In welche notwendigen Bereiche fließen die Kosten für die GDPR-Compliance normalerweise?

Am häufigsten wird das GDPR-Budget nicht bei der Frage unterschätzt, „ob man etwas tun sollte“, sondern bei der Annahme, dass die Erstellung einer Datenschutzerklärung bereits den Abschluss der Umsetzung bedeutet. Für Unternehmen mit europäischen Kunden, europäischem Datenverkehr oder europäischen Mitarbeiterdaten sowie für Unternehmen, die das Verhalten europäischer Nutzer für Werbung und Remarketing analysieren, ist die GDPR keine reine Dokumentationsaufgabe der Rechtsabteilung. Sie ist ein systematisches Projekt, das Website, Marketing, CRM, Datenspeicherung, Drittanbieter-Tools und interne Prozesse umfasst.

Für die budgetverantwortlichen Personen kommt es vor allem darauf an, klar zu erkennen: In welche notwendigen Bereiche fließen die GDPR-Compliance-Kosten normalerweise, welche Ausgaben fallen einmalig an, welche werden zu langfristigen Betriebskosten und bei welchen Einsparungen steigt das spätere Risiko tatsächlich an? Wenn diese Punkte nicht voneinander getrennt werden, wird das Budget in der Anfangsphase häufig zu niedrig angesetzt. Später entstehen dann zusätzliche Kosten durch Systemüberarbeitungen, nachträgliche Vertragsunterzeichnungen, Einschränkungen bei der Schaltung von Kampagnen oder Kundenanforderungen im Rahmen von Audits.

In der Praxis konzentrieren sich die GDPR-Compliance-Kosten meist auf fünf Bereiche: Dateninventarisierung, rechtliche und Compliance-Bewertung, Anpassung von Websites und Systemen, Lieferanten- und Vertragsmanagement sowie laufender Betrieb und Audits. Die Erstellung von Dokumenten ist dabei nur ein vergleichsweise kleiner Teil.

Warum Budgets häufig falsch eingeschätzt werden: Die Komplexität der „Datenkette“ wird unterschätzt

Viele Unternehmen gehen zunächst davon aus: Ein Cookie-Banner auf der Website, eine aktualisierte Datenschutzerklärung und eine Datenverarbeitungsvereinbarung sollten kein großes Budget erfordern. Sobald das Geschäft jedoch Leadgenerierung über eine eigene Website, Anfrageformulare, Werbetracking, E-Mail-Marketing, Kundenservice-Systeme, CRM-Nachverfolgung und Serverbereitstellungen in mehreren Regionen umfasst, geht es nicht mehr nur um die Compliance auf Seitenebene, sondern um die Anpassung des gesamten Datenflusses.

Bei der Budgetfreigabe sollte nicht in erster Linie ein hoher Anbieterpreis beunruhigen, sondern ein Angebot, das nur den „sichtbaren Teil“ abdeckt. Eine scheinbar günstige GDPR-Implementierung führt fast zwangsläufig zu Nachforderungen, wenn sie keine Datenlandkarte, keine Prüfung von Drittanbieter-Skripten, kein Einwilligungsmanagement, keinen Mechanismus zur Datenlöschung, keine Vertragsunterlagen für internationale Datenübermittlungen und keine Schulung der Teamprozesse umfasst.

In integrierten Website- und Marketingservices tritt diese Fehleinschätzung besonders häufig auf. Die Daten verbleiben nicht statisch auf der Unternehmenswebsite, sondern gelangen in Werbeplattformen, Analyse-Tools, Marketing-Automatisierungssysteme, Vertriebssysteme und Kundenservice-Tools. Mit jedem zusätzlichen Prozessschritt entsteht eine weitere Verantwortungsgrenze und zugleich eine weitere mögliche Kostenquelle.

