DSGVO-konforme digitale Einladungen und RSVP-Formulare

Rechtsgrundlagen: DSGVO und BDSG bei digitalen Einladungen

Digitale Einladungen und RSVP-Formulare verarbeiten personenbezogene Daten, sobald Name, Kontaktangaben, Menüwahl oder Sitzplatzwunsch erfasst werden. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist in der Regel die einladende Person oder Organisation – nicht der Formularanbieter. Das ist praktisch entscheidend, weil damit Informationspflichten (Art. 13 DSGVO), Löschpflichten und die Auswahl einer Rechtsgrundlage beim Veranstalter liegen. Der Anbieter ist regelmäßig Auftragsverarbeiter und muss über einen Vertrag nach Art. 28 DSGVO eingebunden werden. Bei privaten Einladungen im rein persönlichen Bereich greift die sogenannte Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO), sodass die DSGVO nicht gilt; diese Ausnahme endet aber spätestens dann, wenn die Einladung von einem Verein, Unternehmen oder in beruflichem Kontext versendet wird.

Als Rechtsgrundlage kommt für die Organisation einer Veranstaltung primär Art. 6 Abs. 1 lit. b DSGVO in Betracht, soweit die Datenerhebung zur Durchführung des Veranstaltungsvertrags bzw. des vorvertraglichen Verhältnisses erforderlich ist – bei einer betrieblichen Feier oder einer gebuchten Veranstaltung mit Bewirtung ist das naheliegend. Für rein organisatorische Zwecke wie Sitzplatzkoordination oder Erinnerungen kann Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) tragen, wenn eine Interessenabwägung dokumentiert wird. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist nur dort sinnvoll, wo keine andere Grundlage greift – etwa bei der Weitergabe von Kontaktdaten an Dritte oder bei freiwilligen Zusatzangaben. Das BDSG ergänzt die DSGVO insbesondere durch § 26 BDSG für Beschäftigtendaten (relevant bei betrieblichen Feiern, wenn Arbeitgeber Gästedaten von Beschäftigten erhebt) sowie durch die Einschränkungen in § 1 Abs. 3 und § 35 BDSG. Zu beachten ist außerdem das TTDSG, wenn die Einladungsseite Cookies oder Tracking einsetzt: Für nicht technisch notwendige Speicherung ist eine Einwilligung nach § 25 Abs. 1 TTDSG erforderlich.

Datensparsamkeit und Zweckbindung bei der Gästedatenerhebung

Art. 5 Abs. 1 lit. c DSGVO verlangt, nur die Daten zu erheben, die für den konkreten Zweck tatsächlich benötigt werden. Für ein RSVP-Formular heißt das: Name, E-Mail-Adresse (für Bestätigung und ggf. Nachfragen), Zu-/Absage und – je nach Veranstaltung – Menüwahl und Sitzplatzwunsch sind regelmäßig erforderlich. Angaben wie Telefonnummer, Geburtsdatum, Arbeitgeber oder vollständige Postadresse sind es in der Regel nicht; sie sind nur aufzunehmen, wenn ein konkreter Grund besteht (etwa Versand einer Papierkarte auf Wunsch). Ein Feld für „Begleitperson“ ist zulässig, wenn die Einladung explizit für zwei Personen gilt – dann aber mit klarer Begrenzung der Anzahl, um übermäßige Datenerhebung zu vermeiden. Praxisgerecht ist, die Formularfelder als Pflicht- und optionale Felder zu kennzeichnen und bei jedem Feld zu begründen, warum es erhoben wird. Eine kurze Zweckangabe am Feld („wird für die Sitzordnung genutzt“) erfüllt die Transparenzpflicht nach Art. 13 Abs. 1 lit. c DSGVO und reduziert Rückfragen.

Die Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO begrenzt die Weiterverwendung: Gästedaten aus der RSVP-Abfrage dürfen nicht ohne Weiteres für Werbung, Newsletter oder die Anlage einer dauerhaften Kontaktliste genutzt werden – das wäre eine Zweckänderung, die einer eigenen Rechtsgrundlage bedarf. Wer Gästedaten für eine spätere Einladung weiterverwenden möchte, sollte dies bereits bei der Erhebung transparent machen und eine belastbare Grundlage (Einwilligung oder berechtigtes Interesse mit dokumentierter Abwägung) vorsehen. Für die technische Umsetzung empfiehlt es sich, getrennte Formulare oder getrennte Datenfelder für getrennte Zwecke zu nutzen (z. B. Anmeldung einerseits, optionaler Newsletter andererseits), damit Zwecke nicht vermischt werden. Auch die Empfänger von Daten müssen benannt werden: Catering, Location, Sitzplatzkoordination können Empfänger sein, wenn sie für die Durchführung benötigt werden – hier bietet es sich an, mit Dienstleistern klare Vertraulichkeits- und Löschregelungen zu treffen. Ein datensparsames Formular ist auch technisch sparsamer: weniger Felder bedeuten weniger Fehlerquellen, weniger Rückfragen und eine einfachere Löschung nach der Veranstaltung.

