Informationen zur Datenschutz-Grundverordnung (DSGVO)

(Dieser Forumsbeitrag ist auch als englische Version verfügbar.)

Bitte beachten Sie: Als Softwareanbieter können wir keine Rechtsberatung in Bezug auf die Datenschutz-Grundverordnung geben. Der folgende Beitrag ist lediglich als kurzer Überblick gedacht. Alle Angaben sind Hinweise ohne Gewähr - für detaillierte Informationen wenden Sie sich bitte an eine Rechtsberatung.

In Kürze

Wir beachten die Anforderungen der DSGVO auf unserer Website und in unserem Event-Management-System ConfTool Pro. Die Nutzung des Systems und der Daten liegt in der Verantwortung der Veranstalter.

In Bezug auf die Anwendung von ConfTool Pro richtet sich die DSGVO daher primär an Sie als Organisatoren der Veranstaltung: Sie sind der verantwortliche Betreiber des Systems (der Verantwortliche). Die ConfTool GmbH agiert als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO.

Was wir tun

• Wir stellen sicher, dass alle personenbezogenen Daten ausschließlich verschlüsselt übertragen werden.
• Wir verwenden Zwei-Faktor-Authentifizierung für alle administrativen Zugriffe. Diese steht auch Ihnen als Veranstalter in den Sicherheitseinstellungen zur Verfügung, und wir empfehlen sie für alle Benutzer mit Zugriff auf personenbezogene Daten.
• Jede Veranstaltung erhält eine eigene Installation mit separater Datenbank und separaten Benutzerkonten; Benutzerdaten werden nicht zwischen Veranstaltungen referenziert. So ist das Prinzip der Datentrennung gewahrt.
• Alle Kundeninstallationen werden in Deutschland gehostet (Rechenzentrum Hetzner, Falkenstein). Mit unserem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung.
• Unsere Website und ConfTool Pro verwenden ausschließlich technische Cookies, und alle Schriftarten sind lokal auf unseren eigenen Servern gespeichert - bei der Nutzung unserer Seiten werden keine Daten an Dritte übertragen.
• Server-Logdateien werden 12 Wochen aufbewahrt und anschließend gelöscht.
• Wir löschen alle Daten Ihrer Veranstaltung nach deren Ende von unseren Servern, sobald Sie als Veranstalter der Löschung zugestimmt haben.
• Unsere PCs, Laptops und Backup-Medien verwenden ausschließlich verschlüsselte Festplatten für alle Daten.
• Unsere Server werden monatlich von HackerGuardian auf Sicherheitslücken gescannt, gemäß den Anforderungen von PCI DSS.
• Wir verfügen über entsprechende Sicherheits-, Datenschutz- und Backup-Konzepte und stellen die zugehörigen Dokumente auf Anfrage gerne bereit.

Was Sie tun sollten

Erforderliche Einstellungen in ConfTool

• Veröffentlichen Sie eine Datenschutzerklärung.
  Jeder Betreiber einer Website bzw. eines webbasierten Systems, das personenbezogene Daten verarbeitet, muss eine einfach verständliche Datenschutzerklärung veröffentlichen. Wir raten dazu, sie auf Ihrer eigenen Website bereitzustellen. Hilfreich sind Generatoren wie dg-datenschutz, e-recht24 oder datenschutz-generator.de.
  Den Link auf Ihre Datenschutzerklärung aktivieren Sie in ConfTool unter:
  Übersicht => Einstellungen => Grundlegende Stammdaten
  Dort finden Sie auch eine vorformulierte Datenschutzerklärung, die wir ohne Gewähr zur Verfügung stellen, da wir keine Rechtsberatung leisten dürfen (siehe angehängtes Bild Nr. 1).
• Holen Sie die Einwilligung Ihrer Benutzer ein.
  Veranstalter müssen ihre Benutzer fragen, ob sie mit der Speicherung und Verarbeitung ihrer Daten einverstanden sind. Die entsprechende Funktion finden Sie in ConfTool Pro unter:
  Übersicht => Einstellungen => Grundlegende Stammdaten
  Wir empfehlen, sie zu aktivieren (in Neuinstallationen ist sie standardmäßig aktiv) und den Einwilligungstext an Ihre Anforderungen anzupassen (siehe angehängtes Bild Nr. 2).
• Fragen Sie auch bestehende Benutzer.
  Falls Sie bereits viele Benutzer in der Datenbank haben und sichergehen möchten, dass alle die Datenschutzerklärung beim nächsten Login sehen und bestätigen, gehen Sie bitte zu:
  Übersicht => Einstellungen => Einstellungen für die Registrierung und Verwaltung von Benutzern => Grundlegende Einstellungen für die Benutzerregistrierung und -verwaltung
  ... und wählen Sie bei "Überprüfe die Pflichtfelder bei der Anmeldung (beim Login)" die Option "Immer" (siehe angehängtes Bild Nr. 3).

