DSGVO-konforme Eventmanagement-Software: 12 Prüfkriterien
Eventsoftware verarbeitet mehr als Anmeldedaten. Sie verbindet Ticketkauf, Zahlungen, Check-in, Ausstellerprofile, Termine und Leads. Ein Serverstandort-Logo reicht deshalb für eine belastbare Datenschutzprüfung nicht. Dieser Leitfaden ersetzt das Häkchen durch zwölf Kriterien, die sich vor Vertragsschluss belegen lassen.
- Keine Software ist für sich konform. Konformität ist eine Eigenschaft der Verarbeitung, verantwortlich bleibt der Veranstalter.
- Die richtige Prüffrage lautet, welche Rolle jede Partei bei Registrierung, Zahlung, E-Mail-Versand, Matching, Analyse und Support übernimmt.
- Ein Rechenzentrum in Deutschland beantwortet nicht alle Fragen, und eine generelle gesetzliche Pflicht zu deutschen Servern besteht nicht.
- Löschregeln knüpfen an Ereignisse an, nicht an eine pauschale Jahreszahl.
- Drei praktische Testaufgaben beschreiben Ihren Alltag besser als eine Zertifikatsvorlage.
Eventsoftware verarbeitet weit mehr als Anmeldedaten. Sie verbindet in der Regel Ticketkauf, Zahlungen, Check-in, Ausstellerprofile, Termine, Leads und die Nachkommunikation. Wer sie auswählt, entscheidet damit über Datenflüsse, die mehrere Jahre bestehen bleiben und im Ernstfall gegenüber einer Aufsichtsbehörde zu erklären sind.
Trotzdem endet die Datenschutzprüfung in vielen Beschaffungen bei einem Satz auf der Anbieterwebsite. Ein Serverstandort-Logo beantwortet aber weder, wer über welche Verarbeitung entscheidet, noch welche Nachweise im Streitfall vorliegen. Dieser Leitfaden ersetzt das Häkchen durch zwölf Kriterien, die sich vor Vertragsschluss belegen lassen.
Definition: Datenschutzgerechte Eventsoftware unterstützt Veranstalter dabei, personenbezogene Daten zweckgebunden, sparsam, sicher und nachvollziehbar zu verarbeiten. Ob der konkrete Einsatz der DSGVO entspricht, hängt sowohl von den Funktionen und Verträgen des Anbieters als auch von der Konfiguration und den Prozessen des Veranstalters ab.
Diese Unterscheidung ist keine Wortklauberei, sondern der Kern der Sache. Eine Software kann eine datenschutzkonforme Organisation unterstützen, sie aber nicht allein garantieren. Entscheidend sind Zweck und Rechtsgrundlage der Verarbeitung, Datenminimierung, Rollenverteilung, Verträge, Berechtigungen, Löschregeln und mögliche Drittlandtransfers. Die Verantwortung für Konfiguration und Prozesse bleibt beim Veranstalter. Wer mit dem Siegel „DSGVO-konform“ wirbt, sagt streng genommen nur, dass sich das Werkzeug konform betreiben lässt.
Dieser Beitrag ist die Auswahlcheckliste für Software. Die Rechtsgrundlagen und operativen Abläufe vor, während und nach einer Veranstaltung behandelt der Datenschutzleitfaden für Veranstaltungen.
Die zwölf Prüfkriterien im Überblick
Jede Zeile nennt einen Nachweis, den ein Anbieter vor Vertragsschluss liefern kann, und ein Warnsignal, das in den Auswahlvermerk gehört.
