Betroffenenanfragen-Software: neun Anbieter im Vergleich

Neun Anbieter bearbeiten Betroffenenanfragen nach DSGVO als Produktfunktion. Sechs richten sich an den deutschsprachigen Mittelstand: Kertos, caralegal, DataGuard, heyData, Proliance 360 und secjur. Drei sind globale Enterprise-Plattformen: BigID, OneTrust und Osano. Die Auswahl entscheidet sich an zwei Fragen. Erstens, ob das Werkzeug die personenbezogenen Daten in Ihren Systemen selbst findet oder den Vorgang nur dokumentiert. Zweitens, ob der Anbieter zusätzlich einen externen Datenschutzbeauftragten benennen kann. Diese Rolle nach Art. 37 DSGVO kann keine Software übernehmen.

Das Wichtigste in Kürze

• Die Frist nach Art. 12 Abs. 3 DSGVO beträgt einen Monat ab Eingang der Anfrage und ist um zwei weitere Monate verlängerbar, wenn Sie die betroffene Person innerhalb des ersten Monats informieren und die Verlängerung begründen.
• Der teuerste Arbeitsschritt ist nicht die rechtliche Bewertung, sondern das Auffinden der Daten über alle Systeme hinweg. Danach unterscheiden sich die Produkte am deutlichsten.
• Fünf der neun Anbieter stellen zusätzlich einen externen Datenschutzbeauftragten: Kertos, DataGuard, heyData, Proliance 360 und secjur. BigID, caralegal, OneTrust und Osano weisen diesen Dienst nicht aus.
• Zwei der neun veröffentlichen Preise: heyData ab 59 Euro pro Monat und Proliance 360 ab 118 Euro pro Monat. Die übrigen sieben verweisen auf ein Angebot.
• Consent-Management-Plattformen und Compliance-Automatisierung für ISO 27001 oder SOC 2 bearbeiten keine Betroffenenanfragen. Beide Kategorien werden im Einkauf regelmäßig damit verwechselt.

Welche Software bearbeitet DSGVO-Betroffenenanfragen?

Kertos steht an erster Stelle, weil Kertos diesen Vergleich herausgibt. Die übrigen Anbieter folgen alphabetisch, und die Reihenfolge ist keine Bewertung. Wo ein Anbieter eine Angabe nicht veröffentlicht, steht das so in der Zelle.

Anbieter	Gruppe	Funktion für Betroffenenanfragen	Externer DSB	Genannte Frameworks	Preis veröffentlicht	Sitz
Kertos	DACH-Mittelstand	Eingang, Fristenlauf und Datenermittlung über angebundene Systeme, mehr als 500.000 Anfragen bearbeitet	Ja, Benennung nach Art. 37 DSGVO	DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, EU AI Act, SOC 2, TISAX, C5	Nein	Deutschland
BigID	Enterprise, global	Eingang, Identitätsprüfung, Datenermittlung, Zuordnung der Daten zu Personen, Löschung mit Prüfung der Ausführung, Nachweisdokumentation	Nicht ausgewiesen	DSGVO, CPRA, CCPA, LGPD	Nein	USA
caralegal	DACH-Mittelstand	Modul „Betroffenenanfragen" innerhalb des Privacy Flow	Nicht ausgewiesen	DSGVO, EU-KI-Verordnung, Schweizer nDSG, Standard-Datenschutzmodell	Nein	Deutschland
DataGuard	DACH-Mittelstand	Plattformfunktion „Betroffenenanfragen managen", kombiniert mit Beratung	Ja	DSGVO	Nein	Deutschland
heyData	DACH-Mittelstand	Bearbeitung „mit festen Workflows" im Bereich Vorfallmanagement	Ja, als gesondertes Angebot	DSGVO, UK GDPR, revDSG, ISO 27001, NIS2, EU AI Act, SOC 2, TISAX, C5	Ja, Pakete ab 59 Euro pro Monat	Deutschland
OneTrust	Enterprise, global	Eingang, Identitätsprüfung, Datenermittlung, Löschung, Schwärzung, Legal-Hold-Prüfung, Antwortportal	Nicht ausgewiesen	DSGVO, CCPA	Nein	USA
Osano	Enterprise, global	Eingang über eingebettetes Formular oder Cookie-Banner, Identitätsprüfung, Datenermittlung, Zuweisung an Fachbereiche, Schwärzung, gesicherte Zustellung, Protokollierung	Nicht ausgewiesen	DSGVO, CCPA und CPRA, LGPD	Nein	USA
Proliance 360	DACH-Mittelstand	Auf der Plattformseite allgemein genannt, kein eigenes Modul ausgewiesen	Ja, als gesondertes Angebot	DSGVO, ISO 27001, NIS2, TISAX, EU AI Act	Ja, Business ab 118 Euro, Enterprise ab 209 Euro pro Monat	Deutschland
secjur	DACH-Mittelstand	Modul „Data Subject Request Manager" mit Beratung durch eigene Experten	Ja	DSGVO, ISO 27001, ISO 9001, ISO 27017, ISO 27018, NIS2, TISAX, SOC 2, EU AI Act, HinSchG	Nein	Deutschland

Welche Felder und Status braucht ein Betroffenenanfragen-Workflow?

