Checkliste 2026: Anmeldeformular für Veranstaltungen gemäß Federal Law No. 152-FZ

Eine praktische Checkliste für das Registrierungsformular: welche Daten erhoben werden sollten, wie Einwilligungen und Zugriffsrechte getrennt werden und was vor dem Start geprüft werden muss.

Das Registrierungsformular für eine Veranstaltung nach Federal Law No. 152-FZ beginnt oft mit einem alten Fragebogen. Aus Gewohnheit werden Name, Kontaktdaten, Unternehmen, Passangaben und Verpflegung hinzugefügt. Daneben setzt man dann ein einziges allgemeines Häkchen. Doch vor der Öffnung der Registrierung muss entschieden werden, wozu jedes Feld benötigt wird, wer es sieht und wann die Daten gelöscht werden.

Wir bei Aventura beginnen mit dem Datenfluss und den Abläufen des Teams. Wenn die Registrierung Teil der Vorbereitung einer Konferenz oder eines Forums ist, verbinden wir Formular, Kommunikation, Zutrittsregelung und die Arbeit der beteiligten Bereiche in einem Plan.

Wichtig: Der Artikel beschreibt unsere organisatorische Praxis und ist keine Rechtsberatung. Der Verantwortliche für die personenbezogenen Daten und sein Jurist legen die Rechtsgrundlagen der Verarbeitung, die Texte der Einwilligungen, die Fristen, die Empfänger, die Mitteilungen und das konkrete Vorgehen fest.

Womit beginnt die Prüfung eines Formulars nach dem Föderalen Gesetz Nr. 152-FZ?

Kurz gesagt: Beginnen Sie mit fünf Entscheidungen: Wer ist der Verantwortliche, für welche Zwecke werden Daten erhoben, auf welcher Grundlage erfolgt die Verarbeitung, an wen werden die Angaben übermittelt und wann werden sie gelöscht. Solange die Antworten nicht festgehalten sind, ist es zu früh, das Layout an den Designer oder die Plattform zu übergeben. Die Oberfläche behebt keine überflüssigen Felder, vermischten Zwecke und unklaren Zugriffsrechte.

Als Verantwortlicher gilt, wer die Zwecke, den Umfang der Daten und die Handlungen mit ihnen bestimmt. In einem Unternehmensprojekt bleibt diese Rolle häufig beim Auftraggeber der Veranstaltung. Die Plattform, der Veranstaltungsort, der Druckservice, das Callcenter und das Organisationsteam können Daten in seinem Auftrag verarbeiten. Die Rollen hängen jedoch vom tatsächlichen Ablauf ab, nicht von der Firmenbezeichnung im Vertrag.

Erstellen Sie vor dem Formular einen kurzen Verarbeitungssteckbrief:

1. die juristische Person als Verantwortlicher und eine Kontaktstelle für Anfragen;
2. jeder Verarbeitungszweck in einer eigenen Zeile;
3. die Felder, ohne die der Zweck nicht erfüllt werden kann;
4. die gewählte Rechtsgrundlage;
5. die Handlungen mit den Daten, die Systeme und die Empfänger;
6. die Verarbeitungsdauer und die Bedingung für die Löschung;
7. die verantwortliche Person für Zugriff, Änderung und Beendigung der Verarbeitung.

Nach der allgemeinen Regel meldet der Verantwortliche die Verarbeitung vor deren Beginn bei Roskomnadzor an. Die Ausnahmen sind eng gefasst, und ein gewöhnliches Webformular fällt meist nicht darunter. Gesondert geprüft werden die Angaben in der Meldung, der Standort der Datenbanken für russische Staatsbürger und das Vorliegen einer grenzüberschreitenden Übermittlung.

Die Datenschutzerklärung muss von der Seite aus zugänglich sein, auf der die Erhebung erfolgt. Der Text auf der Seite, die Verträge mit Auftragnehmern und die Meldung des Verantwortlichen dürfen keine unterschiedlichen Prozesse beschreiben. Wenn das Formular Verpflegung und Transfer umfasst, in den Dokumenten aber nur der abstrakte Zweck „Erbringung von Dienstleistungen“ angegeben ist, muss das Modell überarbeitet werden.