| Prüfkriterium | Verlangbarer Nachweis | Rote Flagge |
|---|---|---|
| 1. Rollenverteilung | Beschreibung je Verarbeitungsschritt: Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortliche | Ein pauschales „Wir sind nur Auftragsverarbeiter“, obwohl der Anbieter Daten für eigene Zwecke nutzt |
| 2. Vertrag nach Artikel 28 | Vollständiger AVV einschließlich Gegenstand, Dauer, Weisungsbindung und Unterstützungspflichten | Vertrag erst nach Zuschlag oder nur auf Anfrage ohne Einsicht |
| 3. Unterauftragnehmer | Aktuelle Liste mit Dienst, Standort und Änderungsverfahren | Unvollständige oder nicht datierte Liste |
| 4. Drittlandtransfers | Transfermechanismus, Empfänger, Zweck und ergänzende Maßnahmen | „DSGVO-konform“, aber keine Aussage zu Empfängern außerhalb des EWR |
| 5. Technische und organisatorische Maßnahmen | Dokumentierte TOM zu Zugriff, Verschlüsselung, Verfügbarkeit, Wiederherstellung und Tests | Marketingaussagen ohne prüfbare Maßnahmen |
| 6. Datenminimierung | Konfigurierbare Pflichtfelder, getrennte Formulare und optionale Felder | Starre Erhebung nicht benötigter Profil- oder Kontaktdaten |
| 7. Rechtsgrundlagen im Prozess | Trennbare Einwilligungen und frei konfigurierbare Hinweise | Teilnahme nur mit Werbeeinwilligung oder vorangekreuzte Kästchen |
| 8. Rollen und Berechtigungen | Granulare Rechte, Protokollierung und Mehrfaktor-Option | Alle Teammitglieder sehen alle Teilnehmer- und Ausstellerdaten |
| 9. Löschung und Aufbewahrung | Regeln je Datenkategorie und Löschfrist, Löschlauf, Sperrung und Exportnachweis | Ein einziges unbegrenztes Archiv für alle Daten |
| 10. Betroffenenrechte | Suche, Export, Berichtigung und Löschung innerhalb definierter Fristen | Auskünfte müssen manuell aus mehreren Systemen zusammengesucht werden |
| 11. Vorfälle und Support | Meldeweg, Reaktionszeiten und Unterstützung nach Artikel 33 und 34 DSGVO | Keine benannte Kontaktstelle oder unklare Eskalation |
| 12. Vertragsende und Portabilität | Vollständiger Export, Rückgabe- und Löschbestätigung | Daten nur in proprietären Ansichten oder unvollständigen PDF-Dateien verfügbar |
1. Rollen zuerst klären, Verträge danach
Der Veranstalter entscheidet gewöhnlich, warum Anmeldedaten erhoben werden, wer eingeladen wird und wann gelöscht wird. Er ist damit regelmäßig Verantwortlicher. Verarbeitet die Plattform diese Daten ausschließlich nach seinen Weisungen, kommt für diesen Teil eine Auftragsverarbeitung in Betracht.
Daneben kann dieselbe Plattform für eigene Zwecke selbst verantwortlich sein, etwa für ein eigenes Nutzerkonto oder für gesetzlich notwendige Zahlungs- und Betrugsprozesse. Besonders häufig übersehen wird das bei Zahlungsdienstleistern: Ein Vertrag nach Artikel 28 DSGVO ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung verarbeitet. Für einzelne Zwecke, etwa aufsichtsrechtliche Prüfpflichten, können Zahlungsdienstleister dagegen eigene Verantwortliche sein. Die pauschale Aussage, jeder Zahlungsanbieter müsse einen AVV anbieten, führt deshalb in die Irre.
Die richtige Prüffrage lautet nicht: Gibt es einen AVV? Sie lautet: Welche Rolle übernimmt jede Partei bei Registrierung, Zahlung, E-Mail-Versand, Matching, Analyse und Support?
Was in den Auswahlvermerk gehört
Halten Sie je Verarbeitungsschritt fest, wer entscheidet, wer ausführt und welcher Vertrag das abbildet. Eine Tabelle mit fünf Zeilen genügt und erspart später die Rekonstruktion aus E-Mails. Welche Punkte der Vertrag im Einzelnen abdecken muss, führt die AVV-Checkliste für Eventsoftware aus.
2. Drittlandtransfer ist mehr als der Standort des Hauptservers
Ein Rechenzentrum in Deutschland ist ein gutes Beschaffungsmerkmal, beantwortet aber nicht alle Fragen. Supportsysteme, Mailversand, Fehleranalyse oder Unterauftragnehmer können weitere Empfänger einbeziehen. Umgekehrt ist ein Anbieter mit Sitz außerhalb der EU nicht automatisch unzulässig.
Hosting in Deutschland oder der EU kann Beschaffung, Risikoprüfung und Datensouveränität vereinfachen. Eine generelle gesetzliche Pflicht zu deutschen Servern besteht nach der DSGVO jedoch nicht. Bei Übermittlungen in Drittländer müssen die Voraussetzungen des Kapitels V erfüllt und dokumentiert werden. Zusätzlich können interne Vergabe- oder Sicherheitsvorgaben Ihrer Organisation gelten, und die sind getrennt zu benennen, damit im Verfahren klar bleibt, was Gesetz und was Hausregel ist. Die Argumentation dazu vertieft der Eintrag zum Serverstandort.
