CIVAC Preise verstehen: Was Workspace-Lizenz und Officer-as-a-Service wirklich kosten

Die Frage nach dem Preis einer Compliance-Lösung lässt sich seriös erst dann beantworten, wenn der Pflichtenkatalog klar ist. Allein die DSGVO mit Art. 37 bis 39, NIS-2 nach § 38 BSIG ab 2026 und die ISO/IEC 27001:2022 mit 93 Controls erzeugen je nach Unternehmensgröße erheblich unterschiedliche Aufwände. Wer eine Listenpreis-Tabelle erwartet, übersieht den eigentlichen Treiber: die Anzahl der Rollen, die Tiefe des Services und die regulatorische Exposition.

Dieser Beitrag erläutert, wie sich die Preise von CIVAC, einer deutschen Compliance-Plattform und Officer-as-a-Service, zusammensetzen. Sie lesen, welche Modelle existieren, welche Kostenfaktoren auf Kundenseite häufig unterschätzt werden und warum ein SLA von 2 Werktagen gegenüber klassischen 2 bis 6 Wochen einen ökonomischen Effekt hat, der über den reinen Lizenzpreis hinausgeht.

Wer nach civac preisen sucht, erwartet meist eine Preistabelle. Im Markt der Compliance-Lösungen existiert eine solche Liste aus gutem Grund selten. Die regulatorischen Pflichten variieren je nach Branche, Mitarbeiterzahl und Risikoeinstufung erheblich.

Ein Logistikunternehmen mit 250 Mitarbeitern braucht typischerweise einen Datenschutzbeauftragten nach § 38 BDSG, einen Gefahrgutbeauftragten nach § 1a GbV, einen Brandschutzbeauftragten nach ASR A2.2 sowie eine Fachkraft für Arbeitssicherheit nach § 5 ASiG. Ein SaaS-Unternehmen vergleichbarer Größe benötigt häufig ISB und DSB, dafür keinen GGB.

NIS-2 verändert die Rechnung erneut. Rund 29.500 Unternehmen in Deutschland fallen unter den Anwendungsbereich des BSIG ab 2026. Sie benötigen einen Informationssicherheitsbeauftragten mit Berichtslinie zur Geschäftsleitung und einen dokumentierten Meldepfad mit 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung.

Die ISO/IEC 27001:2022 ergänzt eine technische Schicht mit 93 Controls und einer wiederkehrenden Auditpflicht. Ein Erstzertifizierungsprozess dauert klassisch 6 bis 12 Monate, ein Re-Zertifizierungszyklus drei Jahre.

Die Folge: ein Preisschild ohne Kontext führt in die Irre. Seriöse Anbieter ermitteln den Pflichtenkatalog vor jeder Zahl. CIVAC nutzt dafür eine Rollenmatrix aus 25 live verfügbaren Beauftragten-Rollen, dokumentiert unter civac.de/roles.

Erst nach dieser Klärung lassen sich Lizenz- oder Servicepreise sinnvoll vergleichen.

Drei Variablen treiben den Preis. Erstens die Anzahl der zu erfüllenden Beauftragten-Rollen. Ein Unternehmen mit DSB, ISB und Compliance-Officer hat einen anderen Lizenz- und Servicebedarf als ein Unternehmen mit zusätzlich GwB, LkSG- und ESG-Beauftragten.

Zweitens die Mitarbeiterzahl im Geltungsbereich. Schulungspflichten nach Art. 39 DSGVO, § 12 ArbSchG und ISO/IEC 27001:2022 Annex A 6.3 skalieren mit der Belegschaft. Auch der Aufwand für Verarbeitungsverzeichnisse nach Art. 30 DSGVO und Risikoanalysen nach § 6 GwG wächst mit der organisatorischen Komplexität.

Drittens der Servicegrad. CIVAC unterscheidet klar: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Das erste Modell ist eine Software-Lizenz, das zweite ein verantwortungsübernehmender Dienstleistungsvertrag.

Beim Workspace-Modell zahlen Sie für Funktionalität: 490 Audit-Vorlagen, Bestellurkunden, Berichtslinie, NIS-2-Meldepfad, ISMS-Module, EU-Datenresidenz. Ihre internen Beauftragten nutzen die Plattform operativ.

