DSGVO und KI-Verordnung in einer Software: 8 Anbieter im Vergleich 2026

Nicht zwingend, aber meistens ja. Zwei spezialisierte Tools können fachlich tiefer sein, kosten aber doppelte Lizenz und doppeltes Onboarding und produzieren widersprüchliche Audit-Trails. Eine Dual-Mandate-Plattform liefert in 80 % der Fälle ausreichende Tiefe in beiden Bereichen zu 60 % der Gesamtkosten. Spezialisierte Tools lohnen sich erst, wenn du ein KI-System als Produkt am Markt verkaufst (dann spitze KI-Governance-Plattform) oder mehr als drei Datenschutzregimes parallel bedienst.

8.000 bis 15.000 Euro pro Jahr für die Software plus 4.000 bis 10.000 Euro einmaliges Onboarding. DataGuard Standard liegt bei rund 590 Euro pro Monat plus 8.000 Euro Setup. caralegal startet bei 690 Euro plus 6.000 Euro Setup. Wer dir für 100 MA eine Lösung unter 4.000 Euro pro Jahr verkaufen will, hat das KI-VO-Modul wahrscheinlich nicht in 2026-Tiefe – wer dir 30.000 Euro pro Jahr berechnet, verkauft Enterprise-Funktionen, die du nicht ausschöpfen wirst.

Nein. Die KI-VO verlangt KI-Systeme als eigene Entitäten mit Risikoklassifizierung nach Anhang III, Trainingsdaten-Provenienz, Bias-Audits und Modell-Lifecycle. Ein DSGVO-Datensatz mit "KI-Tag" hat keine dieser Strukturen. Plattformen, die das 2026 nicht nativ können, dokumentieren dich an der Verordnung vorbei – und im Audit fällt das auf. Frag im Sales-Call konkret nach Anhang-III-Klassifizierung als Pick-List, nicht als Freitextfeld.

Bei 200 MA ohne globalen Footprint klar DataGuard. Listenpreis 7.000–12.000 Euro pro Jahr, deutsche Datenschutzbeauftragte im Service, deutsche Behördenkommunikation, AVV unter deutschem Recht. OneTrust kostet das 3- bis 5-fache und liefert globale Funktionsbreite, die du bei reinem DACH-Geschäft niemals nutzt. Wechsel zu OneTrust lohnt erst bei mehr als drei Datenschutzregimes parallel oder Konzern-Reporting auf Englisch.

1 bis 2 Wochen für leichte Tools (Usercentrics, Keyed Standard), 4 bis 6 Wochen für mittlere Suites (DataGuard, Proliance, caralegal), 3 bis 6 Monate für Enterprise-Plattformen (OneTrust, TrustArc Enterprise). Die Live-Schaltung ist nur Phase 1: Verarbeitungsverzeichnis vollständig zu pflegen dauert 6 bis 12 Wochen, KI-System-Klassifizierung weitere 4 bis 8 Wochen. Wer dir "in 2 Wochen vollständig compliant" verkauft, lügt oder verkürzt den Compliance-Begriff.

Bei guten Tools: vollständiger CSV/JSON-Export, Migration in 4 bis 8 Wochen, kein Datenverlust. Bei schlechten Tools: nur PDF-Export oder Snapshot-Format, das kein Konkurrent importiert – Migration dauert 18 Monate, kostet 30.000–80.000 Euro, das alte Tool läuft parallel weiter. Deshalb: Datenexport-Test vor Vertragsschluss ist kein nice-to-have. Wer dir keinen Trial-Export geben will, hat dich strategisch lockt.

Ja, wenn die Software KI-Nutzung von Mitarbeitenden loggt – und das tun praktisch alle KI-VO-Plattformen. §87 Abs. 1 Nr. 6 BetrVG (Mitbestimmung bei Verhaltens- und Leistungskontrolle) plus §90 BetrVG (frühzeitige Beteiligung) ziehen sofort. Späte Einbindung kostet 4 bis 6 Monate Rollout-Verzögerung. Das Klöckner-Playbook aus dem Betriebsrat-KI-Leitfaden – Beschäftigungsgarantie aussprechen, Produktivitätsgewinn teilen, Mitbestimmung früh einbinden – funktioniert beim Software-Kauf 1:1.

DataGuard, caralegal, OneTrust, TrustArc und Proliance liefern echtes Reporting für beide Mandate – sie modellieren KI-Systeme als eigene Entitäten mit Risikoklasse, Trainingsdaten-Herkunft und Modell-Lebenszyklus, nicht nur als DSGVO-Datenkategorie. Keyed und Matproof decken die Grundlagen mit einem wachsenden KI-VO-Modul ab. Usercentrics ist auf Einwilligungen fokussiert und ergänzt am besten eine der fünf Plattformen für die volle KI-VO-Abdeckung.

