Die Datenschutz-Grundverordnung (DSGVO) betrifft unmittelbar jeden Veranstalter, der Daten von Teilnehmern erhebt. E-Mail-Adressen, Namen, Telefonnummern, Kaufpräferenzen ... all dies sind personenbezogene Daten, die im Einklang mit den Vorschriften verarbeitet werden müssen. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes. Dieser Leitfaden erklärt Ihnen das Wesentliche.
Daten, die Sie erheben (und von denen Sie es vielleicht nicht wussten)
Als Veranstalter erheben Sie mehr Daten, als Sie wahrscheinlich denken. Es ist wichtig, sie alle zu identifizieren, um sie korrekt zu verwalten.
- Kaufdaten: Name, E-Mail-Adresse, Telefonnummer, Rechnungsadresse
- Zugangsdaten: Einlasszeit, Bereich, Validierungsversuche
- Verhaltensdaten: besuchte Seiten, abgebrochene Warenkörbe
- Gerätedaten: IP-Adresse, Browser, Betriebssystem
- Optionale Daten: Präferenzen, Geburtsdatum, Geschlecht
Rechtsgrundlagen für die Verarbeitung
Die DSGVO verlangt, dass jede Datenverarbeitung eine Rechtsgrundlage hat. Für Veranstalter sind die relevantesten:
- Vertragserfüllung: Sie benötigen die Daten, um das Ticket zu verkaufen und auszuliefern
- Einwilligung: für den Versand von Newslettern oder kommerziellen Mitteilungen
- Berechtigtes Interesse: zur Betrugsprävention oder zur Verbesserung des Dienstes
- Gesetzliche Verpflichtung: steuerrelevante Daten, die Sie gesetzlich aufbewahren müssen. Weitere Einzelheiten finden Sie im Leitfaden zur Besteuerung des Ticketverkaufs
Wie holen Sie die Einwilligung richtig ein?
Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Das bedeutet, dass Sie keine vorausgefüllten Kontrollkästchen verwenden, den Kauf nicht von der Zustimmung zum Marketing abhängig machen und die Einwilligung nicht in allgemeinen Geschäftsbedingungen verstecken dürfen.
- Getrennte Kontrollkästchen für jeden Zweck (eines für Marketing, eines für Dritte)
- Klare und verständliche Sprache, ohne juristischen Fachjargon
- Der Widerruf der Einwilligung muss genauso einfach sein wie ihre Erteilung
- Protokollierung, wann und wie jede Einwilligung eingeholt wurde
Welche Rechte haben die Teilnehmer?
Die Teilnehmer haben Rechte an ihren Daten, denen Sie nachkommen können müssen. Sie haben einen Monat Zeit, um auf jede Anfrage zu reagieren.
- Auskunft: zu wissen, welche Daten Sie über sie gespeichert haben
- Berichtigung: unrichtige Daten korrigieren
- Löschung: ihre Daten löschen (mit gesetzlichen Ausnahmen)
- Datenübertragbarkeit: ihre Daten in einem strukturierten Format erhalten
- Widerspruch: bestimmte Verarbeitungen ablehnen
Dienstleister und Auftragsverarbeiter
Wenn Sie eine Ticketing-Plattform, einen E-Mail-Marketing-Dienst oder einen anderen Dienstleister nutzen, der auf die Daten Ihrer Teilnehmer zugreift, benötigen Sie einen Auftragsverarbeitungsvertrag. Dieser Vertrag legt fest, was der Dienstleister mit den Daten tun darf, sowie seine Sicherheitspflichten.
- Überprüfen Sie, ob Ihre Dienstleister die DSGVO einhalten
- Schließen Sie Auftragsverarbeitungsverträge ab
- Prüfen Sie, wo die Daten gespeichert werden (internationale Datenübermittlungen)
- Führen Sie ein Verzeichnis aller Dienstleister mit Datenzugriff
Was tun bei einer Sicherheitsverletzung?
Wenn Sie eine Sicherheitsverletzung erleiden, die personenbezogene Daten betrifft, haben Sie 72 Stunden Zeit, um diese der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos) zu melden. Bei einem hohen Risiko müssen Sie auch die Betroffenen informieren. Ein Protokoll bereitzuhalten, bevor ein solcher Vorfall eintritt, ist von grundlegender Bedeutung.
Fazit
Die DSGVO ist nicht nur eine gesetzliche Verpflichtung, sondern auch eine Chance, Vertrauen bei Ihren Teilnehmern aufzubauen. Den vollständigen Text der Verordnung (EU) 2016/679 können Sie auf EUR-Lex einsehen. Eine transparente und verantwortungsvolle Datenverwaltung verbessert Ihren Ruf und verringert Risiken. Investieren Sie Zeit in die korrekte Umsetzung der Grundlagen und aktualisieren Sie diese, wenn sich Ihre Prozesse ändern.