Da Eventlocations im ständigen Kontakt mit Kunden stehen, müssen sie sich an zahlreiche Vorschriften und Gesetze des Datenschutzes halten. Da ist es wichtig, alle Grundlagen und relevanten Regelungen zu kennen, um genau zu wissen, was erlaubt ist und was nicht. In unserem Interview mit dem Datenschutzbeauftragten Felix Großklaß haben wir die wichtigsten Fragen aus der Sicht von Eventlocations gestellt, um etwas Klarheit zu schaffen. Er ist ein Experte auf dem Gebiet des Datenschutzes und arbeitet für die Innovationsberatung “team red” aus Berlin.
Da sprichst du eins der aktuellen Lieblingsthemen im Datenschutz an. Ich versuche es mal mit den 5 Punkten, aber damit erhebe ich keinen Anspruch auf Vollständigkeit:
- Eine klare, verständliche Datenschutzerklärung, bei der die Betroffenen verstehen, was warum mit ihren Daten geschieht. Es gilt dabei der Grundsatz: Im Datenschutz möchte niemand überrascht werden.
- Nur die Sachen erheben, die ich auch brauche. Es ist niemandem geholfen, wenn man beispielsweise bei WordPress alle Plugins in die Seite drückt und einfach mal alles trackt und erhebt, ohne einen Plan zu haben, was man mit den Daten machen möchte.
- Prüfung von datenschutzfreundlichen Alternativen: Tracking ist für viele Websitebetreiber wichtig, aber viele beschäftigen sich nicht damit, ob die Tools die sie verwenden, denn nicht auch datenschutzfreundliche Alternativen haben. Muss es Google Analytics sein oder reicht vielleicht Matomo für das, was ich wissen möchte? Brauche ich eine Onlineeinbindung meiner Google Webfonts oder kann ich die nicht auch in die Seite einbetten, sodass nichts nachgeladen wird?
- Interaktionselemente auf der Seite: Wenn es irgendwo Formulare oder Ähnliches gibt, bei dem Daten erhoben werden, sollte direkt dort in klaren, einfachen Worten darüber informiert werden, was mit den Daten passiert. Beispiel Newsletter: Da kann man einfach runterschreiben, dass die in das Formular eingegebenen Daten nur für die Zustellung des Newsletters verwendet werden und für nichts Anderes. Wenn das anders ist, dann sollte das auch da stehen, damit die Betroffenen dann selbst entscheiden können, ob sie das möchten. Anders verhält es sich bei Social-Media Elementen wie dem Like-Button von Facebook oder der Möglichkeit des Teilens. Da ist kein zusätzlicher Text nötig, da den Nutzenden klar sein dürfte, was bei der Interaktion mit diesen Elementen geschieht. Hier würde ich aber immer empfehlen, diese Elemente als reine Opt-In-Lösung zu gestalten. Dazu gibt es auch technische Lösungen, die man sich beispielsweise auf der Homepage der Tagesschau ansehen kann.
- Cookies: Das ist vielleicht der schwierigste Bereich, da hier aufgrund einiger Gerichtsurteile gerade mächtig Unsicherheit herrscht, wie das mit den Cookies rechtskonform gelöst werden kann. Sicher ist nur, dass alle Cookies, die nicht unbedingt für den Betrieb der Website oder den Service dahinter erforderlich sind, einer Einwilligung bedürfen BEVOR sie anfangen zu arbeiten. Dies wird nun zu unterschiedlichen Dingen führen. Einige werden wieder behaupten, dass man gar keine Cookies mehr verwenden darf, andere wiederum werden sagen, dass man für alles eine Einwilligung braucht. Was richtig ist, ist das Websitebetreiber sich gründlich überlegen müssen, welche Cookies tatsächlich notwendig sind und wie sie für alle anderen die nötigen technischen Voraussetzungen schaffen, um die Möglichkeiten für Einwilligung und auch den Widerruf derselben zu ermöglichen. Eine Möglichkeit könnte sein, die Cookies in Zukunft als eigenes Feld im Footer einer Homepage erreichbar zu machen und hier den Userinnen und Usern die Einstellungen zu überlassen.