Fordern Sie eine Architekturübersicht an, die Hauptsystem, Sicherungskopien, Supportzugriffe, Analysewerkzeuge und Unterauftragnehmer umfasst. Dokumentieren Sie, welches Transferinstrument genutzt wird und ob zusätzliche Schutzmaßnahmen erforderlich sind.
3. Datensparsamkeit muss konfigurierbar sein
Eine Software ist nur so sparsam wie das Formular, das Sie damit bauen können. Jedes Pflichtfeld braucht einen klaren Zweck. Für ein kostenloses Fachforum reichen häufig Name und Kontaktadresse; Rechnungsanschrift oder Telefonnummer werden erst bei entsprechenden Prozessen erforderlich.
Praktischer Test in der Demo: Erstellen Sie drei Anmeldewege für Besucher, Aussteller und Referenten. Prüfen Sie, ob Pflichtfelder, Hinweise, Empfänger und Löschfristen voneinander getrennt werden können. Muss jede Gruppe dieselben Angaben machen, ist das ein strukturelles Risiko, das sich später nur mit Sonderprozessen abfangen lässt.
4. Löschung funktioniert nach Ereignissen, nicht nach einem Kalenderwert
Teilnahmedaten, Einwilligungsnachweise, Rechnungen und Leads erfüllen unterschiedliche Zwecke und unterliegen unterschiedlichen Fristen. Ein brauchbares System knüpft Regeln deshalb an Ereignisse und nicht an eine pauschale Jahreszahl.
| Datenkategorie | Typisches Löschereignis | Warum eine Pauschalfrist scheitert |
|---|---|---|
| Anmeldung und Teilnahmestatus | Zweck erfüllt und keine Nachweise mehr erforderlich | Hängt am Eventende, nicht am Kalenderjahr |
| Einwilligungsnachweis | Ablauf der Nachweisfrist nach Widerruf | Muss den Widerruf überdauern, sonst fehlt der Beleg |
| Rechnungen und Rechnungsdoppel | Ablauf der steuerlichen Aufbewahrungsfrist | Gesetzlich gebunden, unabhängig vom Eventzweck |
| Leads und Gesprächsnotizen | Ende des vereinbarten Kontaktzwecks | Empfänger ist häufig der Aussteller, nicht der Veranstalter |
| Anwesenheitsprotokoll | Abschluss von Auswertung und erforderlichen Nachweisen | Entsteht erst am Veranstaltungstag |
Für Rechnungen und Rechnungsdoppel gilt nach § 14b UStG grundsätzlich eine Aufbewahrungsfrist von acht Jahren, gerechnet ab dem Schluss des Kalenderjahres der Ausstellung. Andere Geschäftsunterlagen können anderen Fristen unterliegen. Daraus folgt aber nicht, dass das gesamte Teilnehmerprofil ebenso lange aktiv bleiben darf. Trennen Sie aufbewahrungspflichtige Belege von operativen Profil- und Kommunikationsdaten.
5. Sicherheit muss nachweisbar und im Alltag nutzbar sein
Technische und organisatorische Maßnahmen sind nur hilfreich, wenn sie zum Risiko des Events passen und im Betrieb tatsächlich greifen. Prüfen Sie mindestens rollenbasierte Zugriffe mit regelmäßiger Rechteprüfung, Mehrfaktor-Authentisierung für Administrationskonten, Verschlüsselung bei Übertragung und Speicherung, Protokolle für administrative Änderungen, Verfahren für Sicherung, Wiederanlauf und Löschung sowie einen definierten Weg für Sicherheitsvorfälle und Supporteskalation.
Drei Testaufgaben statt Zertifikatsvorlage
Ein Zertifikat beschreibt einen Prüfzeitpunkt und einen Prüfumfang. Diese drei Aufgaben beschreiben Ihren Alltag.
6. Einwilligungen dürfen nicht zum Sammelbecken werden
Anmeldung, Newsletter, die Weitergabe eines Profils an Aussteller und Fotoaufnahmen verfolgen unterschiedliche Zwecke. Diese Zwecke sollten getrennt beschrieben und getrennt steuerbar sein. Eine Werbeeinwilligung darf nicht unnötig an die Teilnahme gekoppelt werden.
