Usercentrics
Usercentrics GmbH, München, Deutschland ·usercentrics.com· Stand: 2026-09-02
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Eine Einwilligungsverwaltung gewinnt keinen Kunden. Ihr Fehlen kostet welche. Wer im Europäischen Wirtschaftsraum und im Vereinigten Königreich personalisierte Anzeigen über Googles Werbeprodukte ausspielen will, braucht seit dem 16. Januar 2024 eine von Google zertifizierte Plattform mit Anschluss an das Transparency and Consent Framework, sonst bleibt nur unpersonalisierte Auslieferung. Daneben steht § 25 TDDDG für den Zugriff auf Endgeräte und Artikel 7 Absatz 1 DSGVO für den Nachweis der Einwilligung. Der Vorteil bleibt damit einseitig. Er verhindert Rückstand und schafft keinen, denn der Wettbewerb kauft dasselbe Banner beim selben Anbieter. Was Usercentrics von den übrigen trennt, ist der Gerichtsstand. Die Gesellschaft sitzt in München, der Auftragsverarbeitungsvertrag folgt deutschem Recht, und die Server stehen nach Angabe des Anbieters in EU-Mitgliedstaaten. Für ein Werkzeug, dessen einziger Zweck der Nachweis gegenüber einer europäischen Aufsichtsbehörde ist, wiegt das schwerer als jede Funktionsliste.
Belege:Rechtsträger, Sitz, Registernummer, Umsatzsteuer-Identifikationsnummer und GeschäftsführungZur QuelleAuftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur QuelleZiffer 6.4 zur Auswertung anonymisierter und zusammengefasster Kundendaten sowie Ziffer 7.1 zum gesonderten Auftragsverarbeitungsvertrag mit Vorrang im WiderspruchsfallZur QuellePreise je Tarifstufe, Sitzungsgrenzen, selbsttätiger Tarifwechsel bei Überschreitung, Einwilligungsprotokoll über zwölf Monate in allen Stufen sowie zweiter Faktor und Anmeldung über den Verzeichnisdienst allein im Tarif CorporateZur QuelleNachweise mit Norm, Fassung und Geltungsbereich, Serverstandorte in EU-Mitgliedstaaten mit Schwerpunkt Deutschland und Belgien, und die zweite Unterauftragnehmer-Liste mit sechs EinträgenZur QuelleZukauf von MCP Manager aus New York, gemeldet am 14. Januar 2026, ohne Angabe eines KaufpreisesZur QuelleGoogles Anforderung einer zertifizierten Einwilligungsplattform mit Anschluss an das Transparency and Consent Framework für personalisierte Anzeigen im Europäischen Wirtschaftsraum und im Vereinigten Königreich seit dem 16. Januar 2024Zur QuelleBeschluss des Verwaltungsgerichts Wiesbaden vom 1. Dezember 2021 zu Cookiebot und die Aufhebung durch den Hessischen Verwaltungsgerichtshof am 17. Januar 2022 wegen fehlender EilbedürftigkeitZur QuelleHandelsregisterdaten zu Eintragungsdatum, Stammkapitalentwicklung und BeteiligungslageZur QuelleVeröffentlichte Tarife und Nutzerzahlen des KI-nativen Gegenstücks KetchZur Quelle
Für wen es taugt
Solopreneur
geeignet
Der Einstieg ist billig und der Preis steht öffentlich. Unter 1.000 Sitzungen im Monat auf einer Domain kostet die Plattform nichts, darüber beginnt der Tarif Essential bei 7 Euro im Monat für 1.500 Sitzungen und eine einzige Rechtsordnung. Wer eine Seite mit Kontaktformular und einem Analysewerkzeug betreibt, ist damit versorgt. Die Grenze liegt bei der Zahl der Sitzungen, denn die Preisseite hält fest, dass der Tarif bei Überschreitung nach den Nutzungsbedingungen selbsttätig steigt.
