Datenschutz-Software: DSGVO automatisiert und rechtssicher umsetzen (2026)

Das Wichtigste in Kürze

• Eine Datenschutz-Software deckt acht konkrete DSGVO-Pflichten ab, darunter das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, die Bearbeitung von Betroffenenanfragen nach Art. 12 bis 23 und die Meldung von Vorfällen binnen 72 Stunden nach Art. 33.
• Die Ausnahme von der VVT-Pflicht für Unternehmen unter 250 Mitarbeitenden nach Art. 30 Abs. 5 DSGVO greift in der Praxis fast nie, weil sie bei regelmäßiger Verarbeitung bereits entfällt.
• Software allein erfüllt die Rechenschaftspflicht nicht. Die Rolle des Datenschutzbeauftragten ist an eine Person gebunden, nicht an ein Werkzeug.
• Kertos verbindet die Plattform mit zertifizierten Experten und einem externen DSB-Mandat, hostet in der EU und deckt neben der DSGVO auch ISO 27001, ISO 27701, ISO 42001, NIS2, den EU AI Act, SOC 2, TISAX und C5 ab.

Die meisten Unternehmen suchen eine Datenschutz-Software nicht wegen der DSGVO, sondern wegen eines konkreten Auslösers. Ein Enterprise-Kunde verlangt im Sicherheitsfragebogen ein Verzeichnis von Verarbeitungstätigkeiten. Eine Löschanfrage liegt seit vier Wochen im Postfach. Das VVT in Excel stimmt seit dem letzten Tool-Wechsel nicht mehr. Ab diesem Punkt geht es nicht mehr um Wissen, sondern um ein System, das den Zustand hält.

Was leistet eine Datenschutzmanagement-Software?

Eine Datenschutzmanagement-Software übersetzt die Dokumentations- und Nachweispflichten der DSGVO in geführte Prozesse mit Fristen, Zuständigkeiten und Versionsstand. Die folgende Zuordnung zeigt, welche Pflicht welche Funktion braucht.

Kertos deckt diese Pflichten im automatisierten Datenschutzmanagementsystem ab. Die Dokumentation entsteht dabei im VVT-, DSFA- und TOM-Modul, Anfragen laufen über die automatisierte Bearbeitung von Betroffenenanfragen. Über 500.000 Betroffenenanfragen wurden auf diesem Weg bereits gelöst.

Woran scheitern Datenschutz-Tools in der Praxis?

Der Unterschied zwischen einem gepflegten und einem wertlosen Datenschutzmanagementsystem liegt selten am Funktionsumfang. Vier Muster wiederholen sich:

• Das Tool ist eine Ablage, kein System. Ein DSGVO-Tool, das nur Vorlagen bereitstellt, verlagert die Arbeit lediglich von Word in eine Weboberfläche. Ohne Fristen, Verantwortliche und Erinnerungen veraltet die Dokumentation innerhalb weniger Monate.
• Die Dokumentation kennt die tatsächliche IT nicht. Ein VVT ist nur so aktuell wie das Wissen darüber, welche Systeme personenbezogene Daten verarbeiten. Wenn ein Team ein neues Analyse-Tool einführt und niemand es einträgt, entsteht eine Lücke, die im Audit auffällt. Deshalb ist die automatisierte Erkennung angebundener Systeme wichtiger als jede weitere Vorlage. Kertos nutzt dafür über 100 Integrationen.
• Die Ausnahme wird falsch gelesen. Viele kleinere Unternehmen berufen sich auf Art. 30 Abs. 5 DSGVO und verzichten auf ein VVT. Die Ausnahme entfällt jedoch bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte betroffener Personen besteht oder besondere Datenkategorien betroffen sind. Auf ein Unternehmen mit Personalverwaltung und Kundendaten trifft das praktisch immer zu.
• Niemand trägt die operative Verantwortung. Datenschutzarbeit verteilt sich in der Regel auf Recht, IT und Operations. Wenn die Software nicht jede Pflicht einer namentlich benannten Person zuordnet, rutschen zuerst die Fristen.

Der Rahmen für Verstöße ist in Art. 83 DSGVO festgelegt und reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. In der Praxis ist der häufigere Schaden ein anderer: ein verlorener Enterprise-Deal, weil der Sicherheitsfragebogen nicht belastbar beantwortet werden konnte.

Was kann eine DSGVO-Software nicht übernehmen?

Die Rolle des Datenschutzbeauftragten ist an eine Person mit Fachkunde gebunden und lässt sich nicht an Software delegieren. Bewertungen, die Abwägung im Einzelfall und die Kommunikation mit der Aufsichtsbehörde bleiben eine fachliche Verantwortung. Software kann diese Arbeit vorbereiten, belegen und nachvollziehbar machen; entscheiden muss ein Mensch. Kertos löst das über ein externes DSB-Mandat, das im gleichen System arbeitet, in dem die Dokumentation entsteht. Damit fällt der Übergabeaufwand zwischen Tool und Berater weg.

Wie unterscheidet sich Kertos von anderen Anbietern von Datenschutz-Software?

Der deutschsprachige Markt für Datenschutz-Software ist in sich unterschiedlich ausgerichtet. Die folgende Übersicht ordnet die verbreiteten Anbieter nach ihrem eigenen öffentlichen Auftritt ein.