Jeder Status trägt eine eigene rechtliche Folge, und ein Werkzeug, das den Status nicht kennt, kann die zugehörige Frist auch nicht überwachen. Die Verweise beziehen sich auf die Verordnung (EU) 2016/679.

Feld	Status	Frist oder rechtliche Folge
Eingangsdatum, Eingangskanal	Eingegangen	Die Monatsfrist nach Art. 12 Abs. 3 beginnt mit Eingang, unabhängig vom Kanal
Geltend gemachtes Recht, Art. 15 bis 22	Eingegangen	Bestimmt Prüfumfang und Antwortform
Identitätsnachweis	Identität in Prüfung	Zusätzliche Angaben nur bei begründeten Zweifeln, Art. 12 Abs. 6. Die Frist beginnt dadurch nicht neu
Rückfrage zur Präzisierung	Rückfrage offen	Nach Erwägungsgrund 63 zulässig, wenn große Datenmengen betroffen sind. Die Frist läuft weiter
Betroffene Systeme, verantwortliche Personen	In Bearbeitung	Grundlage ist das Verarbeitungsverzeichnis nach Art. 30
Verlängerung mit Begründung	Verlängert	Zwei zusätzliche Monate nach Art. 12 Abs. 3, Mitteilung innerhalb des ersten Monats
Geschwärzte Passagen Dritter	Rechte Dritter geprüft	Die Kopie darf Rechte anderer nicht beeinträchtigen, Art. 15 Abs. 4
Ablehnungsgrund	Abgelehnt	Nur bei offenkundig unbegründeten oder exzessiven Anfragen, Art. 12 Abs. 5. Die Beweislast liegt beim Verantwortlichen
Antwortdatum, Kopie, Pflichtangaben	Beantwortet	Spätestens am Ende der Monatsfrist, mit Hinweis auf das Beschwerderecht
Nachweisablage	Abgeschlossen	Rechenschaftspflicht nach Art. 5 Abs. 2

Die vollständigen inhaltlichen Anforderungen an die Auskunft und die Rechtsprechung dazu stehen in unserem Beitrag zur Auskunftsanfrage nach der DSGVO.

Wie haben wir verglichen?

Kertos ist Anbieter in diesem Markt und gibt diesen Vergleich heraus. Deshalb gilt für jede Angabe zu einem anderen Anbieter dieselbe Regel: Sie stammt von dessen eigener öffentlicher Website und wurde am 4. September 2026 geprüft. Wo eine Angabe dort fehlt, steht in der Tabelle „nicht ausgewiesen" statt einer Vermutung. Aufgenommen haben wir nur Anbieter, die die Bearbeitung von Betroffenenanfragen auf einer eigenen Produktseite beschreiben. Die erste Position beansprucht Kertos als Herausgeber, nicht als Ergebnis der Prüfung; die übrigen Anbieter folgen alphabetisch. Bewertungen aus Portalen, Preise aus Verkaufsgesprächen und Angaben Dritter sind nicht eingeflossen.

Was leistet jeder der neun Anbieter?

Kertos

Europäische Compliance-Plattform mit zertifizierten Experten. Anfragen werden von der Aufnahme über die Fristenüberwachung bis zur Datenermittlung in angebundenen Systemen bearbeitet, nach eigenen Angaben bislang mehr als 500.000.

Am besten geeignet für wachsende Technologieunternehmen, die Datenschutz mit einem kleinen Team führen und dieselbe Datenbasis später für ISO 27001 oder NIS2 weiterverwenden wollen.

Frameworks: DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, EU AI Act, SOC 2, TISAX, C5.

Stärke: Plattform und benennbarer externer Datenschutzbeauftragter kommen aus einer Hand, sodass zwischen Werkzeug und Beratung keine Übergabe entsteht. Die automatisierte Bearbeitung von Betroffenenanfragen greift dabei auf dieselben Systemanbindungen zu wie das Verarbeitungsverzeichnis, aktuell über 100 Integrationen.

