Präsenzevents: die DSGVO einhalten

DSGVO: eine europäische Verordnung, die auch für Events gilt Seit dem 25. Mai 2018 in Anwendung, gilt die Datenschutz-Grundverordnung für jede Organisation, die personenbezogene Daten von Einwohnern der EU verarbeitet, unabhängig von ihrer Größe. Für einen Eventveranstalter bedeutet das konkret: Jede Datenerhebung – auch eine Anwesenheitsliste auf Papier oder ein Badge-Scan – ist eine Verarbeitung im Sinne der DSGVO und löst Pflichten aus. Die Sanktionen der CNIL sind real: 2024 verhängte die Behörde 87 Sanktionen mit kumulierten Bußgeldern von über 55 Millionen Euro (Quelle: CNIL, Tätigkeitsbericht 2024). Das ist kein Grund zur Panik, sondern ein Grund zu handeln. Die beiden Schlüsselakteure: Verantwortlicher und Auftragsverarbeiter Die DSGVO beruht auf einer grundlegenden Unterscheidung: dem Verantwortlichen (Data Controller) und dem Auftragsverarbeiter (Data Processor). Als Veranstalter sind Sie der Verantwortliche: Sie entscheiden, warum und wie Daten erhoben werden. Die von Ihnen genutzte Eventplattform ist Ihr Auftragsverarbeiter: Sie verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen. Diese Unterscheidung hat eine direkte Folge: Auch wenn Sie an eine Plattform delegieren, bleiben Sie vor dem Gesetz für die Praktiken dieses Auftragsverarbeiters verantwortlich. Auf diesen entscheidenden Punkt kommen wir im letzten Abschnitt zurück. Zum Merken Als Veranstalter sind Sie der Verantwortliche. Das von Ihnen gewählte Eventmanagement-Tool ist Ihr Auftragsverarbeiter. Sie haften vor dem Gesetz für dessen Praktiken.

B2B-Events: oft unterschätzte Pflichten Verbreiteter Irrtum: „Berufliche Daten fallen nicht unter die DSGVO.“ Das ist falsch. Die Kontaktdaten eines Mitarbeiters – sein Name, seine berufliche E-Mail-Adresse, seine Berufsbezeichnung – sind personenbezogene Daten im Sinne der Verordnung. Fachkonferenzen, Fachmessen, Kundenseminare: Alle sind betroffen. Die Rechtsgrundlage des „berechtigten Interesses“ ist im B2B häufig anwendbar für den Versand von Einladungen oder die Vertriebsnachverfolgung, muss aber zwingend in Ihrem Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Sie entbindet nicht von der Pflicht, die Personen zu informieren. B2C-Events: ein noch höheres Anforderungsniveau Im B2C ist häufig die ausdrückliche Einwilligung erforderlich, insbesondere sobald die Verarbeitung über die logistische Organisation des Events hinausgeht. Öffentlich verbreitete Fotos und Videos des Events, Erhebung von Gesundheitsdaten bei einem Sportevent, Verarbeitung von Daten minderjähriger Kinder: allesamt sensible Fälle, die besondere Aufmerksamkeit erfordern. Ein Punkt wird häufig vernachlässigt: Die Kommunikation nach dem Event – Versand eines Replays, Zufriedenheitsumfrage, Nachbereitungs-Newsletter – erfordert eine eigene Rechtsgrundlage, die über die bloße Anmeldung hinausgeht. Die für die Anmeldung erteilte Einwilligung gilt nicht als Einwilligung für spätere Kommunikation. B2B2C-Events Manche B2B-Events können auch Begleitpersonen einbeziehen wie Ehepartner oder sogar Kinder. Zum Beispiel bei „Family Days“, an denen das Unternehmen, die Fabrik, die Manufaktur für Angehörige geöffnet wird, um den Beruf eines angestellten Elternteils kennenzulernen. Manche Unternehmen, die zum Industrieerbe gehören, können auch an den Tagen des Denkmals ihre Türen öffnen. Dann mischen sich angestellte Teilnehmer mit Teilnehmern oder Gästen aus der „breiten Öffentlichkeit“.

