OneTrust

Was es ist

OneTrust ist die Plattform für Datenschutzprogramme, die die meisten internen Rechts- und Datenschutzteams erben: Cookie- und Consent-Management, Data Mapping und Verzeichnisse von Verarbeitungstätigkeiten (RoPA), Automatisierung von Betroffenenanfragen (DSAR), Datenschutz-Folgenabschätzungen, Third-Party-Risiko und — der Teil, mit dem OneTrust heute auftritt — KI-Governance. Verkauft wird das als Module auf einer Plattform, nicht als ein einzelnes Produkt, und jedes Modul hat seine eigene Preismetrik. Gegründet von Kabir Barday in Atlanta, wurde das Unternehmen in seiner letzten Finanzierungsrunde mit Bewertung (2023) mit 4,5 Mrd. $ bewertet und gibt an, dass mehr als die Hälfte der Fortune 500 Kunden sind. Der erste Marktanteilsbericht von IDC zu Datenschutzsoftware sah OneTrust bei 29,7 % — mehr als doppelt so viel wie der nächste Wettbewerber; die Zahl stammt von 2022, doch nichts seither Veröffentlichtes deutet darauf hin, dass sich die Reihenfolge gedreht hat.

2026 haben sich zwei Dinge geändert. John Heyman löste Barday am 9. Februar als CEO ab, Barday wechselte in den Board. Und auf der TrustWeek (28.–30. September, Las Vegas) machte OneTrust die Governance von KI-Agenten zur Schlagzeile: CORIE, eine gemeinsame Reasoning- und Evidenzschicht, dazu eine AI Control Plane, die Aktionen von Agenten zur Laufzeit bewertet, und ein Governance Command Center — alle als allgemein verfügbar angekündigt. Die Bausteine, die OneTrust in die Tools bringen würden, die Menschen tatsächlich nutzen — ein headless MCP Gateway für ChatGPT, Claude, Copilot und Glean, KI-gestützte Assessments, Conversational Consent — sind Private Preview für Herbst 2026. Gartner führt OneTrust im ersten Magic Quadrant 2026 für AI Governance Platforms als Visionary, nicht als Leader.

Warum es in Legal-Ops-Stacks auftaucht

• Es ist das System of Record, das Prüfer und Aufsichtsbehörden bereits erwarten. Ein RoPA, eine DSFA-Spur und ein Consent-Log, die eine Aufsichtsbehörde schon einmal gesehen hat, sind in einem GDPR-Verfahren etwas wert.
• Ein Inventar bedient mehrere Pflichten. Die Datenlandkarte, die für das RoPA gebaut wurde, ist dieselbe, die eine DSAR-Suche und ein Lieferanten-Assessment eingrenzt. Teams, die den DSAR-Intake-Flow oder den Vendor-Due-Diligence-Skill betreiben, brauchen diese Landkarte ohnehin.
• Das KI-Inventar kommt mit dem EU AI Act. Das KI-Governance-Modul von OneTrust registriert Modelle und Use Cases, führt Risikobewertungen gegen den AI Act und die NIST-Frameworks durch und verknüpft sie mit dem Datenschutzinventar. Diese Verknüpfung ist der Grund, es bei OneTrust statt bei einem Einzeltool zu kaufen.

Preisrealität

Es gibt keinen veröffentlichten Preis. Die Preisseite listet Pakete — CMP Base und Suite, Privacy Automation Base und Suite, Third-Party Risk Base und Suite, AI Governance, Tech Risk & Compliance —, jedes mit eigener Metrik: Admin-User, tägliche Website-Besucher, Datenprofile oder Inventargröße.

Die Transaktionsdaten von Vendr (rund 309 Abschlüsse) legen den Medianvertrag bei etwa 12.000 $ pro Jahr, mit einer Spanne von rund 1.600 $ bis 48.000 $. Dieser Median besteht überwiegend aus Consent-Verträgen mit einem einzigen Modul. Ein Programm mit mehreren Modulen kostet in einem Unternehmen mit 1.000–5.000 Beschäftigten laut Drittschätzungen ca. 40.000–120.000 $ pro Jahr, Enterprise-Programme gehen in den sechsstelligen Bereich. Die Implementierung kommt mit 20–40 % des Abonnements im ersten Jahr hinzu. Wettbewerber berichten, dass OneTrust ab Q2 2026 ein jährliches Minimum von 10.000 $ eingeführt hat; OneTrust hat das nicht bestätigt — behandeln Sie es als wahrscheinliche Untergrenze, nicht als Angebot. Vendr nennt 20–30 % unter dem ersten Angebot bei mehrjährigen Laufzeiten und jährliche Preisanpassungsklauseln von 5–10 % als Standard.