KMU
geeignet
Hier entscheidet die Zahl der Domains. Der Tarif Pro deckt für 30 Euro im Monat drei Domains und 15.000 Sitzungen ab, Business für 50 Euro zehn Domains und 50.000 Sitzungen, jeweils ohne Umsatzsteuer. Eine Firma mit Hauptseite, Karriereseite und zwei Landeseiten liegt damit in der Mitte der Preisliste. Zwei Dinge fehlen bis hierher vollständig: die Anmeldung über den eigenen Verzeichnisdienst und der zweite Faktor beim Zugang zum Verwaltungskonto. Beide trägt die Vergleichstabelle vom 2. September 2026 erst im Tarif Corporate, und das ist bemerkenswert für ein Konto, in dem die Nachweise über sämtliche Einwilligungen des Hauses liegen.
Konzern
geeignet
Die Prüfliste des Einkaufs ist überwiegend bedient. Auftragsverarbeitungsvertrag als offenes Dokument mit Standardvertragsklauseln und benannter Unterauftragnehmer-Liste, Speicherung in EU-Mitgliedstaaten, dazu ISO 27001:2022, ISO 27701:2019, SOC 2 Type 2 und TISAX Stufe 3. Der Preis dafür steht nirgends. Der Tarif Corporate beginnt bei einer Million Sitzungen im Monat und trägt statt eines Betrags die Aufforderung, den Vertrieb anzusprechen. In derselben Stufe liegen die Freigabekette vor dem Livegang, die Massenbearbeitung mehrerer Konfigurationen, der zweite Faktor und die Anmeldung über den eigenen Verzeichnisdienst. Das sind genau die Punkte, ohne die ein Konzern eine solche Plattform gar nicht betreiben darf, und sie hängen alle am Verhandlungspreis.
Kaufen, wechseln oder bauen
Standardprodukt
OneTrust, ein Modul im Datenschutz-Programm
OneTrust aus Atlanta ist das etablierte Gegenstück, und Usercentrics stellt sich ihm mit einer eigenen Vergleichsseite gegenüber. Konzerne bleiben dabei, weil die Einwilligung dort ein Modul unter vielen ist. Das Verzeichnis der Verarbeitungstätigkeiten, die Bearbeitung von Betroffenenanfragen, die Risikoprüfung von Lieferanten und die Meldestelle für Hinweisgeber liegen in derselben Oberfläche und unter demselben Vertrag. Wer die Rechtsabteilung ohnehin dort sitzen hat, kauft mit dem Banner kein zweites Lieferantenverhältnis ein und führt keine zweite Prüfung. Der Preis dafür ist die Bindung, denn die Einwilligung allein zu wechseln heißt, ein Stück aus einem laufenden Programm herauszubrechen.
KI-nativ
Ketch, Einwilligung über Agenten gesteuert
Eine eigene Klasse KI-nativer Einwilligungsverwaltung hat sich noch nicht gebildet. Am weitesten geht Ketch aus San Francisco, gegründet 2020, wo nach eigener Darstellung Agenten die angeschlossenen Systeme inventarisieren, personenbezogene Daten bis auf die Ebene einzelner Felder zuordnen und Bedingungen aus Lieferantenverträgen auslesen, wo sonst Erhebungsbögen verschickt werden. Der Preisabstand ist deutlich. Ketch verlangt 150 US-Dollar im Monat für bis zu 30.000 eindeutige Nutzer und ab 499 US-Dollar für bis zu 100.000, während Usercentrics 50.000 Sitzungen für 50 Euro abdeckt. Die Zählgrößen unterscheiden sich, die Beträge sind deshalb nicht eins zu eins vergleichbar, die Größenordnung aber schon. Aufgeben muss man dafür den deutschen Gerichtsstand, den Vertrag nach deutschem Recht und die Nachweise, die ein europäischer Einkauf abfragt.
