Wer im Mittelstand schon einmal ein Compliance-Tool eingeführt hat, kennt den Moment der Ernüchterung. Die Software ist eingerichtet, das Onboarding-Gespräch gelaufen, das Dashboard leuchtet freundlich. Und dann sitzt man da und tippt von Hand ein, welche personenbezogenen Daten das Unternehmen eigentlich verarbeitet. Genau die Frage, für die man das Werkzeug gekauft hatte.
Das ist der blinde Fleck fast aller etablierten Governance-Plattformen: Sie strukturieren, was Sie ihnen erzählen. Sie sehen nicht in Ihre Daten hinein. Und für den datengetriebenen Mittelstand ist genau das der Unterschied zwischen einem Verzeichnis, das stimmt, und einem, das nur ordentlich aussieht.
1. Zwei grundverschiedene Kategorien – und viele verwechseln sie
Der Markt für Datenschutz- und Compliance-Werkzeuge zerfällt in zwei Lager, die sich äußerlich ähneln, im Kern aber gegensätzlich arbeiten.
Auf der einen Seite stehen beratungsgeführte Compliance-Plattformen. Anbieter wie DataGuard gehören in diese Kategorie: Software kombiniert mit Beratungsleistung, oft inklusive externem Datenschutzbeauftragten, InfoSec-Betreuung und Vorlagen. Der Wert liegt in der menschlichen Begleitung. Wer einen Ansprechpartner will, der die Fäden zieht, ist hier grundsätzlich richtig.
Auf der anderen Seite stehen datengetriebene Werkzeuge, die den umgekehrten Weg gehen: Sie verbinden sich mit Ihren tatsächlichen Datenquellen – Datenbanken, Dateien, Exporten – und leiten die Compliance-Dokumentation aus dem ab, was wirklich in den Systemen liegt. Nicht aus dem, was jemand in einen Fragebogen geschrieben hat.
Beide Kategorien sind legitim. Die Frage ist nur, welche zu einem Mittelständler passt, der seine Daten selbst in der Hand hat.
2. Der Fragebogen kennt Ihre Daten nicht
Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist nur so gut wie seine Grundlage. Und die Grundlage ist bei fragebogenbasierten Ansätzen immer eine Selbstauskunft.
Das klingt harmlos, ist es aber nicht. Denn die Selbstauskunft übersieht systematisch drei Dinge:
Erstens die Schatten-Spalten. Die alte Excel-Exporttabelle mit der Spalte „Bemerkungen”, in der jemand vor drei Jahren Krankheitsgründe von Mitarbeitern notiert hat – besondere Kategorien nach Art. 9 DSGVO. Kein Fragebogen fragt danach, weil niemand mehr weiß, dass es sie gibt.
Zweitens die falsch benannten Felder. Ein Feld heißt „Kundennr”, enthält aber die IBAN. Ein Freitextfeld „Notiz” ist voll mit Telefonnummern und E-Mail-Adressen. In der Selbstauskunft taucht das nie auf, in einem echten Datenscan schon.
Drittens die Drift über die Zeit. Was Sie vor einem Jahr eingetragen haben, stimmt heute nicht mehr. Neue Tabellen, neue Spalten, neue Verarbeitungen. Ein statisches Verzeichnis altert schneller, als die meisten glauben.
Wollen Sie im Ernstfall vor der Aufsichtsbehörde erklären, warum in Ihrem VVT eine Datenkategorie fehlt, die in Ihrer Datenbank seit Jahren steht?
📷 BILD-PLATZHALTER: Nebeneinanderstellung zweier Bildschirme – links ein leeres VVT-Formular mit blinkendem Cursor, rechts eine automatisch erkannte Spaltenliste mit rot markierten PII-Feldern und Art.-9-Warnung.
3. Was „datengetrieben” für ein KMU konkret heißt
Für einen Mittelständler ist „datengetrieben” kein Marketingwort, sondern eine Arbeitsersparnis mit Beweiskraft. Der Ablauf sieht anders aus als beim klassischen Beratungsansatz.
Statt eines Interviews steht am Anfang eine Verbindung zur Datenquelle. Die Software liest die Struktur, klassifiziert jede Spalte semantisch und markiert, wo personenbezogene Daten liegen – inklusive der besonderen Kategorien nach Art. 9. Aus diesem Befund entsteht ein VVT-Entwurf, der auf echten Feldern beruht, nicht auf Erinnerung.
Genau hier setzt datamastr an: Das Werkzeug analysiert die tatsächlichen Datenbestände und schlägt die Einträge für das Verarbeitungsverzeichnis vor. Der Mensch prüft und bestätigt – das Fundstück selbst kommt aus den Daten. Das dreht das Prinzip um: vollautomatische Vorarbeit, manuelle Kontrolle. Nicht manuelle Vorarbeit, automatische Ablage.
Der Nebeneffekt: Auch Betroffenenanfragen nach Art. 15 DSGVO und Löschverlangen nach Art. 17 DSGVO werden greifbar, weil das System weiß, wo eine bestimmte Person überhaupt in den Beständen auftaucht. Wer die Datenlandschaft nur aus Fragebögen kennt, muss bei jeder Auskunft neu suchen – und die Uhr läuft: Art. 12 Abs. 3 DSGVO gibt Ihnen dafür grundsätzlich einen Monat.
