DSGVO-konforme Event-Software: die Checkliste für Veranstalter

“100 % DSGVO-konform” steht inzwischen auf fast jeder Event-Software-Website. Das Label ist nicht geschützt: Keine Behörde vergibt es, kein Prüfer entzieht es, wenn es nicht mehr stimmt. Jeder Anbieter darf es drucken, und die meisten tun es.

Die Verantwortung, die dahintersteht, wandert allerdings nicht mit. Nach der Datenschutz-Grundverordnung sind Sie als Veranstalter der Verantwortliche für die Daten Ihrer Teilnehmer; Ihr Software-Anbieter ist nur Ihr Auftragsverarbeiter. Fällt das Setup bei einer Prüfung durch, landet das Bußgeld auf Ihrem Schreibtisch. Deshalb entscheidet über Ihre Shortlist am Ende nicht Ihr Eventteam, sondern Ihr Datenschutzbeauftragter, und irgendwann vor der Vertragsunterschrift fragt er, was genau Sie geprüft haben.

Diese Checkliste liefert die Antwort. DSGVO-Konformität ist kein Badge, dem man glaubt, sondern ein Prüfergebnis, das Sie selbst herstellen können: fünf Kriterien, die Dokumente, in denen die Antworten stehen, rund 30 Minuten pro Anbieter. Dazu kommt die Ebene, die Standard-Checklisten auslassen, nämlich Matchmaking-Daten, und die Rechtslage 2026 rund um US-Anbieter, die Ihre Rechtsabteilung in jeden Mehrjahresvertrag einpreisen wird.

Was macht eine Event-Software DSGVO-konform?

DSGVO-konforme Event-Software ist Software, die Sie als Verantwortlichen in die Lage versetzt, Ihre Pflichten zu erfüllen: rechtmäßige Verarbeitung, dokumentierte Einwilligungen, fristgerechte Löschung, nachvollziehbare Datenflüsse. Erkennbar ist sie an fünf prüfbaren Kriterien:

• Auftragsverarbeitungsvertrag (AVV): ein Vertrag nach Art. 28 DSGVO, der den Anbieter als Ihren Auftragsverarbeiter bindet, als Standarddokument statt auf Sonderanfrage.
• Serverstandort: Daten in Deutschland oder der EU nehmen die komplette Drittlandfrage aus Ihrer Prüfung.
• Einwilligungsmanagement: Double-Opt-in, dokumentierte Einwilligungen und funktionierende Abmeldung in jeder Mail.
• Löschkonzept: konfigurierbare Fristen und automatische Löschung der Teilnehmerdaten nach dem Event.
• Subprozessoren-Transparenz: eine veröffentlichte Liste aller Dienstleister, die Ihre Teilnehmerdaten berühren, mit Ankündigung bei Änderungen.

Ein Badge beweist nichts davon. Dokumente schon.

Theoretisch ist das Risiko nicht: Die europäischen Aufsichtsbehörden haben inzwischen mehr als sechs Milliarden Euro DSGVO-Bußgelder verhängt, und die Durchsetzung verschiebt sich sichtbar in den Mittelstand. Die Berliner und Hamburger Aufsicht nimmt seit zwei Jahren gezielt Unternehmen unterhalb der Konzerngröße ins Visier. Für Veranstalter ändert das die Frage: nicht mehr “kann uns ein Bußgeld treffen?”, sondern “übersteht unser Setup eine routinemäßige Beschwerde?”.

Die fünf Kriterien im Detail: Prüffrage, Fundstelle, Warnsignal

Badges wohnen auf Landingpages, die Wahrheit wohnt in Rechtsdokumenten. Für jedes Kriterium finden Sie hier die Frage, die Fundstelle mit der prüfbaren Antwort und das Signal, bei dem Sie vorsichtig werden sollten.

1. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Der AVV macht den Anbieter rechtlich zu Ihrem Auftragsverarbeiter: Er regelt, was mit Teilnehmerdaten geschehen darf, welche Subprozessoren eingesetzt werden und was nach Vertragsende passiert. Fragen Sie, ob der AVV zum Standardvertragspaket gehört. Prüfen können Sie das in den AGB oder im Legal-Bereich des Anbieters; reife Anbieter veröffentlichen die aktuelle Fassung dort. Das Warnsignal: ein AVV, den es nur “auf Anfrage” gibt, oder ein Anbieter, der nicht sagen kann, welche Vertragsversion für Sie gilt. Ihr Datenschutzbeauftragter liest dieses Dokument zuerst. Wer es versteckt, produziert Ihren ersten Prüfbefund gleich mit.

