DSGVO-konforme Eventsoftware: Was du bei der Tool-Wahl beachten musst

DSGVO-konforme Eventsoftware erkennst du an vier Merkmalen: einem Auftragsverarbeitungsvertrag (AVV), einem Serverstandort in Deutschland oder der EU, einem sauberen Einwilligungsmanagement und einem Löschkonzept für Teilnehmerdaten nach dem Event. Genauso wichtig: Keine Software ist automatisch DSGVO-konform. Ob dein Event datenschutzkonform läuft, entscheidet das Zusammenspiel aus Tool, Prozessen und deinem Umgang mit den Daten.

Als Veranstalter verarbeitest du bei jedem Event personenbezogene Daten in großem Umfang: Anmeldedaten, Check-in-Zeitpunkte, Rechnungsdaten, Fotos, App-Nutzung. Dafür bist du verantwortlich, nicht dein Software-Anbieter. Die Tool-Wahl entscheidet aber darüber, wie viel Aufwand dich diese Verantwortung kostet und wie viele offene Flanken du hast.

In diesem Artikel bekommst du die sechs Kriterien, an denen du DSGVO-konforme Eventsoftware erkennst, eine Checkliste mit konkreten Fragen an Anbieter und eine ehrliche Einordnung, warum US-Tools die Sache komplizierter machen.

Hinweis: Dieser Artikel gibt Orientierung für die Tool-Wahl und ist keine Rechtsberatung. Für verbindliche Fragen zu deinem konkreten Fall sprich mit deinem Datenschutzbeauftragten oder einer spezialisierten Kanzlei.

Key Takeaways

• Keine Eventsoftware ist "automatisch" DSGVO-konform. Verantwortlich für die Daten deiner Teilnehmenden bist du als Veranstalter, die Software ist Auftragsverarbeiter.
• Die vier harten Kriterien: Auftragsverarbeitungsvertrag (AVV), Serverstandort in Deutschland oder der EU, dokumentierbare Einwilligungen und ein Löschkonzept nach dem Event.
• US-Tools sind nicht verboten, aber aufwendiger: Die Rechtsgrundlage für Datentransfers in die USA ist bereits zweimal vor dem EuGH gefallen (Safe Harbor 2015, Privacy Shield 2020).
• Datenminimierung beginnt im Anmeldeformular: Frage nur ab, was du für das Event wirklich brauchst.
• Eine All-in-one-Plattform vereinfacht die Compliance strukturell: ein AVV, ein Datenbestand, ein Löschkonzept statt fünf Einzeltools mit fünf Verträgen.

Was bedeutet "DSGVO-konform" bei Eventsoftware wirklich?

DSGVO-konforme Eventsoftware ist Software, die dich als Veranstalter in die Lage versetzt, die Pflichten der Datenschutz-Grundverordnung (DSGVO) zu erfüllen: rechtssichere Verarbeitung der Teilnehmerdaten, dokumentierte Einwilligungen, Auskunfts- und Löschrechte, nachvollziehbare Datenflüsse. Das Label "DSGVO-konform" auf der Website eines Anbieters ist zunächst ein Marketingbegriff. Prüfbar wird es erst an konkreten Merkmalen: AVV, Serverstandort, Subunternehmer, Lösch- und Rechtekonzept.

Wichtig ist die Rollenverteilung: Du als Veranstalter bist der Verantwortliche im Sinne der DSGVO. Der Software-Anbieter verarbeitet die Daten in deinem Auftrag, als sogenannter Auftragsverarbeiter. Wenn etwas schiefgeht, schaut die Aufsichtsbehörde zuerst auf dich. Deshalb lohnt es sich, die Kriterien vor der Tool-Entscheidung zu prüfen, nicht danach.

