Welche Software zur Teilnehmerverwaltung erfüllt die DSGVO in Deutschland?

Das Wichtigste auf einen Blick

Teilnehmerverwaltung Software ist in Deutschland nur zulässig, wenn Anmeldeformular, Teilnehmerliste, Check-in und Löschung die DSGVO einhalten.
Anmeldeformulare brauchen Datenminimierung, Zweckbindung und eine dokumentierte Rechtsgrundlage, meist Art. 6 Abs. 1 DSGVO.
Teilnehmerlisten dürfen nicht dauerhaft gespeichert werden; Löschfristen gehören in das Verarbeitungsverzeichnis.
Check-in-Systeme müssen ohne verdeckte Gesichtserkennung arbeiten und Badgedruck auf das Nötigste beschränken.
Bei Auftragsverarbeitung zählen Vertrag nach Art. 28 DSGVO und ein Serverstand in der EU.
Betroffenenrechte wie Auskunft, Berichtigung und Löschung muss die Software per Export und Löschfunktion abbilden.

Warum Teilnehmerverwaltung Software ohne DSGVO-Konformität ein Haftungsrisiko ist

Wer Anmeldungen, Teilnehmerlisten und Check-in-Daten verarbeitet, verarbeitet personenbezogene Daten. Das gilt auch für kleine Firmenevents in Nordrhein-Westfalen oder Bayern. Fehlt die Rechtsgrundlage, drohen Bußgelder und Schadensersatzansprüche.

Die Aufsichtsbehörden unterscheiden nicht danach, ob ein Event 50 oder 5.000 Gäste hat. Entscheidend ist, ob die Verarbeitung erforderlich ist und ob die Betroffenen informiert wurden. Grundlagen dazu fasst der BfDI - Basiswissen zusammen.

Viele Veranstalter arbeiten mit Excel-Listen, PDF-Anmeldungen und E-Mail-Postfächern. Solche Insellösungen lassen sich kaum löschen, kaum exportieren und kaum nachweisen. Genau daraus entstehen die typischen Beanstandungen.

Ein weiterer Punkt ist die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Der Veranstalter muss belegen können, dass er datenschutzkonform arbeitet. Eine Software ohne Protokollfunktion macht diesen Nachweis praktisch unmöglich.

Datenschutzanforderungen an Anmeldeformulare nach DSGVO

Das Anmeldeformular ist die erste Stelle, an der Daten erhoben werden. Hier entscheidet sich, ob die restliche Verarbeitung tragfähig ist. Jedes Feld braucht einen Zweck, der im Vorfeld festgelegt wurde.

Pflichtfelder sind auf Name, Firma, Rechnungsanschrift und E-Mail zu begrenzen. Angaben zu Geburtsdatum, Privatadresse oder Telefonnummer sind nur zulässig, wenn sie für den Ablauf gebraucht werden. Das Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO ist hier zentral.

Die Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b DSGVO, also die Vertragserfüllung bei kostenpflichtigen Tickets. Bei kostenlosen Events und bei Werbezwecken kommt nur die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Frage.

Einwilligungen müssen getrennt, freiwillig und dokumentiert erfolgen. Ein vorausgefülltes Häkchen für den Newsletter ist unwirksam. Die Software muss Zeitpunkt, Text und Widerruf speichern.

Zur Pflicht gehört eine Datenschutzerklärung direkt am Formular. Sie nennt Verantwortlichen, Zwecke, Empfänger, Speicherdauer und Rechte. Wer die Grundbegriffe prüfen will, findet sie im BfDI - Basiswissen zum Datenschutz.

Welche Felder sind zulässig?

Pflicht: Vor- und Nachname, Firma, Rechnungsadresse, E-Mail, Ticketart.
Optional mit Begründung: Rechnungsnummer, Kostenstelle, USt-IdNr., Ansprechpartner vor Ort.
Nur mit Einwilligung: Foto- und Videoaufnahmen, Newsletter, Weitergabe an Sponsoren.
Unzulässig ohne besonderen Grund: Gesundheitsdaten, Religionsangaben, private Telefonnummer.

Teilnehmerlisten, Einwilligungen und Löschfristen rechtssicher organisieren

Teilnehmerlisten sind praktisch, aber datenschutzrechtlich heikel. Sie enthalten Namen und oft Firmen, Funktionen und Kontaktdaten. Jede Weitergabe an Dritte ist eine eigene Verarbeitung.

Für die Einlasskontrolle reicht in der Regel eine tagesaktuelle Liste. Eine dauerhafte Speicherung aller Events über Jahre ist nicht erforderlich und damit unzulässig. Die Löschfrist gehört schriftlich festgelegt.

Bewährte Fristen orientieren sich an steuer- und handelsrechtlichen Aufbewahrungspflichten. Rechnungsrelevante Daten bleiben bis zu zehn Jahre erhalten, reine Anwesenheitsdaten deutlich kürzer. Nach dem Event sind sie zu löschen.

