DSAR-Portal-Vergleich 2026: OneTrust, Osano, Iubenda, SAR Portal & Hugo im Test

Inhalt in Kürze

• Ein DSAR-Portal nimmt Anfragen nach Art. 15 bis 22 DSGVO an, prüft die Identität, überwacht die Monatsfrist und stellt die Antwort geschützt zu.
• OneTrust ist Enterprise-Software (Mid-Market laut Enzuzo-Marktanalyse 40.000 bis 120.000 US-Dollar im Jahr). Osano nennt keine Listenpreise. Für ein KMU mit 50 Mitarbeitenden sind beide selten die richtige Wahl.
• Iubenda Ultimate (79,99 € im Monat bei Jahreszahlung) und SAR Portal (29 bis 199 € im Monat) liefern das Formular günstig, aber ohne Datenschutzbeauftragten, der die Anfrage beantwortet.
• Hugo DSB bündelt Portal und externen DSB: ab 149 € im Monat plus 290 € Start-Einrichtung, mit Fristüberwachung, KI-Antwortentwurf und geschützter Zustellung.

Stand: November 2026 · Autor: Jens Hagel · Lesezeit: 10 Minuten

Wer 2026 eine DSAR-Software sucht, findet zwei Lager. Enterprise-Suiten wie OneTrust und Osano können sehr viel und kosten entsprechend. Günstige Self-Service-Tools liefern das Formular, lassen Sie mit der eigentlichen Antwort aber allein.

Wir vergleichen sechs Tools nach dem, was in der Praxis entscheidet: Aufwand bis zum Start, deutscher Rechtsrahmen, Schwärzung und sichere Zustellung sowie die Kosten über drei Jahre.

Was ist ein DSAR-Portal?

DSAR steht für Data Subject Access Request, auf Deutsch Betroffenenanfrage. Kunden, Beschäftigte oder Bewerber können verlangen:

• Auskunft (Art. 15): Welche Daten haben Sie über mich gespeichert?
• Berichtigung (Art. 16): Bitte korrigieren Sie meine Adresse.
• Löschung (Art. 17), das „Recht auf Vergessenwerden“.
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Ein DSAR-Portal ist die Eingangstür für solche Anfragen. Die Person wählt ihr Anliegen, bestätigt ihre Identität, und die Anfrage landet mit Frist im System statt in einem Postfach, das im Urlaub niemand liest. Nach Art. 12 Abs. 3 DSGVO haben Sie einen Monat Zeit.

DSAR-Software vergleichen: 8 Kriterien, die zählen

Die Preistabellen der Anbieter vergleichen Funktionen, die gut klingen. Bei einer Prüfung durch die Aufsichtsbehörde fragt aber niemand nach dem Design des Formulars. Gefragt wird, ob Sie fristgerecht, vollständig und ohne Datenpanne geantwortet haben. Daran messen Sie jedes Tool.

Die 6 wichtigsten DSAR-Portale 2026 im Direktvergleich

Quellen der Wettbewerbspreise (Stand Mai 2026, nachgeprüft am 24.10.2026): die Preisseiten von iubenda, SAR Portal und Osano sowie für OneTrust die Marktanalyse von Enzuzo und der Software-Marktplatz Vendr. OneTrust, Osano und Enzuzo veröffentlichen keine vollständigen Listenpreise.

Start-Aufwand: 30 Sekunden bis 8 Wochen

Der größte Unterschied liegt in der Zeit bis zum ersten Einsatz. Wer 30 Stunden Einrichtung einplanen muss, braucht ein anderes Tool als jemand, der das Portal in der Mittagspause live haben will.

