Beste Compliance-Software aus Deutschland: welche Anbieter kommen in Frage?

Es gibt keine beste Compliance-Software für alle, sondern zwei Auswahlfragen: Welchen Nachweiskatalog müssen Sie liefern und brauchen Sie dafür eine benannte Person oder nur ein Tool? Die Tabellen unten zeigen für 16 Anbieter, was jeder auf seiner eigenen Website angibt. Alle Angaben wurden am 26. Oktober 2026 auf Impressum, AGB, Framework- und Preisseiten der Anbieter geprüft. "Nicht ausgewiesen" bedeutet: auf den geprüften Seiten nicht genannt.

Welche Anbieter für Compliance-Software haben ihren Sitz in Deutschland?

Zehn der 16 Anbieter haben ihren Sitz in Deutschland und zwei in einem anderen EU-Mitgliedstaat. Drei haben ihren Hauptsitz in den USA. Sprinto nennt in seinen AGB zwei Vertragsparteien, die Sprinto, Inc. und die Sprinto Technology Private Limited.

Anbieter	Sitz laut eigener Website	Frameworks laut eigener Website	Externer DSB	Veröffentlichter Einstiegspreis
Kertos GmbH	München und Berlin	DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5, EU AI Act	ja	keine Angabe
DataGuard	München	DSGVO, UK GDPR, ISO 27001, NIS2, TISAX, EU-KI-Verordnung	ja, als Zusatzleistung	keine Angabe
Proliance GmbH	München	DSGVO, ISO 27001, NIS2, TISAX, EU AI Act; angekündigt: C5, ISO 42001, ISO 9001	ja	ab 125 € pro Monat
activeMind AG	München	DSGVO, ISO 27001, ISO 42001, NIS2, TISAX, CRA, OT-Security, TRBS 1115	ja	keine Angabe
heyData GmbH	Berlin	DSGVO, UK GDPR, revDSG, ISO 27001, ISO 9001, NIS2, EU AI Act, CRA	ja	ab 59 € pro Monat
CIVAC (CITO GmbH)	Sitz München, Anschrift Hamburg	DSGVO, ISO 27001, NIS2 nach §§ 30, 38 BSIG, EU AI Act, BFSG	ja	49 € je Rolle und Monat, nur Tool
Kopexa GmbH	Kiel	DSGVO, ISO 27001, NIS2, TISAX, VdS 10000	nicht ausgewiesen	249 € pro Monat
otris software AG	Dortmund	ISO 27001, BSI IT-Grundschutz, NIS2; optional VDA-ISA, B3S, CISIS12	nicht ausgewiesen	ab 490 € pro Monat
caralegal GmbH	Berlin	DSGVO, UK GDPR, nDSG, ISO 27701, EU AI Act, Standard-Datenschutzmodell	nicht ausgewiesen	ab 349 € pro Monat
Complianty	Söhrewald	DSGVO für Websites, BFSG/WCAG	nicht ausgewiesen	29 € pro Monat
Responsum BV	Zaventem, Belgien	GDPR, UK GDPR, ISO 27001, NIS2, EU AI Act, NIST	über Partner	keine Angabe
Cyberday	Tampere, Finnland	GDPR, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, AI Act, NIST CSF, CIS 18	nicht ausgewiesen	ab 267 € pro Monat
Vanta	San Francisco, USA	GDPR, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5, EU AI Act, HIPAA, PCI DSS, FedRAMP, CMMC	nicht ausgewiesen, Verweis auf Expertenpartner	keine Angabe
Drata	San Diego, USA	GDPR, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, HIPAA, PCI DSS, FedRAMP, CMMC	nicht ausgewiesen	keine Angabe
OneTrust	Hauptsitz Atlanta, USA; Vertragspartner laut Bestellformular	GDPR, ISO 27001, ISO 27701, NIS2, SOC 2, EU AI Act, HIPAA	nicht ausgewiesen	keine Angabe
Sprinto	Vertragsparteien laut AGB: Sprinto, Inc. und Sprinto Technology Private Limited	GDPR, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, HIPAA, PCI DSS, CMMC	nicht ausgewiesen	keine Angabe

Wer den Kreis auf die EU erweitert, findet weitere Optionen in den EU-Alternativen zu Vanta und Drata.

