Auf einen Blick
- Gründung
- 2020
- Mitarbeiter
- über 70 (nach eigenen Angaben, Stand Oktober 2026)
- Standorte
- Berlin (Hauptsitz), München (Büro)
- Zertifizierungen
- TÜV-Zertifikat Datenschutzbeauftragter (TÜV-DSB) der eingesetzten externen Datenschutzbeauftragten
- Zielgruppen
- Arztpraxen und MVZ
- Schwerpunkte
- Datenschutz nach DSGVO, ISO 27001, NIS2, EU AI Act, Branchenlösung Healthcare & Medtech
Für Healthcare- und Medtech-Unternehmen, die Gesundheitsdaten verarbeiten, bietet die heyData GmbH eine eigene Branchenlösung an. Das Berliner Unternehmen betreibt eine Compliance-Plattform für Datenschutz, Informationssicherheit und KI und kombiniert die Software mit der Betreuung durch Expertinnen und Experten. Anforderungen, Aufgaben und Nachweise laufen in einem geführten System zusammen; was einmal dokumentiert ist, lässt sich für mehrere Regelwerke wiederverwenden. An Arztpraxen richten sich zusätzlich Inhalte wie eine Datenschutz-Checkliste.
Im Kern stehen Workflows für Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Datenschutz-Folgenabschätzungen und Auftragsverarbeitungsverträge. Bei Gesundheitsdaten, die nach Art. 9 DSGVO zu den besonderen Kategorien zählen, sind eine passende Rechtsgrundlage, erhöhte Sicherheitsmaßnahmen und häufig eine Folgenabschätzung gefordert. Ergänzend baut heyData ein ISMS nach ISO 27001 mit Risikoregister, Controls und Evidenzen auf, prüft, ob NIS2 greift, und verwaltet Auftragsverarbeiter und Subprozessoren nach Art. 28 DSGVO. Rollenbasierte Trainings zu Datenschutz und Security-Awareness werden auf der Plattform dokumentiert. DiGA-Hersteller erhalten Unterstützung dabei, ihre Datenschutz- und Sicherheitsnachweise für das Verfahren beim BfArM zu strukturieren.
Die Rolle des externen Datenschutzbeauftragten übernehmen Fachleute mit TÜV-Zertifikat. Sie prüfen Verarbeitungsverzeichnis, TOMs und AV-Verträge, begleiten Folgenabschätzungen, unterstützen bei Datenschutzvorfällen und sind Anlaufstelle für Aufsichtsbehörden. Die durchschnittliche Reaktionszeit liegt nach eigenen Angaben bei 24 Stunden (Stand Oktober 2026). Ebenfalls nach eigenen Angaben lässt sich die Plattform über mehr als 50 Integrationen an bestehende Systeme anbinden.
Neben dem Hauptsitz in Berlin unterhält heyData ein Büro in München. Nach eigenen Angaben arbeiten über 70 Beschäftigte für das Unternehmen, das mehr als 2.500 Kundinnen und Kunden in Europa betreut (Stand Oktober 2026). Über die Plattform wurden laut diesen Angaben mehr als 28.000 Compliance-Schulungen abgeschlossen, zudem liegen über 4.400 vorausgefüllte Vendor-Assessments vor. Im Oktober 2026 waren neun Stellen ausgeschrieben, darunter in der Beratung zu Informationssicherheit nach ISO 27001.
Gegründet wurde heyData 2020 in Berlin, 2021 folgte der Aufbau des Teams. 2023 zählte das Unternehmen nach eigenen Angaben über 1.000 Kundinnen und Kunden im DACH-Raum. 2024 erweiterte es das Angebot über den Datenschutz hinaus um ISO 27001, NIS2 und den EU AI Act, 2026 kamen ein Teamausbau und ein neuer Markenauftritt hinzu.
