Datenschutz Veranstaltung: Der Praxisleitfaden für Event-Manager:innen (mit Muster!)

Lesen Sie „Datenschutz Veranstaltung” und bekommen schon Kopfschmerzen? Keine Sorge: Haben Sie einmal die Grundlagen verstanden, wird das Thema Eventrecht generell schnell zur Routine. Fragen wie „Brauche ich eine Datenschutzerklärung?”, „Haben wir eine Einverständiserklärung-Vorlage?” oder „Wie dürfen wir personenbezogene Daten erfassen?” stellen sich dann gar nicht mehr. Dieser Praxisleitfaden liefert Ihnen verständliche Antworten rund um Datenschutz bei Veranstaltungen – inklusive Muster und Vorlagen, die Ihnen die Umsetzung erleichtern. In diesem Blogpost erfahren Sie: 

1. Eventrecht: Die wichtigsten Begriffe im Datenschutz bei Veranstaltungen
2. Wie Sie DSGVO-konform zu Veranstaltungen einladen
3. Datenschutz Veranstaltung: Was es bei Gästelisten, Namensschildern, Fotos & Umfrage-Tools zu beachten gibt
4. Nutzung von Teilnehmer:innendaten nach dem Event: Was ist erlaubt?
5. Was Sie bei der Zusammenarbeit mit Dritten beachten müssen
6. Datenschutz Veranstaltung: Welche Unterschiede es je nach Eventart gibt
7. Was DSGVO-konforme Muster für Datenschutz bei Veranstaltungen beinhalten
   1. Muster Auftragsverarbeitungsvertrag
   2. Muster Datenschutzerklärung
   3. Muster Einwilligungserklärung für Fotos
   4. Muster TOM
8. Veranstaltungsrecht: Wer bei Datenschutzverstößen bei Events haftet
9. Was ein DSGVO-konformes Eventmarketing-Tool ausmacht
10. Datenschutz Veranstaltung: Ein Fazit

1 Das Eventrecht-ABC für Datenschutz bei Veranstaltungen

Wer wie Sie Events plant und organisiert, kommt zwangsläufig mit personenbezogenen Daten in Kontakt – sei es bei Einladungen, Gästelisten oder Foto- und Videoaufnahmen. Damit Sie sich möglichst einfach durch den Datenschutz-Dschungel navigieren können, finden Sie hier die wichtigsten Begriffe kurz erklärt. Sollten Sie diese alle bereits kennen, erfahren Sie im nächsten Abschnitt, wie Sie Kontakte DSGVO-konform zu einer Veranstaltung einladen.

1.1 Datenschutz Veranstaltung: Betroffenenrechte

Sobald Sie personenbezogene Daten für eine Veranstaltung erfassen – sei es für Einladungen, Gästelisten oder Event-Apps –, haben die betroffenen Personen bestimmte Rechte gemäß der DSGVO. Als Veranstalter:in oder Verantwortliche:r müssen Sie sicherstellen, dass diese Rechte gewahrt und Anfragen fristgerecht bearbeitet werden. Welche Rechte haben Ihre Event-Teilnehmer:innen also? Hier finden Sie eine kurze Übersicht (zum Öffnen klicken):

1.2 Datenschutz Veranstaltung: Informationspflicht

Gemäß der DSGVO müssen Sie die Teilnehmer:innen Ihrer Veranstaltung vorab darüber informieren, welche personenbezogenen Daten Sie erfassen und zu welchem Zweck Sie diese nutzen. Dies umfasst die folgenden Aspekte:

• Welche personenbezogenen Daten Sie erheben (z. B. Name, E-Mail, Allergien)
• Zu welchem Zweck die Verarbeitung erfolgt (z. B. Event-Organisation, Rechnungsstellung)
• Wie lange die Daten gespeichert bleiben
• Ob Daten an Dritte weitergegeben werden (z. B. an Event-Dienstleister:innen)
• Welche Rechte Teilnehmer:innen haben (z. B. auf Auskunft oder Löschung)

Die Informationspflicht erfüllen Sie am besten, indem Sie folgende Maßnahmen umsetzen:

• Datenschutzerklärung auf der Event-Website bereitstellen
• Link zur Datenschutzerklärung in Anmeldeformularen und E-Mails einfügen
• Vor-Ort-Information z. B. durch Aushänge bei der Registrierung

1.3 Datenschutz Veranstaltung: Koppelungsverbot

Das Koppelungsverbot der DSGVO untersagt, die Teilnahme an einem Event von einer zusätzlichen Zustimmung abhängig zu machen, die nicht für die Vertragserfüllung erforderlich ist. Einwilligungen müssen freiwillig und unabhängig von der Event-Teilnahme erfolgen, insbesondere bei kostenpflichtigen Veranstaltungen.

Unzulässig ist zum Beispiel:

• Die Anmeldung zu einer Veranstaltung mit einer zwingenden Newsletter-Einwilligung zu verknüpfen.
• Die Teilnahme an einem Event von einer Einwilligung für Fotoaufnahmen zu Marketingzwecken abhängig zu machen.

In Einzelfällen kann eine verpflichtende Einwilligung – etwa für einen Newsletter – als Gegenleistung für eine kostenlose Teilnahme zulässig sein. Dies sollten Sie jedoch vorab rechtlich prüfen.