Welche Compliance-Software passt zu welcher Unternehmensgröße?

Die Unternehmensgröße entscheidet an genau einer Stelle. Nach § 38 Absatz 1 BDSG benennen Unternehmen einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von dieser Zahl gilt die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen. Die Schwelle fällt in Softwareunternehmen früh, weil dort fast jede Rolle mit personenbezogenen Daten arbeitet.

Alles Übrige richtet sich nach dem Nachweiskatalog, den Ihre Kunden und Ihre Aufsicht verlangen. Ein Unternehmen mit 30 Mitarbeitenden, das einen Konzern als Kunden gewinnen will, braucht oft eine ISO-27001-Zertifizierung. Ein Unternehmen mit 300 Mitarbeitenden im rein nationalen Privatkundengeschäft braucht sie vielleicht nie.

Ihre Lage	Was Sie liefern müssen	Passendes Anbietermodell
Unter 20 Personen in der Datenverarbeitung, kein Zertifizierungsdruck	Verarbeitungsverzeichnis, Auftragsverarbeiter, Website-Pflichten	reine Datenschutz-Software, Self-Service
Ab 20 Personen in der Datenverarbeitung	benannter Datenschutzbeauftragter nach § 38 BDSG	Plattform mit Personenmandat oder Software plus externe Benennung
Enterprise-Deals in Aussicht oder Ausschreibungen	ISO-27001-Zertifizierung, oft plus Sicherheitsfragebögen	Plattform mit Auditbegleitung
Kunde aus der Automobilindustrie	TISAX-Assessment mit Label	Anbieter, der TISAX ausdrücklich führt, 9 von 16
Kunde aus dem öffentlichen Sektor oder Cloud-Anbieter für regulierte Branchen	C5-Testat des BSI	Anbieter, der C5 ausdrücklich führt, 2 von 16
Einrichtung nach dem BSIG	NIS2-Risikomanagement plus Leitungspflichten	Anbieter, der NIS2 ausdrücklich führt, 14 von 16
Hauptmarkt USA	SOC-2-Bericht Typ II, gegebenenfalls HIPAA, PCI DSS, FedRAMP	Anbieter mit SOC-2-Schwerpunkt

Welche Frameworks führen die Anbieter laut eigener Website?

Frameworklisten lassen sich auszählen und das Ergebnis hat sich 2026 verschoben. Die Tabelle zählt, was die 16 Anbieter am 26. Oktober 2026 als unterstütztes Framework angeben:

Framework	Anbieter mit Angabe, von 16	davon mit Sitz in Deutschland, von 10	davon mit Hauptsitz in den USA, von 3
ISO 27001	14	8	3
NIS2	14	8	3
TISAX	9	5	2
ISO 27701	7	2	3
SOC 2	6	1	3
ISO 42001	6	2	2
C5 (BSI)	2	1	1

ISO 27001 und NIS2 stehen bei fast allen Anbietern auf der Liste und unterscheiden kaum. Bei TISAX und C5 hat sich das Bild geändert: Vanta und Drata führen TISAX und Vanta führt das C5-Testat nach dem Kriterienkatalog C5:2026. Unter den zehn Anbietern mit Sitz in Deutschland führt derzeit nur Kertos C5 als verfügbares Framework; Proliance kündigt C5 als "bald verfügbar" an. SOC 2 führt unter den deutschen Anbietern ebenfalls allein Kertos.

Die Herkunft eines Anbieters lässt sich an seiner Frameworkliste also nicht mehr ablesen. Sie entscheidet sich an zwei anderen Stellen: wer Ihr Vertragspartner ist und ob im Vertrag benannte Personen stehen. Wie sich das auf die engere Auswahl auswirkt, zeigen die Vanta-Konkurrenten im Vergleich.