Zielmatrix und Mindestfelder

Kurz gesagt: Ein Arbeitsformular wird von den Aktionen des Teams her aufgebaut. Benennen Sie für jedes Feld das Ziel, die nächste Aktion, die Rolle mit Zugriff und die Nutzungsdauer. Lässt sich die Antwort nicht mit einer konkreten Operation verbinden, wird das Feld entfernt, freiwillig gestellt oder in einen bedingten Zweig verschoben. Eine gemeinsame Teilnehmerkarte bedeutet nicht eine Tabelle für alle Abteilungen.

Wir verwenden einen einfachen Test: Ziel des Feldes -> wer nutzt es -> zu welchem Zeitpunkt -> wer hat Zugriff -> wann wird es gelöscht. Er hilft, die Erhebung „auf Verdacht“ zu vermeiden und vorab zu erkennen, dass verschiedene Ausführende unterschiedliche Teile des Datensatzes benötigen.

Unternehmen und Position sind für einen B2B-Badge, ein Protokoll oder Networking sinnvoll. Für eine offene Veranstaltung müssen sie nicht verpflichtend sein. Eine Telefonnummer ist erforderlich, wenn es ein klares Szenario für Anruf, SMS oder dringende Kontaktaufnahme gibt. Wenn Bestätigungen und Änderungen nur per E-Mail eingehen, erfordert ein zweites Kontaktfeld eine gesonderte Begründung.

Für die Registrierung von Veranstaltungsteilnehmern führen wir einen zentralen Datensatz mit Statusangaben. Die Abteilungen erhalten gekürzte Versionen. Der Theke stehen die Daten für den Einlass zur Verfügung, dem Catering die Kategorie des Speiseplans, dem Fahrer die Transportroute. Überflüssige Angaben gelangen nicht in diese Versionen.

Die Prüfung eines Feldes lässt sich am besten anhand einer Karte führen:

Ist keine Aktion benannt, sollte das Feld besser entfernt werden. Wird es nur für einen Teil der Zielgruppe benötigt, verwenden Sie einen bedingten Block. Die Erstregistrierung kann aus Name, Kontakt und Teilnahmekategorie bestehen. Hotel, Transfer, Parkplatz und Daten für ein Objekt mit Zutrittsregelung werden nach Auswahl der entsprechenden Leistung geöffnet.

Welche Einwilligungen sollten in der Benutzeroberfläche getrennt werden?

Die Einwilligung in die Verarbeitung personenbezogener Daten, Werbemitteilungen und die Weitergabe von Daten dienen unterschiedlichen Zwecken. Sie dürfen nicht in den Veranstaltungsregeln versteckt oder durch ein einziges Pflicht-Kästchen zusammengefasst werden. Seit dem ersten September zweitausendfünfundzwanzig wird die Einwilligung in die Verarbeitung personenbezogener Daten getrennt von anderen zu bestätigenden Informationen eingeholt. Jede Auswahl wird eigenständig erfasst und geprüft.

Für eine kostenlose offene Registrierung wird häufig die Einwilligung als Rechtsgrundlage der Verarbeitung verwendet. Bei kostenpflichtiger Teilnahme können einige Daten für den Abschluss oder die Erfüllung eines Vertrags erforderlich sein. Ein geschlossenes Corporate-Format erfordert eine eigene Prüfung der Rechtsgrundlagen. Die pauschale Formulierung „wir verarbeiten alles auf Grundlage der Einwilligung“ ersetzt diese Arbeit nicht.

Das elektronische Formular muss es ermöglichen, die Handlung einer Person nachzuweisen. Wir bitten das Team, die Textversion, Datum und Uhrzeit, die Formular-ID, den Registrierungseintrag und das Ergebnis jeder Auswahl zu speichern. Das Kontrollkästchen wird nicht vorab angekreuzt. Der Link zur Richtlinie bleibt daneben stehen, aber die Richtlinie selbst ersetzt nicht den Willen des konkreten Teilnehmers.