1.4 Datenschutz Veranstaltung: Personenbezogene Daten

Personenbezogene Daten sind Informationen, mit denen eine natürliche Person direkt oder indirekt identifiziert werden kann. Dazu gehören nicht nur klassische Angaben wie Name oder E-Mail-Adresse, sondern auch Foto-, Video- und Tonaufnahmen, wenn eine Person darauf eindeutig erkennbar ist.

Für Sie als Event-Manager:in bedeutet das: Sobald Sie personenbezogene Daten erfassen oder verarbeiten – etwa bei Gästelisten, personalisierten Tickets oder der Einholung von Einwilligungen für Fotoaufnahmen – unterliegen Sie den Vorgaben der DSGVO.

Hinzu kommt, dass nicht alle personenbezogenen Daten gleich sensibel sind. Die DSGVO unterscheidet zwischen personenbezogenen Daten und besonderen Kategorien personenbezogener Daten. Für die Event-Praxis heißt das: Sobald Sie solche sensiblen Daten erfassen, müssen Sie besonders strenge Vorgaben beachten. In den meisten Fällen ist eine ausdrückliche Einwilligung der betroffenen Person erforderlich.

In der folgenden Tabelle finden Sie eine Übersicht, welche Daten personenbezogen sind, welche zu den besonderen Kategorien gehören und welche oft fälschlicherweise als personenbezogen gelten, es aber nicht sind.

1.5 Datenschutz Veranstaltung: Verantwortliche:r

Verantwortliche bestimmen den Zweck und die Mittel der Verarbeitung personenbezogener Daten und tragen die rechtliche Verantwortung. Bei geschäftlichen Events ist das meist das veranstaltende Unternehmen. Zu dessen Pflichten gehören:

• Auftragsverarbeitungsvertrag (AVV) abschließen
  Alle Dienstleister:innen, die personenbezogene Daten im Auftrag der Verantwortlichen verarbeiten, brauchen einen AVV. Ohne diesen ist eine Datenweitergabe nicht zulässig.
• Dienstleister:innen sorgfältig auswählen
  Auftragsverarbeiter:innen müssen nachweisen, dass sie DSGVO-konform arbeiten. Verantwortliche haften für Verstöße, wenn sie Dienstleister:innen ohne Prüfung auf DSGVO-Konformität beauftragen.
• Daten gezielt und sicher übermitteln
  Verantwortliche dürfen nur die für den Auftrag erforderlichen Daten weitergeben und keine zusätzlichen Informationen übermitteln. Vor der Übermittlung müssen sie die Daten prüfen, bereinigen und verschlüsselt versenden.

1.6 Datenschutz Veranstaltung: Vertragserfüllung

Wussten Sie, dass Sie nicht für jede Datenverarbeitung die Einwilligung Ihrer Gäste brauchen? Wenn personenbezogene Daten zur Erfüllung eines Vertrags erforderlich sind, können sie diese ohne gesonderte Zustimmung verarbeiten.

In der Praxis bedeutet das, dass die Datenverarbeitung für die Planung und Umsetzung einer Veranstaltung ohne explizite Einwilligung Ihrer Gäste zulässig ist. Dazu zählen etwa:

• Versand von Buchungsbestätigungen
• Erinnerungsmails mit Informationen zum Event (z. B. Programm, Anreiseinfos)
• Erstellung von Gästelisten für den Check-in
• E-Mails zum Einholen von anonymen Feedback zeitnah nach dem Event
• Rechnungsstellung für kostenpflichtige Events

Sobald Sie personenbezogene Daten für weitere Zwecke nutzen möchten, die nicht zur Vertragserfüllung gehören, brauchen Sie eine Einwilligung. Dazu zählen etwa:

• Einladung zu zukünftigen Events
• Speicherung der Daten für Analysen
• Newsletter-Versand

Beachten Sie, dass Sie dennoch die Informationspflicht erfüllen, also Ihre Gäste über die Datenverarbeitung vorab informieren müssen. Dies können Sie z. B. durch eine Datenschutzerklärung auf der Event-Website tun.

Im nächsten Abschnitt erfahren Sie, was Sie in puncto Datenschutz vor der Veranstaltung beachten müssen.

2 Datenschutz vor der Veranstaltung: Wen dürfen Sie kontaktieren und einladen?

Je mehr Teilnehmer:innen bei einer Veranstaltung, desto besser – so lautet nach wie vor das Credo vieler Event-Manager:innen, wie die Invitario-Eventstudie 2024 zeigt. Der erste Impuls ist daher, möglichst viele Kontakte einzuladen. Doch das Einladen zu einer Veranstaltung gilt rechtlich oft als Werbung per E-Mail. Eine Event-Einladung ist eine Datenverarbeitung und unterliegt den Vorgaben der DSGVO sowie nationalen Gesetzen in Deutschland und Österreich. In beiden Ländern sind E-Mail-Einladungen ohne vorherige Einwilligung grundsätzlich unzulässig. Es gibt jedoch Ausnahmen, die sich zwischen Deutschland und Österreich unterscheiden.

Gemäß § 7 Abs. 3 UWG dürfen Sie in Deutschland Personen ohne vorherige Einwilligung zu einer Veranstaltung per E-Mail einladen, wenn alle der folgenden Bedingungen erfüllt sind:

• Bestehende oder kürzlich beendete Geschäftsbeziehung: Die Person ist Kund:in oder Geschäftspartner:in oder war es vor kurzer Zeit.
• Ähnliches Angebot: Die Einladung muss sich auf ein ähnliches Produkt oder eine ähnliche Dienstleistung beziehen.
• Kein Widerspruch: Die Person hat der werblichen Nutzung ihrer E-Mail-Adresse bisher nicht widersprochen.
• Opt-out-Möglichkeit: Jede Einladung muss eine einfache Möglichkeit zum Abmelden enthalten.