Bei einem B2B-Event kommen typischerweise zusammen: Name, E-Mail-Adresse, Firma und Funktion aus der Anmeldung, Rechnungs- und Zahlungsdaten aus dem Ticketing, Check-in-Zeitpunkte, Interaktionsdaten aus der Event-App, dazu Fotos und Videoaufnahmen. Einzelne Angaben wie Essenspräferenzen können sogar Rückschlüsse auf Gesundheit oder Religion zulassen und damit unter die besonders geschützten Datenkategorien fallen. Genug Gründe, die Tool-Wahl ernst zu nehmen.

Die sechs Kriterien für DSGVO-konforme Eventsoftware

1. Auftragsverarbeitungsvertrag (AVV)

Der AVV ist die Grundvoraussetzung, keine Kür. Sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Das gilt für die Eventplattform genauso wie für das kleine Umfrage-Tool oder den Newsletter-Versand.

Woran du einen seriösen Anbieter erkennst: Der AVV liegt als Standard-Dokument bereit, oft direkt zum Download oder als Teil des Vertrags. Er benennt die technischen und organisatorischen Maßnahmen (TOMs), die Löschfristen und die eingesetzten Subunternehmer. Wenn du nach dem AVV erst suchen oder mehrfach fragen musst, ist das ein Warnsignal.

2. Serverstandort und Drittlandtransfers

Die DSGVO schreibt kein Hosting in der EU vor. Aber sie stellt strenge Anforderungen an Datentransfers in sogenannte Drittländer außerhalb der EU. Jeder Transfer braucht eine eigene Rechtsgrundlage, und genau hier entsteht der meiste Prüfaufwand.

Die einfachste Lösung: Ein Anbieter, der die Daten in Deutschland oder der EU hostet und auch seine Subunternehmer entsprechend auswählt. Dann stellt sich die Drittland-Frage gar nicht erst. Frage konkret nach: Wo liegen die Server? Von wo greift der Support auf Daten zu? Welche Subunternehmer sitzen außerhalb der EU?

3. Einwilligungsmanagement: Newsletter, Fotos, Kommunikation

Einwilligungen sind der Bereich, in dem bei Events am meisten schiefgeht. Die Regeln sind klar:

• Keine vorangekreuzten Kästchen. Eine Einwilligung muss aktiv erfolgen, das hat der EuGH eindeutig entschieden. Ein vorausgefülltes Newsletter-Häkchen im Anmeldeformular ist unwirksam.
• Getrennte Zwecke. Die Anmeldung zum Event und die Einwilligung in Marketing-Kommunikation sind zwei verschiedene Dinge. Wer sich anmeldet, hat damit nicht automatisch deinen Newsletter abonniert. Für E-Mail-Marketing ist das Double-Opt-in-Verfahren etablierter Standard.
• Dokumentation. Du musst nachweisen können, wer wann in was eingewilligt hat. Gute Eventsoftware protokolliert Zeitpunkt und Zweck jeder Einwilligung automatisch.
• Fotos und Videos. Erkennbare Personen auf Eventfotos sind personenbezogene Daten. Für Übersichtsaufnahmen der Veranstaltung kommen andere Rechtsgrundlagen in Betracht als für porträthafte Aufnahmen einzelner Teilnehmender, die du später im Marketing nutzen willst. Für Letzteres ist die dokumentierte Einwilligung der sicherste Weg, am besten schon bei der Anmeldung abgefragt. Ein Hinweisschild am Eingang allein trägt die Marketing-Nutzung in der Regel nicht.

Deine Eventsoftware sollte all das abbilden können: eigene Einwilligungsfelder im Anmeldeformular, getrennt nach Zweck, mit Protokoll.

4. Datenminimierung im Anmeldeformular

Art. 5 DSGVO verlangt, dass du nur die Daten erhebst, die du für den Zweck tatsächlich brauchst. Für ein B2B-Event sind das typischerweise Name, E-Mail-Adresse, Firma und Funktion. Geburtsdatum, Privatadresse oder Telefonnummer haben im Standardformular nichts verloren, wenn du sie nicht wirklich benötigst.