Praktisch lässt sich die Benutzeroberfläche so aufteilen:

1. Pflichtauswahl für die Hauptverarbeitung, wenn der Verantwortliche die Einwilligung als Rechtsgrundlage der Registrierung nutzt;
2. separate freiwillige Auswahl für Werbung für künftige Veranstaltungen und Angebote;
3. separate Entscheidung für die Veröffentlichung von Name, Position, Unternehmen, Foto oder Teilnehmerkarte;
4. Teilnahmeregeln, Angebot und weitere Dokumente werden getrennt von der Einwilligung in die Verarbeitung bestätigt.

Eine Werbe-Ablehnung darf die Registrierung nicht blockieren. Die organisatorische E-Mail bestätigt die Anmeldung, nennt die Adresse, Programmänderungen oder Zutrittsregeln. Die Ankündigung der nächsten Veranstaltung und das Angebot eines Partners dienen dem Marketingzweck. Die genaue Abgrenzung erläutern wir im Beitrag zu SMS an Teilnehmer ohne Spam.

Eine öffentliche Teilnehmerliste erfordert besondere Aufmerksamkeit. Wenn die Daten einem unbestimmten Personenkreis zugänglich werden, prüft der Verantwortliche eine separate Einwilligung in die Weitergabe: welche Angaben veröffentlicht werden, auf welchen Ressourcen, zu welchem Zweck und für welchen Zeitraum. Ein allgemeines Registrierungs-Kästchen schafft eine solche Erlaubnis nicht.

Ein Datensatz und unterschiedliche Teamzugriffe

Kurz gesagt: Teilnehmerdaten sollten in einem zentral verwalteten Master-Datensatz gespeichert werden, und jede Abteilung sollte nur ihren Arbeitsdatensatz sehen. So reduziert das Team die Zahl auseinanderlaufender Tabellen und begrenzt überflüssigen Zugriff. Eine Rolle erhält konkrete Felder, Vorgänge und eine Frist. Ein vollständiger Export „für das Organisationskomitee“ ist fast immer umfangreicher als die Aufgabe der Ausführenden.

In unserer Praxis bei Business-Events dient das Formular der Akkreditierung, den Badges, der Verpflegung, dem Transport und der Unterkunft. Getrennt davon führt das Team Nachrichten und Berichte. Ein Fehler entsteht, wenn alle Prozesse eine einzige CSV-Datei mit allen Spalten erhalten.

Der Zugriff wird für die Projektdauer erteilt. Eine manuelle Änderung speichert Autor, Zeit, alten und neuen Wert. Ein Export erhält Eigentümer, Zweck und Datum. Nach der Aktualisierung des Master-Datensatzes darf die alte Kopie nicht als Arbeitsversion bestehen bleiben.

Die Ablehnung einer optionalen Auswahl zieht sich durch die gesamte Kette. Wenn ein Teilnehmer seine Entscheidung zur Veröffentlichung von Bildmaterial ändert, muss der Status das Foto- und Redaktionsteam erreichen. Der organisatorische Ablauf einer solchen Ablehnung ist ausführlicher im Artikel über die Einwilligung zu Foto und Video beschrieben.

Ein Sponsor erhält die allgemeine Registrierungsdatenbank nicht automatisch. Der Kontakt wird nach einer separaten, eindeutigen Handlung des Teilnehmers oder in einem anderen genehmigten Modell übermittelt. Für das Projekt können aggregierte Kennzahlen und freiwillige Interessenkarten genutzt werden. Die Varianten sind in der Analyse zur Sponsorenkommunikation ohne Weitergabe der Teilnehmerliste zusammengestellt.

Wenn Ihnen solche Arbeitsschemata für die Eventvorbereitung nützlich sind, veröffentlichen wir sie im Telegram-Kanal von „Aventura“. Im Artikel setzen wir die Prüfung sensibler und bedingter Felder fort.

Wann müssen Pass, Verpflegung und Foto gesondert geprüft werden?