Auch in Österreich sind Event-Einladungen per E-Mail ohne ausdrückliche Einwilligung grundsätzlich unzulässig. Dabei gibt es jedoch eine ähnliche Ausnahme bei bestehenden Geschäftsbeziehungen (§ 174 Telekommunikationsgesetz (TKG)). Demnach ist keine vorherige Zustimmung erforderlich, wenn folgende Voraussetzungen gleichzeitig vorliegen:

• Der:Die Versender:in der Einladung hat die Kontaktinformationen anlässlich eines Kaufes bzw. einer Dienstleistung von den Kund:innen erhalten.
• Der:Die Versender:in der Einladung verwendet diese Daten nur für Werbung für ähnliche Produkte und Dienstleistungen.
• Der:Die Empfänger:in erhält die Möglichkeit, die Zusendung bereits bei der Erhebung der Daten und zusätzlich bei jeder Zusendung abzulehnen.
• Der:Die Empfänger:in hat die Zusendung nicht von vornherein durch Eintragung in die sogenannte E-Commerce-Gesetz-Liste bei der Rundfunk und Telekom Regulierungs-GesmbH (RTR) abgelehnt.

Eine weitere Ausnahme: Sie dürfen öffentlich einsehbare Unternehmensadressen (z. B. office@firma.at) anschreiben, wenn die Einladung thematisch mit der geschäftlichen Tätigkeit des Unternehmens zusammenhängt. Dies sollten Sie jedoch im Einzelfall prüfen.

3 Datenschutz bei der Veranstaltung: Worauf Sie bei Gästelisten, Namensschildern, Fotos & Umfragen achten müssen

Das DSGVO-konforme Einladen von Gästen ist nur der erste Schritt: Auch vor Ort spielt Datenschutz bei Veranstaltungen eine zentrale Rolle. Datensparsamkeit ist dabei ein zentrales Prinzip. Erfassen Sie also nur jene Daten, die unbedingt notwendig sind und verarbeiten Sie diese ausschließlich für den ursprünglichen Zweck.

3.1 Gästelisten: So gestalten Sie den Check-in der Teilnehmer:innen DSGVO-konform

Gästelisten enthalten personenbezogene Daten. Daher ist auch beim Check-in der Teilnehmer:innen wichtig, dass Sie den Zugriff auf diese Daten minimieren und dafür Sorge tragen, dass keine unbefugten Personen in die Liste einsehen können.

Tipps für DSGVO-konforme Gästelisten beim Check-in

• Vermeiden Sie ausgedruckte Gästelisten: Sollten Sie Ihre Gästeliste ausdrucken, lassen Sie diese niemals offen auf dem Empfangstisch liegen. Papierlisten können leicht verloren gehen oder von Unbefugten eingesehen werden – ein Datenschutzrisiko, das Sie vermeiden sollten.
• Nutzen Sie digitale Gästelisten: Diese sind sicherer und erleichtern die Kontrolle über den Datenzugriff. Mit der Invitario-App etwa können Sie Gäste bequem und datenschutzkonform einchecken, indem Sie den QR-Code auf dem Ticket mit einem Smartphone oder Tablet scannen – selbst ohne Internetverbindung.
• Beschränken Sie den Zugriff: Nur autorisierte Personen sollten Gästelisten einsehen können. Verwenden Sie passwortgeschützte digitale Systeme und schulen Sie Mitarbeiter:innen und Dienstleister:innen im sicheren Umgang mit personenbezogenen Daten.

3.2 Namensschilder: Was ist im Datenschutz bei Veranstaltungen erlaubt?

Für Namensschilder gilt: Weniger ist mehr – zeigen Sie nur die notwendigsten Daten um Datenschutzrisiken zu minimieren. Das sind bei Firmenevents normalerweise Vor-, Nach- und Firmenname. Kontaktdaten oder persönliche Details sollten nicht auf Namensschildern stehen.

Bedenken Sie auch, dass Sie Teilnehmer:innen nicht verpflichten dürfen ein Namensschild zu tragen. Gäste dürfen frei entscheiden, ob ihr Name sichtbar sein soll.

3.3 Foto-, Video- und Tonaufnahmen bei Events: Wann benötigen Sie eine Einwilligung?

Wie im verlinkten Abschnitt bereits erwähnt, gelten Fotos, Videos und Tonaufnahmen als personenbezogene Daten, wenn die abgebildeten Personen eindeutig erkennbar sind. Damit Sie diese Daten aufnehmen, verarbeiten und speichern dürfen, benötigen Sie eine Rechtsgrundlage gemäß DSGVO. Dies kann etwa berechtigtes Interesse des veranstaltenden Unternehmens, eine vertragliche Vereinbarung oder eine Einverständniserklärung für Fotos & Co. von Ihren Gästen sein. Ob eine Einwilligung Ihrer Gäste erforderlich ist, hängt insbesondere von diesen Faktoren ab:

• Welche Rechtsgrundlage kommt zur Anwendung?
• Sind die abgebildeten Personen eindeutig erkennbar?
• Um welche Eventart handelt es sich?
• Wie wollen Sie die Fotos, Videos und Tonaufnahmen verwenden?
• Sind besondere Schutzrechte zu beachten?

Unabhängig von der Rechtsgrundlage müssen Sie stets die Informationspflicht erfüllen und Ihre Gäste vorab klar darüber informieren, dass Foto- und Videoaufnahmen gemacht und wie diese verwendet werden.