Zwei Praxisregeln:

1. Pflichtfelder kritisch prüfen. Alles, was nicht für die Durchführung des Events nötig ist, wird freiwillig oder fliegt raus.
2. Sensible Angaben besonders behandeln. Essenspräferenzen oder Barrierefreiheits-Bedarfe sind legitim abzufragen, aber freiwillig und mit klarem Zweck. Sie können besondere Datenkategorien berühren und verdienen eine eigene Einwilligung.

Für die Tool-Wahl heißt das: Die Software muss flexible Formulare können. Ein starres Anmeldeformular mit fest verdrahteten Pflichtfeldern zwingt dich in die Übererfassung.

5. Löschkonzept: Was passiert nach dem Event?

Die DSGVO kennt den Grundsatz der Speicherbegrenzung: Daten werden gelöscht, wenn der Zweck erfüllt ist. Für ein Event bedeutet das grob drei Datenklassen:

• Durchführungsdaten (Anmeldelisten, Check-in-Daten): nach dem Event zeitnah löschen, sobald du sie nicht mehr brauchst.
• Rechnungs- und Buchungsdaten: unterliegen steuer- und handelsrechtlichen Aufbewahrungsfristen und müssen entsprechend lange aufbewahrt werden. Hier verbietet das Gesetz die vorzeitige Löschung.
• Marketing-Daten (Newsletter-Abonnements): so lange die Einwilligung besteht, keinen Tag länger.

Frage den Anbieter: Kann ich Löschfristen und -regeln im System hinterlegen? Wie schnell kann ich einem Auskunftsersuchen (Art. 15 DSGVO) oder einem Löschverlangen (Art. 17 DSGVO) nachkommen? Ein Tool ohne Löschkonzept verschiebt das Problem auf dich und deine Excel-Disziplin.

6. Subunternehmer, Rollen und Zugriffsrechte

Kaum ein Software-Anbieter arbeitet ohne Subunternehmer (Hosting, E-Mail-Versand, Zahlungsabwicklung). Transparenz ist hier das Kriterium: Eine aktuelle Subunternehmer-Liste gehört in den AVV, und über Änderungen muss der Anbieter dich informieren.

Genauso wichtig ist die Frage, wer in deinem eigenen Team was sieht. Das Check-in-Personal am Eingang braucht den Namen und den Ticketstatus, nicht die Rechnungsdaten aller Teilnehmenden. Gute Eventsoftware bringt dafür eine Rollen- und Rechteverwaltung mit: Jede Person im Team sieht nur die Daten, die sie für ihre Aufgabe braucht. Single Sign-on (SSO) ergänzt das um sauberes Zugangsmanagement über euer bestehendes Firmenkonto.

Warum US-Tools bei der DSGVO kompliziert werden

Vorweg: US-Eventsoftware ist nicht verboten. Aber sie bringt strukturellen Prüfaufwand mit, den du bei einem EU-Anbieter nicht hast.

Der Hintergrund in drei Sätzen: Datentransfers in die USA brauchten schon immer eine besondere Rechtsgrundlage. Zwei davon hat der Europäische Gerichtshof bereits für ungültig erklärt, Safe Harbor im Jahr 2015 und Privacy Shield im Jahr 2020 (das sogenannte Schrems-II-Urteil). Seit 2023 gilt mit dem EU-US Data Privacy Framework die dritte Regelung, gegen die ähnliche Kritikpunkte vorgebracht werden wie gegen ihre Vorgänger.

Was das praktisch für dich bedeutet:

• Nutzt du einen US-Anbieter, musst du prüfen, ob er unter dem Data Privacy Framework zertifiziert ist, oder mit Standardvertragsklauseln plus eigener Risikobewertung arbeiten.
• Fällt die aktuelle Regelung wie ihre Vorgänger, stehst du mitten im Eventjahr vor einer neuen Rechtslage und musst neu bewerten.
• Datenschutzbeauftragte, gerade bei Verbänden und in der öffentlichen Hand, winken US-Tools deshalb oft gar nicht erst durch. Wer dort Events veranstaltet, spart sich mit einem deutschen oder europäischen Anbieter ganze Diskussionsrunden.

