Enterprise-DSGVO-Compliance-Stack 2026 für regulierte Branchen
Der streng DSGVO-konforme Tool-Stack 2026 für Kanzleien, Steuerberater, Healthcare, Behörden, Banken und KMU mit ISO 27001-/TISAX-/BAIT-Anspruch. 8 Tools, alle EU-gehostet, alle mit AVV + SCC dokumentiert. Keine HubSpot-/Notion-/Mailchimp- Wildwuchs, die der Datenschutzbeauftragte hinterher mit Transfer-Dokumentation reparieren muss.
Veröffentlicht 2026-05-22 · Setup-Budget laut den drei Profilen: ~553 EUR (12 Personen) bis ~1.779 EUR/Monat (50 Personen) ohne VPN, dazu bis zu 200 USD · pro Kopf 36–46 EUR
TL;DR: Enterprise-DSGVO-Stack 2026
Ein DACH-Unternehmen mit DSGVO-Audit-Anspruch (ISO 27001, TISAX, BAIT, BSI-Empfehlung) braucht 7 Pflicht-Bausteine:
- Sevdesk oder Lexware Office – Buchhaltung in DE, GoBD-konform, DATEV nativ
- CentralStationCRM – DE-only, keine US-Subprozessoren
- Brevo – E-Mail-Marketing mit EU-Hosting (OVH FR, Google Cloud Belgien); Cloudflare und Zendesk stehen in der Unterauftragsliste mit „EU/USA“
- n8n self-hosted – Workflow-Automation auf eigenem Hetzner-Server
- NordPass Business – Zero-Knowledge Passwort-Vault für Team-Zugänge
- Hetzner Cloud + Backup – Hosting + Storage in DE, ISO 27001
- Plausible Analytics – Webseiten-Tracking ohne Cookie-Banner
- Plus optional: Surfshark VPN (Remote-Team), Tresorit/pCloud (Dokumenten-Vault)
12-Personen-Anwaltskanzlei (Profil A unten): ~553 EUR/Monat ohne VPN = 46 EUR/Kopf. 50-Personen-Healthcare-Anbieter (Profil C): ~1.779 EUR/Monat ohne VPN plus 200 USD = 36 EUR/Kopf plus 4 USD. Gegenüber einem US-Stack (HubSpot+Notion+Mailchimp+Asana+Slack) entfällt vor allem die Transfer-Dokumentation je US-Tool – mehr dazu im Abschnitt „Was DSGVO-Konformität wirklich kostet“.
Der vollständige Stack: 8 Tools, alle EU-gehostet
Klick auf jedes Tool für den Detail-Review mit DSGVO-Bewertung.
Buchhaltung + Lohn (DE)
Sevdesk oder Lexware Office
Sevdesk (Offenburg, Server Deutschland) oder Lexware (Freiburg, Server DE) – GoBD-konform, DATEV-Export, AVV bei beiden zum Gegenzeichnen. Für GmbHs mit Lohnbuchhaltung: Lexware mit Lohn+Gehalt-Modul. Solo bis KMU ohne Lohn: Sevdesk.
Preis: Rechnung 12,90 · Buchhaltung 25,90 · Buchhaltung Pro 34,90 EUR/Mo
Detail-Review öffnen →
CRM (DE-only)
CentralStationCRM
Made in Köln, Server in Deutschland (laut Anbieter „Rechenzentren der BRD“, ohne Stadtangabe), keine US-Subprozessoren. Saubere DSGVO-Story für Anwaltskanzleien, Steuerberater, regulierte Branchen. Funktional schlanker als HubSpot, aber das ist im Compliance-Setup ein Feature, kein Bug.