Fünf Kriterien entscheiden in der Praxis: EU-Hosting mit nachweislich in der EU liegenden Backups; ein natives Entitätenmodell für die KI-VO nach Art. 9–15 (kein nachträglich aufgesetztes KI-Etikett); ein AVV direkt mit dem Hersteller, der den US-Cloud-Act ausdrücklich ausschließt; vollständiger Datenexport in CSV/JSON, damit ein Wechsel keine 18 Monate kostet; und ein Betriebsrats-Playbook, denn §87 Abs. 1 Nr. 6 BetrVG zieht. Gewichte diese fünf und lass das 60-Kriterien-Lastenheft weg.

Ja. Proliance startet bei 199 €/Monat mit starkem KI-Compliance-Fokus, Keyed bei 290 €/Monat mit 2–4 Wochen Einführung. Usercentrics ist mit 49 €/Monat noch günstiger, deckt aber nur Einwilligungen ab, nicht die volle KI-VO. Unter 300 € tauschst du etwas Modul-Tiefe gegen Tempo und Preis – passend für ein Unternehmen mit 10 bis 50 Mitarbeitenden, aber prüfe es neu, wenn deine KI-Anwendungsfälle wachsen.

Bei hoher regulatorischer Exponiertheit behandeln TrustArc (KI-Risiko-First) und caralegal (von Juristen geführt) die Hochrisiko-Klassifizierung nach Anhang III und die Prüfprotokolle am gründlichsten. DataGuard ist die ausgewogene DACH-Wahl, wenn du zusätzlich deutsche juristische Begleitung willst. Unverzichtbar im regulierten Umfeld sind ein natives Modell für Art. 9–15, ein unveränderliches Prüfprotokoll und ein AVV, der den US-Cloud-Act ausschließt.

Für die meisten Unternehmen unter etwa 500 Beschäftigten im DACH-Raum: caralegal — deutschsprachig, DSGVO-Abläufe ab Werk, Einführung in Wochen, mittelstandstaugliche Preise. OneTrust gewinnt, wenn du ein globales Programm über viele Gesellschaften mit eigenem Datenschutzteam steuerst — die Breite kommt mit Konzernpreisen und einer Einführung über Monate, für die im Mittelstand selten Kapazität da ist.

caralegal ist DACH-nativ und um DSGVO-Verzeichnisse, DPIAs und deutschsprachige Abläufe gebaut; TrustArc kommt aus den USA und ist assessment-getrieben — am stärksten, wenn du US- und EU-Programme samt Zertifizierungen kombiniert brauchst. Liegen deine Pflichten vor allem bei DSGVO plus KI-Verordnung, ist caralegal der kürzere Weg; kommen CCPA oder US-Rahmenwerke dazu, deckt TrustArc beides in einem Werkzeug ab.

Kommt auf die Größe an: caralegal für DACH-Unternehmen unter etwa 500 Beschäftigten (deutschsprachig, schnelle Einführung), DataGuard, wenn du Software plus feste Beratung willst, OneTrust ab etwa 1.000 Beschäftigten mit globalem Programm. Alle drei stehen oben in der 8-Tool-Tabelle im Detail — prüfe zuerst die Reife des KI-Verordnung-Moduls, denn dort trennen sich die Anbieter 2026 am stärksten.

2026 sieht die realistische Auswahl so aus: caralegal und DataGuard für den DACH-Mittelstand, OneTrust für globale Konzerne, TrustArc für kombinierte US- und EU-Programme. Prüfe vor der Unterschrift drei Dinge: ein echtes KI-Systemverzeichnis (kein umetikettiertes DSGVO-Verzeichnis), Unterstützung der Anhang-III-Risikoklassifizierung und Berichte, die beide Regelwerke abdecken. Kombiniere das Dokumentationswerkzeug mit einer KI-Plattform, die Berechtigungen und Audit-Protokolle im Betrieb durchsetzt.

Fünf Anbieter führen DSGVO und KI-Verordnung heute in einer zentralen Plattform zusammen: DataGuard, caralegal, OneTrust, TrustArc und Vanta. DataGuard und caralegal sind die DACH-Anbieter mit deutschsprachigen DPIAs und KI-Risikoregistern; OneTrust und TrustArc decken beide Regelwerke in Konzern-Tiefe und zu Konzern-Preisen ab. Für die Nutzungsseite der Compliance — wer im Unternehmen welches Modell mit welchen Berechtigungen und welchem Prüfprotokoll verwendet — ergänzt eine Multi-LLM-Plattform wie Teamo AI die Register-Werkzeuge, weil Zugriffsrechte und Audit-Protokolle dort greifen, wo die KI tatsächlich genutzt wird.

Ja. caralegal, DataGuard, OneTrust und TrustArc liefern 2026 kombinierte Module für DSGVO und KI-Verordnung — Verarbeitungsverzeichnis, DPIA und KI-Systemregister liegen damit in einem Werkzeug. Die praktischen Unterschiede: Sprachtiefe (caralegal und DataGuard sind deutschsprachig aufgebaut), Preis (DACH-Anbieter starten deutlich unter den globalen Plattformen) und die Reife des KI-VO-Moduls — mehrere Anbieter haben es erst 2025 ergänzt. Lass dir deshalb den Arbeitsablauf zur KI-Risikoklassifizierung live zeigen, nicht als Folie.