Ein Serverstandort in Deutschland oder der EU löst dieses Problem nicht juristisch elegant, sondern lässt es gar nicht erst entstehen.

Checkliste: Diese Fragen stellst du jedem Anbieter

• AVV · Frage an den Anbieter: Gibt es einen Auftragsverarbeitungsvertrag als Standard-Dokument? · Gute Antwort: Ja, liegt bereit, inkl. TOMs und Löschfristen
• Serverstandort · Frage an den Anbieter: Wo werden die Teilnehmerdaten gehostet? · Gute Antwort: Deutschland oder EU, auch bei Subunternehmern
• Drittland · Frage an den Anbieter: Greifen Support oder Subunternehmer aus Drittländern auf Daten zu? · Gute Antwort: Nein, oder klar benannt und abgesichert
• Subunternehmer · Frage an den Anbieter: Gibt es eine aktuelle Subunternehmer-Liste? · Gute Antwort: Ja, im AVV, mit Info-Pflicht bei Änderungen
• Einwilligungen · Frage an den Anbieter: Kann ich eigene Einwilligungsfelder (Newsletter, Fotos) getrennt abfragen und protokollieren? · Gute Antwort: Ja, pro Zweck, mit Zeitstempel
• Formulare · Frage an den Anbieter: Kann ich Anmeldefelder frei definieren (Pflicht vs. freiwillig)? · Gute Antwort: Ja, vollständig konfigurierbar
• Löschkonzept · Frage an den Anbieter: Gibt es Lösch- und Aufbewahrungsregeln im System? · Gute Antwort: Ja, konfigurierbar pro Datenklasse
• Betroffenenrechte · Frage an den Anbieter: Wie schnell kann ich Auskunft geben oder löschen? · Gute Antwort: Export und Löschung pro Person, kurzfristig
• Rollen & Rechte · Frage an den Anbieter: Gibt es eine Rollen- und Rechteverwaltung? · Gute Antwort: Ja, nach Funktion, plus SSO
• Sicherheitsnachweis · Frage an den Anbieter: Gibt es anerkannte Sicherheitsstandards oder Zertifizierungen? · Gute Antwort: Nachweisbar, mit ehrlichem Status Drucke diese Tabelle aus oder kopiere sie in dein Auswahldokument. Ein Anbieter, der auf diese zehn Fragen klare Antworten hat, nimmt dir den größten Teil des Compliance-Aufwands ab.

Wie Streavent die Kriterien beantwortet

Streavent ist eine deutsche All-in-one-Eventplattform für professionelle B2B-Events und wurde von Anfang an für den DACH-Markt gebaut. So beantwortet Streavent die Kriterien aus diesem Artikel:

• Hosting in Deutschland. Die Teilnehmerdaten werden in Deutschland gehostet. Die Drittland-Frage stellt sich damit für die Plattform selbst nicht.
• AVV als Standard. Streavent bietet einen Auftragsverarbeitungsvertrag, du musst ihn nicht erfragen.
• ISO 27001 in Zertifizierung. Streavent arbeitet nach ISO 27001, die Zertifizierung läuft derzeit. Wir schreiben das bewusst so und nicht "zertifiziert": Ehrliche Statusangaben sind Teil sauberer Compliance.
• Einwilligungen und flexible Formulare. In der Registrierung definierst du selbst, welche Felder du abfragst, was Pflicht ist und welche Einwilligungen (etwa für Fotos oder Newsletter) getrennt eingeholt werden.
• Lösch- und Aufbewahrungsregeln. Streavent hat klare Lösch- und Aufbewahrungsregeln für Teilnehmerdaten.
• Rollenverwaltung und SSO auf allen Plänen. Jede Person im Team sieht nur, was sie für ihre Aufgabe braucht, vom Check-in-Personal bis zur Projektleitung.
• Ein System statt fünf Tools. Registrierung, Ticketing, Check-in, Event-App und Zertifikate laufen auf einer Plattform. Das heißt: ein AVV, ein Datenbestand, ein Löschkonzept. Jedes zusätzliche Einzeltool wäre ein weiterer Vertrag, ein weiterer Datenfluss und eine weitere Fehlerquelle.
• Barrierefreiheit als verwandte Pflicht. Anmeldung und Event-Websites sind EAA-konform gebaut, auf allen Plänen. Für Verbände und öffentliche Auftraggeber gehört das neben der DSGVO inzwischen fest zum Pflichtenkatalog. Mehr dazu auf der Seite Eventsoftware für Behörden.

