Award, DSGVO, Einreichung: Wer haftet wofür?
Die erste Weichenstellung ist eine Rollenfrage. Wer einen Award ausschreibt und über Zweck und wesentliche Mittel der Kernverarbeitung entscheidet, ist regelmäßig Verantwortlicher im Sinne der DSGVO. Ein Dienstleister ist Auftragsverarbeiter, soweit er personenbezogene Daten weisungsgebunden für den Veranstalter verarbeitet. Bestimmt ein Anbieter dagegen eigene Zwecke oder wesentliche Mittel, kann er für diesen Teil eigenständig Verantwortlicher sein; je nach Gestaltung kommt auch gemeinsame Verantwortlichkeit in Betracht. Die Bezeichnung im Vertrag allein entscheidet diese Rolle nicht.
Daraus folgt eine sehr praktische Pflicht. Sie müssen für jeden Baustein Ihres Ablaufs beantworten können: Wer verarbeitet hier welche Daten, auf welcher Rechtsgrundlage, wie lange und an welchem Ort? Die folgenden fünf Fallen sind genau die Stellen, an denen diese Antwort in der Praxis am häufigsten fehlt. Sie treten unabhängig von der Größe des Awards auf, bei 40 Einreichungen genauso wie bei 400.
Falle 1: Es gibt keinen Auftragsverarbeitungsvertrag
Der häufigste Fund. Das Einreichformular läuft über ein Tool, das jemand im Team mit der Firmenkreditkarte abonniert hat. Ein AVV wurde nie abgeschlossen, oft nicht einmal gesucht.
Risiko: Art. 28 DSGVO verlangt für jede Auftragsverarbeitung einen Vertrag mit festgelegtem Mindestinhalt. Fehlt er, ist die Verarbeitung angreifbar — unabhängig davon, wie sauber der Anbieter technisch arbeitet. Im Ernstfall haben Sie außerdem keinen dokumentierten Anspruch auf Mitwirkung, etwa wenn eine Löschanfrage eingeht oder Sie eine Datenpanne melden müssen.
Abhilfe: Listen Sie vor dem Start jedes Werkzeug auf, das mit Einreichdaten in Berührung kommt, bestimmen und dokumentieren Sie dessen Rolle und schließen Sie für jede Auftragsverarbeitung einen AVV. Bei eigenständig Verantwortlichen dokumentieren Sie Empfänger, Rechtsgrundlage und Informationspflichten. Fehlt bei einer tatsächlichen Auftragsverarbeitung ein AVV, ist das ein Auswahlkriterium und kein Formalismus.
Falle 2: Die Rechtsgrundlage ist unklar
„Wir haben ja eine Einwilligung“ ist die verbreitetste Fehlannahme. Tatsächlich braucht nicht jeder Datenfluss eine Einwilligung.
Risiko: Wer die Einreichung selbst auf Einwilligung stützt, gibt Einreicher:innen ein jederzeitiges Widerrufsrecht, das theoretisch mitten in der Jurysitzung gezogen werden kann. Wer umgekehrt Marketing-Mails auf den Teilnahmevertrag stützt, versendet sie ohne tragfähige Grundlage.
Abhilfe: Trennen Sie die Datenflüsse und ordnen Sie jedem eine eigene Grundlage zu. Die Abwicklung der Einreichung stützt sich auf den Vertrag, also auf Ihre Teilnahmebedingungen; die Bewerbung künftiger Awards per Newsletter auf eine gesonderte Einwilligung. Halten Sie das schriftlich fest, bevor die Ausschreibung online geht — danach sind die Formulare bereits im Umlauf. Wie sich Teilnahmebedingungen und Fristen sauber aufsetzen lassen, steht im Beitrag zum Ausschreiben eines Awards.
Falle 3: Die Einwilligung ist nicht dokumentiert
Eine Einwilligung, die Sie nicht nachweisen können, ist im Streitfall keine. Besonders anfällig sind Foto- und Videoaufnahmen bei der Gala sowie die Veröffentlichung von Projektinhalten der Gewinner:innen.
Risiko: Ohne Protokoll fehlt der Nachweis, wer wann wozu zugestimmt hat. Wird ein Gala-Foto ein halbes Jahr später beanstandet, steht Aussage gegen Aussage. Ein pauschaler Satz im Ticketshop deckt die Veröffentlichung eines Einreichdossiers in der Regel nicht mit ab.