Angebote und Leistungen
| Angebot | Leistung | Beschreibung |
|---|---|---|
| DSGVO-Compliance für Gesundheitsdaten | IT-Sicherheit und Datenschutz im Gesundheitswesen | Geführte Abläufe für Verarbeitungsverzeichnis, TOMs, Folgenabschätzungen und AV-Verträge, fachlich begleitet durch Datenschutzexperten. |
| Externer Datenschutzbeauftragter | Externer Datenschutz im Gesundheitswesen | Bestellung TÜV-zertifizierter Datenschutzbeauftragter mit Beratung, Begleitung bei Folgenabschätzungen und Kontakt zu Aufsichtsbehörden. |
| ISO 27001 und ISMS | IT-Sicherheit und Datenschutz im Gesundheitswesen | Aufbau eines Managementsystems für Informationssicherheit mit Risikoregister, Controls und Evidenzen, auch für weitere Frameworks nutzbar. |
| DiGA-Vorbereitung | IT-Sicherheit und Datenschutz im Gesundheitswesen | Ordnet Datenschutz- und Sicherheitsnachweise entlang der DiGA-Anforderungen für die Unterlagen im BfArM-Verfahren. |
| Vendor Management | IT-Sicherheit und Datenschutz im Gesundheitswesen | Zentrale Übersicht über Auftragsverarbeiter, Subprozessoren, Verträge und Risiken nach Art. 28 DSGVO mit Erinnerungsfunktion. |
| Audit und Dokumentation | IT-Sicherheit und Datenschutz im Gesundheitswesen | Strukturierte Ablage von Policies, Maßnahmen und Evidenzen für Kundenaudits, Due Diligence und regulatorische Anfragen. |
| NIS2-Compliance | IT-Sicherheit und Datenschutz im Gesundheitswesen | Einordnung, ob NIS2 greift, und Aufbau der nötigen Risiko-, Sicherheits- und Nachweisprozesse. |
| Compliance-Schulungen | IT-Sicherheit und Datenschutz im Gesundheitswesen | Rollenbasierte Datenschutz- und Awareness-Trainings, deren Abschlüsse und Erinnerungen zentral auf der Plattform festgehalten werden. |
Häufige Fragen
Welche Nachweise verlangen Kliniken und Krankenkassen häufig von Dienstleistern?
Laut heyData werden häufig Datenschutzverträge, technische und organisatorische Maßnahmen, Risikobewertungen, Security-Policies und ein nachvollziehbares ISMS angefragt. Die Plattform hält diese Unterlagen strukturiert vor, sodass sie für Kundenaudits und Due-Diligence-Prüfungen abrufbar sind.
Wie unterstützt heyData bei einem DiGA-Antrag?
heyData begleitet den strukturierten Aufbau und die Pflege der Dokumentation zu Datenschutz und Datensicherheit, die für das Verfahren beim BfArM gebraucht wird. Welche Nachweise im Einzelfall nötig sind, hängt vom jeweiligen Produkt und vom Verfahren ab.
Gilt NIS2 für jedes Healthcare- oder Medtech-Unternehmen?
Nein. Ob NIS2 greift, hängt unter anderem von der Tätigkeit, der Unternehmensgröße, der Rolle in der Lieferkette und der nationalen Umsetzung ab. heyData ordnet das zunächst ein und baut bei Bedarf die erforderlichen Risiko-, Sicherheits- und Nachweisprozesse auf.
Wie läuft die Zusammenarbeit mit dem externen Datenschutzbeauftragten ab?
Der externe Datenschutzbeauftragte ist persönlicher Ansprechpartner und in die heyData-Plattform eingebunden. Onboarding, Kommunikation und Anfragen laufen digital über diese Kundenplattform; eine Telefonhotline bietet das Unternehmen nicht an.
Welche Themen deckt die Datenschutz-Checkliste für Arztpraxen ab?
Das Whitepaper von heyData behandelt den Umgang mit Patientendaten, Einwilligungen, den Datenschutz auf der Praxiswebsite, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge sowie die Datenschutz-Folgenabschätzung. Es steht auf der Website des Unternehmens zum Download bereit.