Eigenbau
Das Banner selbst bauen, die Zertifizierung nicht
Der Dialog selbst ist wenig Arbeit. Ein Skript, das Werkzeuge erst nach Zustimmung nachlädt, ein Cookie für die Entscheidung und eine Tabelle für das Protokoll entstehen mit Claude Code oder Cursor aus diesem Katalog an ein bis zwei Tagen; als Bausteine reichen Supabase für das Protokoll und Cloudflare Pages für die Auslieferung. Gerechnet mit 1.200 Euro Tagessatz sind das 1.200 bis 2.400 Euro einmalig und unter 50 Euro Infrastruktur im Monat (Schätzung). Drei Stellen lassen den Eigenbau trotzdem scheitern. Google verlangt seit dem 16. Januar 2024 für personalisierte Anzeigen an Nutzer im Europäischen Wirtschaftsraum und im Vereinigten Königreich eine von Google zertifizierte Plattform mit Anschluss an das Transparency and Consent Framework, und die bekommt ein selbst gebautes Banner nicht. Der Anbieter hält über 2.200 Dienstbeschreibungen mit Zweck und Rechtsgrund vor und schreibt sie fort, während im Eigenbau jeder neue Dienst von Hand nachgetragen wird. Und der Nachweis muss die Fassung des Banners mitführen, unter der die Einwilligung erteilt wurde; genau diese Versionierung lassen selbst gebaute Protokolle regelmäßig aus, und sie fällt erst auf, wenn eine Aufsichtsbehörde fragt.
Unser Rat
- Solopreneur: Nehmen, unter 1.000 Sitzungen im Monat kostet die Plattform nichts.
- KMU: Kaufen und die Sitzungszahl mit Puffer wählen, weil der Tarif sonst selbsttätig steigt.
- Konzern: Corporate verhandeln und dabei die zwei abweichenden Unterauftragnehmer-Listen auf eine bringen.
Wer dahinter steht
Tragfähigkeit: Etabliert
Seit dem 30. Mai 2018 im Handelsregister des Amtsgerichts München eingetragen, damit acht Jahre am Markt. Im August 2021 kam Cybot ApS, die Muttergesellschaft von Cookiebot, als stimmberechtigte Gesellschafterin hinzu, im September 2021 stieg das Stammkapital von 65.408 auf 152.112 Euro. Im Januar 2026 folgte ein Zukauf in New York. Das Vertragswerk wird gepflegt: Der Auftragsverarbeitungsvertrag trägt die Fassung 3.1 vom Februar 2026, die Nachweise im Vertrauensportal wurden am 6. August 2026 erneuert.
- Rechtsperson, Sitz und Vertretung: Usercentrics GmbH, Sendlinger Straße 7, 80331 München, HRB 241272 beim Amtsgericht München, Umsatzsteuer-Identifikationsnummer DE318857096, vertreten durch Donna Dror und Ea Luise AndersenRechtsträger, Sitz, Registernummer, Umsatzsteuer-Identifikationsnummer und GeschäftsführungZur Quelle · Stand 2026-09-02
- Eintragung und Beteiligungslage im Register: Eintragung am 30. Mai 2018; Stammkapital von 25.000 Euro bei Gründung auf zuletzt 164.960 Euro im Dezember 2022 erhöht; Cybot ApS seit August 2021 stimmberechtigt, Usercentrics A/S als Muttergesellschaft geführtHandelsregisterdaten zu Eintragungsdatum, Stammkapitalentwicklung und BeteiligungslageZur Quelle · Stand 2026-09-02
- Jüngster Zukauf: MCP Manager aus New York, gemeldet am 14. Januar 2026; ein Kaufpreis wurde nicht mitgeteiltZukauf von MCP Manager aus New York, gemeldet am 14. Januar 2026, ohne Angabe eines KaufpreisesZur Quelle · Stand 2026-01-14
