Dieser Vergleich zeigt, worauf es im deutschen Markt wirklich ankommt, was die Anbieter leisten — und was sie kosten.
Warum Deutschland besondere Anforderungen stellt
Achtzehn Aufsichtsbehörden statt einer. Neben dem BfDI auf Bundesebene beaufsichtigt in jedem Bundesland eine eigene Behörde die Privatwirtschaft — in Bayern sogar zwei (BayLDA für die Privatwirtschaft, BayLfD für den öffentlichen Bereich). Zuständig ist die Behörde am Sitz der Niederlassung, etwa das BayLDA in Bayern oder der LfDI Baden-Württemberg. Mehrere Behörden führen koordinierte Prüfaktionen mit Fragebögen durch — wer dann kein aktuelles Verzeichnis vorlegen kann, hat sofort ein Problem.
Die Bußgeldpraxis ist ernst. Zu den größten deutschen Fällen zählen H&M (35,3 Mio. €, Hamburg 2020, Mitarbeiterüberwachung) und die BfDI-Entscheidung gegen Vodafone (45 Mio. €, 2025). Dazu kommt die zivilgerichtliche Dimension: Deutsche Gerichte sprechen Schadensersatz nach Art. 82 DSGVO vergleichsweise häufig zu. Eine Übersicht bietet unser Beitrag zu DSGVO-Bußgeldern.
BDSG und Formalismus. § 38 BDSG verlangt einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig personenbezogene Daten verarbeiten — deutlich strenger als die DSGVO selbst (Details: BDSG vs. DSGVO). Betriebsräte haben bei Mitarbeiterdaten Mitbestimmungsrechte, und Behörden erwarten Verzeichnis, DSFA und AV-Verträge prüfbereit auf Deutsch.
Die DSK setzt den fachlichen Maßstab. Die Datenschutzkonferenz (DSK) — das Gremium aller deutschen Aufsichtsbehörden — veröffentlicht Kurzpapiere, Orientierungshilfen und die deutsche Muss-Liste für Datenschutz-Folgenabschätzungen. In Prüfungen legen Behörden diese Papiere an, nicht nur den Verordnungstext. „Deutschland-tauglich" heißt bei Software deshalb konkret: DSK-konforme DSFA-Liste, deutsche Mustertexte und Workflows, die den 20-Personen-Schwellenwert des § 38 BDSG kennen. Der schnellste Anbietertest in jeder Demo: Zeigen Sie mir Ihre DSK-basierte DSFA-Liste im Produkt — übersetzte Software fällt hier sofort auf.
Die Vergleichskriterien
| Kriterium | Warum entscheidend | Mindestanforderung |
|---|---|---|
| Verarbeitungsverzeichnis (Art. 30) | Erstes Dokument jeder Behördenprüfung | Strukturiertes VVT, deutscher Export |
| DSFA-Modul (Art. 35) | DSK-Blacklist definiert DSFA-Pflichten | Geführter Workflow, deutsche Vorlagen |
| AV-Vertragsverwaltung (Art. 28) | Behörden prüfen AVV systematisch | Vertragsinventar mit Klausel-Tracking |
| Betroffenenrechte | Monatsfrist ab Eingang | Fristenzähler, Workflows, Auskunftsrecht |
| Meldung von Datenpannen | 72-Stunden-Frist an die Behörde | Geführter Melde-Workflow |
| Deutsche Sprache | Behörden, Betriebsrat, Gerichte lesen Deutsch | Deutsche Oberfläche und Dokumente |
| EU-Hosting | Keine Drittlandtransfer-Analyse in eigener Sache | EU-Rechenzentren, besser EU-Anbieter |
| DSB-Arbeitsplatz | § 38 BDSG macht den DSB zum Hauptnutzer | Aufgaben, Berichte, Audit-Funktionen |
| Preistransparenz | KMU-Budgets | Veröffentlichte Preise oder schnelle Angebote |
Weniger wichtig als das Marketing suggeriert: Zertifikats-Badges ohne rechtliche Aussagekraft und riesige Modulkataloge (Ethik-Hotlines, ESG), die bezahlt und nie geöffnet werden.