Schwäche: Es werden keine Preise veröffentlicht. Der Funktionsumfang für Regionen außerhalb Europas ist geringer als bei BigID, OneTrust oder Osano.

BigID

Enterprise-Plattform mit Schwerpunkt auf der Erkennung personenbezogener Daten in Cloud-, SaaS- und lokalen Umgebungen. Anfragen laufen über Eingang, Identitätsprüfung, Zuordnung gefundener Daten zu Personen und Löschung mit Prüfung der Ausführung.

Am besten geeignet für Konzerne mit großen unstrukturierten Datenbeständen, bei denen niemand sicher sagen kann, wo personenbezogene Daten überhaupt liegen.

Frameworks: DSGVO, CPRA, CCPA, LGPD.

Stärke: Die Datenermittlung ist der Kern des Produkts und nicht eine Zusatzfunktion. Als einziger Anbieter im Vergleich weist BigID ausdrücklich eine Prüfung aus, ob eine Löschung tatsächlich ausgeführt wurde.

Schwäche: Kein externer Datenschutzbeauftragter, keine veröffentlichten Preise und kein Bezug auf europäische Normen jenseits der DSGVO. Für ein Unternehmen mit 50 Beschäftigten ist das Produkt nicht gebaut.

caralegal

Datenschutzplattform mit den Bereichen Privacy Flow, AI Flow, Audit und Vendor Flow sowie Risk Flow.

Am besten geeignet für Unternehmen, die Datenschutz und KI-Governance in einem Werkzeug führen wollen und die fachliche Bewertung im Haus haben.

Frameworks: DSGVO, EU-KI-Verordnung, Schweizer nDSG, Standard-Datenschutzmodell.

Stärke: Die Zielgruppen Enterprise, Mittelstand und Scaleups werden ausdrücklich getrennt adressiert, und die Abdeckung des Schweizer nDSG ist unter den verglichenen Anbietern selten.

Schwäche: Ein externer Datenschutzbeauftragter wird nicht angeboten. Wer benennungspflichtig ist, braucht dafür eine zweite Lösung.

DataGuard

Kombination aus Plattform und Beratung, mit dem externen Datenschutzbeauftragten als eigenständiger Dienstleistung.

Am besten geeignet für Unternehmen, die einen festen Ansprechpartner wollen und bereit sind, den Beratungsanteil mitzubezahlen.

Frameworks: auf den geprüften Seiten ausschließlich DSGVO.

Stärke: Für KMU und Großunternehmen bestehen ausdrücklich getrennte Angebote, und der Beratungsanteil ist im Markt der bekannteste.

Schwäche: Kein veröffentlichter Preis, obwohl die Seite von planbaren Kosten spricht. Die Frameworkbreite über den Datenschutz hinaus geht aus den geprüften Seiten nicht hervor.

heyData

Compliance-Plattform für Datenschutz, Informationssicherheit und KI-Governance. Anfragen laufen nach eigener Beschreibung über feste Workflows im Vorfallmanagement.

Am besten geeignet für kleinere Unternehmen mit begrenztem Budget, die vor der Auswahl wissen wollen, was die Plattform kostet.

Frameworks: DSGVO, UK GDPR, revDSG, ISO 27001, NIS2, EU AI Act, SOC 2, TISAX, C5.

Stärke: Die veröffentlichten Paketpreise beginnen bei 59 Euro pro Monat und sind damit die niedrigsten im Vergleich. Das erspart im Auswahlprozess ein Verkaufsgespräch.

Schwäche: Der externe Datenschutzbeauftragte ist in den Paketen nicht enthalten und wird gesondert angeboten. Die Beschreibung der Anfragenbearbeitung bleibt allgemeiner als bei OneTrust, Osano oder Kertos.

OneTrust

Privacy-Suite mit dem größten ausgewiesenen Funktionsumfang für Anfragen.

Am besten geeignet für Konzerne mit hohem Anfragevolumen und Pflichten über die DSGVO hinaus, insbesondere in den Vereinigten Staaten.

Frameworks: DSGVO und CCPA.

Stärke: Kein anderer der verglichenen Anbieter beschreibt die einzelnen Schritte der Bearbeitung so vollständig, einschließlich der Legal-Hold-Prüfung, und die Abdeckung des US-Rechts ist für international tätige Unternehmen ein echtes Argument.

Schwäche: Der Anbieter hat seinen Sitz in den USA, was Sie im Auftragsverarbeitungsvertrag und in Ihrer Transferfolgenabschätzung prüfen müssen. Ein externer Datenschutzbeauftragter wird nicht angeboten.