- Erneuerung der Nachweise: SOC 2 Type II und HIPAA am 6. August 2026 erneut testiert, ISO 27701:2019 seit dem 27. Oktober 2025, NIST CSF 2.0 seit dem 10. Februar 2026; die Berichte gibt der Anbieter erst nach einem Formular freiNachweise mit Norm, Fassung und Geltungsbereich, Serverstandorte in EU-Mitgliedstaaten mit Schwerpunkt Deutschland und Belgien, und die zweite Unterauftragnehmer-Liste mit sechs EinträgenZur Quelle · Stand 2026-08-06
- Pflegestand der Rechtsdokumente: Auftragsverarbeitungsvertrag in der Fassung 3.1 vom Februar 2026, 24 Seiten, mit technischen und organisatorischen Maßnahmen, Unterauftragnehmer-Liste und Leistungsbeschreibung als Anlagen; die Nutzungsbedingungen gelten laut Seitenverzeichnis seit dem 21. August 2025, ältere Fassungen bleiben abrufbarAuftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur Quelle · Stand 2026-09-02
- Dokumentierte gerichtliche Auseinandersetzung: Das Verwaltungsgericht Wiesbaden untersagte am 1. Dezember 2021 einer Hochschule die Einbindung von Cookiebot, weil dabei IP-Adressen an Server von Akamai in den Vereinigten Staaten übermittelt wurden (Az. 6 L 738/21.WI). Der Hessische Verwaltungsgerichtshof hob die Anordnung am 17. Januar 2022 auf und stützte sich dabei auf die fehlende Eilbedürftigkeit (Az. 10 B 2486/21). Cookiebot gehört seit September 2021 zur Unternehmensgruppe.Beschluss des Verwaltungsgerichts Wiesbaden vom 1. Dezember 2021 zu Cookiebot und die Aufhebung durch den Hessischen Verwaltungsgerichtshof am 17. Januar 2022 wegen fehlender EilbedürftigkeitZur Quelle · Stand 2022-01-17
Ausstiegskosten: Mittel
Die Daten kommen heraus. Das Einwilligungsprotokoll lässt sich herunterladen, und der Wechsel selbst ist ein Austausch des Skripts im Seitenkopf. Zwei Dinge nimmt der Export nicht mit. Das erste ist die Konfiguration: welche der über 2.200 vorgehaltenen Dienstbeschreibungen aktiv waren, in welcher Kategorie, mit welchem Rechtsgrund, unter welcher Fassung des Banners. Eine Liste von Entscheidungen ohne den Text, der bei der Entscheidung auf dem Schirm stand, trägt als Nachweis nach Artikel 7 Absatz 1 DSGVO wenig. Das zweite ist die Anschlussfähigkeit der Zustimmungen selbst. Ob eine unter dem alten Banner erteilte Einwilligung unter dem neuen weitergilt, hängt daran, ob Zwecke, Dienstliste und Text unverändert bleiben. Weichen sie ab, ist die Abfrage zu wiederholen, und die Zustimmungsquote beginnt von vorn. Wer seine Reichweitenmessung an dieser Quote aufhängt, verliert die Vergleichbarkeit über den Wechsel hinweg.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageöffentlich als PDF, Fassung 3.1 vom Februar 2026Auftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur QuelleDer Vertrag steht ohne Anmeldung im Verzeichnis der Rechtsdokumente und umfasst 24 Seiten, mit den technischen und organisatorischen Maßnahmen als Anlage 1, der Unterauftragnehmer-Liste als Anlage 2 und der Leistungsbeschreibung als Anlage 3. Ziffer 7.1 der Nutzungsbedingungen sieht ihn als eigenes Dokument vor und räumt ihm im Widerspruchsfall den Vorrang ein. Die veröffentlichte Ausfertigung trägt keine Unterschrift; wer für die eigene Akte eine unterzeichnete Fassung braucht, holt sie beim Anbieter. Für Cookiebot führt derselbe Anbieter einen zweiten, getrennten Vertrag.Stand 2026-09-02 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, ohne AuflageEU-Mitgliedstaaten, Schwerpunkt Deutschland und BelgienNachweise mit Norm, Fassung und Geltungsbereich, Serverstandorte