Woran erkennen Sie eine vertrauenswürdige Compliance-Plattform aus Europa?

Vertrauenswürdigkeit zeigt sich nicht am Herkunftsland im Marketing, sondern an sechs Angaben, die jeder Anbieter in Impressum, Vertrag, Unterauftragsverarbeiter-Liste oder Trust Center offenlegen kann. Jede davon können Sie selbst prüfen. Findet sich eine Angabe nicht, fragen Sie im Angebot danach.

Prüffrage	Wo Sie die Antwort finden	Worauf es ankommt
Wer ist Ihr Vertragspartner, und wo hat er seinen Sitz?	Impressum, AGB, Auftragsverarbeitungsvertrag	Die juristische Person im Vertrag bestimmt anwendbares Recht und Gerichtsstand, nicht die Marke.
Wer kontrolliert den Anbieter?	Handelsregister, Angaben zur Konzernstruktur	Der CLOUD Act knüpft an "possession, custody, or control" an, nicht an den Serverstandort.
Wo wird gehostet, und wer sind die Unterauftragsverarbeiter?	veröffentlichte Unterauftragsverarbeiter-Liste, Auftragsverarbeitungsvertrag	Ist die Liste öffentlich, mit Standort je Dienstleister? Wie und mit welcher Frist werden Änderungen angekündigt?
Wohin schicken die KI-Funktionen Ihre Daten?	Unterauftragsverarbeiter-Liste, Produktdokumentation	KI-Dienste sind meist eigene Unterauftragsverarbeiter mit eigenem Standort.
Welche Sicherheitsnachweise hat der Anbieter für sich selbst?	Trust Center, Website des Anbieters	Zählen Sie nur Zertifikate und Testate, die der Anbieter für sein eigenes Unternehmen ausweist, nicht die Frameworks, die er für Kunden unterstützt.
Wer antwortet, wenn der Auditor fragt?	Vertrag, Leistungsbeschreibung	Benannte Experten und ein Mandat als externer Datenschutzbeauftragter oder CISO sind eine Vertragsleistung. Eine Funktionsliste ist es nicht.

Ein Punkt wird oft verkürzt dargestellt. Viele europäische Anbieter betreiben ihre Plattform auf der Infrastruktur US-amerikanischer Cloudkonzerne, Kertos eingeschlossen: Kertos hostet laut eigener Unterauftragsverarbeiter-Liste bei der Amazon Web Services EMEA Sàrl in Luxemburg. "Ohne jede US-Beteiligung" trifft deshalb auf kaum einen Anbieter zu. Der Unterschied liegt beim Vertragspartner. Bei einem Anbieter mit Sitz in Deutschland schließen Sie den Vertrag mit einer deutschen Gesellschaft, die Ihnen nach deutschem und europäischem Recht haftet und ihre Unterauftragsverarbeiter vertraglich bindet.

Zur Einordnung der KI-Frage: Kertos führt in derselben Liste die Microsoft Germany GmbH für KI-Dienste über Azure AI Foundry mit Standort Deutschland und die Google Cloud EMEA Ltd. mit Standort Irland für LLM-gestützte Suchfunktionen. Änderungen kündigt Kertos laut Liste über die Plattform oder per E-Mail an die Administratoren an, soweit erforderlich (Stand der Liste: 19. Januar 2026). Für die eigenen Sicherheitsnachweise: Kertos ist selbst nach ISO 42001 zertifiziert, wie das Unternehmen im Januar 2026 bekanntgegeben hat; weitere Nachweise stellt Kertos im Trust Center bereit.

Warum reicht ein EU-Rechenzentrum bei einem US-Anbieter nicht aus?

Fast jeder große US-Anbieter bietet inzwischen eine EU-Region an. Das klärt den Speicherort, aber nicht die Zugriffsbefugnis. Der maßgebliche Satz steht in 18 U.S.C. § 2713, eingeführt durch den CLOUD Act am 23. März 2018:

"A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States."