In Ihrer Organisation

• Sofern Sie Benutzerdaten von einer Veranstaltung zur nächsten übernehmen möchten, berücksichtigen Sie dies bitte bereits bei der Einwilligung, da auch hierfür eine Einwilligung vorliegen muss. Der Transfer kann andernfalls den Grundsätzen der Zweckbindung und der Datenminimierung widersprechen.
• Alle Organisationen, die personenbezogene Daten speichern und verarbeiten, müssen ein Verzeichnis von Verarbeitungstätigkeiten führen, in dem alle Prozesse erfasst werden, bei denen personenbezogene Daten verarbeitet werden, einschließlich der jeweils betroffenen und verantwortlichen Personen. Dieses Verzeichnis ist nicht öffentlich und dient der internen Qualitätskontrolle.
• Wir raten dazu, einen Vertrag zur Auftragsverarbeitung (nach Artikel 28 DSGVO) mit allen Dienstleistern abzuschließen, die in Ihrem Auftrag mit personenbezogenen Daten in Kontakt kommen. Er bestätigt, dass der Auftragsverarbeiter die Daten gemäß den Weisungen des Verantwortlichen behandelt. Dies ist mit der ConfTool GmbH ebenso ratsam wie mit Buchhaltern, E-Mail-Anbietern und anderen Dienstleistern. Gewöhnlich versenden wir eine entsprechende Vereinbarung zusammen mit unserem Angebot - sollten Sie keine erhalten haben, senden Sie uns bitte eine E-Mail, dann stellen wir sie Ihnen zu.
• Minimieren Sie die in ConfTool erfassten Daten auf die tatsächlich benötigten Angaben. Insbesondere Geburtsdatum, Religionszugehörigkeit oder Passnummer führen zu deutlich erhöhten Anforderungen an den Datenschutz.
• Stellen Sie sicher, dass Sie alle Daten sicher speichern, sodass Dritte keinen Zugriff auf die Daten auf Ihren Geräten erhalten. Sichern Sie alle Arbeitsplätze mit Passwörtern und verschlüsseln Sie mobile Geräte (Laptops, USB-Sticks etc.). Versenden Sie personenbezogene Daten nie unverschlüsselt.
• Löschen Sie personenbezogene Daten, die nicht mehr benötigt werden, und stellen Sie sicher, dass Dritte keinen Zugriff darauf erhalten (z. B. indem Sie Ausdrucke mit einem Aktenvernichter zerkleinern).
• Prüfen Sie, ob Sie einen Datenschutzbeauftragten benennen müssen. Nach Artikel 37 DSGVO ist dies für Behörden verpflichtend sowie dann, wenn Ihre Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. In Deutschland verlangt zusätzlich § 38 BDSG einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (dieser Schwellenwert wurde im November 2019 von 10 auf 20 angehoben). Den Datenschutzbeauftragten melden Sie der für Sie zuständigen Aufsichtsbehörde und führen ihn in Ihrer Datenschutzerklärung auf.

Veranstalter außerhalb der EU: Für Sie können zusätzliche oder abweichende Regeln gelten - etwa das revidierte Schweizer Datenschutzgesetz (in Kraft seit September 2023), die UK GDPR oder Datenschutzgesetze einzelner US-Bundesstaaten. Die oben beschriebenen Maßnahmen sind in jedem Fall ein guter Ausgangspunkt; bitte prüfen Sie zusätzlich die Anforderungen Ihrer eigenen Rechtsordnung.