Wer für ein mittelständisches Unternehmen eine DSGVO-Software auswählen soll, kennt den Moment: Drei Demo-Termine später sehen alle Tools gleich aus. Überall Dashboards, überall Checklisten, überall das Versprechen, Datenschutz werde jetzt “einfach”. Und dann sitzt man vor der Preisliste – oder vor dem Formular “Angebot anfragen” – und weiß immer noch nicht, welches Werkzeug das eigentliche Problem löst: den Nachweis, dass die Dokumentation zur Realität der eigenen Daten passt.
Genau daran scheitern DSGVO-Projekte im Mittelstand am häufigsten. Nicht am fehlenden Muster für ein Verarbeitungsverzeichnis. Sondern daran, dass niemand zuverlässig weiß, in welchen Systemen, Tabellen und Exporten personenbezogene Daten tatsächlich liegen.
Warum die Auswahl so schwerfällt
Der Markt für DSGVO-Software ist in den letzten Jahren stark gewachsen, aber die Anbieter verfolgen sehr unterschiedliche Ansätze. Grob lassen sich drei Kategorien unterscheiden:
1. Fragebogen- und Service-basierte Plattformen
Anbieter wie heyData, DataGuard oder Proliance (datenschutzexperte.de) kombinieren eine Dokumentationsplattform mit Beratungsleistung – häufig inklusive der Stellung eines externen Datenschutzbeauftragten. Das Unternehmen beantwortet strukturierte Fragen, die Plattform erzeugt daraus Verarbeitungsverzeichnis, Richtlinien und Schulungsnachweise. Die Stärke dieses Modells ist die juristische Begleitung: Wer intern niemanden mit Datenschutz-Expertise hat, bekommt hier Struktur und einen Ansprechpartner.
Die Grenze des Modells liegt in der Datenbasis. Ein Fragebogen dokumentiert, was Menschen über ihre Datenverarbeitung glauben. Ob in der Kundendatenbank tatsächlich noch eine Spalte mit Gesundheitsdaten aus einem Altprojekt liegt, beantwortet kein Fragebogen. Das Verzeichnis ist dann formal vollständig – und inhaltlich blind.
2. Enterprise-Governance-Suiten
Am oberen Ende stehen internationale Plattformen für Konzerne: umfangreiche Datenkataloge, Consent-Management, Vendor-Risk-Module. Diese Werkzeuge können viel, setzen aber eigene Data-Governance-Teams voraus – und Budgets, die im Mittelstand selten freigegeben werden. Ein Tool, das ein eigenes Projektteam zur Einführung braucht, löst im 200-Mitarbeiter-Unternehmen kein Problem. Es schafft eines.
3. Datengetriebene Werkzeuge
Die dritte Kategorie setzt nicht beim Fragebogen an, sondern bei den Daten selbst: Die Software verbindet sich mit Datenbanken und Dateiablagen, scannt Tabellen und Spalten, erkennt personenbezogene Daten automatisch und baut die DSGVO-Dokumentation auf diesem Befund auf. datamastr gehört in diese Kategorie – entstanden aus der Beobachtung, dass die Lücke zwischen Papierlage und Datenlage das eigentliche Risiko ist.
📷 BILD-PLATZHALTER: Schematische Gegenüberstellung der drei Kategorien von DSGVO-Software: links ein Fragebogen-Symbol mit Dokumentenstapel, in der Mitte ein komplexes Enterprise-Schaubild mit vielen Modulen, rechts eine Datenbank mit Scan-Strahl und markierten personenbezogenen Feldern.
Der Maßstab: Was das Gesetz tatsächlich verlangt
Bevor man Anbieter vergleicht, lohnt der Blick auf die Pflichten, an denen eine Aufsichtsbehörde misst:
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist das Kernstück jeder Prüfung. Die oft zitierte Ausnahme für Unternehmen unter 250 Mitarbeitern (Art. 30 Abs. 5 DSGVO) greift in der Praxis fast nie – sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Kunden- und Mitarbeiterdaten verarbeitet jedes Unternehmen regelmäßig. Wer ein VVT führen muss, das lückenhaft ist, riskiert nach Art. 83 Abs. 4 DSGVO Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Betroffenenanfragen müssen nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats beantwortet werden. Wer auf eine Auskunfts- oder Löschanfrage nicht sagen kann, in welchen Systemen die Person vorkommt, verliert diese Frist mit Suchen statt mit Antworten.
Löschkonzepte nach Art. 17 DSGVO funktionieren nur, wenn bekannt ist, wo die Daten liegen – inklusive der Kopien in Exporten, Reports und vergessenen Testtabellen.
Jede dieser Pflichten hat denselben Kern: Man muss die eigene Datenlandschaft kennen. Genau hier trennen sich die Werkzeugkategorien.
Die Anbieter im Überblick
Ein fairer Vergleich muss anerkennen: Die Anbieter lösen unterschiedliche Probleme. Die Frage ist nicht “Wer ist besser?”, sondern “Welches Problem habe ich?”.
heyData positioniert sich als Compliance-Plattform mit persönlicher Beratung und externem Datenschutzbeauftragten, mit Fokus auf Start-ups und kleinere Mittelständler. Dokumentation, Schulungen und Audits laufen über die Plattform; die Inhalte entstehen aus strukturierten Angaben des Unternehmens.