FAQ: DSGVO und Eventsoftware

Welche Eventsoftware ist DSGVO-konform?

DSGVO-konform einsetzbar ist Eventsoftware, die in der EU (idealerweise in Deutschland) hostet, einen Auftragsverarbeitungsvertrag bietet, Einwilligungen dokumentiert und ein Löschkonzept mitbringt. Streavent erfüllt diese Kriterien mit Hosting in Deutschland, AVV, Rollenverwaltung und klaren Löschregeln. Entscheidend bleibt aber immer auch dein eigener Umgang mit den Daten.

Brauche ich einen AVV mit meiner Eventsoftware?

Ja. Sobald ein Anbieter personenbezogene Daten deiner Teilnehmenden in deinem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Das gilt auch für kleine Zusatz-Tools wie Umfrage- oder E-Mail-Dienste. Ohne AVV ist die Verarbeitung nicht rechtskonform.

Darf ich US-Eventsoftware nutzen?

Grundsätzlich ja, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit einer Risikobewertung vorliegen. Praktisch bedeutet das laufenden Prüfaufwand, denn die Rechtsgrundlage für US-Datentransfers ist bereits zweimal vor dem EuGH gefallen. Mit einem Anbieter, der in Deutschland oder der EU hostet, entfällt diese Frage.

Wie lange darf ich Teilnehmerdaten nach dem Event speichern?

So lange, wie der Zweck es erfordert. Anmelde- und Check-in-Daten löschst du zeitnah nach dem Event. Rechnungsdaten musst du dagegen nach steuer- und handelsrechtlichen Fristen aufbewahren. Marketing-Daten wie Newsletter-Adressen darfst du behalten, solange die Einwilligung besteht.

Brauche ich eine Einwilligung für Fotos auf meinem Event?

Erkennbare Personen auf Fotos sind personenbezogene Daten. Für Übersichtsaufnahmen der Veranstaltung kommen je nach Fall verschiedene Rechtsgrundlagen in Betracht. Willst du Aufnahmen einzelner Teilnehmender im Marketing nutzen, ist die dokumentierte Einwilligung der sicherste Weg, am besten schon im Anmeldeformular abgefragt. Ein Hinweisschild allein reicht dafür in der Regel nicht.

Macht DSGVO-konforme Software mein Event automatisch datenschutzkonform?

Nein. Die Software liefert die Werkzeuge: AVV, sichere Infrastruktur, Einwilligungsfelder, Löschregeln, Rechteverwaltung. Datenschutzkonform wird dein Event erst, wenn du sie richtig einsetzt: sparsame Formulare, saubere Einwilligungen, keine Teilnehmerlisten an Sponsoren ohne Zustimmung, Löschung nach dem Event.

Fazit: Compliance ist ein Auswahlkriterium, kein Nachtrag

Die DSGVO-Frage gehört an den Anfang deiner Tool-Entscheidung, nicht ans Ende. Mit den sechs Kriterien (AVV, Serverstandort, Einwilligungen, Datenminimierung, Löschkonzept, Rollen und Subunternehmer) und der Checkliste aus diesem Artikel kannst du jeden Anbieter in 30 Minuten seriös prüfen. Ein deutscher Anbieter mit Hosting in Deutschland nimmt dir dabei die komplette Drittland-Diskussion ab.

Wenn du sehen willst, wie DSGVO-konforme Eventsoftware in der Praxis aussieht, mit Registrierung, Check-in und Event-App aus einem System: Buche eine Demo und bring deinen Datenschutzbeauftragten gern direkt mit.