Mehr zum Thema erfahren Sie im Blogpost „Einverständniserklärung Fotos: Alles, was Event-Manager:innen wissen müssen”.

3.4 Feedback- und Umfrage-Tools: Worauf müssen Sie für Datenschutz bei der Veranstaltung achten?

Möchten Sie während oder nach der Veranstaltung die Meinung Ihrer Gäste einholen? Solche Umfragen steigern das Engagement der Teilnehmer:innen und liefern wertvolle Einblicke. Auch hier gelten datenschutzrechtliche Vorgaben. Beachten Sie folgende Punkte für DSGVO-konforme Umfragen:

• Nutzen Sie anonyme Umfragen, wenn möglich. Dann erheben, verarbeiten und speichern sie gar keine personenbezogenen Daten, und die DSGVO ist nicht anwendbar.
• Verwenden Sie DSGVO-konforme Software mit Servern innerhalb der EU, die die rechtlichen Anforderungen an die Auftragsverarbeitung erfüllt.
• Informieren Sie Ihre Teilnehmer:innen vorab, welche Daten Sie wie erheben, verarbeiten und speichern und ob sie diese anonymisieren oder pseudonymisieren.

Wenn Sie die gewonnenen Daten auch nach dem Event nutzen wollen, stellt sich die Frage, was im Datenschutz nach der Veranstaltung erlaubt ist. Die Antwort finden Sie im nächsten Abschnitt.

4 Datenschutz nach dem Event: Die wichtigsten Themen im Überblick

4.1 Eventrecht: Dürfen Sie die Daten der Teilnehmer:innen nach der Veranstaltung weiter nutzen?

Nach dem Event ist vor dem Event – zumindest im Eventmarketing. Doch dürfen Sie die Daten der Teilnehmer:innen für weitere Zwecke verwenden? Die Antwort hängt von drei entscheidenden Faktoren ab:

Faktor 1: Rechtsgrundlage der ursprünglichen Datenerhebung

Die DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn eine gültige Rechtsgrundlage vorliegt. Für Event-Manager:innen gibt es drei mögliche Szenarien:

• Vertragserfüllung: Falls die Daten zur Durchführung des Events erforderlich waren (z. B. für Ticketbuchungen), dürfen sie diese nur für diesen Zweck verwenden und müssen die Daten nach dem Event löschen, sofern keine Aufbewahrungspflicht besteht.
• Berechtigtes Interesse: Wenn die Veranstalter:innen ein berechtigtes Interesse an der Weiterverarbeitung haben, muss dieses gegen die Datenschutzrechte der Betroffenen abgewogen werden.
• Einwilligung: Haben Sie eine explizite Zustimmung zur weiteren Nutzung (z. B. für Marketingzwecke), dürfen Sie die Daten im definierten Rahmen weiterverwenden.

Faktor 2: Art der geplanten Weiterverwendung

Haben Sie die Daten Ihrer Teilnehmer:innen datenschutzkonform erhoben, dürfen Sie diese für folgende Zwecke ohne zusätzliche Einwilligung nutzen:

• Buchhaltung & Abrechnung bei kostenpflichtigen Events unter Berücksichtigung gesetzlicher Aufbewahrungspflichten
• Statistische Auswertungen in anonymisierter Form
• Direktes Event-Feedback wie etwa eine Zufriedenheitsumfrage zeitnah nach der Veranstaltung

Für folgende Zwecke benötigen Sie in der Regel eine Einwilligung der Event-Gäste:

• Werbliche E-Mails zu zukünftigen Events oder Produkten
• Weitergabe der Daten an Dritte (z. B. Sponsor:innen oder Partner:innen)
• Langfristige Speicherung der Daten über die Eventabwicklung hinaus, sofern keine gesetzliche Pflicht besteht

Faktor 3: Gesetzliche Aufbewahrungspflichten

Für Rechnungs- und Buchhaltungsdaten gelten gesetzliche Aufbewahrungspflichten. Das bedeutet, dass Sie diese Daten für folgende Dauer speichern müssen:  

• Deutschland: 10 Jahre 
• Österreich: 7 Jahre

Alle anderen personenbezogenen Daten müssen Sie löschen oder anonymisieren, sobald Sie diese nicht mehr für die Eventdurchführung benötigen.

Die weitere Nutzung von Teilnehmer:innen-Daten für Marketingzwecke ist nach dem Event nur zulässig, wenn Sie bereits bei der Event-Anmeldung eine explizite Einwilligung eingeholt haben. Achten Sie dabei auf das Koppelungsverbot: Die Zustimmung zur Datennutzung darf keine Voraussetzung für die Event-Teilnahme sein.

4.2 Speichern und Löschen von Daten: Wie lange dürfen Sie Daten aufbewahren?

Gemäß der DSGVO müssen Sie personenbezogene Daten löschen, sobald diese nicht mehr für den ursprünglichen Zweck erforderlich sind. Diese Löschpflicht gilt nicht nur für das veranstaltende Unternehmen, sondern auch für alle Auftragsverarbeiter:innen (z. B. Event-Agenturen, Anbieter:innen von Eventmanagement-Software). Stellen Sie die Einhaltung sicher, indem Sie eine verbindliche Regelung zur Löschpflicht in den Auftragsverarbeitungsvertrag (AVV) aufnehmen. 

