Datenverarbeitungsvereinbarungen für Event-Technologie: Worauf Sie achten sollten, bevor Sie unterschreiben

Ein Foto-Tool für deine nächste Konferenz klingt wie ein kleiner Kauf. Es ist eine einzige Veranstaltung, ein paar hundert Teilnehmende, ein QR-Code auf einer Lanyard. Dann fragt die Rechtsabteilung nach dem DPA, und der kleine Kauf wird eine Beschaffungsentscheidung — denn in dem Moment, in dem dieses Tool ein Foto einer identifizierbaren Person sammelt, verarbeitet es personenbezogene Daten in deinem Auftrag, und der Vertrag für diese Verarbeitung ist der DPA.

Was dieser Leitfaden ist und was nicht. Er ist eine allgemeine Orientierung, um eine Anbieterbewertung zu strukturieren — keine Rechtsberatung. Für deinen konkreten Fall bitte DPO oder Rechtsberater einbeziehen. Preise und Produktfunktionen ändern sich; prüfe vor Nutzung nach.

Erstens: Warum braucht Event-Software überhaupt eine DPA?

Die DPA ist kein Boilerplate. Sie ist das Rechtsinstrument, das DSGVO verlangt, wann immer eine Organisation personenbezogene Daten im Auftrag einer anderen verarbeitet, und sie existiert wegen der Aufgabentrennung der Verordnung. Wenn du ein Firmen-Event organisierst und dich entscheidest, Fotos und Videos der Teilnehmer zu sammeln, ist deine Organisation der Verantwortliche — du entscheidest, warum und wie die Daten verarbeitet werden. Die Foto-Plattform, die diese Bilder auf deinen Anweisungen speichert und anzeigt, ist der Verarbeiter. Art. 28 sagt, dass diese Beziehung „durch Vertrag oder andere Rechtsakte“ zwischen den Parteien geregelt wird — eine schriftliche Vereinbarung über Gegenstand und Dauer der Verarbeitung, deren Art und Zweck, die Art der personenbezogenen Daten und Kategorien der Betroffenen sowie die Rechte und Pflichten des Verantwortlichen (Art. 28 Abs. 3 DSGVO).

Wenn ein Event-Technologieanbieter personenbezogene Daten Ihrer Teilnehmenden verarbeitet, verpflichtet Sie das EU-Recht zu einer DPA — es gibt keine „einmaliges Event“-Ausnahme, und die Pflicht trifft Sie als Verantwortliche ebenso wie den Anbieter. Eine fehlende oder schwache DPA ist daher ein Deal-Stopper, kein nettes Extra: sie ist das zentrale Dokument, das die gesamte Konstruktion rechtmäßig macht.

Ein wichtiger Hinweis zum Geltungsbereich: alles nachfolgend Gehaltene bezieht sich auf übliche Foto- und Videogalerien — das Speichern und Anzeigen von Bildern. Wenn ein Tool Gesichts­erkennung einsetzt, um Teilnehmende zu gruppieren oder zu identifizieren, ändern sich Daten und Pflichten wesentlich (unten mehr zu Subprozessoren); eine Gesichtsreferenz, die eine Person eindeutig identifiziert, ist biometrisch und fällt unter ein strengeres Regime (DSGVO Art. 9(1), Erwägungsgrund 51).

Was eine DSGVO Art. 28 Auftragsverarbeitungsvereinbarung enthalten muss

Eine DPA ist nicht „gut“, nur weil sie lang ist oder auf Briefpapier einer Kanzlei steht. Sie ist gut, wenn sie tatsächlich enthält, was Art. 28(3) verlangt. Prüfe jede Vereinbarung eines Anbieters anhand dieser Elemente — eine DPA, der sie fehlen, ist unvollständig, egal wie professionell sie aussieht:

• Die Verarbeitungsbeschreibung — Gegenstand und Dauer, Natur und Zweck, Art der personenbezogenen Daten sowie Kategorien der betroffenen Personen (Art. 28 Abs. 3). Für Event-Medien muss erkennbar sein, dass der Auftragsverarbeiter die Fotos, Videos und etwaigen Sprachnachrichten der Teilnehmenden verarbeitet, um sie zu sammeln und anzuzeigen, für einen definierten Zeitraum. Undurchsichtigkeit ist hier selbst ein Warnsignal.

• Nur Verarbeitung nach dokumentierten Anweisungen (Art. 28 Abs. 3 lit. a) — du bestimmst, was mit den Fotos passiert; der Anbieter darf sie nicht anders verwerten.