Die erste notwendige Ausgabe: Dateninventarisierung und Aufbau einer Datenlandkarte

Dies ist üblicherweise die unauffälligste, aber zugleich wichtigste Ausgabe. Unternehmen müssen zunächst einige grundlegende Fragen beantworten: Welche personenbezogenen Daten werden gesammelt, woher stammen sie, für welche Zwecke werden sie verwendet, wo werden sie gespeichert, wer kann darauf zugreifen, wie lange werden sie aufbewahrt, werden sie an Dritte übermittelt und findet eine grenzüberschreitende Übermittlung statt?

Wenn diese Fragen nicht eindeutig beantwortet werden können, lassen sich die nachfolgenden Richtlinien, Systeme und Verträge nicht präzise umsetzen. Viele Unternehmen möchten diesen Schritt überspringen und direkt die Website anpassen. Später stellen sie jedoch fest, dass die Inhalte der Datenschutzerklärung nicht mit den tatsächlichen Geschäftsprozessen übereinstimmen, wodurch sich das Risiko sogar erhöht.

Die Kosten in diesem Bereich entstehen in der Regel durch:

• Personalkosten für Interviews mit mehreren internen Abteilungen und die Bestandsaufnahme der Prozesse;
• Honorare externer Berater für die Identifizierung von Datenbeständen und die Erfassung der Verarbeitungstätigkeiten;
• die Bestandsaufnahme der Datenelemente auf der Website, in Formularen, Tracking-Codes, CRM-Feldern, Kundenservice-Plugins und E-Mail-Tools.

Für die Finanzabteilung liegt der Wert dieses Aufwands darin, eine klare Grundlage für die späteren Anpassungen zu schaffen. Ohne diese Grundlage wird das Projekt schnell zu einem unkontrollierbaren Vorgehen nach dem Muster „jedes Problem einzeln beheben“.

Der zweite häufig unterschätzte Kostenblock: rechtliche Bewertung und Prüfung der Anwendbarkeit

Nicht jedes Unternehmen unterliegt denselben Anforderungen. Der Umfang der GDPR-Anwendbarkeit hängt unter anderem vom Geschäftsmodell, der Art und Menge der Daten, dem Verarbeitungsumfang, dem Angebot von Waren oder Dienstleistungen für Personen in der EU und der Überwachung ihres Verhaltens ab. Die Schwerpunkte unterscheiden sich daher erheblich: Bei manchen Unternehmen stehen Cookies und Werbetracking im Mittelpunkt, bei anderen B2B-Anfrageformulare und die CRM-Verwaltung; wiederum andere verarbeiten Mitarbeiterdaten, Daten von Vertriebspartnern oder Daten aus Kundendienstsystemen.

Zu den notwendigen Kosten in dieser Phase gehören üblicherweise:

• eine erste Prüfung der Anwendbarkeit der GDPR;
• die Prüfung von Datenschutzerklärung, Cookie-Richtlinie und Erläuterungen zur Datenverarbeitung;
• die Beurteilung, ob eine DPIA (Datenschutz-Folgenabschätzung) erforderlich ist;
• die Abgrenzung der Verantwortlichkeiten von Verantwortlichen und Auftragsverarbeitern;
• die Prüfung von Vertragsunterlagen für internationale Datenübermittlungen, einschließlich Standardvertragsklauseln (SCC);
• die Festlegung der Compliance-Verantwortlichkeiten zwischen Kunden, Vertriebspartnern und technischen Dienstleistern.

Diese Ausgaben erzeugen auf den ersten Blick keine sichtbare Website, bestimmen jedoch, ob die späteren technischen Anpassungen in die richtige Richtung gehen. Bei der Budgetfreigabe sollte daher eine zentrale Frage gestellt werden: Erstellt der Anbieter lediglich Vorlagen oder nimmt er eine individuelle Bewertung auf Grundlage der bestehenden Geschäfts- und Datenflüsse vor? Wenn lediglich Vorlagen angepasst werden, kann ein niedriger Preis trotz allem einen geringen praktischen Nutzen haben.

