Bei der Registrierung entsteht ein strukturierter Datenbestand über Personen, Beruf, Zahlung, Präferenzen und Anwesenheit. Das erleichtert die Organisation, erzeugt aber Rechenschaftspflicht. Maßgeblich ist der Text der DSGVO; bei der Rollenklärung helfen die EDSA-Leitlinien 07/2020.

Dieser Beitrag bietet allgemeine operative Informationen und keine Rechtsberatung. Datenschutzbeauftragte oder fachkundige Juristen sollten den konkreten Prozess, Hinweise und Verträge unter Berücksichtigung von Organisation und Rechtsraum prüfen.

Welche Teilnehmerdaten werden verarbeitet?

Typische Formulare erfassen Identität und Kontakt, Arbeitgeber und Funktion, Ticket- und Programmauswahl, Rechnungsdaten sowie Kommunikationshistorie. Die Plattform kann außerdem IP-Adressen, Vorgangsprotokolle, Anwesenheit und Nutzung von Zugangscodes erfassen.

Besondere Vorsicht gilt Angaben, die besondere Kategorien offenbaren können. Ernährungswünsche können indirekt Gesundheit oder Religion zeigen, Hinweise zur Barrierefreiheit eine Behinderung. Nicht jede Menüauswahl ist automatisch eine besondere Kategorie. Der Veranstalter muss Kontext und Notwendigkeit bewerten, Details begrenzen und die richtige Voraussetzung sowie Schutzmaßnahmen festlegen.

Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortliche?

Die Rolle folgt tatsächlichen Entscheidungen, nicht dem Vertragsnamen. Wer Zwecke und wesentliche Mittel bestimmt, ist Verantwortlicher. Ein Anbieter, der personenbezogene Daten ausschließlich auf dokumentierte Weisung verarbeitet, ist in der Regel Auftragsverarbeiter. Zwei Organisatoren, die Zwecke und Mittel gemeinsam festlegen, können gemeinsam Verantwortliche sein.

Ein Plattformanbieter hat nicht zwingend für alle Daten dieselbe Rolle. Für die Teilnehmerdaten kann er Auftragsverarbeiter sein, für eigene Konto- und Abrechnungszwecke separater Verantwortlicher. Ordnen Sie jeden Zweck und Datenfluss einzeln zu.

Rechtsgrundlage: nicht alles braucht eine Einwilligung

Jede Verarbeitung braucht einen Zweck und eine passende Grundlage nach Artikel 6. Daten für eine bezahlte Teilnahme können zur Vertragserfüllung notwendig sein; Buchhaltungsunterlagen können einer Rechtspflicht unterliegen; bestimmte organisatorische Tätigkeiten kommen nach entsprechender Prüfung als berechtigtes Interesse infrage. Marketing verlangt eine separate Bewertung, auch nach den Vorschriften zur elektronischen Kommunikation.

Ist Einwilligung die Grundlage, muss sie freiwillig, spezifisch, informiert und eindeutig sowie ebenso leicht widerrufbar wie erteilbar sein. Trennen Sie optionales Marketing von notwendiger Anmeldung und nutzen Sie keine vorangekreuzten Felder. Widerruf wirkt nicht rückwirkend und beseitigt keine andere gültige Grundlage.

Beruht die Verarbeitung auf einer Einwilligung, sollte der Verantwortliche nachweisen können, dass diese erteilt wurde. In der Praxis empfiehlt es sich, Informationen über die Person, das Datum, den Inhalt oder die Version der Einwilligung sowie über einen möglichen späteren Widerruf aufzubewahren.

Besondere Kategorien benötigen zusätzlich eine Voraussetzung aus Artikel 9. Die Zustimmung zu Teilnahmebedingungen ist nicht automatisch eine ausdrückliche Einwilligung hierfür.

Datenminimierung beginnt im Formular

Dokumentieren Sie für jedes Feld Zweck, Grundlage, Empfänger und Löschzeitpunkt. Pflichtfelder sind nur dort sinnvoll, wo sie für den betreffenden Teilnahmeweg notwendig sind. Nutzen Sie Bedingungen: Lieferadresse nur bei Versand, Rechnungsdaten nur beim entsprechenden Käufer.