1. Direkter Link (Hugo, Iubenda, SAR Portal): Eine Adresse wie app.fraghugo.de/m/ihr-unternehmen, verlinkt in Footer und Datenschutzerklärung. Mehr ist nicht nötig.
2. Iframe oder Skript (Hugo, Iubenda, Osano, Enzuzo): Ein paar Zeilen Code binden das Formular direkt in Ihre Website ein. Bei Hugo passt das Skript die Höhe des Formulars selbst an. Den Code zeigt die Anleitung zum Einrichten.
3. Eigene Subdomain (OneTrust): anfrage.firma.de per CNAME. Brauchen Sie nur bei strengen Branding-Vorgaben.
4. Tiefe Anbindung (OneTrust, Osano): Schnittstellen zu Salesforce, Workday und HR-Systemen. Rechnen Sie mit 4 bis 8 Wochen Beratung und sechsstelligem Budget.

Schwärzen und sicher zustellen: Was die DSGVO verlangt

Bei Anbietern heißt das Thema „Redaction“ und „Encryption“. Juristisch steckt dahinter eine einfache Frage: Wie geben Sie alles heraus, was der Person zusteht, ohne Daten anderer preiszugeben?

Die Kopie. Nach Art. 15 Abs. 3 DSGVO bekommt die Person eine Kopie ihrer Daten. Die erste Kopie ist kostenlos, auch wenn die Person sie für einen anderen Zweck als den Datenschutz will. Das hat der EuGH am 26.10.2023 entschieden (C-307/22).

Die Rechte Dritter. Art. 15 Abs. 4 verbietet, dass die Kopie die Rechte anderer beeinträchtigt. In E-Mail-Verläufen stehen fast immer Namen von Kollegen, Kunden oder Bewerbern. Der Europäische Datenschutzausschuss sagt dazu in seinen Leitlinien 01/2022 zum Auskunftsrecht zweierlei. Erstens: schwärzen statt verweigern. Zweitens: Dass Dritte beeinträchtigt wären, muss das Unternehmen belegen.

Die Zustellung. Eine Auskunft enthält oft genau die Daten, die besonders schutzwürdig sind. Wer sie als Anhang per Mail an eine Adresse schickt, die nie geprüft wurde, riskiert einen Verstoß gegen Art. 32 DSGVO. Besser ist ein geschützter Link, der abläuft und dessen Abruf festgehalten wird.

Bei Hugo DSB läuft die Zustellung über einen geschützten Link: Die Antwort steht nicht in der Mail, der Link gilt 7 Tage, und der erste Abruf wird mit Zeitpunkt protokolliert. Eine automatische Schwärzung von Dokumenten bietet Hugo derzeit nicht. Wer viele Akten mit Drittdaten herausgeben muss, etwa Personalakten, plant das Schwärzen als eigenen Arbeitsschritt ein. Wie Sie eine Auskunft Schritt für Schritt aufbauen, zeigt unsere Vorlage für Auskunftsanfragen.

Aus der Praxis

Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt datenschutzkonform eine Umfrage an seine Kunden losschicken. Genau so soll Arbeit mit einem Datenschutzbeauftragten stattfinden.

Nils OehmichenDatenschutzberater bei frag.hugo

Viele Anfragen, regulierte Branchen: Wann sich ein Enterprise-Tool lohnt

Ein Versicherer, eine Bank oder eine Klinikgruppe bekommt nicht 20 Anfragen im Jahr, sondern Hunderte. Dann verschiebt sich die Arbeit. Das Formular ist Nebensache, teuer wird das Zusammensuchen der Daten aus CRM, Personalsystem, Ticketsystem und Archiv.

Hier haben Enterprise-Suiten wie OneTrust ihren Platz. Sie bringen Schnittstellen zu gängigen Systemen mit, suchen Daten automatisch zusammen und verteilen Aufgaben an Fachabteilungen. Das rechnet sich ab einem Volumen, bei dem eine Person allein mit der Bearbeitung ausgelastet wäre.