Was muss eine konforme Datenschutzinformation enthalten? Artikel 13 der DSGVO schreibt für jede Datenschutzinformation einen genauen Inhalt vor: Identität und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage jeder Verarbeitung, Empfänger oder Kategorien von Empfängern der Daten, Speicherdauer, Rechte der Personen und die Art ihrer Ausübung, Kontaktdaten des Datenschutzbeauftragten, falls Ihre Organisation einen benennt, sowie das Bestehen etwaiger Übermittlungen außerhalb der Europäischen Union. Diese Information muss in klarer und verständlicher Sprache verfasst sein – juristisches Fachvokabular ist kein Alibi, sondern ein Hindernis. Zu welchem Zeitpunkt muss die Information erteilt werden? Das Prinzip ist einfach, aber nicht verhandelbar: Die Information muss der Erhebung vorausgehen. In der Praxis heißt das, sie auf dem Online-Anmeldeformular (vor dem Absenden), in der Anmeldebestätigungs-E-Mail, in der App zur Akkreditierungsverwaltung und am Check-in-Terminal vor Ort zugänglich zu machen. Einen Link zur Datenschutzerklärung in der Fußzeile einer E-Mail zu platzieren, genügt nicht. Die Information muss sichtbar, zugänglich und präsentiert sein, bevor die Person ihre Daten angibt.

Die passende Rechtsgrundlage je nach Eventtyp bestimmen Jede Verarbeitung muss auf einer der in der DSGVO vorgesehenen Rechtsgrundlagen beruhen. Die im Eventbereich häufigsten Rechtsgrundlagen sind die folgenden: • Einwilligung: insbesondere für den Versand eines Newsletters nach dem Event sowie für die Nutzung von Fotos und Videos. Sie muss freiwillig, spezifisch, informiert und jederzeit widerruflich sein. • Berechtigtes Interesse: oft herangezogen für den Versand des Programms, B2B-Vertriebsnachfassungen oder bestimmte eventbezogene Mitteilungen. Seine Nutzung erfordert eine dokumentierte Interessenabwägung zwischen den Bedürfnissen des Veranstalters und den Rechten der betroffenen Personen. • Vertragserfüllung: betrifft zum Beispiel eine kostenpflichtige Anmeldung oder die Ausgabe eines für die Teilnahme erforderlichen Badges. Diese Rechtsgrundlage muss auf die für die Erfüllung der gewünschten Leistung unbedingt erforderlichen Daten beschränkt bleiben. Der klassische Fehler besteht darin, die Einwilligung als Standard-Rechtsgrundlage zu nutzen, obwohl Vertragserfüllung oder berechtigtes Interesse oft besser passen – und weniger aufwendig zu handhaben sind. Wichtig ist, die Rechtsgrundlage im Vorfeld festzulegen und zu dokumentieren. Datenminimierung: nur das Nötige erheben Der Grundsatz der Datenminimierung ist eine der Grundlagen der DSGVO: Es werden nur die Daten erhoben, die für die erklärten Zwecke unbedingt erforderlich sind. Auf den Eventbereich angewandt, führt das zu konkreten Fragen: Ist das Geburtsdatum für eine Fachkonferenz wirklich nötig? Ist die Telefonnummer unverzichtbar, wenn die gesamte Kommunikation per E-Mail läuft? Diese Fragen vor jedem Event zu beantworten, ist wirksamer als ein jährliches Audit. Anmeldeformular: die Best Practices Die Konformität entscheidet sich auch an den Details des Formulars. Nicht vorausgewählte Kontrollkästchen, klare und je Zweck getrennte Einwilligungstexte (ein Kästchen für die Anmeldung, ein weiteres für den Newsletter), ein vor dem Absenden sichtbarer Link zur Datenschutzerklärung, keine unbegründeten Pflichtfelder: Jedes Element zählt. Eine konforme Eventplattform muss es Ihnen ermöglichen, diese Einstellungen ohne technische Umwege zu konfigurieren. Wenn Ihr Tool das nicht zulässt, ist das ein Warnsignal.

