Datenschutz bei der Teilnehmerverwaltung erfordert DSGVO konforme Formulare

Das Wichtigste auf einen Blick

• Rechtsgrundlage für Anmeldedaten ist meist die Vertragserfüllung nach Art. 6 DSGVO.
• Das Formular muss Zweck, Empfänger, Speicherdauer und Betroffenenrechte benennen.
• Löschfristen gehören ins Verzeichnis der Verarbeitungstätigkeiten.
• Die oder der Datenschutzbeauftragte ist frühzeitig einzubinden.
• Bußgeldrahmen: bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Rechtsgrundlage und Zweckbindung

Jede Angabe im Anmeldeformular braucht einen Grund. Name, Firma, Rechnungsanschrift und Zahlungsdaten stützen sich meist auf Art. 6 Abs. 1 lit. b DSGVO. Für Sitzplatzreservierung oder Sicherheitslisten kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht. Eine Abfrage ohne Zweck ist unzulässig: Wer das Geburtsdatum erhebt, muss den Bedarf begründen.

Besondere Kategorien nach Art. 9 DSGVO verlangen mehr. Angaben zu Allergien oder Mobilität sind Gesundheitsdaten. Hier ist eine ausdrückliche Einwilligung der Regelfall, gestützt auf Art. 9 Abs. 2 lit. a DSGVO. Für Fotoaufnahmen gilt zusätzlich das Recht am eigenen Bild nach § 22 KunstUrhG.

Verarbeitet ein Dienstleister die Anmeldungen, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO Pflicht. Jede Verarbeitung gehört in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, samt Löschfristen. Die Einzelheiten regelt die Verordnung (EU) 2016/679.

Pflichtangaben im Anmeldeformular

Art. 13 DSGVO verlangt die Information spätestens bei der Erhebung. Pflicht sind:

• Name und Kontaktdaten des Verantwortlichen und der Datenschutzbeauftragten
• Zwecke und Rechtsgrundlagen der einzelnen Verarbeitungen
• Empfänger, etwa Hotel, Catering, Zahlungsdienstleister oder Eventplattform
• Speicherdauer oder die Kriterien ihrer Festlegung
• Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch

Bei Einwilligungen ist der jederzeitige Widerruf zu benennen. Bei einer Übermittlung in Drittländer sind Garantien wie Standardvertragsklauseln anzugeben. Pflichtfelder sind auf das notwendige Maß zu begrenzen. Checkboxen für Fotonutzung, Newsletter und Sponsorenweitergabe müssen getrennt, freiwillig und vorab unangekreuzt sein. Formularanforderungen und Informationspflichten erläutert auch das Bayerische Landesamt für Datenschutzaufsicht.

Löschfristen je Datenkategorie

Eine gesetzliche Pauschalfrist für Teilnehmerlisten gibt es nicht. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung, die Fristen legt der Veranstalter selbst fest. Übliche Praxis:

Datenkategorie	Frist	Grund
Anmeldung und Teilnehmerliste	sechs Monate nach dem Termin	Nachweis und Auswertung
Rechnungs- und Zahlungsdaten	Aufbewahrungspflichten nach § 147 AO	Steuerrecht
Foto- und Videoaufnahmen	bis zum Widerruf	Einwilligung
Allergien und Mobilität	bis zum Veranstaltungstag	Erforderlichkeit

Nach Fristablauf ist zu löschen, nicht zu archivieren. Rechnungsdaten bleiben länger, weil steuerliche Pflichten vorgehen. Solche Ausnahmen sind im Verzeichnis zu vermerken. Zugriff erhält nur, wer ihn benötigt.

Datenschutzbeauftragte und Bußgelder

Die oder der Datenschutzbeauftragte überwacht die Einhaltung nach Art. 39 DSGVO und berät zu Formular und Löschkonzept. Die Benennung ist der Aufsichtsbehörde binnen eines Monats zu melden. Bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wirkt die Person mit. Wird eine Teilnehmerliste offengelegt, ist die Verletzung nach Art. 33 DSGVO binnen 72 Stunden zu melden.

Bußgelder richten sich nach Art. 83 DSGVO. Bei Verstößen gegen Informationspflichten reicht der Rahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Bei unzulässiger Verarbeitung steigt er auf 20 Millionen Euro oder 4 Prozent. Umsatzsteuer fällt auf Bußgelder nicht an, da ihnen keine Leistung zugrunde liegt. Daneben gilt das Bundesdatenschutzgesetz mit Bußgeldtatbeständen nach § 43 BDSG.

Häufige Fragen

Dürfen Teilnehmerlisten an Sponsoren weitergegeben werden?

Nur mit freiwilliger, getrennter Einwilligung nach Art. 6 DSGVO. Die Werbeweitergabe ist für die Durchführung nicht erforderlich.

Wie lange darf eine Teilnehmerliste gespeichert werden?

Es gibt keine feste Frist. Legen Sie eine Frist je Zweck fest, oft sechs Monate nach dem Termin, und löschen Sie automatisiert. Steuerrelevante Belege bleiben länger.

Wann ist eine Datenschutz-Folgenabschätzung nötig?

Nach Art. 35 DSGVO bei voraussichtlich hohem Risiko, etwa bei umfangreichem Tracking oder Gesundheitsdaten. Prüfen Sie die Muss-Liste der Aufsichtsbehörden.

Wie hoch sind die Bußgelder konkret?

Bis 10 Millionen Euro oder 2 Prozent und bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Die Aufsichtsbehörde bemisst im Einzelfall.