Teilnehmerlisten können datenschutzkonform gestaltet werden, indem folgende Grundsätze beachtet werden:
- Es sollten nur die für den vorgesehenen Zweck zwingend erforderlichen Daten (z. B. Name, aber möglichst keine sensiblen Kontakt- oder Adressdaten) erfasst werden.
- Die Rechtsgrundlage für die Datenerhebung muss klar dokumentiert sein: Häufig ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder die Erfüllung eines Vertrags/Zwecks (z. B. Veranstaltungsorganisation) relevant. Dann muss aus dem Teilnehmerformular auch klar werden, dass damit eingewilligt wird, dass die Daten verarbeitet werden und öffentlich sichtbar sind (für diese öffentliche Behandeln muss dann aber auch eine Erforderlichkeit bestehen, daher siehe die weiteren Punkte).
- Die Teilnehmenden müssen über die Datenverarbeitung transparent informiert werden (Datenschutzhinweise!). Also mindestens Link, wo die zufinden sind. Idealerweise bzw- eigentlich sollten die wesemtlichen Informationen nach Art. 13 DSGVO bereits auf der Teilnehmerliste sein.
- Die ausgelegte oder herumgereichte Liste darf ausschließlich solche Informationen enthalten, die für andere sichtbar sein dürfen (i. d. R. nur der Name). Weitere personenbezogene Daten (Telefonnummer, Adresse usw.) dürfen nicht offen zugänglich sein und sind separat vertraulich zu behandeln. Für den privaten Bereich können Ausnahmen herangezogen werden.
- Zugriff auf die vollständigen, personenbezogenen Daten sollten nur berechtigte Personen (z. B. Veranstalter) haben. Die Einsichtnahme durch Unbeteiligte ist zu vermeiden.
- Für die Verarbeitung empfiehlt sich die Nutzung digitaler Buchungs- oder Verwaltungssysteme mit integriertem Datenschutz- und Berechtigungskonzept. Sicherlich kann man so etwas als Tool (SaaS) irgendwo einkaufen. Vertraglich sollte man dann natürlich auch darauf achten, dass es einen vernünftigen AV-Vertrag für den Datenschutz gibt (Datenschutzbeauftragten einbeziehen).
- Datensparsamkeit und Speicherbegrenzung sind zu beachten: Nach Zweckerfüllung sind die Daten zu löschen.
- Datenschutzmaßnahmen (z. B. Zugriffschutz, Löschfristen) sind regelmäßig zu überprüfen.
Kurzum: Datenschutzkonforme Teilnehmerlisten beschränken sich auf das Notwendige, schützen sensible Informationen vor unberechtigtem Zugriff und klären die Teilnehmenden umfassend auf. Es ist also mittlerweile etwas schwieriger geworden, so etwas analog zu handhaben. Wir sprechen hier aber nicht von rein privaten Listen, wie man z.B. nach einem Urlaub austaucht o.ä.
