Welche DSGVO-Compliance-Software passt zu einem deutschen Unternehmen? Die Antwort hängt zuerst von den Verarbeitungen, den Verantwortlichkeiten und der vorhandenen Arbeitsweise ab. Ein Unternehmen mit wenigen stabilen Prozessen benötigt etwas anderes als eine Gruppe mit mehreren Gesellschaften, Dienstleistern und häufigen Datenschutz-Folgenabschätzungen. Dieser Vergleich bietet deshalb ein prüfbares Auswahlverfahren statt einer pauschalen „besten“ Lösung. Er trennt gesetzliche Pflichten, Produktkategorien, Anbieterfragen und Gesamtkosten. Preise und Funktionen ändern sich; ein verbindliches Angebot und eine Demonstration des aktuellen Produkts sind für jede Beschaffung erforderlich.
Was die Software abbilden muss
Die DSGVO schreibt kein Softwareprodukt vor. Sie verpflichtet Verantwortliche aber zu rechtmäßiger Verarbeitung, geeigneten Schutzmaßnahmen und Rechenschaft. Eine Lösung ist sinnvoll, wenn sie diese Arbeit nachvollziehbar organisiert. Startpunkt ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30: Welche Daten werden zu welchem Zweck verarbeitet, welche Kategorien von Personen sind betroffen, an wen gehen Daten, welche Löschfristen gelten und welche Sicherheitsmaßnahmen sind beschrieben? Ein Export soll die Pflichtangaben vollständig zeigen, ohne interne Notizen ungeprüft an eine Behörde weiterzugeben.
Für manche Verarbeitungsvorgänge ist eine Datenschutz-Folgenabschätzung nach Art. 35 nötig. Ein Tool sollte Risiken, geplante Maßnahmen, Restrisiko, Beteiligung des Datenschutzbeauftragten und Freigaben dokumentieren. Eine Vorlage allein entscheidet nicht, ob eine DSFA erforderlich ist. In Deutschland helfen die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 bei der Einordnung; sie ersetzen die Einzelfallprüfung nicht. Prüfen Sie in der Demo einen konkreten Vorgang mit erhöhtem Risiko und lassen Sie den Weg von der Vorprüfung bis zum Ergebnis zeigen.
Bei Dienstleistern müssen Rollen, Verträge nach Art. 28, Unterauftragsverarbeiter, Weisungen und technische Garantien auffindbar sein. Eine Software kann Fristen und Vertragsstände ordnen; sie darf nicht suggerieren, jede eingekaufte Dienstleistung sei automatisch Auftragsverarbeitung. Der AVV-Leitfaden erklärt die notwendige Rollenanalyse. Für Betroffenenrechte zählt ein Eingangskanal mit Zuständigkeit und Frist, aber auch eine überprüfbare Suche über Systeme hinweg. Nach Art. 12 Abs. 3 ist grundsätzlich innerhalb eines Monats zu reagieren; eine Verlängerung um zwei weitere Monate ist nur unter den gesetzlichen Voraussetzungen und mit rechtzeitiger Mitteilung möglich. Der Leitfaden zum Auskunftsrecht zeigt die inhaltliche Seite.
Bei der Auswahl eines Löschmoduls helfen ein Löschkonzept als Vorlage und die Frage, wie Ausnahmen dokumentiert werden. Ein Vorfallsmodul sollte Sachverhalt, Bekanntwerden, Risikoeinschätzung, Entscheidung, Behördenmeldung und Abhilfe getrennt erfassen. Die 72-Stunden-Regel nach Art. 33 betrifft meldepflichtige Datenschutzverletzungen ab Bekanntwerden und verlangt unverzügliches Handeln; nicht jeder IT-Alarm ist eine meldepflichtige Verletzung. Jede bestätigte Verletzung des Schutzes personenbezogener Daten muss nach Art. 33 Abs. 5 dokumentiert werden, auch wenn keine Behördenmeldung nötig ist. Die Anleitung zur Datenpannenmeldung kann als Demo-Szenario dienen.
