „anerkannten Abschluss“ die Prüfung des tatsächlichen Inhalts abnehmen.
4. Ein ausgefüllter Auswahlvermerk
Die fiktive Anna betreut seit zwei Jahren Datenschutzprojekte eines deutschen Softwareunternehmens. Sie kann Datenflüsse nachvollziehen und mit Entwicklern technische Maßnahmen diskutieren. Bei Rechtsgrundlagen und internationalen Übermittlungen braucht sie häufig Unterstützung. Ihre nächste Stelle soll rechtliche Erstbewertungen und die Zusammenarbeit mit externem Rechtsrat umfassen; die DSB-Benennung wird separat geprüft.
Ihr Auswahlvermerk lautet:
- Hauptlücke: europäische Rechtsgrundlagen strukturiert anwenden, Transferinstrumente unterscheiden.
- Erster Lernweg: Vorbereitung anhand des aktuellen CIPP/E-Wissenskatalogs; deutsche Spezialthemen ergänzen.
- Vorläufig zurückgestellt: weiteres technisches Grundlagenprogramm, weil die größere Lücke im Recht liegt.
- Praxisnachweis: einen neuen Dienstleister rechtlich einordnen und ein Transfer Impact Assessment mit fachlicher Begleitung bearbeiten.
- Abnahmekriterium: Anna kann offene Rechtsfragen erkennen, die Auswahl begründen und Grenzen ihrer Bewertung benennen.
- Nachkontrolle: nach dem ersten vollständigen Beschaffungsvorgang prüft eine qualifizierte Kollegin die Unterlagen und vereinbart weitere Lernziele.
Bei dem fiktiven Juristen Mehmet fällt die Entscheidung anders aus. Seine Rechtskenntnisse sind solide, doch Maßnahmen bleiben in den Fachbereichen häufig ohne Verantwortliche liegen. Er priorisiert eine organisatorische Weiterbildung mit CIPM-Schwerpunkt und eine betreute Umsetzung des Auskunftsprozesses. Zwei Personen mit derselben angestrebten Berufsbezeichnung benötigen somit unterschiedliche nächste Schritte.
5. Gesamtkosten und erwarteten Nutzen vergleichen
Rechnen Sie für denselben Zeitraum und denselben Leistungsumfang. Zu berücksichtigen sind Vorbereitung, Prüfung, gegebenenfalls Wiederholung, Lernmaterial, Arbeitszeit, Reise sowie Aufrechterhaltung des Nachweises. Prüfen Sie insbesondere, ob eine Prüfungsgebühr im Kurspreis enthalten ist. Eine günstigere Vorbereitung ohne Prüfung ist kein direkt vergleichbares Komplettangebot.
Eine fiktive interne Planung kann so aussehen: Für Lernmaterial und Prüfung werden 900 Euro angesetzt, für einen optionalen Kurs weitere 1.500 Euro und für freigestellte Lernzeit 40 Stunden. Diese Beträge sind ausschließlich Rechengrößen, keine aktuellen Preise eines genannten Anbieters. Bei einem internen Stundensatz von 45 Euro entstehen zusätzlich 1.800 Euro Zeitaufwand; die Planung beträgt mit Kurs 4.200 Euro. Eine Wiederholung und spätere Aufrechterhaltung sind darin noch nicht enthalten und müssen gesondert berücksichtigt werden.
Der Entscheidungssatz lautet dann nicht „Das Zertifikat verdient sich in einem Jahr zurück“, sondern: „Wir finanzieren diesen Lernweg, weil drei konkret benannte Aufgaben danach unter qualifizierter Begleitung übernommen werden sollen.“ Eine automatische Gehaltssteigerung lässt sich aus einem Abschluss nicht ableiten. Für die Einordnung von Vergütungsdaten und Stellenumfang dient der eigene Leitfaden zu DSB-Gehalt und Karriere.
