DSGVO-konforme Event-Anmeldung: eine Checkliste

Eine Gästeliste sind personenbezogene Daten. Namen, E-Mail-Adressen, wer mit wem gekommen ist, wer ein vegetarisches Menü wollte. Für einen Veranstalter in der Europäischen Union gilt die DSGVO ab der ersten Anmeldung, nicht ab der ersten Beschwerde. Diese Checkliste sind die Fragen, die ein Datenschutzbeauftragter stellt, in der Reihenfolge, in der er sie meistens stellt. Sie ist eine praktische Anleitung, keine Rechtsberatung; Ihr Datenschutzbeauftragter oder Ihre Rechtsabteilung hat das letzte Wort.

1. Wer ist Verantwortlicher

Sie. Die Organisation, die das Event ausrichtet, entscheidet, warum die Daten erhoben und wie sie verwendet werden, und ist damit Verantwortliche. Das Tool, das Sie nutzen, ist Auftragsverarbeiter und handelt auf Ihre Weisung. Diese Unterscheidung entscheidet, wer die Datenschutzinformation schreibt (Sie) und wer einen Vertrag braucht (das Tool).

2. Was ist die Rechtsgrundlage

Für eine Anmeldung ist die übliche Grundlage der Vertrag oder die vorvertraglichen Schritte auf Wunsch der Person (Art. 6 Abs. 1 lit. b): Sie möchte teilnehmen, Sie brauchen ihren Namen, um sie hineinzulassen. Behörden stützen sich oft stattdessen auf ihre öffentliche Aufgabe (Art. 6 Abs. 1 lit. e). Einwilligung ist die falsche Grundlage für die Anmeldung selbst, weil ein Gast ohne die Daten nicht teilnehmen kann. Heben Sie die Einwilligung für wirklich Freiwilliges auf, etwa einen Newsletter.

3. Was Sie erheben, und warum

Erheben Sie, was das Event braucht. Name und E-Mail für das Ticket, eine Telefonnummer nur, wenn Sie anrufen werden, eine Menüwahl nur, wenn es Essen gibt. Jedes zusätzliche Feld ist ein Satz im Hinweis und später eine Frage. Wenn ein Feld etwas Sensibles verraten könnte, etwa eine Menüwahl, die auf eine Religion hindeutet, lassen Sie es optional und sagen Sie, warum Sie fragen.

4. Wo steht der Hinweis

Die Information nach Art. 13 gehört dorthin, wo die Daten erhoben werden: unter das Anmeldeformular, nicht hinter einen Link im Footer. Sie nennt Verantwortlichen, Zweck, Rechtsgrundlage, Empfänger, Aufbewahrungsdauer und Rechte. Mission Support erzeugt für jeden Veranstalter einen Hinweis aus seinen Organisationsangaben oder verlinkt Ihren eigenen, falls vorhanden.

5. Welche Auftragsverarbeiter berühren die Daten

Listen Sie sie auf und wissen Sie, wo sie sind. Ein Anmelde-Tool läuft typischerweise bei einem Datenbankanbieter, einem Hosting-Anbieter, einem Mail-Anbieter und bei bezahlten Tickets bei einem Zahlungsanbieter. Fragen Sie nach der Liste und den Regionen. Mission Support läuft auf Infrastruktur in Frankfurt, verschickt Mails über einen Anbieter in Paris und wickelt Zahlungen über Stripe in Dublin ab; die Datenschutzinformation für Gäste nennt sie.

6. Gibt es einen Auftragsverarbeitungsvertrag

Art. 28 verlangt einen zwischen Ihnen und dem Tool. Er sollte Weisungen, Vertraulichkeit, Unterauftragsverarbeiter, Löschung am Ende und Prüfrechte abdecken. Ein Tool, das Ihnen seinen Auftragsverarbeitungsvertrag nicht zeigen kann, ist ein Tool, das man meidet.

7. Verlassen die Daten die EU

Übermittlungen außerhalb der EU sind möglich, brauchen aber einen Mechanismus und einen Absatz im Hinweis. Die einfachere Antwort ist, Auftragsverarbeiter zu wählen, die die Daten in der Union halten. Fragen Sie ausdrücklich; „Cloud" ist keine Antwort.

8. Wie lange Sie aufbewahren

Legen Sie eine Frist fest und schreiben Sie sie auf. Nach dem Event hat die Gästeliste zwei verbleibende Zwecke: die versprochene Nachbereitung und die Aufzeichnungen, die Ihre Organisation führen muss. Darüber hinaus löschen oder anonymisieren. Ein Tool sollte das nach Zeitplan tun und nicht einer Erinnerung in jemandes Kalender überlassen.

9. Was an der Tür passiert

Die gedruckte Liste ist eine Datenpanne, die auf einem Tisch wartet. Zweihundert Namen mit Begleitpersonen, in einem öffentlichen Flur, zweimal kopiert. Ein Handy-Scanner zeigt einen Gast nach dem anderen einer angemeldeten Person. Check-in-Personal sollte Name und Ticketkategorie sehen und sonst nichts.

10. Wer in Ihrer Organisation was sehen darf

Rollen sind eine DSGVO-Maßnahme, nicht nur eine Bequemlichkeit. Die Person an der Tür braucht den Scanner. Der Event-Manager braucht die Liste. Die Buchhaltung braucht keins von beiden. Halten Sie die Admin-Konten auf die Personen beschränkt, die Events machen, und entfernen Sie den Zugang der Aushilfe am Morgen danach.

11. Können Sie eine Anfrage beantworten

Gäste haben das Recht auf Auskunft, Berichtigung, Löschung und Übertragbarkeit. Der Test ist einfach: Können Sie alles, was Sie über einen Gast haben, lesbar, innerhalb eines Monats und ohne Suche in fünf Postfächern vorlegen? Mission Support hat genau dafür einen Export pro Kontakt und eine Löschung, die die Person aus jedem Event entfernt.

12. Sind die Mails in Ordnung

Einladungen und Erinnerungen an angemeldete Gäste sind Teil des Events. Eine Kampagne an Ihre gesamte Kontaktliste ist Marketing, also mit Impressumszeile, funktionierendem Abmeldelink und Respekt davor. Versenden Sie von Ihrer eigenen Domain, mit einer Antwortadresse, die jemand liest.

Die Kurzfassung

Grundlage festlegen, wenig erheben, den Hinweis unter das Formular, Auftragsverarbeiter und Regionen kennen, Vertrag unterschreiben, Aufbewahrungsfrist setzen, gedruckte Liste abschaffen, Rollen begrenzen und einen Gast auf Anfrage exportieren und löschen können. Das meiste davon ist eine einmalige Einrichtung. Die Seite für Behörden beschreibt, wie ein Ministerium oder eine Stadtverwaltung das in der Praxis macht.