Kurz gesagt: Pass, Gesundheitsangaben und Bild dürfen nicht aus Gewohnheit in ein Formular aufgenommen werden. Für jedes dieser Felder braucht es einen konkreten Zweck, einen minimalen Umfang, einen eingeschränkten Zugriff und eine Löschfrist. Passdaten fallen nicht automatisch unter besondere Kategorien, sind aber häufig überflüssig. Gesundheit und Identifizierung anhand eines Bildes können besonderen rechtlichen Regelungen unterliegen.

Ein Passabschnitt ist nur dort sinnvoll, wo ohne ihn die festgelegte Aufgabe nicht erfüllt werden kann: etwa bei einer Anforderung einer Sicherheitszone, einem Vertrags- oder Transportvorgang. Fordern Sie zunächst eine schriftliche Liste bei der Location oder dem Gastgeber an. Manchmal genügt für den Zugang der vollständige Name auf einer Liste und eine Sichtprüfung des Dokuments am Eingang.

Wenn Dokumentfelder für eine separate Gruppe benötigt werden, zeigen Sie sie nicht allen. Beschränken Sie den Zugriff auf die Mitarbeitenden, die den Ausweis ausstellen. Im Arbeitssystem der Registrierung können andere Rollen den Status freigegeben oder Rückfrage nötig sehen, ohne die ursprünglichen Daten.

Die Frage nach der Verpflegung wird über die Aktion des Teams formuliert. Statt der Bitte, Erkrankungen aufzulisten, lassen Sie die passende Verpflegungskategorie auswählen oder eine praktische Bedingung beschreiben. Versehen Sie das Freitextfeld mit der Bitte, keine Diagnosen und überflüssigen medizinischen Angaben zu nennen.

Für die Ausgabe eines Gerichts genügen in der Regel eine interne ID, die Kategorie, die Ausgabestelle und die Uhrzeit. Dieser Prozess muss mit dem Catering der Veranstaltung verknüpft und der Zugriffskreis eingeschränkt werden.

Ein gewöhnliches Foto mit Gesicht wird nicht allein wegen des Bildes zu biometrischen Daten. Der Biometrie-Modus entsteht, wenn der Verantwortliche das Bild zur Feststellung der Identität verwendet. Die öffentliche Angabe von Name, Position, Unternehmen oder Foto bleibt dabei eine separate Aufgabe und erfordert die Prüfung der Verbreitungsregelungen.

Bei einer Familienveranstaltung muss das Formular die Daten des Kindes und des gesetzlichen Vertreters trennen. Die Rolle des Vertreters und seine Befugnisse werden anhand der konkreten Situation geprüft. Kopien der Geburtsurkunde und des Passes werden nicht ohne Notwendigkeit erhoben. Angaben zu Gesundheit und Begleitung sind nur für diejenigen zugänglich, die diese Aufgabe ausführen.

Eine ausländische Staatsangehörigkeit allein begründet nicht die Notwendigkeit, den Pass für einen gewöhnlichen Badge zu kopieren. Für eine erweiterte Erhebung braucht der Veranstalter dennoch einen separaten Zweck und eine bestätigte Rechtsgrundlage.

Auftragnehmer, Plattformen und Speicherort der Daten

Die Weitergabe von Daten an die Veranstaltungsstätte, die Registrierungsplattform, den Newsletter-Dienst, das Hotel oder einen Transportauftragnehmer gehört ebenfalls zur Verarbeitung. Der Verantwortliche beschreibt den Zweck, den Umfang der Angaben und die Vorgänge. Separat prüft er die Sicherheit, das Verfahren bei Vorfällen und die Löschung. Der eine Satz „Der Auftragnehmer hält das Federal Law No. 152-FZ ein“ reicht nicht aus: Es brauchen einen Vertrag und ein tatsächliches Zugriffsschema.

Die Auftragsverarbeitung muss dem tatsächlichen Ablauf entsprechen. Wenn die Veranstaltungsstätte eine Einlassliste erhält, sind darin keine Fragebogenantworten und Werbemerkmale erforderlich. Wenn der Logistiker während des Treffens eine Telefonnummer benötigt, dürfen ihm nicht automatisch die Kontaktdaten aller Teilnehmer übermittelt werden. Für Logistik und Transfers stellen wir im Voraus eine verkürzte Liste zusammen und benennen einen Verantwortlichen für Aktualisierungen.

