Welches ist die beste Datenschutz-Software für die DSGVO?

Das Wichtigste in Kürze

• Es gibt keine Datenschutz-Software, die für jedes Unternehmen die beste ist. Welche passt, entscheiden zwei Fragen: Wer trägt die Datenschutzarbeit und bleibt es bei der DSGVO oder kommen ISO 27001, NIS2 und der EU AI Act dazu?
• Vier Anbietermodelle teilen den Markt: Enterprise-Plattformen für große, mehrjurisdiktionale Programme, Datenschutzmanagement mit integriertem externem Datenschutzbeauftragten, mandantenfähige Software für Rechtsabteilungen und Konzerne sowie Punktlösungen für Data Mapping, Consent und Betroffenenanfragen.
• Beschäftigt ein Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten, ist ein Datenschutzbeauftragter nach § 38 Abs. 1 BDSG Pflicht. Ob die Software dieses Mandat mitbringt, ist deshalb ein Auswahlkriterium und keine Komfortfrage.
• Eine Datenschutz-Software deckt acht konkrete DSGVO-Pflichten ab, vom Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 bis zum Drittlandtransfer nach Kapitel V.
• Kertos verbindet die Plattform mit zertifizierten Experten und einem externen DSB-Mandat, hostet in der EU und deckt neben der DSGVO auch ISO 27001, ISO 27701, ISO 42001, NIS2, den EU AI Act, SOC 2, TISAX und C5 ab.

Ein Funktionsvergleich bringt hier wenig. Die Anbietermodelle unterscheiden sich weniger im Funktionsumfang als darin, wie viel Arbeit am Ende beim Kunden bleibt.

Erstens: Wer trägt die Datenschutzarbeit? Ein interner Datenschutzbeauftragter oder eine Rechtsabteilung braucht ein Dokumentations-Tool, das sauber strukturiert und schnell zu bedienen ist. Anbieter wie caralegal und otris privacy sind darauf ausgelegt. Wo es keinen Datenschutzbeauftragten gibt oder die Rolle nebenbei mitläuft, fehlt der Dokumentation der Eigentümer; dann trägt ein Modell weiter, das die Software mit einem externen DSB-Mandat verbindet, wie es Kertos, DataGuard, heyData, Proliance und Keyed anbieten.

Zweitens: Bleibt es bei der DSGVO? Wenn ja, reichen reine Datenschutzlösungen, bis hin zu Punktlösungen wie Transcend, DataGrail oder Ketch für Data Mapping, Consent und Betroffenenanfragen. Wenn ISO 27001, NIS2 oder der EU AI Act absehbar dazukommen, zählt stattdessen, ob dieselbe Datenbasis mehrere Frameworks trägt. Für große, mehrjurisdiktionale Programme adressieren OneTrust, TrustArc und Securiti genau diesen Fall, mit entsprechend breitem Funktionsumfang.

Welche Anbieter von Datenschutzmanagement-Software gibt es?

Die folgende Übersicht ordnet die Ausgangslage dem passenden Anbietermodell zu. Die genannten Unternehmen sind Beispiele für das jeweilige Modell und keine Empfehlung für Ihren Fall. Grundlage ist jeweils der eigene öffentliche Auftritt der Anbieter, Stand Oktober 2026.

Ihre Ausgangslage	Passendes Anbietermodell	Beispiele
Globales Datenschutzprogramm über mehrere Rechtsordnungen, eigenes Privacy-Team	Enterprise-Datenschutzplattform mit breitem Funktionsumfang	OneTrust, TrustArc, Securiti
Kein eigener Datenschutzbeauftragter, kleines Team, Nachweis gegenüber Kunden und Auditoren nötig	Datenschutzmanagement mit integriertem externem DSB	Kertos, DataGuard, heyData, Proliance, Keyed
Mehrere Gesellschaften unter einem Dach, eigene Rechtsabteilung, zentrale Steuerung bei lokaler Umsetzung	Mandantenfähige Datenschutzsoftware für Konzernstrukturen	otris privacy, caralegal, Keyed
Datenschutz ist organisatorisch geklärt, einzelne Prozesse sollen automatisiert werden	Punktlösung für Data Mapping, Consent oder Betroffenenanfragen	Transcend, DataGrail, Ketch

Nicht in dieser Übersicht: Consent-Management-Plattformen für Cookie-Banner und Einwilligungen. Das ist eine eigene Produktkategorie, die einen Teilbereich der DSGVO abdeckt und kein Datenschutzmanagementsystem ersetzt.

Wie wählen Sie DSGVO-Software aus?

