OneTrust

Kurzfazit

OneTrust ist eine breite Plattform für Privacy-Management, laut Unternehmensseite „Trusted by over half of the Fortune 500“, und das spürst du im Funktionsumfang ebenso wie im Preisschild. Die Plattform deckt DSAR-Automatisierung, Consent-Management, Datenschutz-Folgenabschätzungen, Datenfluss-Mapping und AI Governance unter einem Dach ab. Für deutsche Konzerne und gehobenen Mittelstand mit komplexer Systemlandschaft ist OneTrust eine der wenigen Plattformen, die alle Anforderungen aus einer Hand erfüllt. Den Hosting-Standort wählst du laut dem Security-, Privacy- und Architektur-Whitepaper von OneTrust (Version 7.0, Januar 2026) aus einer Liste von Azure-Regionen, darunter Deutschland mit Frankfurt; fixiere die Region im Vertrag. Wer unter 200 Mitarbeitende hat oder weniger als 50 Auskunftsanfragen pro Jahr verarbeitet, fährt mit schlankeren Lösungen schneller und günstiger.

Für wen ist OneTrust?

Konzerne und gehobener Mittelstand: Versicherungen, Banken, Energieversorger, Pharma, überall dort, wo Auskunftsanfragen nach Art. 15 DSGVO im dreistelligen Bereich pro Quartal anfallen und manuell nicht mehr beherrschbar sind. OneTrust automatisiert laut Anbieter Eingang, Identitätsprüfung, Datensuche, Löschung und Schwärzung.

Datenschutzbeauftragte mit Mehrjurisdiktion: Wer DSGVO, CCPA, LGPD und perspektivisch den EU AI Act parallel managen muss, braucht eine Plattform mit vorkonfigurierten Frameworks. OneTrust bietet dafür unter anderem Templates für den EU AI Act, das NIST AI RMF und ISO 42001, für das GRC-Paket Tech Risk & Compliance nennt die Preisseite Templates und Leitfäden „across 50+ standards, regulations, and frameworks“.

Compliance- und Risikoteams: Die Module für Third-Party-Risk, GRC und AI Governance lassen sich mit der Privacy-Suite verzahnen. Ein zentrales Inventar von Datenflüssen, Vendoren und KI-Systemen reduziert Doppelarbeit zwischen Datenschutz, Informationssicherheit und IT-Einkauf.

Unternehmen mit eigenem KI-Einsatz: Das AI-Governance-Modul katalogisiert KI-Systeme, Modelle und Datensätze, mappt sie auf EU AI Act, NIST AI RMF und ISO 42001 und legt Runtime-Guardrails über produktive Modelle (Aktionen lassen sich laut Anbieter per Policy blockieren, zulassen, schwärzen oder eskalieren). Für Mittelständler mit eigenen LLM-Deployments oder Agenten-Architekturen ein wertvoller Baustein.

Weniger geeignet für: Kleine Unternehmen unter 50 Mitarbeitenden (überdimensioniert und zu teuer), reine Cookie-Consent-Anwender (für die ist Usercentrics oder Cookiebot deutlich günstiger), Organisationen ohne dedizierten Datenschutzbeauftragten (ohne Fachpersonal lässt sich die Plattform nicht sinnvoll betreiben).

Preise im Detail

OneTrust veröffentlicht keine Listenpreise. Alles läuft über den Vertrieb, die Preisseite nennt je Paket nur die Bemessungsgrundlage (bei Privacy Automation „users and privacy asset inventory“, beim AI-Governance-Paket Admin-Nutzer und AI-Inventar) und führt zu „Get Pricing“. Belastbare Anhaltspunkte liefern Beschaffungsplattformen, die reale Vertragsabschlüsse auswerten.

Position	Preisindikation	Quelle / Hinweis
Typischer Jahresvertrag (Median)	ca. 12.300 USD/Jahr	Vendr, 311 Abschlüsse
Spanne (Low bis High)	ca. 1.620 bis 48.274 USD/Jahr	Vendr, je nach Modulen und Umfang
Übliche Verhandlungsrabatte	20 bis 30 Prozent unter dem ersten Angebot	Vendr, bei Mehrjahresverträgen
Professional Services (Implementierung)	20 bis 40 Prozent des Vertragswerts	Vendr, zusätzlich, projektabhängig
AI-Governance-Modul	auf Anfrage	separat lizenziert
Weitere Pakete (Consent & Preferences, Tech Risk & Compliance, Third-Party Management)	auf Anfrage	eigene Pakete laut Preisseite