Im Auftrag nach Teil drei von Artikel sechs des Federal Law No. 152-FZ sind zwingend festzulegen:

1. die Liste der personenbezogenen Daten;
2. die Liste der Vorgänge mit den Daten und die Verarbeitungszwecke;
3. die Pflicht, die Daten geheim zu halten;
4. die Anforderungen von Teil fünf von Artikel achtzehn und von Artikel achtzehn Anmerkung eins;
5. die Pflicht, Dokumente vorzulegen, die die Einhaltung der Anforderungen bestätigen;
6. die Sicherheitsanforderungen nach Artikel neunzehn des Federal Law No. 152-FZ;
7. die Pflicht, den Verantwortlichen über die in Teil drei Anmerkung eins von Artikel einundzwanzig genannten Fälle zu informieren.

Zusätzlich empfehlen wir für das Projekt, das Verfahren zur Einbeziehung von Subunternehmern, die Rückgabe oder Löschung der Daten, den Umgang mit Sicherungskopien und die Art des Nachweises der Vernichtung nach Abschluss der Aufgabe abzustimmen. Diese Bedingungen helfen, praktische Lücken zu schließen, sind aber nicht Teil der wörtlichen Liste von Teil drei von Artikel sechs.

Bei der Erhebung von Daten russischer Staatsbürger über das Internet wird geprüft, wo die Erfassung, Systematisierung, Ansammlung, Speicherung, Aktualisierung und Extraktion erfolgen. Die Angabe des Anbieters „Server in Russland“ beantwortet die Fragen zu Sicherungskopien, Analysen und einem globalen Kundenmanagementsystem (CRM) nicht. Separat sind der ausländische Support und die hinzugezogenen Verarbeiter zu prüfen.

Die Weitergabe an eine ausländische Person oder auf das Territorium eines anderen Staates erfordert eine gesonderte Bewertung der grenzüberschreitenden Übermittlung. Der Verantwortliche prüft den Empfänger, die Schutzmaßnahmen und die Benachrichtigung von Roskomnadzor vor Beginn einer solchen Übermittlung. Die aktuelle Fassung der Anforderungen und das konkrete Verfahren muss der Jurist des Verantwortlichen bestätigen.

Prüfen Sie separat die Excel- und CSV-Exporte. Für jede Datei braucht es einen Verantwortlichen, einen Speicherort, einen Zweck und eine Frist. Der Arbeitschat und das persönliche Notebook des Managers dürfen nicht zum dauerhaften Archiv der Datenbank werden. Nach der Änderung eines Eintrags wird der alte Export geschlossen, und nach Erreichen des Zwecks wird die abgestimmte Löschung gestartet.

Wie prüft man ein Formular vom Absenden bis zur Löschung?

Kurz: Ein Formular gilt als geprüft, wenn der vollständige Datenweg durchlaufen ist. Der Test umfasst Eingabe und Bestätigung, bedingte Verzweigungen, die Änderung von Datensätzen und Exporte. Anschließend prüft das Team den Widerruf von Entscheidungen, die Schließung von Zugängen und die Löschung. Die Meldung „Anmeldung erhalten“ bestätigt nur den ersten Schritt und zeigt nicht, was die Bearbeiter gesehen haben.

Beginnen Sie mit einem normalen Teilnehmer:

1. öffnen Sie das Formular am Smartphone und durchlaufen Sie es per Tastatur;
2. prüfen Sie, ob der Verantwortliche und die Zwecke vor dem Absenden sichtbar sind;
3. füllen Sie nur die grundlegenden Pflichtfelder aus;
4. lassen Sie Werbung, Veröffentlichung und Sponsor-Kontakt leer;
5. registrieren Sie sich ohne Zwang zu optionalen Entscheidungen;
6. erhalten Sie eine Bestätigung mit Datum, Ort und Möglichkeit zur Korrektur der Daten;
7. stellen Sie sicher, dass der Datensatz genau einmal in der Master-Liste erscheint;
8. vergleichen Sie die Felder in den Listen für Badges und Nachrichten mit der Zielmatrix.