2. Serverstandort und Drittlandtransfer

Wo Teilnehmerdaten physisch liegen, entscheidet darüber, wie viel juristische Maschinerie Ihr Setup braucht. Hosting in Deutschland oder der EU hält die Verarbeitung im Geltungsbereich der DSGVO. Hosting in den USA ist nicht verboten, braucht aber eine gültige Transfergrundlage, und warum man sich auf diese Grundlage 2026 nicht blind verlassen sollte, steht weiter unten. Prüfen Sie den Standort in der Datenschutzerklärung des Anbieters: Seriöse Anbieter nennen Dienstleister und Ort, etwa ein Rechenzentrum in Frankfurt, statt nur “sicheres Cloud-Hosting” zu schreiben. Das Warnsignal: gar kein benanntes Land. Wo es vage wird, wird es meist auch riskant.

3. Einwilligungsmanagement

Jedes Anmeldeformular ist eine Einwilligungsmaschine: Newsletter, Fotoerlaubnis, Datenweitergabe an Partner. Die Software muss Double-Opt-in beherrschen, dokumentieren, wer wann wozu eingewilligt hat, und Widerrufe ohne Handarbeit umsetzen. Prüfen Sie das praktisch: Bauen Sie eine Testseite und versuchen Sie, eine vorangekreuzte Checkbox zu konfigurieren. Lässt die Software das zu, lässt sie es auch bei Ihrer ausgelasteten Kollegin drei Tage vor dem Event zu, und eine vorangekreuzte Box ist nach DSGVO keine wirksame Einwilligung. Gute Software macht den konformen Weg zum Standardweg. Für Ticketverkäufe kommt seit dem 19. Juni 2026 übrigens der Widerrufsbutton nach § 356a BGB dazu, eine Pflicht, die Ihre Registrierungsstrecke ebenfalls abbilden muss.

4. Löschkonzept und Speicherbegrenzung

Teilnehmerdaten dürfen nicht ewig leben; Speicherbegrenzung ist ein Kernprinzip der DSGVO, und es wird durchgesetzt. Die Deutsche Wohnen SE zahlte 14,5 Millionen Euro im Kern dafür, dass personenbezogene Daten ohne Löschkonzept gespeichert wurden, und ein kroatischer Fall vom Juni 2026 folgt demselben Muster. Für Sie heißt das: Kann die Software Teilnehmerdaten nach einer konfigurierbaren Frist automatisch löschen oder anonymisieren? Prüfen Sie es in der Produktdokumentation. Das Warnsignal: Löschung nur per Support-Anfrage. Wenn das Aufräumen nach Ihrem Event davon abhängt, dass jemand daran denkt, existiert Ihr Löschkonzept nur auf Papier.

5. Subprozessoren-Transparenz

Ihr Anbieter arbeitet selten allein: Hosting, Mailversand und Videoinfrastruktur berühren Teilnehmerdaten als Subprozessoren (Unterauftragsverarbeiter). Art. 28 DSGVO macht den Anbieter für sie verantwortlich, aber Ihre Prüfung muss wissen, wer sie sind. Prüfen Sie, ob eine aktuelle Liste mit Standorten veröffentlicht ist und ob der Vertrag Ankündigungen vor neuen Subprozessoren zusichert. Das Warnsignal: nirgendwo eine Liste. Einen Datenfluss, den Sie nicht sehen dürfen, können Sie nicht bewerten.

