Eventsoftware Made in Germany: Warum Datenschutz und Hosting-Standort bei B2B-Events entscheiden

Eventsoftware „Made in Germany“ bedeutet mehr als ein Serverstandort in Frankfurt. Wichtig ist auch, welchem Recht der Anbieter unterliegt und welche Dienstleister er für Hosting, E-Mail-Versand oder die Datenbank einsetzt. Ein deutsches Unternehmen fällt unter deutsches und europäisches Datenschutzrecht, ein US-Anbieter unterliegt zusätzlich US-Recht, selbst wenn seine Server in Deutschland stehen. Für B2B-Events mit sensiblen Teilnehmerlisten sind das Auswahlkriterien zum Nachprüfen, kein Detail für die Fußzeile.

Wenn du einen Kongress, eine Verbandstagung oder ein Corporate Event organisierst, verarbeitest du die Daten von Geschäftsführenden, Amtsträgern, Referierenden und Gästen. Wer diese Daten am Ende einsehen darf, entscheidet sich lange vor dem Event: bei der Wahl der Software.

In diesem Artikel liest du, was „Made in Germany“ bei Eventsoftware konkret heißt, warum der Serverstandort allein nicht reicht, und woran du einen Anbieter erkennst, der Datenschutz nicht nur behauptet.

Hinweis: Dieser Artikel gibt Orientierung für die Tool-Wahl und ist keine Rechtsberatung. Für verbindliche Fragen zu deinem konkreten Fall sprich mit deinem Datenschutzbeauftragten oder einer spezialisierten Kanzlei.

Key Takeaways

• „Made in Germany“ ist bei Eventsoftware kein geschützter Begriff. Aussagekräftig wird er erst durch Angaben, die du prüfen kannst: Hosting-Standort, Subunternehmer, Auftragsverarbeitungsvertrag und Unternehmenssitz.
• Ein deutscher Serverstandort schützt nicht automatisch: Unterliegt der Anbieter US-Recht (etwa als US-Tochter oder mit US-Mutterkonzern), kann der US CLOUD Act greifen, unabhängig davon, wo die Server stehen. Dieselbe Frage stellt sich bei den Dienstleistern, die ein Anbieter selbst einsetzt.
• Bei B2B-Events sind die Daten besonders sensibel: Teilnehmerlisten von Führungskräften, Amtsträgern und VIPs, dazu Kontaktdaten, Essenspräferenzen und Bewegungsdaten aus der Event-App.
• Für Verbände und die öffentliche Hand ist der Hosting-Standort oft eine harte Vergabe- und Compliance-Anforderung, kein Nice-to-have.
• Ob „Made in Germany“ trägt, prüfst du an fünf Punkten: Hosting-Standort; Subunternehmer und ihr Verarbeitungsort; Auftragsverarbeitungsvertrag; Unternehmenssitz und Support; Zertifizierungsstatus, ehrlich benannt.

Was bedeutet „Made in Germany“ bei Eventsoftware wirklich?

Eine feste Definition gibt es nicht. Wenn der Begriff bei Eventsoftware etwas heißen soll, dann das: Ein Unternehmen mit Sitz in Deutschland entwickelt und betreibt die Software, die Plattform wird in Deutschland gehostet, und die Dienstleister, die dabei Teilnehmerdaten verarbeiten, tun das innerhalb der EU. Geregelt ist das in einem Auftragsverarbeitungsvertrag, den du beim Anbieter anfordern kannst. Der Serverstandort ist ein Teil davon, aber nicht der ganze.

Der Begriff wird oft auf ein einziges Merkmal verkürzt, das Rechenzentrum. Ein Frankfurter oder Berliner Serverstandort klingt beruhigend und steht auf vielen Anbieterseiten. Genauso wichtig ist aber, wer über den Zugriff bestimmt. Das hängt daran, welchem Recht das Unternehmen unterliegt, das die Software betreibt, und welchem Recht seine Dienstleister unterliegen.