Durchlaufen Sie dann die bedingten Verzweigungen. Bei Auswahl des Transfers dürfen nur die Transportfelder erscheinen. Für das Hotel werden Daten und Übernachtungsparameter benötigt, aber keine Kreditkartendaten im allgemeinen Formular. Die Arbeitsstruktur einer separaten Hotelliste lässt sich mit dem Beitrag zur Rooming List für Veranstaltungen abgleichen.

Prüfen Sie die Ausnahmen:

• Korrektur des Namens vor und nach dem Druck des Badges;
• Wechsel des Hauptkontakts;
• erneutes Absenden und Duplikat;
• Stornierung und Wiederherstellung der Teilnahme;
• Ablehnung von Werbung ohne Stornierung der Registrierung;
• Änderung der Entscheidung zur Veröffentlichung;
• Schließung einzelner Optionen nach der Deadline;
• fehlerhafter Flug mit dem Status in Prüfung statt einer falschen Bestätigung.

Eine späte Registrierung darf kein bereits geschlossenes Hotel, keinen Transfer und keine Sonderverpflegung versprechen. Das Formular zeigt die verfügbaren Optionen an und leitet eine strittige Anfrage zur Bestätigung an den Verantwortlichen weiter. Die Logik der Stichtage und Ausnahmen haben wir im Beitrag zu späten Registrierungen für B2B-Veranstaltungen dargestellt.

Prüfen Sie nach der Oberfläche die Rollen. Melden Sie sich mit jedem Konto an und stellen Sie sicher, dass überflüssige Felder ausgeblendet sind. Exportieren Sie die Listen für Badges, Sicherheit, Verpflegung, Transfer und Unterkunft. Die Spaltenzusammensetzung muss mit der Matrix übereinstimmen.

Widerrufen Sie anschließend eine optionale Auswahl und prüfen Sie alle zugehörigen Listen.

Das finale Szenario schließt das Projekt ab. Das Team deaktiviert temporäre Zugänge, löscht Testdatensätze und startet die genehmigte Löschung oder Anonymisierung. Nach der allgemeinen Regel legt das Gesetz Fristen für die Beendigung der Verarbeitung und die Vernichtung in bestimmten Situationen fest, doch eine konkrete Aufbewahrungsmatrix darf nicht durch den einen Satz „bis zum Widerruf“ ersetzt werden. Bei automatisierter Verarbeitung wird die Vernichtung durch ein Protokoll und einen Auszug aus dem Journal bestätigt.

Sieben Fehler vor dem Start der Registrierung

Die meisten Probleme entstehen durch die Vermischung von Prozessen. Ein einziges Häkchen deckt alles ab, der vollständige Fragebogen geht an alle Dienstleister, Werbung landet in Service-Mails, und niemand legt eine Aufbewahrungsfrist fest. Diese Fehler sind vor dem Start sichtbar. Zur Prüfung genügt es, Oberfläche, Dokumente und Verträge abzugleichen und anschließend eine Testregistrierung durchzuführen und die Exporte zu prüfen.

1. Eine Checkbox für alle Entscheidungen. Verarbeitung, Werbung, Veröffentlichung, Partner und Teilnahmebedingungen erfordern eine getrennte Prüfung.
2. Die Einwilligung ist im Button versteckt. Das Anklicken von „Anfrage senden“ darf nicht unbemerkt mehrere Dokumente und Zwecke bestätigen.
3. Pflichtfelder ohne Funktion. Geburtsdatum, Geschlecht, Adresse, Pass, Unternehmen oder Position werden erhoben, weil sie in der früheren Vorlage standen.
4. Unklarer Verantwortlicher. Auf dem Formular steht die Marke des Projekts, die Datenschutzerklärung auf eine andere Person, und die Datenbank ist einer dritten Organisation zugänglich.
5. Ein Export für alle. Location, Druck, Catering, Transport und Marketing erhalten eine vollständige CSV-Datei.
6. Der organisatorische Kontakt wird zum Werbekontakt. Nach der Bestätigung der Registrierung landet die Person ohne separate Auswahl im Verteiler künftiger Angebote.
7. Kein Abschluss der Verarbeitung. Die Daten bleiben im CRM, in E-Mails, Chats, lokalen Tabellen, im Zutrittssystem und in Sicherungskopien.