Deutsche Anforderungen richtig einordnen
§ 38 BDSG verlangt bei nichtöffentlichen Stellen ergänzend zur DSGVO einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Der Gesetzestext nennt weitere Fälle unabhängig von dieser Zahl. Software kann die Tätigkeit des DSB unterstützen, ihn aber nicht ersetzen. Sie sollte unterschiedliche Rollen für Fachbereich, IT, DSB und Geschäftsleitung vorsehen. Der DSB-Leitfaden hilft, die organisatorischen Pflichten separat zu prüfen.
Deutschland hat Bundes- und Landesaufsichten mit unterschiedlichen Zuständigkeiten. Eine bundesweit einheitliche „Behördenvorlage“ genügt daher nicht als Qualitätsbeweis. Entscheidend ist, ob das System die Pflichtangaben des EU-Rechts, die anwendbaren deutschen Regeln und die tatsächlichen Prozesse des Unternehmens sauber abbildet. Die Datenschutzkonferenz veröffentlicht gemeinsame Orientierungshilfen, doch ihre Papiere ersetzen weder den Gesetzestext noch einen Blick auf zuständige Aufsicht und konkrete Tätigkeit. Für Bayern kann das BayLDA relevant sein, für bestimmte Bundesstellen die BfDI.
Der Speicherort ist ein Prüffeld, keine pauschale Konformitätsgarantie. EU-Hosting kann internationale Übermittlungen vereinfachen, aber Support, Unterauftragsverarbeiter und Fernzugriffe müssen trotzdem betrachtet werden. Umgekehrt ist eine Verarbeitung außerhalb der EU nicht schon wegen des Standorts verboten; Kapitel V DSGVO verlangt eine geeignete Grundlage und gegebenenfalls zusätzliche Maßnahmen. Lassen Sie sich Datenflüsse und Vertragsunterlagen zeigen. Ein Anbieter mit deutschem Marketingtext, aber unklaren Empfängern ist ebenso wenig durch das Herkunftsland qualifiziert wie ein US-Anbieter automatisch ungeeignet ist.
Vergleich nach Aufgaben statt Werbeversprechen
| Bedarf | Im Test zu zeigen | Typische Lücke |
|---|---|---|
| VVT | Pflichtangaben, Verantwortliche, Änderungsverlauf, Export | Nur eine statische Excel-Kopie |
| DSFA | Vorprüfung, Risiko, Maßnahmen, Freigabe und Revision | Checkbox ohne Begründung |
| Dienstleister | Rollen, Verträge, Unterauftragnehmer, Review | Vertragsablage ohne Überprüfung |
| Betroffenenrechte | Eingang, Suche, Entscheidung, Frist und Antwort | Fristtimer ohne Datenfindung |
| Vorfälle | Risikoentscheidung, Meldung, Abhilfe, Dokumentation | Jeder Alarm wird als Meldung behandelt |
| Löschung | Fristregel, Ausnahme, Test und Nachweis | Ein globales Löschdatum |
| Berechtigungen | Trennung nach Team und Mandant, Audit-Protokoll | Alle Nutzer sehen sensible Vorgänge |
| Exit | Vollständiger, lesbarer Export und Löschung beim Anbieter | Anbieterbindung durch proprietäres Format |
Ein Datenschutz-Management-System kann diese Bereiche verbinden. Eine reine Consent-Management-Plattform konzentriert sich dagegen auf Website- und App-Einwilligungen. Sie ist wertvoll für entsprechende Prozesse, ersetzt aber weder VVT noch DSFA. Dasselbe gilt für allgemeine Security- oder ISO-27001-Werkzeuge: Sie können Sicherheitsnachweise liefern, aber Datenschutzentscheidungen müssen weiterhin getroffen und dokumentiert werden. Die TDDDG-Cookie-Pflichten sind ein eigenes Thema.