Wer Teilnehmerlisten an Sponsoren oder Aussteller weitergibt, braucht dafür eine Einwilligung. Die Einwilligung muss den Empfänger und den Zweck benennen. Ohne diese Angabe ist sie unwirksam.

Die konkreten gesetzlichen Grundlagen, etwa zur Aufbewahrung, finden sich in der Gesetze im Internet - Gesetze / Verordnungen - Teilliste.

Löschkonzept in fünf Schritten

Datenkategorien erfassen: Anmeldung, Zahlung, Anwesenheit, Fotos.
Zweck je Kategorie festhalten und Rechtsgrundlage zuordnen.
Frist je Kategorie festlegen, etwa 14 Tage nach dem Event für Anwesenheitsdaten.
Automatische Löschung in der Software konfigurieren und testen.
Löschprotokoll führen und jährlich prüfen.

Check-in-Systeme und Badgedruck: Datenschutz an der Einlasskontrolle

Am Eingang entstehen die sensibelsten Daten. Ein Check-in-System verarbeitet Anwesenheit, Uhrzeit und oft Standortinformationen. Das ist zulässig, solange es der Zugangskontrolle dient.

Gesichtserkennung ist ohne ausdrückliche Einwilligung unzulässig. Biometrische Daten nach Art. 9 DSGVO unterliegen strengen Anforderungen. Wer sie einsetzt, braucht eine dokumentierte Prüfung und eine echte Alternative.

QR-Code-Scans sind der Standard. Sie verarbeiten nur die Ticket-ID und den Zeitpunkt. Das ist datensparsam und für die meisten Veranstaltungen ausreichend.

Badgedruck sollte nur Name, Firma und Funktion enthalten. Private Kontaktdaten, Geburtsdaten oder Fotoaufnahmen gehören nicht auf das Badge. Für Presse- und VIP-Badges gelten zusätzliche Absprachen.

Bei Selbstbedienungsterminals ist darauf zu achten, dass der Bildschirm keine Liste anderer Teilnehmer zeigt. Sichtschutz und automatische Abmeldung sind Pflicht.

Betroffenenrechte nach DSGVO in der Teilnehmerverwaltung abbilden

Teilnehmer sind Betroffene und haben Rechte. Dazu gehören Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Software muss diese Rechte technisch unterstützen.

Auskunftsersuchen müssen innerhalb eines Monats beantwortet werden. Ein manueller Export aus mehreren Systemen ist fehleranfällig. Gefordert ist ein vollständiger Export aller Daten einer Person.

Löschung darf nicht am fehlenden Werkzeug scheitern. Die Software braucht eine Funktion, die alle Datensätze einer Person findet und entfernt. Backups müssen dabei mitgedacht werden.

Widerspruch gegen Werbung muss sofort wirken. Ein Vermerk im Profil verhindert weitere Ansprachen. Wird das ignoriert, ist das ein direkter Verstoß.

Welche Rechte im Einzelnen bestehen und wie sie geltend gemacht werden, beschreibt der BfDI in seinem Überblick zu den BfDI - Betroffenenrechte der DSGVO.

Worauf deutsche Veranstalter bei Auftragsverarbeitung und Serverstand achten

Sobald ein Dienstleister Teilnehmerdaten verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das gilt für Ticketing, Hosting und Check-in gleichermaßen.

Der Vertrag muss Weisungsbindung, Vertraulichkeit, Löschung und Kontrollrechte regeln. Fehlt er, ist die Verarbeitung rechtswidrig, unabhängig von der technischen Qualität.

Der Serverstand ist ein zentrales Auswahlkriterium. Verarbeitung innerhalb der EU vermeidet Drittlandtransfers und aufwendige Garantien. Anbieter mit Servern in Frankfurt oder anderen deutschen Standorten sind im Vorteil.

Bei Subunternehmern braucht es eine Liste und eine Zustimmungsregel. Der Veranstalter bleibt verantwortlich und muss die Kette prüfen können.

Der Bundesdatenschutzbeauftragte ist die zentrale Aufsichtsstelle für grundsätzliche Fragen; die BfDI - Startseite bündelt die relevanten Hinweise.

Checkliste für die Anbieterprüfung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO liegt unterschrieben vor.
Serverstand und Subunternehmer sind schriftlich benannt.
Löschfristen sind konfigurierbar und dokumentiert.
Export- und Löschfunktion für einzelne Personen ist vorhanden.
Rollen- und Rechtekonzept verhindert Zugriff auf alle Daten.
Protokollierung zeigt, wer wann welche Daten geändert hat.
Datenschutzerklärung und Einwilligungstexte sind anpassbar.

