TrustArc

Was es ist

TrustArc ist die Datenschutz-Management-Plattform, die 1997 als TRUSTe begann, das Datenschutzsiegel für Websites. Heute verkauft sie zwei Hälften auf einer Plattform. Das Privacy Studio deckt die kundenseitige Arbeit ab: Cookie Consent Manager, Consent & Preference Manager, Individual Rights Manager für Betroffenenanfragen (DSAR) und ein öffentliches Trust Center. Die Governance Suite deckt das Programm ab: PrivacyCentral, Data Mapping & Risk Manager, Assessment Manager und Nymity Research, eine regulatorische Bibliothek mit mehr als 50.000 von Experten verfassten Referenzen aus über 140 Rechtsordnungen. Daneben stehen die TRUSTe-Zertifizierungen sowie die Verifizierungs- und Streitbeilegungsdienste für das EU-U.S. Data Privacy Framework, die kein anderer Plattformanbieter betreibt.

Sie ist das, was OneTrust in kleinerem Maßstab am nächsten kommt. Bregal Sagemount verkaufte das Unternehmen im Oktober 2025 zu nicht genannten Konditionen an den niederländischen Private-Equity-Investor Main Capital Partners. Zwei Monate später, am 18. Dezember 2025, machte TrustArc Arc allgemein verfügbar: eine neu gebaute Oberfläche, eine gemeinsame Evidence Library und Arc Intelligence, eine KI-Schicht, deren Assistent Ask Arc regulatorische Fragen mit Quellenangaben beantwortet. Am 8. Oktober 2026 machte TrustArc Ask Arc agentisch. Er kann jetzt Datensätze lesen, anlegen, ändern und löschen (einen Lieferantendatensatz, einen Eintrag im Data Map, ein Lieferanten-Risk-Assessment aus einer freigegebenen Vorlage), wobei ein Mensch jeden Schreibvorgang freigibt. Dasselbe Release brachte MCP in beide Richtungen: Arc liest aus Salesforce, Atlassian und anderen MCP-Tools, und Datenschutzteams können Arc aus Claude, ChatGPT oder Microsoft 365 Copilot heraus abfragen.

Warum es in Legal-Ops-Stacks auftaucht

• Es ist das übliche Zweitangebot gegen OneTrust. Die meisten Datenschutz-Suites werden bei einer OneTrust-Verlängerung gekauft, und TrustArc hat eine vergleichbare Modulabdeckung, setzt also in dieser Verhandlung die Preisobergrenze.
• Die Recherche ist eingebaut. Nymity Research liegt direkt neben den Assessments, sodass eine DSFA nach GDPR oder ein neues US-Bundesstaatengesetz die rechtliche Anforderung auf denselben Bildschirm holt wie die Nachweise. Kleine Datenschutzabteilungen ohne Budget für ein separates Recherche-Abo nutzen das intensiv.
• Die Zertifizierung ist ein Asset gegenüber Käufern. Wenn Ihr Vertrieb in Security-Reviews Datenschutzfragen beantwortet, erledigt ein TRUSTe-Siegel oder die DPF-Verifizierung das in einer Zeile. Der DPF-Jahresbericht 2025 von TrustArc führt 246 verifizierte Teilnehmer.

Preisrealität

Es gibt keine öffentliche Preisliste und keinen Self-Service-Tarif; jeder Weg führt über “book a demo”. Der Vendr-Einkaufsleitfaden vom Februar 2026 nennt einen Median-Vertrag von 15.120 $ pro Jahr, bei Transaktionen von etwa 8.200 $ bis 43.800 $. Dieser Median bildet vor allem Deals mit ein oder zwei Modulen ab. Die Modulschätzungen desselben Leitfadens liegen höher: 15.000–40.000 $ pro Jahr für Cookie Consent auf 1–5 Domains und 30.000–70.000 $ für Lieferantenrisiko bei 50–200 Lieferanten, dazu Implementierung von 10.000–50.000+ $ und jährliche Preissteigerungen von 3–7 %. Die Vendr-Seite selbst ist bei Deal-Anzahl und Stufen widersprüchlich; nehmen Sie den Median als belastbare Zahl und die Modulbänder als obere Grenze.

