Inhalt
Die fünf Datenschutz-Tools aus Deutschland in diesem Vergleich sind fuentis, DataGuard, Proliance 360, heyData und caralegal. Sie bilden die Nachweispflichten der DSGVO unterschiedlich weit ab, vom Verzeichnis von Verarbeitungstätigkeiten (VVT) bis zur Meldung von Datenpannen. Laut Bitkom ist die Dokumentation von Verarbeitungstätigkeiten der am häufigsten genannte Datenschutz-Aufwand: 84 Prozent der Unternehmen nennen sie, nach 73 Prozent im Vorjahr.
Die Auswahl ist redaktionell, die Reihenfolge ist keine Rangfolge; fuentis ist Anbieter eines der Tools. Kriterien: Sitz in Deutschland laut Impressum und eine Datenschutz-Management-Software mit VVT-Funktion auf der offiziellen Herstellerseite. Alle Angaben zu den anderen Anbietern stammen von deren Seiten, Stand Oktober 2026. Keine Software macht ein Unternehmen DSGVO-konform; die Verantwortung bleibt beim Verantwortlichen.
Was muss eine Datenschutz-Software leisten?
Eine Datenschutz-Software (auch DSGVO-Software) sollte die Nachweispflichten der DSGVO abbilden: Verarbeitungsverzeichnis nach Art. 30, technische und organisatorische Maßnahmen nach Art. 32, Auftragsverarbeitung nach Art. 28, Datenpannen nach Art. 33 und Art. 34, Datenschutz-Folgenabschätzung nach Art. 35 und Betroffenenanfragen. Die DSGVO verlangt Nachweise, keine bestimmte Software.
| Pflicht | DSGVO-Artikel | Frist oder Auslöser |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten (VVT) | Art. 30 | laufend; Ausnahme unter 250 Mitarbeitern nur in engen Grenzen (Abs. 5) |
| Technische und organisatorische Maßnahmen (TOM) | Art. 32 | laufend, dem Risiko angemessen |
| Vertrag mit Auftragsverarbeitern | Art. 28 Abs. 3 | Vertrag oder anderes Rechtsinstrument, keine Frist |
| Meldung von Datenpannen | Art. 33 und 34 | Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden; Betroffene bei hohem Risiko unverzüglich |
| Datenschutz-Folgenabschätzung (DSFA) | Art. 35 | vorab, wenn voraussichtlich ein hohes Risiko besteht |
| Betroffenenrechte (Auskunft, Löschung u. a.) | Art. 12 bis 22 | ein Monat, um zwei Monate verlängerbar (Art. 12 Abs. 3) |
Das VVT ist der Ausgangspunkt, aber nicht der ganze Nachweis. Die Datenschutzkonferenz (DSK) schreibt in ihrem Kurzpapier Nr. 1: „Das Verzeichnis ist nur ein Baustein, um der in Art. 5 Abs. 2 normierten Rechenschaftspflicht zu genügen.“
Wie knapp 72 Stunden sind, zeigt die Praxis der Aufsicht: Beim Bayerischen Landesamt für Datenschutzaufsicht gingen 2025 laut Tätigkeitsbericht 3.603 Datenpannenmeldungen ein, 23 Prozent mehr als im Vorjahr. Wer erst im Vorfall klärt, welche Verarbeitungen und Systeme betroffen sind, verbraucht die Frist mit Suchen.
Nicht jede Organisation braucht ein Tool. Kleine Unternehmen mit wenigen, risikoarmen Verarbeitungen kommen oft mit Vorlagen aus. Eine Software lohnt sich, wenn mehrere Gesellschaften, viele Dienstleister (Third-Party-Risk-Management) oder regelmäßige Anfragen zu verwalten sind.
Welche Datenschutz-Tools aus Deutschland gibt es im Vergleich?
Laut Herstellerseiten weisen DataGuard, Proliance 360, heyData und caralegal Module für VVT (englisch RoPA), DSFA und Betroffenenanfragen aus. Das DPMS von fuentis dokumentiert das VVT, TOMs, Auftragsverarbeiter und Datenpannen mit 72-Stunden-Fristberechnung; zu DSFA und Betroffenenanfragen macht die Produktseite keine Angabe. Die Tabelle gibt die Herstellerangaben wieder.
