Veranstaltungsplanung
Teil von Teilnehmerverwaltung Software im Vergleich: Funktionen und Anbieter für Tagungen
Datenpanne in der Teilnehmerverwaltung: Meldepflicht und Bußgelder
Datenschutz bei Datenpannen in der Teilnehmerverwaltung: Meldung binnen 72 Stunden, Benachrichtigung, Datenschutzbeauftragte und Bußgelder.
Das Wichtigste auf einen Blick
- Wird eine Teilnehmerliste offengelegt, ist die Verletzung nach Art. 33 DSGVO zu melden.
- Die Meldung muss innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde eingehen, ein Überschreiten ist nur in begründeten Fällen möglich.
- Teilnehmende werden nur benachrichtigt, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.
- Die oder der Datenschutzbeauftragte ist frühzeitig einzubinden.
- Bußgeldrahmenbis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Was bei Teilnehmerdaten als Datenpanne gilt
Eine Datenpanne liegt vor, wenn Teilnehmerdaten Unbefugten zugänglich werden, etwa durch eine offengelegte Teilnehmerliste. Dann beginnt die Frist für die Meldung nach Art. 33 DSGVO.
Anmeldungen enthalten Name, Firma, Rechnungsanschrift und Zahlungsdaten. Rechnungsdaten bleiben länger gespeichert, weil steuerliche Pflichten vorgehen. Wie die Umsatzsteuer bei Geschäftsveranstaltungen greift, behandelt ein eigener Artikel. Angaben zu Allergien oder Mobilität sind Gesundheitsdaten nach Art. 9 DSGVO, für sie ist eine ausdrückliche Einwilligung der Regelfall. Gelangen solche Angaben an Dritte, fließt das in die Risikobewertung ein.
Verarbeitet ein Dienstleister oder eine Eventplattform die Anmeldungen, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO Pflicht. Der Vertrag sollte regeln, wie der Dienstleister einen Vorfall meldet. Welche Software die Anforderungen erfüllt, klärt der Artikel zur Teilnehmerverwaltung Software und DSGVO.
Meldung innerhalb von 72 Stunden
Die Meldung der Datenpanne muss innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde stattfinden. Ein Überschreiten der Frist ist nur in begründeten Fällen möglich.
Meldungen nach Art. 33 DSGVO umfassen unter anderem die Art der Datenpanne, die Kategorien der betroffenen Daten, die Anzahl der Betroffenen und der Datensätze, eine Einschätzung der Folgen sowie die Maßnahmen zur Ursachenbeseitigung und zur Schadensminimierung. Wer diese Angaben früh sammelt, hält die Frist ein.
- Vorfall festhaltenZeitpunkt, betroffene Datenkategorien und Zahl der Betroffenen.
- Datenschutzbeauftragte informieren und das Risiko für die Teilnehmenden bewerten.
- Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden absenden.
- Teilnehmende benachrichtigen, wenn ein hohes Risiko besteht.
- Ursache beseitigen und die getroffenen Maßnahmen dokumentieren.
Die Verantwortung für den Ablauf gehört in die Planung der Veranstaltung. Wie sich Zuständigkeiten und Fristen festlegen lassen, zeigt die Checkliste für die Veranstaltungsplanung.
Wann Teilnehmende zu benachrichtigen sind
Eine Meldung an die Aufsichtsbehörde hat immer zu erfolgen, es sei denn, dass die Datenpanne voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Eine Benachrichtigung der betroffenen Person muss dagegen nur dann erfolgen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.
| Lage | Meldung an die Behörde | Benachrichtigung der Teilnehmenden |
|---|---|---|
| Voraussichtlich kein Risiko | nicht nötig | nicht nötig |
| Risiko | ja, binnen 72 Stunden | nicht nötig |
| Hohes Risiko | ja, binnen 72 Stunden | ja |
| Hohes Risiko, Zugang praktisch ausgeschlossen, etwa durch Verschlüsselung | ja | entfällt |
| Hohes Risiko durch wirksame Maßnahmen beseitigt | ja | entfällt |
Die beiden letzten Zeilen gelten, wenn geeignete technische und organisatorische Maßnahmen den Unbefugten den Zugang praktisch nicht ermöglichen oder wirksame Maßnahmen zur Schadensbegrenzung das hohe Risiko eliminiert haben. Bei den meisten Vorfällen lässt sich ein Risiko nicht ausschließen, deshalb wird die Meldung die Regel sein.
Datenschutzbeauftragte bei einem Vorfall
Die oder der Datenschutzbeauftragte überwacht die Einhaltung nach Art. 39 DSGVO und berät zu Formular und Löschkonzept. Bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wirkt die Person mit. Nach einem Vorfall bewertet sie das Risiko mit und begleitet die Meldung.
Nach § 38 BDSG benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Veranstalter und Agenturen prüfen deshalb, ob sie unter diese Schwelle fallen.
Beauftragen Sie Dienstleister mit der Anmeldung, gehört die Meldekette in den Vertrag. Worauf bei Referenzen und Verträgen zu achten ist, beschreibt die Checkliste zum Prüfen von Veranstaltungsdienstleistern.
Bußgeldrahmen bei Verstößen
Bußgelder richten sich nach Art. 83 DSGVO. Bei Verstößen gegen die Meldepflicht reicht der Rahmen bis 10 Millionen Euro oder 2 Prozent des Umsatzes, bei unzulässiger Verarbeitung bis 20 Millionen Euro oder 4 Prozent.
Das Bayerische Landesamt für Datenschutzaufsicht nennt für die Meldepflicht einen möglichen Bußgeldrahmen von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des Umsatzes. Die Pflichten, an denen Bußgelder anknüpfen, stehen im Überblick darunter.
DSGVO-Bußgeldrahmen
- 20 Mio. EuroHöchststrafe bei unzulässiger Verarbeitung
- 4 %des weltweiten Jahresumsatzes
- 10 Mio. Eurobei Verstößen gegen Informationspflichten
- 2 %des weltweiten Jahresumsatzes
Daneben gilt das Bundesdatenschutzgesetz mit Bußgeldtatbeständen nach § 43 BDSG. Die Aufsichtsbehörde bemisst die Höhe im Einzelfall. Wer den Vorfall früh meldet und die Maßnahmen dokumentiert, steht besser da als ein Veranstalter, der zu spät reagiert. Wie sich die Anmeldung technisch absichern lässt, behandelt der Artikel zu Anmeldung und Check-in bei Tagungen.
Häufige Fragen
Wie schnell muss eine Datenpanne gemeldet werden?
Innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde. Ein Überschreiten der Frist ist nur in begründeten Fällen möglich.
Müssen alle Teilnehmenden informiert werden?
Nur bei einem hohen Risiko für ihre Rechte und Freiheiten. Wirksame Verschlüsselung oder Maßnahmen zur Schadensbegrenzung können die Benachrichtigung entbehrlich machen.
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Nach Art. 35 DSGVO bei voraussichtlich hohem Risiko, etwa bei umfangreichem Tracking oder Gesundheitsdaten. Prüfen Sie die Muss-Liste der Aufsichtsbehörden.
Wie hoch sind die Bußgelder konkret?
Bis 10 Millionen Euro oder 2 Prozent und bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Die Aufsichtsbehörde bemisst im Einzelfall.