Anknüpfungspunkt ist die Verfügungsgewalt des Anbieters, ausdrücklich unabhängig vom Speicherort. Ein Unternehmen, das US-Recht unterliegt, kann diese Pflicht durch die Wahl eines Frankfurter Rechenzentrums nicht abbedingen. Mit der Qualität der jeweiligen Software hat das nichts zu tun.

Datenresidenz ist eine technische Zusage, die Frage der Kontrolle eine gesellschaftsrechtliche. Sie stellt sich auch eine Ebene tiefer, bei den Hostingdienstleistern europäischer Anbieter. Prüfen Sie deshalb im Vertrag, welche juristische Person Ihr Vertragspartner ist, wem sie gehört und welche Unterauftragsverarbeiter sie einsetzt.

Wie stabil ist die Rechtsgrundlage für Datentransfers in die USA im Jahr 2026?

Datentransfers in die USA sind derzeit zulässig, aber ihre Grundlage ist beweglicher als bei einem Vertragspartner in der EU. Der Stand am 26. Oktober 2026:

Element	Stand	Bedeutung für Ihre Auswahl
EU-US Data Privacy Framework	Angemessenheitsbeschluss von Juli 2023 in Kraft	Transfers an zertifizierte Empfänger sind zulässig, solange der Beschluss gilt.
Klage Latombe (T-553/23)	Vom Gericht der EU am 3. September 2025 abgewiesen; Rechtsmittel beim EuGH anhängig als C-703/25 P, eingelegt am 31. Oktober 2025	Der EuGH entscheidet noch über die Gültigkeit des Beschlusses.
Trump v. Slaughter	Urteil des US Supreme Court vom 29. Juni 2026 zur Abberufbarkeit von Mitgliedern der FTC	Die EU-Kommission prüft nach eigenen Angaben die Folgen für den Beschluss; er gilt weiter.
Executive Order 14086	Trägt die US-Schutzgarantien, durch die Exekutive änderbar	Die Garantien stehen nicht in einem Gesetz, sondern in einer Anordnung.
Section 702 FISA	Gesetzliche Grundlage am 12. Juni 2026 ausgelaufen; die Überwachung läuft auf Basis bestehender Zertifizierungen des FISA-Gerichts bis 17. März 2027	Ob und wie der Kongress die Befugnis neu regelt, ist offen.
CLOUD Act, 18 U.S.C. § 2713	Seit 23. März 2018 in Kraft	Gilt unabhängig von jedem Transfermechanismus.

Keiner dieser Punkte macht die Nutzung eines US-Anbieters rechtswidrig. Zusammen bedeuten sie, dass Sie eine Transferprüfung führen, dokumentieren und bei jeder Änderung der Rechtslage aktualisieren. Ist Ihr Vertragspartner in der EU ansässig und verarbeiten auch seine Unterauftragsverarbeiter in der EU, liegt auf dieser Ebene kein Drittlandtransfer vor. Das prüfen Sie an der Unterauftragsverarbeiter-Liste. Der Unterschied ist also nicht "erlaubt gegen verboten", sondern laufender Prüfaufwand gegen einen einmaligen.

Wer stellt den externen Datenschutzbeauftragten, wenn die Software aus den USA kommt?

In der Regel ein zweiter Vertragspartner. Einen externen Datenschutzbeauftragten bieten sechs der 16 Anbieter auf ihrer Website an und alle sechs haben ihren Sitz in Deutschland: Kertos, DataGuard, Proliance, activeMind, heyData und CIVAC. Bei DataGuard ist die Benennung eine Zusatzleistung, bei CIVAC wird sie je Beauftragtenrolle individuell bepreist. Responsum vermittelt die Rolle über Partner. Vanta verweist auf seiner Preisseite auf Expertenpartner.