in EU-Mitgliedstaaten mit Schwerpunkt Deutschland und Belgien, und die zweite Unterauftragnehmer-Liste mit sechs EinträgenZur QuelleAnlage 2 des Auftragsverarbeitungsvertrags weist für die Einwilligungsplattform Google Cloud EMEA Ltd. mit Verarbeitungsort in der Europäischen Union aus. Das Vertrauensportal wird genauer und nennt statisch gehostete Inhalte, Programmierschnittstellen und Datenbanken in EU-Mitgliedstaaten, überwiegend in Deutschland und Belgien. Der Speicherort hängt an keinem Tarif und kostet nichts extra. Für die Erweiterung zum serverseitigen Tracking gilt das in dieser Form nicht, dazu der Punkt Drittland.Stand 2026-09-02 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, an eine Auflage gebundenzwei öffentliche Listen mit unterschiedlichem InhaltAuftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur QuelleAnlage 2 des Auftragsverarbeitungsvertrags führt vier Verarbeiter mit Firma, Anschrift, Verarbeitungsort und Zweck: Google Cloud EMEA Ltd. aus Dublin für den Betrieb, Bunny Way d.o.o. aus Medvode für die Auslieferung, Hetzner Online GmbH aus Gunzenhausen für den Betrieb und Cloudflare, Inc. aus San Francisco für die Auslieferung beim serverseitigen Tracking. Das Vertrauensportal führt am selben Tag eine andere Liste mit sechs Einträgen, nämlich Google Cloud Platform, Microsoft Azure, MongoDB Atlas, Salesforce, Zendesk und Vanta, ohne Land und ohne Verarbeitungsort. Keine der beiden Listen enthält die andere. Verbindlich ist nach Ziffer 6.1.1 die Anlage, und allein gegen deren Änderung läuft die Widerspruchsfrist von dreißig Tagen. Diese Abweichung gehört auf den Tisch der Vertragsverhandlung.Stand 2026-09-02 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, an eine Auflage gebundenÜbermittlung allein bei der Erweiterung zum serverseitigen Tracking, Grundlage je Empfänger nur teilweise zugeordnetAuftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur QuelleFür Google Cloud EMEA Ltd. nennt Anlage 2 ausdrücklich die Standardvertragsklauseln zwischen Usercentrics und Google, verweist auf eine abrufbare Adresse und begründet das mit dem Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 in der Sache C-311/18. Für Cloudflare, Inc. mit Sitz in San Francisco trägt dieselbe Anlage als Verarbeitungsort das Wort global und nennt keine eigene Grundlage. Der Eintrag betrifft allein die Erweiterung zum serverseitigen Tracking; die Einwilligungsplattform bleibt nach derselben Liste in der Union. Wer die Erweiterung bucht, klärt diesen Punkt vor der Unterschrift.Stand 2026-09-02 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, aber ungünstigkeine Aussage zum Modelltraining, Auswertung anonymisierter Daten vertraglich erlaubtZiffer 6.4 zur Auswertung anonymisierter und zusammengefasster Kundendaten sowie Ziffer 7.1 zum gesonderten Auftragsverarbeitungsvertrag mit Vorrang im WiderspruchsfallZur QuelleZiffer 6.4 der Nutzungsbedingungen räumt dem Anbieter das Recht ein, aus zusammengefassten und anonymisierten Kundendaten Auswertungen zu erstellen und sie für Produktverbesserung, für die Entwicklung neuer Produkte, für Branchenauswertungen und für anonyme Vergleichswerte zu verwenden. Ein Widerspruchsrecht steht an dieser Stelle nicht. Zum Training von Modellen auf Kundeninhalten