• Eine Vertraulichkeitsverpflichtung für alle vom Verarbeiter Bevollmächtigten (Art. 28(3)(b)).

• Art. 32 Sicherheit — geeignete technische und organisatorische Maßnahmen gemäß dem Risiko (Art. 28(3)(c)).

• Bedingungen für Unterauftragsverarbeiter — kein weiterer Dienstleister ohne Autorisierung, gleiche Pflichten entlang der Kette (Art. 28(3)(d)). Das regelt, wer sonst an deinen Daten beteiligt ist; der eigene Abschnitt steht unten.

• Unterstützung bei Betroffenenrechten, einschließlich — kritisch für Event-Medien — des Löschungsrechts (Art. 28(3)(e)).

• Unterstützung bei den Pflichten aus Art. 28–36 — Sicherheitsvorgaben, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen, sofern einschlägig (Art. 28(3)(f)).

• Löschung oder Rückgabe am Ende der Bearbeitungsdauer nach Wahl des Verantwortlichen, plus Löschung von Kopien, sofern das Gesetz keine Aufbewahrung vorschreibt (Art. 28(3)(g)). Diese Klausel beendet das Datenleben — verankern Sie sie im Vertrag, nicht in einer Verkaufsmail.

• Informationen für und Einreichung zu Audits (Art. 28(3)(h)).

Diese neun Elemente bilden die Achse jeder DSGVO-konformen DPA. Du musst nicht jede Unterklausel auswendig kennen — aber beim Lesen einer Vereinbarung eines Anbieters solltest du jeden dieser Punkte wiederfinden. Eine Lücke hier ist kein Schönheitsfehler, sondern eine fehlende rechtliche Pflicht.

Die Checkliste vor der Unterschrift: was zu prüfen ist, bevor du entscheidest

Die obigen Klauseln sagen, was eine DPA enthalten muss. In diesem Abschnitt geht es darum, was du vor Vertragsunterzeichnung bei einem konkreten Anbieter prüfen musst — die praktischen Fragen, die in einer Beschaffungskontrolle tatsächlich zählen. Nimm sie der Reihe nach durch; die erste ist eine Zulassungsvoraussetzung.

1. Gibt es überhaupt eine Vereinbarung zur Auftragsverarbeitung — und können Sie sie vor dem Kauf lesen? Genau darum geht es. Wenn ein Anbieter keine DSGVO Art.-28-Vereinbarung liefern kann, darf ein EU-Unternehmen ihn für eine Firmenveranstaltung nicht nutzen; die Verarbeitung wäre ohne diese Vereinbarung nicht rechtmäßig (Art. 28 Abs. 3). Viele consumerorientierte Foto-Tools werden als Einmalkauf ohne Enterprise-Vertragsweg verkauft: für eine private Party okay, für eine Firmenveranstaltung ein echter Showstopper. Lassen Sie sich die DPA vor Zusage zeigen.

1. Enthält sie die oben genannten Elemente aus Art. 28(3)? Prüfe sie anhand der neun Punkte. Am häufigsten lückenhaft in schlanken Vereinbarungen sind Unterauftragsverarbeiter-Klauseln, die Lösch- oder Rückgabe-Verpflichtung und die Audit-Bestimmung.

1. Wird der Name der Unterauftragsverarbeiter genannt und deren Standort angegeben? Eine DPA, die Unterauftragsverarbeitung ohne Benennung der Unterauftragsverarbeiter erlaubt, verhindert einen Transfer- oder Anbieter-Risiko-Check — du kannst nicht bewerten, was du nicht sehen kannst. (Abschnitt weiter unten.)

1. Wo werden die Daten gehostet und verlassen sie die EU? Behalte sie in der EU und du umgehst die Transfer-Analyse; lässt du sie gehen, brauchst du einen rechtskonformen Mechanismus, den die Anhänge der DPA abbilden sollten. „Wir geben das nicht preis“ ist nicht ausreichend. (Abschnitt unten.)

1. Hat der Löschpfad eine Frist? Prüfen Sie, ob die DPA den Auftragsverarbeiter verpflichtet, auf Löschanfragen — einschließlich des Antrags auf Löschung einer konkreten Person — innerhalb der gesetzlichen Frist tätig zu werden (Art. 17 Abs. 1; Art. 12 Abs. 3). (siehe unten.)

1. Ist die DPA im Paket enthalten, optional oder nicht verfügbar? Für Veranstalter ist das eine Compliance-Prüfung mit Wirkung. Bei Gathmo ist eine DPA auf Anfrage in allen pro-Event-Tarifen erhältlich und ist in den Plänen B2B Studio, Agency und Enterprise enthalten – also gibt es einen Vertragsweg, egal ob du ein einzelnes Event buchst oder ein Abo nutzt.