Für dich als Veranstalter ist das der Unterschied zwischen einer Compliance-Frage, die du einmal klärst, und einer, die dich das ganze Eventjahr begleitet. Ein Anbieter, der Hosting-Standort und Subunternehmer offenlegt und im Auftragsverarbeitungsvertrag regelt, beantwortet dir genau diese Fragen. Nennt er nur „Server in Deutschland“, bleibt die Frage offen.

Warum der Serverstandort allein nicht reicht

Der Serverstandort in Deutschland ist ein wichtiger Punkt, doch er beantwortet nicht jede Frage. Der Grund heißt US CLOUD Act. Dieses US-Gesetz verpflichtet Anbieter, die der Gerichtsbarkeit der USA unterliegen, US-Behörden Zugriff auf gespeicherte Daten zu gewähren, und zwar unabhängig davon, ob die Daten in den USA oder außerhalb gespeichert sind. Ausschlaggebend ist die Kontrolle über den Anbieter, nicht der physische Speicherort.

Praktisch heißt das: Betreibt ein US-Unternehmen die Eventplattform oder kontrolliert es sie über einen Mutterkonzern, kann der CLOUD Act greifen, auch wenn die Server nachweislich in einem deutschen Rechenzentrum stehen. Der deutsche Standort löst das Problem juristisch nicht, er verdeckt es nur.

Die Frage endet nicht beim Anbieter selbst. Eine Eventplattform arbeitet in der Regel mit Dienstleistern, etwa für das Rechenzentrum, den E-Mail-Versand oder die Datenbank. Wer diese Dienstleister sind und wo sie Daten verarbeiten, steht in der Subunternehmer-Liste zum Auftragsverarbeitungsvertrag. Wer den Begriff ernst meint, meint damit genau das: Der Anbieter legt diese Angaben offen, und du kannst sie prüfen.

Das ist auch der Punkt, an dem sich viele „DSGVO-konform“-Versprechen relativieren. Die Datenschutz-Grundverordnung schreibt kein Hosting in der EU vor. Sie stellt aber strenge Anforderungen an Transfers in Drittländer, und die Rechtsgrundlage für US-Transfers ist bereits zweimal vor dem Europäischen Gerichtshof gefallen (Safe Harbor 2015, Privacy Shield 2020). Seit 2023 ist das EU-US Data Privacy Framework die Grundlage für Übermittlungen an zertifizierte US-Unternehmen.

Welche Teilnehmerdaten bei B2B-Events besonders schützenswert sind

B2B-Events produzieren einen dichten, sensiblen Datenbestand. Bei einem einzigen Kongress kommen typischerweise zusammen:

• Identitäts- und Kontaktdaten aus der Anmeldung: Name, Funktion, Firma, E-Mail, teils Telefonnummer.
• Rollen mit erhöhtem Schutzbedarf: Führungskräfte, Amtsträger, Politikerinnen und Politiker, Referierende. Bei Verbänden und in der öffentlichen Hand ist die Teilnehmerliste selbst schon eine schützenswerte Information.
• Bewegungs- und Interaktionsdaten: Check-in-Zeitpunkte, besuchte Sessions, Nutzung der Event-App, Netzwerkkontakte.
• Besondere Kategorien: Essenspräferenzen oder Barrierefreiheits-Bedarfe können Rückschlüsse auf Religion oder Gesundheit zulassen und damit unter die besonders geschützten Datenkategorien der DSGVO fallen.

Wer über die Teilnehmenden eines hochkarätigen Events verfügt, weiß, wer wen wann getroffen hat. Das ist ein anderes Risikoprofil als eine anonyme Newsletter-Liste. Für Veranstaltende in sicherheitssensiblen Branchen, in Ministerien, Behörden oder bei Verbänden mit politischem Auftrag ist der ausländische Zugriff auf solche Daten kein theoretisches Szenario, sondern ein Ausschlusskriterium bei der Tool-Wahl.

Digitale Souveränität als Entscheidungskriterium

Digitale Souveränität bedeutet, dass eine Organisation ihre Daten, Prozesse und Systeme rechtlich und organisatorisch selbst kontrolliert, ohne Zugriffsmöglichkeiten von Behörden aus Drittländern. Für Eventsoftware heißt das: Du behältst die Kontrolle darüber, wer deine Teilnehmerdaten sehen kann, ohne dich dafür auf die Zusicherungen eines ausländischen Anbieters verlassen zu müssen.

