Wer hat deine Teilnehmerliste noch?

Die Frage wird meistens falsch gestellt. Es geht nicht darum, ob du an deine Liste kommst — du kommst dran, bei praktisch jedem Anbieter. Es geht darum, wer sie sonst noch hat.

Was „gehören" hier bedeutet

Datenschutzrechtlich gehört eine Personenliste niemandem. Die Daten gehören den Menschen, um die es geht. Was es gibt, ist eine Rolle: Wer entscheidet, was mit den Daten passiert, ist verantwortlich — und wer im Auftrag verarbeitet, braucht dafür einen Vertrag (Art. 28 DSGVO).

Für dich als Gastgeber sind die praktischen Fragen also drei, und „gehört sie mir" ist keine davon:

1. Komme ich an die Daten heran, vollständig und in einem brauchbaren Format?
2. Wer hat sie außer mir, und wofür darf er sie benutzen?
3. Was passiert damit, wenn ich gehe?

Der Unterschied, den die meisten übersehen

Ein Ticketing-Anbieter ist in der Regel selbst Verantwortlicher für eigene Zwecke. Er hat eine Beziehung zu deinen Teilnehmenden, unabhängig von dir. Das ist nicht heimlich — es steht in den Bedingungen. Es bedeutet aber, dass deine Gäste nach dem Event auch seine Nutzer sind.

Bei einem einmaligen Konzert ist das egal. Bei einem wöchentlichen Format, das über Jahre dieselben Gesichter sieht, ist es der Unterschied zwischen einer Community und einem Zugriff auf einen Export.

Drei Fragen, die du jedem Anbieter stellen kannst

Egal, wen du benutzt — uns eingeschlossen:

„Bin ich Verantwortlicher und ihr Auftragsverarbeiter, und gibt es dazu einen unterschriebenen Vertrag?" Wenn ja, muss es einen Auftragsverarbeitungsvertrag geben. Kein Vertrag, keine Auftragsverarbeitung — so liest sich Art. 28.

„Was macht ihr mit den Daten für eure eigenen Zwecke?" Die Antwort steht in der Datenschutzerklärung. Wenn sie schwer zu finden ist, ist das die Antwort.

„Was bekomme ich, wenn ich kündige?" Eine CSV mit E-Mail-Adressen ist etwas anderes als die Teilnahmehistorie, an der man erkennt, wer regelmäßig da war.

Unsere eigenen Antworten

Weil dieselben drei Fragen für uns gelten.

Der Vertrag. Unser Auftragsverarbeitungsvertrag liegt in anwaltlich geprüfter Fassung vor und wird mit jedem Betreibervertrag elektronisch geschlossen. Ohne ihn nehmen wir keinen Betreiber in den Wirkbetrieb. Bis zum ersten Vertragsschluss werden keine Mitglieder- oder Teilnahmedaten im Auftrag eines Betreibers verarbeitet.

Eigene Zwecke. Wir bauen kein Profil deiner Mitglieder für uns, und wir verkaufen oder teilen keines. Was wir speichern und was wir nicht sehen, steht in der Datenschutzerklärung — dem Dokument, das uns bindet, nicht diese Seite.

Weggehen. Einen Export baust du dir heute noch nicht selbst. Aktuell schreibst du an datenschutz@conpeo.eu und bekommst deine Daten. Das ist eine Lücke im Produkt, nicht im Recht, und sie hier zu nennen ist billiger, als wenn du sie später entdeckst.

Und wenn du Formate in Deutschland betreibst

Wenn du und ein Anbieter gemeinsam über dieselben Daten entscheidet, könnt ihr gemeinsam Verantwortliche nach Art. 26 sein — was eine eigene Vereinbarung verlangt. Es lohnt sich zu fragen, wer sich wofür hält. Vorher, nicht nachher.