CDPSE Certified Data Privacy Solutions Engineer.

Wozu CDPSE dient

CDPSE ist die Antwort der ISACA auf eine Lücke, die entstand, sobald Datenschutz aufhörte, eine rein juristische Übung zu sein. Eine Datenschutzrichtlinie zu verfassen, Rechtsgrundlagen zu kartieren und Betroffenenanfragen zu beantworten, ist die Aufgabe eines Datenschutzbeauftragten. Doch nichts davon verhindert, dass eine undichte API personenbezogene Daten preisgibt, stellt sicher, dass Pseudonymisierung korrekt angewendet wird, oder verankert Einwilligungs- und Aufbewahrungslogik in einem System, bevor es ausgeliefert wird. CDPSE zertifiziert die Personen, die diese technische Arbeit leisten: die Ingenieure, Architekten und Sicherheitsfachleute, die Datenschutzpflichten in laufende Systeme und Kontrollen übersetzen.

Das ist die definierende Haltung dieser Qualifikation. Sie ist das ingenieurseitige Pendant zu den politikorientierten Qualifikationen DPO und CDPO, nicht deren Konkurrent. Ein DPO entscheidet, was die Organisation tun muss, um die Vorgaben einzuhalten; ein CDPSE-Inhaber baut die Kontrollen, die Compliance real und überprüfbar machen. In reifen Programmen sitzen die beiden Rollen an gegenüberliegenden Seiten desselben Tisches, weshalb CDPSE als Brücke zwischen Datenschutz-Governance und der Technologie positioniert ist, die sie umsetzt.

Die drei Domänen

CDPSE ist um drei Domänen herum aufgebaut, und ihre Anteile verraten, worauf die ISACA den Schwerpunkt legt. Der Großteil der Prüfung entfällt auf die Domänen Architektur und Lebenszyklus, denn dort werden technische Entscheidungen tatsächlich getroffen.

• Datenschutz-Governance. Das Bindegewebe zwischen rechtlichen Anforderungen und technischer Umsetzung: Struktur des Datenschutzprogramms, Governance und Steuerung des Datenschutzrisikos sowie die Richtlinien und Standards, auf denen die Entwicklung aufbauen muss. Hier liest ein CDPSE-Inhaber das, was der DPO und das Rechtsteam erstellt haben, und übersetzt es in Designvorgaben.
• Datenschutz-Architektur. Infrastruktur, Anwendungen und Technologien aus der Datenschutzperspektive. Dies umfasst Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen als Ingenieurdisziplin: Gestaltung von Datenflüssen, technische Datenschutzkontrollen, Verschlüsselung und Pseudonymisierung, Identität und Zugriff sowie die Datenschutzauswirkungen architektonischer Entscheidungen.
• Datenlebenszyklus. Personenbezogene Daten von der Erhebung über die Aufbewahrung bis zur Vernichtung. Zweckbindung, Datenminimierung, Qualität, Aufbewahrungsfristen und sichere Entsorgung, ausgedrückt als Kontrollen, die ein System durchsetzt, statt als Klauseln in einem Hinweis, den niemand liest.

Wo CDPSE neben benachbarten Qualifikationen und Standards steht

CDPSE ist am nützlichsten, wenn man sie gegen das liest, was sie nicht ist. Die folgende Tabelle stellt sie neben die Qualifikationen und Standards, mit denen Praktiker sie am häufigsten verwechseln.

Die Passung ist am stärksten für Sicherheitsteams, die die Datenschutzumsetzung geerbt haben, und für Architekten, die unter dem GDPR oder dem AI Act entwerfen, wo Datenminimierung und Zweckbindung in Modelle und Pipelines hineinkonstruiert werden müssen, statt in der Dokumentation versprochen zu werden. Ein CDPSE-Inhaber wird oft zu der Person, die in einer Design-Review sitzen und konkret sagen kann, wie ein Feature eine Datenschutzanforderung erfüllen wird. ISO 27701 begleitet die Qualifikation häufig: Der Standard definiert das Datenschutzmanagementsystem, und die für CDPSE ausgebildeten Ingenieure sind diejenigen, die die technischen Kontrollen bauen, von denen dieses System abhängt.

CDPSE ist eine erfahrungsbasierte ISACA-Zertifizierung, was bedeutet, dass sie sich an Menschen richtet, die bereits im Datenschutz, in der Sicherheit oder in der IT arbeiten, und nicht an Einsteiger. Wie andere ISACA-Qualifikationen ist sie mit Anforderungen zur kontinuierlichen beruflichen Weiterbildung verbunden, um sie aktuell zu halten, was widerspiegelt, wie schnell sich sowohl die Technologie als auch die regulatorische Landschaft bewegen.