Ein nützlicher Tipp bei der Abnahme: Bitten Sie den Dienstleister, drei reale Vorgänge an einer Testregistrierung durchzuführen. Er soll ein Feld ändern, die Sichtbarkeit für eine Rolle einschränken und den Datensatz nach dem vereinbarten Szenario löschen. Die Demonstration zeigt sofort die Abweichungen zwischen der versprochenen und der tatsächlichen Architektur.

Was ist am Launch-Tag zu prüfen?

Kurz gesagt: Am Tag der Eröffnung der Registrierung durchläuft das Team das Formular auf dem Smartphone und unter verschiedenen Rollen. Zuerst prüft es die Texte, Pflichtfelder und einzelnen Auswahlmöglichkeiten. Danach prüft es Zugriffe, E-Mails, Exporte und das Aktionsprotokoll. Nach den Korrekturen wird der gesamte Weg von der ersten Seite bis zum Erscheinen der Daten bei den Ausführenden erneut durchlaufen.

Rechtliches und organisatorisches Modell

• [ ] Der Betreiber ist benannt und ein funktionierender Kontakt für Anfragen angegeben.
• [ ] Jeder Zweck ist mit Feldern, Rechtsgrundlage, Empfängern und Frist verknüpft.
• [ ] Die Datenschutzrichtlinie ist von der Formularseite aus zugänglich und stimmt mit dem Prozess überein.
• [ ] Die Mitteilung an Roskomnadzor und die darin enthaltenen Angaben wurden vom Betreiber geprüft.
• [ ] Der Standort der Datenbanken und eine mögliche grenzüberschreitende Übermittlung wurden geprüft.
• [ ] Verträge mit Auftragsverarbeitern beschreiben Daten, Vorgänge, Sicherheit und Löschung.

Felder und Oberfläche

• [ ] Pflichtfelder sind nur die notwendigen Felder geblieben.
• [ ] Bedingte Blöcke öffnen sich nur für die entsprechende Gruppe.
• [ ] Die Einwilligung in die Verarbeitung ist separat gestaltet und nicht vorab angekreuzt.
• [ ] Werbung und Verbreitung sind als eigenständige freiwillige Entscheidungen ausgestaltet.
• [ ] Teilnehmende können das Formular ohne optionale Häkchen absenden.
• [ ] Eine Fehlermeldung erklärt, was zu korrigieren ist, und löscht die übrigen Antworten nicht.
• [ ] Feldbeschriftungen sind sichtbar, der Tastaturfokus ist erkennbar, die mobile Schaltfläche ist erreichbar.

Daten und Zugriffe

• [ ] Der Master-Datensatz wird einmalig erstellt.
• [ ] Badge, Sicherheit, Verpflegung, Transport und Hotel erhalten ihre eigenen Spaltensätze.
• [ ] Der vollständige Export ist eingeschränkt und wird protokolliert.
• [ ] Manuelle Änderungen speichern Autor, Zeit und Änderung.
• [ ] Alte Exporte sind nach der Aktualisierung nicht mehr arbeitsrelevant.
• [ ] Für temporäre Rollen ist ein Deaktivierungsdatum festgelegt.

Kommunikation und Abschluss

• [ ] Die Bestätigung enthält Datum, Ort, nächsten Schritt und den Korrekturkanal.
• [ ] Service-Nachrichten enthalten keine Werbung ohne separate Einwilligung.
• [ ] Die Ablehnung einer optionalen Auswahl aktualisiert alle zugehörigen Listen.
• [ ] Der Kanal für Anträge auf Beendigung der Verarbeitung und Werbeabmeldung funktioniert.
• [ ] Verantwortliche für die Löschung sind beim Betreiber und bei den Auftragnehmern benannt.
• [ ] Für die Vernichtung sind ein Protokoll und ein Journal vorgesehen.