Einordnung: Die einzelnen Modulpreise sind nicht öffentlich, und kursierende GBP- oder EUR-Tabellen lassen sich gegen die Quelle nicht sauber belegen. Die Vendr-Grafik zeigt eine Spannweite aus realen Abschlüssen: vom kleinen, einzelmodularen Vertrag im niedrigen vierstelligen Bereich bis zu rund 48.000 USD pro Jahr in der Vendr-Auswertung. Im Fließtext derselben Seite schreibt Vendr allerdings höhere Werte: Mid-Market-Organisationen mit drei bis sechs Modulen zahlten oft „low to mid six figures annually“, Enterprise-Organisationen mit sechs und mehr Modulen „mid to high six figures or more annually“. Die Grafik und der Text der Vendr-Seite passen also nicht zusammen, rechne bei großem Modulumfang eher mit dem sechsstelligen Bereich. Hinzu kommen die Implementierungs-Services, die laut Vendr je nach Komplexität noch einmal 20 bis 40 Prozent ausmachen. OneTrust verhandelt, plane Vergleichsangebote von Securiti oder BigID ein, um Preisdruck aufzubauen. Mit transparenten Konditionen wie bei SaaS-Standardprodukten solltest du nicht rechnen.

Stärken im Detail

Konsolidierter DSAR-Workflow von A bis Z. Wo andere Tools nur Teilstrecken abdecken (z. B. nur das Eingangsformular oder nur die Schwärzung), bildet OneTrust laut Anbieter den Prozess von Eingang bis Antwort ab: Anfrage entgegennehmen, Identität verifizieren, betroffene Systeme parallel durchsuchen, Treffer aggregieren, Drittdaten automatisch schwärzen, Antwortpaket zusammenstellen, Audit-Log archivieren. Diese Durchgängigkeit ist der größte Effizienzhebel und zugleich das Hauptargument gegen Eigenbau-Lösungen.

Vorgefertigte Plug-ins für Standardsysteme. Laut Anbieter gibt es über 500 vorgefertigte Plug-ins, außerdem lassen sich Anwendungen über APIs, SDKs und Data Feeds anbinden. Das spart gegenüber dem Aufbau einer eigenen Integrationsschicht Entwicklungsaufwand, welche deiner Systeme konkret abgedeckt sind, prüfst du im Integrations-Marketplace von OneTrust.

Wählbarer Hosting-Standort und Vertragswerk. Laut Rechtsseite wählen Kunden den Hosting-Standort ihrer Tenant-Umgebung selbst („Customers can choose from various geographic hosting locations for their tenant environment.“). Das im Trust Center verlinkte Security-, Privacy- und Architektur-Whitepaper (Version 7.0, Januar 2026) nennt Microsoft Azure als Hoster und listet zwölf Länder beziehungsweise Regionen, für Deutschland Frankfurt als primären Standort und Berlin für Disaster Recovery, daneben unter anderem Frankreich, die Schweiz und das Vereinigte Königreich. Einen Aufpreis nennt das Whitepaper nur für eine dedizierte Cloud-Umgebung und die HIPAA-Umgebung, nicht für die Wahl der Region. Die Master Terms binden das OneTrust-DPA (AVV) ein, DPA, MSA und Standardvertragsklauseln (SCC) liegen unter legal.onetrust.com. Fixiere die Region schriftlich im Vertrag und verlass dich nicht auf mündliche Zusagen. Die Website gibt es auch auf Deutsch, ob Oberfläche und Support Deutsch sprechen, nennt OneTrust auf den geprüften Seiten nicht. Das globale Support-Team arbeitet laut Whitepaper aus der EU, dem Vereinigten Königreich und den USA, die Support-Stufen („Success Packages“) sind in einer eigenen Support Description beschrieben.

AI Governance als Zusatzmodul. Das AI-Governance-Modul inventarisiert laut Anbieter KI-Systeme, Modelle, Agenten, Datensätze und Vendoren, bietet Templates für den EU AI Act, das NIST AI RMF und ISO 42001 und setzt Runtime-Guardrails ein: Aktionen lassen sich per Policy blockieren, zulassen, schwärzen (redact), eskalieren oder umleiten. Für die Überwachung nennt die Produktseite Amazon Bedrock und AgentCore, Microsoft Azure Foundry, Databricks und die Gemini Enterprise Agent Platform. Laut Produktseite hat Gartner OneTrust im Magic Quadrant 2026 für AI Governance Platforms als „Visionary“ eingestuft. Wer KI im Unternehmen einsetzt und ohnehin OneTrust für Privacy nutzt, hat hier den kürzesten Weg zu AI-Act-Compliance.

