Kurz gesagt
Eine DSGVO-Software (auch Datenschutzmanagement-Software) ist eine Anwendung, die Unternehmen und Behörden dabei unterstützt, ihre Pflichten aus der Datenschutz-Grundverordnung zu dokumentieren, zu bearbeiten und nachzuweisen. Die rechtliche Bewertung im Einzelfall und die Verantwortung dafür bleiben beim Verantwortlichen. Für die Auswahl zählen vor allem fünf Punkte:
- Abdeckung der Pflichten: Verarbeitungsverzeichnis (Art. 30), Folgenabschätzung (Art. 35), Datenpannen (Art. 33/34), Betroffenenrechte (Art. 12, 15–22), Auftragsverarbeitung (Art. 28).
- Verknüpfung: Die Dokumente beziehen sich aufeinander, statt unverbunden nebeneinander zu stehen.
- Nachweisfähigkeit: Freigegebene Stände bleiben unverändert erhalten, Änderungen werden protokolliert. Das unterstützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
- Organisationsstruktur: Mehrere Gesellschaften, Standorte oder Mandanten lassen sich getrennt führen, Zugriffe fein steuern.
- Betrieb und Vertrag: Datenstandort, Hosting-Varianten, Support-Zeiten, Preismodell und ein vollständiger Datenexport beim Wechsel.
Eine allgemeingültig „beste“ DSGVO-Software gibt es nicht. Welche passt, hängt von Größe, Struktur und Arbeitsweise Ihrer Organisation ab – und davon, ob ein interner oder externer Datenschutzbeauftragter mit der Software arbeitet.
Stand: Oktober 2026. Diese Auswahlhilfe gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Welche DSGVO-Pflichten eine Software abdecken sollte
Die folgende Übersicht ordnet wichtige Dokumentations- und Nachweispflichten den Funktionen zu, nach denen Sie bei einem Anbieter fragen können.
| Pflicht | Rechtsgrundlage | Was die Software leisten sollte |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 DSGVO | Strukturiertes Formular für die Pflichtangaben, Verknüpfung mit Systemen, Maßnahmen und Verträgen, Ausgabe als Bericht |
| Datenschutz-Folgenabschätzung | Art. 35 DSGVO | Schwellwertprüfung, Risikobewertung, Maßnahmen, Bezug auf die betroffenen Verarbeitungen |
| Datenschutzverletzungen | Art. 33 und 34 DSGVO | Erfassung mit Zeitpunkten, Bewertung der Meldepflicht, Meldevorlagen, Fristüberwachung (Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden, Art. 33 Abs. 1) |
| Betroffenenrechte | Art. 12 und 15–22 DSGVO | Erfassung nach Antragsart, Identitätsprüfung (Art. 12 Abs. 6), Fristen (Art. 12 Abs. 3), dokumentierte Beantwortung |
| Auftragsverarbeitung | Art. 28 DSGVO | Vertragsverwaltung, Subdienstleister, Bezug zu Verarbeitungen und Systemen |
| Technische und organisatorische Maßnahmen | Art. 32 DSGVO | Maßnahmenkatalog, Zuordnung zu Systemen und Verarbeitungen |
| Rechenschaftspflicht | Art. 5 Abs. 2 DSGVO | Revisionen freigegebener Dokumente, Aktivitätenprotokoll |
| Informationspflichten | Art. 13 und 14 DSGVO | Datenschutzhinweise und Datenschutzerklärungen mit Bezug auf die Verarbeitungen |
| Speicherbegrenzung und Löschung | Art. 5 Abs. 1 lit. e, Art. 17 DSGVO | Löschkonzept mit Löschklassen, Löschregeln und Nachweis der Durchführung |
| Sensibilisierung | Art. 39 Abs. 1 lit. b DSGVO (Aufgabe des Datenschutzbeauftragten) | Schulungen mit Teilnahmenachweis |
| Einwilligungen auf Websites | § 25 TDDDG, Art. 7 Abs. 1 DSGVO | Cookie-Banner mit Einwilligungsnachweisen |
Nicht jede Organisation braucht alle Bereiche ab dem ersten Tag. Verarbeitungsverzeichnis, Datenpannen und Betroffenenanfragen betreffen jedoch die meisten Unternehmen. Die Ausnahme vom Verarbeitungsverzeichnis für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) gilt nicht, wenn eine Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 Abs. 1 bzw. Daten nach Art. 10 DSGVO betrifft. Nach verbreiteter Auffassung der Aufsichtsbehörden ist das etwa bei der Lohnabrechnung in der Regel der Fall.
14 Kriterien mit Prüffragen an den Anbieter
Eine Funktionsliste allein zeigt noch nicht, wie eine Funktion umgesetzt ist und ob sie zu Ihren Abläufen passt. Die Prüffragen helfen, das in einer Demo oder einer Testphase herauszufinden.