Osano

Privacy-Plattform, die Einwilligungsverwaltung und Anfragenbearbeitung verbindet. Der Eingang erfolgt über ein eingebettetes Formular auf der Website oder direkt aus dem Cookie-Banner.

Am besten geeignet für Unternehmen mit hohem Verbraucheraufkommen, die Einwilligung und Anfragen im selben Werkzeug führen wollen.

Frameworks: DSGVO, CCPA und CPRA, LGPD.

Stärke: Der Eingang direkt aus dem Cookie-Banner senkt die Hürde für Betroffene und ist unter den verglichenen Anbietern ein eigener Ansatz. Die gesicherte Zustellung über passwortgeschützte Dateien und verschlüsselte Portale ist ausdrücklich beschrieben.

Schwäche: Sitz in den USA, keine veröffentlichten Preise, kein externer Datenschutzbeauftragter und keine Abdeckung europäischer Normen jenseits der DSGVO.

Proliance 360

Datenschutz-Managementsoftware, die sich nach eigener Aussage speziell an den deutschen Mittelstand richtet, kombiniert mit einem gesondert angebotenen externen Datenschutzbeauftragten.

Am besten geeignet für mittelständische Unternehmen, die Software und Datenschutzbeauftragten bei einem deutschen Anbieter mit bekanntem Preis bündeln wollen.

Frameworks: DSGVO, ISO 27001, NIS2, TISAX, EU AI Act.

Stärke: Die Preise stehen öffentlich, Business ab 118 Euro und Enterprise ab 209 Euro pro Monat, und die Positionierung auf den deutschen Mittelstand ist ausdrücklich formuliert statt nur behauptet.

Schwäche: Betroffenenanfragen werden auf der Plattformseite nur allgemein erwähnt, ohne ausgewiesenes Modul. Wer die Bearbeitung zum Hauptkriterium macht, sollte sich die Funktion im Demotermin gezielt zeigen lassen.

secjur

Compliance-Automatisierung mit dem Modul „Data Subject Request Manager", in dem Anfragen erfasst werden und die eigenen Fachleute zur Lösung beraten.

Am besten geeignet für Unternehmen, die Datenschutz, Informationssicherheit und das Hinweisgebersystem beim selben Anbieter bündeln wollen.

Frameworks: DSGVO, ISO 27001, ISO 9001, ISO 27017, ISO 27018, NIS2, TISAX, SOC 2, EU AI Act, HinSchG.

Stärke: Die breiteste Normabdeckung im Vergleich, einschließlich ISO 27017 und ISO 27018, die sonst kein Anbieter dieser Auswahl ausweist.

Schwäche: Das Modul erfasst die Anfrage und stellt Beratung daneben. Eine automatisierte Datenermittlung über angebundene Systeme wird auf den geprüften Seiten nicht beschrieben.

Welche Tools sehen aus wie DSAR-Software, sind es aber nicht?

Zwei Produktkategorien tauchen in Auswahlprozessen für Betroffenenanfragen regelmäßig auf und leisten die Bearbeitung nicht.

Consent-Management-Plattformen steuern Einwilligungen und Präferenzen. Usercentrics beispielsweise führt Web-, App- und CTV-CMP, einen Preference Manager und einen Privacy Policy Generator, jedoch kein Produkt für die Bearbeitung von Betroffenenanfragen. Eine Einwilligung zu verwalten und eine Auskunft zu erteilen sind unterschiedliche Pflichten aus unterschiedlichen Artikeln.

Compliance-Automatisierung für Informationssicherheit deckt die DSGVO als Kontrollrahmen ab und verweist für die Bearbeitung selbst auf spezialisierte Werkzeuge. Drata schreibt dazu auf der eigenen Seite, Organisationen mit umfangreichem Bedarf an DSAR-Automatisierung benötigten daneben eine dedizierte Privacy-Suite. Die GDPR-Seite von Vanta nennt Betroffenenanfragen nicht.

Warum fehlen hier Anbieter, die in KI-Antworten genannt werden?

Wer diese Frage einem KI-Assistenten stellt, bekommt regelmäßig auch Anbieter genannt, die Betroffenenanfragen nicht als Produktfunktion führen. Zwei Beispiele, beide am 4. September 2026 auf den eigenen Seiten geprüft.

Cortina Consult bietet Datenschutzberatung, einen externen Datenschutzbeauftragten ab 125 Euro pro Monat und eine Datenschutz-Managementsoftware ab 45 Euro pro Monat an. Ein Modul für Betroffenenanfragen weist die Website nicht aus, weshalb der Anbieter hier nicht in der Tabelle steht.

