Betroffenenrechte
Betroffenenrechte sind die Ansprüche, die jede Person gegenüber der Stelle hat, die ihre Daten verarbeitet: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Bei Veranstaltungen treffen sie meist unvorbereitet ein, und die Frist läuft ab dem Eingang.
Welche Rechte es gibt
Die DSGVO räumt sechs Ansprüche ein. Das Auskunftsrecht nach Artikel 15 fragt: Welche Daten haben Sie über mich? Die Berichtigung nach Artikel 16 verlangt die Korrektur falscher Angaben. Die Löschung nach Artikel 17 ist das bekannteste Recht. Die Einschränkung nach Artikel 18 friert eine Verarbeitung ein, statt sie zu beenden. Die Datenübertragbarkeit nach Artikel 20 verlangt die Herausgabe in einem gängigen Format. Und der Widerspruch nach Artikel 21 richtet sich gegen Verarbeitungen, die auf berechtigtem Interesse beruhen.
Für Veranstalter sind in der Praxis drei davon relevant: Auskunft, Löschung und Widerspruch gegen Werbung.
Die Frist läuft sofort
Sie haben einen Monat ab Eingang des Antrags. Verlängern lässt sich das um zwei weitere Monate, aber nur, wenn Sie innerhalb des ersten Monats begründen, warum. Der Antrag ist an keine Form gebunden: Eine E-Mail an eine beliebige Adresse Ihrer Organisation genügt, auch eine Nachricht über Social Media. Das ist der Grund, warum solche Anfragen so oft die Frist reißen. Sie landen im Postfach einer Person, die nicht weiß, dass eine Uhr läuft.
Auskunft: was tatsächlich herausgegeben werden muss
Eine Auskunft nach Artikel 15 DSGVO umfasst mehr als die Anmeldedaten. Dazu gehören die Zwecke der Verarbeitung, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer und die Herkunft, falls die Daten nicht bei der Person selbst erhoben wurden.
Bei einer Veranstaltung heißt das: nicht nur der Datensatz aus dem Teilnehmermanagement, sondern auch die Check-in-Zeitstempel, die Gesprächsprotokolle aus dem Matchmaking und der Hinweis, an welche Aussteller Kontaktdaten geflossen sind. Wer diese Daten über fünf Systeme verteilt hat, braucht für eine einzige Anfrage einen halben Tag.
Löschung und ihre Grenzen
Ein Löschersuchen nach Artikel 17 DSGVO greift nicht ausnahmslos. Wo eine gesetzliche Aufbewahrungspflicht besteht, etwa bei Rechnungen, geht diese vor. Die richtige Antwort lautet dann nicht „nein“, sondern: Diese Angaben werden bis zum Ablauf der steuerlichen Frist aufbewahrt und für nichts anderes mehr verwendet, alles Übrige ist gelöscht. Welche Fristen daneben laufen, steht unter Löschfrist.
Vorbereitung schlägt Reaktion
Drei Dinge nehmen den Anfragen ihren Schrecken. Erstens eine benannte Person, die zuständig ist, und ein Postfach, das alle im Team kennen. Zweitens ein Textbaustein je Anspruch, damit niemand unter Zeitdruck formulieren muss. Drittens ein System, aus dem sich der vollständige Datensatz einer Person auf Knopfdruck ausgeben lässt. Der dritte Punkt ist auch das stärkste Argument gegen verteilte Tabellen: Was Sie nicht zusammenführen können, können Sie auch nicht herausgeben. Der Überblickseintrag ist DSGVO im Eventkontext.
Häufige Fragen
Muss ich die Identität der anfragenden Person prüfen?
Bei begründeten Zweifeln ja, sonst geben Sie Daten an Unbefugte heraus. Verlangen Sie aber nicht routinemäßig einen Ausweis: Das wäre selbst eine unnötige Datenerhebung. Meist genügt die Antwort über die bei der Anmeldung verwendete Adresse.
Was kostet eine Auskunft?
Die erste ist kostenlos. Erst bei offenkundig exzessiven Wiederholungen dürfen Sie ein angemessenes Entgelt verlangen oder ablehnen, und dafür tragen Sie die Beweislast.
Gilt die Monatsfrist auch über die Sommerpause?
Ja. Urlaub, Semesterferien oder Krankheit verlängern die Frist nicht. Genau deshalb gehört die Zuständigkeit auf mindestens zwei Schultern.
Was, wenn die Daten beim Softwareanbieter liegen?
Sie bleiben verantwortlich. Der Anbieter muss Sie nach dem Auftragsverarbeitungsvertrag unterstützen, antworten müssen aber Sie.