Für professionelle Veranstaltende wird dieses Kriterium aus vier Gründen konkret:

1. Vergabe- und Vertragsanforderungen. Immer mehr Ausschreibungen und Rahmenverträge schreiben Datenhaltung und Gerichtsbarkeit in Deutschland oder der EU verbindlich vor. Wer eine solche Anforderung erfüllen muss, braucht Belege für die Vergabestelle: Hosting-Standort, Subunternehmer-Liste und Auftragsverarbeitungsvertrag.
2. Weniger laufender Prüfaufwand. Für eine Verarbeitung außerhalb der EU brauchst du eine Grundlage für den Drittlandtransfer, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln, teils mit eigener Risikobewertung. Verarbeiten Anbieter und Subunternehmer die Daten innerhalb der EU, entfällt dieser Teil der Prüfung weitgehend. Das reduziert den Aufwand für Datenschutz-Dokumentation und Audits.
3. Vertrauen und Reputation. Für Verbände, Behörden und viele Unternehmen ist die öffentliche Diskussion über Drittland-Transfers ein Reputationsrisiko. Wer Hosting-Standort und Subunternehmer offen benennt, gibt dir die Fakten für diese Diskussion an die Hand.
4. Planungssicherheit. Fällt eine Regelung für US-Transfers wie ihre beiden Vorgänger, stehst du mitten im Eventjahr vor einer neuen Rechtslage. Je weniger deiner Daten über eine solche Regelung verarbeitet werden, desto weniger trifft dich das.

Digitale Souveränität ist damit kein abstraktes IT-Thema, sondern eine handfeste Frage der Auswahl. Sie gehört an den Anfang der Tool-Entscheidung, nicht in die Fußnote.

Made in Germany vs. US-Anbieter: der Unterschied im Eventalltag

Ein deutscher Anbieter und ein US-Anbieter können beide in Frankfurt hosten. Der Unterschied liegt darin, wer dein Vertragspartner ist und welches Recht für wen gilt. Diese Übersicht fasst zusammen, wo er im Eventalltag konkret wird:

• Vertragspartner · Deutscher Anbieter (Made in Germany): Unternehmen mit Sitz in Deutschland, deutsches und EU-Recht · US-Anbieter mit EU-Hosting: teils eine EU-Tochter, der Konzern dahinter unterliegt US-Recht
• CLOUD Act · Deutscher Anbieter (Made in Germany): gilt für den Anbieter selbst nur, wenn er der US-Gerichtsbarkeit unterliegt; bei Subunternehmern aus US-Konzernen zu prüfen · US-Anbieter mit EU-Hosting: kann den Anbieter selbst betreffen, unabhängig vom Serverstandort
• Grundlage für Drittlandtransfers · Deutscher Anbieter (Made in Germany): nur nötig, soweit ein Subunternehmer außerhalb der EU verarbeitet · US-Anbieter mit EU-Hosting: nötig, sobald Daten in die USA gehen, etwa über das Data Privacy Framework oder Standardvertragsklauseln
• Laufender Prüfaufwand · Deutscher Anbieter (Made in Germany): Subunternehmer-Liste bei Änderungen prüfen · US-Anbieter mit EU-Hosting: zusätzlich die Grundlage für US-Transfers prüfen
• Neue Rechtslage zu US-Transfers · Deutscher Anbieter (Made in Germany): betrifft dich nur, soweit Subunternehmer darauf angewiesen sind · US-Anbieter mit EU-Hosting: betrifft den Anbieter direkt, Neubewertung nötig

Für dich bedeutet das im Alltag vor allem eines: Beim deutschen Anbieter bleiben weniger offene Fragen, und die verbleibenden beantwortet die Subunternehmer-Liste. Nimm sie in das Gespräch mit deinem Datenschutzbeauftragten mit.