Die Matchmaking-Ebene: was Standard-Checklisten übersehen

Die fünf Kriterien oben stehen in irgendeiner Form in den meisten Software-Checklisten. Was fast keine behandelt, ist die Datenebene, die B2B-Event-Software überhaupt wertvoll macht. Matchmaking-Plattformen verarbeiten mehr als Anmeldedaten: Interessenprofile, Geschäftsziele, Meeting-Anfragen, angenommene und abgelehnte Einladungen, komplette Meeting-Historien. Das sind Verhaltensdaten über identifizierbare Berufstätige, und sie verdienen drei Zusatzprüfungen:

• Profil-Sichtbarkeit: Wer sieht Teilnehmerprofile, und ist Sichtbarkeit eine Entscheidung des Teilnehmers statt eine Systemvoreinstellung? Eine Teilnehmerliste, die ungefragt an alle Aussteller geht, gehört zu den häufigsten DSGVO-Fehlern auf B2B-Events.
• Lead-Weitergabe an Aussteller: Auf welcher Rechtsgrundlage wandern Kontaktdaten von Ihrer Plattform in das CRM (Kundendatenbank-System) eines Sponsors? “Stand in den AGB” ist keine Einwilligung; ein gescannter Badge mit dokumentiertem Opt-in schon.
• Nachvollziehbares Matching: Können Sie erklären, warum das System ein Meeting vorgeschlagen hat? Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO gilt auch für Verarbeitung, die Sie nicht erklären können. Eine transparente Matching-Logik mit Audit-Trail beantwortet die Frage; eine Black Box nicht.

Solution: Converve denkt diese Ebene von der Governance-Seite her. Die Plattform kommt von einem deutschen Unternehmen mit Sitz in Barmstedt bei Hamburg, ist nach ISO 27001:2022 zertifiziert, hostet in Deutschland, und der AVV gehört zum Standardvertragspaket. Das Matching läuft über eine Meeting-Matrix mit nachvollziehbaren Regeln, sodass jeder Terminvorschlag eine Begründung hat, die Ihr Datenschutzbeauftragter lesen kann. Details zum Sicherheits-Setup stehen auf unserer Seite zur IT-Sicherheit, und was die Zertifizierung beweist und was nicht, erklärt unser Beitrag zu ISO-zertifizierter Eventsoftware.

US-Anbieter 2026: erlaubt, aber mit eingepreistem Risiko

Nichts davon heißt, dass US-Software tabu wäre. Es heißt, dass sich der rechtliche Boden darunter wieder bewegt, und Ihr Datenschutzbeauftragter weiß das.

Der aktuelle Mechanismus, das EU-US Data Privacy Framework (DPF), ist der dritte Anlauf für ein transatlantisches Transferabkommen. Safe Harbor fiel 2015 vor Gericht, Privacy Shield 2020. Das DPF hat seine erste Klage überstanden, als das Gericht der EU die Latombe-Klage im September 2025 abwies; das Rechtsmittel liegt aber inzwischen beim Europäischen Gerichtshof (Rechtssache C-703/25 P). Im Juli 2026 kam Bewegung dazu: Nach einem Urteil des US Supreme Court zur Unabhängigkeit von US-Aufsichtsgremien fordert die Datenschutzorganisation noyb die EU-Kommission auf, den Angemessenheitsbeschluss ganz zurückzunehmen. Zwei von drei Abkommen sind bereits gekippt worden; das dritte steht wieder vor Gericht.

Für ein laufendes Event ändert das über Nacht nichts. Für eine Beschaffungsentscheidung ändert es die Rechnung: Ein Mehrjahresvertrag mit einer US-gehosteten Plattform enthält das Szenario, dass die Transfergrundlage mitten in der Laufzeit wegfällt und Ihr Team Teilnehmerdaten unter Zeitdruck migriert. Standardvertragsklauseln existieren als Rückfallebene, bringen aber Transferfolgenabschätzungen und Zusatzaufwand mit. EU- oder Deutschland-Hosting ist die eine Entscheidung, die diese ganze Risikoklasse aus Ihrer Akte entfernt. Nicht weil US-Software schlechter wäre, sondern weil Ihre Prüfung ein Kapitel kürzer wird.

Ein Fairness-Hinweis, weil ein großer Anbieter das Argument prominent führt: Der Serverstandort allein macht keine Software konform, und das stimmt. Prozesse, Verträge und Ihr eigener Umgang mit den Daten zählen genauso. Nur trägt der Umkehrschluss ebenfalls nicht: Unter sonst gleichen Anbietern erspart Ihnen der, dessen Daten Deutschland nie verlassen, das Drittlandkapitel, die Beobachtung der Rechtssache C-703/25 P und das Migrationsszenario. Kürzere Audits sind ein Feature.