Schwächen ehrlich betrachtet

Intransparente Preise und harte Verhandlungen. Auf der Website findest du keine vollständige Preisliste, alles läuft über Sales. Die Modularisierung führt dazu, dass das, was im ersten Angebot steht, fast nie reicht: zusätzliche Pakete, höhere Volumen, Implementierung, alles kostet extra. Plane mindestens zwei Verhandlungsrunden ein und hol Vergleichsangebote von Securiti oder BigID, um Preisdruck aufzubauen.

Implementierung braucht Zeit und Vorarbeit. Ein produktiver Rollout verlangt Identitätsverifikation, Workflow-Mapping und User-Schulung, und die Implementierung wird laut Vendr separat abgerechnet (20 bis 40 Prozent des Vertragswerts). Wer mit einer „wir machen das mal nebenbei“-Erwartung startet, verbrennt Budget. Der Hauptaufwand liegt nicht im Tool selbst, sondern im Datenfluss-Mapping davor, und das nimmt OneTrust dir nicht ab.

Steile Lernkurve für die Administratoren. Die Plattform ist mächtig und entsprechend komplex. Workflow-Konfiguration, Konnektor-Setup und Reporting erfordern dedizierte Admins mit OneTrust-Schulung, die Vendr zufolge oft separat berechnet wird. Rechne mit einem Implementierungspartner oder Professional Services, was die Gesamtkosten weiter erhöht.

Funktionsfülle als Nachteil. Wer nur DSAR-Automatisierung sucht, bekommt zwangsläufig eine Plattform, die auch Cookie-Consent, ROPA, Vendor-Risk und vieles mehr kann, und bezahlt dafür. Die Versuchung, Module hinzuzubuchen, ist groß; die Realität ist, dass viele Features ungenutzt bleiben. Schlankere Spezialtools wie Cookiebot (Consent) oder Securiti (Discovery) liefern für ihren Teilbereich oft die schlankere Lösung.

Alternativen im Vergleich

Im Mittelstand scheitert OneTrust selten an fehlenden Funktionen, sondern an Preis, Implementierungsaufwand und fehlender Admin-Kapazität. Diese Datenschutz-Plattformen treten realistisch gegen OneTrust an:

Alternative	Passt, wenn du	Was du wissen musst
Proliance 360	als Mittelständler Datenschutz nach deutschem Recht mit öffentlichen Preisen abbilden willst	Münchner Plattform für VVT, DSFA, AV-Verträge, TOMs, Datenpannen und Betroffenenanfragen, dazu ISMS und Hinweisgebersystem. Den externen Datenschutzbeauftragten gibt es als Service ab 125 € im Monat plus einmaligem Audit. Keine Mehrjurisdiktions-Tiefe wie bei OneTrust.
DataGuard	keine eigene Datenschutz-Kapazität hast und Plattform plus Beratung aus einer Hand willst	Münchner Anbieter, der Software mit zertifizierten Datenschutz- und InfoSec-Fachleuten kombiniert und DSGVO, ISO 27001, TISAX, NIS2 und EU AI Act abdeckt. EU-gehostet, Preise nur auf Anfrage.
Securiti AI	als Konzern Datenschutz, Datenklassifizierung und AI Governance auf Enterprise-Niveau vergleichen willst	Der direkte Enterprise-Wettbewerber: automatisierte Betroffenenanfragen, Datenkartierung, Einwilligungsmanagement und DSFA-Werkzeuge, über 1.000 vorgefertigte Integrationen. US-Anbieter, keine öffentlichen Preise.
DataGrail	vor allem Auskunftsanfragen über viele SaaS-Systeme automatisieren willst	Plattform aus San Francisco mit nach Anbieterangabe 2.500+ Integrationen und dem KI-Agenten Vera, der laut Anbieter Regeln erst auf Freigabe anwendet. Datenhaltung in AWS, Preise nennt der Anbieter auf den archivierten Seiten nicht.

BigID spielt funktional in derselben Liga wie OneTrust und Securiti und gehört in jeden Konzern-Auswahlprozess als Vergleichsangebot, bei uns hat es noch keine eigene Seite. Für reine Cookie-Consent-Management-Plattformen sind Usercentrics (deutsches Produkt, sehr verbreitet im DACH-Raum) und Cookiebot deutlich günstiger und schneller einsatzbereit. Wer ganz ohne Plattform auskommen will, sollte die Anfragenzahl ehrlich messen: unter 20 DSAR pro Jahr lohnt sich ein gut dokumentierter Excel-Workflow mit klaren Eskalationsstufen meist mehr als ein sechsstelliger Plattformvertrag.