• Mehr als 100 Anfragen im Jahr? Dann zählt die automatische Datensuche mehr als jede andere Funktion.
• Regulierte Branche mit eigener Aufsicht? Banken und Versicherer brauchen einen lückenlosen Nachweis, wer wann was geprüft hat. Fragen Sie nach Export und Prüfbarkeit des Protokolls.
• Mehrere Gesellschaften oder Länder? Jede Gesellschaft ist eigener Verantwortlicher. Das Tool muss Anfragen der richtigen Gesellschaft zuordnen.
• KI im Tool? Fragen Sie, wo das Modell läuft. Eine KI bei einem US-Anbieter ist eine Drittlandübermittlung und gehört in Ihr Verzeichnis.

Hugo DSB setzt keine Mengengrenze für Anfragen, ist aber für den Mittelstand gebaut. Fertige Anbindungen an CRM- oder HR-Systeme gibt es nicht; eine Schnittstelle und Webhooks richten wir auf Anfrage ein.

Kosten über 3 Jahre (KMU mit 50 Mitarbeitenden)

Die meisten Tools werben mit einem Monatspreis. Entscheidend sind die Gesamtkosten über drei Jahre: Lizenz, Einrichtung und der Datenschutzbeauftragte, der die Anfragen tatsächlich beantwortet.

Annahme: 50 Anfragen im Jahr, Beantwortung durch einen externen Datenschutzbeauftragten. Bei OneTrust, Osano, Iubenda und SAR Portal ist der DSB ein eigener Kostenblock von typisch 250 bis 800 € im Monat. Was ein externer DSB allein kostet, zeigt unser Artikel zu den Kosten eines externen Datenschutzbeauftragten.

Welches Tool für welche Größe?

• 1 bis 20 Mitarbeitende: SAR Portal Basic oder ein einfaches Webformular mit Postfach des DSB. Bei wenigen Anfragen geht das von Hand.
• 20 bis 100 Mitarbeitende: Hugo DSB Standard (149 € im Monat) mit Portal und externem DSB. Deutsche Texte, Fristüberwachung, ein Ansprechpartner.
• 100 bis 500 Mitarbeitende: Hugo DSB Pro (299 € im Monat, 12 h Beratung im Jahr) oder SAR Portal Enterprise plus externer DSB.
• 500 bis 5.000 Mitarbeitende: Osano oder ein Tool mit fertigen Schnittstellen zu HR und CRM. Die Datensuche wird zur Hauptarbeit.
• Über 5.000 Mitarbeitende oder Konzern: OneTrust, wenn Sie auch Folgenabschätzungen, Verarbeitungsverzeichnis und Dienstleisterrisiken über Dutzende Systeme steuern.

Was Hugo DSB bei Betroffenenanfragen konkret macht

• Einbinden: Link in Footer und Datenschutzerklärung oder das Formular direkt auf Ihrer Seite, per Iframe oder per Skript, das die Höhe selbst anpasst. Den Code kopieren Sie fertig aus Hugo.
• Fristen: Ein Monat ab Eingang, Verlängerung um zwei Monate nur mit Begründung; die Person wird automatisch informiert. Erinnerungen kommen 14, 7 und 3 Tage vor Ablauf.
• Identität: Die Person bestätigt ihre E-Mail-Adresse über einen Link. Erst danach lassen sich Antwortentwurf und Versand freigeben. Bei Bedarf lädt sie einen Nachweis hoch.
• Aufsichtsbehörde: Das Portal nennt die für Ihr Unternehmen zuständige Behörde und, anhand der Postleitzahl, die Landesbehörde am Wohnort der Person. Hinterlegt sind die 16 Landesbehörden und die Bundesbeauftragte. Eine Übersicht aller Behörden finden Sie in unserem Vergleich der Aufsichtsbehörden.
• KI-Antwortentwurf: Ein Entwurf mit den Pflichtangaben je Anfrageart, auf Basis Ihres Verarbeitungsverzeichnisses. Versendet wird erst, wenn alle Platzhalter ersetzt sind. Die KI (OpenAI GPT-4o) lässt sich je Unternehmen abschalten; dann kommt eine Vorlage ohne KI. Mehr dazu im Artikel zum KI-Antwort-Generator.
• Protokoll: Eingang, Bestätigung, Versand und Abruf der Antwort werden in einem mit SHA-256 verketteten Protokoll festgehalten.
• Hosting: Datenbank und Server-Funktionen laufen auf einem eigenen Server bei Hetzner in Nürnberg.