Preis: ab 25 EUR/Monat (Team, Pauschale bis 3 Nutzer:innen)
Detail-Review öffnen →
E-Mail-Marketing (EU)
Brevo
EU-Hosting (laut Unterauftragsliste OVH in Frankreich und Google Cloud in Belgien), AVV als Anhang 3 der Nutzungsbedingungen automatisch Vertragsbestandteil, Marketing-Automation auf EU-Infrastruktur. Mailchimp/Klaviyo-Alternative mit EU-Hosting – aber kein reiner EU-Stack: Cloudflare (CDN/WAF) und Zendesk (Support-Ticketing) stehen in der Unterauftragsliste mit „EU/USA“, abgesichert über DPF und Standardvertragsklauseln.
Preis: Free · Starter ab 6,33 EUR · Standard ab 13,50 EUR (steigt mit dem E-Mail-Volumen)
Detail-Review öffnen →
Workflow-Automation
n8n self-hosted
Make.com-Alternative auf eigenem Hetzner-Server. Keine US-Subprozessoren, volle Datenkontrolle, alle Workflows lokal. Kosten primär die Server-Miete + 4–8 h Eigenwartung/Monat. Premium-DSGVO-Setup für regulierte Branchen.
Preis: Hetzner CX23 7,13 EUR/Monat
Detail-Review öffnen →
Passwort-Manager (Team)
NordPass Business
Zero-Knowledge-Architektur, EU-Server-Option, Audit-Trail für Team-Zugänge. Geteilte Vaults statt Passwörter im Slack. Pflicht für jede Compliance-Story – bei Audit ist Passwort-Hygiene immer eine Top-Frage.
Preis: 3,59 EUR/User/Monat (Business, mind. 5 Nutzer, 2-Jahres-Paket)
Detail-Review öffnen →
VPN (Remote-Team)
Surfshark VPN
Unlimited Devices für ein gesamtes Remote-Team, RAM-only-Server (keine persistierten Logs), gute Speed-Werte. Schützt Admin-Logins in öffentlichen WLANs und ermöglicht sichere Remote-Arbeit ohne VPN-Lizenz-Kopfschmerz.
Preis: Business-Tarif von uns nicht belegt; Starter ab 2,19 EUR/Monat im 24-Monats-Angebot (59,13 EUR für die ersten 27 Monate, ggf. zzgl. MwSt.)
Detail-Review öffnen →
Hosting + Storage (DE)
Hetzner Cloud + Backup
DE-Rechenzentren (Falkenstein, Nürnberg, Helsinki), ISO 27001-zertifiziert, AVV nativ. Hosting für n8n-Server, interne Tools, Webseite, Demo-Umgebungen. Volume-Storage für Backup-Strategien. Cloudflare nur als CDN davor, nicht als Origin.
Preis: ab 7,13 EUR/Monat
Detail-Review öffnen →Analytics (DSGVO)
Plausible Analytics
Google-Analytics-Alternative auf EU-Servern, keine personenbezogenen Daten, kein Cookie-Banner nötig. Eliminiert die häufigste DSGVO-Reibung im Webseiten-Tracking. Auch self-hosted verfügbar für maximale Kontrolle.
Preis: 9–19 EUR/Monat (Starter 9 · Growth 14 · Business 19, Stufe 10k Pageviews)
Detail-Review öffnen →Zwischenfazit: Server in Deutschland, GoBD-konform, DATEV-Export nativ, AVV als Formularvertrag zum Gegenzeichnen. Für DACH-KMU mit Compliance-Anspruch das produktivste Buchhaltungs-Tool.
Drei Compliance-Profile mit konkretem Stack
Profil A: 12-Personen-Anwaltskanzlei (§ 43a BRAO Mandantengeheimnis)
Stack: Lexware Office (Plan L 21,90 EUR + Lohn+Gehalt-Staffel bis 20 Mitarbeitende 65,90 EUR = 87,80 EUR) + CentralStationCRM Business (155 EUR, Paketpreis für bis zu 20 Nutzer:innen) + Brevo Standard (volumen-basiert, hier mit ~45 EUR angesetzt, unser Brevo-Test) + n8n auf Hetzner CX23 (5,99 EUR netto + ~6 h Eigenwartung/Monat) + NordPass Business (12 × 3,59 EUR = 43,08 EUR) + Surfshark für 12 Personen (Business-Tarif von uns nicht belegt) + Hetzner Storage (hier mit ~10 EUR angesetzt) + Plausible Growth (14 EUR bei 10.000 Seitenaufrufen/Monat) + Tresorit Business (12 × 16 EUR = 192 EUR im Jahresabo, für Mandantenakten). Gesamt: ~553 EUR/Monat ohne VPN = 46 EUR/Kopf. Mandantengeheimnis-konform, keine US-Subprozessoren in der Akten-Kette.