Beim Officer-as-a-Service kommt die Beauftragten-Tätigkeit selbst hinzu. Eine externe Person übernimmt nach § 38 BDSG, § 7 GwG oder vergleichbaren Normen die Bestellung, berichtet an die Geschäftsleitung und führt operative Prüfungen durch. Die Plattform bleibt die gleiche, die Verantwortungsverteilung ändert sich.

Eine Übersicht der konkreten Rollen, die als Officer-as-a-Service buchbar sind, findet sich auf den Detailseiten wie Compliance-Beauftragter.

Die Workspace-Lizenz bündelt die digitale Infrastruktur, die ein Compliance-System belastbar macht. Dazu zählt ein zentrales Bestellurkunden-Modul, das § 38 BDSG, § 7 GwG, § 22 GefStoffV und vergleichbare Normen abdeckt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Hinzu kommen die 490 einsatzbereiten Audit-Vorlagen für DSGVO-Audits, ISO/IEC 27001:2022 Stage-1- und Stage-2-Prüfungen, NIS-2-Reifegradanalysen, Lieferantenaudits nach LkSG und ESG-Erstaufnahmen. Diese Vorlagen sind versioniert und werden bei Regulatorikänderungen zentral aktualisiert.

Der NIS-2-Meldepfad ist ein technisch-organisatorisches Modul, das die 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung an das BSI strukturiert. Das ISMS-Modul deckt die 93 Controls der ISO/IEC 27001:2022 mit Risikoregister, SoA und Wirksamkeitsmessung ab.

Die Berichtslinie ist eigens hervorzuheben. Quartalsberichte des DSB nach Art. 39 DSGVO, ad-hoc-Meldungen des ISB an die Geschäftsleitung und Compliance-Berichte gehen versioniert in das System. Frist läuft ab Kenntnis, der Ablagepfad steht fest.

EU-Datenresidenz ist Standard. Daten verlassen den europäischen Wirtschaftsraum nicht, eine zusätzliche Drittlandsbewertung nach Art. 44 ff. DSGVO entfällt. Für Auftragsverarbeiter relevant nach Art. 28 DSGVO.

Eine Übersicht zu den Plattformfunktionen mit konkreten Zahlen liegt unter civac.de/facts. Pauschale Listenpreise sind dort bewusst nicht hinterlegt, weil der Preis pro Kunde anhand der drei genannten Variablen kalkuliert wird.

Beim Officer-as-a-Service tritt eine bestellbare Person hinzu, die die Beauftragtenrolle nach den jeweiligen Normen übernimmt. Für den DSB ist dies § 38 BDSG, für den GwB § 7 GwG, für den ISB die Anlehnung an § 8 BSIG, für den GGB § 1a GbV.

Diese Person ist nicht nur formaljuristisch eingesetzt, sondern operativ tätig. Sie berät die Geschäftsleitung, prüft Verarbeitungsvorgänge, führt Audits durch, meldet Datenpannen nach Art. 33 DSGVO und führt Risikoanalysen. Der Prüfer ruft an, der Nachweis liegt bereit.

Der Servicegrad wird differenziert: ein Basispaket deckt die Beauftragtenpflicht und vier Quartalsberichte pro Jahr ab. Ein erweitertes Paket umfasst zusätzlich Lieferantenaudits, Schulungssteuerung und Vor-Ort-Termine. Premium-Pakete inkludieren Krisenbegleitung bei Datenpannen oder NIS-2-Meldevorgängen.

Ökonomisch ist das Modell vor allem für Unternehmen interessant, die keine eigene Beauftragten-Kapazität halten wollen oder können. Eine interne DSB-Stelle kostet inklusive Schulung, Versicherung und Vertretung 80.000 bis 120.000 Euro pro Jahr, abhängig von Standort und Branche.

Für hybride Setups übernimmt CIVAC einzelne Rollen extern, andere bleiben intern. Die Plattform sorgt dafür, dass alle Bestellurkunden, Berichte und Audits in derselben Logik liegen, unabhängig vom Sourcing-Modell.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Officer-as-a-Service nutzt dieselbe Software, ergänzt um die personelle Verantwortung.