Fazit: Ihr nächster Schritt

Für die meisten Mittelständler lautet die Frage nicht „welches Enterprise-Tool“, sondern „reines Portal oder Portal mit Datenschutzbeauftragtem“. Wer beides getrennt einkauft, zahlt zweimal und koordiniert zwei Anbieter, wenn die Frist läuft. Wie Sie die Frist korrekt verlängern, zeigt unsere Vorlage zur Fristverlängerung.

Häufige Fragen (FAQ)

Was ist ein DSAR-Portal?

Ein DSAR-Portal ist ein Webformular, über das Betroffene ihre Rechte aus Art. 15 bis 22 DSGVO geltend machen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Gute Portale prüfen die Identität, überwachen die Frist und stellen die Antwort über einen geschützten Weg zu.

Welches DSAR-Tool passt zu einem deutschen KMU?

Für 20 bis 250 Mitarbeitende ist ein Tool mit deutschen Texten, Hinweis auf die zuständige Aufsichtsbehörde und angeschlossenem Datenschutzbeauftragten meist die wirtschaftlichste Wahl. SAR Portal ist als reines Portal günstig. Hugo DSB verbindet Portal und externen DSB ab 149 € im Monat. OneTrust richtet sich laut eigener Positionierung vor allem an Mid-Market und Enterprise.

Was kostet eine DSAR-Software?

Die Spanne ist groß. Self-Service-Portale wie SAR Portal oder Enzuzo beginnen laut Preisseiten (Stand Mai 2026) bei unter 30 Euro im Monat, Iubenda Ultimate liegt bei rund 80 Euro. OneTrust veröffentlicht keine Preise; laut einer Marktanalyse von Enzuzo liegen Mid-Market-Verträge bei 40.000 bis 120.000 US-Dollar im Jahr. Hugo DSB kostet ab 149 Euro im Monat zuzüglich 290 Euro Start-Einrichtung und enthält den externen DSB.

Darf ich bei einer Auskunft Daten anderer Personen schwärzen?

Ja, und Sie müssen es sogar, wenn sonst Rechte Dritter verletzt würden (Art. 15 Abs. 4 DSGVO). Der Europäische Datenschutzausschuss sagt in seinen Leitlinien 01/2022 aber auch: Schwärzen statt ablehnen. Die Auskunft darf nicht komplett verweigert werden, und die Beweislast für die Beeinträchtigung liegt beim Unternehmen.

Wie schnell muss ich eine Auskunftsanfrage beantworten?

Innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Bei komplexen oder zahlreichen Anfragen lässt sich die Frist um zwei Monate verlängern. Die Verlängerung müssen Sie der Person innerhalb des ersten Monats mitteilen und begründen.

Brauche ich für ein DSAR-Portal einen Datenschutzbeauftragten?

Nicht wegen des Portals. Ob Sie einen DSB benennen müssen, richtet sich nach Art. 37 DSGVO und § 38 BDSG, in der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ist ein DSB benannt, können Betroffene sich nach Art. 38 Abs. 4 DSGVO an ihn wenden. Das Portal nimmt die Anfrage an, beantworten muss sie jemand, der sich auskennt.

Stand der Vergleichsdaten: Preise der Wettbewerber laut deren Preisseiten (Stand Mai 2026, nachgeprüft am 24.10.2026), für OneTrust laut der Marktanalyse von Enzuzo 2026. Angaben zu Hugo DSB am Produkt geprüft am 5. November 2026.