Wer schon einmal ein Verzeichnis von Verarbeitungstätigkeiten mit einer Software befüllt hat, kennt den Moment, in dem die Ernüchterung einsetzt: Das Tool ist hübsch, der Fragebogen ist lang, und am Ende steht ein Dokument, das exakt so gut ist wie das, was jemand von Hand eingetippt hat. Nämlich eine Behauptung. Keine Abbildung der Realität.
Das ist das eigentliche Problem beim ROPA-Tool-Vergleich. Fast alle Werkzeuge lösen dieselbe Aufgabe auf dieselbe Weise: Sie fragen Sie, was Sie verarbeiten, und schreiben Ihre Antwort ordentlich formatiert wieder auf. Ob Ihre Antwort stimmt, weiß niemand. Am wenigsten das Tool.
Bevor Sie also die nächste Demo buchen, lohnt es sich, die Kategorien zu verstehen, in die diese Werkzeuge fallen, und die Kriterien, mit denen ein Datenschutzbeauftragter sie tatsächlich bewertet. Nicht die Kriterien aus dem Verkaufsdeck.
📷 BILD-PLATZHALTER: Nebeneinander drei stilisierte Tool-Oberflächen – ein Fragebogen, ein Enterprise-Katalog mit vielen Modulen und ein schlankes Scan-Dashboard – mit einer Bewertungsspalte “Art. 30 DSGVO” darüber.
Warum das VVT überhaupt so ernst zu nehmen ist
Kurz zur Erinnerung, damit die Bewertungskriterien einen Sinn ergeben. Das Verzeichnis von Verarbeitungstätigkeiten ist keine Kür, sondern eine Pflicht nach Art. 30 DSGVO. Verantwortliche führen es nach Art. 30 Abs. 1, Auftragsverarbeiter nach Art. 30 Abs. 2.
Die verbreitete Annahme, kleinere Unternehmen seien fein raus, ist gefährlich verkürzt. Die Ausnahme in Art. 30 Abs. 5 greift für Organisationen mit weniger als 250 Beschäftigten nur dann, wenn die Verarbeitung nicht nur gelegentlich erfolgt, kein Risiko für die Betroffenen birgt und keine besonderen Kategorien nach Art. 9 oder strafrechtliche Daten nach Art. 10 umfasst. Diese Bedingungen müssen kumulativ erfüllt sein. Wer regelmäßig Kunden-, Personal- oder Gesundheitsdaten verarbeitet – also praktisch jedes Mittelstandsunternehmen – fällt nicht unter die Ausnahme.
Und die Rechnung, falls das Verzeichnis fehlt oder unvollständig ist: Verstöße gegen Art. 30 können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Das VVT ist außerdem oft das erste Dokument, das eine Aufsichtsbehörde anfordert. Es ist die Visitenkarte Ihrer Datenschutzorganisation.
Ein Werkzeug, das dieses Dokument produziert, sollte also mehr können, als es schön aussehen zu lassen. Es sollte belegen können, dass der Inhalt stimmt. Das ist ein Unterschied, den man in keiner Feature-Tabelle sieht – und der im Ernstfall der einzige ist, der zählt.
Die drei Kategorien im ROPA-Tool-Vergleich
Bevor man einzelne Produkte vergleicht, hilft es, die Landschaft zu sortieren. Grob gibt es drei Typen.
1. Fragebogen-basierte Datenschutz-Suiten. Der Klassiker. Sie beantworten strukturierte Fragen zu jedem Prozess, das Tool erzeugt daraus ein formatiertes VVT, oft im Paket mit TOM-Verwaltung, Auftragsverarbeiter-Übersicht und Datenschutz-Folgenabschätzung. Stärke: guter roter Faden, viele fertige Textbausteine. Schwäche: das Verzeichnis ist nur so genau wie die Selbstauskunft der Fachabteilung. Kein Abgleich mit den echten Datenbeständen.
2. Enterprise-Datenkataloge. Große Plattformen, die Datenquellen technisch inventarisieren – Datenbanken, Data Warehouses, Data Lakes. Sie erkennen Tabellen und Spalten, teils auch personenbezogene Felder. Stärke: technische Tiefe. Schwäche: Sie sind für Data-Engineering-Teams gebaut, nicht für Datenschutzbeauftragte. Ein fertiges Art.-30-Dokument fällt selten von allein hinten heraus, und der Preis- und Einführungsaufwand sprengt den Rahmen eines Mittelständlers.
3. Excel und Word. Nicht lachen – das ist immer noch das meistgenutzte “ROPA-Tool” in Deutschland. Kostenlos, flexibel, und ein Wartungsalptraum, sobald mehr als drei Personen daran arbeiten. Versionschaos, tote Verlinkungen, und niemand weiß, ob die Tabelle den Stand von heute oder von 2023 zeigt.
📷 BILD-PLATZHALTER: Eine Waage, auf deren einer Seite ein ausgefüllter Fragebogen liegt und auf der anderen ein Datenbank-Symbol mit farblich markierten Feldern.
Die Kriterien-Checkliste, die ein DPO wirklich anlegt
Wenn Sie Werkzeuge dieser Kategorien vergleichen, sind es nicht die Feature-Listen, die entscheiden. Es sind diese Fragen.
