{"id":44898,"date":"2026-07-31T09:00:56","date_gmt":"2026-07-31T07:00:56","guid":{"rendered":"https:\/\/2b-advice.com\/?p=44898"},"modified":"2026-07-31T21:48:00","modified_gmt":"2026-07-31T19:48:00","slug":"privacy-irm-software-rfp-evaluation-controllability","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/en\/2026\/07\/31\/privacy-irm-software-rfp-bewertung-steuerbarkeit\/","title":{"rendered":"Controllability as an Evaluation Criterion in the Selection of Privacy-IRM Software"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Kurzantwort<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Privacy-IRM-Software sollte im Rahmen einer RFP-Ausschreibung nicht ausschlie\u00dflich anhand allgemeiner Funktionslisten bewertet werden. Ma\u00dfgeblich ist vielmehr, ob die jeweilige L\u00f6sung Governance-Prozesse im laufenden Betrieb nachvollziehbar, dauerhaft und skalierbar abbilden kann.<\/p>

Zu ber\u00fccksichtigen sind insbesondere Rollen und Berechtigungen, Freigaben, Eskalationen, Nachweise, strukturierte Daten, Exportm\u00f6glichkeiten, Integrationen sowie das zugrunde liegende Betriebsmodell. Eine belastbare Bewertungslogik sollte deshalb jede geforderte Funktion mit einem konkreten Nachweis, dem damit verbundenen Betriebsrisiko und dem erkennbaren Nutzen f\u00fcr die Unternehmenssteuerung verkn\u00fcpfen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Begrenzte Aussagekraft allgemeiner Feature-Listen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

RFPs f\u00fcr Datenschutz-, Compliance- und Integrated-Risk-Management-Software enthalten h\u00e4ufig umfangreiche Funktionskataloge. Abgefragt wird etwa, ob Workflows, Reporting-Funktionen, Dashboards, Rollenmodelle, Exporte, APIs, Mehrsprachigkeit oder Audit Trails vorhanden sind.<\/p>

In der Praxis f\u00fchrt dieses Vorgehen h\u00e4ufig dazu, dass nahezu alle Anbieter einen gro\u00dfen Teil der Anforderungen formal erf\u00fcllen. Die Ergebnisse liegen eng beieinander, obwohl sich die L\u00f6sungen im sp\u00e4teren Betrieb erheblich unterscheiden k\u00f6nnen.<\/p>

Der Grund hierf\u00fcr liegt weniger in der Anzahl der abgefragten Funktionen als in der Abstraktion der verwendeten Begriffe. Ein allgemeiner Feature-Haken l\u00e4sst regelm\u00e4\u00dfig keine belastbare Aussage dar\u00fcber zu, wie umfassend, konfigurierbar und betriebstauglich die jeweilige Funktion tats\u00e4chlich ausgestaltet ist.<\/p>

Dies zeigt sich beispielsweise beim Begriff \u201eWorkflow\u201c. Darunter kann sowohl eine einfache E-Mail-Benachrichtigung als auch ein konfigurierbarer Prozess mit Rollen, Bedingungen, Fristen, Eskalationen, Wiedervorlagen, Entscheidungspunkten und Audit Trail verstanden werden. Werden beide Auspr\u00e4gungen in einer Bewertungsmatrix lediglich als \u201eWorkflow vorhanden\u201c erfasst, entsteht eine Vergleichbarkeit, die den tats\u00e4chlichen Leistungsumfang nur unzureichend abbildet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Auswahlentscheidungen gro\u00dfer Unternehmen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Gro\u00dfe Unternehmen beschaffen Governance-Software regelm\u00e4\u00dfig nicht nur f\u00fcr einen einzelnen Nutzer oder einen isolierten Prozess. Die L\u00f6sung muss vielmehr in ein bestehendes organisatorisches und technisches Betriebsmodell eingeordnet werden.<\/p>

Zu ber\u00fccksichtigen sind dabei unter anderem mehrere Fachbereiche, Regionen, Gesellschaften, Rollen, Sprachen und regulatorische Anforderungen. Hinzu kommen wechselnde Zust\u00e4ndigkeiten, Anforderungen an die Auditf\u00e4higkeit, Import- und Exportm\u00f6glichkeiten, Berechtigungskonzepte sowie die Notwendigkeit, Prozesse auch bei ver\u00e4nderten rechtlichen oder organisatorischen Rahmenbedingungen weiterzuentwickeln.<\/p>

Vor diesem Hintergrund reicht die Frage, ob eine Software eine bestimmte Funktion grunds\u00e4tzlich bereitstellt, f\u00fcr die Bewertung nicht aus. Zu pr\u00fcfen ist vielmehr, ob die Organisation den zugrunde liegenden Prozess mit der L\u00f6sung dauerhaft, nachvollziehbar und skalierbar steuern kann.<\/p>