Falls Sie die Daten von Event-Teilnehmer:innen für interne Analysen nutzen, müssen Sie diese anonymisieren, sodass kein Rückschluss auf Einzelpersonen möglich ist. Anonymisierte Daten unterliegen nicht mehr der DSGVO und können ohne zeitliche Begrenzung genutzt werden.

Eine Ausnahme stellt die gesetzliche Aufbewahrungspflicht bei kostenpflichtigen Veranstaltungen dar. Diese verpflichtet Sie buchhalterische und steuerrelevante Daten für 10 (Deutschland) bzw. für 7 Jahre (Österreich) zu speichern.

5 Datenschutz bei der Zusammenarbeit mit Dritten: Wann Sie einen AVV abschließen müssen

Datenschutz bei der Veranstaltung spielt bei der Beauftragung von Externen eine große Rolle. Wenn Sie mit externen Dienstleister:innen wie Agenturen oder Software-Anbieter:innen für Ihre Veranstaltung zusammenarbeiten, müssen Sie sicherstellen, dass diese personenbezogene Daten datenschutzkonform verarbeiten. Dazu zählen etwa:

• Event-Agenturen, die Gästelisten verwalten
• Fotograf:innen oder Videoteams, die Aufnahmen von Teilnehmer:innen machen
• Anbieter:innen von Event-Software, die Sie für die Kommunikation mit Teilnehmer:innen, Registrierungen oder Ticketing nutzen

Beachten Sie dabei jedoch, dass nicht alle externen Dienstleister:innen personenbezogene Daten verarbeiten. Denken Sie etwa an Event-Techniker:innen, Messebauer:innen oder Catering-Unternehmen: Diese haben in der Regel keinen Zugriff auf Gästelisten oder andere personenbezogene Daten und fallen daher nicht unter diese Datenschutzanforderungen.

Für die DSGVO-konforme Zusammenarbeit mit Dritten, die personenbezogene Daten in Ihrem Auftrag verarbeiten, müssen Sie einen Auftragsverarbeitungsvertrag (AVV oder AV-Vertrag) abschließen.

Handeln externe Dienstleister:innen jedoch auf eigene Verantwortung, liegt keine Auftragsverarbeitung vor. Ein AVV ist in diesem Fall nicht erforderlich. Dennoch sollten Sie eine vertragliche Vereinbarung treffen, um die datenschutzrechtlichen Pflichten beider Parteien klar festzuhalten. Beispiele für eigenverantwortliches Handeln von Dritten in diesem Kontext sind etwa Fotograf:innen, die Aufnahmen nicht nur in Ihrem Auftrag, sondern auch für ihr eigenes Portfolio verwenden oder von Ihnen empfohlene Hotels, bei denen Ihre Gäste direkt buchen.

6 Datenschutz bei Veranstaltungen: Was Sie je nach Eventart beachten müssen

Hat die Art Ihrer Veranstaltung Auswirkungen auf den Datenschutz? Ja, denn je nach Eventart gelten unterschiedliche Anforderungen. In diesem Abschnitt erfahren Sie, worauf Sie jeweils achten müssen.

6.1 Datenschutz Veranstaltung: Geschlossene vs. offene Events

Die größten Unterschiede im Datenschutz zwischen geschlossenen und offenen Events betreffen die Rechtsgrundlage, den Umgang mit Foto- und Videoaufnahmen, die Informationspflicht und die Datenverarbeitung durch Dritte.

Die folgende Tabelle zeigt die wichtigsten Unterschiede im Detail.

6.2 Datenschutz Veranstaltung: Präsenz- vs. virtuelle Events

Welche datenschutzrechtlichen Unterschiede gibt es zwischen Präsenzveranstaltungen und Online-Events? Die folgende Tabelle gibt einen Überblick.

6.3 Datenschutz Veranstaltung: Kostenpflichtige vs. kostenlose Events

Auch zwischen kostenpflichtigen und kostenlosen Veranstaltungen gibt es einige Unterschiede im Datenschutz. Diese finden Sie in der folgenden Tabelle.

6.4 Datenschutz Veranstaltung: Interne vs. externe Events

Veranstalten Sie sowohl interne Veranstaltungen (z. B. für Mitarbeiter:innen) als auch externe Events (z. B. für Kund:innen)? Beachten Sie dabei, dass sich je nach Art der Veranstaltung unterschiedliche Datenschutzanforderungen ergeben. Einen Überblick gibt Ihnen die folgende Tabelle.

7 Datenschutz bei Veranstaltungen (Muster): Vorlagen von AVV bis TOM

7.1 Auftragsverarbeitungsvertrag im Veranstaltungsrecht

7.1.1 Auftragsverarbeitungsvertrag – was ist das?

Sobald ein Unternehmen oder eine Person im Auftrag eines:einer Verantwortlichen personenbezogene Daten verarbeitet, handelt es sich um eine:n Auftragsverarbeiter:in. Während Verantwortliche (z. B. Veranstalter:innen) über Zweck und Mittel der Verarbeitung entscheiden, setzen Auftragsverarbeiter:innen (z. B. externe Dienstleister:innen) diese technisch oder organisatorisch um.

Daher ist ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO (auch: Auftragsverarbeitungsvereinbarung, AV-Vertrag oder AVV) erforderlich. Dieser regelt unter anderem:

• Welche Daten verarbeitet werden
• Wie lange die Speicherung erfolgt
• Welche Sicherheitsmaßnahmen angewendet werden
• Ob und welche Subunternehmen eingesetzt werden dürfen

Kein AVV ist erforderlich, wenn Sie für Ihre Veranstaltung gar keine externen Dienstleister:innen beauftragen oder diese keine personenbezogenen Daten verarbeiten.