Fünf Kriterien entscheiden, und sie sind nach Gewicht sortiert.

1. Wer trägt die Arbeit? Software erzeugt keine Compliance, sie strukturiert sie. Klären Sie vor dem Funktionsvergleich, wie viel Arbeit nach der Einführung bei Ihrem Team bleibt und welcher Anteil beim Anbieter liegt.

2. Deckt sie die DSGVO-Pflichten wirklich ab? Die folgende Zuordnung zeigt, welche Pflicht welche Funktion braucht. Sie ist die konkreteste Prüfliste für jede Demo.

DSGVO-Pflicht	Rechtsgrundlage	Funktion in der Software
Verzeichnis von Verarbeitungstätigkeiten (VVT)	Art. 30 DSGVO	Strukturierte Erfassung je Verarbeitung, Versionierung, Aktualisierung bei neuen Tools
Technische und organisatorische Maßnahmen (TOM)	Art. 32 DSGVO	Maßnahmenkatalog mit Nachweisen, Wiederverwendung in AVV-Anlagen
Betroffenenrechte, etwa Auskunft und Löschung	Art. 12 bis 23 DSGVO	Antragserfassung, Fristenüberwachung (ein Monat, verlängerbar um zwei Monate), Datenabruf aus angebundenen Systemen
Meldung von Datenschutzvorfällen	Art. 33 und 34 DSGVO	Vorfallserfassung, Risikobewertung, Fristenlauf über 72 Stunden, Meldetexte
Datenschutz-Folgenabschätzung (DSFA)	Art. 35 DSGVO	Schwellwertanalyse, geführte Bewertung, Nachverfolgung der Maßnahmen
Auftragsverarbeitung	Art. 28 DSGVO	Dienstleisterverzeichnis, AVV-Verwaltung, Prüfung von Subunternehmern
Drittlandtransfer	Kapitel V DSGVO	Transfer Impact Assessment, Standardvertragsklauseln, Nachweis der Garantien
Rechenschaftspflicht	Art. 5 Abs. 2 und Art. 24 DSGVO	Lückenloser Audit-Trail über alle Änderungen und Entscheidungen

Kertos deckt diese Pflichten im automatisierten Datenschutzmanagementsystem ab. Die Dokumentation entsteht im VVT-, DSFA- und TOM-Modul, Anfragen laufen über die automatisierte Bearbeitung von Betroffenenanfragen. Über 500.000 Betroffenenanfragen wurden auf diesem Weg bereits gelöst.

„Wir mussten DSGVO-Anfragen schnell bearbeiten und unseren Compliance-Status durchgehend prüfungsfähig halten. Mit Kertos läuft das System im Hintergrund, während unser Team sich auf das Kerngeschäft konzentriert.“ Matthias K., COO, Mid-Market (51 bis 1.000 Mitarbeitende), G2, aus dem Englischen übersetzt

3. Kennt die Dokumentation Ihre tatsächliche IT? Ein VVT ist nur so aktuell wie das Wissen darüber, welche Systeme personenbezogene Daten verarbeiten. Führt ein Team ein neues Analyse-Tool ein und trägt es niemand nach, entsteht eine Lücke, die im Audit auffällt. Die automatisierte Erkennung angebundener Systeme wiegt deshalb schwerer als jede weitere Vorlage. Kertos nutzt dafür über 300 Integrationen.

4. Bleibt die Grundlage für ISO 27001, NIS2 und den EU AI Act nutzbar? Systeme, Datenflüsse, Dienstleister, Risiken und technische Maßnahmen werden in der DSGVO-Dokumentation ohnehin erhoben. Dieselben Angaben tragen weiter:

• Das Verzeichnis von Verarbeitungstätigkeiten und die Systemübersicht bilden das Asset- und Informationsverzeichnis für ISO 27001.
• Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO überschneiden sich in großen Teilen mit den Controls aus Anhang A der ISO 27001 und mit den Risikomanagementmaßnahmen unter NIS2.
• Das Dienstleisterverzeichnis mit AVV-Bestand ist die Grundlage für die Lieferkettenanforderungen unter NIS2.
• Die DSFA-Methodik nach Art. 35 DSGVO ist die Vorlage für die Risikobewertung von KI-Systemen unter dem EU AI Act.
• ISO 27701 erweitert ein bestehendes ISMS nach ISO 27001 zu einem zertifizierbaren Privacy Information Management System und greift dabei auf dieselben Verarbeitungs- und Maßnahmennachweise zurück.