Der Bewertungsma\u00dfstab verschiebt sich damit von der blo\u00dfen Funktionsoberfl\u00e4che auf die mit dem sp\u00e4teren Betrieb verbundenen Risiken und Anforderungen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Steuerbarkeit in Governance-L\u00f6sungen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Steuerbarkeit bedeutet, dass eine Organisation Informationen nicht nur dokumentiert, sondern Vorg\u00e4nge anhand definierter Zust\u00e4ndigkeiten, Pr\u00fcfungen und Entscheidungen verl\u00e4sslich bearbeiten kann.<\/p>

Am Beispiel eines Verzeichnisses von Verarbeitungst\u00e4tigkeiten l\u00e4sst sich dieser Unterschied nachvollziehen. Eine rein funktionsbezogene Bewertung w\u00fcrde insbesondere danach fragen,<\/p>

  • ob Verarbeitungst\u00e4tigkeiten erfasst werden k\u00f6nnen,<\/li>
  • ob Pflichtfelder vorhanden sind und<\/li>
  • ob sich Berichte exportieren lassen.<\/li><\/ul>

    Eine st\u00e4rker betriebsbezogene Bewertung ber\u00fccksichtigt dar\u00fcber hinaus,<\/p>

    • wer eine Verarbeitungst\u00e4tigkeit anlegen darf,<\/li>
    • welche Informationen vor einer Pr\u00fcfung vollst\u00e4ndig vorliegen m\u00fcssen,<\/li>
    • zu welchem Zeitpunkt der Datenschutzbeauftragte einzubinden ist,<\/li>
    • wer die fachliche Verantwortung tr\u00e4gt,<\/li>
    • welche \u00c4nderungen eine erneute Pr\u00fcfung ausl\u00f6sen,<\/li>
    • wie offene Ma\u00dfnahmen nachverfolgt werden,<\/li>
    • wie Freigaben dokumentiert werden,<\/li>
    • welche Version zu welchem Zeitpunkt ma\u00dfgeblich war,<\/li>
    • welche Gesellschaft oder Region auf welche Informationen zugreifen darf,<\/li>
    • wie ein Nachweis f\u00fcr ein Audit erzeugt wird und<\/li>
    • wie das System reagiert, wenn der zust\u00e4ndige Owner nicht innerhalb der vorgesehenen Frist t\u00e4tig wird.<\/li><\/ul>

      Im ersten Fall wird im Wesentlichen die Erfassung eines Datensatzes bewertet. Im zweiten Fall steht die Frage im Vordergrund, ob der zugrunde liegende Governance-Prozess im laufenden Betrieb verl\u00e4sslich umgesetzt werden kann.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

      \n\t\t\t\t
      \n\t\t\t\t\t

      Bedeutung von KO-Kriterien<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Viele RFP-Bewertungen behandeln Anforderungen weitgehend gleich. Eine Komfortfunktion kann dabei \u00e4hnlich gewichtet werden wie ein wesentliches Berechtigungs-, Integrations- oder Exportproblem. Dies kann dazu f\u00fchren, dass eine wesentliche Schw\u00e4che durch mehrere weniger bedeutsame Funktionen rechnerisch ausgeglichen wird.<\/p>

      F\u00fcr bestimmte Anforderungen ist ein solcher Ausgleich jedoch regelm\u00e4\u00dfig nicht sachgerecht.<\/p>

      Kann eine L\u00f6sung beispielsweise Mandanten, Gesellschaften oder sensible Daten nicht hinreichend trennen, d\u00fcrfte ein zus\u00e4tzliches Dashboard diesen Mangel nicht kompensieren. Entsprechendes gilt bei unvollst\u00e4ndigen Audit Trails, unzureichenden Exportm\u00f6glichkeiten oder fehlender Datenportabilit\u00e4t. Auch die Frage, ob zentrale Prozesse nur durch kundenspezifische Entwicklung angepasst werden k\u00f6nnen, betrifft unmittelbar die sp\u00e4teren Kosten, die Reaktionsgeschwindigkeit und die Abh\u00e4ngigkeit vom Anbieter.<\/p>

      RFPs sollten deshalb zun\u00e4chst solche Anforderungen bestimmen, deren Nichterf\u00fcllung zu einem Ausschluss f\u00fchrt.<\/p>

      Als KO-Kriterien kommen insbesondere in Betracht:<\/p>

      • Informationssicherheits- und Hosting-Anforderungen,<\/li>
      • Datenstandort,<\/li>
      • Rollen- und Berechtigungsmodell,<\/li>
      • Mandanten- oder Gesellschaftstrennung,<\/li>
      • Audit Trail,<\/li>
      • Exportierbarkeit und Datenportabilit\u00e4t,<\/li>
      • Integrationsf\u00e4higkeit,<\/li>
      • regulatorisch erforderliche Nachweise,<\/li>
      • Skalierbarkeit,<\/li>
      • Verf\u00fcgbarkeit und Support,<\/li>
      • vertragliche Mindestanforderungen sowie<\/li>
      • definierte Exit-M\u00f6glichkeiten.<\/li><\/ul>

