Nach der DSGVO bist du als Veranstalter in der Regel der Verantwortliche für die Daten deiner Teilnehmenden. Deine Veranstaltungsplattform ist ein Auftragsverarbeiter, der sie in deinem Auftrag verarbeitet. Diese Aufteilung prägt den größten Teil dieser Liste.
Jeder Punkt sagt, was du allgemein prüfen solltest und wie es in der Veranstaltungsplattform AttendBeacon funktioniert. Nutze ihn zum Vergleich mit dem Werkzeug, das du verwendest.
1. Frag nur, was du brauchst
Schreib auf, warum du jedes Feld abfragst. Wenn dir kein Zweck einfällt, streich das Feld.
- Name und E-Mail sind nötig: Das Ticket gilt für eine Person und wird an sie geschickt.
- Firma und Funktion helfen bei Namensschildern auf einer Firmenveranstaltung und bedeuten bei einem Meetup wenig. In der Veranstaltungsplattform AttendBeacon werden sie standardmäßig abgefragt und lassen sich pro Veranstaltung ausschalten.
- Stelle eine Frage nur für die Ticketarten, die sie brauchen, damit eine Frage für Vortragende nicht bei allen Teilnehmenden landet.
- Angaben zu Ernährung und Barrierefreiheit können Gesundheitsdaten offenlegen. Frag sie nur ab, wenn du danach handelst, sag warum, und beschränke, wer die Antworten sieht.
2. Mach die Einwilligung echt
Eine Einwilligung muss freiwillig, für einen bestimmten Fall und unmissverständlich erteilt werden. In der Praxis:
- Keine vorangekreuzten Kästchen. Eine Einwilligungsfrage ist ein Kästchen, das die teilnehmende Person selbst ankreuzt. In der Veranstaltungsplattform kann niemand es für sie ankreuzen, auch keine Veranstaltenden, die ein Ticket ausstellen.
- Ein Zweck pro Kästchen. Fotos, Sponsoren und dein Newsletter sind drei getrennte Fragen.
- Kein Ticket im Tausch gegen Marketing. Mach die Anmeldung nicht von einer Einwilligung in den Newsletter abhängig.
- Sponsoren sind eine eigene Entscheidung. Das Teilen von Daten mit Sponsoren ist freiwillig, nie Pflicht und wird für niemanden angekreuzt. Lead-Scanning funktioniert nur bei Besuchern, die zugestimmt haben.
3. Sag den Leuten, was passiert
Deine Datenschutzerklärung sollte sagen, wer du bist, was du erhebst, warum, auf welcher Rechtsgrundlage, wer die Daten erhält, wie lange du sie aufbewahrst und wie die Leute ihre Rechte ausüben können. Zu den Empfängern gehören deine Veranstaltungsplattform, dein Zahlungsanbieter und jedes CRM oder Mailing-Tool, das du verbindest.
Stell die Erklärung dorthin, wo sich die Leute anmelden. Verlinke sie zum Beispiel in den FAQ auf deiner Veranstaltungsseite und verweise in deinen Einwilligungsfragen darauf.
Wenn du Anmeldungen an dein CRM sendest, sag es. Die CRM-Verbindung der Veranstaltungsplattform synchronisiert nichts, bis eine Person mit Administrationsrechten bestätigt, dass die Datenschutzerklärung das abdeckt. Eine Mailchimp- oder Brevo-Liste erhält nur Personen, die die von dir gewählte Einwilligungsfrage angekreuzt haben.
4. Schließ einen Auftragsverarbeitungsvertrag ab
Deine Plattform verarbeitet Daten für dich, daher brauchst du mit ihr einen Auftragsverarbeitungsvertrag. Für die Veranstaltungsplattform AttendBeacon sagen die Nutzungsbedingungen, dass du der Verantwortliche bist und die Plattform der Auftragsverarbeiter, und dass ein Auftragsverarbeitungsvertrag auf Anfrage erhältlich ist.
Führe eine Liste aller Auftragsverarbeiter, die du für die Veranstaltung nutzt, mit dem, was jeder davon erhält.
5. Wisse, wo die Daten liegen
Frag deinen Anbieter, wo die Daten gespeichert werden und was die EU verlässt.
Die Veranstaltungsplattform AttendBeacon läuft in Microsoft Azure in der EU. App und Datenbank liegen in Sweden Central. Uploads, Schlüssel und Protokolle liegen in West Europe, in den Niederlanden.
