Wer trägt die Verantwortung für die Einhaltung von Datenschutzbestimmungen?
Die Datenschutzgesetze, EU-Datenschutz-Grundverordnung (DSGVO) und das Schweizer Datenschutzgesetz (DSG) unterscheiden zwischen Verantwortlichen und Auftragsverarbeitern.
- Der Verantwortliche entscheidet über Zweck und Mittel der Datenverarbeitung. Das ist bei Events in der Regel der Veranstalter. Du bestimmst, welche Daten du erhebst, warum und wie du sie nutzt.
- Der Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen. Dazu zählen etwa Anbieter von Event-Software, Badge-Druckereien oder Catering-Dienstleister, die Zugang zu Teilnehmerlisten haben.
Damit ist klar: Du als Veranstalter trägst die Hauptverantwortung. Gleichzeitig musst du sicherstellen, dass deine Dienstleister datenschutzkonform arbeiten.
Welche Daten deiner Gäste darfst du verarbeiten?
Du darfst personenbezogene Daten nur verarbeiten, wenn eine Rechtsgrundlage vorliegt. Typische Szenarien bei Events sind:
Einwilligung: Zum Beispiel für Newsletter, Fotos oder Videoaufnahmen, bisherige Datenspeicherung aus Kundenbeziehung.
Vertrag: Die Ticketbuchung oder die Teilnahmevereinbarung.
Rechtliche Verpflichtung: Etwa für behördliche Sicherheitsauflagen.
Berechtigtes Interesse: Zum Beispiel um Informationen zuzusenden, den Zugang zu kontrollieren oder die Eventplanung zu optimieren. Das berechtigte Interesse gilt solange die Interessen der Teilnehmenden nicht überwiegen.
In jedem Fall gilt das Prinzip, dass du nur die Daten nur verarbeiten solltest, die du wirklich brauchst und nur für den Zweck, den du angegeben hast.
Grundprinzipien, die du beachten musst
Die DSGVO (Art. 5) und das DSG geben dir klare Leitlinien:
Transparenz: Informiere deine Gäste verständlich über die Datenverarbeitung.
Datenminimierung: Erhebe nur, was notwendig ist – keine überflüssigen Zusatzfelder im Anmeldeformular.
Zweckbindung: Nutze Daten nur für den angegebenen Zweck, nicht für spätere Werbeaktionen ohne Einwilligung.
Sicherheit: Setze technische Maßnahmen wie Verschlüsselung ein und organisiere Zugriffsrechte klar.
Privacy by Design / Default: Stelle den Zugang zu den verwendeten Eventmanagement Tools ein, dass Datenschutz von Anfang an berücksichtigt ist, etwa mit restriktiven Zugriffsrechten.
Zusammenarbeit mit Dienstleistern
Wenn du externe Partner einbindest, brauchst du klare Regeln. Mit Software-Anbietern oder Badge-Druckereien schließt du einen Auftragsverarbeitungsvertrag ab (DSGVO Art. 28, nDSG Art. 9). Darin wird festgelegt:
- welche Daten verarbeitet werden
- zu welchem Zweck
- wie lange sie gespeichert bleiben
- welche Sicherheitsmaßnahmen gelten
Besonderes Augenmerk gilt, wenn Daten außerhalb der EU oder der Schweiz verarbeitet werden. Hier musst du prüfen, ob ein angemessenes Datenschutzniveau besteht und gegebenenfalls Standardvertragsklauseln einsetzen.
Rechte der Teilnehmenden
Deine Gäste haben das Recht zu wissen, welche Daten du über sie speicherst, wofür du sie nutzt und an wen du sie weitergibst. Sie können eine Auskunft verlangen, ihre Daten berichtigen lassen oder die Löschung verlangen, sobald der Zweck entfällt. Auch die Datenübertragbarkeit (DSGVO Art. 20) gehört dazu. Diese Rechte gelten sowohl nach DSGVO als auch nach dem Schweizer Datenschutzgesetz.
Datensicherheit in der Praxis
Ein paar konkrete Maßnahmen helfen dir, Teilnehmendendaten zuverlässig zu schützen:
- Nutze Event-Tools mit Rollen- und Rechtekonzept statt Excellisten per E-Mail.
- Schränke den Zugriff auf personenbezogene Daten auf so wenige Personen wie möglich ein.
- Verzichte auf gedruckte Teilnehmerlisten, die leicht verloren gehen.
- Stelle sicher, dass Daten nach dem Event zentral bereinigt und in allen Systemen gelöscht oder anonymisiert werden.
Am besten besprichst du die Datenschutzrechtlichen Richtlinien und Maßnahmen mit dem Datenschutzbeauftragten deiner Organisation. Halte zudem einen Notfallplan bereit. Bei einem Datenleck musst du nach DSGVO (Art. 33/34) und DSG (Art. 24) die Aufsichtsbehörden und Betroffenen unverzüglich informieren.
Typische Risiken und wie du sie vermeidest
Fotos und Videos ohne Einwilligung: Hole bei der Event-Anmeldung die klare Zustimmungen ein und informiere, wie du die Aufnahmen nutzt.
Datenweitergabe an Sponsoren: Gebe Daten an Sponsoren nur mit expliziter Einwilligung deiner Gäste und klarer Vertragsregelung weiter.
Unsichere Tools: Wähle Anbieter wie Oniva, die DSGVO- und DSG-konform arbeiten und ihre Serverstandorte und Sicherheitsmassnahmen offenlegen
Fazit
Datenschutz ist ein Qualitätsmerkmal für professionelle Events. Wenn du transparent informierst, Daten auf das Notwendige beschränkst und sichere Systeme einsetzt, stärkst du das Vertrauen deiner Gäste in deine Veranstaltung und Organisation. Mit klaren Prozessen und den richtigen Tools schaffst du ein Event-Erlebnis, das nicht nur begeistert, sondern auch rechtlich auf der sicheren Seite ist.
Übrigens, unter diesem Link findest du eine Vorlage einer Datenschutzerklärung für Event-Anmeldungen. Bitte beachte, dass du diese Vorlage vor der Veröffentlichung immer mit einem Datenschutzexperten für deinen individuellen Anwendungsfall prüfen solltest.