Datenschutz bei Veranstaltungen: Ist Ihr Event DSGVO-konform?

Die Datenschutz-Grundverordnung (DSGVO) ist längst Alltag in der Veranstaltungsbranche – und doch gibt es nach wie vor Unsicherheiten rund um das Thema. Gerade bei der Auswahl einer Event-Management-Software stellen sich Veranstalter*innen viele Fragen: Sind nur Anbieter mit Servern in Deutschland datenschutzkonform? Wie lange dürfen Teilnehmerdaten gespeichert werden? Und welche Pflichten habe ich als Veranstalter*in eigentlich selbst?

In diesem Beitrag räumen wir mit Mythen auf und zeigen Ihnen präzise, worauf es bei der sicheren Datenverarbeitung bei Events wirklich ankommt.

DSGVO kompakt: Was bedeutet sie für Veranstaltungen?

Die Datenschutz-Grundverordnung (DSGVO) regelt seit Mai 2018 den Schutz personenbezogener Daten in der EU. Für Veranstalter*innen bedeutet das: Wann immer Sie Daten von Teilnehmer*innen, Referent*innen oder Partner*innen erheben – seien es Namen, E-Mail-Adressen, Ernährungspräferenzen oder Kontaktinformationen – unterliegen diese dem Schutz der DSGVO.

Wichtig zu wissen: Die DSGVO gilt nicht nur für Veranstaltungen, die in der EU stattfinden. Sie greift auch dann, wenn Sie Daten von Personen verarbeiten, die sich in der EU aufhalten oder in der EU leben – unabhängig davon, wo Ihre Organisation ansässig ist oder wo die Veranstaltung stattfindet. Das macht das Thema Datenschutz besonders relevant für internationale Events.

Die beiden zentralen Rollen

Die DSGVO unterscheidet zwischen zwei Akteuren:

• Verantwortliche*r (Controller): Das sind Sie als Veranstalter*in. Sie bestimmen, warum und wie personenbezogene Daten erhoben werden, und tragen die Hauptverantwortung für deren rechtmäßige Verarbeitung.
• Auftragsverarbeiter*in (Processor): Das ist Ihr Event-Tech-Anbieter – wie EventMobi. Wir verarbeiten die Daten in Ihrem Auftrag und nach Ihren Vorgaben.

Diese Unterscheidung ist wichtig, denn sie definiert die jeweiligen Pflichten und Verantwortlichkeiten.

Die wichtigsten DSGVO-Kriterien für Event-Software

Wenn Sie sich für einen Event-Tech-Anbieter entscheiden, muss DSGVO-Konformität einer der Faktoren sein – und hier spielen mehrere Kriterien eine Rolle.

Seit dem Bekanntwerden des Inkrafttretens der DSGVO hat sich EventMobi intensiv mit den Anforderungen auseinandergesetzt und konsequent darauf hingearbeitet, dass die eigene Event-Management-Software alle Kriterien vollständig und zuverlässig erfüllt und dass eine sichere Datenverarbeitung stets gegeben ist.

Vertrag zur Auftragsverarbeitung (AVV)

Ein Auftragsverarbeitungsvertrag (AVV, englisch: Data Processing Agreement/DPA) ist nach Art. 28 DSGVO verpflichtend, wenn Sie einen externen Dienstleister (wie etwa einen Software-Anbieter) mit der Verarbeitung personenbezogener Daten beauftragen.

Was im AVV geregelt sein muss:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs)

EventMobi stellt allen Kund*innen einen umfassenden Auftragsverarbeitungsvertrag zur Verfügung, der alle gesetzlichen Anforderungen erfüllt. Die aktuelle Version ist hier jederzeit abrufbar. Dieser AVV dokumentiert präzise, wie und zu welchem Zweck Daten verarbeitet werden, und verpflichtet EventMobi zu höchsten Sicherheitsstandards.

Serverstandort und Drittlandübermittlung

Häufig wird angenommen, dass Daten ausschließlich auf EU-Servern gespeichert werden dürfen, um echte DSGVO-Konformität zu gewährleisten. Das ist ein Mythos.

Die Wahrheit: Der Serverstandort allein ist nicht entscheidend. Wichtiger ist, ob und wie ein Datentransfer in sogenannte Drittländer (Länder außerhalb der EU/EWR) stattfindet und wer Zugriff auf die Daten hat.

Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Drittländer unter bestimmten Voraussetzungen:

• Angemessenheitsbeschluss: Die EU-Kommission hat dem Drittland ein angemessenes Datenschutzniveau bestätigt. Solche Angemessenheitsbeschlüsse bestehen bereits für eine Reihe von Staaten, darunter Kanada, Großbritannien und die Schweiz.
• Geeignete Garantien: Durch Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder andere genehmigte Mechanismen wird ein angemessener Schutz sichergestellt.