Vergleicht man Preise rein an der Lizenz oder am Stundenhonorar, übersieht man die typischen Folgekosten klassischer Modelle. Erstens die Anlaufzeit. Ein klassischer externer DSB benötigt 2 bis 6 Wochen für Aufnahme, Verarbeitungsverzeichnis und erste Audits. Das CIVAC-SLA von 2 Werktagen verkürzt diesen Zeitraum erheblich.

Zweitens die Audit-Vorbereitung. Unternehmen ohne strukturiertes Compliance-System investieren vor einem ISO/IEC 27001:2022 Audit 200 bis 400 Stunden in Ablagen, Vorlagen und Nachweise. Mit den 490 vorgefertigten Audit-Vorlagen sinkt dieser Aufwand deutlich.

Drittens das Bußgeldrisiko. NIS-2 sieht für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 Prozent des Konzernumsatzes vor, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Datenschutzverstöße nach Art. 83 DSGVO erreichen bis 20 Mio. Euro oder 4 Prozent. Diese Risikodimension verändert die Vergleichslogik gegenüber Lizenzkosten.

Viertens die Wechselkosten. Ein klassischer Beauftragten-Wechsel mit Übergabe, Schulung und Neueinarbeitung dauert in der Praxis 4 bis 8 Wochen. Bei Officer-as-a-Service in einer Plattform mit hinterlegten Vorlagen ist der Wechsel auf Tage reduziert.

Fünftens die Versicherungs- und Haftungsfrage. Interne Beauftragte benötigen eine Vermögensschadenhaftpflicht. Beim Officer-as-a-Service trägt der Anbieter diese Komponente, dokumentiert über die Bestellurkunde und den Servicevertrag.

Ein detaillierter Aufriss der typischen Folgekosten findet sich in der FAQ-Sektion, dort speziell zur Frage TCO.

Die Entscheidung zwischen Workspace und Officer-as-a-Service folgt keiner einfachen Größenformel, sondern einer Kombination aus interner Kapazität, Risiko und strategischer Bedeutung.

Workspace-Lizenz lohnt sich, wenn ein Unternehmen bereits qualifizierte interne Beauftragte hat oder aufbauen will, und wenn die regulatorische Komplexität strukturierte Werkzeuge erfordert. Typische Profile: mittlere Industrieunternehmen mit eigenem DSB und ISB, die ihre Toolchain konsolidieren wollen.

Officer-as-a-Service lohnt sich, wenn die Stellenbesetzung schwierig, der Personenkreis klein oder die Schulungskosten zu hoch sind. Auch bei Wechselsituationen, etwa nach Kündigung eines internen DSB, ist das Modell sinnvoll, weil das CIVAC-SLA von 2 Werktagen die Lücke schließt.

Hybride Modelle sind häufig: ISB intern, DSB extern. Oder DSB intern, GwB und LkSG extern. Die Plattform unterstützt jede Kombination, weil Bestellurkunden, Berichte und Audits in einer Logik liegen.

Für die regulatorische Sicht zählt nicht die Rechtsform der Beauftragten, sondern die Erfüllung der Pflichten. Art. 37 DSGVO sieht ausdrücklich interne wie externe Bestellung vor, gleich gilt für § 7 GwG und vergleichbare Normen.

Eine detaillierte Übersicht zu Rollen mit hybridem Einsatzpotenzial findet sich unter Informationssicherheitsbeauftragter und den verwandten Rollenseiten. Audit-fest, dokumentiert, § ...-fest.

Der Prozess für ein konkretes Angebot folgt einer klaren Logik. Im ersten Schritt klären Sie die Rollen, die für Ihr Unternehmen relevant sind. Eine Erstindikation liefert die Rollenübersicht und die FAQ. Vertiefung erfolgt im Onboarding-Gespräch.

Im zweiten Schritt erhebt CIVAC die Mitarbeiterzahl im Geltungsbereich, die Standorte, die Branche und den aktuellen Compliance-Stand. Daraus ergibt sich, welche Module des Workspace produktiv geschaltet werden, etwa NIS-2-Meldepfad, ISMS oder ESG-Reporting.

Im dritten Schritt definieren Sie den Servicegrad. Reine Lizenz, Officer-as-a-Service für einzelne Rollen, oder Voll-Service. Die Entscheidung beeinflusst die Personal- und Lizenzkomponente.