Am besten für

Datenschutzbeauftragte und Legal-Ops-Leads in Unternehmen mit über 2.000 Beschäftigten, die unter der GDPR und mehreren US-Datenschutzgesetzen der Bundesstaaten arbeiten, Consent, RoPA, DSAR und Lieferanten-Assessments in einem prüfbaren System brauchen und dem Board inzwischen ein Inventar der KI-Nutzung schulden. Der Return der Plattform steigt mit der Zahl der Module, die Sie tatsächlich betreiben — ab zwei Modulen trägt sich das gemeinsame Inventar.

Kaufen Sie es nicht für ein Unternehmen mit weniger als 500 Beschäftigten, das einen Cookie-Banner und ein paar DSARs im Monat braucht. Dieser Käufer zahlt den Mindestpreis für einen Bruchteil der Plattform; ein dediziertes Consent-Tool mit veröffentlichtem Monatspreis pro Domain deckt denselben Bedarf.

Im Vergleich zu den Alternativen

TrustArc ist der älteste Konkurrent und das übliche Zweitangebot. Wählen Sie TrustArc, wenn das Programm von Assessments und Zertifizierungen getrieben ist und das Team einen kleineren Anbieter will, der ans Telefon geht; wählen Sie OneTrust, wenn Sie den breiteren Modulkatalog und eine KI-Governance-Schicht auf demselben Inventar brauchen.

Securiti ist der Herausforderer mit dem größten jüngsten Exit: Veeam hat das Unternehmen im Dezember 2025 für 1,725 Mrd. $ gekauft. Wählen Sie Securiti, wenn Data Discovery und DSPM über Cloud-Datenspeicher die eigentliche Aufgabe sind und die Security das Budget mitverantwortet; wählen Sie OneTrust, wenn Legal und Datenschutz das Programm verantworten.

Transcend passt zu engineering-getriebenen Unternehmen, die DSAR und Consent per API im Code durchsetzen wollen, statt sie als Tickets abzuarbeiten.

Vanta gewinnt, wenn der Treiber SOC 2- oder ISO 27001-Nachweise sind, nicht Datenschutz. Für die Laufzeitkontrolle darüber, welche Agenten und MCP-Tools Beschäftigte nutzen, setzen WitnessAI oder Zenity heute schon durch, womit die Control Plane von OneTrust gerade erst beginnt. Für prozessgetriebene Käufer teilt Exterro die Datenlandkarte mit dem Legal Hold.

Passt keine davon, liegt die Lücke meist in der Verantwortung: Niemand pflegt die Datenlandkarte, und jede Plattform hier ist nur so aktuell wie diese Landkarte.

Worauf Sie achten sollten

• Die Eigentümerfrage ist offen. The Information berichtete im November 2025, dass OneTrust über einen Verkauf an Private Equity mit einer berichteten Bewertung von über 10 Mrd. $ verhandelt; Anfang Oktober 2026 war kein Abschluss angekündigt. Ein neuer Eigentümer kann Verlängerungen neu bepreisen und langsamere Module einstellen. Absicherung: Deckeln Sie Preiserhöhungen bei Verlängerung vertraglich (5 % oder weniger), vereinbaren Sie eine Change-of-Control-Klausel mit straffreiem Kündigungsrecht und vermeiden Sie Laufzeiten über 24 Monate, bis der Verkauf geklärt ist.
• Die Aufschläge bei Verlängerung sind hoch. Käufer berichten von vorgeschlagenen Aufschlägen von 20–40 % bei der Verlängerung, mit Ausreißern darüber. Absicherung: Beginnen Sie die Verlängerungsverhandlung 120 Tage vorher, bringen Sie ein Angebot von TrustArc oder Securiti mit und lassen Sie jedes Modul einzeln ausweisen, damit ungenutzte gestrichen werden können.
• Die Agent-Governance-Schlagzeile ist größtenteils Preview. MCP Gateway, KI-gestützte Assessments und Conversational Consent sind Private Preview, ohne namentlich genannte Produktionskunden. Absicherung: Kaufen Sie das KI-Governance-Modul für Inventar und Assessments, die heute ausgeliefert werden, und machen Sie jede Zusage zur Agenten-Laufzeit zu einer Vertragsanlage mit Abnahmekriterien.
• Der Administrationsaufwand ist real. Jedes Modul hat seine eigene Konfigurationstiefe; Bewertungen stufen den Funktionsumfang durchgehend höher ein als die Bedienbarkeit. Absicherung: Benennen Sie vor der Unterschrift einen dedizierten Plattformverantwortlichen und budgetieren Sie im ersten Jahr Stunden eines Implementierungspartners.