Datenschutz bei Veranstaltungen: der Leitfaden für öffentliche Träger und Hochschulen
Bei fast jeder Veranstaltung entstehen personenbezogene Daten, und bei fast jeder wird dieselbe Frage zu spät gestellt: Auf welcher Grundlage eigentlich? Dieser Leitfaden geht die drei Phasen einer Veranstaltung durch, benennt die deutschen Besonderheiten, die in europaweiten Ratgebern fehlen, und zeigt, welche Anforderungen in eine Leistungsbeschreibung gehören.
Wer verantwortlich ist, und wofür genau
Verantwortlich im Sinne der DSGVO ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Das ist die Organisation, nicht die Person, die das Event plant: die Hochschule, nicht der Career Service; die Stadt, nicht die Wirtschaftsförderung. Diese Unterscheidung wirkt formal, entscheidet aber darüber, wer eine Auskunft beantworten muss und wer einen Vertrag unterschreiben darf.
Der Softwareanbieter ist demgegenüber Auftragsverarbeiter. Er speichert und führt aus, entscheidet aber nicht. Deshalb braucht es zwischen beiden einen Auftragsverarbeitungsvertrag, und deshalb bleiben Sie verantwortlich, auch wenn die Daten physisch bei ihm liegen.
Vor der Veranstaltung
Die Rechtsgrundlage steht vor dem Formular
Jede Datenverarbeitung braucht einen der sechs Gründe aus Artikel 6 DSGVO. Für die Anmeldung selbst trägt in aller Regel die Vertragserfüllung: Wer sich anmeldet, will teilnehmen, und dafür brauchen Sie Name und Kontakt. Bei öffentlichen Trägern kommt häufig die Wahrnehmung einer Aufgabe im öffentlichen Interesse hinzu.
Die Einwilligung ist dagegen die schwächste der möglichen Grundlagen, weil sie jederzeit widerrufen werden kann. Wer sie für die Anmeldung einholt, steht nach einem Widerruf ohne Grundlage da, obwohl die Teilnahme noch läuft. Heben Sie sie für das auf, wofür es keine andere Grundlage gibt: Fotos, Weitergabe an Aussteller, spätere Werbung.
Jedes Pflichtfeld kostet zweimal
Datensparsamkeit ist kein Ideal, sondern eine Vorschrift. Praktisch heißt das: Gehen Sie Ihr Anmeldeformular Feld für Feld durch und streichen Sie jedes, dessen Zweck Sie nicht in einem Satz benennen können. Das Geburtsdatum brauchen Sie fast nie, die Telefonnummer selten, die Anschrift nur bei Postversand.
Jedes zusätzliche Feld kostet doppelt: Es senkt die Abschlussquote der Anmeldung, und es vergrößert den Datenbestand, den Sie schützen, beauskunften und löschen müssen.
Informationspflicht
Nach Artikel 13 DSGVO müssen Sie bei der Erhebung informieren, und zwar unaufgefordert. Dazu gehören Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und die Betroffenenrechte. Ein Link zur allgemeinen Datenschutzerklärung der Website reicht nur, wenn diese die Veranstaltung tatsächlich abdeckt. Meist tut sie das nicht, weil dort weder das Matching noch die Ausstellerweitergabe erwähnt ist.
Während der Veranstaltung
Check-in und Teilnehmerlisten
Die ausgedruckte Liste am Empfang ist der klassische Schwachpunkt: Sie liegt offen, jede wartende Person liest mit, und am Abend weiß niemand, wo sie geblieben ist. Ein digitaler Check-in löst das nebenbei mit, weil er nur den einzelnen Datensatz zeigt statt aller.
Namensschilder
Auf ein Namensschild gehört, was für den Zweck nötig ist, also meist Name und Organisation. Nicht darauf gehören Angaben, die eine Person kategorisieren, ohne dass sie es steuern kann: Studiengang und Semester machen aus einem Schild eine Bewerbungsunterlage. Wenn Sie solche Angaben für das Matching brauchen, halten Sie sie im System und nicht am Revers.
Fotos und Videoaufnahmen
Hier liegt die größte Unsicherheit, und die meisten Ratgeber verkürzen sie. Neben der DSGVO gilt in Deutschland weiterhin das Kunsturhebergesetz, dessen Paragraf 22 die Verbreitung von Bildnissen an die Einwilligung bindet und dessen Paragraf 23 Ausnahmen vorsieht, unter anderem für Bilder von Versammlungen, an denen die Abgebildeten teilgenommen haben. Wie sich beide Regelwerke zueinander verhalten, ist juristisch bis heute umstritten.
Für die Praxis heißt das: Verlassen Sie sich nicht auf eine der beiden Seiten allein. Fragen Sie bei der Anmeldung, richten Sie eine erkennbar aufnahmefreie Zone ein und behandeln Sie Einzelporträts strenger als Saalübersichten. Ein Hinweisschild am Eingang informiert, ersetzt aber keine Einwilligung.