Sensible Daten: Allergien und Gesundheitsangaben rechtssicher erfassen

Allergien und Unverträglichkeiten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Für ihre Verarbeitung benötigen Sie eine ausdrückliche Rechtsgrundlage: entweder eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder – bei konkreter Gefahr für die Gesundheit – Art. 9 Abs. 2 lit. c DSGVO in Verbindung mit einer Rechtsgrundlage wie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fürsorgepflicht gegenüber Gästen). In der Praxis ist die Einwilligung der klarste Weg, weil sie transparent, freiwillig und widerruflich sein muss.

Praktische Anforderungen:

• Freiwilligkeit sichern: Allergien dürfen keine Pflichtangabe sein. Wer nichts angibt, muss trotzdem teilnehmen können. Formulieren Sie z. B. „Optional: Allergien/Unverträglichkeiten, damit wir Sie sicher bewirten können."
• Getrennte Einwilligung: Holen Sie die Einwilligung zur Verarbeitung von Gesundheitsdaten separat ein (eigenes Häkchen), nicht gebündelt mit der Anmeldung.
• Zweckbindung: Die Angaben dürfen nur für die Verpflegung und Sicherheit bei der Veranstaltung genutzt werden, nicht für Marketing oder Profilbildung.
• Weitergabe minimieren: Übermitteln Sie Allergiedaten nur an das Catering, das sie zwingend benötigt – möglichst pseudonymisiert (Gastnummer statt Name, Zuordnung nur beim Cateringleiter).
• Sicherheit: Art. 32 DSGVO verlangt angemessene technische Maßnahmen: verschlüsselte Übertragung (TLS), Zugriffsbeschränkung, keine Klartext-Listen per ungesicherter E-Mail.

Rechenbeispiel (Annahmen): Eine Hochzeit mit 120 Gästen erhebt über ein RSVP-Formular Name, Menüwahl, Sitzplatzwunsch und optional Allergien. Angenommen, 20 % der Gäste machen Angaben zu Allergien (Schätzung, abhängig vom Gästekreis) – das sind ca. 24 Datensätze mit Gesundheitsdaten. Diese 24 Datensätze werden getrennt von den übrigen 120 gespeichert, nur dem Catering als Gastnummernliste übermittelt und nach der Veranstaltung nach 7 Tagen gelöscht. Die übrigen 96 Datensätze ohne Gesundheitsbezug unterliegen der regulären Löschfrist.

Einwilligung, Löschfristen und Auftragsverarbeitung in der Praxis

Einwilligung: Für Menüwahl und Sitzplatzwunsch genügt regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vertragsähnliches Verhältnis zur Durchführung der Veranstaltung); eine zusätzliche Einwilligung ist nicht zwingend, aber Transparenz über den Zweck ist Pflicht (Art. 13 DSGVO). Für Gesundheitsdaten ist die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO separat einzuholen, dokumentierbar (Zeitstempel, Formulartext) und jederzeit widerrufbar.

Löschfristen: Legen Sie vor der Erhebung fest, wann gelöscht wird. Orientierungswerte: Gästedaten bis zum Veranstaltungsende plus Nachbereitungsphase (z. B. 7–30 Tage für Rückfragen und Abrechnung); Gesundheitsdaten so kurz wie möglich, z. B. Löschung 7 Tage nach der Veranstaltung. Steuerlich relevante Zahlungsdaten können aufgrund gesetzlicher Aufbewahrungspflichten (§ 147 AO, i. d. R. bis zu 10 Jahre) länger gespeichert werden – getrennt von den übrigen Gästedaten.

Auftragsverarbeitung: Nutzen Sie einen Anbieter für digitale Einladungen, schließen Sie einen Vertrag nach Art. 28 DSGVO ab. Prüfen Sie Serverstandort (EU/EWR bevorzugt), Subunternehmer, Löschkonzept und ob das Formular die oben genannten Einwilligungen technisch abbildet.

Checkliste vor dem Versand der Einladung:

1. Rechtsgrundlage je Datenfeld dokumentiert (Art. 6 / Art. 9)
2. Datenschutzhinweise nach Art. 13 DSGVO im Formular verlinkt
3. Gesundheitsdaten: separates, freiwilliges Einwilligungshäkchen
4. Löschfristen je Datenkategorie festgelegt und technisch umsetzbar
5. AV-Vertrag mit dem Anbieter geschlossen, EU-Hosting geprüft
6. Zugriffsrechte intern beschränkt, Übertragung verschlüsselt

Häufig gestellte Fragen (FAQ)

Welche Rechtsgrundlage gilt für die Erhebung von Gästedaten bei digitalen Einladungen?