Wenn diese Voraussetzungen erfüllt sind, können Sie Ihre Daten also auch auf Servern außerhalb der EU speichern – für die DSGVO ist das kein Problem.

EventMobi nutzt Amazon Web Services (AWS) als Hosting-Partner und speichert Daten in hochsicheren Rechenzentren in den USA. Das geschieht zu 100 % datenschutzkonform – durch den Abschluss von Standardvertragsklauseln und die Teilnahme am EU-US Data Privacy Framework, die angemessene Garantien für den Datenschutz schaffen.

Zusätzlich unterliegt EventMobi einer jährlichen unabhängigen Datenschutzprüfung durch einen in Deutschland ansässigen externen Datenschutzbeauftragten sowie einer SOC2-Zertifizierung, die international anerkannte Standards für Datensicherheit bestätigt.

Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verpflichtet zu angemessenen technischen und organisatorischen Maßnahmen, um die Sicherheit personenbezogener Daten zu gewährleisten.

Was dazu gehört:

• Verschlüsselung bei Übertragung und Speicherung
• Zugriffskontrolle und Authentifizierung
• Regelmäßige Sicherheitsüberprüfungen
• Backup- und Wiederherstellungsverfahren
• Schulung der Mitarbeiter*innen

Datenspeicherung und Löschpflichten

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Danach müssen sie gelöscht werden.

Was das für Veranstalter*innen bedeutet:

• Definieren Sie bereits bei der Erhebung, wie lange Sie die Daten benötigen
• Berücksichtigen Sie gesetzliche Aufbewahrungsfristen (z. B. für Rechnungsdaten)
• Löschen Sie Daten aktiv, wenn der Zweck erfüllt ist
• Dokumentieren Sie Ihre Löschkonzepte

EventMobi verarbeitet personenbezogene Daten nur im erforderlichen Umfang und löscht diese gemäß den im AVV festgelegten Standards, sobald der Verarbeitungszweck erreicht ist. Als Veranstalter*in können Sie jederzeit die Löschung von Teilnehmerdaten veranlassen. EventMobi reagiert schnell und effektiv auf entsprechende Anfragen zur Löschung oder Berichtigung von Daten.

Informationspflichten und Datenschutzerklärung

Nach Art. 13 und 14 DSGVO müssen Sie die betroffenen Personen transparent darüber informieren, welche Daten Sie erheben und wie Sie diese verwenden.

Was in der Datenschutzerklärung stehen muss:

• Name und Kontaktdaten des Verantwortlichen
• Zwecke und Rechtsgrundlage der Verarbeitung
• Empfänger oder Kategorien von Empfängern der Daten
• Informationen über Drittlandübermittlungen
• Speicherdauer
• Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, etc.)
• Beschwerderecht bei einer Aufsichtsbehörde
• Ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist

EventMobi ermöglicht es Ihnen, Ihre eigene Datenschutzerklärung unkompliziert in die Event-Plattform zu integrieren – sei es bei der Registrierung, in der Event-App oder auf der Event-Website. So stellen Sie sicher, dass Ihre Teilnehmer*innen bereits bei der ersten Datenerhebung vollständig informiert werden. Zusätzlich stellt EventMobi transparente Informationen über die eigenen Datenverarbeitungsprozesse zur Verfügung.

Einwilligung und Opt-in-Mechanismen

Für viele Verarbeitungszwecke – insbesondere für Marketing-Kommunikation wie z. B. Newsletter – benötigen Sie eine ausdrückliche Einwilligung der betroffenen Personen (Art. 6 Abs. 1 lit. a DSGVO).

Was bei der Einwilligung zu beachten ist:

• Sie muss freiwillig sein (keine Kopplung an andere Leistungen)
• Sie muss informiert erfolgen (klare Information über den Zweck)
• Sie muss eindeutig sein (aktive Handlung erforderlich, keine vorausgewählten Checkboxen)
• Sie muss dokumentiert werden (Nachweis, wann und wofür eingewilligt wurde)
• Sie muss widerrufbar sein (einfacher Widerruf jederzeit möglich)

Cookies und Tracking-Technologien

Cookies und ähnliche Technologien fallen unter die DSGVO und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Grundsätzlich ist für die meisten Cookies eine Einwilligung erforderlich.