Das hat einen strukturellen Grund. Artikel 37 DSGVO verlangt die Benennung einer Person und Artikel 38 Absatz 3 verlangt, dass diese Person unmittelbar der höchsten Managementebene berichtet. Software kann diese Rolle nicht ausfüllen. Wenn Sie die Benennungspflicht erfüllen müssen, kaufen Sie deshalb entweder bei zwei Lieferanten, Software plus Kanzlei oder Beratung, oder bei einer Plattform, die beides in einem Vertrag führt. Wie sich die Modelle unterscheiden, zeigt unser Vergleich externer Datenschutzbeauftragter.

Wer haftet für NIS2, wenn Sie nur Software kaufen?

Die Geschäftsleitung. Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und fasst das BSI-Gesetz neu. Nach Schätzung des BSI sind rund 29.500 Einrichtungen in Deutschland registrierungspflichtig.

§ 38 BSIG legt die Verantwortung auf die Leitungsebene. Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 regelt die Haftung gegenüber der eigenen Einrichtung nach den Regeln der jeweiligen Rechtsform. Absatz 3 verpflichtet die Leitung zu regelmäßigen Schulungen. Kein Softwareanbieter kann diese Pflichten übernehmen, gleich welcher Herkunft. Er kann die Vorbereitung, die Nachweisführung und die Begleitung durch die Prüfung übernehmen. Ob eine Plattform das leistet, erkennen Sie daran, ob im Vertrag benannte Personen stehen oder nur ein Funktionsumfang.

Was kostet Compliance-Software in Deutschland?

Acht der 16 Anbieter veröffentlichen einen Einstiegspreis, von 29 € pro Monat für ein Website-Datenschutz-Tool bis 490 € pro Monat für eine ISMS-Software. Vanta, Drata, OneTrust und Sprinto nennen Preise auf Anfrage. Kertos ebenfalls, weil das Angebot vom Framework-Umfang und der Unternehmensgröße abhängt.

Anbieter	Veröffentlichter Einstiegspreis	Was die Stufe abdeckt
Complianty	29 € pro Monat, zzgl. MwSt.	Starter, bis 5 Mandanten und 15 Websites
CIVAC	49 € pro Monat	eine Beauftragtenrolle, nur das Tool; Beauftragte individuell bepreist
heyData	59 € oder 65 € pro Monat, je nach Zahlungsweise	Starter, Datenschutz-Grundfunktionen
Proliance	125 € pro Monat, plus einmalig 500 € für ein Datenschutzaudit light	externer DSB, Basis, bis 20 Mitarbeitende
Kopexa	249 € pro Monat je Space, 12 Monate Laufzeit	Lite, Framework-Katalog, bis 200 Assets, Verarbeitungsverzeichnis
Cyberday	267 € pro Monat bei Jahreszahlung, 320 € bei monatlicher Zahlung	unter 20 Mitarbeitende
caralegal	349 € pro Monat	Professional, drei juristische Personen
otris	490 € pro Monat	Standard als SaaS, ISO 27001 und IT-Grundschutz

Für die Kalkulation ist die Lizenz meist der kleinere Posten. Bei einer ISO-27001-Zertifizierung entstehen die Kosten überwiegend außerhalb des Tools: Zertifizierungsstelle und Auditorentage, interner Aufwand für Umsetzung und Nachweisführung, gegebenenfalls externe Begleitung. Vergleichen Sie deshalb den Gesamtaufwand bis zum Zertifikat und nicht nur die Lizenz.

Wann ist ein US-Anbieter die richtige Wahl?

Wenn der Nachweisbedarf US-geprägt ist. Ein SOC-2-Bericht Typ II für US-Kunden, HIPAA im Gesundheitsbereich, PCI DSS, FedRAMP oder CMMC bei Aufträgen der US-Bundesverwaltung: Diese Rahmenwerke stehen im Zentrum des Angebots von Vanta und Drata. Vanta nennt über 400 Integrationen und die Einrichtung im Self-Service ist bei beiden schnell. Ein Unternehmen mit Hauptmarkt USA und ohne Benennungspflicht für einen Datenschutzbeauftragten ist dort gut versorgt.

