Datenschutzhinweise

Was hineingehört

Artikel 13 DSGVO legt fest, was Betroffene erfahren müssen, wenn Daten bei ihnen selbst erhoben werden, also genau im Fall der Anmeldung. Dazu gehören Name und Kontakt des Verantwortlichen und gegebenenfalls der Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage, bei berechtigtem Interesse dieses Interesse, die Empfänger, eine geplante Übermittlung in ein Drittland samt Grundlage, die Speicherdauer oder die Kriterien dafür, die Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch, bei einer Einwilligung das Recht auf Widerruf, das Beschwerderecht bei einer Aufsichtsbehörde und ob die Angaben für den Vertrag erforderlich sind.

Wann sie fällig sind

Zum Zeitpunkt der Erhebung, also beim Absenden des Anmeldeformulars und nicht erst in der Bestätigungsmail. Unsere Einordnung: Ein Link direkt neben dem Absendeknopf erfüllt das am einfachsten. Ein Häkchen „Ich habe die Datenschutzhinweise gelesen“ ist dafür nicht nötig, die Hinweise müssen nur erreichbar sein.

Lesbar statt vollständig versteckt

Die Artikel-29-Datenschutzgruppe, Vorgängerin des Europäischen Datenschutzausschusses, hat in ihren Leitlinien zur Transparenz die Anforderungen aus Artikel 12 zusammengefasst: präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache. Für Websites empfiehlt sie mehrstufige Hinweise, bei denen die wichtigsten Angaben vorn stehen und Besucher zu den Einzelheiten springen können. Die vollständige Fassung muss trotzdem an einer Stelle abrufbar sein.

Die typischen Lücken bei Veranstaltungen

In der Praxis fehlen meist die Angaben, die erst nach der Anmeldung relevant werden: dass Aussteller beim Scan Kontaktdaten erhalten, dass Fotos gemacht werden, dass Partner bei gemeinsamen Formaten die Teilnehmerzahl bekommen oder dass ein US-Dienst im Spiel ist, siehe Drittlandübermittlung. Auch die Löschfrist wird oft mit „so lange wie nötig“ umschrieben, obwohl ein konkreter Zeitraum oder ein Kriterium verlangt ist. Den Rahmen beschreibt der Leitfaden zum Datenschutz bei Veranstaltungen.

Wenn nicht die Person selbst die Daten angibt

Nicht immer meldet sich die betroffene Person selbst an. Eine Lehrkraft meldet ihre Klasse an, eine Assistenz bucht für die Geschäftsführung, ein Beschäftigter nennt seine Begleitperson. Dann gilt statt Artikel 13 Artikel 14 DSGVO. Die Informationen sind innerhalb einer angemessenen Frist zu geben, längstens innerhalb eines Monats, und spätestens mit der ersten Nachricht an die Person, wenn ihre Daten zur Kommunikation genutzt werden. Unsere Einordnung: Bei einer Begleitperson, die eine eigene Einladung oder ein eigenes Ticket per E-Mail bekommt, gehört der Link zu den Hinweisen in genau diese erste Mail.

Wo der Link stehen sollte

Die Transparenzleitlinien nennen als Beispiele für leicht zugängliche Informationen ausdrücklich einen Link auf jeder Seite einer Website und kontextbezogene Hinweise, die erscheinen, während jemand ein Onlineformular ausfüllt. Für die Anmeldung heißt das: ein Link im Formular selbst, ein Link in der Bestätigung und ein kurzer Hinweis direkt an Feldern, die Fragen aufwerfen, etwa bei Essenswünschen oder der Freigabe von Kontaktdaten für Aussteller.

Was müssen Datenschutzhinweise bei einer Anmeldung enthalten?

Nach Artikel 13 DSGVO unter anderem Verantwortlichen, Zwecke, Rechtsgrundlage, Empfänger, Drittlandübermittlung, Speicherdauer, Betroffenenrechte und Beschwerderecht.

Wann müssen die Datenschutzhinweise gegeben werden?

Zum Zeitpunkt der Erhebung, also beim Absenden der Anmeldung. Ein gut sichtbarer Link neben dem Absendeknopf genügt.

Braucht es ein Häkchen für die Datenschutzhinweise?

Nein. Die Hinweise müssen zugänglich sein, eine Bestätigung des Lesens verlangt die DSGVO nicht. Ein Häkchen ist nur für eine echte Einwilligung nötig.