Noch unsicher, ob es sich um Auftragsverarbeiter:innen handelt? Hier sind ein paar typische Beispiele aus dem Eventbereich:

Typische Auftragsverarbeiter:innen im Eventbereich

• Eventmanagement-Software, die Anmeldungen verwaltet und E-Mails verschickt
• Event-Agenturen, die die Daten von Teilnehmer:innen erfassen und verarbeiten
• Check-in-Dienstleister:innen, die Zugangskontrollen durchführen und mit Gästelisten arbeiten

Beauftragen Auftragsverarbeiter:innen weitere Unternehmen zur Verarbeitung personenbezogener Daten, gelten diese als Subauftragsverarbeiter:innen. Dies ist nur mit Zustimmung des:der Verantwortlichen erlaubt, und es gelten die gleichen Datenschutzvorgaben wie für die ursprünglichen Auftragsverarbeiter:innen. 

Ein Praxisbeispiel: Eine Event-Agentur verarbeitet Teilnehmer:innendaten und beauftragt ein Personaldienstleistungsunternehmen für den Check-in. Dieses Unternehmen ist in diesem Fall ein:e Subauftragsverarbeiter:in.

7.1.2 Datenschutz bei Veranstaltungen: Muster Auftragsverarbeitungsvertrag und was dieser enthalten sollte

Ein DSGVO-konformes Auftragsverarbeitungsvertrag-Muster finden Sie hier als kostenlosen Download. Damit Sie prüfen können, ob ein AVV alle relevanten Anforderungen erfüllt, sind die wichtigsten Bestandteile hier kompakt zusammengefasst:

7.2 Datenschutzerklärung im Veranstaltungsrecht

7.2.1 Datenschutzerklärung – was ist das?

Eine Datenschutzerklärung informiert Ihre Gäste darüber, welche personenbezogenen Daten Sie im Rahmen des Events erheben, verarbeiten und speichern – und zu welchem Zweck. In Deutschland und Österreich ist sie verpflichtend, sobald personenbezogene Daten verarbeitet werden, z. B. bei der Anmeldung oder Ticketbuchung.

Die Datenschutzerklärung muss für die Teilnehmer:innen leicht zugänglich sein. Dafür bieten sich folgende Möglichkeiten an:

• Auf der Event-Website oder Registrierungsplattform
• In der Anmeldebestätigung oder Einladungs-E-Mail
• Vor Ort über einen QR-Code aufrufbar

7.2.2 Datenschutz bei Veranstaltungen: Muster Datenschutzerklärung und was diese enthalten sollte

Wenn Sie ein Muster für eine Datenschutzerklärung suchen, werden Sie auf der verlinkten Seite fündig. Um die Datenschutzkonformität besser beurteilen zu können, sind hier die wichtigsten Bestandteile zusammengefasst:

• Verantwortliche Stelle: Name und Kontaktdaten des:der Veranstalter:in
• Welche Daten verarbeitet werden: z. B. Name, E-Mail-Adresse, Zahlungsinformationen, Fotos/Videos
• Zweck der Verarbeitung: z. B. Teilnehmer:innenverwaltung, Ticketing, Marketing, Event-Dokumentation
• Rechtsgrundlage: z. B. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertrag (Art. 6 Abs. 1 lit. b DSGVO), berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
• Speicherdauer: Wie lange die Daten aufbewahrt werden
• Rechte der betroffenen Personen: z. B. Auskunft, Berichtigung, Löschung, Widerspruch
• Weitergabe an Dritte: Falls Daten an externe Dienstleister:innen übermittelt werden z. B. für Ticketing oder Marketing
• Hinweis auf Tracking-Technologien: Falls Cookies oder Analyse-Tools verwendet werden

7.3 Einwilligungserklärung für Fotos und Videos im Veranstaltungsrecht

7.3.1 Einwilligungserklärung – was ist das?

Eine Einwilligungserklärung oder Einverständniserklärung für Fotos, Videos oder andere Zwecke ist die freiwillige, informierte und unmissverständliche Zustimmung einer Person zur Verarbeitung ihrer personenbezogenen Daten. Dabei muss es jederzeit möglich sein, dass die Person ihre Zustimmung für die Zukunft widerruft.

Eine Einwilligungserklärung ist rechtlich erforderlich, wenn keine andere Rechtsgrundlage wie z. B. berechtigtes Interesse oder eine vertragliche Regelung greift.

Wie holen Sie die Einwilligung DSGVO-konform am besten ein? Dazu gibt es einige Möglichkeiten:

• Digital bei der Anmeldung (z. B. über ein Online-Formular mit Checkbox)
• Schriftlich vor Ort (z. B. mit einer unterzeichneten Einwilligungserklärung)
• Mündlich mit Aufzeichnung (bei Interviews oder Statements – eine schriftliche Bestätigung ist dennoch stets empfehlenswert)

7.3.2 Datenschutz bei Veranstaltungen: Muster Einwilligungserklärung und was diese enthalten sollte

Wenn Sie für den Datenschutz bei Veranstaltungen Muster suchen, kommt Ihnen die verlinkte Vorlage für die Einverständniserklärung zur Verwendung von Fotos wie gerufen. Welche Punkte eine DSGVO-konforme Einwilligung umfassen sollte, erfahren Sie hier: 

7.4 Technische und organisatorische Maßnahmen (TOM) im Veranstaltungsrecht

7.4.1 Technische und organisatorische Maßnahmen (TOM) – was ist das?

Technische und organisatorische Maßnahmen (TOM) sind Sicherheitsvorkehrungen, die das veranstaltende Unternehmen gemäß der DSGVO zum Schutz personenbezogener Daten bei Events umsetzen muss. Sie dienen dazu, Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen und die Datenschutzanforderungen der DSGVO zu erfüllen. 