Inhalt und Arbeitsweise
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 1. Pflichtangaben im VVT | Das Formular fragt die Angaben nach Art. 30 Abs. 1 DSGVO ab (für Auftragsverarbeiter nach Art. 30 Abs. 2) | „Welche Felder sind Pflicht, und wie wird das Verzeichnis als Bericht ausgegeben?“ |
| 2. Verknüpfung der Dokumente | DSFA, Vorfälle und Verträge beziehen sich auf Verarbeitungen und Systeme | „Wie sehe ich, welche Verarbeitungen von einer Datenpanne betroffen sind?“ |
| 3. Fristen | Meldefristen und Antwortfristen werden als Status sichtbar, nicht nur als Datumsfeld | „Woran erkenne ich, ob eine Meldung fristgerecht erfolgt ist?“ |
| 4. Übernahme bestehender Unterlagen | Vorhandene Verzeichnisse aus Excel oder Word lassen sich übernehmen | „Wie kommen meine bestehenden Verzeichnisse in das System, und wer prüft das Ergebnis?“ |
| 5. Zusammenarbeit | Fachbereiche liefern Angaben zu, ohne selbst Datenschutzexperten zu sein | „Wie erhalte ich Angaben aus der Personalabteilung, ohne Dateien per E-Mail zu versenden?“ |
| 6. KI-Funktionen | KI ist optional, Vorschläge werden geprüft, bevor sie übernommen werden; der KI-Anbieter ist wählbar; Auftragsverarbeitung und etwaige Drittlandtransfers beim KI-Anbieter sind geklärt | „Welche Daten werden an welchen KI-Anbieter übertragen, und lässt sich die KI abschalten?“ |
Organisation und Nachweis
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 7. Mandanten und Gesellschaften | Mehrere Organisationen in einer Umgebung, getrennt dokumentiert | „Wie bilde ich eine Holding mit drei Tochtergesellschaften ab?“ |
| 8. Rollen und Rechte | Frei definierbare Benutzergruppen, Vertraulichkeitsstufen, eigener Zugang für den externen DSB | „Kann der externe Datenschutzbeauftragte arbeiten, ohne alles zu sehen?“ |
| 9. Revisionen und Protokoll | Freigegebene Stände bleiben unveränderlich, Änderungen sind nachvollziehbar | „Kann ich belegen, welcher Stand des Verzeichnisses an einem bestimmten Tag galt?“ |
| 10. Wiedervorlagen | An regelmäßige Überprüfungen wird erinnert, die Überprüfung wird dokumentiert | „Wie werde ich daran erinnert, Verarbeitungen regelmäßig zu überprüfen, etwa jährlich?“ |
Betrieb und Vertrag
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 11. Datenstandort und Hosting | Speicherort, Drittlandtransfers, Hosting-Varianten (Cloud, Private Cloud, On-Premises) | „Wo liegen die Daten, und welche Unterauftragsverarbeiter sind beteiligt?“ |
| 12. Zertifizierungen | Unterscheiden Sie zwischen der Zertifizierung des Rechenzentrums und der des Anbieters selbst | „Welche Zertifikate gelten für das Rechenzentrum, welche für Ihr Unternehmen?“ |
| 13. Schnittstellen und Export | Export in gängige Formate, dokumentierte API, vollständige Datenherausgabe bei Vertragsende | „In welchem Format erhalte ich alle Daten, wenn ich kündige?“ |
| 14. Preis, Support und SLA | Preisbildende Faktoren, Laufzeit, Support-Zeiten, Reaktionszeiten, Verfügbarkeit | „Wonach richtet sich der Preis, und welche Reaktionszeiten sind vertraglich zugesagt?“ |
Welche Kriterien je nach Ausgangslage besonders zählen
Kleines oder mittleres Unternehmen ohne eigene Datenschutzabteilung. Datenschutz wird neben einer anderen Rolle betreut. Entscheidend sind eine Oberfläche, die ohne lange Einarbeitung bedienbar ist, die Übernahme vorhandener Unterlagen (Kriterium 4) und sichtbare Fristen (Kriterium 3).
Unternehmensgruppe mit mehreren Gesellschaften oder Standorten. Hier zählen die getrennte Dokumentation je Gesellschaft (Kriterium 7), fein abgestufte Rechte (Kriterium 8) und gemeinsame Standards, die nicht in jeder Gesellschaft neu geschrieben werden.
Externer Datenschutzbeauftragter mit mehreren Mandanten. Mandantenfähigkeit, ein schneller Wechsel zwischen Mandanten und wiederverwendbare Textbausteine sind die Grundlage. Prüfen Sie außerdem, ob Mandanten Angaben selbst zuliefern können (Kriterium 5).