Woran du erkennst, was hinter „Made in Germany“ steckt

„Made in Germany“ ist kein geschützter Begriff. Ein Serverstandort-Hinweis auf der Website reicht als Nachweis nicht. Prüf stattdessen diese fünf Punkte, dann weißt du, was hinter dem Begriff steht:

• Hosting-Standort. Wo steht das Rechenzentrum, in dem die Plattform läuft, und wer betreibt es? Die Angabe gehört in den Auftragsverarbeitungsvertrag (AVV).
• Subunternehmer und ihr Verarbeitungsort. Welche Dienstleister verarbeiten Teilnehmerdaten, etwa für Hosting, E-Mail-Versand oder Analytics, und in welchem Land? Die Subunternehmer-Liste im AVV gibt Auskunft. Gehört ein Dienstleister zu einem US-Konzern, frag nach, wo er die Daten verarbeitet und wie der Zugriff vertraglich geregelt ist.
• Auftragsverarbeitungsvertrag. Bietet der Anbieter einen AVV nach Art. 28 DSGVO an, und bekommst du ihn vor Vertragsschluss zu sehen? Er regelt, was der Anbieter mit den Daten tun darf und welche Subunternehmer er einsetzen darf.
• Unternehmenssitz und Support. Wo ist das Unternehmen registriert (Impressum, Handelsregister), und wie erreichst du den Support, wenn am Eventtag etwas nicht läuft?
• Ehrlicher Zertifizierungsstatus. Ein seriöser Anbieter benennt seinen Sicherheitsstandard präzise. „Die Zertifizierung nach ISO 27001 ist in Vorbereitung“ ist eine ehrliche Angabe, „zertifiziert“ ohne Nachweis ist ein Warnsignal.

Wenn ein Anbieter auf diese fünf Fragen klare Antworten hat, ist „Made in Germany“ mehr als ein Siegel. Wenn er ausweicht, weißt du genug.

Die tiefergehende Compliance-Prüfung, also AVV, Einwilligungsmanagement, Löschkonzept und Datenminimierung, ist ein eigenes Thema. Der Hosting-Standort und die Gerichtsbarkeit sind der erste Filter, den ein Anbieter passieren muss, bevor sich die weiteren Fragen überhaupt lohnen.

Wie Streavent auf Datenschutz und Hosting-Standort setzt

Streavent ist eine deutsche All-in-One-Eventplattform für professionelle B2B-Events, entwickelt und gehostet in Deutschland. So beantwortet Streavent die Punkte aus diesem Artikel:

• Hosting in Deutschland, Subunternehmer in der EU. Die Plattform wird in Frankfurt gehostet, ihre Subunternehmer verarbeiten Daten innerhalb der EU. Die Einzelheiten dazu stehen im Auftragsverarbeitungsvertrag.
• Sitz in Deutschland. Streavent wird in Deutschland entwickelt und betrieben und unterliegt als deutsches Unternehmen dem deutschen und europäischen Datenschutzrecht. Den Support erreichst du in allen Plänen per E-Mail, ab Pro Event auch per Telefon.
• DSGVO-konform, AVV in jedem Plan. Den Auftragsverarbeitungsvertrag bekommst du auf Anfrage, mit den Einzelheiten zu den Subunternehmern.
• ISO 27001. Die Zertifizierung nach ISO 27001 ist in Vorbereitung. Wir schreiben das bewusst so und nicht „zertifiziert“: Ehrliche Statusangaben gehören zu sauberer Compliance.
• Rollenverwaltung und SSO auf allen Plänen. Jede Person im Team sieht nur die Daten, die sie für ihre Aufgabe braucht, vom Check-in-Personal bis zur Projektleitung. Single Sign-on ergänzt das um sauberes Zugangsmanagement.
• Barrierefreiheit als verwandte Pflicht. Anmeldung und Event-Websites sind EAA-konform gebaut, auf allen Plänen. Für Verbände und öffentliche Auftraggeber gehört das neben dem Datenschutz fest zum Pflichtenkatalog.
• Ein System statt fünf Tools. Registrierung, Check-in, Badge-Druck, Event-App und Zertifikate laufen auf einer Plattform. Das heißt: ein AVV, ein Datenbestand, ein Hosting-Standort. Jedes zusätzliche Einzeltool wäre ein weiterer Vertrag und ein weiterer Datenfluss, den du prüfen müsstest.