Für jeden Zweck passende Fristen festlegen Es gibt keine universelle Speicherdauer: Sie hängt vom Zweck jeder Verarbeitung ab. Einige vernünftige Richtwerte: Rechnungsdaten sind aufgrund gesetzlicher Buchführungspflichten 10 Jahre aufzubewahren; Kontaktdaten für die Vertriebsansprache 3 Jahre ab dem letzten Kontakt gemäß Empfehlung der CNIL; Teilnahmedaten zu einem Event höchstens 12 Monate für statistische Zwecke. Diese Fristen müssen zwingend in Ihrem Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Viele Veranstalter bewahren Daten mangels Verfahren unbegrenzt auf: Das ist für sich genommen ein Verstoß. Bei Appcraft empfehlen wir, die Daten 3 Monate nach dem Event aufzubewahren. In 90 % der Fälle ist das völlig ausreichend. Akkreditierungen, Badges und Anwesenheitsdaten: der Sonderfall Die beim Badge-Scan erhobenen Daten verdienen besondere Aufmerksamkeit. Uhrzeit des Eintritts, besuchte Sessions, Interaktionen mit Ausstellern: Das sind eigenständige Verhaltensdaten. Sie müssen durch eine ausdrückliche Rechtsgrundlage abgedeckt, in der Datenschutzinformation erwähnt und nach einer festgelegten Frist gelöscht werden. Dieser Punkt wird bei Business-Events häufig übersehen, auch in Organisationen, die ihre DSGVO-Konformität sonst für gut im Griff halten.

Recht auf Auskunft, Berichtigung und Löschung Die Artikel 15, 16 und 17 der DSGVO garantieren den Teilnehmern das Recht, auf ihre Daten zuzugreifen, sie berichtigen zu lassen und ihre Löschung zu verlangen. Sie haben grundsätzlich einen Monat Zeit, um auf einen Antrag zu antworten (bei komplexen Anträgen auf 3 Monate verlängerbar). Konkreter Fall: Ein Teilnehmer verlangt nach dem Event die Löschung seiner Daten. Sie müssen in der Lage sein, sein Profil von Ihrer Plattform, aus den zugehörigen E-Mail-Verteilern und aus jeder Drittdatenbank zu löschen, an die Sie seine Informationen übermittelt haben. Wenn Ihre Plattform diese Löschung auf Anfrage nicht ermöglicht, ist das ein Problem. Widerspruchsrecht und Widerruf der Einwilligung Das Widerspruchsrecht gilt für Verarbeitungen, die auf dem berechtigten Interesse beruhen: Der Teilnehmer kann ihnen jederzeit widersprechen, und Sie müssen diese Verarbeitung einstellen, außer bei zwingenden Gründen. Der Widerruf der Einwilligung betrifft Verarbeitungen, die auf der Einwilligung beruhen: Er muss so einfach sein wie ihre Erteilung. Ein Abmeldelink in jeder E-Mail genügt nicht, wenn weitere auf Einwilligung gestützte Verarbeitungen laufen. Die Ausübung dieser Rechte muss für sämtliche betroffenen Verarbeitungen gelten, nicht nur für den E-Mail-Versand. Wie organisiert man die Bearbeitung dieser Anträge in der Praxis? Für die wirksame Bearbeitung von Betroffenenanträgen braucht es keinen Datenschutzbeauftragten in Vollzeit. In den meisten Fällen genügt eine schlanke Governance: einen internen DSGVO-Ansprechpartner benennen (auch in Teilzeit), eine eigene E-Mail-Adresse für Anträge einrichten (etwa privacy@ihrunternehmen.fr), jeden Antrag und seine Beantwortung in einem einfachen Verzeichnis dokumentieren und sicherstellen, dass Ihre Plattform Export und Löschung der Daten auf Anfrage ermöglicht. Für mittelgroße Organisationen kann ein externer Datenschutzbeauftragter die nötige Rechtsberatung liefern, ohne die Auflagen einer eigenen Einstellung.