Öffentliche Verwaltung. Häufig nachgefragt werden On-Premises- oder Private-Cloud-Betrieb, Behördenbegriffe in Oberfläche und Dokumenten sowie Barrierefreiheit.
Organisationen, die auch ein ISMS aufbauen. Wenn Informationssicherheit nach ISO 27001 oder BSI IT-Grundschutz ansteht, lohnt sich ein Blick darauf, ob Systeme, Maßnahmen und Vorfälle zwischen Datenschutz und Informationssicherheit geteilt werden können. Die Kriterien dafür beschreibt die Auswahlhilfe für ISMS-Software.
Fünf Fehler bei der Auswahl
- Nach der längsten Funktionsliste entscheiden. Wichtiger ist, ob die Funktionen zu Ihren Abläufen passen. Das zeigt ein Test mit einem eigenen Fall.
- Mit einer Standard-Demo zufrieden sein. Spielen Sie eine eigene Verarbeitung, eine Folgenabschätzung dazu und eine fiktive Datenpanne durch.
- Den Datenschutzbeauftragten zu spät einbeziehen. Er ist nach Art. 38 Abs. 1 DSGVO frühzeitig in Datenschutzfragen einzubinden, arbeitet regelmäßig mit der Dokumentation und ist Anlaufstelle für die Aufsichtsbehörde (Art. 39 Abs. 1 lit. e DSGVO).
- Den Ausstieg nicht prüfen. Klären Sie vor Vertragsschluss, wie Sie Ihre Daten vollständig zurückerhalten.
- Alles auf einmal übernehmen. Beginnen Sie mit dem Verarbeitungsverzeichnis, darauf bauen Folgenabschätzungen und Vorfälle auf.
Wie preeco | datenschutz die Kriterien umsetzt
Damit Sie die Kriterien an einem konkreten Beispiel nachvollziehen können, zeigt die Tabelle, wie preeco | datenschutz sie umsetzt. Die Angaben stammen aus unserer Leistungsbeschreibung und geben deren aktuellen Stand wieder. Einzelne Funktionen hängen von den gebuchten Modulen und der Hosting-Variante ab; maßgeblich ist der vertraglich vereinbarte Leistungsumfang.
| Kriterium | Umsetzung in preeco | datenschutz |
|---|---|---|
| Pflichtangaben im VVT | Strukturiertes Formular für die Angaben nach Art. 30 DSGVO, Ausgabe des Verzeichnisses als Bericht (PDF, DOCX) | |
| Verknüpfung | Tab „Beziehungen“ an jedem Dokument; Vorfälle, DSFA und Verträge verknüpfbar mit Verarbeitungstätigkeiten und Systemen | |
| Fristen | Status der Meldefrist je Meldung, abgeleitet aus Frist und Meldezeitpunkt (Frist läuft noch, fristgerecht gemeldet, verspätet gemeldet, Frist nicht eingehalten, keine Frist); neun mitgelieferte Meldevorlagen, u. a. nach Art. 33 und 34 DSGVO | |
| Übernahme | KI-gestützter Import bestehender Verzeichnisse als DOCX oder XLSX (optional, setzt einen eingerichteten KI-Anbieter voraus), Prüfung in einer Vorschau, Übernahme als Entwurf; Datenmigrationen aus Altsystemen als individuelles Projekt | |
| Zusammenarbeit | Datenerfassungs-Formulare für Benutzer:innen und, per E-Mail, für externe Personen; Aufgaben, Kommentare | |
| KI | Optional; Anbieter wählbar (OpenAI, Langdock oder ein eigener, OpenAI-kompatibler Endpunkt, auch selbst betrieben); Protokoll aller KI-Aktivitäten. preeco stellt kein KI-Modell bereit; den Vertrag mit dem KI-Anbieter einschließlich Auftragsverarbeitung schließt der Kunde | |
| Mandanten | Mehrere Organisationen in einem Team, Organisations-Selektor; physische Trennung von Teams in Private Cloud und On-Premises | |
| Rollen und Rechte | Frei definierbare Benutzergruppen; optional aktivierbare Vertraulichkeitsklassen, je Benutzergruppe einstellbar | |
| Revisionen | Unveränderliche Revision bei jeder Freigabe; Integritätsprüfung über SHA-256-Prüfsummen für Revisionen ab Einführung dieser Funktion; Aktivitätenprotokoll je Mandant | |
| Wiedervorlagen | Erinnerung zum Termin per E-Mail und als Aufgabe im Dashboard | |
| Hosting | Cloud, Private Cloud oder On-Premises (On-Premises ist mit erheblichem Aufwand verbunden und steht daher in der Regel nur im öffentlichen Bereich oder im Enterprise-Segment zur Verfügung); Cloud und Private Cloud in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland, im Rahmen des Hostings keine Übermittlung personenbezogener Daten in Drittländer. Nutzen Sie optionale Dienste wie einen externen KI-Anbieter, richtet sich der Datenfluss nach dem gewählten Anbieter | |
| Zertifizierungen | Das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert; die preeco GmbH selbst ist derzeit nicht ISO 27001-zertifiziert | |
| Schnittstellen und Export | Export als PDF und DOCX (Dokumente und Berichte) sowie XLSX (Übersichtstabellen); REST-API, je Team auf Anfrage freigeschaltet | |
| Preis und SLA | Individuelles Angebot nach Mitarbeiterzahl, gewählten Modulen und Hosting-Variante; vertraglich zugesagte Verfügbarkeit von 99,0 % pro Kalendermonat in Cloud und Private Cloud, Einzelheiten gemäß SLA der jeweiligen Hosting-Variante; bei On-Premises individuelle Vereinbarung |
preeco | datenschutz und preeco | informationssicherheit teilen sich eine Plattform. Sind beide Produkte lizenziert, lässt sich per Schalter zwischen den Arbeitsumgebungen wechseln.