schweigen die Nutzungsbedingungen und der Auftragsverarbeitungsvertrag in beide Richtungen. Bewertet ist hier dieses Schweigen und keine belegte Trainingspraxis.Stand 2026-09-02 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, ohne Auflage30 Tage nach Vertragsende, Sicherungskopien bis 6 Monate, Einwilligungsprotokoll 12 MonateAuftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs MonatenZur QuelleZiffer 11.1 des Auftragsverarbeitungsvertrags verpflichtet den Anbieter, nach Vertragsende binnen dreißig Tagen herauszugeben oder zu löschen, nach Wahl des Verantwortlichen, und auf Verlangen ein Löschprotokoll vorzulegen. Für Sicherungskopien gilt eine eigene Frist von höchstens sechs Monaten. Im Produkt steht eine dritte Zahl: Die Preisseite sagt, das Einwilligungsprotokoll sei zwölf Monate lang einsehbar und herunterladbar. Wer den Nachweis über diesen Zeitraum hinaus führen muss, exportiert regelmäßig und legt selbst ab.Stand 2026-09-02 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, ohne AuflageISO 27001:2022, ISO 27701:2019, SOC 2 Type 2, TISAX Stufe 3, HIPAANachweise mit Norm, Fassung und Geltungsbereich, Serverstandorte in EU-Mitgliedstaaten mit Schwerpunkt Deutschland und Belgien, und die zweite Unterauftragnehmer-Liste mit sechs EinträgenZur QuelleDas Vertrauensportal nennt Norm und Fassung und benennt den Geltungsbereich mit der Usercentrics GmbH sowie den Gesellschaften Usercentrics A/S, Usercentrics s.r.o., Usercentrics Inc. und Usercentrics Unipessoal. Die Erneuerung für SOC 2 Type II und HIPAA trägt den 6. August 2026, die Zertifizierung nach ISO 27701:2019 den 27. Oktober 2025, das TISAX-Ergebnis das Jahr 2025. Die Urkunden und Prüfberichte selbst liegen hinter einem Formular und werden erst nach Freigabe durch den Anbieter sichtbar. ISO 27001 nennt daneben auch die Preisseite offen.Stand 2026-09-02 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, an eine Auflage gebundenkeine Aussage zur eigenen Einordnung, im Banner tritt kein KI-System gegenüber Besuchern aufusercentrics.com/eu-ai-actZur QuelleDer Anbieter unterhält eigene Seiten zur Verordnung über künstliche Intelligenz und führt im Vertrauensportal Rollen für KI-Technik und für KI-Regelkonformität. Zur eigenen Pflichtenlage steht dort nichts, weder zu einer Einstufung noch zur Rolle als Anbieter oder Betreiber. Für die Einwilligungsplattform bleibt das folgenlos. Eine Kennzeichnungspflicht nach Artikel 50 der Verordnung 2024/1689 entsteht hier nicht, weil die Vorschrift auf Systeme zielt, die mit Menschen interagieren oder Inhalte erzeugen, und die maschinelle Übersetzung eines selbst geschriebenen Bannertextes davon nicht erfasst ist. Wer aus demselben Konto den im Januar 2026 zugekauften Baustein zur Steuerung von KI-Agenten bucht, trägt die Einordnung dieses Einsatzes selbst.Stand 2026-09-02 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, ohne AuflageEinwilligungsprotokoll in allen sechs Tarifstufen, herunterladbar, zwölf MonatePreise je Tarifstufe, Sitzungsgrenzen, selbsttätiger Tarifwechsel bei Überschreitung, Einwilligungsprotokoll über zwölf Monate in allen Stufen sowie zweiter Faktor und Anmeldung über den Verzeichnisdienst allein im Tarif CorporateZur QuelleDie Vergleichstabelle der Preisseite setzt den