Warum eine Gästeliste personenbezogene Daten enthält
Die Datenschutz-Grundverordnung gilt, sobald Sie Informationen über identifizierbare Personen in der Europäischen Union und im Europäischen Wirtschaftsraum verarbeiten; ergänzend gelten in Deutschland das BDSG und für Fotos teils das Kunsturhebergesetz. Jede Gästeliste fällt darunter: Ein Name und eine E-Mail-Adresse genügen. Ebenso ein Einlassprotokoll, das festhält, wer wann kam, und eine Fotogalerie, in der Gäste erkennbar sind.
Manche Angaben verlangen besondere Sorgfalt. Ein Essenswunsch, der eine Religion verrät, eine Allergie oder ein Hinweis zur Barrierefreiheit kann zu den besonderen Kategorien personenbezogener Daten zählen, etwa Gesundheitsdaten. Fragen Sie nur danach, wenn Sie die Angabe nutzen, und geben Sie sie nur an die weiter, die danach handeln müssen.
Für jeden Zweck eine Rechtsgrundlage
Die DSGVO verlangt eine Rechtsgrundlage für jeden Zweck, nicht eine für die ganze Veranstaltung. Mitarbeitende zu einem Firmenevent einzuladen, eine Rückmeldung zu bearbeiten und Gäste am Einlass einzulassen, beruht meist auf anderen Grundlagen, als sie danach in einen Newsletter aufzunehmen. Schreiben Sie jeden Zweck mit seiner Grundlage auf, bevor die erste Einladung hinausgeht.
- Vertrag oder vorvertragliche Maßnahmen: Ein Gast meldet sich an oder bucht einen Platz, und Sie brauchen seine Daten, um das zu erfüllen.
- Berechtigtes Interesse: etwa die Einladung bestehender Geschäftskontakte, abgewogen gegen das, was Gäste vernünftigerweise erwarten.
- Einwilligung: für alles Freiwillige, etwa Werbung nach der Veranstaltung oder die Weitergabe an einen Sponsor; freiwillig, für einen bestimmten Zweck und so leicht zu widerrufen, wie sie erteilt wurde.
- Rechtliche Verpflichtung: wo ein Gesetz eine Aufzeichnung verlangt, etwa steuerliche Belege.
Nur erheben, was die Veranstaltung braucht
Datensparsamkeit ist der Grundsatz, der am meisten Ärger erspart. Jedes Feld im Anmeldeformular ist ein Feld, das Sie schützen, erklären und irgendwann löschen müssen. Fragen Sie vor jeder neuen Frage, was Sie mit der Antwort tun und wer sie sieht. Geburtsdatum, Privatadresse und Position werden oft aus Gewohnheit erhoben und nie genutzt.
Informieren Sie Gäste im Moment der Erhebung in klaren Worten, was Sie erheben und warum: ein kurzer Hinweis neben dem Formular, verlinkt mit der vollständigen Datenschutzerklärung. Nennen Sie den Verantwortlichen, den Zweck, die Empfänger und die Speicherdauer.
Eine Einwilligung, die etwas bedeutet
Wo Sie sich auf eine Einwilligung stützen, muss sie eine echte Wahl sein. Ein vorangekreuztes Kästchen oder eine Einwilligung, die in allgemeinen Bedingungen versteckt ist, zählt nicht. Fragen Sie für jeden freiwilligen Zweck einzeln, dokumentieren Sie, wer wann wozu zugestimmt hat, und machen Sie den Widerruf einfach.
Dasselbe gilt für Fotos und Videos. Weisen Sie in der Einladung und am Eingang darauf hin, wenn fotografiert oder gefilmt wird, bieten Sie nach Möglichkeit einen Weg, nicht abgebildet zu werden, und überlegen Sie zweimal, bevor Sie erkennbare Bilder von Gästen veröffentlichen, die damit nicht rechneten.
Sponsoren, Aussteller und andere Empfänger
Einem Sponsor die Teilnehmerliste zu geben, weil er einen Stand bezahlt hat, ist einer der häufigsten Datenschutzfehler bei Veranstaltungen. Ein Sponsor ist eine eigene Organisation; die Weitergabe von Gästedaten an ihn braucht in der Regel die eigene, ausdrückliche Zustimmung des Gastes. Sicherer ist: Jeder Besucher entscheidet am Stand selbst, ob er seine Daten mit diesem Sponsor teilt, und die Entscheidung wird festgehalten.
Ihre Dienstleister sind ein anderer Fall. Eine Anmeldeplattform, ein E-Mail-Dienst oder eine Druckerei für Namensschilder, die Daten in Ihrem Auftrag verarbeitet, ist Auftragsverarbeiter; mit jedem brauchen Sie einen Vertrag zur Auftragsverarbeitung. Prüfen Sie, wo die Daten liegen und was nach Vertragsende mit ihnen geschieht.
Sicher aufbewahren, und nur so lange wie nötig
Sicherheit ist Teil der Verordnung, keine Kür. Begrenzen Sie, wer im Team die vollständige Liste sieht, verschicken Sie keine Gästetabellen per E-Mail, schützen Sie die Einlassgeräte und entziehen Sie Zugänge nach der Veranstaltung. Geht etwas schief, etwa eine Liste an die falsche Person, verlangt die DSGVO eine schnelle Bewertung und, wenn ein Risiko für die Betroffenen besteht, eine Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden.
Legen Sie für jede Datenart eine Speicherfrist fest und halten Sie sie ein. Ein Einlassprotokoll wird vielleicht ein paar Wochen gebraucht, eine Liste von Menschen, die über künftige Veranstaltungen informiert werden möchten, länger, ein Essenswunsch nach dem Dinner gar nicht mehr.
Auskunfts- und Löschanfragen von Gästen
Gäste können fragen, was Sie über sie speichern, eine Berichtigung oder die Löschung verlangen. Nach der DSGVO haben Sie dafür in der Regel einen Monat Zeit. Legen Sie vorab fest, wer solche Anfragen bearbeitet, wie Sie die Identität prüfen und wo Sie suchen, einschließlich Tabellen auf Laptops und Exporten an Dienstleister.
- Eine benannte Person oder Adresse für Datenschutzanfragen.
- Eine Übersicht aller Orte, an denen Gästedaten liegen, samt Kopien und Dienstleistern.
- Eine kurze Antwortvorlage für Auskunft, Berichtigung und Löschung.
- Ein Protokoll jeder Anfrage und wann sie beantwortet wurde.
- Eine Kontrolle, dass Sponsoren und Dienstleister ihre Kopien ebenfalls löschen, wo nötig.