Was zu beachten ist:

• Technisch notwendige Cookies (z. B. für Log-in-Funktionen) benötigen keine Einwilligung
• Analyse- und Marketing-Cookies erfordern eine aktive Einwilligung
• Ein Cookie-Banner muss alle verwendeten Cookies transparent auflisten
• Nutzer*innen müssen Cookies ablehnen können, ohne Nachteile zu erleiden

Betroffenenrechte: Auskunft, Berichtigung, Löschung

Die DSGVO räumt betroffenen Personen umfassende Rechte ein:

• Auskunftsrecht (Art. 15): Welche Daten werden über mich verarbeitet?
• Recht auf Berichtigung (Art. 16): Falsche Daten müssen korrigiert werden
• Recht auf Löschung (Art. 17): „Recht auf Vergessenwerden“
• Recht auf Einschränkung (Art. 18): Verarbeitung pausieren
• Recht auf Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format erhalten
• Widerspruchsrecht (Art. 21): Gegen bestimmte Verarbeitungen Widerspruch einlegen

Was das für Sie als Veranstalter*in bedeutet:

Sie müssen in der Lage sein, diese Rechte innerhalb der gesetzlichen Fristen (in der Regel einen Monat) zu erfüllen. Das erfordert klare Prozesse und technische Möglichkeiten.

Datenschutz-Folgenabschätzung (DSFA)

Bei besonders risikoreichen Datenverarbeitungen verlangt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung. Das bedeutet, dass mögliche Folgen der Datenverarbeitung für die Rechte und Freiheiten natürlicher Personen bewertet und Maßnahmen zur Risikominimierung gefunden werden. 

Wann ist eine DSFA erforderlich?

• Bei umfangreicher Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten)
• Bei systematischem und umfassendem Profiling
• Bei Verarbeitung in großem Umfang von öffentlich zugänglichen Bereichen

Für die meisten klassischen Veranstaltungen ist eine DSFA nicht zwingend erforderlich. Wenn Sie jedoch besondere Kategorien personenbezogener Daten erheben (z. B. ausführliche Gesundheitsinformationen für Barrierefreiheit oder Ernährungsbedürfnisse) oder umfangreiches Tracking betreiben, sollten Sie prüfen, ob eine DSFA notwendig ist.

EventMobi dokumentiert transparent alle Verarbeitungsprozesse und stellt Informationen zur Verfügung, die Sie für eine eventuelle DSFA benötigen. Die umfassende Dokumentation der technischen und organisatorischen Maßnahmen erleichtert Ihnen die Risikobeurteilung.

Meldepflicht bei Datenpannen

Wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt (z. B. durch einen Hackerangriff oder versehentliche Offenlegung), müssen Sie dies nach Art. 33 DSGVO innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Bei hohem Risiko für die Betroffenen müssen auch diese informiert werden (Art. 34 DSGVO).

EventMobi hat etablierte Incident-Response-Prozesse und informiert seine Kund*innen unverzüglich bei sicherheitsrelevanten Vorfällen, damit Sie Ihrer Meldepflicht nachkommen können. Die umfassenden Sicherheitsmaßnahmen minimieren zudem das Risiko von Datenpannen von vornherein.

Ihre Pflichten als Veranstalter*in

Die Auswahl einer DSGVO-konformen Event-Software ist ein wichtiger Schritt – aber sie nimmt Ihnen nicht alle Pflichten ab. Als Verantwortliche*r haben Sie eigenständige Aufgaben, um eine sichere Datenverarbeitung bei Ihren Veranstaltungen sicherzustellen:

Führen Sie einen Daten-Audit durch (Bestandsaufnahme)

Bevor Sie Prozesse „hübsch dokumentieren“, brauchen Sie Klarheit darüber, welche Daten überhaupt im Umlauf sind:

• Welche Daten erfassen Sie (z. B. Registrierung, Check-in, App-Profil, Networking, Lead-Capture, Allergien/Essenswünsche)?
• Woher kommen sie (Website-Formular, Gästelisten, Visitenkarten, frühere Events, Importlisten)?
• Wer bekommt sie (intern, Dienstleister, Sponsorinnen/Ausstellerinnen)?
• Wo werden sie gespeichert und wie lange?
  Gerade alte Listen und „historisch gewachsene“ Datenbanken sind ein typischer Risikofaktor – und gleichzeitig eine Chance, konsequent auszumisten

Definieren Sie Ihre Zwecke und Rechtsgrundlagen

Bevor Sie Daten erheben, müssen Sie festlegen:

• Welche Daten benötigen Sie wirklich (Datenminimierung/Datensparsamkeit)?
• Warum erheben Sie diese Daten? (Registrierung, Kontakt, Marketing, etc.)
• Auf welcher Rechtsgrundlage erfolgt die Verarbeitung? (Vertrag, berechtigtes Interesse, Einwilligung)
• Wie lange benötigen Sie die Daten (konkrete Löschfristen statt „bis auf Weiteres“)?

