Customer Data Platform für Finanzdienstleister auswählen: Kriterien und RFP-Checkliste

Teil 2 unserer neuen Serie zu Customer Data Platforms im Finanzsektor. Teil 1 hat Definition, Architektur und regulatorische Grundlagen behandelt. Dieser Teil übersetzt das in einen konkreten Auswahlprozess.

Die Auswahl einer Customer Data Platform für Finanzdienstleister scheitert selten an fehlenden Anbietern — der Markt zählt allein 217 CDP-Anbieter mit kumuliert 10,5 Mrd. USD Funding (CDP Institute / Customer Data Alliance). Sie scheitert häufiger daran, dass Kriterienkataloge vage bleiben und regulatorische Pflichtfragen erst nach der Vertragsunterschrift auftauchen. Wer eine Customer Data Platform für Finanzdienstleister systematisch auswählen will, braucht einen Kriterienkatalog, der sowohl funktionale RealCDP-Anforderungen als auch aufsichtsrechtliche Pflichten der DORA und der EBA-Leitlinien abdeckt.

Funktionale Kriterien: die sieben RealCDP-Anforderungen als Prüfraster

Der belastbarste, vendor-neutrale Ausgangspunkt für einen Kriterienkatalog sind die sieben RealCDP-Kernanforderungen des CDP Institute: Ingest aus jeder Quelle, volle Detailtiefe, persistente Speicherung, vereinheitlichte Profile identifizierter Personen, Datenweitergabe an jedes angebundene System, Echtzeitreaktion sowie Governance nach lokalem Datenschutz- und Sicherheitsrecht (CDP Institute, RealCDP). Diese Anforderungen lassen sich 1:1 als Bewertungsraster in eine RFP übernehmen — statt eigene, weichere Kriterien zu erfinden.

Besonders wichtig ist eine harte, prüfbare Definition von „Echtzeit": RealCDP verlangt „under one second" sowohl für die Aufnahme neuer Daten als auch für die Beantwortung einer Profilanfrage (CDP Institute, RealCDP). Anbieter, die nur ein vages „Real-time"-Versprechen machen, sollten im RFP zu einer konkreten Zahl in Millisekunden verpflichtet werden.

Ebenso entscheidend: Nachweispflicht statt Selbstauskunft. RealCDP-Audits sind evidenzbasiert, verlangen drei Referenzkunden mit Kontaktdaten und prüfen konkret Change Data Capture, Echtzeit-Identity-Graphs und Data Clean Rooms (CDP Institute, RealCDP). Dasselbe Beweisniveau lässt sich im eigenen RFP-Prozess verlangen, auch ohne formale Zertifizierung des Anbieters.

Agentische KI-Funktionen gezielt abfragen

Viele CDP-Anbieter bewerben inzwischen agentische KI-Funktionen. Hier lohnt sich eine differenzierte Nachfrage: RealCDP verlangt für solche Implementierungen die Dokumentation von Autonomiestufen — assistive, supervised (human-in-the-loop) oder fully autonomous —, wobei ausdrücklich gilt: „Autonomy is not permitted to bypass governance" (CDP Institute, RealCDP). Ein RFP sollte entsprechend fragen, welche Autonomiestufe ein Anbieter für welche Funktion tatsächlich unterstützt — nicht nur, ob „KI" im Produkt steckt.

Ein weiterer, oft übersehener Punkt: Eine CDP ersetzt nicht automatisch eine Consent-Management-Plattform. Der CDP Institute Vendor Privacy Survey Report untersucht genau diese Frage bei „40+ vendors" (CDP Institute Library) — im RFP sollte Consent-Management deshalb explizit als getrennter Anforderungsblock behandelt werden.

Regulatorische RFP-Pflichtfragen

Für Finanzdienstleister kommen zu den funktionalen Kriterien verbindliche vertragliche Mindestinhalte hinzu. Art. 30 Abs. 2 DORA verlangt für ALLE IKT-Dienstleistungen unter anderem: eine klare und vollständige Leistungsbeschreibung inklusive Zulässigkeit von Unterauftragsvergabe, die Standorte der Leistungserbringung und Datenverarbeitung samt Speicherort mit Vorab-Benachrichtigungspflicht bei Änderung, Regelungen zu Datenzugang und -rückgabe bei Vertragsende sowie Kündigungsrechte und Mindestkündigungsfristen (DORA, Art. 30 Abs. 2).

Wird die CDP für kritische oder wichtige Funktionen eingesetzt, verschärfen sich die Anforderungen nach Art. 30 Abs. 3 DORA erheblich: vollständige SLAs mit präzisen quantitativen Leistungszielen, Teilnahme an Bedrohungs- und Penetrationstests (TLPT), uneingeschränkte Zugangs-, Inspektions- und Auditrechte sowie verbindliche Exit-Strategien mit angemessenem Übergangszeitraum (DORA, Art. 30 Abs. 3). Die BaFin konkretisiert diese Pflicht ausdrücklich: Ausstiegsstrategien sind zu entwickeln, und ein verbindlicher, angemessener Übergangszeitraum ist vertraglich zu vereinbaren (BaFin, Cloud-Aufsichtsmitteilung).