Profil B: 35-Personen-Steuerberater-Sozietät (DATEV-Power-User)
Stack: DATEV Mittelstand Pro (hier mit ~400 EUR Basis-Lizenz für 5 StB + ~350 EUR Mandanten-Lizenzen angesetzt) + Sevdesk Buchhaltung Pro für interne Buchhaltung (34,90 EUR) + CentralStationCRM Enterprise (299 EUR, Paketpreis für bis zu 40 Nutzer:innen, unser CentralStation-Test) + Brevo Standard (volumen-basiert, hier mit ~90 EUR angesetzt) + n8n self-hosted (Server hier mit ~10 EUR angesetzt + 8 h Wartung) + NordPass Business (35 × 3,59 EUR = 125,65 EUR) + Hetzner Cloud (3 × CX33 à 8,99 EUR netto = 26,97 EUR) + Cloudflare Business (200 USD im Jahresabo) + Plausible Business (19 EUR bei 10.000 Seitenaufrufen/Monat). Gesamt: ~1.356 EUR/Monat plus 200 USD für Cloudflare (Dollar, also nicht mitaddiert) = 39 EUR/Kopf plus knapp 6 USD. DATEV-Workflow tief integriert, alle Mandantendaten in EU.
Profil C: 50-Personen-Healthcare-Anbieter (Patientendaten Art. 9 DSGVO)
Stack: Lexware Office (Plan L 21,90 EUR + Lohn+Gehalt-Staffel bis 50 Mitarbeitende 199,90 EUR = 221,80 EUR) + CentralStationCRM Enterprise (299 EUR, Paketpreis für bis zu 40 Nutzer:innen; ein größeres Paket weist die Preisseite nicht aus) + Brevo Standard (volumen-basiert, hier mit ~90 EUR angesetzt) + n8n self-hosted auf dediziertem Server (hier mit ~40 EUR angesetzt + 12 h Wartung) + NordPass Business (50 × 3,59 EUR = 179,50 EUR) + Surfshark für 50 Personen (Business-Tarif von uns nicht belegt, unser Surfshark-Test) + Hetzner Dedicated (hier mit ~130 EUR angesetzt) + Cloudflare Business (200 USD im Jahresabo) + Plausible Business (19 EUR bei 10.000 Seitenaufrufen/Monat) + Tresorit Business (50 × 16 EUR = 800 EUR im Jahresabo, für den Patientenakten-Vault). Gesamt: ~1.779 EUR/Monat ohne VPN plus 200 USD für Cloudflare (Dollar, also nicht mitaddiert) = 36 EUR/Kopf plus 4 USD. Art. 9 DSGVO konform, DSFA pro Datenfluss dokumentiert, ISO 27001-fähig.
Vier Compliance-Säulen: was jeder Tool-Baustein leisten muss
Säule 1: Schrems-II-Konformität (kein Drittlandtransfer ohne Schutz)
Seit dem EuGH-Urteil 2020 reichen SCC allein nicht – du prüfst pro Datenfluss das Schutzniveau im Zielland (Transfer-Folgenabschätzung) und ergänzt bei Bedarf technische und organisatorische Maßnahmen (TOMs); für DPF-zertifizierte US-Anbieter gilt seit dem 10.07.2023 der Angemessenheitsbeschluss. Beim EU-Stack-Setup schrumpft das auf wenige Rest-Flüsse, weil die Kern-Tools in DE/EU hosten. Was die Anbieter selbst dazu sagen: Sevdesk „bewusst für den Serverstandort Deutschland entschieden“ (unser Sevdesk-Test), Lexware Office Großraum Frankfurt, CentralStationCRM „Rechenzentren der BRD“ ohne Stadtangabe, Brevo OVH (Frankreich) und Google Cloud (Belgien), Hetzner Nürnberg und Falkenstein, n8n self-hosted (deine Wahl), Plausible (EU). Rest-Fluss trotzdem prüfen: Brevo führt Cloudflare und Zendesk mit „EU/USA“ in der Unterauftragsliste.