In der Regel ist Art. 6 Abs. 1 lit. b DSGVO die tragende Grundlage: Die Verarbeitung ist für die Durchführung der Veranstaltung erforderlich – also für Einladung, Anmeldung, Organisation und Ablauf. Das umfasst Name, Kontaktdaten und die Rückmeldung (Zu-/Absage). Für reine Komfort- oder Zusatzangaben (z. B. Sitzplatzwunsch, Musikwünsche, freiwillige Zusatzfelder) fehlt dieser Vertragsbezug häufig; hier ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) oder lit. f DSGVO (berechtigtes Interesse an der Organisation) einschlägig, wobei das berechtigte Interesse zu dokumentieren und gegen die Interessen der Gäste abzuwägen ist. Bei rein privaten Feiern im familiären Bereich kann die DSGVO teilweise gar nicht anwendbar sein (Haushaltsausnahme, Art. 2 Abs. 2 lit. c DSGVO); sobald die Einladung über einen kommerziellen Dienstleister läuft oder beruflich/organisatorisch erfolgt, greift sie jedoch regelmäßig. Beachten Sie zudem § 7 UWG: Werbeeinwilligungen (z. B. für künftige Einladungen oder Newsletter) müssen gesondert und ausdrücklich erfolgen.

Dürfen Allergien und Gesundheitsdaten über ein RSVP-Formular abgefragt werden?

Ja, aber nur mit erhöhter Sorgfalt, denn Allergien sind Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO (besondere Kategorien). Erforderlich ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO – idealerweise als separates, aktives Häkchen, nicht vorausgewählt. Praktisch bewährt: das Feld als freiwillig kennzeichnen, den Zweck benennen („nur zur Sicherstellung einer geeigneten Verpflegung“), die Daten nur an das Catering weitergeben, soweit nötig, und die Angaben nach der Veranstaltung zeitnah löschen. Vermeiden Sie offene Freitextfelder, in denen Gäste unbeabsichtigt weitere Gesundheitsinformationen preisgeben; strukturierte Auswahloptionen plus optionales Feld sind datensparsamer. Wenn Sie auf die Abfrage verzichten können (z. B. Buffet mit klarer Kennzeichnung), ist das die datenschutzfreundlichste Variante.

Wie lange dürfen Gästedaten nach der Veranstaltung gespeichert werden?

Es gibt keine feste gesetzliche Frist; maßgeblich ist der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Löschen Sie die Daten, sobald der Zweck entfällt – bei reinen Organisationsdaten (Anmeldung, Menüwahl, Sitzplatz) ist das typischerweise unmittelbar nach der Veranstaltung, spätestens nach einer kurzen Nachbereitungsphase. Als Orientierung, nicht als Rechtsgarantie: eine Löschfrist von wenigen Wochen nach dem Event ist üblich und vertretbar; bei steuerlich relevanten Unterlagen (z. B. Rechnungsbelege) gelten separate Aufbewahrungspflichten (§ 147 AO, § 257 HGB), die aber nicht die gesamte Gästeliste erfassen. Dokumentieren Sie die Löschfristen in Ihrem Verzeichnis der Verarbeitungstätigkeiten und setzen Sie – wo technisch möglich – automatisierte Löschroutinen ein.

Brauche ich eine Einwilligung für die Erhebung von Menüwahl und Sitzplatzwünschen?

Nicht zwingend. Die Menüwahl ist regelmäßig für die Veranstaltungsorganisation erforderlich und lässt sich auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO stützen. Sitzplatzwünsche sind Komfortdaten; hier ist eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) der saubere Weg, insbesondere wenn die Angabe freiwillig ist – was sie sein sollte. Achtung: Sobald die Menüwahl Rückschlüsse auf Gesundheitsdaten zulässt (z. B. „glutenfrei aus medizinischen Gründen“), verschiebt sich die Einordnung in Richtung Art. 9 DSGVO; trennen Sie daher strikt zwischen „Menüpräferenz“ und „Allergie/Unverträglichkeit“. Kennzeichnen Sie freiwillige Felder klar, machen Sie die Teilnahme an der Veranstaltung nicht von ihrer Ausfüllung abhängig, und protokollieren Sie die Einwilligung nachweisbar (Zeitstempel, Version des Formulars).

Worauf muss ich bei einem DSGVO-konformen Anbieter für digitale Einladungen achten?

Prüfen Sie konkret: (1) Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – muss vorhanden und unterschrieben sein. (2) Serverstandort und Übermittlung in Drittländer – bei US-Anbietern: Rechtsgrundlage (z. B. EU-US Data Privacy Framework oder Standardvertragsklauseln) und Transfer Impact Assessment. (3) Datenminimierung im Formularbaukasten – lassen sich Felder deaktivieren, Pflichtfelder reduzieren, Einwilligungen getrennt abbilden? (4) Lösch- und Exportfunktionen – automatisierte Löschfristen, Datenexport für Auskunftsersuchen (Art. 15 DSGVO). (5) Sicherheit: TLS-Verschlüsselung, Zugriffsbeschränkungen, Rollenkonzept. (6) Transparenz: Ist der Anbieter bereit, Ihnen die nötigen Informationen für Ihre Datenschutzerklärung zu liefern (Verarbeitungszwecke, Empfänger, Speicherdauer)? (7) Kein Tracking ohne Einwilligung – Vorsicht bei eingebetteten Analyse- oder Werbetools. Ein Anbieter, der diese Punkte klar und dokumentiert beantwortet, ist ein gutes Indiz für DSGVO-Konformität; lassen Sie sich die Angaben schriftlich geben, statt sich auf Marketingaussagen zu verlassen.