Angebotsmodelle und Verantwortlichkeiten trennen
Ein Angebot kann eine Softwarelizenz, fachliche Beratung, die Tätigkeit eines externen Datenschutzbeauftragten oder mehrere dieser Leistungen enthalten. Trennen Sie die Positionen im Vertrag. Die Benennung eines Datenschutzbeauftragten richtet sich nach Art. 37 DSGVO und gegebenenfalls § 38 BDSG; eine Lizenz ersetzt diese Prüfung nicht. Wird ein externer DSB angeboten, klären Sie die benannte Person, Erreichbarkeit, Aufgaben nach Art. 39 und mögliche Interessenkonflikte nach Art. 38 Abs. 6. Fragen Sie, wer Rechtsfragen beurteilt, wer technische Maßnahmen umsetzt und wer Entscheidungen des Verantwortlichen freigibt. Ein Anbieter kann diese Verantwortung nicht durch ein allgemeines „Compliance inklusive“ übernehmen.
Prüfen Sie gesondert, ob der Softwareanbieter im Betrieb personenbezogene Daten im Auftrag verarbeitet. Dann sind ein Vertrag nach Art. 28 DSGVO, Informationen über Unterauftragsverarbeiter, technische und organisatorische Maßnahmen sowie Regeln für Rückgabe und Löschung beim Vertragsende zu prüfen. Eine Beratungsleistung und das Hosting können unterschiedliche Rollen auslösen. Lassen Sie sich die Datenflüsse für Auskunftsfälle, Vorfallsakten und Beschäftigtendaten erklären, bevor Sie echte Daten importieren. Bei einer modularen Suite ist entscheidend, welche Funktionen tatsächlich lizenziert und eingerichtet sind; bei einer spezialisierten Lösung, wie Daten und Nachweise in andere Systeme übertragen werden. Eine separate Plattformgegenüberstellung kann weitere Prüfungsfragen liefern. Die Entscheidung muss sich auf die vorgeführte Version und das schriftliche Angebot beziehen.
Kosten ohne erfundene Marktpreise vergleichen
Statt veröffentlichte Preise verschiedener Jahre zusammenzurechnen, verlangen Sie für denselben Anwendungsfall ein vollständiges Angebot über drei Jahre. Das Kostenblatt sollte Lizenz, Mindestlaufzeit, Einrichtung, Datenmigration, Schulung, Nutzerrollen, Gesellschaften, Module, Integrationen, Support, Beratung, DSB-Leistung, Speicher und Export beim Ende des Vertrags ausweisen. Preisindexierung und Mehrkosten bei zusätzlichen Verarbeitungen gehören ebenfalls hinein. So sehen Sie, ob ein scheinbar günstiges Grundpaket die wichtigen Arbeitsabläufe enthält.
Rechnen Sie internen Aufwand getrennt. Erfassen Sie beispielsweise für einen Monat, wie viele Stunden Fachbereiche für VVT-Aktualisierung, Betroffenenanfragen, Vertragsprüfung und Berichte einsetzen. Multiplizieren Sie dokumentierte Stunden mit realistischen internen Kosten; schätzen Sie keine pauschalen „Hunderte Stunden“ für jedes KMU. Die Software sollte an einem klaren Engpass Nutzen bringen, etwa weniger doppelte Dateneingabe oder schnellere Suche nach Dienstleistern. Ein ROI-Versprechen ohne Ausgangswert und Messzeitraum ist nicht belastbar.
Sicherheit und Exit gehören in die Wirtschaftlichkeitsrechnung. Ein Werkzeug mit fehlenden Berechtigungen kann sensible Compliance-Daten unnötig breit zugänglich machen. Ein schlechter Export kann bei Wechsel hohe Migrationskosten erzeugen. Fordern Sie daher einen Beispielexport und testen Sie, ob ein Mensch ohne Anbieterzugang Verarbeitung, Verantwortliche, Dokumente und Historie wiederfinden kann. Legen Sie zugleich fest, welche Protokolle bei Vertragsende benötigt und wann Daten beim Anbieter gelöscht werden. Der Leitfaden zu Auditkosten hilft, Beschaffung und Prüfaufwand zu trennen.