Säule 2: AVV-Stack mit Audit-Trail (Art. 28 DSGVO)
Pro Tool brauchst du AVV-PDF, Subprozessoren-Liste, Server-Standort-Bestätigung, aktuelle ToMs-Beschreibung. Bei den 8 Tools im Empfehlungs-Stack hast du das alles in jeweils 2–4 Klicks im Anbieter-Dashboard. Im AVV-Ordner (z. B. Nextcloud oder Tresorit-Vault) zentral organisieren, alle 12 Monate Subprozessoren re-verifizieren. Im Audit ist dieser Ordner deine Verteidigungslinie – und beim EU-Stack sind die Antworten trivial dokumentiert.
Säule 3: Mandanten- bzw. Patientendaten-Trennung
In Anwaltskanzleien (§ 43a BRAO), Steuerkanzleien (§ 57 StBerG), Healthcare (Art. 9 DSGVO) und Banken (BAIT) gilt zusätzlich Berufsverschwiegenheit oder besondere Datenkategorien-Schutz. Konsequenzen: Mandantenakten nicht in CRMs mit US-Subprozessoren, sondern in dedizierten Vault-Lösungen (Tresorit, pCloud, OnlyOffice DocSpace). CRM enthält nur die "öffentliche" Mandanten- Information, sensitive Akten leben im Vault mit eigener AVV-Kette.
Säule 4: Audit-Trail für Zugriffe (Wer hat wann was gesehen?)
ISO 27001 + TISAX fordern Zugriffs-Logs für sensitive Datenkategorien. NordPass Business (unser NordPass-Test) loggt Vault-Zugänge, Hetzner Cloud loggt Server-Zugriffe. Bei US-Tools ist Audit-Trail oft erst im Enterprise-Tier verfügbar (Notion Business 19,50 €/Mitglied → Notion Enterprise 24 USD/User mit Audit-Log) – beim EU-Stack standardmäßig inklusive.
Cross-Reference: Diese vier Säulen werden im CRM-Pillar (für die Mandantendaten-Frage) und KI-Tools-Pillar (für die EU-AI-Act-Compliance) ausführlich erklärt. CRM-Pillar mit Berufsverschwiegenheit Deep-Dive →
Reader-Voice: was man vor dem Compliance-Stack-Aufbau wissen sollte
Vier Lessons aus unserer Compliance-Recherche und den horizontalen Tool-Reviews, die in Anbieter-Material und Beratungs-Broschüren selten so direkt stehen:
Lesson 1: DSB-Stunden sind die teuersten Tool-Kosten
Ein externer Datenschutzbeauftragter kostet 250–800 EUR/Monat. Wenn er die Hälfte seiner Zeit Transfer-Dokumentation für US-Tools schreibt, statt echte Compliance-Arbeit zu leisten, ist das ein versteckter Kostenblock von 1.500–4.800 EUR pro Jahr. Saubere EU-Stack-Wahl reduziert diesen Block auf ein Drittel. Berechne also DSB-Stunden mit ins Tool-Auswahl-ROI, nicht nur Lizenzpreise.