FAQ
Häufige Fragen zur Auswahl von DSGVO-Software
Eine allgemeingültig beste Lösung gibt es nicht. Für kleine und mittlere Unternehmen eignet sich in der Regel eine Software, die Verarbeitungsverzeichnis, Folgenabschätzungen, Datenpannen und Betroffenenanfragen verknüpft, Fristen sichtbar macht, vorhandene Unterlagen übernehmen kann und sich von einem kleinen Team ohne lange Einarbeitung bedienen lässt. Testen Sie die engere Auswahl mit einem eigenen Fall.
Die Preise hängen häufig von der Zahl der Beschäftigten, den gewählten Modulen und der Hosting-Variante ab und werden oft als Jahresabonnement abgerechnet. Fragen Sie, welche Leistungen enthalten sind, etwa Updates, Support, Einrichtung und Schulungen. preeco | datenschutz wird nach Mitarbeiterzahl, gewählten Modulen und Hosting-Variante individuell angeboten.
Für den Anfang kann eine Tabelle genügen. Schwierig wird es, wenn mehrere Personen oder Gesellschaften beteiligt sind, Stände nachgewiesen werden müssen oder Datenpannen mit Fristen bearbeitet werden. Eine Software kann Pflichtangaben abfragen, Dokumente verknüpfen und freigegebene Stände festhalten.
Die Verantwortung für die Dokumentation bleibt beim Unternehmen als Verantwortlichem (Art. 5 Abs. 2, Art. 24 DSGVO), auch wenn ein externer Datenschutzbeauftragter berät. Eine gemeinsame Software kann die Zusammenarbeit erleichtern: Der Datenschutzbeauftragte erhält einen eigenen Zugang, Fachbereiche liefern Angaben zu, und alle arbeiten am selben Stand statt an Dateiversionen.
Eine Cloud-Lösung ist in der Regel schnell bereitgestellt und wird vom Anbieter gewartet. Eine Private Cloud bietet meist eine physische Datentrennung, je nach Anbieter auch eigene Domain und Single Sign-On. On-Premises wird vor allem von Behörden und großen Organisationen mit eigener Infrastruktur gewählt. Achten Sie in jedem Fall auf Datenstandort und Drittlandtransfers.
Klären Sie, ob die KI optional ist, welcher Anbieter die Daten verarbeitet, ob Sie den Anbieter selbst wählen können, wer den Vertrag zur Auftragsverarbeitung mit dem KI-Anbieter schließt und ob Vorschläge vor der Übernahme geprüft werden. In preeco | datenschutz ist die KI optional und der Anbieter wählbar, auch ein selbst betriebenes Modell; den Vertrag mit dem KI-Anbieter schließt der Kunde. Beim KI-gestützten Import und Vorschlag von Verarbeitungstätigkeiten werden die Ergebnisse in einer Vorschau geprüft und als Entwurf übernommen.
Die Kriterien an Ihrem eigenen Fall prüfen
Bringen Sie eine Verarbeitungstätigkeit aus Ihrem Verzeichnis mit. In einem Beratungstermin von rund 30 Minuten gehen wir die Kriterien gemeinsam in preeco | datenschutz durch.
Beratungstermin vereinbarenMuss Ihr Unternehmen einen Datenschutzbeauftragten benennen?
Der DSB-Check gibt Ihnen in wenigen Minuten eine erste Orientierung.
Zum DSB-Check