Stand: August 2026, nach öffentlichen Herstellerangaben. Die Einordnung beschreibt den jeweils ausgewiesenen Schwerpunkt und ersetzt keine Prüfung des konkreten Funktionsumfangs.

Für Konzernstrukturen mit vielen Gesellschaften sind mandantenfähige Systeme oft die passendere Wahl. Kertos ist auf ein anderes Profil ausgelegt: wachsende Tech-Unternehmen, die den Datenschutz mit kleinem Team betreiben und kurzfristig gegenüber Kunden und Auditoren nachweisen müssen. Dafür stehen eine Audit-Erfolgsquote von 100 Prozent, rund 80 Prozent weniger manueller Aufwand, eine Kundenzufriedenheit von 98 Prozent und Kosteneinsparungen von bis zu 60 Prozent gegenüber klassischer Beratung.

Wie wächst ein Datenschutzmanagementsystem zu ISO 27001, NIS2 und EU AI Act mit?

Die DSGVO ist für die meisten Unternehmen die erste Anforderung, aber selten die letzte. Der entscheidende Punkt bei der Auswahl ist deshalb, ob die einmal erfasste Grundlage weiterverwendbar bleibt. Systeme, Datenflüsse, Dienstleister, Risiken und technische Maßnahmen werden in der DSGVO-Dokumentation ohnehin erhoben und bilden gleichzeitig die Basis für ISO 27001, ISO 27701, NIS2 und den EU AI Act. Liegen sie in getrennten Werkzeugen, wird jede weitere Zertifizierung ein neues Projekt.

Konkret wird aus der DSGVO-Dokumentation folgendes weiterverwendet:

• Das Verzeichnis von Verarbeitungstätigkeiten und die Systemübersicht bilden das Asset- und Informationsverzeichnis für ISO 27001.
• Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO überschneiden sich in großen Teilen mit den Controls aus Anhang A der ISO 27001 und mit den Risikomanagementmaßnahmen unter NIS2.
• Das Dienstleisterverzeichnis mit AVV-Bestand ist die Grundlage für die Lieferkettenanforderungen unter NIS2.
• Die DSFA-Methodik nach Art. 35 DSGVO ist die Vorlage für die Risikobewertung von KI-Systemen unter dem EU AI Act.
• ISO 27701 erweitert ein bestehendes ISMS nach ISO 27001 zu einem zertifizierbaren Privacy Information Management System und greift dabei auf dieselben Verarbeitungs- und Maßnahmennachweise zurück.

Bei Kertos bleibt der Datenbestand derselbe und wird auf zusätzliche Frameworks abgebildet. AskUI hat auf dieser Grundlage die ISO 27001 in 8 bis 10 Wochen erreicht, ohne externe Berater.

Wie führen Sie ein Datenschutzmanagementsystem ein, und wie lange dauert das?

Die Einführung verläuft in drei Phasen. Die Zeitangaben sind typische Spannen für Unternehmen zwischen 20 und 200 Mitarbeitenden und hängen von der Systemlandschaft und der Qualität vorhandener Unterlagen ab.

Ein Punkt, der bei der Auswahl häufig übersehen wird: bestehende Unterlagen sollten importierbar sein. Wer ein VVT in Excel gepflegt hat, verliert sonst Wochen mit Abtippen.

Worauf sollten Sie bei EU-Hosting und Auftragsverarbeitung achten?

Der Anbieter Ihrer Datenschutz-Software ist selbst Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Er verarbeitet die Angaben zu Ihren Systemen, Ihren Dienstleistern und, bei der Bearbeitung von Anfragen, personenbezogene Daten Ihrer Kunden und Mitarbeitenden. Vier Fragen gehören deshalb in jede Auswahl:

• Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO vor, und deckt er die eingesetzten KI-Funktionen mit ab?
• Welche Subunternehmer sind eingebunden, und in welchen Ländern verarbeiten sie?
• Wo liegen die Daten physisch, und wer kann administrativ darauf zugreifen?
• Werden Ihre Inhalte zum Training von Modellen genutzt?

Der letzte Punkt wird bei KI-gestützten Funktionen relevant. Wenn ein Anbieter Inhalte an ein Modell außerhalb der EU weitergibt, entsteht ein Drittlandtransfer nach Kapitel V DSGVO, den Sie in Ihrem eigenen Verzeichnis dokumentieren und mit einem Transfer Impact Assessment bewerten müssen. Ihre Datenschutz-Software wird dann selbst zu einem Prüfgegenstand.

Kertos ist in Deutschland entwickelt, wird auf europäischer Infrastruktur betrieben und teilweise mit EU-Mitteln finanziert. Für Unternehmen, die den Drittlandtransfer ihres eigenen Compliance-Systems nicht zusätzlich bewerten wollen, ist das der praktische Unterschied zwischen Datenspeicherung in der EU und einer Lieferkette ohne Drittlandbezug.

Kertos ist auf G2 und OMR Reviews mit 4,8 Sternen bewertet, bei OMR als Leader im Bereich GRC Tools geführt und wurde von der WirtschaftsWoche von 2023 bis 2025 als Startup-Leader ausgezeichnet. Wie das für Ihre Systemlandschaft aussieht, lässt sich am schnellsten im Gespräch klären: Buchen Sie eine Demo oder sehen Sie sich an, wie Kertos die DSGVO automatisiert umsetzt.