Ist deine kostenlose QR-Foto-App ein DSGVO-Problem?

Für professionelle oder Unternehmenskunden: ja. Kostenfreie Verbraucher-Apps geben oft nicht an, wo Gäste-Daten gehostet werden oder ob sie die EU verlassen, bieten selten eine Vereinbarung zur Auftragsverarbeitung an und monetarisieren Daten oder zeigen Werbung – und Aufbewahrung sowie Löschung sind oft intransparent. Sobald Ihr Name oder der Ihres Kunden auf der Veranstaltung steht, werden diese Lücken zu Ihrer Haftung. Für Kundenprojekte minimiert eine professionell ausgerichtete Plattform (EU-gehostet, DPA verfügbar, klare Aufbewahrungs- und Löschregeln) das Risiko. Dies ist allgemeine Orientierung, keine Rechtsberatung.

Nicht die Qualität — die Compliance-Haltung. Verbraucher-Apps sind nicht darauf ausgelegt, was professionelle und Unternehmensarbeit verlangt: dokumentierter Datenstandort, ein DPA, feste Aufbewahrungsfristen, Consent-Management und Löschung. Wenn ein Rechtsbereich eines Kunden danach fragt (oder ein Vorfall passiert), ist ein kostenloses Tool ohne diese Funktionen ein Risiko. Der Komfort ist real, aber für bezahlte Kundenprojekte macht der fehlende Compliance-Layer dich verwundbar.

Oft kannst du es nicht — und genau das ist das Problem. Viele kostenlose Consumer-Apps geben ihren Hosting-Standort oder ob Daten außerhalb der EU übertragen werden nicht klar an. Und sie haben möglicherweise nicht die Dokumentation dazu. Für EU-Events ist das Nicht-beantworten der Datenstandort-Frage selbst ein Warnsignal. Eine professionelle Plattform sagt es klar: Gathmo is EU-gehostet in Frankfurt ohne Drittlandsübertragung — so kannst du antworten statt zu raten.

Normalerweise nicht. Eine Vereinbarung zur Auftragsdatenverarbeitung (DSGVO Art. 28) stellen professionelle Plattformen bereit, aber kostenlose Consumer-Tools meistens nicht — das heißt, die Beziehung zwischen Verantwortlichem und Verarbeiter lässt sich für einen Unternehmenskunden nicht sauber dokumentieren. Ohne DPA erfüllt man die Corporate-Beschaffung nicht, daher ist eine kostenlose App faktisch ein Limit für professionelle Kundenarbeit. Gathmo stellt auf Anfrage eine DPA bereit und hebt diese Sperre auf.

Eine Plattform für professionellen Einsatz: EU-hosted, mit verfügbarem DPA, klaren Retentionsfenstern sowie Einwilligungs- und Löschwerkzeugen, plus Moderation für UGC-Sicherheit unter eurer Marke. Diese Kombination ermöglicht es euch, euren Namen auf Gästemedien zu setzen, ohne eine Compliance-Lücke zu erben. Gathmo bietet alles — EU-Hosting in Frankfurt, Artikel-28-DPA, kein Drittlandtransfer, Retentions- und Löschwerkzeuge — deshalb ist es für Kundenprojekte geeignet, in denen eine kostenlose Konsumenten-App nicht reicht.

Das Risiko steigt mit dem Klienten, nicht mit der Eventgröße. Eine kleine private Feier, die du informell leitest, ist geringes Risiko; sobald du von einem Unternehmenskunden bezahlt wirst oder Fotos von Kindern oder Mitarbeitenden behandelst, steigen die Compliance-Erwartungen unabhängig von der Gästezahl. Unternehmensklienten fragen besonders nach Dokumentation, die eine kostenlose App nicht liefern kann. Für jede bezahlte Kundenarbeit ist ein professionelles, EU-gehostetes Plattformmodell die sicherere Grundlinie.

Sie übernimmt die Verarbeiterseite und schließt die größten Lücken, aber die Verantwortlichkeitsaufgaben auf Controllersicht bleiben bei dir: eine Rechtsgrundlage, klare Hinweise an Gäste und deine gewählte Aufbewahrungsdauer. Eine EU-gehostete Plattform mit DPA, Erfassung von Zustimmung und Löschfunktionen übernimmt den Großteil der Last und liefert Dokumente, die Kunden erwarten. Für deine konkreten Pflichten lies unseren Leitfaden zu DSGVO für Eventfotografen und konsultiere für vertragliche Fragen einen Fachmann.