Praxis-Tipp: Sensible Angaben wie Allergien oder Barrierefreiheitsbedarfe nur abfragen, wenn Sie sie wirklich – und dann besonders restriktiv für Ihr Team – zugänglich machen.

Erstellen Sie Ihre Datenschutzdokumente

Sie benötigen:

• Datenschutzerklärung für Ihre Teilnehmer*innen, Referent*innen und andere Betroffene (Informationspflichten nach Art. 13/14 DSGVO) – EventMobi bietet hierfür Vorlagen.
• Ggf. separate Einwilligungserklärungen für Marketing oder Datenweitergabe (z. B. Newsletter, Weitergabe an Sponsor*innen/Aussteller*innen, Foto-/Video-Veröffentlichung)
• Interne Datenschutzrichtlinien für Ihr Team (wer darf was, wie werden Exporte gehandhabt, wo dürfen Listen liegen?)
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Regeln Sie die Zusammenarbeit mit Dienstleister*innen (Auftragsverarbeitung)

Event-Tech-Anbieter sind in der Regel Auftragsverarbeiter. Das bedeutet für Sie:

• Schließen Sie einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO ab. 
• Prüfen Sie Unterauftragsverarbeiter (Subprozessoren) und die Transparenz dazu. 
• Klären Sie, wie der Anbieter Sie bei Betroffenenrechten unterstützt (Auskunft, Löschung, Berichtigung). 

Genau hier setzt die sinnvolle Provider-Frage aus dem EventMobi-Beitrag an: nicht nur „Sind Sie DSGVO-konform?“, sondern „Wie unterstützen Sie mich konkret dabei?“ – z. B. Datenschutz-Hinweis veröffentlichen, Einwilligung einholen und nachweisen, schnelle Reaktion auf Auskunft/Löschung, sichere Verarbeitung. 

Organisieren Sie Betroffenenrechte als festen Prozess

Sie brauchen einen klaren Ablauf (inkl. Verantwortlichkeiten), um Anfragen zuverlässig zu bearbeiten:

• Auskunft (inkl. Datenkopie), Berichtigung, Löschung, Einschränkung, Widerspruch etc.
• Fristen im Blick: Auskünfte sind grundsätzlich binnen eines Monats zu erfüllen (mit eng begrenzter Verlängerungsmöglichkeit). 

Praxis-Tipp: Legen Sie vorab fest, wo die Daten liegen (Registrierungstool, App, Check-in, Umfragetool, Exporte), damit Auskunft/Löschung nicht zur Schnitzeljagd wird – das spart im Ernstfall enorm Zeit.

Schulen Sie Ihr Team

Stellen Sie sicher, dass alle Teammitglieder, die mit personenbezogenen Daten arbeiten:

• Die Grundprinzipien der DSGVO kennen
• Wissen, wie sie mit Betroffenenanfragen umgehen (inkl. interner Eskalation)
• Sensibilisiert sind für Datensicherheit (sichere Passwörter, kein unverschlüsselter E-Mail-Versand sensibler Daten, etc.)
• Wissen, was im Falle einer Datenpanne zu tun ist

Planen Sie Datensicherheit und Zugriffsrechte („TOMs“)

Die DSGVO verlangt ein angemessenes Sicherheitsniveau – orientiert am Risiko und am „Stand der Technik“.
Prüfen und dokumentieren Sie u. a.:

• Rollen- und Rechtekonzepte (wer darf exportieren, wer sieht Sonderangaben?)
• Sichere Geräte/Accounts
• Saubere Prozesse für Datenexporte und -weitergaben

Dokumentieren Sie Ihre Prozesse

Die DSGVO verlangt Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Dokumentieren Sie:

• Ihre Rechtsgrundlagen für die Verarbeitung
• Erteilte Einwilligungen (inkl. Zeitpunkt/Version/Zweck)
• Ihre Löschfristen und -vorgänge
• Ihre TOMs (inkl. Rollen/Zugriffslogik)
• Ihren AVV mit Ihrem Softwareanbieter

Bereiten Sie den Umgang mit Datenpannen vor

Eine Datenpanne ist kein theoretisches Risiko (z. B. falsch versendete Teilnehmerliste, offener Download-Link). Sie brauchen einen Incident-Plan:

• Interne Meldeschiene und schnelle Risikoabwägung
• Ggf. Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO)
• Ggf. Benachrichtigung betroffener Personen, wenn ein hohes Risiko besteht (Art. 34 DSGVO) 

Prüfen Sie regelmäßig

Datenschutz ist kein einmaliges Projekt. Überprüfen Sie regelmäßig:

• Sind Ihre Datenschutzdokumente noch aktuell?
• Entsprechen Ihre Prozesse noch den aktuellen Anforderungen?
• Verarbeiten Sie nur noch relevante Daten?
• Sind Ihre TOMs noch angemessen?