Marktübersicht 2026 — ehrlich bewertet
DataGuard — Münchner Anbieter, bekanntester deutscher „Privacy-as-a-Service"-Player: Plattform plus benannte Berater und externer DSB. Umfassend und deutsch-nativ; Preise auf Anfrage, mit Beratung deutlich über reinen Software-Tools.
heyData — Berliner Anbieter für kleine Unternehmen, Bündel aus externem DSB und Plattform ab etwa 89 €/Monat. Guter Einstieg für Kleinstunternehmen; die Software selbst ist schlanker als dedizierte Compliance-Plattformen.
Proliance / datenschutzexperte.de — deutscher externer-DSB-Dienstleister mit unterstützender Software; beratungsgetrieben statt softwaregetrieben.
Dastra — französischer EU-Pure-Player ab ca. 79 €/Monat, solides Verzeichnis- und Betroffenenrechte-Modul. Vorlagen sind französisch geprägt — BDSG-Spezifika selbst prüfen.
OneTrust — die US-Enterprise-Referenz mit dem breitesten Modulkatalog. Mächtig, aber schwer: Implementierung in Monaten, zertifizierte Berater, üblich 30.000-100.000+ €/Jahr. Unterhalb von ~1.000 Mitarbeitern überdimensioniert.
TrustArc — US-Enterprise-Alternative; starke Assessments, schwache deutsche Lokalisierung, US-Hosting.
Usercentrics — Münchner Consent-Management-Plattform von Weltrang. Unverzichtbar für die Website-Ebene (TTDSG/TDDDG-Cookie-Pflichten), aber eine CMP ist keine Compliance-Plattform.
Vanta / Sprinto — Automatisierung von SOC 2 und ISO 27001 mit DSGVO-Checklisten. Nützlich für die Security-Posture von SaaS-Unternehmen; ein behördenfestes Verzeichnis oder eine DSFA erzeugen sie nicht.
Was DSGVO-Software in Deutschland kostet
| Segment | Jahresbudget Software | Typisches Setup |
|---|---|---|
| Kleinstunternehmen (<20 MA) | 500 - 2.000 € | Einstiegstool oder heyData-Bündel |
| KMU 20-250 (DSB-Pflicht) | 2.000 - 12.000 € | EU-Plattform + interner/externer DSB |
| Mittelstand 250-1.000 | 10.000 - 40.000 € | Plattform + CMP + Automatisierung |
| Enterprise 1.000+ | 40.000 - 150.000+ € | OneTrust/TrustArc + Integrationen |
Versteckte Kosten vor Vertragsschluss klären: Onboarding-Gebühren (2.000-15.000 € bei Enterprise-Suiten), Modulpreise, Sitzlizenzen für reine Lese-Nutzer, jährliche Preisindexierung und — die deutsche Besonderheit — gebündelte externer-DSB-Honorare (allein 300-1.500 €/Monat), die beim Vergleich gedanklich von der Software zu trennen sind. Ebenfalls prüfen: Kosten pro juristischer Einheit (bei Konzernstrukturen schnell verdreifachend), SSO-Aufpreise und ob die Datenmigration aus dem bestehenden Excel-Verzeichnis im Preis enthalten ist oder als Dienstleistung berechnet wird.
Die Vergleichsgröße ist Handarbeit: Verzeichnis, AV-Verträge und DSFA manuell zu pflegen kostet ein typisches KMU 300-800 Stunden pro Jahr. Bei 50 € Vollkosten pro Stunde amortisiert sich selbst eine 8.000-€-Plattform mehrfach — vor jedem Bußgeldrisiko. Dazu kommt der weiche Faktor: Ein externer DSB, der seine abgerechneten Stunden mit Excel-Pflege verbringt, ist die teuerste Form der Dokumentenverwaltung. Gute Software verschiebt das Honorar vom Abtippen zur tatsächlichen Beratung — messbar an der Zahl der Beratungsstunden, die nach der Einführung für inhaltliche Fragen frei werden.
