Wem gehört die Teilnehmerliste bei Eventbrite?
Die Frage wird meistens falsch gestellt. Es geht nicht darum, ob du an deine Liste kommst — du kommst dran, bei praktisch jedem Anbieter. Es geht darum, wer sie sonst noch hat.
Was „gehören" hier bedeutet
Datenschutzrechtlich gehört eine Personenliste niemandem. Die Daten gehören den Menschen, um die es geht. Was es gibt, ist eine Rolle: Wer entscheidet, was mit den Daten passiert, ist verantwortlich. Wer nur im Auftrag verarbeitet, braucht dafür einen Vertrag.
Für dich als Gastgeber heißt das: Die praktische Frage ist nicht „gehört sie mir", sondern
- Komme ich an die Daten heran, vollständig und in einem brauchbaren Format?
- Wer außer mir hat sie, und wofür darf er sie benutzen?
- Was passiert damit, wenn ich gehe?
Der Unterschied, den die meisten übersehen
Ein Ticketing-Anbieter ist in der Regel selbst Verantwortlicher für seine eigenen Zwecke — er hat eine Beziehung zu den Teilnehmenden, unabhängig von dir. Das ist nicht heimlich; es steht in den Bedingungen. Es bedeutet aber, dass deine Gäste nach dem Event auch seine Nutzer sind.
Das ist bei einem einmaligen Konzert egal. Bei einem wöchentlichen Format, das über Jahre dieselben Leute sieht, ist es der Unterschied zwischen „ich habe eine Community" und „ich habe Zugriff auf einen Export".
Die drei Fragen, die du jedem Anbieter stellen kannst
Unabhängig davon, wen du benutzt:
„Bin ich Verantwortlicher und ihr Auftragsverarbeiter — und gibt es dazu einen unterschriebenen Vertrag?" Wenn ja, muss es einen Auftragsverarbeitungsvertrag geben. Kein Vertrag, keine Auftragsverarbeitung — so sieht es Art. 28 DSGVO.
„Was macht ihr mit den Daten für eure eigenen Zwecke?" Die Antwort steht in der Datenschutzerklärung. Wenn sie schwer zu finden ist, ist das die Antwort.
„Was bekomme ich, wenn ich kündige?" Eine CSV mit E-Mail-Adressen ist etwas anderes als die Teilnahmehistorie, an der man erkennt, wer regelmäßig da war.
Wo wir selbst stehen
Der Vollständigkeit halber, weil dieselben Fragen für uns gelten:
Einen unterschriebenen Auftragsverarbeitungsvertrag haben wir noch nicht. Ohne den nehmen wir keinen Betreiber in den Wirkbetrieb. Und einen Export baust du dir heute noch nicht selbst — du schreibst an datenschutz@conpeo.eu und bekommst deine Daten.
Was wir speichern und was wir nicht sehen, steht in der Datenschutzerklärung.