DPA, Retention, Einwilligung: eine Beschaffungsgliederung für Agenturen

Typischerweise: ein Datenverarbeitungsvertrag (DPA), wo die Daten gehostet werden (EU, keine Drittlandübermittlung?), Aufbewahrungsfristen und wer die Löschung kontrolliert, wie Gastzustimmung eingeholt wird, Löschfähigkeit und — für größere Käufer — Zugriffskontrollen wie SSO. Wenn diese Punkte vorab beantwortet sind, geht der Deal schneller. Gathmo deckt das mit einer EU-gehosteten Plattform (Frankfurt), einem GDPR-Art.-28-DPA auf Anfrage, definierter Retention, Zustimmungs- und Löschwerkzeugen sowie SSO im Enterprise-Plan ab.

Es ist der Vertrag, den man nach DSGVO abschließen muss, um die Rollen zwischen Verantwortlichem und Auftragsverarbeiter zu formalisieren, und Kunden aus dem Unternehmens- oder öffentlichen Bereich unterschreiben ihn nicht ohne diesen. Normalerweise bist du als Veranstalter der Verantwortliche; du und die Plattform stehen in der Verarbeitungskette. Gathmo stellt die DPA auf Anfrage bereit, damit du als Agentur sofort liefern kannst, statt zum Anbieter zurückgehen zu müssen — genau das bremst oft Deals.

Gathmo hostet Gästemedien in der EU (Frankfurt) ohne Übermittlung in Drittstaaten. Für die Beschaffung bedeutet das: Sie können die Frage nach dem Datenstandort klar beantworten, ohne auf Standardvertragsklauseln oder Transfer-Risikoanalysen zurückgreifen zu müssen. EU-Hosting ohne Drittlandtransfer ist die einfachste Antwort für einen europäischen Käufer und eine immer häufiger harte Voraussetzung in Ausschreibungen.

Gästemedien werden für ein festgelegtes, zum Event passendes Zeitfenster gespeichert und danach gelöscht; die Löschung lässt sich vom Gastgeber steuern – inklusive Löschfunktionen, mit denen konkrete Löschanfragen umgesetzt werden. Die DSGVO verlangt, dass Daten nicht länger aufbewahrt werden als nötig, deshalb ist ein klarer, konsistent kommunizierbarer Aufbewahrungszeitraum genau das, was Beschaffungsentscheider hören wollen. Dokumentiere das verwendete Fenster, damit du es bei Bedarf sauber erklären kannst.

Beim Upload werden die Gäste darüber informiert, was erhoben wird und warum, und ihre Einwilligung wird im Ablauf festgehalten. Als Agentur solltet ihr sicherstellen, dass Beschilderung und Upload-Hinweis den Zweck klar erklären. Die Plattform erfasst die Zustimmung und stellt Löschwerkzeuge bereit; die Prüfung auf der Verantwortlichenseite (Rechtsgrundlage, Wortlaut der Hinweise) bleibt bei euch oder eurem Kunden. Das sauber zu erklären, gibt der Beschaffung die Sicherheit, dass Zustimmung bewusst statt zufällig gehandhabt wird.

Größere Organisationen verlangen häufig Single Sign-On (SSO) für den Zugang und manchmal gebrandete SMS für die Gästekommunikation. Gathmos Enterprise-Plan (699 €/Monat-Äquivalent, 6.990 €/Jahr) ergänzt SSO und gebrandete SMS auf Top der EU-Hosting-Basis und der kompletten Funktionspalette. Für die meisten Agenturaufträge reicht Agency (199 €/Monat-Äquivalent), aber wenn eine Ausschreibung SSO oder Enterprise-Identity verlangt, ist Enterprise der passende Tarif.

Habe die Vereinbarung zur Auftragsverarbeitung (DPA) griffbereit, weiß deine Aussage zum Datenstandort (EU-gehostet, kein Transfer in Drittländer), kannst dein Aufbewahrungsfenster und den Löschprozess klar benennen und verstehst den Zustimmungsfluss. Ist der Kunde groß, kläre, ob SSO nötig ist, damit du gegebenenfalls Enterprise anbieten kannst. Mit diesen Punkten schon beantwortet in den Raum zu gehen – statt erst „müssen wir noch herausfinden“ – macht dich als Agentur zu einem verlässlichen, vorbereiteten Anbieter.