Liegen diese Grundlagen in getrennten Tools, wird jede weitere Zertifizierung ein neues Projekt. Bei Kertos bleibt der Datenbestand derselbe und wird auf zusätzliche Frameworks abgebildet. AskUI hat auf dieser Grundlage die ISO 27001 in 8 bis 10 Wochen erreicht, ohne externe Berater.

5. Was kostet das Ganze, einschließlich der Betreuung? Der Lizenzpreis ist selten die ganze Rechnung. Rechnen Sie den Datenschutzbeauftragten mit ein, egal ob intern anteilig, extern beauftragt oder im Paket enthalten, und ebenso den Aufwand, der nach der Einführung im eigenen Team bleibt.

Welche Datenschutz-Software passt zum Mittelstand?

Im Mittelstand verschiebt die Unternehmensgröße drei Dinge und alle drei betreffen die Auswahl unmittelbar.

Die DSB-Frage ist gesetzlich entschieden, nicht optional. Beschäftigt ein Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten, muss es nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten benennen. Das trifft auf praktisch jedes mittelständische Unternehmen zu. Die echte Wahl ist damit nicht ob, sondern wie: ein interner Datenschutzbeauftragter in Teilzeit, ein extern beauftragter oder eine Software, die das Mandat mitbringt. Ohne benannte Person hat die Dokumentation keinen Eigentümer und genau daran scheitern die meisten Systeme im zweiten Jahr. Welches Anbietermodell dahinter passt, führt der Vergleich der Anbietermodelle für den externen Datenschutzbeauftragten aus.

Unternehmensgruppen brauchen mehr als ein Verzeichnis. Mehrere GmbHs unter einem Dach führen getrennte Verzeichnisse von Verarbeitungstätigkeiten, teilen aber Systeme und Dienstleister. Nach Art. 37 Abs. 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Für diese Konstellation haben mandantenfähige Systeme einen echten Vorteil, weil Vorlagen und Maßnahmen von der Muttergesellschaft an die Töchter vererbt werden können.

Datenschutz kommt selten allein. Mittelständische Unternehmen, die unter NIS2 fallen oder Automotive- und OEM-Kunden beliefern, beantworten parallel Lieferantenfragebögen und TISAX-Anforderungen. Dabei werden dieselben Systeme, Dienstleister und Prozesse erfasst. Liegen Datenschutz und Informationssicherheit in getrennten Tools, entsteht diese Arbeit zweimal.

Situation im Mittelstand	Passendes Modell
Interner Datenschutzbeauftragter in Teilzeit vorhanden	Dokumentations-Tool, das die Arbeit strukturiert
Kein Datenschutzbeauftragter benannt	Software plus externes DSB-Mandat
Mehrere Gesellschaften in einer Gruppe	Mandantenfähige Plattform, gegebenenfalls mit gemeinsamem DSB
Datenschutz zusammen mit NIS2 oder ISO 27001	Eine Nachweisbasis für beide Bereiche

Was die Betreuung kostet, schlüsselt die Übersicht zu den Kosten eines externen Datenschutzbeauftragten auf.

Was kann DSGVO-Software nicht übernehmen?

Die Rolle des Datenschutzbeauftragten ist an eine Person mit Fachkunde gebunden und lässt sich nicht an Software delegieren. Bewertungen, die Abwägung im Einzelfall und die Kommunikation mit der Aufsichtsbehörde bleiben eine fachliche Verantwortung. Software kann diese Arbeit vorbereiten, belegen und nachvollziehbar machen; entscheiden muss ein Mensch. Kertos löst das über ein externes DSB-Mandat, das im gleichen System arbeitet, in dem die Dokumentation entsteht. Damit fällt der Übergabeaufwand zwischen Tool und Berater weg.

„Die Expertise und die einsatzbereiten Frameworks sparen uns unzählige Stunden; wir können uns auf das Geschäft konzentrieren und bleiben dabei vollständig compliant.“ Vivien S., Operations Manager, Kleinunternehmen (bis 50 Mitarbeitende), G2, aus dem Englischen übersetzt

Worauf sollten Sie bei EU-Hosting und Auftragsverarbeitung achten?

Der Anbieter Ihrer Datenschutz-Software ist selbst Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Er verarbeitet die Angaben zu Ihren Systemen, Ihren Dienstleistern und, bei der Bearbeitung von Anfragen, personenbezogene Daten Ihrer Kunden und Mitarbeitenden. Vier Fragen gehören deshalb in jede Auswahl:

• Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO vor und deckt er die eingesetzten KI-Funktionen mit ab?
• Welche Subunternehmer sind eingebunden, und in welchen Ländern verarbeiten sie?
• Wo liegen die Daten physisch, und wer kann administrativ darauf zugreifen?
• Werden Ihre Inhalte zum Training von Modellen genutzt?