TOM umfassen sowohl digitale als auch physische Sicherheitsvorkehrungen. Veranstalter:innen müssen nachweisen können, dass sie geeignete TOM umgesetzt haben, um die Sicherheit personenbezogener Daten zu gewährleisten. Liegt eine Auftragsverarbeitung vor, sollten TOM auch im Auftragsverarbeitungsvertrag (AVV) festgehalten werden.

Beispiele für TOM im Eventbereich

Technische Maßnahmen:

• Verschlüsselte Speicherung von Gästelisten um unbefugten Zugriff zu verhindern
• Passwortschutz und Zugriffsrechte für Event-Software um den Datenzugriff zu beschränken
• Sichere Datenübertragung bei Online-Anmeldungen z. B. durch TLS-Verschlüsselung

Organisatorische Maßnahmen:

• Klare Rollen- und Berechtigungskonzepte: Wer darf auf welche Daten zugreifen?
• Datenschutz-Schulungen für das Event-Team und Dienstleister:innen, die personenbezogene Daten verarbeiten
• Sichere Entsorgung von Papierlisten mit personenbezogenen Daten um unbefugten Zugriff zu verhindern

7.4.2 Datenschutz bei Veranstaltungen: Muster TOM und was dieses enthalten sollte

Technische und organisatorische Maßnahmen (TOM) müssen Sie individuell an die Veranstaltung und die verarbeiteten personenbezogenen Daten anpassen. Nachfolgend finden Sie die wesentlichen Bestandteile eines TOM-Musters für Veranstaltungen.

8 Haftung bei Datenschutzverstößen bei Veranstaltungen

Was passiert, wenn es dennoch zu einem Datenschutzverstoß bei Ihrem Event kommt? Die Datenschutz-Grundverordnung (DSGVO) sieht für Verstöße Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. In der Praxis entscheidet die Datenschutzbehörde je nach Schwere des Verstoßes. Zusätzlich können betroffene Personen Schadensersatz fordern.

Die Haftung richtet sich nach der Rolle in der Datenverarbeitung:

• Veranstalter:innen haften als Verantwortliche, wenn sie gegen DSGVO-Pflichten verstoßen
• Auftragsverarbeiter:innen (z. B. Event-Software-Anbieter) haften, wenn sie gegen den Auftragsverarbeitungsvertrag oder die DSGVO verstoßen
• Event-Agenturen können je nach Vertragsgestaltung entweder als Verantwortliche oder Auftragsverarbeiter:innen gelten

Typische Datenschutzverstöße bei Veranstaltungen

• Fehlende Rechtsgrundlage für die Datenerhebung: Erfassung von Teilnehmer:innendaten ohne gültige Einwilligung oder andere Rechtsgrundlage (z. B. unzulässige Newsletter-Anmeldungen)
• Unsichere Datenverarbeitung: z. B. unverschlüsselte Gästelisten, ungeschützte Online-Registrierungen oder Weitergabe an Unbefugte
• Verstöße bei Foto- und Videoaufnahmen: z. B. keine informierte Einwilligung der abgebildeten Personen oder unzureichende Information über Widerspruchsrechte
• Unzulässige Weitergabe an Dritte: Nutzung von Teilnehmer:innendaten für andere Zwecke ohne Rechtsgrundlage (z. B. Marketing ohne Einwilligung)

9 So wählen Sie eine DSGVO-konforme Eventmarketing-Software aus

9.1 Kriterien für die Auswahl einer DSGVO-konformen Eventmarketing-Software für Datenschutz bei der Veranstaltung

Bei der Entscheidung für ein Eventmarketing-Tool sollte DSGVO-Konformität ein zentrales Kriterium sein. In diesem Abschnitt erfahren Sie, auf welche Punkte Sie dabei achten sollten.

Kriterium 1: Hosting und Datenspeicherung in der EU

Viele Anbieter:innen von Eventmarketing-Software nutzen Dienste aus den USA oder anderen Nicht-EU-Ländern. Falls eine Datenübertragung in Drittstaaten erforderlich ist, muss der:die Anbieter:in Standardvertragsklauseln (SCCs) oder gleichwertige Schutzmaßnahmen gewährleisten.

Sicherer und damit empfehlenswerter ist es jedoch, wenn die Software die Speicherung von Daten ausschließlich auf Servern in Deutschland oder Österreich ermöglicht, da hier die höchsten Datenschutzanforderungen gelten.

Kriterium 2: Einwilligungsmanagement & Opt-in-Verfahren

Event-Teilnehmer:innen müssen der Verarbeitung ihrer Daten freiwillig zustimmen (Opt-in). Ein DSGVO-konformes Tool sollte daher ein Double-Opt-in (z. B. für Newsletter) ermöglichen, Einwilligungen nachweisbar dokumentieren und Opt-out-Möglichkeiten bieten (z. B. Widerrufsoptionen in jeder E-Mail).

Zusätzlich sollte das Tool die Möglichkeit bieten eine klare und transparente Datenschutzerklärung zu hinterlegen, sodass Sie Ihren Informationspflichten gemäß der DSGVO nachkommen können. 