Abhilfe: Speichern Sie zu jeder Einwilligung den Zeitpunkt, die Version des Textes und die konkrete Handlung — ein aktiv gesetztes Häkchen, keine Vorbelegung. Trennen Sie die Zwecke: Teilnahme, Bildrechte und Newsletter sind drei Entscheidungen, nicht eine. Für die Gala ergänzen Sie sichtbare Hinweise am Eingang um eine dokumentierte Zustimmung der Preisträger:innen.
Falle 4: Die Daten liegen in den USA
Selten bewusst entschieden, meist mitgeliefert: Das Formular-Tool speichert in einer US-Region, die Uploads landen in einem US-Cloud-Ordner, das Gala-Video auf einer US-Plattform.
Risiko: Drittlandtransfers sind nicht verboten, aber begründungs- und dokumentationspflichtig. Sie brauchen einen tragfähigen Übermittlungsmechanismus und müssen ihn benennen können. Wer nicht einmal weiß, in welcher Region ein Dienst speichert, hat diese Prüfung offensichtlich nicht geführt.
Abhilfe: Klären Sie Speicher- und Verarbeitungsorte vor Vertragsabschluss schriftlich. EU-Hosting oder ein eigener Server reduziert das Transferrisiko der Kernplattform, beseitigt aber Drittlandbezüge optionaler Neben- oder KI-Dienste nicht automatisch. Für jeden Drittlandempfänger braucht es einen gültigen Angemessenheitsbeschluss oder geeignete Garantien und, soweit erforderlich, eine dokumentierte Transferprüfung. Was der Betrieb auf eigener Infrastruktur bedeutet, steht auf der Seite zum Self-Hosting.
Falle 5: Der Jury-Verteiler per E-Mail
Die operativ bequemste und datenschutzrechtlich unangenehmste Abkürzung: alle Einreichungen als ZIP-Archiv oder Excel-Datei an alle Juror:innen, per E-Mail, einmal pro Runde.
Risiko: Damit verlassen vollständige Datensätze das zentral kontrollierte System. Kopien liegen anschließend in Postfächern, auf Endgeräten und in Backups; Zugriffskontrolle, Berichtigung und fristgerechte Löschung werden erheblich schwieriger und erfordern zusätzliche Prozesse. Dazu kommt ein fachliches Problem: Juror:innen sehen Einreichungen, für die sie nicht zuständig sind — das Gegenteil von Datenminimierung und eine offene Flanke bei Befangenheit.
Abhilfe: Bewerten lassen, wo die Daten liegen. Juror:innen sollten nur die ihnen zugeteilte Auswahl sehen, Zugriffe sollten protokolliert und nach Ende der Saison entzogen werden. Wenn Sie Dateien doch versenden müssen, dann pseudonymisiert und nur den zuständigen Teil. Wie sich Zuteilung, Runden und Befangenheit organisatorisch aufsetzen lassen, beschreibt der Beitrag zum Jury-Prozess.
Die fünf Fallen auf einen Blick
| Falle | Risiko | Abhilfe | Erledigt bis |
|---|---|---|---|
| Rolle/AVV ungeklärt | Auftragsverarbeitung ohne Vertrag oder falsche Empfängerinformation | Rolle je Werkzeug prüfen; AVV abschließen, soweit Art. 28 gilt | Vor dem ersten Testlauf |
| Unklare Rechtsgrundlage | Widerruf mitten im Verfahren oder Newsletter ohne Grundlage | Je Datenfluss festhalten: Vertrag oder Einwilligung | Vor Veröffentlichung der Ausschreibung |
| Undokumentierte Einwilligung | Kein Nachweis bei Beanstandung von Fotos, Videos oder Inhalten | Zeitpunkt, Textversion und Handlung speichern; Zwecke trennen | Mit dem Formularentwurf |
| US-Speicherort | Drittlandtransfer ohne dokumentierte Prüfung | Speicherort schriftlich klären; EU-Hosting oder eigener Server | Bei der Anbieterauswahl |
| Jury-Verteiler per E-Mail | Unkontrollierte Kopien; Rechte und Löschung erheblich erschwert | Bewertung im System, Zuteilung statt Vollverteiler | Vor dem Jury-Kick-off |
Was Software abnimmt — und was nicht
Ein Teil der fünf Fallen ist strukturell lösbar, ein Teil nicht. Werkzeuge helfen dort, wo es um Zugriffe, Speicherort und Protokollierung geht. Laureo betreibt die Kernplattform in der EU, stellt eine AVV-Standardfassung bereit und zeigt Juror:innen nur die ihnen zugeteilten Einreichungen; im Sovereign-Paket kann die Instanz auf eigener Infrastruktur betrieben werden. Optionale SMTP-, Zahlungs- und KI-Dienste müssen vor Aktivierung gesondert dokumentiert werden. Das reduziert die Risiken der Fallen 1, 4 und 5, ersetzt aber nicht die konkrete Prüfung des Veranstalters.