Vermeiden Sie Freitext, wenn eine begrenzte Auswahl reicht. Darin können Teilnehmer unnötige Informationen offenlegen. Catering benötigt oft Mengen je Menü statt einer namentlichen Liste mit Gesundheitsangaben.

Wann muss eine Datenschutz-Folgenabschätzung erwogen werden?

Bei komplexeren Prozessen sollte geprüft werden, ob eine Datenschutz-Folgenabschätzung, also eine DSFA, erforderlich ist. Die Pflicht kann entstehen, wenn die geplante Verarbeitung aufgrund ihrer Art, ihres Umfangs, ihrer Umstände oder ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Besondere Aufmerksamkeit erfordern unter anderem Prozesse, bei denen besondere Kategorien personenbezogener Daten in großem Umfang verarbeitet werden oder andere risikosteigernde Faktoren vorliegen. Die Größe der Veranstaltung allein führt jedoch nicht automatisch zu einer DSFA-Pflicht—entscheidend ist die konkrete Art der Verarbeitung.

Informationspflicht erfüllen

Bei Erhebung müssen Teilnehmer unter anderem Verantwortlichen und Kontakt, Zwecke, Grundlagen, Empfänger, Übermittlungen, Speicherdauer, Rechte, Beschwerdemöglichkeit und relevante automatisierte Entscheidungen leicht finden. Der Hinweis beschreibt die reale Konfiguration, nicht eine allgemeine Vorlage.

Nutzen Sie Ebenen: Kernaussagen am Formular und den vollständigen Text über einen klaren Link. Bewahren Sie die damals geltende Version auf. Eine wesentliche Zweckänderung lässt sich nicht durch stillen Austausch der Seite erledigen.

Aufbewahrung und Löschung

Die DSGVO nennt keine einheitliche Frist für „Eventdaten“. Erstellen Sie Regeln nach Zweck und Grundlage: operative Details können nach Abwicklung entfallen, Buchungsbelege haben andere Fristen, Marketingdaten eigene Regeln, Widersprüche und Widerrufe.

Definieren Sie Löschung, wirksame Anonymisierung oder beschränkten Zugriff bei gesetzlicher Aufbewahrung. Erfassen Sie Exporte, Mailanhänge, Kopien bei Dienstleistern und Backups unter Berücksichtigung ihres Überschreibungszyklus.

Betroffenenrechte

Richten Sie einen Eingang für Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch ein. Der Ablauf umfasst eine risikogerechte Identitätsprüfung, Suche nach Kopien, Prüfung von Ausnahmen, Maßnahmen bei Auftragsverarbeitern und eine dokumentierte Antwort innerhalb der geltenden DSGVO-Frist.

Selbstbedienung kann Korrekturen beschleunigen, ersetzt aber das Verfahren nicht. Ein Löschverlangen betrifft möglicherweise keine Daten, die aufgrund einer Rechtspflicht aufbewahrt werden müssen. Entfernen Sie den übrigen nicht notwendigen Umfang und erklären Sie transparent, was bleibt.

Auftragsverarbeitung, Unterauftragnehmer und Übermittlungen

Verarbeitet ein Anbieter Daten im Auftrag des Veranstalters, ist eine Vereinbarung gemäß Artikel 28 erforderlich. Prüfen Sie Gegenstand und Dauer der Verarbeitung, Arten personenbezogener Daten, Kategorien betroffener Personen, dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterstützung bei der Wahrnehmung von Betroffenenrechten und bei Vorfällen, Rückgabe oder Löschung der Daten, Kontrollrechte und Regeln für den Einsatz weiterer Auftragsverarbeiter.

Verlangen Sie eine aktuelle Liste der Unterauftragnehmer und Verarbeitungsorte. Übermittlungen außerhalb des EWR brauchen einen identifizierten Mechanismus und gegebenenfalls Bewertung sowie ergänzende Maßnahmen. „Hosting in der EU“ sagt noch nichts über Supportzugriff, Logs, Backups oder Fernwartung.

Berechtigungen, Protokollierung und Sicherheit

Wenden Sie geringste Rechte an. Empfangspersonal kann Suche und Anwesenheit benötigen, nicht den Gesamtexport. Finanzen brauchen Bestellungen, nicht Ernährungsangaben. Entfernen Sie Projektzugänge und prüfen Sie Konten regelmäßig.