Umfragen und Feedback
Feedback-Tools sind der häufigste blinde Fleck. Sie sind schnell eingerichtet, laufen oft über US-Server und stehen in keinem Vertrag. Wenn Sie eine Umfrage brauchen, prüfen Sie sie wie jedes andere Werkzeug: Serverstandort, Vertrag, Löschung. Anonym ist eine Umfrage übrigens erst, wenn auch die IP-Adresse nicht gespeichert wird.
Nach der Veranstaltung
Nach dem Event beginnt der Teil, den fast alle übersehen. Die Daten haben ihren Zweck erfüllt, und damit endet die Grundlage. Was Sie behalten wollen, braucht einen neuen Grund.
Drei Bestände laufen dabei mit unterschiedlicher Dauer weiter: die Durchführungsdaten, die zeitnah verschwinden sollten, die Nachweise über erteilte Einwilligungen und die steuerlich relevanten Unterlagen mit zehn Jahren. Wie sich das ordnen lässt, steht unter Löschfrist. Der Punkt, an dem Löschkonzepte in der Praxis scheitern, sind nicht die Systeme, sondern die Kopien: der Export im Downloads-Ordner, die Liste im Postfach, die Datei auf dem Laufwerk.
Die deutschen Besonderheiten
Wer einen europaweiten Ratgeber liest, bekommt die DSGVO erklärt und verpasst drei Dinge, die in Deutschland dazukommen.
Das Kunsturhebergesetz neben der DSGVO, wie oben beschrieben. Paragraf 26 BDSG regelt den Beschäftigtendatenschutz und wird relevant, sobald Sie eine interne Veranstaltung durchführen: Die Teilnahme von Mitarbeitenden an einer Betriebsfeier und die Fotos davon unterliegen anderen Maßstäben als die Anmeldung externer Gäste. Den Wortlaut finden Sie bei gesetze-im-internet.de. Die Zuständigkeit liegt nicht bei einer Bundesbehörde: Hochschulen und kommunale Einrichtungen unterstehen dem jeweiligen Landesdatenschutzbeauftragten, und die Auslegungen unterscheiden sich zwischen den Ländern spürbar. Die gemeinsamen Positionen veröffentlicht die Datenschutzkonferenz.
Was in die Leistungsbeschreibung gehört
Für öffentliche Träger ist die eigentliche Hürde nicht die DSGVO, sondern die Übersetzung ihrer Anforderungen in ein ausschreibungsfähiges Dokument. Formulierungen wie „DSGVO-konform“ sind wertlos, weil jeder Anbieter sie unterschreibt. Prüfbar wird es erst mit konkreten Angaben:
- Verarbeitung ausschließlich auf Servern innerhalb der Bundesrepublik, einschließlich Mailversand und Sicherungskopien
- Vorlage des Auftragsverarbeitungsvertrags mit dem Angebot, nicht nach Zuschlag
- Namentliche Benennung aller Unterauftragnehmer, Widerspruchsrecht bei Änderungen
- Beschreibung der technischen und organisatorischen Maßnahmen mit prüfbaren Angaben statt Schlagworten
- Rollenbasierte Rechte, sodass Aussteller keine Gesamtliste sehen
- Vollständiger Datensatzexport zu einer Person auf Knopfdruck, für Auskunftsersuchen
- Automatisierte Löschung nach konfigurierbarer Frist, mit Angabe der Backup-Vorhaltezeit
- Barrierefreie Anmeldestrecke nach WCAG 2.1 AA ohne App-Pflicht
Jeder dieser Punkte lässt sich mit Ja oder Nein beantworten, und genau das brauchen Sie für die Vergabeakte.
Die fünf häufigsten Fehler
Erstens die Einwilligung als Grundlage für die Anmeldung, wo die Vertragserfüllung trägt. Zweitens Felder im Formular, deren Zweck niemand benennen kann. Drittens ein Umfrage- oder Mailtool ohne Vertrag, das neben dem eigentlichen System mitläuft. Viertens Teilnehmerlisten, die exportiert werden und danach außerhalb jeder Schutzmaßnahme liegen. Fünftens eine Auskunftsanfrage, die im falschen Postfach landet und die Monatsfrist reißt.
Alle fünf haben gemeinsam, dass sie sich vor der Veranstaltung mit wenig Aufwand vermeiden lassen und danach kaum noch.
Zum Weiterlesen
Dieser Text gibt einen Überblick und ersetzt keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an Ihre Datenschutzbeauftragung oder an eine Anwältin oder einen Anwalt.
- DSGVO im Eventkontext, der kompakte Überblickseintrag
- Auftragsverarbeitungsvertrag, was nach Artikel 28 drinstehen muss
- Einwilligung, Voraussetzungen, Koppelungsverbot und Minderjährige
- Löschfrist, die drei Bestände und ihr Konzept
- Betroffenenrechte, Auskunft, Löschung und die Monatsfrist
- Technische und organisatorische Maßnahmen
- Datenschutz-Folgenabschätzung, wann sie Pflicht wird