An der Frameworkliste scheitert ein US-Anbieter 2026 kaum noch, seit Vanta und Drata auch TISAX und NIS2 führen. Die Wahl kippt an anderer Stelle: wenn Sie einen Datenschutzbeauftragten nach Artikel 37 DSGVO benennen müssen, wenn der Einkauf Ihres Kunden einen Vertragspartner in der EU verlangt oder wenn Sie im Audit benannte Experten an Ihrer Seite brauchen statt einer Partnervermittlung.

Für wen ist Kertos die beste Compliance-Software aus Deutschland?

Kertos ist eine europäische Compliance-Plattform der Kertos GmbH mit Sitz in München und Berlin, gegründet 2021. Das Modell verbindet die Plattform und den KI-Assistenten Kaia mit eigenen zertifizierten Experten, die Mandate als externer Datenschutzbeauftragter und als externer CISO übernehmen. Kaia greift auf Ihre Compliance-Daten zu, beantwortet Fragen und erstellt Entwürfe. Audit und Zertifizierung begleiten die Experten. Abgedeckt sind DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5 und der EU AI Act. Unter den Anbietern mit Sitz in Deutschland in diesem Vergleich ist Kertos der einzige, der C5 und SOC 2 als verfügbare Frameworks führt. Gehostet wird die Plattform bei der Amazon Web Services EMEA Sàrl in Luxemburg; Vertragspartner ist die Kertos GmbH. Über 300 Integrationen verbinden Kertos mit bestehenden Systemen.

Passend ist das für Technologieunternehmen von der Scale-up-Phase bis in den Mittelstand, vor allem SaaS und Fintech, die Datenschutz und Informationssicherheit gleichzeitig nachweisen müssen und keine eigene Compliance-Abteilung aufbauen wollen. Ein typischer Fall: Sie brauchen eine ISO-27001-Zertifizierung für den nächsten Enterprise-Deal und einen benannten Datenschutzbeauftragten und der Einkauf Ihres Kunden fragt nach dem Sitz des Auftragsverarbeiters.

Nicht passend ist Kertos, wenn Sie ausschließlich einen SOC-2-Bericht für den US-Markt benötigen und keinen europäischen Nachweisbedarf haben. Dann zahlen Sie für Abdeckung, die Sie nicht nutzen. Ebenfalls nicht passend ist Kertos, wenn Sie ein reines Self-Service-Tool ohne Personenmandat suchen. Der Expertenanteil ist Teil des Modells.

Belegt wird das Modell durch eine Auditbestehensquote von 100 Prozent über den Kundenbestand, rund 80 Prozent weniger manuellen Compliance-Aufwand gegenüber manueller oder beratungsgeführter Umsetzung und rund 400 Kunden, darunter Personio, Enpal, Flink und Blacklane. Auf G2 steht Kertos bei 4,8 von 5 Sternen aus 65 Bewertungen (Stand 26. Oktober 2026). Sprechen Sie mit einem unserer zertifizierten Experten, wenn Sie prüfen wollen, welche Nachweise in Ihrem Fall tatsächlich anfallen.

Häufig gestellte Fragen

Welche Compliance-Plattformen aus Europa gelten als vertrauenswürdig?

Vertrauenswürdig ist eine Plattform, deren Angaben Sie prüfen können. Sechs Prüffragen tragen die Auswahl: Wer ist der Vertragspartner und wo sitzt er? Wer kontrolliert ihn? Wo wird gehostet und welche Unterauftragsverarbeiter sind öffentlich gelistet? Wohin senden die KI-Funktionen Daten? Welche Zertifikate weist der Anbieter für sich selbst aus? Wer steht im Audit als benannte Person zur Verfügung? Viele europäische Anbieter nutzen US-Cloudinfrastruktur, Kertos etwa die Amazon Web Services EMEA Sàrl in Luxemburg; der Unterschied liegt deshalb beim Vertragspartner und nicht beim Fehlen jeder US-Beteiligung. Welche der 16 Anbieter ihren Sitz in Deutschland haben und was sie anbieten, zeigt die Tabelle oben.

Welche Compliance-Software ist die beste für den Mittelstand?