Ebenso wichtig ist der umgekehrte Fehler: Wo eine Verarbeitung auf Vertragserfüllung, rechtlicher Verpflichtung oder einer öffentlichen Aufgabe beruht, sollte sie nicht künstlich über eine widerrufliche Einwilligung legitimiert werden. Sonst entsteht ein Widerrufsrecht, das den eigentlichen Prozess blockiert. Für Aufnahmen auf der Veranstaltung gilt ein eigener Rahmen, den der Beitrag zu Fotos und Videos bei Events beschreibt.
So läuft eine belastbare Softwareprüfung ab
Fünf Fragen für die Anbieter-Demo
- Welche Daten verarbeitet der Anbieter als Auftragsverarbeiter, welche als eigener Verantwortlicher?
- Welche Unterauftragnehmer erhalten welche Daten und von welchem Standort aus?
- Wie werden getrennte Löschfristen für Profile, Nachrichten, Leads und Rechnungsbelege umgesetzt?
- Können Rechte so beschränkt werden, dass Aussteller nur ausdrücklich freigegebene Daten sehen?
- Wie erhalten wir bei Vertragsende einen vollständigen Export und einen Löschungsnachweis?
Bei FairUp läuft die Verarbeitung auf Servern in Deutschland. Auftragsverarbeitungsvertrag, die Beschreibung der technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter liegen vor und werden auf Anfrage herausgegeben, also vor dem Zuschlag und nicht danach. Welche Leistungen in welchem Paket enthalten sind, steht auf der Preisseite.
Was dieser Leitfaden nicht leistet
Diese Checkliste bewertet Software, nicht die Rechtslage im Einzelfall. Wie sich die Anforderungen in einen Vergabetext übersetzen lassen, zeigt die Leistungsbeschreibung für Eventsoftware. Wie derselbe Anspruch beim Ticketverkauf mit Vertrags-, Steuer- und Zahlungsfragen zusammentrifft, behandelt der Ticketing-Leitfaden. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Häufige Fragen
Gibt es DSGVO-konforme Eventsoftware?
Keine Software ist für sich konform, weil Konformität eine Eigenschaft der Verarbeitung ist und nicht des Produkts. Verantwortlich bleibt der Veranstalter. Prüfbar ist stattdessen, ob ein Anbieter Rollenbeschreibung, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Unterauftragnehmerliste und ein Löschkonzept vor Vertragsschluss vorlegt.
Muss die Eventsoftware in Deutschland gehostet werden?
Nein, eine generelle gesetzliche Pflicht dazu besteht nicht. Deutsches oder europäisches Hosting kann die Risikoprüfung vereinfachen, und interne Vergabevorgaben können es verlangen. Rechtlich maßgeblich sind die tatsächlichen Datenflüsse und die Voraussetzungen des Kapitels V der DSGVO.
Brauche ich mit jedem Dienstleister einen AVV?
Nur dort, wo weisungsgebunden im Auftrag verarbeitet wird. Zahlungsdienstleister können für einzelne Zwecke eigene Verantwortliche sein. Deshalb wird je Verarbeitungsschritt geprüft, welche Rolle der Beteiligte übernimmt.
Wie lange dürfen Teilnehmerdaten gespeichert werden?
Das lässt sich nicht mit einer Zahl beantworten. Rechnungen und Rechnungsdoppel unterliegen nach § 14b UStG grundsätzlich acht Jahren. Anmelde-, Kommunikations- und Leaddaten folgen dagegen dem jeweiligen Zweck und werden an Ereignisse geknüpft.
Reicht ein Zertifikat als Nachweis?
Ein Zertifikat belegt einen Prüfzeitpunkt und einen Prüfumfang. Für die Beschaffung sind zusätzlich die konkreten Verträge, die Unterauftragnehmerliste und ein praktischer Testfall aussagekräftiger, weil sie den Alltag abbilden.
Fazit
Datenschutzgerechte Eventsoftware erkennt man nicht an einem einzelnen Logo. Ausschlaggebend ist, ob Rollen, Verträge, Datenflüsse, Sicherheitsmaßnahmen und Löschprozesse prüfbar zusammenpassen.
Wer die zwölf Kriterien mit Nachweisen statt Selbstauskünften bewertet, reduziert Beschaffungsrisiken und vermeidet spätere manuelle Sonderprozesse. Der Aufwand dafür liegt bei wenigen Stunden vor dem Zuschlag und ist damit deutlich geringer als die Nacharbeit, die eine unklare Rollenverteilung über die gesamte Vertragslaufzeit erzeugt.