Wer nach einer Datenschutz-Software sucht, landet früher oder später bei einer unbequemen Erkenntnis: Die meisten Werkzeuge fragen Sie, was in Ihren Systemen passiert. Sie schauen nicht selbst nach. Man klickt sich durch einen Fragebogen, hakt “Ja, wir führen ein Verarbeitungsverzeichnis” an, und am Ende steht ein sauberes PDF, das genau so gut ist wie die Antworten, die man hineingetippt hat. Der Prüfer interessiert sich aber nicht für Ihre Antworten. Er interessiert sich für Ihre Daten.
Genau an dieser Stelle unterscheiden sich datamastr und heyData grundsätzlich. Nicht besser oder schlechter – sondern in der Methode. Und diese Methode entscheidet darüber, ob Ihr Nachweis der Realität standhält oder nur der Selbstauskunft.
📷 BILD-PLATZHALTER: Zwei nebeneinander liegende Bildschirme, links ein klassischer Datenschutz-Fragebogen mit Ankreuzfeldern, rechts eine Datenkatalog-Ansicht mit automatisch erkannten PII-Feldern und rot markierten Risiken.
Zwei Kategorien, die oft in einen Topf geworfen werden
heyData positioniert sich als Compliance-Plattform mit angeschlossenem Beratungsansatz. Der Kern ist ein Managementsystem: Fragebögen, Dokumentenvorlagen, Schulungen, Aufgabenverwaltung – häufig kombiniert mit dem Angebot eines externen Datenschutzbeauftragten. Das ist ein etabliertes Modell und für viele Unternehmen sinnvoll, besonders dort, wo überhaupt erst eine Datenschutz-Organisation aufgebaut werden muss. Wer ab einer bestimmten Größe einen Datenschutzbeauftragten benennen muss (in Deutschland greift die Pflicht nach § 38 BDSG unter anderem ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten), findet hier ein Rundum-Paket.
datamastr gehört in eine andere Kategorie. Es ist eine datengetriebene Governance-Plattform. Statt Sie zu fragen, was Sie speichern, verbindet sich datamastr mit Ihren tatsächlichen Datenquellen – Datenbanken, Excel-Exporte, CSV-Dateien – und analysiert die echten Spalten und Werte. Das Werkzeug erkennt selbstständig, wo E-Mail-Adressen, Geburtsdaten, Steuernummern oder Gesundheitsdaten liegen, und leitet daraus einen Entwurf des Verarbeitungsverzeichnisses ab.
Der Unterschied klingt technisch. Seine Konsequenz ist juristisch.
1. Der blinde Fleck im Fragebogen
Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist nur so vollständig wie das Wissen der Person, die es ausfüllt. Genau das ist das Problem. In den meisten mittelständischen Unternehmen weiß niemand vollständig, welche personenbezogenen Daten in welcher Datenbank, in welchem Altsystem und in welcher vergessenen Excel-Tabelle auf dem Netzlaufwerk liegen.
Ein Fragebogen-Ansatz reproduziert dieses Nichtwissen. Was der Ausfüllende nicht kennt, taucht im Verzeichnis nicht auf. Die alte Bewerber-Datenbank aus 2019? Die Marketing-Liste mit 40.000 Kontakten, die eine Praktikantin einmal exportiert hat? Nicht abgefragt heißt nicht dokumentiert.
Ein datengetriebener Ansatz dreht die Logik um. Er findet die Datenbestände zuerst und fragt dann nach der Rechtsgrundlage. Das ist unbequemer – aber es ist das, was ein Verstoß gegen Art. 30 kostet, wenn er auffliegt: Nach Art. 83 Abs. 4 DSGVO drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Für Dokumentationspflichten. Nicht für einen Datendiebstahl.
2. Die Auskunftsanfrage, die keinen Fragebogen kennt
Stellen Sie sich vor, ein ehemaliger Mitarbeiter stellt einen Antrag auf Auskunft nach Art. 15 DSGVO. Sie haben nach Art. 12 Abs. 3 DSGVO grundsätzlich einen Monat Zeit, ihm mitzuteilen, welche Daten Sie über ihn verarbeiten – und zwar alle.
Ein Compliance-Managementsystem hilft Ihnen, den Vorgang zu protokollieren, Fristen zu überwachen und ein Antwortschreiben zu formulieren. Das ist wertvoll. Aber die eigentliche Arbeit – herausfinden, in welchen der zwölf Systeme der Name “Müller” tatsächlich auftaucht – bleibt manuell.
datamastr durchsucht die angebundenen Datenquellen nach den Identifikatoren der betroffenen Person und listet die Fundstellen auf. Aus der Antwort auf eine Auskunftsanfrage wird eine Suche statt einer Fleißaufgabe. Und bei einem Löschbegehren nach Art. 17 DSGVO ist genau diese Fundstellen-Liste die Grundlage dafür, dass Sie überhaupt löschen können, was gelöscht werden muss.
📷 BILD-PLATZHALTER: Ablaufdiagramm einer Betroffenenanfrage – links der manuelle Weg mit Fragezeichen über mehreren Systemen, rechts der automatisierte Weg mit einer Trefferliste aus einem Scan.