Anbieter-Selbstauskünfte im Überblick (Stand: August 2026)

Die Tabelle fasst zusammen, was sechs Anbieter auf ihren eigenen Legal- und Sicherheitsseiten über sich angeben. Es sind Selbstauskünfte, keine Prüfergebnisse: Behandeln Sie jede Zeile als Startpunkt für Schritt 3 des Checks, nicht als Urteil.

Wie Sie diese Spalten gewichten, hängt von Ihrem Format ab. Bei Hosted-Buyer-Programmen, wo Qualifizierungs- und Reisedaten die Anforderungen weiter erhöhen, wendet unser Vergleich der führenden Hosted-Buyer-Plattformen dieselbe Datenschutzbrille auf die Spezialkategorie an.

Häufige Fragen zu DSGVO und Event-Software

Was macht eine Event-Software DSGVO-konform?

In der Praxis DSGVO-konform ist Software, mit der Sie Ihre Pflichten als Verantwortlicher erfüllen können: Standard-AVV nach Art. 28 DSGVO, Hosting in Deutschland oder der EU (oder eine gültige Transfergrundlage), dokumentiertes Einwilligungsmanagement, automatische Löschung von Teilnehmerdaten und eine veröffentlichte Subprozessorenliste. Das Badge auf der Website beweist davon nichts; die Dokumente schon.

Welche Event-Software wird in Deutschland gehostet?

Nach eigenen Angaben hosten unter anderem Converve (Barmstedt bei Hamburg, ISO 27001:2022) und Sweap (IBM Cloud Frankfurt, Hetzner) in Deutschland; Evenito hostet in der Schweiz, die ein von der EU anerkanntes Datenschutzniveau hat. Prüfen Sie die Angabe immer in der aktuellen Datenschutzerklärung des Anbieters, denn Infrastruktur ändert sich schneller als Marketingseiten.

Ist US-Event-Software für deutsche Veranstalter erlaubt?

Ja. Übermittlungen an zertifizierte US-Anbieter laufen derzeit über das EU-US Data Privacy Framework, ersatzweise über Standardvertragsklauseln. Das Framework liegt allerdings beim Europäischen Gerichtshof (C-703/25 P) und steht seit Juli 2026 politisch unter Druck. Wer einen Mehrjahresvertrag unterschreibt, sollte das Szenario einplanen, dass es wie seine zwei Vorgänger fällt.

Brauche ich einen AVV mit meiner Event-Software?

Ja, ausnahmslos. Der Anbieter verarbeitet Teilnehmerdaten in Ihrem Auftrag, damit ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht, beim Seminar mit 100 Gästen genauso wie auf der Messe. Das gilt auch für kleine Nebenwerkzeuge wie Umfrage- oder Badge-Druck-Dienste.

Wie lange darf ich Teilnehmerdaten nach dem Event speichern?

Nur so lange, wie der Zweck es erfordert. Rechnungsdaten folgen den gesetzlichen Aufbewahrungsfristen, Marketingdaten brauchen eine fortbestehende Einwilligung, alles andere gehört nach definierter Frist gelöscht oder anonymisiert. Das Bußgeld von 14,5 Millionen Euro gegen die Deutsche Wohnen SE drehte sich im Kern um genau dieses fehlende Löschkonzept.

Fazit: Dokumente prüfen, nicht Badges

DSGVO-Konformität ist keine Eigenschaft, die Sie kaufen, sondern ein Ergebnis, das Sie prüfen. Fünf Kriterien, fünf Dokumente, 30 Minuten pro Anbieter: Danach wissen Sie mehr über die Datenpraxis einer Plattform, als deren Landingpage je verraten wird. Machen Sie den Check vor dem Demo-Termin statt nach der Unterschrift, und übergeben Sie das Ergebnis schriftlich Ihrem Datenschutzbeauftragten. Anbieter, die nichts zu verbergen haben, machen Ihnen die Prüfung leicht, und wie leicht ein Anbieter sie macht, ist selbst ein Signal.

Die Pflichten rund um die Veranstaltung selbst, von der Fotoeinwilligung bis zur Datenschutzerklärung, behandelt unser Beitrag mit Expertentipps für datenschutzkonforme Veranstaltungen. Und wenn Sie sehen möchten, wie eine in Deutschland gehostete, nach ISO 27001:2022 zertifizierte Matchmaking-Plattform alle fünf Kriterien in einem Gespräch beantwortet: Sprechen Sie mit Converve, wir bringen den AVV gleich mit.