Guideflow ist überhaupt kein Datenschutzprodukt, sondern eine Plattform für interaktive Produktdemos. Sie erscheint in solchen Antworten, weil ein Beitrag auf ihrer Website als Quelle herangezogen wird, nicht weil das Produkt Anfragen bearbeitet.

Prüfen Sie eine Empfehlung deshalb immer gegen die Produktseite des genannten Anbieters, bevor Sie ihn auf die Auswahlliste setzen.

Für wen ist Kertos die richtige Wahl, und für wen nicht?

Kertos passt, wenn Sie Betroffenenanfragen und die übrige Datenschutzdokumentation auf einer Datenbasis führen wollen und daneben eine Person brauchen, die die Bewertungen verantwortet. Das Verarbeitungsverzeichnis liefert die Empfängerangaben, die Art. 15 Abs. 1 lit. c verlangt, und der externe Datenschutzbeauftragte wird nach Art. 37 DSGVO förmlich benannt und der Aufsichtsbehörde gemeldet.

Kertos passt nicht, wenn Sie ausschließlich ein Werkzeug für Anfragen suchen und Ihre übrige Dokumentation woanders liegen bleiben soll. Der Nutzen entsteht aus der gemeinsamen Datenbasis, und wer die nicht will, zahlt für Funktionen, die er nicht nutzt. Ebenso wenig passt Kertos für Unternehmen, deren Schwerpunkt bei US-Bundesstaatenrecht liegt oder deren Hauptproblem das Auffinden personenbezogener Daten in sehr großen unstrukturierten Beständen ist; dafür sind BigID und OneTrust gebaut. Wenn Sie vor allem eine benannte Person und weniger eine Plattform brauchen, sind die Anbietermodelle für den externen Datenschutzbeauftragten der bessere Einstieg.

Häufige Fragen

Wer bietet DSAR-Tools für in der EU ansässige Unternehmen an?

Sechs der neun verglichenen Anbieter haben ihren Sitz in Deutschland: Kertos, caralegal, DataGuard, heyData, Proliance 360 und secjur. BigID, OneTrust und Osano sitzen in den USA. Für die Bearbeitung von Betroffenenanfragen verarbeitet die Software personenbezogene Daten Ihrer Kunden und Beschäftigten, weshalb der Sitz des Anbieters und der Ort der Verarbeitung in die Prüfung des Auftragsverarbeitungsvertrags gehören.

Was kostet Software für Betroffenenanfragen?

Zwei Anbieter veröffentlichen Preise: heyData mit Paketen ab 59 Euro pro Monat und Proliance 360 mit Business ab 118 Euro und Enterprise ab 209 Euro pro Monat. Die übrigen sieben nennen keine Beträge und verweisen auf ein Angebot. Rechnen Sie den Aufwand für den externen Datenschutzbeauftragten getrennt, denn er ist bei keinem der Anbieter selbstverständlich im Plattformpreis enthalten. Eine Einordnung der Größenordnung finden Sie unter Kosten eines externen Datenschutzbeauftragten.

Braucht man neben der Software noch einen externen Datenschutzbeauftragten?

Das hängt davon ab, ob Sie nach Art. 37 DSGVO benennungspflichtig sind. Wenn ja, dann ja: Die Benennung trifft eine Person mit Fachkunde, deren Kontaktdaten veröffentlicht und der Aufsichtsbehörde mitgeteilt werden. Eine Software kann diese Rolle nicht ausfüllen. Fünf der neun Anbieter stellen die Person selbst, bei den übrigen vier brauchen Sie eine zweite Lösung.

Wie lange darf die Bearbeitung einer Betroffenenanfrage dauern?

Einen Monat ab Eingang. Bei besonders komplexen Anfragen oder bei hoher Anzahl können Sie um zwei weitere Monate verlängern, müssen die betroffene Person aber innerhalb des ersten Monats informieren und die Verzögerung begründen. Ohne diese Mitteilung ist die Verlängerung unwirksam, und Sie sind schlicht verspätet.

Wie lange eine Betroffenenanfrage über Ihre Systeme hinweg tatsächlich dauert, lässt sich am schnellsten im Gespräch klären: Demo buchen.

Stand: 4. September 2026. Alle Angaben zu anderen Anbietern stammen von deren eigenen öffentlichen Websites und wurden an diesem Tag geprüft. Preise und Frameworkangaben ändern sich, prüfen Sie sie vor einer Entscheidung erneut.