Der größte Budgetunterschied entsteht bei der Anpassung von Website und Marketingsystemen

Bei den GDPR-Compliance-Kosten steigen die Ausgaben am häufigsten von einigen Tausend auf mehrere Zehntausend Euro oder mehr, wenn es um die Anpassung der Systeme geht – nicht um die Rechtsberatung. Der Grund ist einfach: Sobald Website, Werbung und Marketing-Automatisierung bereits aktiv sind, wird die Compliance nicht von Grund auf neu konzipiert, sondern während des laufenden Geschäftsbetriebs angepasst.

Typische Kostenpunkte sind:

• Einrichtung und Konfiguration einer Plattform für das Cookie-Einwilligungsmanagement;
• Kategorisierung und Blockierung von Tracking-Skripten Dritter sowie Anpassung der Auslöse-Logik;
• ausdrückliche Einwilligung in Formularen, Angaben zum Verwendungszweck, Abonnement-Checkboxen und Nachweisaufbewahrung;
• funktionale Unterstützung für Prozesse zum Zugriff, zur Berichtigung, Löschung und zum Export von Nutzerdaten;
• Anpassung der Regeln für die Datensynchronisierung zwischen CRM, E-Mail-System, Online-Kundenservice und Website;
• Festlegung von Aufbewahrungsfristen in Protokollen, Datenbanken und Backup-Systemen;
• Konfiguration unterschiedlicher Hinweise und Einwilligungsmechanismen für regionale Versionen mehrsprachiger Websites.

Wenn ein Unternehmen eine Architektur verwendet, die aus zahlreichen Marketing-Tools zusammengesetzt ist, steigen diese Kosten in der Regel, da für jedes Tool das Verhalten innerhalb des Einwilligungsmechanismus geprüft werden muss. Wenn ein Besucher beispielsweise nicht in Statistik-Cookies eingewilligt hat: Werden Analyse-Tools, Remarketing-Pixel oder Ereignisse der Marketing-Automatisierung trotzdem ausgelöst? Solche Fragen bestimmen die Tiefe der erforderlichen Anpassungen.

Für die budgetfreigebende Person ist ein wichtiger Maßstab: Deckt das Angebot des Anbieters nur die „Darstellung im Frontend“ ab oder auch das „Datenverhalten im Backend“? Die erste Variante ist günstiger, löst das eigentliche Problem jedoch häufig nicht.

Drittanbieter und Vertragsmanagement: leicht zu übersehende versteckte Kosten

Die personenbezogenen Daten vieler Unternehmen befinden sich nicht ausschließlich auf den eigenen Servern, sondern fließen zu Website-Plattformen, Cloud-Diensten, Formular-Tools, E-Mail-Systemen, Analyse-Tools, Werbeplattformen, Kundenservice-Systemen und CRM-Anbietern. Eine der Herausforderungen der GDPR besteht darin, dass diese Drittanbieter nicht einfach nur „technische Plugins“ sind. Sie können als Auftragsverarbeiter oder gemeinsam Verantwortliche eingestuft werden oder Vereinbarungen für internationale Datenübermittlungen erfordern.

Zu den typischen Ausgaben in diesem Bereich gehören:

• Erfassung der bestehenden Drittanbieter sowie der jeweiligen Datenverarbeitungsbeziehungen;
• nachträgliche Unterzeichnung oder Prüfung von DPA (Data Processing Agreements, Auftragsverarbeitungsvereinbarungen);
• Bewertung der Serverstandorte, Unterauftragsverarbeiter-Mechanismen und Sicherheitsmaßnahmen der Anbieter;
• Ersetzung kostengünstiger Tools, die die Anforderungen nicht erfüllen;
• zusätzliche Abonnementgebühren durch Tarif-Upgrades oder die Aktivierung von Compliance-Modulen bei Anbietern.

Für die Finanzplanung ist besonders wichtig: GDPR-Compliance-Kosten zeigen sich nicht zwangsläufig vollständig als „Beratungskosten“, sondern können auch durch den Austausch von Software und Upgrades von Abonnements entstehen. Dies ist ein typischer Bestandteil der Lebenszykluskosten. Wer nur das einmalige Implementierungsangebot betrachtet, schätzt den Gesamtaufwand leicht falsch ein.

