Datenschutzerklärung für Eventbrite

Warum ist Eventbrite datenschutzrechtlich relevant?

Buchen User ein Ticket für ein Ereignis bei Eventbrite, erheben Veranstalter sensible Daten wie

• Name,
• Geburtsdatum,
• Adresse und
• E-Mail.

Zudem sammeln sie dabei Zahlungsinformationen wie

• Kontonummer,
• Kreditkartennummer und
• den Rechnungsbetrag.

Das heißt: Veranstalter erheben personenbezogene Daten. Diese geben sie automatisch an die Plattform Eventbrite weiter. Eventbrite speichert die Daten auf Servern in den USA. Sowohl für die Datenweitergabe als auch für die Datenspeicherung schreiben die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) Veranstaltern verschiedene Pflichten vor.  

Eventbrite datenschutzkonform nutzen

Um Eventbrite datenschutzkonform zu nutzen, müssen Veranstalter diese Vorgaben aus dem Gesetz beachten:

Nutzer-Einwilligung in Cookies einholen

Es ist bisher nicht geklärt, welche Daten genau Eventbrite sammelt und auf seinen Servern speichert. Veranstalter sollten daher auf Nummer sicher gehen und die Einwilligung der Nutzer in die Datenerhebung einholen. Das können sie auf ihrer Seite beispielsweise über einen Cookie-Banner vornehmen. Damit dieser die User-Einwilligung datenschutzkonform abfragt, können Veranstalter ein Cookie Consent Tool verwenden. Dies erstellt automatisch einen DSGVO-konformen Cookie-Banner, der das Einverständnis der Nutzer per Opt-In einholt.

Vertrag zur Auftragsverarbeitung abschließen

Immer, wenn Unternehmen personenbezogene Daten erheben und an Dritte zur Verarbeitung weitergeben, müssen sie mit den Dritten einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das trifft auch auf die Nutzung von Eventbrite zu. Denn: Veranstalter erheben beim Ticketverkauf personenbezogene Daten und geben diese an die Plattform weiter. Sie müssen mit Eventbrite daher einen AV-Vertrag schließen. Gemäß Art. 28 DSGVO muss dieser festhalten,

• welche Nutzerdaten Veranstalter an Eventbrite weitergeben,
• wie lange Eventbrite diese Daten speichert,
• warum Eventbrite diese Daten speichert und
• welche Rechte und Pflichten Veranstalter und Eventbrite haben.

Datenschutzerklärung aktualisieren

Veranstalter müssen in ihrer Datenschutzerklärung aufführen, dass sie Eventbrite für den Verkauf von Tickets nutzen. Dabei sollten sie erklären,

• warum sie dabei personenbezogene Daten erheben, speichern und an Eventbrite weitergeben,
• welche Rechtsgrundlage ihnen die Datenerhebung erlaubt (Art. 6 Abs. 1 lit. a DSGVO),
• wie lange sie die Daten speichern,
• dass sie für die Datenweitergabe mit Eventbrite einen AV-Vertrag geschlossen haben und
• dass Nutzer der Datenerhebung jederzeit widersprechen können. Das gilt jedoch nicht für die Daten, die Veranstalter und Eventbrite für den Verkauf der Tickets und damit für den Vertragsschluss zwingend benötigen.

Um Usern einen Einblick zu geben, wie Eventbrite ihre Daten verarbeitet, sollten Veranstalter in der Datenschutzerklärung auch auf die Nutzungsbedingungen und Datenschutzbestimmungen der Plattform verweisen. Auf diese Weise können Nutzer selbst überprüfen, was mit ihren Daten bei Eventbrite passiert.

Standardvertragsklauseln prüfen

Eventbrite nutzt Standardvertragsklauseln, um Kundendaten von der EU in die USA zu verschicken. Diese Klauseln müssen Veranstalter überprüfen. Denn: Standardvertragsklauseln dürfen nur Grundlage einer Datenweitergabe in ein Drittland sein, wenn dort ein ähnliches Datenschutzniveau herrscht wie in der EU. In diesem Kontext müssen Veranstalter auch eine Risikoabschätzung vornehmen. Diese muss zeigen,

• welche Art von Daten sie an Eventbrite weitergeben,
• welche Rechtslage in den USA herrscht und
• ob Eventbrite weitere Maßnahmen ergreift, um Userdaten aus der EU zu schützen.

Rechtsprechung zu Eventbrite

Für die Verwendung von Eventbrite ist diese Rechtsprechung relevant:

Datenschutzbehörde Hamburg zum AV-Vertrag

Ein AV-Vertrag ist rechtlich zwingend notwendig, um personenbezogene Daten an einen Dritten zur Datenverarbeitung weitergeben zu dürfen. Schließen Unternehmen keinen AV-Vertrag, droht ihnen ein Bußgeld von bis zu 10 Millionen Euro oder alternativ von bis zu 2 Prozent ihres Jahresumsatzes. Ein deutsches Versandunternehmen musste daher im Dezember 2018 eine Strafe in Höhe von 5.000 Euro zahlen. Es hatte versäumt, mit einem spanischen Postdienstleister einen AV-Vertrag zu schließen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußballclub VfB Stuttgart verpasste es, mit Dienstleistern einen AV-Vertrag zu schließen. Diese verarbeiteten für den Verein mehrere tausend Mitgliederdaten. Die Datenschutzbehörde Baden-Württemberg kam daher im März 2021 zu dem Schluss: Der VfB muss 300.000 Euro Strafe zahlen.

Europäischer Gerichtshof zum Privacy Shield

Der Privacy Shield eignet sich nicht, um Daten rechtssicher in die USA – und damit auch in andere Drittländer außerhalb der EU – zu verschicken. Das stellte der Europäische Gerichtshof (EuGH) im Juli 2020 fest. Die Richter verwiesen darauf, dass das Datenschutzniveau der USA nicht dem der DSGVO entspricht. Das ist vor allem auf die dort aktiven Überwachungsprogramme zurückzuführen. Diese sind nicht auf das zwingend erforderliche Maß beschränkt. Zudem haben europäische Verbraucher nicht die Möglichkeit, gegen US-amerikanische Unternehmen zu klagen, sollten diese ihre Daten missbräuchlich verwenden.