Kriterium 3: Proaktive Bereitschaft einen AVV abzuschließen

Da ein Eventmarketing-Tool personenbezogene Daten im Auftrag der Veranstalter:innen verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Der:Die Anbieter:in muss bereit sein, einen solchen Vertrag auf Anfrage bereitzustellen oder ihn proaktiv abzuschließen.

Kriterium 4: Einfache und fristgerechte Umsetzung von Betroffenenrechten und Datenlöschung

Das Eventmarketing-Tool muss es ermöglichen, Anfragen von Betroffenen einfach und fristgerecht umzusetzen. Schließlich haben Betroffene verschiedene Rechte, die das veranstaltende Unternehmen einhalten muss. Dazu gehören das Auskunftsrecht (Welche Daten werden gespeichert?), das Recht auf Löschung und das Recht auf Datenübertragbarkeit (Daten müssen in einem strukturierten, maschinenlesbaren Format bereitgestellt werden).

Kriterium 5: Datensicherheit und Zugriffskontrollen

Ein Eventmarketing-Tool sollte ausreichende Sicherheitsmaßnahmen bieten. Darunter fallen etwa mehrstufige Zugriffsrechte (z. B. für Admin- und Nutzer:innenkonten), sichere Datenübertragung durch SSL/TLS-Verschlüsselung und Back-up-Mechanismen zur Datensicherung. Eine Multi-Faktor-Authentifizierung für Nutzer:innenkonten erhöht zusätzlich die Sicherheit.

9.2 Datenschutz Veranstaltung: So unterstützt Invitario Event-Manager:innen dabei

Datenschutz bei einer Veranstaltung muss kein komplexes Thema sein – vor allem nicht, wenn Sie die richtigen Werkzeuge zur Hand haben. Bei Invitario sehen wir den verantwortungsbewussten und DSGVO-konformen Umgang mit Daten nicht nur als gesetzliche Pflicht, sondern auch als Grundlage für die vertrauensvolle Zusammenarbeit mit Event-Manager:innen wie Ihnen. Daher unterstützen wir Sie dabei, die Anforderungen der DSGVO einfach, transparent und effizient umzusetzen, sodass Sie sich auf die Gestaltung einzigartiger Event-Erlebnisse konzentrieren können. Die Grundlage dafür bildet ein Auftragsverarbeitungsvertrag (AVV).

Durch die Multi-Faktor-Authentifizierung (MFA) sind Ihre Daten bei Invitario bestmöglich geschützt. Gleichzeitig können Sie eine individuelle Datenschutzerklärung hinterlegen, um Ihren Informationspflichten nachzukommen. Mithilfe der Rollen- und Rechteverwaltung steuern Sie, wer auf welche Daten innerhalb Ihres Invitario-Accounts zugreifen darf. Als alleinige:r Eigentümer:in der Daten in Ihrem Invitario-Account können Sie die Daten Ihrer Teilnehmer:innen jederzeit exportieren, löschen oder anonymisieren.

Mit einem einfachen Opt-in- und Double-Opt-in-Verfahren holen Sie die Einwilligung Ihrer Teilnehmer:innen DSGVO-konform ein. Durch die automatische Dokumentation haben Sie stets den Nachweis dazu.

Wir verarbeiten Daten ausschließlich sicher und end-to-end-verschlüsselt auf ISO 27001-, 27017- und 27018-zertifizierten Servern in Deutschland. Unsere Server-Infrastruktur wird regelmäßig Audits unterzogen um die höchsten Sicherheitsstandards zu gewährleisten.

10 Fazit zum Datenschutz bei einer Veranstaltung

Datenschutz bei Veranstaltungen klingt auf den ersten Blick kompliziert – muss es aber nicht sein. Mit einem klaren Verständnis der DSGVO-Anforderungen und den richtigen Tools haben Sie das Thema schnell im Griff. Dazu finden Sie z. B. diverse Muster für Datenschutz bei Veranstaltungen im verlinkten Abschnitt. 

Als Event-Manager:in sind Sie dafür verantwortlich die Daten Ihrer Teilnehmer:innen rechtskonform zu erheben, zu verarbeiten und zu speichern. Klingt aufwendig? Nicht, wenn Sie von Anfang an die richtigen Prozesse aufsetzen.

Ob es um Einwilligungen, die Verwaltung von Gästelisten oder die Zusammenarbeit mit Dienstleister:innen geht – mit einem DSGVO-konformen Event-Management-Tool wie Invitario sind Sie auf der sicheren Seite und haben den Datenschutz für Ihre Veranstaltung im Griff.

Das Beste daran: Sie können sich voll und ganz auf das konzentrieren, was wirklich zählt – außergewöhnliche Event-Erlebnisse schaffen. Und der Datenschutz? Der läuft dabei ganz einfach im Hintergrund mit.

FAQ

Rechtlicher Hinweis

Dieser Blogpost wurde von Invitario erstellt und von dem Datenschutzexperten und Rechtsanwalt Dr. Rainer Lassl, MA (META legal) geprüft. Bitte beachten Sie, dass dieser Blogpost dennoch nur einen ersten Einblick in den Bereich des Datenschutzrechts gibt und Invitario keine wie auch immer geartete Haftung für die Inhalte übernimmt. Dieser Blogpost ersetzt keine auf Ihr Unternehmen abgestimmte Rechtsberatung. Klären Sie weitergehende Fragen stattdessen mit Rechtsanwält:innen ab.