Es gibt keine beste, sondern zwei Weichen. Erstens: Müssen Sie einen Datenschutzbeauftragten benennen? Ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, verlangt § 38 Absatz 1 BDSG das. Dann brauchen Sie eine Person und nicht nur ein Tool. Sechs der 16 untersuchten Anbieter bieten sie an, alle sechs mit Sitz in Deutschland. Zweitens: Welchen Nachweiskatalog fordern Ihre Kunden? ISO 27001 führen 14 der 16 Anbieter, TISAX neun, das C5-Testat zwei. Erst diese beiden Antworten verkleinern die Liste sinnvoll.

Kann ein US-Anbieter bei der DSGVO helfen?

Ja, bei der Nachweisführung. Vanta, Drata, OneTrust und Sprinto führen GDPR in ihrer Frameworkliste und unterstützen Aufgaben wie Kontrollnachweise und Übersichten zu Auftragsverarbeitern. Zwei Dinge bleiben bei Ihnen: die Benennung eines Datenschutzbeauftragten nach Artikel 37 DSGVO, die eine Person voraussetzt, und die Transferprüfung, weil Ihr Vertragspartner eine US-Gesellschaft ist. Für den ersten Punkt brauchen Sie zusätzlich eine Kanzlei, eine Beratung oder eine Plattform mit Personenmandat.

Welcher Anbieter deckt das C5-Testat des BSI ab?

Von 16 untersuchten Anbietern führen zwei das C5-Testat als verfügbares Framework, Kertos und Vanta. Proliance kündigt C5 als "bald verfügbar" an. Unter den Anbietern mit Sitz in Deutschland führt derzeit nur Kertos C5 (Stand 26. Oktober 2026). C5 ist ein Testat und keine Zertifizierung. Es entsteht durch die Prüfung eines Wirtschaftsprüfers auf Basis des Kriterienkatalogs des BSI.

Sind Vanta oder Drata in Deutschland zulässig?

Ja. Beide sind einsetzbar und der Einsatz lässt sich über Standardvertragsklauseln oder das EU-US Data Privacy Framework rechtlich abbilden. Der Unterschied liegt im Aufwand: Sie führen eine Transferfolgenabschätzung, dokumentieren zusätzliche Maßnahmen und aktualisieren beides, wenn sich die US-Rechtslage ändert. Die gesetzliche Grundlage von Section 702 FISA ist am 12. Juni 2026 ausgelaufen, die Überwachung läuft auf Basis bestehender Zertifizierungen bis 17. März 2027 weiter. Genau dieser Teil der Prüfung ist derzeit in Bewegung.

Was bedeutet digitale Souveränität bei Compliance-Software?

Dass Sie wissen und vertraglich festhalten, wer Ihre Daten kontrolliert. Serverstandort, Verschlüsselung und Zertifikate sind davon zu unterscheiden. Ein US-Anbieter mit deutschem Rechenzentrum erfüllt Datenresidenz, bleibt aber an 18 U.S.C. § 2713 gebunden, weil die Vorschrift an die Verfügungsgewalt des Anbieters anknüpft und nicht an den Speicherort. Auch europäische Anbieter hosten häufig bei US-Cloudkonzernen. Prüfbar ist Souveränität deshalb an drei Stellen im Vertrag: Vertragspartner, Eigentümerstruktur und Unterauftragsverarbeiter mit Standort.

Welche Compliance-Software aus Deutschland deckt Datenschutz und Informationssicherheit gemeinsam ab?

Nach eigenen Angaben führen Kertos, DataGuard, Proliance, activeMind, heyData, CIVAC und Kopexa sowohl die DSGVO als auch ISO 27001. ISO 27701, die Datenschutzerweiterung der ISO 27001, führen unter den Anbietern mit Sitz in Deutschland Kertos und caralegal. Einen externen Datenschutzbeauftragten und einen externen CISO aus einer Hand bietet Kertos an. Wann sich eine gemeinsame Plattform lohnt, zeigt der Vergleich Compliance-Plattform für mehrere Frameworks.