Welche Software zur Teilnehmerverwaltung erfüllt die DSGVO in Deutschland?

Das Wichtigste auf einen Blick

Die beste Voreinstellung für deutsche Geschäftsveranstaltungen ist ein deutschsprachiges System mit Hosting in der EU und unterschriebenem Auftragsverarbeitungsvertrag. Für die meisten Events bis 1.000 Teilnehmer reicht Eventix, darüber ist Cvent die naheliegende Wahl. Die Empfehlung nach Veranstaltungsgröße steht im Softwarevergleich.

Warum Teilnehmerverwaltung Software ohne DSGVO-Konformität ein Haftungsrisiko ist

Wer Anmeldungen, Teilnehmerlisten und Check-in-Daten verarbeitet, verarbeitet personenbezogene Daten. Ohne dokumentiertes Verfahren drohen Bußgelder und Schadensersatzansprüche. Die Grundlagen fasst der BfDI - Basiswissen zusammen.

Datenschutzanforderungen an Anmeldeformulare nach DSGVO

Das Anmeldeformular ist die erste Stelle, an der Daten erhoben werden. Hier entscheidet sich, ob die restliche Verarbeitung tragfähig ist. Jedes Feld braucht einen Zweck, der im Vorfeld festgelegt wurde.

Pflichtfelder sind auf Name, Firma, Rechnungsanschrift und E-Mail zu begrenzen. Angaben zu Geburtsdatum, Privatadresse oder Telefonnummer sind nur zulässig, wenn sie für den Ablauf gebraucht werden. Das Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO ist hier zentral.

Die Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b DSGVO, also die Vertragserfüllung bei kostenpflichtigen Tickets. Bei kostenlosen Events und bei Werbezwecken kommt nur die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Frage.

Einwilligungen müssen getrennt, freiwillig und dokumentiert erfolgen. Ein vorausgefülltes Häkchen für den Newsletter ist unwirksam. Die Software muss Zeitpunkt, Text und Widerruf speichern.

Zur Pflicht gehört eine Datenschutzerklärung direkt am Formular. Sie nennt Verantwortlichen, Zwecke, Empfänger, Speicherdauer und Rechte. Wer die Grundbegriffe prüfen will, findet sie im BfDI - Basiswissen zum Datenschutz.

Welche Felder sind zulässig?

Teilnehmerlisten, Einwilligungen und Löschfristen rechtssicher organisieren

Teilnehmerlisten sind praktisch, aber datenschutzrechtlich heikel. Sie enthalten Namen und oft Firmen, Funktionen und Kontaktdaten. Jede Weitergabe an Dritte ist eine eigene Verarbeitung.

Für die Einlasskontrolle reicht in der Regel eine tagesaktuelle Liste. Eine dauerhafte Speicherung aller Events über Jahre ist nicht erforderlich und damit unzulässig. Die Löschfrist gehört schriftlich festgelegt.

Bewährte Fristen orientieren sich an steuer- und handelsrechtlichen Aufbewahrungspflichten. Rechnungsrelevante Daten bleiben bis zu zehn Jahre erhalten, reine Anwesenheitsdaten deutlich kürzer. Nach dem Event sind sie zu löschen.

Wer Teilnehmerlisten an Sponsoren oder Aussteller weitergibt, braucht dafür eine Einwilligung. Die Einwilligung muss den Empfänger und den Zweck benennen. Ohne diese Angabe ist sie unwirksam.

Die konkreten gesetzlichen Grundlagen, etwa zur Aufbewahrung, finden sich in der Gesetze im Internet - Gesetze / Verordnungen - Teilliste.

Löschkonzept in fünf Schritten

Check-in-Systeme und Badgedruck: Datenschutz an der Einlasskontrolle

Am Eingang entstehen die sensibelsten Daten. Ein Check-in-System verarbeitet Anwesenheit, Uhrzeit und oft Standortinformationen. Das ist zulässig, solange es der Zugangskontrolle dient.

Gesichtserkennung ist ohne ausdrückliche Einwilligung unzulässig. Biometrische Daten nach Art. 9 DSGVO unterliegen strengen Anforderungen. Wer sie einsetzt, braucht eine dokumentierte Prüfung und eine echte Alternative.

QR-Code-Scans sind der Standard. Sie verarbeiten nur die Ticket-ID und den Zeitpunkt. Das ist datensparsam und für die meisten Veranstaltungen ausreichend.

Badgedruck sollte nur Name, Firma und Funktion enthalten. Private Kontaktdaten, Geburtsdaten oder Fotoaufnahmen gehören nicht auf das Badge. Für Presse- und VIP-Badges gelten zusätzliche Absprachen.

Bei Selbstbedienungsterminals ist darauf zu achten, dass der Bildschirm keine Liste anderer Teilnehmer zeigt. Sichtschutz und automatische Abmeldung sind Pflicht.