Lesson 2: Auditoren lieben einfache Antworten
Bei ISO 27001 + TISAX-Audits fragen Prüfer Standard-Fragen: "Wo liegt diese Daten? Wer hat Zugriff? Wer sind die Subprozessoren?" Wer 8 EU-Tools nutzt, gibt 8× die gleiche, einfache Antwort. Wer 4 US-Tools + 4 EU-Tools mischt, braucht 4 sehr komplizierte Transfer-Antworten (DPF/SCC). Audit-Dauer 40 h vs 80 h – und Audit-Stunden gehen vom Tagesgeschäft ab. EU-Konsistenz lohnt sich nicht nur compliance-rechtlich, sondern auch ressourcen-strategisch.
Lesson 3: Self-Hosting ist nicht "free"
n8n self-hosted, OnlyOffice self-hosted, Nextcloud self-hosted – alles kostenlos in der Lizenz, aber Eigenwartung kostet 4–12 h pro Monat pro self-hosted Tool. Bei 3 self-hosted Tools sind das 12–36 h/Monat = 1.500–4.500 EUR pro Jahr Personalaufwand. Self-Hosting nur wo es wirklich Compliance-Mehrwert bringt (n8n in regulierter Branche), nicht aus Prinzip-Reiterei. Hybrid mit managed EU-SaaS (Sevdesk, CentralStationCRM, Brevo) ist meist die produktivste Wahl.
Lesson 4: Tool-Migrationen sind teurer als gedachte Compliance-Risiken
Wenn dein Stack bereits seit 3 Jahren produktiv läuft und 80 % EU-konform ist, die restlichen 20 % aber HubSpot oder Notion enthalten – rechne genau, ob eine Migration den Aufwand wert ist. Migrations-Aufwand pro Tool: 40–160 h Team-Zeit + Daten-Bereinigung + Workflow-Umlernen. Bei einer 6-monatigen Übergangsphase summiert sich das schnell auf 20.000–50.000 EUR. Bei hoher Compliance-Bedrohung (Healthcare, Behörde) lohnt es. Bei normalem KMU oft besser: dokumentieren, Transfer-Unterlagen pflegen, abwarten, dass das Tool selbst eine EU-Region launcht (HubSpot hat inzwischen ein EU-Rechenzentrum in Deutschland, Free-Konten liegen laut HubSpot aber in den USA).
Zwischenfazit: Zero-Knowledge-Architektur, Team-Vaults, Audit-Trail für Zugriffe. Pflicht-Baustein in jedem Compliance-Audit – bei ISO 27001/TISAX-Prüfungen ist Passwort-Hygiene immer Top-Frage.
Häufige Fehler beim Compliance-Stack-Aufbau
- "DSGVO-konform" steht auf der Webseite – aber der AVV ist nirgends greifbar. Die beste Variante ist nicht der schnelle Download, sondern der AVV, der laut Nutzungsbedingungen automatisch Vertragsbestandteil ist – dann gibt es nichts zu beantragen und nichts zu vergessen (so bei Brevo, HubSpot, Pipedrive, Make, Tresorit). Zweitbeste Variante: ein öffentlich verlinkter Formularvertrag zum Gegenzeichnen (sevDesk, Lexware Office, Hetzner). Warnsignal ist der AVV, der nur auf Anfrage per Mail kommt – und das größere Warnsignal ist der Anbieter, bei dem nirgends steht, wie der AVV überhaupt zustande kommt.
- EU-Region buchen aber US-Konzern-Mutter ignorieren. Microsoft Azure EU-Region, AWS Frankfurt, Google Cloud Frankfurt – der Server steht in der EU, der Eigentümer ist US-Konzern. Schrems-II + CLOUD Act lassen US-Behörden Zugriff verlangen. Echte EU-Souveränität: Hetzner, Scaleway, OVHcloud, IONOS Cloud.
- n8n self-hosted ohne Wartungs-Plan. Self-hosted heißt Eigenwartung. Updates, Backups, Sicherheits-Patches, Monitoring. Wer das vergisst, hat ein ungepatchtes Tool mit Compliance-Anspruch – schlechter als ein gepflegtes US-SaaS. Plane 4–8 h pro Monat ein oder kauf managed n8n.cloud (EU-Region) für 50–200 EUR/Mo.