Wenn du bei Punkt 1 durchfällst, ist alles andere bedeutungslos. Wenn du aber bei 3, 4 oder 5 stolperst, hast du klare, belegbare Lücken, die du vor der Unterzeichnung ansprechen kannst — genau die Position, die du in einer Beschaffungsprüfung haben willst.

Subunterauftragnehmer: der Teil der DPA, der Überraschungen verbirgt

Bei Eventtech versteckt die Sub-Processor-Klausel das wirklich Folgende — weil eine Plattform für Fotosharing selten alles selbst macht. Sie nutzt Cloud-Speicher, einen Provider für Medienverarbeitung, eventuell E-Mail- oder SMS-Dienst, vielleicht eine KI-Moderation. Jede ist ein Unterauftragsverarbeiter mit Zugriff auf Teilnehmerdaten, und Art. 28 verlangt, dass dieselben Pflichten auf sie durchgereicht werden (GDPR Art. 28(3)(d)). Zwei Dinge gehen über „gibt es die Klausel“ hinaus:

Wer sind sie und wo sitzen sie? Eine namentliche Sub-Processor-Liste macht den Rest Ihrer Analyse möglich. Ein Anbieter außerhalb der EU in der Verarbeitungskette ist nicht automatisch ein Ausschlusskriterium – aber hier greifen die Übertragungsregeln, und das musst du wissen. Ein Anbieter, der seine Unterauftragnehmer offenlegt, gibt dir die Landkarte; wer sie nicht gibt, fordert dich faktisch auf, blind zu unterschreiben.

Zieht dich der Stack in strengere Regime, die du nicht angefragt hast? Das ist die Gesichtserkennungs-Falle. Ein Foto eines Gesichts ist nicht automatisch ein Sonderkategorie-Datum — der Erwägungsgrund 51 stellt klar, dass Bilder nur dann biometrische Daten sind, "wenn sie durch ein spezifisches technisches Mittel verarbeitet werden, das die eindeutige Identifikation oder Authentifizierung einer natürlichen Person ermöglicht."

Ein Gesichtserkennungs-Engine, die Templates erstellt, um Teilnehmende zu gruppieren oder Menschen zu "finden: alle Fotos von mir", verarbeitet jedoch biometrische Daten mit dem Zweck, eine Person eindeutig zu identifizieren. Das ist nach Art. 9 Abs. 1 GDPR grundsätzlich verboten, außer es greift eine spezifische Ausnahme – typischerweise eine gesonderte, ausdrückliche Einwilligung (GDPR Art. 9(1); Erwägungsgrund 51). Mehrere Anbieter in diesem Markt werben mit face-based Photo-Finding; bei einem Unternehmens-Event mit Mitarbeitenden macht genau dieser Subunternehmer aus Ihrer Fotosammlung eine Art-9-Verarbeitung mit der Pflicht zur expliziten Einwilligung, die Sie nie übernehmen wollten.

In der Sub-Processor-Liste prüfen Sie auch, ob die Datenkategorie schleichend nach oben klettert.

Wo die Daten liegen: die Datenschutzfrage, auf der der AV-Vertrag aufsetzt

Eine VAB sagt nicht von sich aus, wo deine Daten gespeichert sind. Sie regelt nur das Verhältnis; der Ort der Verarbeitung ist ein separates Faktum, das du selbst feststellst – und der Maßstab dafür, wie viel Übertragungsregime auf dich zutrifft. Übertragungen außerhalb der EU sind nur auf Basis einer Angemessenheitsentscheidung (Art. 45) oder geeigneter Garantien wie Standardvertragsklauseln (Art. 46) zulässig, mit durchsetzbaren Rechten und Rechtsbehelfen (DSGVO Art. 45, Art. 46 Abs. 2 lit. c). Die EU-US-Data-Privacy-Framework-Angemessenheitsentscheidung (verabschiedet im Juli 2023) gilt laut Stand Mitte 2026 weiter, sodass Übermittlungen zu DPF-zertifizierten US-Anbietern möglich sind – nicht risikofrei, und SCCs plus Transfer-Impact-Assessment bleiben der vorsichtige Rückfallpfad (CJEU C-311/18 Schrems II; Kommissions-Entscheidung über DPF-Adequacy 2023).