Empfehlungen nach Situation
Die Auswahl in fünf Schritten
- Bestandsaufnahme vor der Demo. Zählen Sie Ihre Verarbeitungstätigkeiten, Gesellschaften, Auftragsverarbeiter und voraussichtlichen DSFA-Fälle. Diese Volumetrie bestimmt Preisstufe und Verhandlungsposition — nicht die Mitarbeiterzahl allein.
- Das Ergebnisdokument testen, nicht das Dashboard. Lassen Sie sich in der Demo ein exportiertes Verzeichnis und eine generierte DSFA zeigen. Das Dokument muss vor einer deutschen Behörde bestehen; hübsche Diagramme prüft niemand.
- Gesamtkosten über drei Jahre anfordern. Abonnement plus Onboarding plus Module plus Indexierung — nur diese Zahl ist zwischen Anbietern vergleichbar. Bündelangebote in Software- und Beratungsanteil zerlegen.
- Migration und Exit klären. Was importiert das Tool automatisch aus Ihrem Excel-Verzeichnis? Und was exportiert es vollständig, wenn Sie kündigen? Ein Werkzeug ohne sauberen Export bezahlen Sie doppelt.
- Kurze Einführung verlangen. Im KMU- und Mittelstandssegment ist eine Plattform, die mehr als wenige Wochen bis zum ersten vollständigen Verzeichnis braucht, falsch konstruiert. Vereinbaren Sie einen Meilenstein: lauffähiges Verzeichnis innerhalb von 30 Tagen, sonst Ausstiegsrecht.
FAQ
Was kostet DSGVO-Compliance-Software?
Für KMU mit 20-250 Mitarbeitern etwa 2.000 bis 12.000 € pro Jahr, im Mittelstand 10.000 bis 40.000 €, im Enterprise-Segment ab 40.000 € aufwärts. Einstiegsbündel mit externem DSB beginnen bei rund 89 €/Monat, reine Einstiegs-Software bei etwa 79 €/Monat. Bei deutschen Bündelangeboten immer Software- und Beratungskosten getrennt vergleichen.
Ersetzt die Software den Datenschutzbeauftragten?
Nein. Nach § 38 BDSG bleibt der DSB ab 20 ständig mit Datenverarbeitung befassten Personen Pflicht, und die DSGVO verlangt seine unabhängige Überwachung. Die Software macht den DSB produktiv: Sie automatisiert Verzeichnis, DSFA-Tracking und Berichte, statt dass er Excel-Tabellen pflegt.
Reicht eine Excel-Lösung für das Verarbeitungsverzeichnis?
Für ein Kleinstunternehmen mit einer Handvoll Verarbeitungen: ja, vorübergehend. Ab etwa 20-30 Verarbeitungen, mehreren Standorten oder der ersten Behördenanfrage kippt die Rechnung — Excel erinnert niemanden an Überprüfungen, versioniert nicht revisionssicher und erzeugt keine Dokumente. Die 300-800 Stunden Jahresaufwand sind teurer als jede KMU-Plattform.
Muss die Software in Deutschland gehostet sein?
Gesetzlich nicht — EU-Hosting ist die praktische Untergrenze, weil es die Drittlandtransfer-Analyse im eigenen Compliance-Dossier erspart. Viele Betriebsräte und Konzernkunden verlangen vertraglich allerdings deutsche oder EU-Rechenzentren; das sollte vor der Wahl einer US-gehosteten Suite geprüft werden. Wer öffentliche Auftraggeber oder KRITIS-Kunden bedient, plant deutsche Rechenzentren am besten gleich als Anforderung ein — nachträgliche Migrationen sind teurer als die richtige Wahl am Anfang.
Fazit
Siehe auch: Spezialisierte Teilbereiche vertiefen wir in der Datenschutz-Management-Software (DSMS), in der Compliance-Software für die KI-Verordnung sowie in unserer Analyse der Kosten eines DSGVO-Audits.