Nach der ersten Testgruppe sammeln Sie die Anmerkungen in einer Liste, korrigieren das Formular und wiederholen den gesamten Weg. Die Prüfung eines einzelnen Feldes nach einer Änderung ersetzt keinen vollständigen Durchlauf: Eine neue Pflichtangabe kann das mobile Szenario, eine E-Mail oder einen bedingten Zweig brechen.

Grenzen der Verantwortung des Veranstalters

Kurz gesagt: Das Event-Team entwirft einen nachvollziehbaren Datenfluss und stellt sicher, dass jede Abteilung das notwendige Minimum erhält. Der Verantwortliche für die Verarbeitung personenbezogener Daten entscheidet über Zwecke und Mittel der Verarbeitung. Sein Jurist genehmigt die Rechtsgrundlagen, die Texte der Einwilligungen, die Fristen, die Benachrichtigungen und das Vertragsschema. Die Rollen arbeiten zusammen, ersetzen einander aber nicht.

Wir bei Aventura können eine operative Karte der Felder und Status erstellen. Sie umfasst Zugriffsrechte für jede Rolle, Testszenarien, die Weitergabe an Auftragnehmer und die Schließung von Zugängen. Wir geben nicht einen einzigen Einwilligungstext als Lösung für jedes Event aus. Eine offene Konferenz, ein geschlossenes Mitarbeitertreffen, ein Familientag und eine Reise mit Hotelaufenthalt erzeugen unterschiedliche Prozesse.

Das praktische Ergebnis dieser Arbeit ist einfach: Jedes Feld hat einen Grund, jede Rolle hat eine Grenze, jeder Export hat einen Verantwortlichen, und die Daten haben ein klares Ende ihres Lebenszyklus. Anschließend prüfen der Verantwortliche und der Jurist dieses Schema und genehmigen die Dokumente.

Wenn Sie Formular, Location, Kommunikation und die Arbeit der Auftragnehmer miteinander verbinden müssen, sehen Sie sich das Format der Organisation einer Geschäftsveranstaltung an. Wir integrieren die Registrierung in den Gesamtprojektplan und bereiten den Prozess für die gemeinsame Prüfung durch den Auftraggeber und seinen Juristen vor.

Quellen

• Grundbegriffe: Artikel 3 des Federal Law No. 152-FZ.
• Grundsätze der Verarbeitung: Artikel 5 des Federal Law No. 152-FZ.
• Bedingungen der Verarbeitung und Auftragsverarbeitung: Artikel 6 des Federal Law No. 152-FZ.
• Einwilligung der betroffenen Person: Artikel 9 des Federal Law No. 152-FZ.
• Besondere Kategorien von Daten: Artikel 10 des Federal Law No. 152-FZ.
• Zur Verbreitung freigegebene Daten: Artikel 10.1 des Federal Law No. 152-FZ.
• Biometrische personenbezogene Daten: Artikel 11 des Federal Law No. 152-FZ.
• Grenzüberschreitende Übermittlung: Artikel 12 des Federal Law No. 152-FZ.
• Direktwerbung über Kommunikationsmittel: Artikel 15 des Federal Law No. 152-FZ.
• Datenerhebung und Lokalisierung: Artikel 18 des Federal Law No. 152-FZ.
• Datenschutzrichtlinie und Maßnahmen des Betreibers: Artikel 18.1 des Federal Law No. 152-FZ.
• Sicherheit personenbezogener Daten: Artikel 19 des Federal Law No. 152-FZ.
• Beendigung der Verarbeitung und Vernichtung: Artikel 21 des Federal Law No. 152-FZ.
• Mitteilung an Roskomnadzor: Artikel 22 des Federal Law No. 152-FZ.
• Werbung über Telekommunikationsnetze: Artikel 18 des Federal Law No. 38-FZ.
• Gesonderte Einwilligungserklärung: Federal Law No. 156-FZ vom 24.06.2025.
• Bestätigung der Vernichtung: Verordnung von Roskomnadzor No. 179 vom 28.10.2022.
• Formulare für Mitteilungen: Verordnung von Roskomnadzor No. 180 vom 28.10.2022.