Unsere Arbeitsschätzung auf Basis dieser Zahlen: etwa 15.000 $ pro Jahr für ein einzelnes Modul und 40.000–90.000 $ pro Jahr für ein Governance-Programm mit drei bis vier Modulen in einem mittelgroßen Unternehmen. Vendr berichtet von 20–35 % Nachlass auf den Listenpreis bei Mehrjahresverträgen oder Wettbewerbsangeboten, und das Geschäftsjahr von TrustArc endet im Dezember, sodass Angebote zum Jahresende den größten Spielraum haben.

Am besten für

Datenschutzverantwortliche in Unternehmen mit 500 bis 5.000 Beschäftigten, die unter GDPR und mehreren US-Bundesstaatengesetzen arbeiten, mit einem Datenschutzteam von ein bis fünf Personen, die Consent, DSAR, Data Map und Assessments in einem System brauchen und die regulatorische Recherche inklusive haben wollen. Es passt auch für Unternehmen, die gegenüber Kunden eine anerkannte Zertifizierung oder die DPF-Verifizierung benötigen.

Kaufen Sie es nicht, wenn Ihr Datenschutzprogramm im Wesentlichen ein Cookie-Banner auf ein oder zwei Websites ist; ein dediziertes Consent-Tool kostet einen Bruchteil des Median-Vertrags. Kaufen Sie es auch nicht, wenn die Entwicklung Consent und Löschung in den Produktivsystemen verantworten wird; ein API-first-Tool passt besser zu diesem Modell.

Im Vergleich zu den Alternativen

OneTrust ist mit großem Abstand Marktführer (IDC bezifferte den Anteil 2022 auf 29,7 %). Wählen Sie OneTrust, wenn Sie den breitesten Modulkatalog, Third-Party-Risk im Enterprise-Maßstab oder KI-Governance verknüpft mit dem Datenschutzinventar brauchen. Wählen Sie TrustArc, wenn Ihr Programm von Assessments und Recherche getrieben ist und Sie niedrigere Listenpreise wollen; Vendr schätzt, dass OneTrust bei vergleichbarem Umfang 10–25 % höher listet.

Securiti, im Dezember 2025 von Veeam übernommen, gewinnt, wenn die eigentliche Aufgabe die Datenerkennung über Cloud-Datenspeicher ist und die Security das Budget mitträgt.

DataGrail, Ketch und Transcend sind die schnell agierenden Mid-Market-Herausforderer; jeder hat 2026 KI-Agenten und MCP-Unterstützung ausgeliefert. Wählen Sie DataGrail für ein schlankes Team, das DSAR und Data Mapping schnell live braucht, Ketch für Marketing-Consent und Opt-out-Durchsetzung und Transcend, wenn die Entwicklung Datenschutz direkt in den Code einbaut.

Vanta passt, wenn der Treiber Nachweise für SOC 2 oder ISO 27001 sind und nicht das Datenschutzrecht.

Worauf Sie achten sollten

• Neuer Eigentümer, neue Preisanreize. Main Capital besitzt TrustArc seit einem Jahr, und ein neuer Eigentümer kann Verlängerungen neu bepreisen oder langsamere Module einstellen. Absicherung: Begrenzen Sie jährliche Erhöhungen im Bestellformular auf 5 %, vereinbaren Sie ein Kündigungsrecht bei Kontrollwechsel und halten Sie Laufzeiten bei höchstens 24 Monaten.
• Die Reaktionszeit des Supports schwankt. G2 bewertet TrustArc mit 4,2 aus 328 Bewertungen, aber etwa 15 Bewertungen nennen langsame Support-Antworten und unbeantwortetes Feedback. Absicherung: Schreiben Sie Reaktionszeiten in den Vertrag und sichern Sie sich vor der Unterschrift einen namentlich benannten Customer Success Manager.
• Die agentischen Funktionen sind neu. Agentisches Ask Arc und MCP kamen im Oktober 2026, mit drei genannten Kundenzitaten und ohne veröffentlichte Nutzungsdaten. Absicherung: Kaufen Sie nach den Modulen, die Sie heute brauchen, testen Sie Ask Arc in einem einzelnen Workflow (zum Beispiel Lieferantendatensätze, die den Skill für Lieferanten-Due-Diligence speisen) und prüfen Sie, auf welche Datensätze ein externer Assistent zugreifen kann, bevor Sie MCP aktivieren.
• Die Qualität des Data Maps entscheidet alles. Die DSAR-Bearbeitung, etwa mit dem DSAR-Intake-Flow, ist nur so gut wie das Data Map dahinter. Absicherung: Benennen Sie vor dem Rollout einen Verantwortlichen für das Data Map und planen Sie ein vierteljährliches Review ein.