OneTrust, DataGuard, caralegal und Vanta zeigen DSGVO- und KI-VO-Status in einem gemeinsamen Dashboard — offene DPIAs, KI-Systemklassifizierungen, Dienstleisterrisiken und Prüfbereitschaft auf einen Blick. Wenn die eigentliche Frage lautet, ob du einem Prüfer belegen kannst, welche KI-Systeme laufen und wer sie nutzt, kombiniere das Compliance-Dashboard mit Protokollierung auf der KI-Plattform-Ebene: Teamo AI führt drei unabhängige Audit-Protokolle mit 6 Monaten Aufbewahrung — genau der Nachweis, den ein Prüfer verlangt.

Für 80 bis 300 Beschäftigte in DACH: DataGuard oder caralegal. Beide führen KI-Systeme als eigenständige Datensätze, verknüpft mit der Verarbeitungstätigkeit nach DSGVO, liefern einen AVV nach deutschem Recht und bündeln juristische Begleitung, ab 590 bzw. 690 € pro Monat. Unter 80 Beschäftigten decken Proliance oder heyData beide Regelwerke ab 89 bis 199 € ab. Ab 500 Beschäftigten oder über viele Gesellschaften hinweg: TrustArc (KI-Risiko zuerst) oder OneTrust (breitester Modulkatalog) ab 1.800 bzw. 2.500 €. Doppelte Compliance heißt jetzt: Vorbereitung auf den 2. Dezember 2027 für Anhang-III-Systeme, während die Kennzeichnung nach Art. 50 heute schon läuft.

Ja. Der Digital Omnibus zur KI ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Frist für eigenständige Anhang-III-Systeme auf den 2. Dezember 2027 und für KI in regulierten Produkten (Anhang I) auf den 2. August 2028 verschoben. Ab 2. August 2026 gelten weiterhin: die Transparenz- und Kennzeichnungspflichten nach Art. 50 (Chatbot-Hinweis, künstlich erzeugte Inhalte), mit Schonfrist für Wasserzeichen bis 2. Dezember 2026 bei Bestandssystemen. Die Verbote nach Art. 5, die KI-Kompetenzpflicht nach Art. 4 (jetzt Förderpflicht) und die Regeln für Anbieter von Modellen mit allgemeinem Verwendungszweck wurden nie verschoben. Die DSGVO wurde nicht angerührt.

caralegal, DataGuard, TrustArc und OneTrust spielen Rechtsänderungen mit datiertem Änderungsprotokoll in bestehende Datensätze ein; Proliance und heyData tun das für ihr KI-Inventar. Der Test ist nicht die Funktionsliste, sondern der Omnibus: Frag jeden Anbieter, an welchem Datum der 2. Dezember 2027 in deinen Einstufungen aufgetaucht ist und ob das alte Datum in der Prüfhistorie sichtbar bleibt. Eine Änderung, die du nicht nachvollziehen kannst, ist kein Update, sondern ein stilles Umschreiben deiner Nachweise.

Willst du dieselbe von Juristen geführte DACH-Tiefe mit gebündelter Rechtsbegleitung: DataGuard. Ist caralegal zu viel Plattform für deine Größe: Proliance (ab 199 €) oder heyData (ab 89 €) decken KI-Inventar und DSGVO-Kern ab. Brauchst du ISO 27001 oder SOC 2 im selben Werkzeug: Kertos. Steht die KI-Risikomodellierung im Vordergrund und reicht Englisch: TrustArc. Und wenn du eigentlich steuern willst, was Beschäftigte am Ort der Nutzung an KI schicken, statt es hinterher zu dokumentieren, ist das eine andere Produktkategorie: ein EU-gehosteter Arbeitsbereich mit mehreren LLM, Rollenrechten und Prüfprotokollen.

Ab 500 Beschäftigten oder mehreren Gesellschaften rechne mit 30.000 bis über 100.000 € Lizenz pro Jahr plus 15.000 bis 60.000 € einmaliger Einführung. OneTrust und TrustArc bepreisen je Modul und je Gesellschaft; ein Konzern mit acht Töchtern zahlt vor Rabatt grob das Achtfache des Einstiegspreises. caralegal Enterprise und DataGuard Premium bleiben in reinen DACH-Gruppen darunter. Dazu kommt der externe Datenschutzbeauftragte (300 bis 800 € pro Monat), falls nicht gebündelt, und 10 bis 15 % der Lizenz als Reserve für jährliche Rechtsänderungen. Der Omnibus hat gerade gezeigt, warum.

Die DSGVO-Aufsicht bleibt bei den Datenschutzbehörden (BfDI und Landesbehörden in Deutschland, DSB in Österreich). Für die KI-Verordnung sieht Deutschland im Entwurf des Durchführungsgesetzes die Bundesnetzagentur als Marktüberwachungsbehörde vor; Österreich hat die KI-Servicestelle der RTR als Anlaufstelle, deren FAQ aber festhält, dass die nationale Benennung der zuständigen Behörden noch aussteht. Deine Software muss die Behörde nicht kennen. Sie muss den Export liefern, den die Behörde verlangt: ein datiertes Verzeichnis, eine Einstufung mit Begründung sowie DSFA und Grundrechte-Folgenabschätzung je System.