1. Woher kommen die Angaben? Die wichtigste Frage überhaupt. Trägt jemand von Hand ein, welche Datenarten in einem Prozess stecken – oder liest das Tool das aus den tatsächlichen Datenquellen aus? Ein Verzeichnis, das auf Selbstauskunft beruht, hat immer denselben blinden Fleck: die Spalte, an die beim Ausfüllen niemand gedacht hat. Die Telefonnummer im Freitextfeld. Die Gesundheitsangabe im Kommentar. Genau das findet ein Prüfer.
2. Erkennt es besondere Kategorien nach Art. 9? Gesundheits-, Religions- oder Gewerkschaftsdaten heben die Anforderungen. Ein gutes Werkzeug markiert diese Felder automatisch und weist auf den zusätzlichen Rechtfertigungsbedarf nach Art. 9 Abs. 2 DSGVO hin, statt sie unauffällig zwischen Name und Adresse zu listen.
3. Bleibt das Verzeichnis aktuell? Ein VVT ist kein Projekt, sondern ein Zustand. Datenquellen ändern sich, neue Felder kommen dazu, ganze Prozesse fallen weg. Ein Verzeichnis, das den Stand vom Tag der Erstellung einfriert, ist nach sechs Monaten schon wieder Fiktion. Die entscheidende Frage lautet also: Kann das Tool erneut prüfen und Abweichungen melden – oder verlässt es sich darauf, dass jemand jede Änderung brav nachpflegt? Erfahrungsgemäß tut das niemand.
4. Deckt es sowohl Art. 30 Abs. 1 als auch Abs. 2 ab? Viele Unternehmen sind beides: Verantwortlicher für die eigene Kundendatenbank, Auftragsverarbeiter für Daten ihrer Kunden. Beide Verzeichnisse haben unterschiedliche Pflichtangaben. Kann das Werkzeug zwischen den Rollen unterscheiden?
5. Wie kommt das Dokument zum Prüfer? Am Ende braucht die Aufsichtsbehörde ein sauberes, deutschsprachiges Dokument. Ein Export als PDF, der die Pflichtangaben nach Art. 30 vollständig und lesbar abbildet, ist mehr wert als jede Dashboard-Grafik.
6. Wo liegen die Daten? Wenn ein Tool Ihre Datenbestände analysiert, verarbeitet es selbst potenziell personenbezogene Daten. Hosting in Deutschland oder mindestens der EU ist dann kein Nice-to-have, sondern Teil Ihrer eigenen Compliance. Ein US-gehostetes Werkzeug fügt Ihrer Betroffenenkette einen Drittlandtransfer hinzu, den Sie wiederum dokumentieren müssen.
7. Passt der Preis zum Mittelstand? Enterprise-Kataloge kosten oft fünfstellig im Jahr und brauchen ein eigenes Einführungsprojekt. Für ein Unternehmen mit 40 Mitarbeitern ist das die falsche Größenordnung.
Wo die üblichen Vergleiche eine Lücke lassen
Fällt Ihnen etwas auf? Kriterium 1 zieht sich durch alles. Die Genauigkeit eines VVT hängt nicht davon ab, wie viele Felder ein Fragebogen hat, sondern davon, ob überhaupt jemand in die echten Daten geschaut hat. Fragebogen-Tools überspringen diesen Schritt per Konstruktion. Enterprise-Kataloge schauen zwar in die Daten, liefern aber kein DPO-taugliches Art.-30-Dokument.
Genau in diese Lücke ist datamastr gebaut. Das Werkzeug scannt die tatsächlichen Datenbestände – CSV-Dateien, Excel-Tabellen, angebundene Datenbanken -, klassifiziert automatisch die personenbezogenen Felder samt besonderer Kategorien nach Art. 9 und erzeugt daraus einen VVT-Entwurf. Nicht aus dem, was jemand vermutet, sondern aus dem, was wirklich in den Spalten steht. Gehostet in Deutschland, gedacht für den Mittelstand.
Der Preis folgt derselben Logik: Der FREE-Einstieg ist kostenlos (1 Nutzer, 3 Datenbestände), um das Prinzip an echten Daten auszuprobieren. Wer mehr braucht, steigt in TEAM für 399 Euro pro Monat bei jährlicher Abrechnung ein. Keine fünfstellige Jahreslizenz, kein monatelanges Einführungsprojekt.
📷 BILD-PLATZHALTER: Ein automatisch generierter VVT-Eintrag im PDF-Format mit deutschsprachigen Pflichtfeldern nach Art. 30, wobei ein Gesundheitsdaten-Feld amberfarben als “besondere Kategorie” markiert ist.
Was Sie aus dem Vergleich mitnehmen sollten
Ein ROPA-Tool ist kein Selbstzweck. Es soll ein Dokument produzieren, das einer Prüfung standhält – und das setzt voraus, dass es die Realität abbildet und nicht eine gut gemeinte Selbsteinschätzung. Prüfen Sie jedes Werkzeug an der einen Frage, die alles entscheidet: Schaut es in die echten Daten, oder fragt es nur nach?
Wenn Sie herausfinden wollen, wo Ihr eigenes Verzeichnis heute steht, machen Sie den kostenlosen DSGVO-Schnellcheck unter https://app.datamastr.com/dsgvo-check/ – 12 Fragen, 3 Minuten, Sofort-Ergebnis. Er zeigt Ihnen die häufigste Lücke oft schneller, als eine Demo dauert.