Der saubere Workaround ist, die Frage ganz zu vermeiden: Halte die Daten in der EU, dann gibt es keine Transferprüfung. Hier teilt sich der Markt für Eventtechnik deutlich auf — nur auf der Basis öffentlich verfügbarer Angaben pro Anbieter, wie sie am 2026-06-08 erfasst wurden:

• Mehrere beliebte Tools sind explizit US-basiert — GuestCam gibt an, dass seine Daten auf US-Cloudspeicher liegen und keine EU-Option existiert; Kululu speichert primäre Inhalte auf Google Cloud (Firebase)-Servern in den USA; Fotify wird von einem US-Unternehmen mit Sitz in Delaware betrieben.
• Ein kleiner Satz wird in der EU gehostet und sagt es deutlich — EventPics (österreichisches Unternehmen, Hosting in einer EU-Region) und JoinMyMoment (Subprozessoren in der EU/des EWR in Deutschland, Frankreich und AWS Frankfurt) nennen die EU-Residenz ausdrücklich.
• Einige Tools nennen nicht klar, wo die Daten liegen — ein eigenes Warnsignal, denn dann kannst du den Transferanhang einer DPA nicht gegen ein leeres Feld ausfüllen.

Gathmo ist genau dafür gebaut: EU-Datensitz, mit primärer Datenbank in Frankfurt, EU-Objektspeicher und Rechenleistung, sowie DPAs mit eigenen Auftragsverarbeitern. Die Residency kommt mit Nachweis — einem benannten Rechenzentrumstandort, nicht mit einem Marketing-Badge. Aber genau und präzise: mehrere Anbieter behaupten „europäische Server“, daher sollte ein Einkaufs-Team prüfen, was testbar ist: nachweisbare Dokumentation plus signierte DPA, nicht die EU-Behauptung allein.

Die Löschklausel: Ein Recht mit Frist

Von allen Pflichten einer Vereinbarung zur Auftragsverarbeitung ist die Löschung am ehesten die, die in der Praxis geprüft wird — weil die Betroffenen ein Recht darauf haben und sie mit einer Frist verbunden ist. Nach Artikel 17(1) kann die betroffene Person die Löschung verlangen, sobald ein Grund vorliegt (Daten sind nicht mehr erforderlich oder die Einwilligung wird widerrufen und es gibt keine andere Rechtsgrundlage), und Artikel 12(3) setzt die Frist: ohne unangemessene Verzögerung und spätestens innerhalb eines Monats nach Eingang des Antrags; eine Verlängerung um zwei weitere Monate ist nur bei wirklich komplexen oder zahlreichen Anfragen möglich, mit Mitteilung der Verlängerung innerhalb des ersten Monats (GDPR Art. 17(1); Art. 12(3)).

Für den DPA sind das zwei Prüfungen. Erstens: Verpflichtet sich der Vertrag den Auftragsverarbeiter, bei Löschungsersuchen – inklusive eines Löschersuchens einer bestimmten Person – innerhalb der gesetzlichen Frist zu unterstützen und umzusetzen? Das ist die Konkretisierung von Art. 28 Abs. 3 lit. e); frage genau danach und lasse es schriftlich festhalten. Zweitens: Endet das Mandat mit Löschung oder Rückgabe aller Daten (Art. 28 Abs. 3 lit. g))? Bei Gathmo ist DSGVO-konforme Löschung auf Anfrage Teil des Modells — in jeder Tarifstufe innerhalb der gesetzlichen Frist umgesetzt — und weil alles in einer verwalteten Galerie landet, ist ein Löschersuchen innerhalb eines Monats eine einzige Aktion statt ein Chaos über Telefone und geteilte Laufwerke.

Ein letztes Wort zur Standard-Alternative — Eventfotos über eine WhatsApp-Gruppe, ein gemeinsames Laufwerk oder eine Kette persönlicher E-Mails zu sammeln. Dieser Ansatz hat keine belastbare Auftragsverarbeitungsvereinbarung (AVV/DPA); es gibt keine DPA und keine Möglichkeit dazu — keinen Vertragspartner als Auftragsverarbeiter, keine Unterauftragsnehmerliste, keine definierte Aufbewahrungsdauer, keinen Löschpfad, kein Audit-Trail. (Er gilt auch als unpopulär bei den Personen im Chat: News.com.au berichtet über Gruppenchat-Belastung und Benachrichtigungs-Fatigue.com.au group-chat anxiety report](https://www.news.com.au/lifestyle/health/mental-health/why-your-group-chat-is-making-you-anxious/news-story/b9e9ce4805f6e48598646e665bac10da), 2024.) Ad-hoc-Sammeln besteht nicht den DPA-Standards, weil es schlicht nichts zu prüfen gibt.