Insgesamt ist das Feld Websites und das daran gekoppelte Onlinemarketing gerade aufgrund der sich ändernden Rechtsprechung massiv im Umbruch und ich kann hier nur jedem empfehlen, sich selbst in diesen Dingen zu informieren und bei Bedarf sich fachliche Hilfe zu holen.
Was muss ich bezüglich des Datenschutzes beachten, wenn ich das Teilnehmermanagement einer Veranstaltung für meine Kunden übernehme?
Nun, zunächst wirst du i.d.R. einen Auftragsverarbeitungsvertrag schließen müssen, der den genauen Umfang deiner Aufgaben und die dazugehörigen Rechte und Pflichten regelt. Die Auftragsverarbeitung kommt immer dann zum Tragen, wenn du als weisungsgebundener Auftraggeber personenbezogene Daten verarbeitest und vor allem nicht über den Zweck der Datenverarbeitung entscheidest. Das wäre hier meiner Meinung nach der Fall.
Knifflig wird es dann, wenn du die erhobenen Daten noch für eigene Zwecke einsetzen möchtest. Hier wären wir dann eventuell. im Bereich der gemeinsamen Verantwortlichkeit und dies erfordert eine andere Vertragsgrundlage und auch eine andere Kommunikation gegenüber den Betroffenen, da diesen klar zu verstehen gegeben werden muss, wer von den Verantwortlichen dann wofür der Ansprechpartner ist.
Da gibt es viele Muster im Internet. Ein Beispiel wäre die Gesellschaft für Datenschutz und Datensicherheit e.V., die unter https://www.gdd.de/gdd-arbeitshilfen/praxishilfen-ds-gvo/praxishilfen-ds-gvo unter anderem eine solche Vorlage bereitstellt. Es gibt aber wie gesagt auch andere Muster, die taugen.
Eigentlich nicht. Das Erstellen der Namensschilder als Vorgang sollte natürlich entsprechend den technischen und organisatorischen Maßnahmen abgesichert sein, aber es ist ja niemand verpflichtet, auf einer Veranstaltung das Namensschild auch tatsächlich zu tragen.
Wie muss eine Zustimmung meiner Event-Teilnehmer aussehen, wenn ich Fotos während der Veranstaltung machen und diese später auch veröffentlichen möchte?
Darüber müssen die Teilnehmenden zunächst einmal im Vorfeld informiert werden und dann ihre Einwilligung geben. Hierbei ist auch über den Zweck aufzuklären. Wenn du als Locationbetreiber anbietest, für beispielsweise Hochzeiten die Hochzeitsfotografie zu übernehmen und dann darum bittest, einige Fotos auch als Referenz zu verwenden, dann sind dies zwei getrennte Vorgänge. Das Paar kann dich als Location zwar mit der Fotografie beauftragen, aber z.B. die Veröffentlichung der Bilder auf der Website untersagen.
Ich würde auch empfehlen, dass es in der Information eine klare Anlaufstelle gibt, bei der die Betroffenen sich melden können, wenn sie definitiv nicht fotografiert werden wollen. Eine weitere Möglichkeit ist es auch, die Informationen direkt in die AGBs einfließen zu lassen, die beim Ticketkauf zum Tragen kommen.
Wenn ich eine Liste auslege, in der sich Interessierte für meinen Newsletter mit Unterschrift anmelden können, benötige ich dann zusätzlich noch eine E-Mail-Bestätigung (DOI)?
Da gibt es unterschiedliche Ansichten zu. Meiner Meinung nach ist die Unterschrift auf der Liste vollkommen ausreichend, weil sie einen aktiven Entscheidungsprozess voraussetzt. Ich würde nur empfehlen, die Liste dann auch zu digitalisieren und aufzubewahren, um die Einwilligung nachweisen zu können.
Nein, das Datenschutzrecht kennt diese Unterscheidung nicht. Es geht immer um die Daten von Personen. Das Umfeld, in welchem diese eingesetzt werden, spielt keine Rolle.
Auch wenn ständig neue Datenschutzgesetze verabschiedet werden und die gesamte Thematik im Wandel ist, so gibt es grundlegende Regeln an die man sich in jeder Situation halten sollte. Zusätzlich ist es hilfreich, sich regelmäßig über Veränderungen und Neuerungen zu informieren, um nichts zu verpassen. Auf diese Weise machen Sie sicher nichts falsch und beugen Konflikten vor.