DataGuard adressiert neben Datenschutz auch Informationssicherheit und Compliance im weiteren Sinne. Auch hier ist die Kombination aus Plattform und benanntem Experten-Team das Kernprodukt. Die Preise werden individuell angeboten.
Proliance (datenschutzexperte.de) verbindet die Plattform Proliance 360 mit externen Datenschutzbeauftragten und juristischer Beratung – ein Modell, das sich an Unternehmen richtet, die Datenschutz weitgehend auslagern wollen.
datamastr geht den umgekehrten Weg: Die Software verbindet sich mit den tatsächlichen Datenquellen (Datenbanken, CSV-/Excel-Uploads), erkennt personenbezogene Daten bis auf Spaltenebene – auch besondere Kategorien nach Art. 9 DSGVO wie Gesundheits- oder Religionsdaten – und erzeugt daraus ein deutschsprachiges Verarbeitungsverzeichnis, das mit den echten Datenbeständen verknüpft bleibt. Auskunfts- und Löschanfragen werden direkt gegen die angebundenen Daten gescannt. Gehostet wird in Deutschland, der Einstieg ist kostenlos, der Team-Plan liegt bei 399 Euro pro Monat (jährliche Abrechnung).
Einen externen Datenschutzbeauftragten stellt datamastr nicht – wer diese Rolle besetzen muss und keine interne Lösung hat, braucht dafür weiterhin einen Dienstleister oder kombiniert beide Ansätze.
📷 BILD-PLATZHALTER: Screenshot eines automatisch erzeugten Verarbeitungsverzeichnisses auf Deutsch, bei dem einzelne Datenkategorien mit den zugrunde liegenden Datenbankspalten verlinkt sind.
Die Kriterien im direkten Vergleich
| Kriterium | heyData | DataGuard | Proliance | datamastr |
|—|—|—|—|—|
| Ansatz | Plattform + Beratung/ext. DSB | Plattform + Experten-Team (Datenschutz & InfoSec) | Plattform + ext. DSB | Datenanalyse-Software |
| VVT-Erstellung | aus Fragebogen-Angaben | aus strukturierten Angaben | aus strukturierten Angaben | automatisch aus gescannten Daten, manuell ergänzbar |
| Anbindung an echte Datenquellen | nicht Kern des Produkts | nicht Kern des Produkts | nicht Kern des Produkts | Kern des Produkts (DB-Sync, Datei-Uploads, PII-Scan) |
| Externer DSB inklusive | ja (je nach Paket) | ja (je nach Paket) | ja (je nach Paket) | nein |
| Preismodell | Pakete auf Anfrage/Website | individuelles Angebot | individuelles Angebot | ab 0 Euro, Team 399 Euro/Monat (jährl. Abrechnung) |
Die Angaben zu Drittanbietern beruhen auf deren öffentlicher Produktdarstellung (Stand: Juli 2026) – Details und Pakete ändern sich; für eine Entscheidung lohnt der Blick auf die aktuellen Angebote.
So treffen Sie die Entscheidung
Drei Fragen sortieren das Feld schneller als jede Feature-Liste:
1. Brauchen Sie primär eine Person oder ein Werkzeug? Wenn die Pflicht zur Benennung eines Datenschutzbeauftragten (§ 38 BDSG) besteht und intern niemand die Rolle übernehmen kann, führt an einem Service-Anbieter kaum ein Weg vorbei. Das Werkzeug ist dann Beigabe.
2. Wo ist Ihre größte Unsicherheit – im Text oder in den Daten? Wer seine Prozesse kennt, aber die Dokumente nicht formuliert bekommt, ist mit Vorlagen und Beratung gut bedient. Wer dagegen nicht sicher sagen kann, welche personenbezogenen Daten in welchen Systemen liegen, braucht einen Scan der echten Bestände. Ein perfekt formuliertes Verzeichnis über unbekannte Daten ist Fassade.
3. Wer soll damit arbeiten? Ein Tool, das nur der Datenschutzbeauftragte einmal im Quartal öffnet, hält die Dokumentation nicht aktuell. Datenbestände ändern sich wöchentlich – die Dokumentation sollte es auch. Automatische Re-Scans schlagen hier jeden guten Vorsatz.
Für viele Mittelständler läuft es auf eine Kombination hinaus: ein Dienstleister oder interner Verantwortlicher für die rechtliche Seite, ein datengetriebenes Werkzeug für die Verbindung zwischen Dokumentation und Realität. Die beiden Ansätze konkurrieren weniger, als die Marketingseiten suggerieren.
📷 BILD-PLATZHALTER: Entscheidungsbaum mit den drei Auswahlfragen: Bedarf an externem DSB, Unsicherheit über Datenbestände, Anzahl der aktiven Nutzer im Unternehmen – mit Pfaden zu Service-Anbieter, Datenanalyse-Tool oder Kombination.
Erst messen, dann kaufen
Bevor Sie Demo-Termine vereinbaren, verschaffen Sie sich Klarheit über den eigenen Stand. Wo stehen Sie beim Verarbeitungsverzeichnis, bei Löschkonzept und Betroffenenanfragen? Der kostenlose DSGVO-Schnellcheck von datamastr beantwortet das in 12 Fragen und rund 3 Minuten – mit Sofort-Ergebnis und konkreten Empfehlungen, ganz ohne Registrierung: [https://app.datamastr.com/dsgvo-check/](https://app.datamastr.com/dsgvo-check/)
Danach wissen Sie, welche Kategorie von Software Sie überhaupt vergleichen sollten.