Wie Streavent die Anforderungen der öffentlichen Hand konkret abdeckt, liest du auf der Seite Eventsoftware für Behörden.

FAQ: Made in Germany, Datenschutz und Hosting

Was bedeutet „Made in Germany“ bei Eventsoftware?

Der Begriff ist nicht geschützt. Gewicht bekommt er erst, wenn ein Unternehmen mit Sitz in Deutschland die Software entwickelt und betreibt, die Plattform in Deutschland gehostet wird und die Subunternehmer Daten innerhalb der EU verarbeiten. Das kannst du im Impressum und im Auftragsverarbeitungsvertrag nachprüfen.

Reicht ein deutscher Serverstandort für Datenschutz aus?

Nein. Ein deutscher Serverstandort ist ein wichtiger Punkt. Unterliegt der Anbieter US-Recht, etwa als Tochter eines US-Konzerns, kann der US CLOUD Act US-Behörden Zugriff verschaffen, unabhängig davon, wo die Server stehen. Dieselbe Frage stellt sich bei seinen Dienstleistern, deshalb gehört auch die Subunternehmer-Liste im Auftragsverarbeitungsvertrag in die Prüfung.

Was ist der US CLOUD Act und warum betrifft er Eventdaten?

Der US CLOUD Act verpflichtet Anbieter unter US-Gerichtsbarkeit, US-Behörden Zugriff auf gespeicherte Daten zu gewähren, weltweit. Für Eventveranstaltende heißt das: Nutzt du einen US-Anbieter, können deine Teilnehmerdaten grundsätzlich unter dieses Gesetz fallen, auch bei einem Serverstandort in Deutschland.

Darf ich US-Eventsoftware in der EU überhaupt nutzen?

Grundsätzlich ja, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit einer Risikobewertung vorliegen. Praktisch bedeutet das laufenden Prüfaufwand, denn die Rechtsgrundlage für US-Transfers ist bereits zweimal vor dem Europäischen Gerichtshof gefallen. Bei einem deutschen Anbieter mit Subunternehmern in der EU prüfst du stattdessen vor allem die Subunternehmer-Liste.

Warum ist der Hosting-Standort für Verbände und Behörden besonders wichtig?

Weil hier oft besonders sensible Teilnehmerdaten verarbeitet werden und die Datenhaltung in Deutschland oder der EU häufig eine verbindliche Vergabe- oder Compliance-Anforderung ist. Ein Anbieter mit Hosting in Deutschland und Subunternehmern in der EU kann diese Anforderung mit Hosting-Standort, Subunternehmer-Liste und Auftragsverarbeitungsvertrag belegen.

Woran erkenne ich einen echten deutschen Anbieter?

An fünf Punkten, die du nachprüfen kannst: Hosting-Standort; Subunternehmer und ihr Verarbeitungsort; Auftragsverarbeitungsvertrag; Unternehmenssitz und Support; Zertifizierungsstatus, ehrlich benannt. Ein Serverstandort-Hinweis allein reicht als Nachweis nicht.

Fazit: Hosting-Standort ist ein Auswahlkriterium, kein Siegel

Bei B2B-Events entscheidet der Hosting-Standort mit darüber, wer deine Teilnehmerdaten am Ende einsehen kann. „Made in Germany“ ist dabei nur dann ein echter Vorteil, wenn der Anbieter die Angaben dahinter offenlegt: wo gehostet wird, welche Subunternehmer wo verarbeiten, was im Auftragsverarbeitungsvertrag steht und wo das Unternehmen sitzt. Mit diesen Angaben gehst du mit Fakten statt mit Behauptungen ins Gespräch, mit deinem Datenschutzbeauftragten wie mit der Vergabestelle.

Wenn du sehen willst, wie eine in Deutschland entwickelte und gehostete Eventplattform in der Praxis aussieht, mit Registrierung, Check-in und Event-App aus einem System: Buche eine Demo und bring deinen Datenschutzbeauftragten gern direkt mit.