6. Prüfung, Arbeitsproben und Fortbildung verbinden
Prüfungserfolg und Berufspraxis sollten sich ergänzen. Nutzen Sie einen kleinen Satz unterschiedlicher Arbeitsproben: eine verständliche Beratung, eine rechtliche Fallanalyse und eine überprüfbare technische oder organisatorische Maßnahme. Dabei dürfen vertrauliche Daten eines früheren Arbeitgebers nicht zum frei verteilten Bewerbungsportfolio werden. Verwenden Sie synthetische Fälle oder ausreichend bereinigte Unterlagen mit entsprechender Berechtigung.
Eine sinnvolle Probe zur Anonymisierung verlangt beispielsweise mehr als das Entfernen von Namen: Die Kandidatin soll erläutern, welche Zusatzinformationen ein Empfänger besitzen könnte und weshalb eine seltene Merkmalskombination problematisch bleibt. So wird erkennbar, ob theoretisches Wissen in eine belastbare Entscheidung übersetzt wird.
Zur Fortbildungsplanung gehört außerdem die Aufrechterhaltung des konkreten Nachweises. Die IAPP-Bedingungen zur Aufrechterhaltung sehen fortlaufende Weiterbildung und administrative Anforderungen vor. Prüfen Sie die aktuelle Regel für Ihre Qualifikation, den eigenen Zertifizierungszeitraum und anrechenbare Aktivitäten. Ein Veranstaltungsbesuch wird nicht allein durch das Thema automatisch in jedem Programm anerkannt.
Unabhängig davon muss die tatsächliche Fachkunde aktuell bleiben. Halten Sie deshalb auch fest, welche Rechtsänderung oder neue Verarbeitung eine gezielte Vertiefung auslöst. Ein neues biometrisches Zugangssystem kann dringendere Lernarbeit verlangen als ein ohnehin geplantes allgemeines Update. Der Fortbildungsnachweis sollte das behandelte Problem und die daraus folgende Änderung der Beratungspraxis erkennen lassen.
7. Entscheidung vor der Buchung abschließen
Freigabefähig ist die Auswahl, wenn Aufgabenprofil, aktuelle Wissenslücke, konkreter Lehrplan, Prüfungsbedingungen und vollständiger Aufwand zusammenpassen. Benennen Sie außerdem, wer die ersten Praxisfälle fachlich begleitet. Ein bestandener Test sollte nicht dazu führen, dass eine bislang unerfahrene Person sofort komplexe Spezialfragen allein entscheiden muss.
Wird in einer Ausschreibung ein bestimmter Abschluss genannt, vergleichen Sie dessen Wortlaut und mögliche gleichwertige Nachweise direkt mit den Vergabe- oder Bewerbungsunterlagen. Behauptungen über eine angebliche allgemeine Pflicht in Deutschland oder eine überall identische Anerkennung sind kein Ersatz dafür. Dokumentieren Sie die konkrete Anforderung und klären Sie Unklarheiten vor der kostenpflichtigen Anmeldung.
Häufige Fragen
Kann ich ohne Zertifikat DSB werden?
Ein bestimmtes Zertifikat ist gesetzlich nicht vorgeschrieben. Entscheidend sind die erforderliche Fachkunde, die Fähigkeit zur Aufgabenerfüllung und eine geeignete organisatorische Stellung. Fehlendes Papier und fehlende Qualifikation sind unterschiedliche Sachverhalte.
Sollte ich CIPP/E und CIPM gleichzeitig machen?
Das kann bei passenden Lernzielen sinnvoll sein, ist aber keine allgemeine Reihenfolge. Bei begrenzter Zeit sollte die dringendere Wissenslücke Vorrang haben. Planen Sie zwischen Lernschritten praktische Anwendung ein, damit der zweite Abschluss nicht nur bereits verstandene Inhalte wiederholt.
Beweist eine bestandene Prüfung die Eignung für jede Branche?
Nein. Beurteilen Sie zusätzlich die branchenspezifischen Rechtsfragen, die Komplexität der Verarbeitung und die praktische Erfahrung. Für ein neues Spezialgebiet kann gezielte Begleitung erforderlich sein, obwohl der allgemeine Qualifikationsnachweis weiterhin gültig ist.