Auch die EBA-Leitlinien liefern konkrete Vertragsklauseln, die im RFP abgefragt werden sollten: Der Vertrag muss die Standorte der Leistungserbringung und Datenverarbeitung inklusive möglichem Speicherort festlegen — mit einer Benachrichtigungspflicht, falls der Anbieter eine Standortänderung plant (Rn. 75(f)) — und Regelungen zu Zugänglichkeit, Verfügbarkeit, Integrität, Vertraulichkeit und Sicherheit der relevanten Daten enthalten (Rn. 75(g)) (EBA/GL/2019/02).

RFP-Checkliste im Überblick

Quelle: eigene Zusammenstellung auf Basis der oben zitierten Primärquellen.

Rote Flaggen bei der Anbieterbewertung

Vier Warnsignale sind evidenzbasiert und sollten jede CDP-Evaluierung stoppen oder zumindest verlangsamen:

1. „Die Anbieterwahl löst unser Datenproblem": Die 2025er CDP-Institute-Mitgliederbefragung nennt als tatsächliche Barrieren explizit Governance, Integration, Skills und Value Realization — nicht die Anbieterwahl (CDP Institute, 2025 Member Survey).

2. Kein KI-Governance-Rahmen vor dem Projektstart: Nur 14 % der Banken verfügen über ein spezifisches KI-Governance-Framework (McKinsey, Getting personal) — ein CDP-Projekt ohne diesen Rahmen baut auf Sand.

3. Modelle ohne Aktivierungspfad: Nur rund 8 % der Banken können prädiktive Insights aus ihren ML-Modellen tatsächlich für Kampagnenausführung und Entscheidungen nutzen (McKinsey, Getting personal) — Scoring ohne Orchestrierung schafft keinen Mehrwert. Wie eine Orchestrierungslogik konkret funktioniert, zeigt unser Beitrag dazu, wie eine Next-Best-Action-Engine entscheidet.

4. Intransparentes Preismodell: Bei nutzungsbasierten Abrechnungsmodellen zählen teils auch anonyme Website-Besucher als kostenpflichtige Profile — ein Punkt, den Teil 3 dieser Serie zu Kosten und TCO im Detail behandelt (Twilio Segment Docs, MTUs, Throughput and Billing).

Organisatorische Prüfpunkte parallel zur Anbieterauswahl

Technische und regulatorische Kriterien sind notwendig, aber nicht hinreichend. Parallel zur Anbieterauswahl sollte jede Bank die eigene Betriebsbereitschaft prüfen: Sind Silos oder ein limitierter Tech-Stack ein zentraler Schmerzpunkt — wie es 59 % der befragten Marken bestätigen (BCG, Personalization Consulting)? Fehlt eine zentralisierte Kundendatenbasis, wie bei 41 % der Fall (BCG, Personalization Consulting)? Ist die Organisation überhaupt in der Lage, aus separaten Silos heraus zu arbeiten, oder dominiert ein Silo-Betriebsmodell mit zahlreichen Übergaben, wie bei 71 % der Befragten (BCG, Personalization Consulting)?

Diese organisatorischen Fragen entscheiden am Ende genauso stark über den Projekterfolg wie die technische Anbieterauswahl. Acceleraids CDP-&-Data-Governance-Modul ist speziell auf die genannten regulatorischen Pflichtfragen ausgelegt: Echtzeitanbindung an Kernbanksystem, CRM und Kartenverarbeitung, Consent-Management, Lineage-Dokumentation, PII-Schutz und deutsches Hosting nach GDPR-by-design-Prinzip (Acceleraid Platform).

Wer diesen Kriterienkatalog konsequent anwendet, reduziert das Risiko eines gescheiterten oder verzögerten CDP-Projekts erheblich — und verschiebt die eigentliche Diskussion dorthin, wo sie hingehört: zu Kosten und Business Case, dem Thema des dritten Teils dieser Serie.

In der praktischen Umsetzung empfiehlt es sich, den RFP-Prozess in zwei Phasen zu gliedern: Eine erste Ausschlussrunde prüft ausschließlich die harten regulatorischen Pflichtkriterien — Datenstandort, Exit-Strategie, Audit-Rechte —, bevor überhaupt über funktionale Feinheiten oder Preise gesprochen wird. Anbieter, die diese Pflichtkriterien nicht erfüllen können oder wollen, scheiden unabhängig von ihrer technischen Reife aus. Erst in der zweiten Runde folgt die detaillierte Bewertung der sieben RealCDP-Fähigkeiten anhand konkreter Anbieter-Demos und Referenzgespräche. Diese Reihenfolge verhindert, dass Institute Zeit in Anbieter investieren, die aus aufsichtsrechtlichen Gründen ohnehin nicht in Frage kommen.

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.