| Modul (DSGVO) | fuentis | DataGuard | Proliance 360 | heyData | caralegal |
|---|---|---|---|---|---|
| VVT (Art. 30) | ja | ja | ja | ja | ja |
| TOM (Art. 32) | ja | keine Angabe | ja | ja | ja |
| Auftragsverarbeiter, AV-Verträge (Art. 28) | ja | teilweise (Auftragsverarbeiter im Drittanbieter-Risikomanagement) | ja | ja | ja |
| Datenpannen (Art. 33/34) | ja, mit 72-Stunden-Fristberechnung | ja | ja | ja | ja |
| DSFA (Art. 35) | keine Angabe | ja | ja | ja | ja |
| Betroffenenanfragen (Art. 12 bis 22) | keine Angabe | ja | ja | ja | ja |
| Schulungen | keine Angabe | ja | ja | ja | ja |
| Hosting | Deutschland (SaaS); Private Cloud oder On-Premise (Enterprise) möglich | keine Angabe auf dataguard.de | Server in Europa | Deutschland | Deutschland (Frankfurt) |
| Öffentliche Preise | Suite ja, DPMS nicht ausgewiesen | nein | ja | ja | ja |
Angaben laut Herstellerseiten, Stand Oktober 2026. „Keine Angabe“ heißt: auf der Herstellerseite nicht ausgewiesen.
fuentis
Das DPMS der fuentis Suite 4 führt das VVT hierarchisch: Jede Entity kann ihr eigenes Verzeichnis haben. Über die Asset-Management-Verknüpfung werden IT-Systeme den Verarbeitungstätigkeiten zugeordnet, und eine Datenpanne läuft über das Incident-Management-Modul mit automatischer Fristberechnung.
DataGuard
DataGuard bietet die Plattform laut Preisseite als SaaS allein oder mit Expert Support an; der externe Datenschutzbeauftragte ist ein Zusatzangebot. Preise nennt der Anbieter nur auf Anfrage.
Proliance 360
Proliance 360 richtet sich laut Hersteller an kleine und mittlere Unternehmen im DACH-Raum. Die PROLIANCE GmbH war bis 2025 als datenschutzexperte.de bekannt. Software und externer Datenschutzbeauftragter sind laut Preisseite auch als Paket buchbar.
heyData
heyData beschreibt sich als Plattform mit Expertenteam für den Mittelstand und nennt als Hosting Deutschland. Das „Datenschutz-Siegel“ im Professional-Tarif ist ein Siegel des Anbieters, kein Siegel und keine Zertifizierung nach Art. 42 DSGVO.
caralegal
caralegal bildet laut Hersteller Konzernstrukturen mit Holding und Tochtergesellschaften ab. Der Preis richtet sich nach der Zahl juristischer Personen, Benutzer sind unbegrenzt. Gehostet wird in der Open Telekom Cloud in Frankfurt.
Welches Datenschutz-Tool passt zu welcher Situation?
Wer Datenschutz und Informationssicherheit auf einer Datenbasis führen will, kann fuentis prüfen. Unternehmen ohne eigene Datenschutz-Abteilung finden bei DataGuard, Proliance 360 und heyData Software zusammen mit einem externen Datenschutzbeauftragten. Für Konzerne mit mehreren Gesellschaften nennen caralegal und fuentis Funktionen für Gesellschafts- beziehungsweise Entity-Strukturen.
Ein Verarbeitungsverzeichnis, das mit keinem IT-System und keiner Maßnahme verknüpft ist, veraltet schneller, als es gepflegt wird. Entscheidend ist, ob eine Datenpanne in der Software sofort zeigt, welche Verarbeitungen und Systeme betroffen sind. Die 72 Stunden nach Art. 33 laufen ab Kenntnis, nicht ab dem Aufräumen der Dokumentation.
Wer einen vollständigen Funktionskatalog sucht, findet bei Proliance 360, heyData und caralegal alle sieben Module der Vergleichstabelle (VVT, TOM, AV-Verträge, Datenpannen, DSFA, Betroffenenanfragen, Schulungen) ausgewiesen; bei DataGuard fehlen Angaben zu TOM und AV-Verträgen. Beim DPMS von fuentis liegt der Schwerpunkt auf VVT, TOMs, Auftragsverarbeitern und der Verbindung zu ISMS, BCMS und Incident Management. Für die Sicherheitsseite ergänzen der Vergleich der ISMS-Tools aus Deutschland und der Vergleich der NIS2-Tools die Kriterien.
Testen Sie vor der Entscheidung mit einem echten Fall: Spielen Sie eine Auskunftsanfrage nach Art. 15 DSGVO durch. Wie lange dauert es, bis alle Verarbeitungen zur anfragenden Person gefunden sind, und wer überwacht in der Software die Monatsfrist?
CEO, fuentis AG
Experte für Informationssicherheit, Datenschutz und Risikomanagement mit umfassender Erfahrung in der Beratung von Konzernen und öffentlichen Organisationen. Spezialisiert auf ISO 27001, BSI-Standards und moderne Risikoanalyse-Methoden.