Laufende Betriebskosten sollten nicht als optional behandelt werden

Viele Projekte wirken bei ihrer Einführung zunächst konform. Verändert sich das Geschäft jedoch nach drei Monaten, kehrt das Risiko zurück. Ein neues Werbekonto, ein zusätzliches Formular-Plugin, eine neue Kampagnen-Landingpage oder ein neu beschafftes Kundenmanagement-Tool kann dazu führen, dass das ursprüngliche Compliance-Konzept nicht mehr ausreicht. GDPR ist daher eher eine „laufende Governance“ als eine einmalige Lieferung.

Zu diesen Kosten gehören normalerweise:

• Schulungen der Mitarbeiter und Aktualisierung der Zuständigkeiten;
• Compliance-Prüfungen vor der Einführung neuer Seiten, Kampagnen und Tools;
• Bearbeitung von Nutzeranfragen, etwa zu Löschung, Auskunft oder Widerruf der Einwilligung;
• regelmäßige Prüfung von Änderungen an Cookies, Skripten und Drittanbieterdiensten;
• interne Audits und Aufbewahrung von Nachweisen;
• Vorbereitung auf die Reaktion im Falle eines Datenschutzvorfalls.

Bei der Budgetplanung sollten diese Ausgaben eher als jährliche Betriebskosten betrachtet werden, statt sie vollständig in das erste Projekt zu integrieren. Andernfalls wirkt das Budget im ersten Jahr zu hoch, während das Management fälschlicherweise davon ausgeht, dass die Compliance „einmalig erledigt“ wurde. Im Folgejahr fehlen dann die Mittel für die Pflege, was letztlich zu wiederholten Anpassungen führt.

Bei der Budgetfreigabe ist die Aufschlüsselung der Kosten wichtiger als eine reine Preisreduzierung

Wenn ein Unternehmen eine GDPR-bezogene Beschaffung prüft, sollte es nicht nur einen Gesamtpreis verlangen, sondern den Anbieter auffordern, die Kosten nach Bereichen aufzuschlüsseln: Bestandsaufnahme und Bewertung, rechtliche Prüfung, technische Anpassungen, Systemintegration, Vertragsmanagement sowie Schulung und Betrieb. Nach dieser Aufteilung werden viele Fragen sofort klarer.

Zum Beispiel:

• Welche Kosten fallen als einmalige Projektgebühr an, welche als Jahres- oder Monatsgebühr?
• Welche Leistungen erfordern die Unterstützung der internen IT und welche werden vom externen Berater erbracht?
• Welche Kosten hängen direkt von der Größe der Website, der Anzahl der Sprachen und der Anzahl der Drittanbieter-Tools ab?
• Welche Punkte sind zwingend erforderlich und welche lediglich Optimierungen mit niedriger Priorität?

Diese Aufteilung bietet der Finanzabteilung einen weiteren praktischen Vorteil: Sie erleichtert eine schrittweise Projektfreigabe. Für viele Außenhandelsunternehmen, insbesondere in einer Phase der Expansion zur Gewinnung ausländischer Kunden, ist es sinnvoller, zunächst die wesentlichen Compliance-Anforderungen in Bereichen mit hohem Risiko und hoher Sichtbarkeit umzusetzen und die weitergehende Governance anschließend schrittweise zu ergänzen, statt sofort eine vollständige Optimallösung anzustreben.

Welche Situationen die GDPR-Compliance-Kosten deutlich erhöhen

Aus Beschaffungssicht deuten die folgenden Situationen häufig auf ein höheres Budget hin:

• eine große Anzahl von Websites mit Versionen für mehrere Sprachen und Regionen;
• komplexe Marketingprozesse mit gleichzeitiger Nutzung von SEO, Google Ads, Social-Media-Werbung, E-Mail-Automatisierung und CRM;
• zahlreiche Altsysteme mit verteilten Daten und unklaren Datenflüssen;
• starke Abhängigkeit von Drittanbieter-Plugins, SaaS-Tools und ausgelagerten Teams;
• langfristiges Remarketing, Nutzerprofiling oder Verhaltensanalysen für europäische Kunden;
• Kunden aus Branchen mit besonders hohen Anforderungen an die Compliance der Lieferkette.

