Eine Eventanmeldung ist aus Datenschutzsicht kein Nebenschauplatz. Wer ein Formular ins Netz stellt und Namen, Adressen und manchmal Angaben zu Ernährung oder Barrierefreiheit einsammelt, verarbeitet personenbezogene Daten — mit allen Pflichten, die daraus folgen. Dieser Beitrag ordnet die wichtigsten Punkte, ohne juristisch zu beraten.
Wichtiger Hinweis: Dieser Text ist eine Orientierungshilfe, keine Rechtsberatung. Bei konkreten Fragen zur Umsetzung in Ihrer Organisation hilft nur eine Datenschutzbeauftragte oder ein Fachanwalt.
Jede Verarbeitung braucht eine Rechtsgrundlage. Bei Eventanmeldungen sind zwei relevant und sie werden oft verwechselt.
Die Daten, die Sie zur Durchführung des Events brauchen — Name, E-Mail-Adresse, gebuchtes Ticket — verarbeiten Sie in der Regel zur Erfüllung des Teilnahmeverhältnisses. Dafür braucht es keine gesonderte Einwilligung, denn ohne diese Angaben können Sie die Anmeldung nicht bearbeiten.
Alles, was darüber hinausgeht, ist etwas anderes. Der Newsletter nach der Veranstaltung, Fotoaufnahmen, die Weitergabe an Sponsoren, die Teilnehmerliste, die im Tagungsraum aushängt — dafür brauchen Sie eine separate, freiwillige Einwilligung. Freiwillig heißt: Die Anmeldung darf nicht daran scheitern, dass jemand den Haken nicht setzt.
Der Grundsatz der Datenminimierung ist der praktischste Hebel überhaupt — und der am häufigsten ignorierte. Bei jedem Formularfeld lohnt die Frage: Was passiert konkret, wenn dieses Feld leer bleibt?
Hier gibt es ein häufiges Missverständnis. Das Double-Opt-In-Verfahren, bei dem eine Bestätigungsmail mit Aktivierungslink verschickt wird, ist für die reine Eventanmeldung nicht zwingend vorgeschrieben. Es ist Standard für Newsletter-Anmeldungen, weil dort nachgewiesen werden muss, dass die Adresse dem Anmeldenden gehört.
Trotzdem ist es auch bei Events sinnvoll: Es verhindert Anmeldungen mit fremden oder vertippten Adressen, und es liefert Ihnen einen sauberen Nachweis. Sobald Sie im selben Formular eine Newsletter-Einwilligung einholen, führt am Double-Opt-In ohnehin kein Weg vorbei.
Sobald Sie ein externes Werkzeug einsetzen — Anmeldesoftware, Mailversand, Umfragetool — verarbeitet ein Dienstleister die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag, kurz AVV. Der gehört vor die erste Anmeldung, nicht nach der ersten Nachfrage.
Prüfen Sie in dem Zug auch, wo die Daten liegen. Server innerhalb der EU ersparen Ihnen die gesamte Diskussion um Drittlandtransfers. Bei Anbietern außerhalb des EWR wird es aufwendig — und für öffentliche Einrichtungen und Verbände oft zum Ausschlusskriterium.
Die Informationspflicht wird erfüllt, bevor die Daten erhoben werden — also im Formular selbst, nicht erst in der Bestätigungsmail. Ein Link zur Datenschutzerklärung direkt über dem Absenden-Button reicht in den meisten Fällen. Teilnehmer sollten dort finden:
Der am häufigsten übersehene Punkt. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck erforderlich sind. Nach dem Event ist der Zweck in der Regel erfüllt — mit Ausnahme dessen, was steuerlich oder handelsrechtlich aufbewahrt werden muss, etwa Rechnungen.
Praktisch heißt das: Legt eine Frist fest, haltet sie schriftlich fest und sorgt dafür, dass sie auch eingehalten wird. Genau hier rächen sich verstreute Excel-Dateien — niemand weiß, auf wie vielen Laufwerken und in wie vielen Postfächern die Liste noch liegt.
Wie sich das technisch abbilden lässt — Formularfelder, Zugriffsrechte, Hosting in Deutschland — steht in der Übersicht zur Teilnehmerverwaltung. Für Verbände und Kammern mit besonders hohen Anforderungen gibt es eine eigene Seite.