Nachweis der Einwilligung in allen sechs Stufen, auch im kostenlosen Zugang. Das Protokoll liegt zentral, ist zwölf Monate lang einsehbar und lässt sich als Verlauf einzelner Nutzer herunterladen. Ziffer 10 des Auftragsverarbeitungsvertrags ergänzt das Auskunfts- und Kontrollrecht des Verantwortlichen samt Vor-Ort-Prüfung. Davon zu trennen ist die Absicherung des Verwaltungskontos: Zweiter Faktor und Anmeldung über den eigenen Verzeichnisdienst stehen nach derselben Tabelle allein im Tarif Corporate.Stand 2026-09-02 |
Was es wirklich kostet
Einstieg
Kostenlos unter 1.000 Sitzungen im Monat auf einer Domain. Danach 7 Euro im Monat für 1.500 Sitzungen, 15 Euro für 3.000, 30 Euro für 15.000 auf drei Domains und 50 Euro für 50.000 auf zehn Domains, jeweils ohne Umsatzsteuer. Ab einer Million Sitzungen im Monat greift der Tarif Corporate, für den die Preisseite keinen Betrag nennt.Preise je Tarifstufe, Sitzungsgrenzen, selbsttätiger Tarifwechsel bei Überschreitung, Einwilligungsprotokoll über zwölf Monate in allen Stufen sowie zweiter Faktor und Anmeldung über den Verzeichnisdienst allein im Tarif CorporateZur Quelle
Stand 2026-09-02
Was teuer wird
Die Sitzungen. Gezählt wird die Sitzung, und ein wiederkehrender Besucher erzeugt im Monat mehrere davon. Die Preisseite hält fest, dass der Tarif bei Überschreitung der Grenze nach den Nutzungsbedingungen selbsttätig steigt, wodurch eine Kampagne mit vier Wochen erhöhtem Verkehr die laufenden Kosten anhebt. Die zweite Schwelle ist der Sprung nach Corporate, weil dort die Anmeldung über den eigenen Verzeichnisdienst, der zweite Faktor, die Freigabekette vor dem Livegang und die Massenbearbeitung liegen. Ein Betrag lässt sich dafür nicht nennen, weil der Anbieter für diese Stufe keinen veröffentlicht.
Was es verdrängt
- Das Banner aus einem Erweiterungsmodul, das seit der letzten Änderung der Rechtslage niemand angefasst hat
- Die Zusage im Datenschutzhinweis, es würden nur notwendige Cookies gesetzt, ohne dass jemand die geladenen Skripte gezählt hat
- Der Nachweis der Einwilligung, den im Ernstfall niemand vorlegen kann, weil er nie geführt wurde
Schnittstellen
- Google Consent Mode v2, Microsoft UET Consent Mode und Amazon Consent Signal ohne eigene Entwicklung
- IAB Transparency and Consent Framework in der Fassung 2.3, ab dem Tarif Pro
- GraphQL-Schnittstelle zur Einrichtung großer Zahlen von Konfigurationen
- Download des Einwilligungsverlaufs einzelner Nutzer über zwölf Monate
- Getrennte Einwilligungsverwaltung für Web, App und vernetztes Fernsehen unter einem Konto
Passende Methoden
- „Kontext: Graben oder Mauer?“-TestDer Test trennt, was Vorsprung schafft, von dem, was Rückstand verhindert, und eine gekaufte Einwilligungsverwaltung fällt beim ehrlichen Durchspielen zuverlässig auf die zweite Seite.
- Regulatorik-Dichte-TestDie Dichte der Nachweispflichten entscheidet, ob Protokoll, zweiter Faktor und Freigabekette Zusatzfunktionen sind oder die Bedingung des Kaufs, und genau daran hängt hier der Sprung in den Verhandlungstarif.
- Geo-Experiment / Matched-Market-InkrementalitätstestSobald ein Teil der Besucher die Einwilligung verweigert, bricht die nutzerbezogene Zurechnung weg, und die Wirkung von Werbeausgaben lässt sich nur noch über Markt-Vergleichstests messen.