Ein Beispiel aus dem Alltag: Ein Kunde fordert Auskunft über seine gespeicherten Daten. Im beratungsgeführten Modell greifen Sie zum Telefon und fragen die Fachabteilungen ab, wo dieser Mensch überall auftaucht. Im datengetriebenen Modell durchsucht das Werkzeug die angebundenen Bestände nach der Kennung und liefert die Fundstellen. Das ist kein kosmetischer Unterschied. Das ist der Unterschied zwischen einer Frist, die Sie einhalten, und einer, die Sie reißen.
📷 BILD-PLATZHALTER: Zeitleiste einer Betroffenenanfrage über 30 Tage – oben der manuelle Weg mit vielen Rückfrage-Symbolen, unten der datengetriebene Weg mit einem einzigen Such-Symbol am Anfang.
4. Die Kostenfrage ist eine Kategorienfrage
Beim Preis vergleicht man oft Äpfel mit Birnen, und das führt zu falschen Schlüssen.
Beratungsgeführte Plattformen bündeln Software und Dienstleistung. Ihr Preis enthält Menschen: Beraterstunden, betreuten Datenschutzbeauftragten, individuelle Angebote. Das ist meist angebotsbasiert und lässt sich nicht seriös in eine einzelne Monatszahl pressen. Wer diese Begleitung braucht, zahlt für einen realen Gegenwert.
Reine Software ohne gebündelte Beratung liegt strukturell darunter, weil sie keinen Beraterkalender finanzieren muss. datamastr ist bewusst als Software-Produkt für den Mittelstand aufgestellt: Der FREE-Einstieg ist kostenlos (1 Nutzer, 3 Datenbestände), der TEAM-Tarif kostet 399 Euro/Monat bei jährlicher Abrechnung. Kein Beratungsaufschlag, weil keine Beratung mitverkauft wird.
Die ehrliche Grenze: Wer wenig internes Datenschutz-Know-how hat und jemanden braucht, der aktiv steuert, bekommt bei einem reinen Software-Werkzeug keinen menschlichen DSB. Dafür bekommt er ein Verzeichnis, das aus echten Daten entsteht – und behält die Hoheit über seine Systeme.
📷 BILD-PLATZHALTER: Einfache Vergleichsgrafik mit zwei Säulen – „Beratung + Software (angebotsbasiert)” gegen „Software, datengetrieben (fester Tarif)” – ohne Wertung, nur Merkmale gegenübergestellt.
5. Deutsche Hosting-Frage nicht überspringen
Für den Mittelstand ist der Serverstandort kein Detail, sondern Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Wenn ein Compliance-Werkzeug selbst personenbezogene Daten oder Metadaten über Ihre Datenlandschaft verarbeitet, sollten Sie wissen, wo das passiert.
Achten Sie bei jeder Alternative – gleich welcher Kategorie – auf drei Punkte: Wo stehen die Server? Wer hat Zugriff? Und werden Ihre tatsächlichen Inhalte in die Cloud eines Drittanbieters gespiegelt oder bleiben sie in einer kontrollierten Umgebung? datamastr setzt hier bewusst auf deutsches Hosting, weil genau diese Frage im Mittelstandsgespräch immer wieder kommt.
6. Wann sich der Wechsel lohnt – und wann nicht
Seien wir fair: Nicht jeder braucht ein datengetriebenes Werkzeug.
Ein Wechsel oder Einstieg ergibt Sinn, wenn Ihre Daten in Systemen liegen, die Sie selbst verwalten, wenn Ihr VVT chronisch veraltet ist, weil niemand es manuell pflegt, oder wenn Sie schlicht keinen Beraterkalender bezahlen wollen für eine Aufgabe, die Software erledigen kann. Auch die Bußgeldseite spielt mit: Verstöße gegen die Dokumentationspflichten aus Art. 30 fallen unter den Rahmen von Art. 83 Abs. 4 DSGVO – bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Ein Verzeichnis, das nachweislich auf echten Daten beruht, ist im Ernstfall der bessere Beleg als eine Sammlung von Selbstauskünften.
Bei sehr kleinen Unternehmen greift zwar unter Umständen die Ausnahme des Art. 30 Abs. 5 DSGVO – aber eben nur unter engen Bedingungen, und sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien nach Art. 9 im Spiel sind. In der Praxis trifft das auf fast jeden Arbeitgeber zu. Auf die Ausnahme zu bauen, ist selten eine tragfähige Strategie.
Ein Einstieg lohnt sich dagegen nicht, wenn Sie primär einen externen Datenschutzbeauftragten suchen und die Software nur nebenbei brauchen. Dann sind Sie im beratungsgeführten Lager richtiger. Das ist keine Schwäche der einen oder anderen Seite – es sind einfach zwei verschiedene Werkzeuge für zwei verschiedene Bedürfnisse.
Der ehrliche Test dauert drei Minuten
Bevor Sie Anbieter, Kategorien und Angebote vergleichen, lohnt sich eine nüchterne Standortbestimmung: Wie belastbar ist Ihre DSGVO-Dokumentation eigentlich – und wo sind die Lücken, die ein Fragebogen nie zeigen würde?
Machen Sie den kostenlosen DSGVO-Schnellcheck unter https://app.datamastr.com/dsgvo-check/ – 12 Fragen, 3 Minuten, Sofort-Ergebnis. Danach wissen Sie, ob Sie einen Berater, ein datengetriebenes Werkzeug oder beides brauchen. Und Sie treffen die Entscheidung auf Basis Ihrer echten Datenlage, nicht auf Basis eines Verkaufsgesprächs.