Die Fallen 2 und 3 bleiben Ihre Arbeit. Welche Rechtsgrundlage für welchen Datenfluss gilt, entscheiden Sie als Verantwortlicher — das kann keine Software für Sie festlegen. Und die Dokumentation der Einwilligungen ist nur so gut wie die Texte, die Sie in Ihre Teilnahmebedingungen und in Ihr Formular schreiben.
Ehrlicherweise gilt das auch darüber hinaus. Eine Plattform deckt den Kern des Verfahrens ab, nicht Ihr gesamtes Ökosystem: Newsletter-Tool, Ticketing, Fotograf:in und Videoplattform bleiben gesondert zu prüfende Verarbeitungen; abhängig von ihrer Rolle benötigen sie einen AVV oder eine andere Empfänger- und Rechtsgrundlagendokumentation. Und Self-Hosting verlagert die technischen und organisatorischen Maßnahmen zurück in Ihr Haus. Das ist mehr Kontrolle, aber auch mehr Arbeit — für kleine Teams ohne eigene IT ist EU-Hosting beim Anbieter meist die realistischere Wahl.
Wenn Sie das Verfahren ohnehin gerade neu aufsetzen: Datenminimierung beginnt im Formular. Jedes Feld, das Sie nicht abfragen, müssen Sie später nicht schützen, exportieren oder löschen. Dazu mehr im Beitrag über das Einreichformular. Eine kompakte Liste zum Abhaken finden Sie in den Ressourcen.
Dieser Beitrag ist eine Orientierungshilfe für Award-Veranstalter und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung Ihres Verfahrens ziehen Sie bitte Ihre Datenschutzbeauftragte oder eine Rechtsanwältin bei. Laureo ist ein Produkt der State of Innovation GmbH, Mahlerstraße 7/25, 1010 Wien.
Häufige Fragen
Braucht man für ein Award-Einreichformular einen AVV?
Wenn der externe Anbieter Einreichdaten weisungsgebunden in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Vertrag. Verfolgt der Anbieter dagegen eigene Zwecke oder bestimmt wesentliche Mittel selbst, kann er eigenständig Verantwortlicher sein. Prüfen und dokumentieren Sie deshalb Rolle und Vertrag für jedes Werkzeug vor dem Start.
Welche Rechtsgrundlage gilt für Award-Einreichungen?
Die Abwicklung der Einreichung selbst stützt sich in der Regel auf den Vertrag, also auf Ihre Teilnahmebedingungen. Marketing braucht dagegen regelmäßig eine gesonderte Einwilligung. Legen Sie die Grundlage je Datenfluss fest und dokumentieren Sie sie, bevor die Ausschreibung startet.
Dürfen Award-Einreichungen auf US-Servern gespeichert werden?
Nicht pauschal verboten: Für Drittlandtransfers brauchen Sie einen gültigen Angemessenheitsbeschluss oder geeignete Garantien und, soweit erforderlich, eine dokumentierte Transferprüfung. Fragen Sie Speicher- und Verarbeitungsorte vor Vertragsabschluss schriftlich ab, auch bei Neben- und KI-Diensten.
Darf die Jury Einreichungen per E-Mail bekommen?
Technisch möglich, praktisch riskant. Kopien in Postfächern, Endgeräten und Backups erschweren Zugriffskontrolle und fristgerechte Löschung erheblich. Besser ist eine Bewertung im System, in dem Juror:innen nur ihre zugeteilten Einreichungen sehen und Zugriffe nach der Saison enden.
Passend dazu
Sie planen gerade einen Award?
In 20 Minuten gehen wir Ihren Ablauf durch — Einreichung, Jury-Runde, Rechnung.
Demo buchen