So steigst du ein

Schritt 1: Demo bei OneTrust anfragen, die Preisseite führt für jedes Paket über „Get Pricing“ zum Vertrieb. Vor dem ersten Gespräch klären: Wie viele Anfragen pro Jahr, welche Systeme sollen angebunden werden, welche Frameworks (nur DSGVO oder auch CCPA/LGPD/EU AI Act). Hol parallel Angebote von mindestens einem Konkurrenten (Securiti oder BigID), ohne Vergleichsangebot bekommst du keinen guten Preis.

Schritt 2: Anforderungs-Workshop mit OneTrust oder einem zertifizierten Implementierungspartner. Die Modulauswahl entscheidet über die Lizenzkosten: Laut Preisseite steckt die DSR-Automatisierung in der Privacy Automation Suite (nicht in der Base-Stufe) und in der Consent Management Platform Suite, AI Governance ist ein eigenes Paket. Lass dir Referenzkunden in deiner Branchengröße zeigen, nicht nur DAX-Konzerne.

Schritt 3: Pilotphase mit zwei bis drei Schlüsselsystemen (typisch: CRM, Marketing-Automation, ERP). Erst danach den Rollout auf weitere Datenquellen ausweiten, ein zu breiter Start verzögert die Live-Schaltung erheblich. Plane parallel die interne Schulung der Datenschutz- und IT-Teams: Ohne dedizierten Admin verstaubt das Tool.

Ein konkretes Beispiel

Ein deutsches Versicherungsunternehmen mit 600 Mitarbeitenden bekam pro Monat 35 bis 50 Auskunftsanfragen nach Art. 15 DSGVO. Nach einem viermonatigen OneTrust-Rollout (Salesforce, Outlook, internes Schadenssystem, Marketing-Automation) sank die durchschnittliche Bearbeitungszeit von 3,5 Stunden auf 35 Minuten je Anfrage. Die Lizenz lag im oberen Bereich der für OneTrust üblichen Vertragsspanne, dazu kamen einmalige Implementierungs-Services in Höhe von rund einem Drittel der Jahreslizenz. Amortisiert hat sich das nach etwas weniger als einem Jahr, allein durch eingesparte Sachbearbeiter-Stunden im Datenschutzteam. Die Datenschutzbeauftragte berichtet, dass ihr Team seitdem erstmals seit Jahren wieder Kapazität für strategische Themen wie ROPA-Pflege und Mitarbeiterschulungen hat. Das Beispiel ist ein Szenario zur Veranschaulichung, keine Kundenangabe von OneTrust.

DSGVO & Datenschutz

• Datenhosting: Kunden wählen laut OneTrust den Hosting-Standort ihrer Tenant-Umgebung. Das Security-, Privacy- und Architektur-Whitepaper nennt Microsoft Azure als Hoster und für Deutschland Frankfurt als primären Standort, Berlin für Disaster Recovery. Weil das globale Support-Team laut Whitepaper aus der EU, dem Vereinigten Königreich und den USA arbeitet, können personenbezogene Daten trotzdem in das Vereinigte Königreich und die USA übermittelt werden. Lass die Region im Vertrag fixieren.
• US-Hauptsitz und CLOUD Act: OneTrust hat laut Unternehmensseite den Hauptsitz in Atlanta (USA). Als Vertragspartner für Europa, den Nahen Osten und Afrika nennt OneTrust die OT Technology Spain S.L.U. in Madrid, die Hauptsitz-Struktur bleibt aber US-amerikanisch. Selbst bei gewählter EU-Region kann US-Recht auf Konzerndaten durchgreifen, kläre das mit deinem Datenschutzbeauftragten
• Auftragsverarbeitung: Die Master Terms binden das OneTrust-DPA ein, das die Pflichten von OneTrust als Auftragsverarbeiter regelt (DSGVO Art. 28). DPA, MSA und Standardvertragsklauseln (SCC) liegen laut Trust Center unter legal.onetrust.com
• Subprozessoren: Liste laut Trust Center einsehbar, Änderungen werden laut Rechtsseite mindestens dreißig Tage vorher bekanntgegeben (außer im Notfall)
• Zertifizierungen: ISO 27001, ISO 27017 und ISO 27701 sowie ein jährliches unabhängiges SOC-2-Type-II-Audit laut Rechtsseite, dazu TISAX, PCI DSS und HITRUST laut Trust Center
• Datennutzung: Nutzungsbedingungen und DPA regeln die Verarbeitung, eine pauschale Trainingsfreiheit lässt sich öffentlich nicht eindeutig belegen, kläre die Verwendung deiner Daten daher vertraglich
• Empfehlung für Unternehmen: Hosting-Region aktiv klären und im Vertrag explizit fixieren (nicht als selbstverständlich voraussetzen), DPA und SCCs vor Implementierung prüfen lassen, Subprozessoren-Liste dem internen Datenschutzbeauftragten zur Freigabe vorlegen