Der letzte Punkt wird bei KI-gestützten Funktionen relevant. Gibt ein Anbieter Inhalte an ein Modell außerhalb der EU weiter, entsteht ein Drittlandtransfer nach Kapitel V DSGVO, den Sie in Ihrem eigenen Verzeichnis dokumentieren und mit einem Transfer Impact Assessment bewerten müssen. Ihre Datenschutz-Software wird dann selbst zu einem Prüfgegenstand.

Wann ist Kertos die richtige Wahl und wann nicht?

Kertos ist eine europäische Compliance-Plattform mit zertifizierten Experten im eigenen Haus.

• Modell: Plattform mit dem KI-Agenten KAIA plus zertifizierte Experten.
• Externer DSB: als Mandat, im selben System, in dem die Dokumentation entsteht.
• Frameworks: DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, EU AI Act, SOC 2, TISAX und C5 aus einer Nachweisbasis.
• Sitz und Hosting: München, entwickelt in Deutschland und auf europäischer Infrastruktur betrieben, teilweise mit EU-Mitteln finanziert.
• Zielgruppe: Tech-Unternehmen, Scale-ups und der Mittelstand.

Belastbar ist das an einer Audit-Erfolgsquote von 100 Prozent, rund 80 Prozent weniger manuellem Compliance-Aufwand und über 500.000 gelösten Betroffenenanfragen. Auf G2 steht Kertos bei 4,8 von 5 Sternen aus 65 Bewertungen, bei OMR Reviews ebenfalls bei 4,8 und dort als Leader im Bereich GRC Tools geführt. Die WirtschaftsWoche zeichnete Kertos von 2023 bis 2025 als Startup-Leader aus.

Nicht die richtige Wahl ist Kertos in drei Fällen:

• Konzerne mit vielen rechtlich selbständigen Gesellschaften, die eine mandantenfähige Governance mit Vererbung über alle Einheiten brauchen.
• Unternehmen mit vollständig besetztem eigenem Datenschutzteam, die ausschließlich ein Dokumentations-Tool suchen und keine Betreuung.
• Unternehmen, deren Bedarf sich auf ein Consent-Banner beschränkt.

„Wir brauchten ein Datenschutzsystem, das mit schnellem Wachstum mitwächst und die Anforderungen der ISO 27001 erfüllt, ohne interne Ressourcen aufzuzehren. Es sollte außerdem eine Mischung aus manuellen Prozessen, Tabellen und veralteten Tools ersetzen.“ Jennis B., Implementation Specialist, Kleinunternehmen (bis 50 Mitarbeitende), G2, aus dem Englischen übersetzt

Wie das für Ihre Systemlandschaft aussieht, lässt sich am schnellsten im Gespräch klären: Buchen Sie eine Demo oder sehen Sie sich an, wie Kertos die DSGVO automatisiert umsetzt.

Häufige Fragen

Brauchen kleine Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten?

In aller Regel ja. Die Ausnahme in Art. 30 Abs. 5 DSGVO gilt für Unternehmen mit weniger als 250 Mitarbeitenden, entfällt aber bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, wenn ein Risiko für die Rechte und Freiheiten betroffener Personen besteht oder wenn besondere Kategorien personenbezogener Daten nach Art. 9 verarbeitet werden. Ein Unternehmen mit Personalverwaltung und Kundendaten erfüllt mindestens eine dieser Bedingungen praktisch immer.

Kann eine DSGVO-Software den Datenschutzbeauftragten ersetzen?

Nein. § 38 Abs. 1 BDSG und Art. 37 DSGVO verlangen die Benennung einer Person, nicht den Einsatz eines Systems. Software kann die Dokumentation erzeugen, Fristen überwachen und Nachweise bereitstellen; die Bewertung im Einzelfall und der Kontakt zur Aufsichtsbehörde bleiben bei der benannten Person. Manche Anbieter kombinieren beides und stellen das Mandat zusammen mit der Software.

Was kostet eine Datenschutz-Software?

Die Lizenzpreise unterscheiden sich stark nach Unternehmensgröße, Funktionsumfang und Zahl der Gesellschaften; einige Anbieter veröffentlichen überhaupt keine Preise. Aussagekräftiger als der Einstiegspreis ist die Gesamtrechnung einschließlich der Betreuung. Die Bandbreiten für den externen Datenschutzbeauftragten sind in der Kostenübersicht zum externen Datenschutzbeauftragten aufgeschlüsselt.