Der AVV (Auftragsverarbeitungsvertrag, Data Processing Agreement): das erste Dokument, das Sie verlangen sollten Artikel 28 der DSGVO schreibt den Abschluss eines Auftragsverarbeitungsvertrags (Data Processing Agreement, DPA) zwischen dem Veranstalter und jeder Plattform vor, die in seinem Auftrag personenbezogene Daten verarbeitet. Dieses Dokument muss Gegenstand und Dauer der Verarbeitung, ihre Art und ihren Zweck, die Art der verarbeiteten Daten, die Pflichten des Auftragsverarbeiters zu Sicherheit und Vertraulichkeit, die Bedingungen für weitere Unterauftragsverarbeitung und die Modalitäten von Audits festlegen. Das Fehlen eines AVV ist für sich genommen ein Verstoß – er setzt Sie im Kontrollfall aus, unabhängig von der Qualität der vorhandenen technischen Maßnahmen. Eine Plattform, die keinen AVV anbietet, kann nicht als konform bezeichnet werden. Europäisches Hosting und technische Sicherheit: die nicht verhandelbaren Kriterien Über den AVV hinaus sind mehrere technische Kriterien zu prüfen. Das Hosting der Daten auf Servern innerhalb der Europäischen Union ist eine unverzichtbare Voraussetzung. Übermittlungen außerhalb der EU – insbesondere an amerikanische Unterauftragnehmer, die dem Cloud Act unterliegen – bergen echte rechtliche Risiken, die durch Standardvertragsklauseln (SCC) oder andere Mechanismen abzusichern sind. In dieser Hinsicht setzt Sie auch ein Hosting auf Servern in Europa oder sogar in Frankreich bei einem US-Anbieter wie AWS von Amazon oder Azure von Microsoft dem amerikanischen Cloud Act aus. Die Verschlüsselung der Daten bei der Übertragung und im Ruhezustand, die Verwaltung der Zugriffsrechte, die Nachvollziehbarkeit über Audit-Protokolle, ein Notfallplan für Vorfälle (mit Meldung an die CNIL innerhalb von 72 Stunden bei einer Verletzung) und anerkannte Zertifizierungen wie ISO 27001 sind seriöse Indikatoren für Sicherheitsreife. Bei AppCraft sind diese Anforderungen in die Architektur der Plattform integriert: Hosting in Frankreich auf Servern von OVH (einem französischen Unternehmen), Teilnehmerdaten, die für die KI-Engine unzugänglich sind, durch die Architektur garantierte Anonymisierung und ein für jeden Kunden verfügbarer AVV. Checkliste zur Wahl einer wirklich DSGVO-konformen Plattform Prüfen Sie vor der Unterzeichnung mit einem Anbieter Punkt für Punkt: 1. Bietet der Anbieter einen unterzeichneten und aktuellen AVV (DSGVO-Auftragsverarbeitungsvertrag) an? 2. Werden die Daten ausschließlich innerhalb der Europäischen Union gehostet? 3. Unterliegt das Hosting-Unternehmen einer Gesetzgebung, die mit dem europäischen Recht unvereinbar ist, wie zum Beispiel dem amerikanischen Cloud Act? 4. Ist die Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand gewährleistet? 5. Bietet die Plattform Audit-Protokolle und eine Nachvollziehbarkeit der Zugriffe? 6. Gibt es ein Verfahren zur Meldung von Datenschutzverletzungen (72 Std. CNIL)? 7. Lässt sich das Anmeldeformular so konfigurieren, dass Minimierung und Einwilligung eingehalten werden? 8. Kann die Löschung der Daten eines Teilnehmers auf Anfrage schnell durchgeführt werden? 9. Verfügt die Plattform über eine anerkannte Zertifizierung (ISO 27001 oder gleichwertig)? 10. Sind die Unterauftragnehmer der Plattform identifiziert und durch vertragliche Garantien abgedeckt? 11. Kann das Vertriebs- oder Rechtsteam Ihre DSGVO-Fragen ohne übermäßige Verzögerung beantworten?

DSGVO-Konformität im Eventbereich ist keine Angelegenheit für Juristen: Sie ist Sache der Veranstalter. Die Pflichten sind konkret, die Risiken real, und es gibt Lösungen – auch für Organisationen ohne eigenen Datenschutzbeauftragten. Wichtig ist, das Vorgehen zu strukturieren: Verarbeitungen dokumentieren, eine wirklich konforme Plattform wählen, die Teilnehmer informieren und sich die Mittel geben, ihre Rechte zu erfüllen. Über die reine Konformität hinaus ist Datenschutz auch ein Vertrauenshebel. Teilnehmer, die wissen, dass ihre Daten ernsthaft behandelt werden, melden sich leichter an, teilen relevantere Informationen und kommen zu den folgenden Ausgaben wieder. Gut umgesetzte DSGVO-Sorgfalt ist ebenso ein Wettbewerbsvorteil wie eine gesetzliche Pflicht. Zum Weiterlesen: Die DSGVO-Umsetzung wirft ganz natürlich weitere damit verbundene Fragen auf, etwa die Verwaltung von Cookies auf Ihrer Event-Website, die Richtlinie zur Aufbewahrung der CRM-Daten zwischen zwei Ausgaben desselben Events oder die besonderen Fragen hybrider Events, bei denen Online- und Präsenzteilnehmer nicht denselben Verarbeitungen unterliegen. Themen, die wir weiter erkunden werden.