- Mandantendaten im CRM statt im Vault. CRMs (auch CentralStationCRM) sind für strukturierte Lead-/Kunden-Daten gemacht, nicht für Akten-Volltexte. Anwaltskanzleien und Healthcare-Anbieter brauchen einen Dokumenten-Vault (Tresorit, pCloud Encrypted, OnlyOffice DocSpace) mit eigener Berechtigungs-Verwaltung.
- Kein "Privacy-by-Design"-Workshop beim Stack-Aufbau. Statt jedes Tool einzeln zu prüfen, einmal pro Quartal einen 4-Stunden-Workshop mit dem DSB: "Welche Daten haben wir, wo liegen sie, wer hat Zugriff?" Datenfluss-Diagramme statt Tool-Listen – das ist die Audit-fähige Compliance-Sicht.
FAQ: die 7 häufigsten Fragen zum Enterprise-DSGVO-Stack
Was kostet ein streng DSGVO-konformer Stack für 30–50 Mitarbeitende?
Nach den Profilen unten rund 1.356 EUR/Monat für eine 35-Personen-Steuerberater-Sozietät und rund 1.779 EUR für einen 50-Personen-Healthcare-Anbieter, jeweils plus 200 USD für Cloudflare Business, die wir nicht in Euro umrechnen. Pro Kopf sind das 36 bis 39 EUR plus 4–6 USD, ohne VPN, Backup und Office-Suite. Größte Posten: der Dokumenten-Vault (Tresorit Business 16 EUR je Nutzer:in im Jahresabo), die Buchhaltung mit Lohn (Lexware Office L plus Lohn & Gehalt bis 50 Mitarbeitende: 221,80 EUR) bzw. in der Kanzlei die DATEV-Lizenzen (dort mit ~750 EUR angesetzt), das CRM (CentralStationCRM rechnet in Paketen, Enterprise 299 EUR für bis zu 40 Nutzer:innen) und der Passwort-Manager (NordPass Business 3,59 EUR je Nutzer:in im 2-Jahres-Paket). E-Mail-Marketing, Server und Eigenwartung kommen hinzu.
Welche Branchen brauchen diesen strengen Stack?
Anwalts- und Steuerkanzleien (§ 43a BRAO Mandantenverschwiegenheit), Healthcare-Sektor (Patientendaten Art. 9 DSGVO), Behörden + öffentlicher Sektor (BSI-Empfehlung, ITSiG), Banken/Finanzdienstleister (BAIT, MaRisk), Bildungseinrichtungen mit Schülerdaten, sowie alle Unternehmen mit Konzernfreigabe-Pflicht oder ISO 27001-Zertifizierung. Auch B2B-Dienstleister mit datenschutzaffinen Kunden gewinnen mit diesem Stack messbar Pitches.
Schrems-II – wie betrifft mich das konkret?
Seit dem Schrems-II-Urteil (Juli 2020) brauchen Datentransfers in die USA eine tragfähige Grundlage: seit dem 10.07.2023 den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework für zertifizierte Anbieter, sonst SCC mit Transfer-Folgenabschätzung und gegebenenfalls zusätzlichen technischen Schutzmaßnahmen. Praktisch heißt das: Für jedes US-gehostete Tool (HubSpot, Mailchimp, Notion, Slack, Asana, Monday) dokumentierst du die Transfergrundlage pro Datenfluss; ob zusätzlich eine DSFA nötig ist, entscheidet das Risiko der Verarbeitung (Art. 35 DSGVO). Bei reinen EU-Tools (CentralStationCRM, Brevo, n8n-self-hosted, Sevdesk) entfällt die Transfer-Dokumentation für die Kerndaten weitgehend. Transfer-Dokumentation samt DSFA-Prüfung fällt für jedes dieser Tools jährlich an – das summiert sich.
Lohnt sich n8n self-hosted wirklich gegenüber Make.com?
