GRC-Software für Datenschutz & Daten-Governance:
44 Anbieter mit KI-Einordnung.

Was unterscheidet Datenschutzsoftware von Werkzeugen für Daten-Governance?

Der Unterschied liegt im Gegenstand: Datenschutzsoftware dokumentiert die Verarbeitung personenbezogener Daten, Daten-Governance erfasst den Datenbestand selbst. Datenschutzsoftware, oft Datenschutzmanagementsystem (DSMS) oder Privacy-Management genannt, führt das Verzeichnis von Verarbeitungstätigkeiten (VVT), Datenschutz-Folgenabschätzungen (DSFA), Auftragsverarbeiter, Betroffenenanfragen und Datenschutzvorfälle. Daten-Governance hält dagegen fest, welche Daten wo liegen und wohin sie fließen. Sieben Anbieter setzen KI genau dort ein, um personenbezogene und sensible Daten in strukturierten Datenbeständen und in Dateien zu erkennen und zu klassifizieren. Einige verbinden das mit der Bearbeitung von Auskunfts- und Löschanfragen.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 2 Einträge
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Verzeichnis von Verarbeitungstätigkeiten (16) · Bewertung von Datenschutzrisiken (15) · Datenschutz-Folgenabschätzungen (10) · Entwürfe von Datenschutzdokumenten (9) · Betroffenenanfragen (4)
• Belegter Sitz in Europa: 23 von 44 Anbietern, Sitz nicht separat geprüft: 12

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Greifen Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung und Löschkonzept auf dieselben Systeme und Verantwortlichen zu?
• Wer prüft einen KI-Entwurf einer Folgenabschätzung, bevor er gilt, und wo wird eine Ablehnung festgehalten?

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Vorab, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; für mehrere ähnliche Vorgänge mit ähnlich hohen Risiken genügt eine einzige Abschätzung (Art. 35 Abs. 1 DSGVO). Ausdrücklich verlangt ist sie etwa bei einer systematischen und umfassenden Bewertung persönlicher Aspekte, die auf automatisierter Verarbeitung einschließlich Profiling beruht und Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung zugrunde liegt (Abs. 3 Buchst. a). Die Aufsichtsbehörden veröffentlichen Listen DSFA-pflichtiger Vorgänge (Abs. 4); ein benannter Datenschutzbeauftragter ist um Rat zu fragen (Abs. 2).

Darf der Geldwäschebeauftragte zugleich Datenschutzbeauftragter sein?

Grundsätzlich nicht. Die MaRisk erlauben zwar, die Compliance-Funktion mit anderen geeigneten Funktionen zu verbinden, etwa mit dem Geldwäsche- oder dem Datenschutzbeauftragten. Die Erläuterung zu AT 4.4.2 Tz. 3 (Rundschreiben 06/2026) verweist aber auf Nr. 3.2 der Auslegungs- und Anwendungshinweise zum Geldwäschegesetz. Danach dürfen die Funktionen des Geldwäsche- und des Datenschutzbeauftragten grundsätzlich nicht kombiniert werden.

Was muss im Verzeichnis von Verarbeitungstätigkeiten stehen?

Den Mindestinhalt legt Art. 30 Abs. 1 DSGVO fest: Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, seines Vertreters und des Datenschutzbeauftragten, Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Kategorien von Empfängern, gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation sowie, wenn möglich, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1. Das Verzeichnis ist schriftlich zu führen, auch elektronisch, und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Abs. 3 und 4).

Welche Anbieter von GRC-Software für Datenschutz & Daten-Governance haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 44 Anbietern haben neun einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland AIGOY, audatis, caralegal Data Responsibility Platform, DataGuard, heyData, preeco und Proliance; in Österreich Schindler IT Solutions; in der Schweiz Priverion. Bei zwölf weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• Art. 30 DSGVO (Verordnung (EU) 2016/679): Mindestinhalt des Verzeichnisses von Verarbeitungstätigkeiten, Vorlage an die Aufsichtsbehörde auf Anfrage (Fundstelle: EUR-Lex)
• Art. 35 DSGVO: Datenschutz-Folgenabschätzung vor Verarbeitungen mit voraussichtlich hohem Risiko, mit Regelbeispielen und Mindestinhalt (Fundstelle: EUR-Lex)
• Art. 12 und 15 bis 22 DSGVO: Betroffenenrechte; Information über ergriffene Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags; Verlängerung um weitere zwei Monate nur, wenn Komplexität und Anzahl der Anträge es erfordern, mit Unterrichtung der betroffenen Person binnen eines Monats (Art. 12 Abs. 3) (Fundstelle: EUR-Lex)
• MaRisk AT 4.4.2 Tz. 3 mit Erläuterung, Rundschreiben 06/2026 (BA): Compliance-Funktion mit dem Datenschutzbeauftragten kombinierbar, Geldwäsche- und Datenschutzbeauftragter grundsätzlich getrennt (Fundstelle: BaFin)

Zum Weiterlesen auf t-nex.de: Aufbewahrungsfristen für Bankunterlagen, EU AI Act für Banken und MaRisk 2026.