Manches geht naturgemäß weiter. Push-Nachrichten laufen über den Push-Dienst von Apple, Google oder Mozilla, Ende-zu-Ende-verschlüsselt. Ein Wallet-Pass wird bei Apple oder Google gespeichert, wenn Teilnehmende ihn hinzufügen. E-Mails landen beim jeweiligen E-Mail-Anbieter der Empfänger. Microsoft ist ein US-Unternehmen, und ein US-Unternehmen kann US-Recht unterliegen. Die Seite zur EU-Datensouveränität listet alles auf.
6. Halte Kartendaten aus deinen Systemen heraus
Karten- und Bankdaten sollten nie durch deine eigenen Werkzeuge laufen. In der Veranstaltungsplattform bezahlen Teilnehmende auf der Seite deines eigenen Mollie- oder Stripe-Kontos. Die Plattform speichert nur die Referenz und den Status der Zahlung.
7. Beschränke, wer was sieht
Gib jeder Person den Zugriff, den ihre Rolle braucht, und nicht mehr.
- Die Crew bekommt während ihrer Schicht die Werkzeuge für ihren Eingang.
- Aussteller bekommen Leads nur von Besuchern, die dem Teilen zugestimmt haben.
- Raumbildschirme zeigen Ankünfte als Zahlen, nie als Namen.
- Die Rangliste zeigt einen Vornamen und eine Initiale, und alle können sie verlassen.
- Umfrageergebnisse werden pro Frage gezeigt, ohne Namen.
8. Lass Tracker von deinen Anmeldeseiten weg
Analyse- und Werbepixel auf einer Anmeldeseite brauchen in der Regel eine eigene Einwilligung. Die Veranstaltungsplattform AttendBeacon hat keine Analyse- oder Tracking-Skripte auf ihrer Website, im Arbeitsbereich oder in der Veranstaltungs-App. Sie verwendet nur funktionale Cookies, etwa das, mit dem Teilnehmende angemeldet bleiben.
9. Leg fest, wie lange du die Daten aufbewahrst
Leg eine Aufbewahrungsfrist vor der Veranstaltung fest, nicht danach. Bewahre Daten von Teilnehmenden so lange auf, wie du sie für die Veranstaltung und ihre Nachbereitung brauchst, und Rechnungen so lange, wie das Steuerrecht es verlangt.
In der Veranstaltungsplattform kannst du eine Veranstaltung sofort löschen oder ihre Löschung für ein Datum deiner Wahl planen. Ihre Anmeldungen, Check-ins, Dateien und Nachrichten werden mitgelöscht. Das gilt auch für die Rechnungen an ihre Teilnehmenden, exportiere also vorher, was du nach dem Steuerrecht aufbewahren musst.
Manche Daten verschwinden von selbst:
- sensible Antworten aus den Bestätigungen der Vortragenden, 30 Tage nach der Veranstaltung
- Fragen an den Veranstaltungsassistenten, 30 Tage nach der Veranstaltung
- Dateien aus einem Import, sobald die Veranstaltung angelegt ist
10. Beantworte Anfragen von Teilnehmenden
Personen können verlangen, ihre Daten einzusehen, zu berichtigen oder zu löschen. Leg einen Ablauf fest und antworte innerhalb eines Monats, der Standardfrist der DSGVO.
In der Veranstaltungs-App von AttendBeacon können Teilnehmende ihre eigenen Daten mit Meine Daten löschen entfernen. Sie bestätigen das mit einem Code, der an ihre E-Mail-Adresse geht, für eine Veranstaltung oder für jede Veranstaltung mit dieser Adresse, und du wirst informiert, wenn sie das tun. Für eine Anfrage auf Auskunft exportierst du die Teilnehmendenliste mit Antworten und Check-ins als CSV.
11. Plane für eine Datenpanne
Leg vorab fest, wer die Leitung übernimmt, wer die Aufsichtsbehörde innerhalb von 72 Stunden informiert, wo das vorgeschrieben ist, und wie du den Support deiner Plattform erreichst. Schreib diese Namen in deinen Veranstaltungsplan.
Die Kurzfassung
- Jedes Feld hat einen Zweck.
- Jede Einwilligung hat ein eigenes Kästchen, nicht angekreuzt.
- Deine Datenschutzerklärung ist dort verlinkt, wo sich die Leute anmelden.
- Du hast mit jedem Auftragsverarbeiter einen Auftragsverarbeitungsvertrag.
- Du weißt, wo die Daten gespeichert werden und was die EU verlässt.
- Die Aufbewahrung ist vor der Veranstaltung festgelegt.
- Du kannst eine Anfrage innerhalb eines Monats beantworten.
Wie die Veranstaltungsplattform AttendBeacon im Einzelnen mit Daten umgeht, liest du auf der Datenschutzseite.