Gut kombiniert mit

• Microsoft 365 Copilot, OneTrust überwacht und dokumentiert die KI-Nutzung im Unternehmen, Copilot ist eines der Systeme, das im AI-Governance-Inventar erfasst und mit Guardrails belegt werden sollte
• Usercentrics oder Cookiebot, du kannst OneTrust für DSAR/ROPA mit einer schlanken Consent-Plattform für die Website kombinieren, weil deutsche Frontend-Tools im Cookie-Banner näher an den Erwartungen lokaler Datenschutzaufsichten liegen und schneller einzurichten sind
• Externe Datenschutzberatung (z. B. DataGuard, ePrivacy), die Beratung übernimmt den OneTrust-Betrieb für ihre Mandanten, sinnvoll wenn intern keine Kapazität für dedizierte Admin-Rollen aufgebaut werden soll

Unser Fazit

OneTrust verdient 4 von 5 Sternen. Funktional ist die Plattform sehr breit aufgestellt, von DSAR-Automatisierung über Consent und Datenfluss-Mapping bis zu AI Governance. Den fünften Stern verliert OneTrust durch die intransparente Preispolitik, die hohen Total Cost of Ownership und die Tatsache, dass die Plattform für viele deutsche Mittelständler schlicht überdimensioniert ist. Wer in der Zielgruppe (gehobener Mittelstand, Konzerne, hohes Anfragevolumen) liegt und Multi-Framework-Compliance braucht, sollte OneTrust auf die Shortlist setzen. Den Hosting-Standort solltest du im Vertrag festlegen, das Whitepaper von OneTrust nennt unter anderem Frankfurt, einen Aufpreis nur für eine dedizierte Umgebung. Wer darunterliegt, sollte sich gründlich überlegen, ob ein schlankeres Setup nicht besser passt.

Was wir bemerkt haben

• Oktober 2026, Auffrischung gegen die archivierten Anbieterseiten: Die Vendr-Auswertung nennt jetzt einen Median von 12.300 USD pro Jahr (311 Abschlüsse, Spanne ca. 1.620 bis 48.274 USD). Die Rechtsseite von OneTrust sagt, Kunden könnten zwischen verschiedenen geografischen Hosting-Standorten wählen. Unsere frühere Aussage, das Standard-Hosting liege in den USA und EU-Residenz sei ein Aufpreis-Add-on, stützte sich auf einen Wissensdatenbank-Artikel, der sich nicht mehr abrufen ließ (die Adresse leitet inzwischen auf einen Artikel zu EU-Datenresidenz-Optionen für Cloudflare weiter), und steht deshalb nicht mehr als Fakt auf der Seite. Das Security-, Privacy- und Architektur-Whitepaper von OneTrust listet stattdessen die wählbaren Azure-Regionen, darunter Frankfurt. Nicht belegt und entfernt: Marktführer-Aussagen, Prozentangaben zur Integrationsersparnis, deutschsprachiger Support und die Berichte über Stellenstreichungen.
• Oktober 2026, Gartner hat OneTrust im Magic Quadrant 2026 für AI Governance Platforms als „Visionary“ eingestuft (Angabe auf der Produktseite).
• Juli 2026, Hosting-Korrektur: Wir hatten das frühere EU-Badge von eu auf global gesetzt, weil sich eine feste EU-Region nicht belegen ließ. Das bleibt so, dataHosting steht auf global.
• Juni 2026, Quellenprüfung: Die früher hier genannten festen Modulpreise in GBP (z. B. 360/1.080/2.884 GBP pro Monat) ließen sich gegen keine belastbare Quelle verifizieren und wurden entfernt. Belegbar ist die Preisspanne aus realen Vertragsabschlüssen (Vendr). Auch die zuvor genannte feste Frankfurt-Region und die pauschale Trainingsfreiheit der Daten wurden entfernt.