DSGVO im Eventkontext
Die Datenschutz-Grundverordnung regelt, wie personenbezogene Daten verarbeitet werden dürfen. Bei Veranstaltungen betrifft das praktisch alles: Anmeldedaten, Namensschilder, Teilnehmerlisten, Fotos, gescannte Kontakte und Nachbefragungen. Entscheidend ist weniger die Zustimmung als die Frage, welche Daten Sie überhaupt brauchen.
Welche Daten bei einer Veranstaltung überhaupt anfallen
Die meisten Veranstalter unterschätzen, wie viele Stellen personenbezogene Daten erzeugen. Die Anmeldung ist nur der Anfang: Name, E-Mail, Organisation, Funktion. Dazu kommen Angaben zur Verpflegung, die Rückschlüsse auf Religion oder Gesundheit zulassen, sowie Barrierefreiheitsbedarfe, die zu den besonders geschützten Kategorien zählen.
Am Veranstaltungstag entstehen weitere Daten: Wer hat den Einlass passiert und wann, wer wurde über Leadscanning an einem Stand erfasst, wer hat welchen Gesprächstermin wahrgenommen. Nach der Veranstaltung folgen Nachbefragung und Auswertung. Jede dieser Stellen braucht eine Antwort auf dieselbe Frage: Warum dürfen wir das?
Die Rechtsgrundlage: warum Einwilligung oft die schlechtere Wahl ist
Verarbeitung braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. In der Praxis kommen vor allem zwei in Frage: die Einwilligung und die Vertragserfüllung.
Reflexartig wird meist die Einwilligung gewählt. Das ist häufig ungeschickt. Wer sich zu einer Veranstaltung anmeldet, schließt ein Vertragsverhältnis. Die Daten, die zur Durchführung nötig sind, dürfen auf dieser Grundlage verarbeitet werden, ohne dass es einer Zustimmung bedarf. Eine Einwilligung ist jederzeit widerrufbar; wird sie für die Kerndaten verwendet, können Sie im Zweifel Ihre eigene Teilnehmerliste nicht mehr nutzen.
Die Einwilligung gehört dorthin, wo etwas über die Durchführung hinausgeht: Fotos, Weitergabe der Kontaktdaten an Aussteller, spätere Werbung. Diese Punkte brauchen jeweils eine eigene, getrennt ankreuzbare Zustimmung. Ein Sammelhäkchen für alles zusammen ist unwirksam.
Datensparsamkeit: jedes Pflichtfeld kostet doppelt
Der Grundsatz der Datenminimierung aus Artikel 5 DSGVO ist die praktischste Regel des ganzen Gesetzes: erheben Sie nur, was Sie tatsächlich brauchen.
Das ist keine reine Rechtsfrage. Jedes zusätzliche Pflichtfeld senkt die Abschlussquote der Anmeldung messbar und erhöht gleichzeitig Ihre Pflichten: Auskunft, Berichtigung und Löschung gelten für jedes erhobene Feld. Die Telefonnummer, die „man vielleicht mal braucht“, kostet Sie Anmeldungen und Verwaltungsaufwand zugleich. Gehen Sie Ihr Anmeldeformular Feld für Feld durch und streichen Sie alles, wofür Sie keinen konkreten Verwendungszweck benennen können.
Auftragsverarbeitung und Serverstandort
Sobald Sie eine Eventmanagement-Software einsetzen, verarbeitet ein Dienstleister Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung. Ohne ihn ist der Einsatz unzulässig, unabhängig davon, wie gut das Werkzeug ist.
Für öffentliche Träger und Hochschulen kommt der Serverstandort hinzu. Liegen die Daten außerhalb der EU, brauchen Sie eine zusätzliche Grundlage für den Transfer. In Vergabeverfahren ist das regelmäßig ein Ausschlusskriterium und keine Verhandlungsposition. Klären Sie beides vor der Auswahl, nicht danach.
Informationspflicht und Löschkonzept
Nach Artikel 13 DSGVO müssen Sie bei der Erhebung darüber informieren, wer die Daten wofür verarbeitet und wie lange. Ein Verweis auf die allgemeine Datenschutzerklärung der Website reicht dafür oft nicht. Die Veranstaltung hat eigene Zwecke und eigene Fristen.
Der Teil, der praktisch immer fehlt, ist das Löschkonzept. Es gehört vor die erste Anmeldung und beantwortet eine einzige Frage: Was passiert wann mit welchen Daten? Bewährt hat sich, Anmeldedaten nach einer festen Frist zu löschen und nur aggregierte Kennzahlen für den Jahresvergleich zu behalten, also die Zahl der Teilnehmenden und die No-Show-Rate, nicht die Namensliste. So bleibt die Auswertung möglich, ohne dass Personendaten über Jahre liegen bleiben.
Häufige Fehler
Am häufigsten wird die Einwilligung als Universallösung eingesetzt, obwohl die Vertragserfüllung trägt und stabiler ist. Fast ebenso oft werden Teilnehmerlisten unaufgefordert an Aussteller weitergegeben. Dafür braucht es eine eigene Einwilligung, und zwar vorher.
Weit verbreitet sind außerdem Anmeldedaten in Tabellen auf Einzelrechnern oder in E-Mail-Postfächern, wo niemand mehr sagen kann, wer Zugriff hat. Genau das macht die Auskunftspflicht unerfüllbar. Und schließlich das Fotografieren ohne Hinweis: Ein Schild am Eingang ist das Mindeste, besser ist ein gekennzeichneter Bereich, in dem nicht fotografiert wird. Wie sich das organisatorisch abbilden lässt, steht unter Teilnehmermanagement.
Häufige Fragen
Brauche ich eine Einwilligung für die Anmeldung?
Für die Daten, die zur Durchführung nötig sind, in der Regel nicht, hier trägt die Vertragserfüllung. Eine Einwilligung brauchen Sie für alles darüber hinaus: Fotos, Weitergabe an Dritte, spätere Werbung.
Wie lange dürfen Teilnehmerdaten gespeichert werden?
So lange, wie der Zweck es erfordert, zuzüglich gesetzlicher Aufbewahrungsfristen bei Rechnungen. Eine feste Zahl gibt das Gesetz nicht vor. Sie müssen die Frist selbst festlegen, begründen und dann auch einhalten.
Dürfen wir auf der Veranstaltung fotografieren?
Mit Hinweis und einer nachvollziehbaren Grundlage ja. Bei Aufnahmen, auf denen einzelne Personen erkennbar im Mittelpunkt stehen, ist eine Einwilligung der sichere Weg. Ein fotofreier Bereich löst das Problem organisatorisch statt juristisch.