        Erst wenn diese Mindestanforderungen erf\u00fcllt sind, sollte eine weitergehende differenzierte Punktebewertung erfolgen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

        \n\t\t\t\t
        \n\t\t\t\t\t

        Abgrenzung von Must-haves und Differenzierungsmerkmalen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t
        \n\t\t\t\t\t\t\t\t\t

        Standardfunktionen sollten in einer Bewertungsmatrix nicht \u00fcbergewichtet werden. Dass eine Privacy-Management-L\u00f6sung ein Verzeichnis von Verarbeitungst\u00e4tigkeiten abbilden kann, stellt regelm\u00e4\u00dfig eine Grundvoraussetzung dar. Vergleichbares gilt f\u00fcr die Anlage von Nutzern oder die Ausgabe einfacher PDF-Berichte.<\/p>

        Wer solche Must-haves mit hohen Punktwerten versieht, erh\u00f6ht die Wahrscheinlichkeit rechnerischer Gleichst\u00e4nde, ohne die tats\u00e4chlichen Unterschiede zwischen den L\u00f6sungen hinreichend abzubilden.<\/p>

        Differenzierungsmerkmale zeigen sich vielmehr bei Fragen wie:<\/p>

        • In welchem Umfang l\u00e4sst sich das Datenmodell anpassen?<\/li>
        • K\u00f6nnen Fachbereiche auf die Informationen beschr\u00e4nkt werden, die sie f\u00fcr ihre Aufgaben ben\u00f6tigen?<\/li>
        • Lassen sich Prozesse ohne Softwareentwicklung ver\u00e4ndern?<\/li>
        • K\u00f6nnen mehrere Governance-Bereiche gemeinsame Objekte nutzen?<\/li>
        • Wie werden Beziehungen zwischen Verarbeitungst\u00e4tigkeiten, Risiken, Dienstleistern, Systemen und Ma\u00dfnahmen abgebildet?<\/li>
        • Sind Freigaben mit Bedingungen und Wiedervorlagen m\u00f6glich?<\/li>
        • K\u00f6nnen Eskalationen anhand von Fristen oder Risiken ausgel\u00f6st werden?<\/li>
        • Ist der Entscheidungspfad vollst\u00e4ndig nachvollziehbar?<\/li>
        • Wie schnell lassen sich neue regulatorische Anforderungen abbilden?<\/li>
        • K\u00f6nnen interne Teams die L\u00f6sung sp\u00e4ter selbst weiterentwickeln?<\/li><\/ul>

          Diese Fragen betreffen weniger das Vorhandensein einzelner Funktionen als die Plattform- und Betriebsf\u00e4higkeit der L\u00f6sung.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t
          \n\t\t\t\t\t

          Nachweise als Bestandteil der Bewertung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          Die blo\u00dfe Angabe, eine Funktion sei vorhanden, sollte bei kritischen Anforderungen nicht ausreichen. Vielmehr ist regelm\u00e4\u00dfig ein konkreter Nachweis zu verlangen.<\/p>

          Gibt ein Anbieter beispielsweise an, \u00fcber ein flexibles Rollenmodell zu verf\u00fcgen, sollte dies anhand eines realistischen Anwendungsszenarios \u00fcberpr\u00fcft werden. Ein solcher Fall k\u00f6nnte vorsehen, dass ein Fachbereich ausschlie\u00dflich seine eigenen Verarbeitungst\u00e4tigkeiten bearbeiten darf, w\u00e4hrend der Datenschutzbeauftragte alle relevanten Vorg\u00e4nge pr\u00fcfen kann. Ein regionaler Ansprechpartner erh\u00e4lt nur Zugriff auf die ihm zugeordnete Gesellschaft. Legal kann Vertragspr\u00fcfungen einsehen, ohne automatisch Zugriff auf s\u00e4mtliche Besch\u00e4ftigtendaten zu erhalten. Das Management sieht Statusinformationen und Risiken, jedoch nicht zwingend jedes operative Detail.<\/p>

          Im Rahmen der Bewertung ist dann zu pr\u00fcfen,<\/p>

          • ob der Anbieter dieses Szenario tats\u00e4chlich konfigurieren kann,<\/li>
          • wie Rechte vererbt werden,<\/li>
          • wie \u00c4nderungen dokumentiert werden und<\/li>
          • ob der Kunde entsprechende Anpassungen sp\u00e4ter selbst vornehmen kann.<\/li><\/ul>

            Erst durch einen solchen Nachweis wird aus einer allgemeinen Funktionsaussage eine belastbare Bewertungsgrundlage.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

            \n\t\t\t\t
            \n\t\t\t\t\t