Ein Demonstrationsfall, der Unterschiede offenlegt
Nehmen Sie ein plausibles Szenario aus Ihrem Betrieb: Der Vertrieb führt ein neues System für Interessenten ein, ein externer Dienstleister erhält Zugang, eine Person verlangt Auskunft und nach einigen Wochen tritt ein möglicher unbefugter Zugriff auf. Geben Sie allen Anbietern dieselben Datenkategorien, Rollen und Anforderungen. Lassen Sie die Verarbeitung anlegen und die Rechtsgrundlage dokumentieren. Bitten Sie dann um Dienstleisterprüfung, eine Änderung der Löschfrist, die Bearbeitung der Anfrage und die Vorfallentscheidung. Am Ende verlangen Sie einen lesbaren Export.
Bewerten Sie nicht nur die Klickzahl. Wichtig ist, ob das Ergebnis rechtlich und organisatorisch verständlich ist. Können Fachverantwortliche ihre Angaben prüfen? Sieht der DSB offene Entscheidungen, ohne die Verantwortung des Fachbereichs zu übernehmen? Bleibt erkennbar, wer wann eine Rechtsgrundlage oder Frist geändert hat? Können Sie sensible Personaldaten von einem allgemeinen Compliance-Zugang abgrenzen? Ein Produkt kann eine hübsche Übersicht bieten und dennoch diese Kernfragen schlecht lösen.
Notieren Sie für jedes Kriterium „gezeigt“, „nur behauptet“, „mit Zusatzmodul“ oder „nicht vorhanden“. Lassen Sie kritische Aussagen in Angebot oder Leistungsbeschreibung aufnehmen. Prüfen Sie Referenzdokumente am realen Format, nicht nur Screenshots. Falls eine DSFA-Vorlage nur generische Texte enthält, fragen Sie, wie konkrete Risiken, Maßnahmen und Restrisiken erfasst werden. Der Praxisleitfaden zur DSGVO-Prüfung liefert zusätzliche Fragen für einen Probelauf.
Einführung: Datenqualität vor Automatisierung
Die ersten vier Wochen sollten ein kleines, überprüfbares Ergebnis liefern. Wählen Sie einige repräsentative Verarbeitungen aus Personal, Vertrieb und Betrieb. Übertragen Sie nicht blind jede Altzeile, sondern klären Sie Eigentümer, Zweck, Rechtsgrundlage, Empfänger und Frist. Dokumentieren Sie offene Punkte ausdrücklich. Die Software kann Unklarheiten sichtbar machen; ein Import ohne fachliche Prüfung konserviert Fehler.
Definieren Sie anschließend einen Änderungsweg. Neue Tools, neue Auftragsverarbeiter und neue Datenkategorien sollen eine Prüfung auslösen, bevor der produktive Betrieb startet. Legen Sie fest, wer Angaben liefert, wer juristische Fragen beantwortet und wer die endgültige Freigabe verantwortet. Eine jährliche Erinnerung ersetzt diesen laufenden Prozess nicht. Messen Sie nach der Einführung eine konkrete Verbesserung, etwa den Anteil aktualisierter Verarbeitungen oder die Zeit bis zur Zuordnung einer Betroffenenanfrage. Die DSGVO-Checkliste kann die Bestandsaufnahme strukturieren.
Sonderfälle im Anforderungskatalog
Wenn mehrere deutsche Standorte beteiligt sind, klären Sie, ob eine zentrale Instanz genügt oder Gesellschaften eigenständige Verantwortliche mit eigenen Verzeichnissen und Berechtigungen sind. Ein Konzern-Dashboard darf die rechtlichen Rollen nicht verwischen. Der Vergleich zwischen BDSG und DSGVO hilft, nationale Ergänzungen von den unmittelbar geltenden EU-Regeln zu trennen. Für regionale Behördenfragen kann neben dem BayLDA beispielsweise der LfDI Baden-Württemberg relevant sein. Fragen Sie im Demo-Fall, ob das System Zuständigkeiten erfassen kann, ohne eine automatische Rechtsauskunft vorzugeben.
Eine Datenschutzplattform muss nicht zugleich jede andere Regulierung abdecken. Ein Unternehmen, das KI-Systeme entwickelt oder einsetzt, kann zusätzliche Anforderungen haben; die Software für die KI-Verordnung behandelt diesen eigenen Beschaffungsfall. Datenschutzfragen wie Rechtsgrundlage, Zweck und Betroffenenrechte bleiben dabei separat zu beantworten. Kaufen Sie ein breites GRC-Paket nur, wenn die zusätzlichen Abläufe tatsächlich benötigt und im Angebot enthalten sind.