Betroffenenrechte nach DSGVO in der Teilnehmerverwaltung abbilden

Auskunftsersuchen müssen innerhalb eines Monats beantwortet werden. Ein manueller Export aus mehreren Systemen ist fehleranfällig. Gefordert ist ein vollständiger Export aller Daten einer Person.

Löschung darf nicht am fehlenden Werkzeug scheitern. Die Software braucht eine Funktion, die alle Datensätze einer Person findet und entfernt. Backups müssen dabei mitgedacht werden.

Widerspruch gegen Werbung muss sofort wirken. Ein Vermerk im Profil verhindert weitere Ansprachen. Wird das ignoriert, ist das ein direkter Verstoß.

Welche Rechte im Einzelnen bestehen und wie sie geltend gemacht werden, beschreibt der BfDI in seinem Überblick zu den BfDI - Betroffenenrechte der DSGVO.

Worauf deutsche Veranstalter bei Auftragsverarbeitung und Serverstand achten

Sobald ein Dienstleister Teilnehmerdaten verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das gilt für Ticketing, Hosting und Check-in gleichermaßen.

Der Vertrag muss Weisungsbindung, Vertraulichkeit, Löschung und Kontrollrechte regeln. Fehlt er, ist die Verarbeitung rechtswidrig, unabhängig von der technischen Qualität.

Der Serverstand ist ein zentrales Auswahlkriterium. Verarbeitung innerhalb der EU vermeidet Drittlandtransfers und aufwendige Garantien. Anbieter mit Servern in Frankfurt oder anderen deutschen Standorten sind im Vorteil.

Bei Subunternehmern braucht es eine Liste und eine Zustimmungsregel. Der Veranstalter bleibt verantwortlich und muss die Kette prüfen können.

Der Bundesdatenschutzbeauftragte ist die zentrale Aufsichtsstelle für grundsätzliche Fragen; die BfDI - Startseite bündelt die relevanten Hinweise.

Checkliste für die Anbieterprüfung

Konkrete Softwarelösungen für deutsche Veranstalter im Vergleich

Der Markt für Teilnehmerverwaltung Software in Deutschland ist breit. Die Systeme unterscheiden sich vor allem bei Serverstand, Anmeldeformularen, Check-in und Preismodell.

Eventbrite ist international verbreitet und bietet Anmeldung, Ticketing und Check-in-App. Der Anbieter sitzt in den USA, was Drittlandtransfers und zusätzliche Prüfungen erfordert. Für reine Deutschland-Events ist das ein Nachteil. Beim Preis rechnet Eventbrite je verkauftem Ticket ab, kostenlose Veranstaltungen bleiben gebührenfrei.

Cvent richtet sich an große Firmenevents und Messen. Die Plattform deckt Registrierung, Badgedruck und Reporting ab. Nach eigenen Angaben betreibt Cvent Rechenzentren in der EU und stellt einen Vertrag zur Auftragsverarbeitung bereit. Der Preis ist eine Lizenzgebühr nach Teilnehmerzahl, Modulumfang und Laufzeit.

Xing Events und Eventix werden häufig für deutsche Business-Events genutzt. Beide bieten deutschsprachige Anmeldeformulare und Hosting in der EU. Die Tiefe der Check-in-Funktionen ist begrenzt. Xing Events wird von der New Work SE mit Sitz in Hamburg betrieben.

Spezialisierte Anbieter wie Doo, LineUpr oder Converve ergänzen den Markt um App- und Matchmaking-Funktionen. Hier lohnt der Blick auf das Datenmodell, weil Networking-Daten besonders schutzbedürftig sind.

Die Tabelle ersetzt keine Einzelfallprüfung. Quelle der Angaben sind die öffentlich einsehbaren Datenschutzerklärungen und Vertragsunterlagen der Anbieter. Diese Dokumente werden laufend geändert, deshalb Serverstand und AVV vor Vertragsschluss erneut abrufen und das Abrufdatum notieren.

Empfehlung nach Veranstaltungsgröße

Auswahlkriterien und Bewertungsmatrix für die passende Lösung

Die Auswahl beginnt mit dem Datenmodell, nicht mit der Oberfläche. Wer weiß, welche Daten zu welchem Zweck anfallen, kann Anbieter gezielt vergleichen.

Vier Kriterien sind entscheidend: Serverstand, Löschkonzept, Betroffenenrechte und Auftragsverarbeitung. Erst danach folgen Preis, Integration und Bedienkomfort.

Eine Bewertungsmatrix macht die Entscheidung nachvollziehbar. Sie ist zugleich ein Nachweis gegenüber der Aufsichtsbehörde.

Bewertungsmatrix

Wer die Grundlagen der Verarbeitung sauber dokumentiert, findet die passende Software schneller. Das Basiswissen zum Datenschutz hilft bei der Formulierung der Anforderungen.

Häufige Fragen