Nutzen Sie starke Authentifizierung, verschlüsselte Übertragung, geschützte Backups, Updates und die Protokollierung wichtiger Vorgänge. Das Protokoll soll zeigen, wer Daten angesehen, exportiert, geändert oder gelöscht hat, ohne selbst zum unkontrollierten Speicher sensibler Inhalte zu werden.

Risiken von Tabellen und E-Mail-Anhängen

Tabellen sind nicht grundsätzlich verboten, doch Versions-, Zugriffs-, Lösch- und Nachweiskontrolle gehen leicht verloren. Ein falsch adressierter Anhang kann eine Datenschutzverletzung sein. Jeder Export braucht Verantwortlichen, Zweck, Mindestumfang, geschützten Kanal und Löschdatum.

Statt Catering die gesamte Liste zu senden, geben Sie einen Minimalbericht oder beschränkten Zugang. Übertragen Sie Daten nicht ohne freigegebenen Prozess und Anbieterprüfung in private Laufwerke, Messenger oder KI-Dienste.

Datenschutzverletzungen

Eine Verletzung kann Verfügbarkeit oder Integrität ebenso betreffen wie Vertraulichkeit: Fehlversand, verlorener Laptop, öffentlicher Tabellenlink, unbefugte Änderung oder Datenverlust. Das Team muss den Meldeweg kennen und die für die Aufklärung erforderlichen Informationen sichern.

Das Verfahren sollte die Folgen begrenzen, die betroffenen Daten und Personen ermitteln, Risiken bewerten, Entscheidungen dokumentieren und prüfen, ob nach der DSGVO eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist. Der Auftragsverarbeiter muss die vom Verantwortlichen benötigten Informationen unverzüglich weitergeben können.

DSGVO-Checkliste für System und Konfiguration

  • Rollen, Zwecke und Datenflüsse sind dokumentiert.
  • Jedes Feld besitzt Zweck, Grundlage und Löschregel.
  • Datenschutzhinweise entsprechen der realen Konfiguration.
  • Optionale Einwilligungen sind getrennt, nachweisbar und leicht widerrufbar.
  • Der Inhalt oder die Version der zum Zeitpunkt ihrer Erteilung geltenden Einwilligung wird aufbewahrt.
  • Besondere Kategorien sind begrenzt und angemessen geschützt.
  • Es wurde geprüft, ob für den Prozess eine DSFA erforderlich ist.
  • Berechtigungen entsprechen den Rollen, wichtige Vorgänge werden protokolliert.
  • Verfahren für Rechte, Exporte, Löschung und Vorfälle bestehen.
  • Auftragsverarbeitung, Unterauftragnehmer und Transfers sind geprüft.
  • Nach dem Event wird die Aufbewahrungsregel tatsächlich ausgeführt.
  • Prozess und Texte wurden rechtlich und operativ geprüft.

Ein Teilnehmerregistrierungssystem kann die Datenerhebung in einer einzigen Umgebung unterstützen, die Zahl manueller Kopien reduzieren und die Kontrolle des Zugriffs auf Informationen erleichtern. Diese Werkzeuge unterstützen einen geplanten Prozess—sie ersetzen weder die Entscheidungen des Verantwortlichen noch geeignete Verträge, Verfahren und die regelmäßige Überprüfung der Datenverarbeitung.

FAQ

Braucht jede Registrierung eine Einwilligung?

Nein. Die Grundlage folgt dem Zweck. Einwilligung ist eine Möglichkeit und darf Vertrag oder Rechtspflicht nicht ersetzen, wenn diese den Vorgang richtig beschreiben.

Ist der Systemanbieter Auftragsverarbeiter?

Häufig für Teilnehmerdaten, wenn er nur nach Weisung handelt. Für eigene Zwecke wie Abrechnung kann eine andere Rolle gelten. Jede Verarbeitung ist konkret zu bewerten.

Dürfen Daten nach einem Löschverlangen bleiben?

Teilweise, wenn eine gültige Grundlage wie eine Rechtspflicht besteht. Nicht erforderliche Daten sind zu löschen; Umfang und Grund der restlichen Speicherung werden erklärt.

Kann eine Plattform DSGVO-Konformität garantieren?

Nein. Sie kann Funktionen zur Unterstützung liefern. Konformität hängt ebenso von Konfiguration, Verträgen, Menschen, Weisungen, Sicherheit und tatsächlicher Nutzung ab.