Bei Sanktionen hilft ein Tool vor allem durch bessere Entscheidungen und Belege. Es gibt keine seriöse Zusage, dass eine bestimmte Plattform Bußgelder verhindert oder einen festen Prozentsatz spart. Die deutsche Bußgeldübersicht zeigt unterschiedliche Fallkonstellationen; Art. 83 DSGVO verlangt eine Einzelfallprüfung. Wer „Bußgeldschutz“ als Kaufargument hört, sollte nach konkreten Kontrollen fragen: Welche Fehler erkennt das Produkt, wer behebt sie und welcher Nachweis entsteht dabei?
Abnahme nach der Pilotphase
Schließen Sie den Kauf nicht allein nach einer Anbieter-Demo ab. Vereinbaren Sie einen begrenzten Piloten mit echten, aber angemessen geschützten Daten oder mit einem realistischen Testdatensatz. Legen Sie vorher drei Abnahmekriterien fest: ein korrektes VVT für die ausgewählten Vorgänge, ein vollständig dokumentierter Dienstleisterfall und ein nachvollziehbar abgewickelter Antrag oder Vorfall. Prüfen Sie jeden Export mit Fachbereich und Datenschutz. Ein Produkt besteht den Test erst, wenn beide die Angaben verstehen und Fehler berichtigen können.
Planen Sie außerdem den Betrieb. Wer beantwortet Rückfragen aus Fachbereichen, wer pflegt Vorlagen nach Rechtsänderungen, wer kontrolliert Nutzerrechte und wer trägt die Kosten zusätzlicher Mandanten? Diese Fragen gehören in die interne Entscheidungsvorlage. Der beste Pilot scheitert langfristig, wenn niemand die Datenqualität besitzt. Eine Verlängerung des Abonnements sollte später an überprüfbare Nutzung und Verbesserungen anknüpfen, nicht nur an die Zahl angelegter Datensätze.
Datenschutz bei der Softwareeinführung selbst
Eine Datenschutzplattform enthält häufig Namen von Ansprechpartnern, Beschäftigten, Betroffenen und möglicherweise sensible Falldaten. Bevor echte Daten importiert werden, prüfen Sie daher die eigene Rechtsgrundlage, Rollen, Löschfristen, Protokolle und den Vertrag mit dem Anbieter. Vertrauliche Auskunftsvorgänge oder interne Vorfallanalysen sollten nicht für alle Projektmitglieder sichtbar sein. Ein Demo-System mit Testdaten kann Funktionen zeigen, ohne reale Betroffene unnötig offenzulegen.
Prüfen Sie auch, ob der Anbieter Daten für eigene Zwecke verwenden will, etwa Produktanalyse oder Training automatisierter Funktionen. Solche Zwecke gehören ausdrücklich in die Vertrags- und Informationsprüfung; eine allgemeine „Datenschutzkonformität“ des Produktes beantwortet sie nicht. Wenn automatische Textvorschläge angeboten werden, lassen Sie Herkunft, Überprüfung und Freigabe erklären. Falsch generierte Rechtsgrundlagen oder verkürzte Löschfristen können schwerer zu entdecken sein als ein leeres Pflichtfeld. Die Entscheidung muss einem verantwortlichen Menschen zugeordnet bleiben.
Im Pilot sollte die Informationssicherheit derselben Sorgfalt unterliegen wie bei anderen kritischen SaaS-Diensten. Testen Sie Mehrfaktor-Authentisierung, Berechtigungsentzug nach Austritt und Wiederherstellung eines versehentlich gelöschten Datensatzes. Prüfen Sie, wie ein Datenexport verschlüsselt übermittelt und anschließend aus temporären Ablagen entfernt wird. Diese Fragen betreffen nicht nur das Produkt, sondern den gesamten Einführungsprozess des Kunden.