Im vierten Schritt entsteht das Angebot mit drei Bestandteilen: Lizenz für den Workspace, gegebenenfalls Officer-Honorar für bestellte Rollen, optionale Beratungsleistungen für Audits oder Krisen. Alle drei Komponenten sind transparent ausgewiesen.

Im fünften Schritt erfolgt die Implementierung innerhalb des SLA von 2 Werktagen. Bestellurkunden, Schulungspakete und Berichtsstrukturen sind nach dieser Zeit produktiv. Der erste Quartalsbericht entsteht im laufenden Quartal.

Wer eine erste belastbare Indikation möchte, schreibt an info@civac.de mit einer kurzen Beschreibung der relevanten Rollen, der Mitarbeiterzahl und des aktuellen Compliance-Stands. Eine Antwort mit Rückfragen oder Termin erfolgt innerhalb eines Werktages.

Im Markt werben Anbieter mit Listenpreisen ab niedrigen dreistelligen Beträgen pro Monat. Diese Preise decken meist Basisfunktionen wie einfache Verarbeitungsverzeichnisse oder generische Schulungsmodule ab. Sie genügen selten den Anforderungen mittlerer und größerer Unternehmen.

Klassische externe Beauftragte rechnen mit Stundenpauschalen zwischen 120 und 250 Euro netto, abhängig von Spezialisierung und Region. Für einen externen DSB bei einem mittleren Unternehmen entstehen jährliche Honorare von 18.000 bis 45.000 Euro. ISB-Mandate liegen häufig höher, weil die operative Tiefe größer ist.

Eine ehrliche Gesamtkostenrechnung umfasst neben dem Honorar die Toolkosten, Schulungslizenzen, Audit-Vorbereitungsaufwand intern und das Bußgeldrisiko. Schnell entsteht ein TCO zwischen 50.000 und 150.000 Euro jährlich, ohne dass die Compliance audit-fest dokumentiert wäre.

CIVAC bündelt diese Komponenten. Workspace, Vorlagen, Berichtslinie, EU-Datenresidenz und je nach Modell auch die Beauftragtenrolle sind in einem Vertrag. Damit reduziert sich der administrative Steuerungsaufwand auf einen Vertragspartner.

Der Effekt zeigt sich besonders bei Audits. Statt einzelne Anbieter zu koordinieren, exportiert CIVAC ein konsolidiertes Auditpaket aus dem Workspace, sortiert nach Rolle, Zeitraum und Bereich.

Eine konkrete TCO-Berechnung für Ihren Fall lässt sich nicht ohne Datenpunkte durchführen. Für eine erste Indikation sind die FAQ und die Rollenübersicht eine sinnvolle Startgrundlage.

Der Weg von der Preisrecherche zum produktiven Compliance-System ist bei CIVAC bewusst kurz. Statt Wochen für die Vertragsverhandlung und weitere Wochen für die Implementierung läuft beides parallel, mit einem SLA von 2 Werktagen für die produktive Schaltung.

Sie senden eine kurze Beschreibung Ihrer Anforderungen an info@civac.de oder nutzen das Kontaktformular auf civac.de. Sinnvoll sind drei Angaben: die relevanten Beauftragten-Rollen, die Mitarbeiterzahl im Geltungsbereich und das gewünschte Sourcing-Modell zwischen Lizenz und Officer-as-a-Service.

Innerhalb eines Werktages folgt eine Antwort mit Rückfragen oder einem Terminvorschlag für ein 30-minütiges Onboarding-Gespräch. In diesem Gespräch werden die Rollenmatrix, die Servicegrade und die Lizenzlogik konkret durchgesprochen.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle sind in Tagen produktiv, nicht in Wochen. Die EU-Datenresidenz ist Standard, das SLA von 2 Werktagen verbindlich.

Aus dem Lesen einen Auftrag machen. Eine Mail an info@civac.de mit der Skizze Ihres Compliance-Bedarfs reicht aus, um den Prozess zu starten. CIVAC ist eine deutsche Compliance-Plattform und Officer-as-a-Service mit 25 live verfügbaren Beauftragten-Rollen, 490 Audit-Vorlagen und 93 Controls nach ISO/IEC 27001:2022.

Weitere Detailinformationen zur Plattform finden Sie unter civac.de/facts. Die Preise folgen aus dem Pflichtenkatalog, nicht aus einer Liste.