Award, DSGVO, Einreichung: die fünf häufigsten Fallen

Award, DSGVO, Einreichung: Wer haftet wofür?

Die erste Weichenstellung ist eine Rollenfrage. Wer einen Award ausschreibt, entscheidet über Zweck und Mittel der Datenverarbeitung und ist damit Verantwortlicher im Sinne der DSGVO. Jeder Dienstleister, der in Ihrem Auftrag Daten verarbeitet — Einreichplattform, Hoster, Mailversand, Cloud-Speicher, Videoproduktion der Gala —, ist Auftragsverarbeiter. Diese Rollen lassen sich nicht wegdelegieren: Wenn bei einem Ihrer Werkzeuge etwas schiefläuft, steht Ihr Verband, Ihre Kammer oder Ihr Verlag in der Verantwortung, nicht der Software-Anbieter.

Daraus folgt eine sehr praktische Pflicht. Sie müssen für jeden Baustein Ihres Ablaufs beantworten können: Wer verarbeitet hier welche Daten, auf welcher Rechtsgrundlage, wie lange und an welchem Ort? Die folgenden fünf Fallen sind genau die Stellen, an denen diese Antwort in der Praxis am häufigsten fehlt. Sie treten unabhängig von der Größe des Awards auf, bei 40 Einreichungen genauso wie bei 400.

Falle 1: Es gibt keinen Auftragsverarbeitungsvertrag

Der häufigste Fund. Das Einreichformular läuft über ein Tool, das jemand im Team mit der Firmenkreditkarte abonniert hat. Ein AVV wurde nie abgeschlossen, oft nicht einmal gesucht.

Risiko: Art. 28 DSGVO verlangt für jede Auftragsverarbeitung einen Vertrag mit festgelegtem Mindestinhalt. Fehlt er, ist die Verarbeitung angreifbar — unabhängig davon, wie sauber der Anbieter technisch arbeitet. Im Ernstfall haben Sie außerdem keinen dokumentierten Anspruch auf Mitwirkung, etwa wenn eine Löschanfrage eingeht oder Sie eine Datenpanne melden müssen.

Abhilfe: Listen Sie vor dem Start jedes Werkzeug auf, das mit Einreichdaten in Berührung kommt, und holen Sie für jedes einen AVV ein. Seriöse Anbieter halten ihn zum Download bereit. Wo keiner existiert, ist das ein Auswahlkriterium und kein Formalismus.

Falle 2: Die Rechtsgrundlage ist unklar

„Wir haben ja eine Einwilligung“ ist die verbreitetste Fehlannahme. Tatsächlich braucht nicht jeder Datenfluss eine Einwilligung.

Risiko: Wer die Einreichung selbst auf Einwilligung stützt, gibt Einreicher:innen ein jederzeitiges Widerrufsrecht, das theoretisch mitten in der Jurysitzung gezogen werden kann. Wer umgekehrt Marketing-Mails auf den Teilnahmevertrag stützt, versendet sie ohne tragfähige Grundlage.

Abhilfe: Trennen Sie die Datenflüsse und ordnen Sie jedem eine eigene Grundlage zu. Die Abwicklung der Einreichung stützt sich auf den Vertrag, also auf Ihre Teilnahmebedingungen; die Bewerbung künftiger Awards per Newsletter auf eine gesonderte Einwilligung. Halten Sie das schriftlich fest, bevor die Ausschreibung online geht — danach sind die Formulare bereits im Umlauf. Wie sich Teilnahmebedingungen und Fristen sauber aufsetzen lassen, steht im Beitrag zum Ausschreiben eines Awards.

Falle 3: Die Einwilligung ist nicht dokumentiert

Eine Einwilligung, die Sie nicht nachweisen können, ist im Streitfall keine. Besonders anfällig sind Foto- und Videoaufnahmen bei der Gala sowie die Veröffentlichung von Projektinhalten der Gewinner:innen.

Risiko: Ohne Protokoll fehlt der Nachweis, wer wann wozu zugestimmt hat. Wird ein Gala-Foto ein halbes Jahr später beanstandet, steht Aussage gegen Aussage. Ein pauschaler Satz im Ticketshop deckt die Veröffentlichung eines Einreichdossiers in der Regel nicht mit ab.

Abhilfe: Speichern Sie zu jeder Einwilligung den Zeitpunkt, die Version des Textes und die konkrete Handlung — ein aktiv gesetztes Häkchen, keine Vorbelegung. Trennen Sie die Zwecke: Teilnahme, Bildrechte und Newsletter sind drei Entscheidungen, nicht eine. Für die Gala ergänzen Sie sichtbare Hinweise am Eingang um eine dokumentierte Zustimmung der Preisträger:innen.