Wenn ein Unternehmen dagegen lediglich eine einfache Präsentationswebsite mit wenigen Formularen und Drittanbieter-Tools betreibt und kaum komplexes Tracking einsetzt, sind die Kosten normalerweise besser kontrollierbar. Entscheidend ist nicht die Größe des Unternehmens, sondern die Komplexität der Datenverarbeitung.

Ein häufiger Irrtum: GDPR als „Beschaffung durch die Rechtsabteilung“ statt als „Governance des Geschäftssystems“

Viele Verzögerungen bei Freigaben und Budgetüberschreitungen entstehen aus dem Irrtum, dass mit GDPR hauptsächlich Rechtstexte eingekauft werden. Tatsächlich sind Texte im integrierten Website- und Marketinggeschäft nur das Ergebnis. Die eigentlichen Kosten entstehen durch die Schaffung der technischen und organisatorischen Fähigkeiten, mit denen die hinter diesen Texten stehenden Zusagen umgesetzt werden können.

Wenn die Datenschutzerklärung beispielsweise festlegt, dass Nutzer die Löschung ihrer Daten beantragen können, verfügt das Unternehmen dann tatsächlich über einen Löschmechanismus? Wenn sie besagt, dass Analyse und Marketing-Tracking nur nach Einwilligung erfolgen, können Skripte technisch tatsächlich blockiert werden? Wenn sie festlegt, dass Daten nur an notwendige Dienstleister weitergegeben werden, ist die Liste der Drittanbieter vollständig? Dies sind keine Fragen der Texterstellung, sondern Fragen der Prozesse und Systeme.

Aus Sicht der Finanzkontrolle besteht das sinnvollste Ziel nicht in den „niedrigsten GDPR-Compliance-Kosten“, sondern in einer „wirksamen Compliance-Investition bei möglichst geringen Kosten für Nacharbeiten“. Denn wenn die einzelnen Projektphasen nicht aufeinander abgestimmt sind, ist jede spätere Korrektur teurer, als die Grenzen bereits zu Beginn vollständig zu klären.

Bei der Freigabe sollten drei Punkte besonders geprüft werden

Erstens: das Ausmaß der Risikoexposition. Verarbeitet das Unternehmen tatsächlich Daten von Personen in der EU, ist es auf Besucher und Anfragen aus Europa angewiesen und nutzt es zahlreiche Tracking- und Remarketing-Tools? Je größer die Exposition, desto weniger darf sich die Compliance auf oberflächliche Maßnahmen beschränken.

Zweitens: die Vollständigkeit der Kostenstruktur. Wenn ein günstiges Angebot keine Dateninventarisierung, Systemanpassungen, Lieferantenverträge und laufende Wartung umfasst, werden die Kosten sehr wahrscheinlich nur in die Zukunft verschoben.

Drittens: die Unterstützung der Geschäftskontinuität durch die Investition. Gute Compliance-Investitionen bringen das Marketing nicht zum Stillstand, sondern passen die Datenverarbeitung so an, dass weiterhin Kunden gewonnen werden können. Für Außenhandels- und grenzüberschreitend tätige Unternehmen ist dieser Punkt wichtiger als die Anzahl der erstellten Dokumente.

Zurück zur Kernfrage: In welche notwendigen Bereiche fließen GDPR-Compliance-Kosten normalerweise? Die Antwort ist nicht kompliziert: Sie fließen nicht hauptsächlich in das Verfassen von Dokumenten, sondern in das Verständnis der Daten, die Anpassung der Systeme, die Klärung der Verantwortlichkeiten und die Aufrechterhaltung des laufenden Betriebs. Wer diese Leitlinie bei der Budgetfreigabe beachtet, kann genauer unterscheiden, welche Ausgaben wirklich erforderlich sind, welche nur oberflächliche Compliance darstellen und welche lediglich zukünftige Nacharbeiten verursachen.