Alternativen
- Plausible Analytics
Quellen
- 1.Rechtsträger, Sitz, Registernummer, Umsatzsteuer-Identifikationsnummer und Geschäftsführung (öffnet in neuem Tab)usercentrics.com/legal-notice · Stand 2026-09-02
- 2.Auftragsverarbeitungsvertrag Fassung 3.1 vom Februar 2026: Unterauftragnehmer mit Ort und Zweck in Anlage 2, Standardvertragsklauseln für Google Cloud, Widerspruchsfrist von dreißig Tagen, Löschung binnen dreißig Tagen und Sicherungskopien binnen sechs Monaten (öffnet in neuem Tab)usercentrics.com/data-processing-agreement · Stand 2026-09-02
- 3.Ziffer 6.4 zur Auswertung anonymisierter und zusammengefasster Kundendaten sowie Ziffer 7.1 zum gesonderten Auftragsverarbeitungsvertrag mit Vorrang im Widerspruchsfall (öffnet in neuem Tab)usercentrics.com/terms-and-conditions · Stand 2026-09-02
- 4.Preise je Tarifstufe, Sitzungsgrenzen, selbsttätiger Tarifwechsel bei Überschreitung, Einwilligungsprotokoll über zwölf Monate in allen Stufen sowie zweiter Faktor und Anmeldung über den Verzeichnisdienst allein im Tarif Corporate (öffnet in neuem Tab)usercentrics.com/pricing · Stand 2026-09-02
- 5.Nachweise mit Norm, Fassung und Geltungsbereich, Serverstandorte in EU-Mitgliedstaaten mit Schwerpunkt Deutschland und Belgien, und die zweite Unterauftragnehmer-Liste mit sechs Einträgen (öffnet in neuem Tab)trust.usercentrics.com · Stand 2026-09-02
- 6.Zukauf von MCP Manager aus New York, gemeldet am 14. Januar 2026, ohne Angabe eines Kaufpreises (öffnet in neuem Tab)usercentrics.com/press/usercentrics-acquires-mcp-manager · Stand 2026-01-14
- 7.Googles Anforderung einer zertifizierten Einwilligungsplattform mit Anschluss an das Transparency and Consent Framework für personalisierte Anzeigen im Europäischen Wirtschaftsraum und im Vereinigten Königreich seit dem 16. Januar 2024 (öffnet in neuem Tab)support.google.com/adsense/answer/13554116 · Stand 2026-09-02
- 8.Beschluss des Verwaltungsgerichts Wiesbaden vom 1. Dezember 2021 zu Cookiebot und die Aufhebung durch den Hessischen Verwaltungsgerichtshof am 17. Januar 2022 wegen fehlender Eilbedürftigkeit (öffnet in neuem Tab)heise.de/… · Stand 2022-01-17
- 9.Handelsregisterdaten zu Eintragungsdatum, Stammkapitalentwicklung und Beteiligungslage (öffnet in neuem Tab)northdata.de/Usercentrics+GmbH,+M%C3%BCnchen/HRB+241272 · Stand 2026-09-02
- 10.Veröffentlichte Tarife und Nutzerzahlen des KI-nativen Gegenstücks Ketch (öffnet in neuem Tab)ketch.com/pricing · Stand 2026-09-02
- 11.usercentrics.com/eu-ai-act (öffnet in neuem Tab)Stand 2026-09-02
Zuletzt geprüft: 2026-09-02 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.
Vom Werkzeug zur Entscheidung
Welches Angebot zu diesem Werkzeug passt
Ein Werkzeugprofil beantwortet, was das Werkzeug kann und was es regulatorisch bedeutet. Ob es in Ihrem Haus Vorrang bekommt, entscheidet die Geschäftsführung an einem Arbeitstag: Der KI-Entscheidungsworkshop ordnet Ihre Vorhaben nach Geschäftswert, Risiko, Datenlage und Verantwortung.