Falle 4: Die Daten liegen in den USA

Selten bewusst entschieden, meist mitgeliefert: Das Formular-Tool speichert in einer US-Region, die Uploads landen in einem US-Cloud-Ordner, das Gala-Video auf einer US-Plattform.

Risiko: Drittlandtransfers sind nicht verboten, aber begründungs- und dokumentationspflichtig. Sie brauchen einen tragfähigen Übermittlungsmechanismus und müssen ihn benennen können. Wer nicht einmal weiß, in welcher Region ein Dienst speichert, hat diese Prüfung offensichtlich nicht geführt.

Abhilfe: Klären Sie den Speicherort vor Vertragsabschluss, schriftlich. EU-Hosting oder ein Server in Ihrer eigenen Infrastruktur macht die Frage in den meisten Fällen gegenstandslos. Prüfen Sie dabei auch die Nebenwerkzeuge: Newsletter-Versand, Terminbuchung, Umfragen und Videoplattform gehören zum selben Verfahren. Was der Betrieb auf eigener Infrastruktur bedeutet, steht auf der Seite zum Self-Hosting.

Falle 5: Der Jury-Verteiler per E-Mail

Die operativ bequemste und datenschutzrechtlich unangenehmste Abkürzung: alle Einreichungen als ZIP-Archiv oder Excel-Datei an alle Juror:innen, per E-Mail, einmal pro Runde.

Risiko: Damit verlassen vollständige Datensätze Ihre Kontrolle. Jede Kopie liegt anschließend in privaten Postfächern, auf Notebooks und in Backups. Eine Löschanfrage können Sie nicht mehr vollständig erfüllen. Dazu kommt ein fachliches Problem: Juror:innen sehen Einreichungen, für die sie nicht zuständig sind — das Gegenteil von Datenminimierung und eine offene Flanke bei Befangenheit.

Abhilfe: Bewerten lassen, wo die Daten liegen. Juror:innen sollten nur die ihnen zugeteilte Auswahl sehen, Zugriffe sollten protokolliert und nach Ende der Saison entzogen werden. Wenn Sie Dateien doch versenden müssen, dann pseudonymisiert und nur den zuständigen Teil. Wie sich Zuteilung, Runden und Befangenheit organisatorisch aufsetzen lassen, beschreibt der Beitrag zum Jury-Prozess.

Die fünf Fallen auf einen Blick

Was Software abnimmt — und was nicht

Ein Teil der fünf Fallen ist strukturell lösbar, ein Teil nicht. Werkzeuge helfen dort, wo es um Zugriffe, Speicherort und Protokollierung geht. Laureo hostet in der EU, stellt einen AVV nach Art. 28 bereit und zeigt Juror:innen nur die ihnen zugeteilten Einreichungen; im Sovereign-Paket (ab € 7.900 netto pro Saison) läuft die Instanz auf Ihrer eigenen Infrastruktur. Das entschärft die Fallen 1, 4 und 5 weitgehend.

Die Fallen 2 und 3 bleiben Ihre Arbeit. Welche Rechtsgrundlage für welchen Datenfluss gilt, entscheiden Sie als Verantwortlicher — das kann keine Software für Sie festlegen. Und die Dokumentation der Einwilligungen ist nur so gut wie die Texte, die Sie in Ihre Teilnahmebedingungen und in Ihr Formular schreiben.

Ehrlicherweise gilt das auch darüber hinaus. Eine Plattform deckt den Kern des Verfahrens ab, nicht Ihr gesamtes Ökosystem: Newsletter-Tool, Ticketing, Fotograf:in und Videoplattform bleiben eigene Verarbeitungen mit eigenen Verträgen. Und Self-Hosting verlagert die technischen und organisatorischen Maßnahmen zurück in Ihr Haus. Das ist mehr Kontrolle, aber auch mehr Arbeit — für kleine Teams ohne eigene IT ist EU-Hosting beim Anbieter meist die realistischere Wahl.

Wenn Sie das Verfahren ohnehin gerade neu aufsetzen: Datenminimierung beginnt im Formular. Jedes Feld, das Sie nicht abfragen, müssen Sie später nicht schützen, exportieren oder löschen. Dazu mehr im Beitrag über das Einreichformular. Eine kompakte Liste zum Abhaken finden Sie in den Ressourcen.

Dieser Beitrag ist eine Orientierungshilfe für Award-Veranstalter und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung Ihres Verfahrens ziehen Sie bitte Ihre Datenschutzbeauftragte oder eine Rechtsanwältin bei. Laureo ist ein Produkt der State of Innovation GmbH, Mahlerstraße 7/25, 1010 Wien.

Passend dazu