Nachweisprobe für Löschung und Auskunft
Testen Sie vor der Abnahme eine abgelaufene Löschfrist mit einer dokumentierten Ausnahme. Legen Sie zwei vergleichbare Datensätze an: Der erste darf nach Ende des Zwecks gelöscht werden, für den zweiten besteht eine konkret bezeichnete gesetzliche Aufbewahrungspflicht. Prüfen Sie, ob das System beide Entscheidungen, ihre Begründung und den tatsächlichen Vollzug unterscheidet. Art. 5 Abs. 1 Buchst. e DSGVO verlangt Speicherbegrenzung; Art. 17 Abs. 3 kann die weitere Verarbeitung einzelner Daten etwa zur Erfüllung einer Rechtspflicht erlauben. Eine pauschale Ausnahme für den gesamten Kundenordner wäre zu weit. Fragen Sie anschließend, welche Kopien in Exporten, Suchindizes und Sicherungen verbleiben und wann sie nach dem vorgesehenen Verfahren entfernt oder gesperrt werden.
Führen Sie auch eine Auskunftsprobe durch: Eine Person fragt nach Daten aus Vertrieb, Support und einem abgeschlossenen Vorfall. Lassen Sie Verantwortliche die betroffenen Systeme finden, die Identität angemessen prüfen, Daten Dritter schützen und eine verständliche Antwort erstellen. Der Fristtimer allein erfüllt Art. 12 und 15 DSGVO nicht. Kontrollieren Sie, ob die Antwort die Herkunft und Empfänger nennt, soweit Art. 15 dies verlangt, und ob die erste Kopie grundsätzlich kostenfrei bereitgestellt wird. Notieren Sie fehlende Quellen und Korrekturen im Pilotprotokoll; so wird aus der Demo ein überprüfbarer Abnahmetest.
Häufige Fragen
Was kostet DSGVO-Compliance-Software 2026?
Es gibt keinen verlässlichen einheitlichen Marktpreis. Umfang, Mandanten, Nutzer, Beratung, Module und Laufzeit verändern Angebote. Vergleichen Sie schriftliche Gesamtkosten für denselben Fall über mindestens drei Jahre und kennzeichnen Sie den Preisstand. Öffentliche Listenpreise können ein Startpunkt sein, aber keine Aussage über Ihre tatsächlichen Gesamtkosten.
Braucht ein Unternehmen unter 20 Personen kein VVT?
Nein. Die 20-Personen-Regel des § 38 BDSG betrifft die Benennung eines Datenschutzbeauftragten in einem bestimmten Fall. Art. 30 Abs. 5 DSGVO enthält eine andere, eng begrenzte Ausnahme für das Verzeichnis. Regelmäßige Verarbeitung kann die Ausnahme bereits ausschließen. Der VVT-Leitfaden erklärt den Prüfweg.
Ersetzt ein Tool den Datenschutzbeauftragten?
Nein. Es kann Aufgaben, Fristen und Nachweise organisieren. Die unabhängige Beratung und Überwachung nach Art. 39 sowie die Verantwortung des Unternehmens bleiben bestehen. Prüfen Sie bei einem gebündelten Angebot, wer persönlich welche Aufgaben übernimmt und wie Interessenkonflikte vermieden werden.
Muss die Lösung in Deutschland gehostet sein?
Die DSGVO verlangt keinen pauschalen deutschen Serverstandort. Prüfen Sie tatsächliche Datenflüsse, internationale Zugriffe, Unterauftragsverarbeiter und geeignete Garantien. Der Ort eines Rechenzentrums ist ein Teil dieser Prüfung, nicht das ganze Ergebnis.
Fazit
Die passende Software ist die, mit der Ihr Team konkrete Datenschutzentscheidungen sauber trifft, Änderungen bemerkt und Nachweise verständlich vorlegen kann. Prüfen Sie VVT, DSFA, Dienstleister, Betroffenenrechte, Vorfälle, Rechteverwaltung und Exit an einem gemeinsamen Demonstrationsfall. Vergleichen Sie schriftliche Angebote und trennen Sie Software von Beratung. Erst danach ergibt ein Anbieter- oder Preisvergleich Sinn.