Bei strenger DSGVO-Konformität ja – n8n auf Hetzner-Server in Falkenstein/Nürnberg hat keinen Drittlandtransfer, keine US-Subprozessoren und volle Datenkontrolle. Kostet aber Eigenwartung: 4–8 h pro Monat für Updates, Backups, Monitoring. Make.com ist viel schneller startklar und hat größeres App-Ökosystem, braucht aber eine dokumentierte Transfergrundlage (laut Make-DPA primär DPF, SCC als Rückfall). Faustregel: regulierte Branche → n8n self-hosted. Mittelstand mit DSGVO-Aufmerksamkeit aber ohne Compliance-Audit-Druck → Make EU-Region reicht.
Welche Buchhaltung ist für DACH-Enterprise pflichtig DSGVO-konform?
Sevdesk (Offenburg-DE, Server Deutschland) und Lexware Office (Freiburg-DE, Server DE) – beide DSGVO + GoBD-konform, DATEV-Export nativ, AVV bei beiden als Formularvertrag zum Gegenzeichnen. Sevdesk gewinnt bei Solo/KMU, Lexware bei Lohnbuchhaltung-Tiefe und Konzern-Workflows. DATEV Mittelstand Pro ist die Premium-Lösung für Steuerberater-Anbindung, aber kostet 3–5× mehr.
Wie organisiere ich AVV-Stack für ein Audit?
Pro Tool: AVV-PDF (Art. 28 DSGVO), Subprozessoren-Liste, Server-Standort-Bestätigung, ggf. SCC bei Drittland, DSFA bei Risiko-Verarbeitung. In einem zentralen Datenschutz-Ordner organisieren (z. B. Nextcloud-Bereich oder Tresorit-Vault). Alle 12 Monate Subprozessoren-Listen erneut prüfen – Anbieter ändern still. Bei Audit (z. B. ISO 27001, TISAX, DSGVO-Behörden-Anfrage) ist dieser Ordner deine Verteidigungslinie.
Brauche ich einen Datenschutzbeauftragten – und wann?
Pflicht ab 20 Mitarbeitenden mit ständiger personenbezogener Datenverarbeitung (DSGVO Art. 37 + BDSG § 38). Bei Healthcare/Anwalt/Bank schon ab dem ersten Mitarbeiter. Interner DSB (eigene Schulung, ~3.000 EUR Einarbeitungsaufwand) oder externer DSB (250–800 EUR/Monat). Ein sauberer Tool-Stack reduziert den DSB-Aufwand spürbar – bei US-Tool-Wildwuchs verbringt der DSB die meiste Zeit mit Transfer-Dokumentation statt mit echter Compliance-Arbeit.
Schnellstart: die 3 produktivsten Compliance-Bausteine
Wenn du heute nur drei Tools austauschst, dann diese – sie tragen 70 % des DSGVO-Audit-Risikos und sind alle in 1–2 Tagen produktiv:
1. Sevdesk: Buchhaltung in DE
Server Deutschland, GoBD-konform, DATEV nativ, AVV zum Gegenzeichnen. Für DACH-KMU die produktivste Compliance-konforme Buchhaltung.
Sevdesk 14 Tage testen2. CentralStationCRM: DE-only
Made in Köln, Server in Deutschland, keine US-Subprozessoren. HubSpot-Alternative für Kanzleien, Healthcare, Banken und alle datenschutzaffinen B2B-Setups.
CentralStationCRM testen3. NordPass Business: Team-Vault
Zero-Knowledge-Architektur, Audit-Trail, geteilte Vaults. Pflicht bei jedem Compliance-Audit, weil Passwort-Hygiene immer eine Top-Frage ist.
NordPass Business testenDie restlichen 5 Bausteine (Brevo, n8n self-hosted, Hetzner, Surfshark, Plausible) ergänzt du anhand deiner Branche und Audit-Anspruchs-Tiefe. Detail-Reviews und DSGVO-Deep-Dives in den jeweiligen Pillar-Artikeln.