Sicher beim Datenschutz mit EventMobi

EventMobi nimmt die Rolle des Auftragsverarbeiters ernst und unterstützt Sie umfassend bei der DSGVO-konformen Durchführung Ihrer Events. 

Vollständige Sicherheit Ihrer Teilnehmerdaten. Volle Kontrolle für Sie.

✓ Rechtssichere Verträge: umfassender Auftragsverarbeitungsvertrag mit allen erforderlichen Regelungen

✓ Höchste Sicherheitsstandards: Verschlüsselung, Zugriffskontrollen, jährliche unabhängige Prüfungen und SOC2-Zertifizierung

✓ Transparenz: Klare Dokumentation aller Verarbeitungsprozesse und Sicherheitsmaßnahmen

✓ Hosting-Partner: Amazon Web Services mit Standardvertragsklauseln und angemessenen Garantien

✓ Datenschutzbeauftragter: Unabhängiger, in Deutschland ansässiger externer Datenschutzbeauftragter

✓ Betroffenenrechte: Schnelle und effektive Bearbeitung von Auskunfts-, Berichtigungs- und Löschanfragen

✓ Funktionale Unterstützung:

• Einfache Integration Ihrer Datenschutzerklärung
• Flexible Opt-in-Mechanismen und Dokumentation von Einwilligungen
• Cookie-Banner mit granularen Einstellungen
• Export- und Löschfunktionen für Teilnehmerdaten

✓ Incident Management: Etablierte Prozesse für den Fall von Sicherheitsvorfällen

Alle Details zu den Sicherheitsmaßnahmen und Zertifizierungen finden Sie unter „Sicherheit“ und im Trust Center.

Fazit: DSGVO-Konformität für volles Vertrauen in Ihre Veranstaltung

Die DSGVO mag auf den ersten Blick komplex erscheinen – aber mit dem richtigen Wissen und einem verlässlichen Partner an Ihrer Seite ist die datenschutzkonforme Durchführung von Veranstaltungen gut umsetzbar.

Die wichtigsten Erkenntnisse:

1. Verantwortung teilen: Als Veranstalter*in bleiben Sie verantwortlich, aber ein guter Auftragsverarbeiter unterstützt Sie aktiv.
2. Dokumentation ist entscheidend: Von Einwilligungen über Löschkonzepte bis zu AVVs – halten Sie alles schriftlich fest.
3. Server-Standort ist nicht alles: Entscheidend ist das Gesamtpaket aus vertraglichen Garantien, Sicherheitsmaßnahmen und transparenten Prozessen.
4. Transparenz schafft Vertrauen: Informieren Sie Ihre Teilnehmer*innen offen darüber, wie Sie mit ihren Daten umgehen.
5. Datenschutz ist fortlaufend: Regelmäßige Überprüfung und Anpassung Ihrer Prozesse sind unerlässlich.

Bei EventMobi verstehen wir die Herausforderungen, vor denen Veranstalter*innen stehen. Deshalb haben wir unsere Plattform von Grund auf mit Datenschutz im Kern entwickelt – Privacy by Design und Privacy by Default sind bei uns keine leeren Versprechen, sondern gelebte Praxis.

Mit über 10.000 Veranstalter*innen weltweit, die uns vertrauen, jährlichen unabhängigen Datenschutzprüfungen und SOC2-Zertifizierung bieten wir Ihnen die Sicherheit, die Sie für Ihre Events benötigen.

Sie möchten mehr erfahren?

Buchen Sie eine Demo und lassen Sie sich von unserem Team zeigen, wie EventMobi Sie bei Ihrer DSGVO-Konformität unterstützt

Datenschutz muss kein Hindernis sein – im Gegenteil: Er ist eine Chance, das Vertrauen Ihrer Teilnehmer*innen zu stärken und professionelle, sichere Events durchzuführen. Wir stehen Ihnen dabei als verlässlicher Partner zur Seite.

---

Wichtiger Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Bei spezifischen Fragen zu Ihrer DSGVO-Compliance empfehlen wir die Konsultation eines Datenschutzbeauftragten oder Rechtsanwalts mit Schwerpunkt Datenschutzrecht.