3. Datenqualität ist kein Datenschutz-Thema? Doch.
Ein Punkt, der in reinen Compliance-Werkzeugen selten vorkommt: die Qualität der Daten selbst. Art. 5 Abs. 1 lit. d DSGVO verlangt, dass personenbezogene Daten sachlich richtig und auf dem neuesten Stand sind. Dubletten, veraltete Adressen, falsch zugeordnete Felder – das ist nicht nur ein Ärgernis für den Vertrieb, sondern ein Datenschutz-Grundsatz.
datamastr prüft die angebundenen Bestände auf Vollständigkeit, Gültigkeit, Eindeutigkeit und Dubletten und zeigt einen Qualitäts-Score pro Datenbestand. Ein Fragebogen kann Ihnen nicht sagen, dass 12 % der Kundendatensätze eine ungültige E-Mail-Adresse tragen. Ein Scan schon.
4. Beratung oder Automatisierung – wofür zahlen Sie?
Hier liegt der ehrlichste Unterschied. Das Modell hinter heyData bündelt Software mit menschlicher Dienstleistung, oft inklusive externem Datenschutzbeauftragten. Wer diese laufende Begleitung braucht, bekommt sie – und bezahlt entsprechend für die Kombination aus Plattform und Beratung.
datamastr ist ein reines Software-Produkt mit deutschem Hosting und einem Preismodell für den Mittelstand. Der FREE-Einstieg ist kostenlos (1 Nutzer, 3 Datenbestände), um überhaupt einmal zu sehen, was in den eigenen Daten steckt. Der TEAM-Tarif liegt bei 399 Euro/Monat bei jährlicher Abrechnung. Kein Beratungsvertrag, keine Personentage – dafür die Automatisierung der Fleißarbeit.
Das ist keine Wertung, sondern eine Weggabelung. Brauchen Sie einen Menschen, der Ihnen die Rechtsfragen beantwortet und als benannter Datenschutzbeauftragter haftet? Dann ist ein Service-Modell die richtige Wahl. Brauchen Sie ein Werkzeug, das Ihnen zeigt, was tatsächlich in Ihren Systemen liegt, und daraus prüffähige Nachweise erzeugt? Dann ist der datengetriebene Weg näher an Ihrem Problem.
5. Wo Ihre Daten liegen, während Sie sie prüfen
Ein Aspekt, der bei der Werkzeug-Auswahl oft untergeht: Sobald eine Software Ihre echten Datenbestände analysiert, wandern zumindest Metadaten – manchmal auch Stichproben – durch die Infrastruktur des Anbieters. Bei einem reinen Fragebogen ist das weniger heikel, weil dort keine Produktivdaten fließen. Sobald aber wirklich in die Daten geschaut wird, wird der Standort der Verarbeitung zur eigenen Compliance-Frage.
datamastr wird in Deutschland gehostet. Das ist kein Marketing-Detail, sondern für ein Werkzeug, das personenbezogene Daten berührt, ein handfestes Argument gegenüber Auftragsverarbeitern außerhalb der EU. Wer ohnehin ein Verzeichnis nach Art. 30 führt, muss auch die eingesetzten Dienstleister und mögliche Drittlandtransfers dokumentieren. Ein Werkzeug, das selbst kein Drittland-Problem erzeugt, spart Ihnen genau diese Zeile im Verzeichnis.
Prüfen Sie diese Frage bei jedem Anbieter, den Sie in die engere Wahl nehmen – unabhängig davon, ob er Fragebogen oder Scan heißt. Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gehört in jedem Fall dazu.
Wo sich beide Ansätze treffen
Man muss sich nicht entscheiden, als wären es Gegner. Ein externer Datenschutzbeauftragter, der mit einem datengetriebenen Werkzeug arbeitet, ist besser aufgestellt als einer, der sich auf Selbstauskünfte verlässt. Die Fragebogen-Welt und die Daten-Welt schließen sich nicht aus – sie beantworten verschiedene Fragen.
Der Fragebogen fragt: Was sollte in Ihrer Organisation passieren? Die Datenanalyse fragt: Was passiert tatsächlich? Die Kluft zwischen diesen beiden Antworten ist genau der Bereich, in dem Bußgelder entstehen.
Die Ausnahme in Art. 30 Abs. 5 DSGVO – die kleinere Unternehmen unter bestimmten Bedingungen von der Verzeichnispflicht zu entlasten scheint – wird in der Praxis fast nie erfüllt, weil sie unter anderem voraussetzt, dass die Verarbeitung nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Sobald Sie regelmäßig Personaldaten oder Kundendaten verarbeiten, sind Sie in der Pflicht. Der Fragebogen sagt Ihnen das. Ob Sie es einhalten, sehen Sie erst, wenn jemand in die Daten schaut.
Der ehrlichste Test kostet nichts
Der beste Weg, den Unterschied zu verstehen, ist kein Vergleichsartikel – es ist ein Blick in die eigenen Daten. Bevor Sie einen Fragebogen ausfüllen, sollten Sie wissen, welche Fragen er gar nicht stellt.
Machen Sie zuerst den kostenlosen DSGVO-Schnellcheck: 12 Fragen, 3 Minuten, Sofort-Ergebnis. Er zeigt Ihnen, wo Ihre größten Dokumentationslücken liegen – bevor ein Prüfer sie findet. Danach entscheiden Sie, ob Sie einen Berater, ein Werkzeug oder beides brauchen.
👉 [https://app.datamastr.com/dsgvo-check/](https://app.datamastr.com/dsgvo-check/)