Konkrete Softwarelösungen für deutsche Veranstalter im Vergleich

Der Markt für Teilnehmerverwaltung Software in Deutschland ist breit. Die Systeme unterscheiden sich vor allem bei Serverstand, Anmeldeformularen und Check-in.

Eventbrite ist international verbreitet und bietet Anmeldung, Ticketing und Check-in-App. Der Anbieter sitzt in den USA, was Drittlandtransfers und zusätzliche Prüfungen erfordert. Für reine Deutschland-Events ist das ein Nachteil.

Cvent richtet sich an große Firmenevents und Messen. Die Plattform deckt Registrierung, Badgedruck und Reporting ab. Serverstand und Vertragswerk müssen individuell geprüft werden.

Xing Events und Eventix werden häufig für deutsche Business-Events genutzt. Beide bieten deutschsprachige Anmeldeformulare und EU-Hosting. Die Tiefe der Check-in-Funktionen ist begrenzt.

Spezialisierte Anbieter wie Doo, LineUpr oder Converve ergänzen den Markt um App- und Matchmaking-Funktionen. Hier lohnt der Blick auf das Datenmodell, weil Networking-Daten besonders schutzbedürftig sind.

Für Messen in Hannover, München, Frankfurt oder Köln kommen oft eigene Registrierungssysteme der Messegesellschaften zum Einsatz. Daran angebundene Software muss deren Vorgaben erfüllen.

Lösung	Serverstand	Anmeldeformular	Check-in	Auftragsverarbeitung
Eventbrite	USA, EU-Option	ja, anpassbar	App, QR	Standardvertrag, Prüfung nötig
Cvent	EU und USA	ja, umfangreich	App, Badge	individueller Vertrag
Xing Events	EU	ja, deutschsprachig	begrenzt	Vertrag vorhanden
Eventix	EU	ja, deutschsprachig	QR-Scan	Vertrag vorhanden
Converve	EU	ja	App	Vertrag vorhanden

Die Tabelle ersetzt keine Einzelfallprüfung. Sie zeigt, wo die Prüfpunkte liegen und welche Anbieter grundsätzlich in Frage kommen.

Auswahlkriterien und Bewertungsmatrix für die passende Lösung

Die Auswahl beginnt mit dem Datenmodell, nicht mit der Oberfläche. Wer weiß, welche Daten zu welchem Zweck anfallen, kann Anbieter gezielt vergleichen.

Vier Kriterien sind entscheidend: Rechtsgrundlage, Löschkonzept, Betroffenenrechte und Auftragsverarbeitung. Erst danach folgen Preis, Integration und Bedienkomfort.

Eine Bewertungsmatrix macht die Entscheidung nachvollziehbar. Sie ist zugleich ein Nachweis gegenüber der Aufsichtsbehörde.

Bewertungsmatrix

Kriterium	Gewichtung	Mindestanforderung
Serverstand EU	hoch	Verarbeitung in der EU
Auftragsverarbeitung	hoch	Vertrag nach Art. 28 DSGVO
Anmeldeformular	hoch	Felder konfigurierbar, Einwilligung getrennt
Löschfristen	hoch	automatisch und dokumentiert
Betroffenenrechte	hoch	Export und Löschung je Person
Check-in	mittel	QR ohne Biometrie
Schnittstellen	mittel	CRM, Buchhaltung, Zahlungsdienst
Preis	mittel	transparent, ohne versteckte Kosten

Wer die Grundlagen der Verarbeitung sauber dokumentiert, findet die passende Software schneller. Das Basiswissen zum Datenschutz hilft bei der Formulierung der Anforderungen.

Häufige Fragen

Reicht ein Häkchen im Anmeldeformular als Einwilligung? Nur wenn es nicht vorausgewählt ist und der Zweck klar benannt wird. Für Werbung und Weitergabe an Sponsoren braucht es eine eigene, getrennte Einwilligung.

Wie lange dürfen Teilnehmerlisten gespeichert werden? Reine Anwesenheitsdaten sollten kurz nach dem Event gelöscht werden. Rechnungsrelevante Daten bleiben nach steuerlichen Aufbewahrungspflichten länger erhalten.

Ist Gesichtserkennung am Einlass erlaubt? Nur mit ausdrücklicher Einwilligung und einer echten Alternative. Biometrische Daten fallen unter Art. 9 DSGVO und sind besonders geschützt.

Was passiert ohne Auftragsverarbeitungsvertrag? Die Verarbeitung durch den Dienstleister ist rechtswidrig. Der Veranstalter haftet, auch wenn die Software technisch einwandfrei arbeitet.

Muss die Software in Deutschland gehostet werden? Nicht zwingend, aber EU-Hosting vereinfacht die Prüfung erheblich. Bei Servern in Drittstaaten braucht es zusätzliche Garantien.

Wer prüft die DSGVO-Konformität der Software? Der Veranstalter als Verantwortlicher. Er muss die Anforderungen definieren und die Einhaltung dokumentieren.