DSGVO und Gästelisten im Club: Was du wissen musst

Gästelisten enthalten Namen. Manchmal Geburtsdaten. Manchmal Begleiterzahlen, Notizen, E-Mail-Adressen. Damit fallen sie unter die Datenschutz-Grundverordnung — und damit auch unter konkrete Pflichten, die für den Clubbetrieb relevant sind.

Dieser Artikel erklärt, was DSGVO im Club-Alltag wirklich heißt. Nicht in juristischer Tiefe — dafür ist ein Anwalt zuständig — sondern in der Praxis: an der Tür, im Backoffice, im Promoter-Workflow.

Wann gilt DSGVO für Gästelisten?

Sobald du Namen verarbeitest. Eine handschriftliche Liste mit zehn Namen ist DSGVO-relevant. Eine Excel-Datei mit 200 Einträgen erst recht. Auch eine WhatsApp-Liste, die du vom Promoter bekommst, zählt — du bist ab Empfang verantwortlicher Verarbeiter.

Die Schwelle ist null. Es gibt keine Mindestmenge an Daten, ab der DSGVO greift. Sobald ein Mensch identifizierbar ist (Name reicht oft schon), gelten die Regeln.

Welche Daten sind eigentlich personenbezogen?

• Vor- und Nachname — eindeutig personenbezogen.
• Geburtsdatum — falls du es für Altersnachweis abfragst, ja.
• E-Mail oder Telefonnummer — personenbezogen, hohe Schutzbedürftigkeit.
• Begleitperson-Zahl ohne Name — nicht personenbezogen, weil nicht identifizierbar.
• Notizen wie „VIP" oder „Stammgast" — werden personenbezogen, sobald sie einem Namen zugeordnet sind.
• Foto — falls vorhanden, hochsensibel (besondere Kategorie unter Art. 9 DSGVO, sehr hohe Hürde).

Die kurze Regel: Wenn du jemanden anhand der gespeicherten Daten identifizieren oder zuordnen kannst, ist es personenbezogen.

Die fünf häufigsten DSGVO-Risiken in Clubs

In der Beratung mit Club-Teams kommen immer wieder die gleichen Fünf:

1. Die Liste liegt offen am Tresen. Jeder Gast, der vorbeikommt, kann fremde Namen lesen. Das ist eine Datenweitergabe an Dritte ohne Rechtsgrundlage — klassischer DSGVO-Verstoß.
2. Excel-Listen werden per WhatsApp geteilt. WhatsApp ist Meta, Server in den USA, kein DSGVO-konformer Auftragsverarbeitungsvertrag möglich. Schon der Versand einer Liste an einen externen Promoter über WhatsApp ist heikel.
3. Promoter senden eigene WhatsApp-Listen rein. Du wirst zum Empfänger fremder personenbezogener Daten ohne klare Rechtsgrundlage — und der Promoter hat seinen Gästen vermutlich nie gesagt, dass die Daten an den Club weitergegeben werden.
4. Listen werden nicht gelöscht. Nach dem Event bleiben sie in Cloud-Ordnern, auf Tablet-Festplatten, in E-Mail-Postfächern. Speicherdauer-Grundsatz verletzt.
5. Keine technischen Schutzmaßnahmen. Tablet ohne PIN, Excel-Datei ohne Passwort, ausgedruckte Liste in der Hosentasche des Türstehers. Wenn das Tablet verloren geht: Datenpanne.

Was eine rechtssichere Gästeliste konkret enthalten muss

Nicht der Inhalt der Liste ist das Thema — sondern der organisatorische Rahmen drumherum.

• Zweckbindung: Wofür wird die Liste verwendet? Einlasskontrolle, klar. Nicht für Werbung, nicht für Verkauf an Dritte, nicht für andere Events ohne separate Einwilligung.
• Datenminimierung: Nimm nur, was du brauchst. Name plus Begleiterzahl reicht oft. Geburtsdatum nur, wenn du wirklich Altersnachweis brauchst.
• Speicherbegrenzung: Lösche die Liste, sobald der Zweck erfüllt ist. In Clubs heißt das: maximal wenige Tage nach Event, dann weg.
• Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff. Tablet mit PIN, Listen nicht offen liegen lassen, Daten verschlüsselt übertragen.
• Transparenz: Wenn ein Gast nachfragt, was über ihn gespeichert ist, musst du Auskunft geben können — und zwar zeitnah.

Eine digitale Gästelisten-Software wie ClubGuestList deckt diese Punkte technisch ab — du musst dich um die Workflow-Disziplin kümmern, das System sorgt für den Rest.

Auftragsverarbeitungsvertrag (AVV) — wann brauche ich einen?

Sobald ein externer Dienstleister deine Gäste-Daten verarbeitet, brauchst du mit ihm einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das gilt für:

• Cloud-basierte Software, die deine Gästelisten speichert (egal welche).
• Hosting-Provider, auf dessen Servern deine Software läuft.
• E-Mail-Dienste, falls du Listen per Mail versendest oder empfängst.

Bei seriösen DSGVO-konformen Anbietern (insbesondere mit Sitz in der EU und Servern in Deutschland) gehört der AVV zum Standard-Angebot, oft direkt aus der Kundenoberfläche herunterladbar. Bei US-Anbietern oder Anbietern mit Server außerhalb der EU wird es schnell rechtlich kompliziert — Schrems II und die Folgen.

ClubGuestList stellt den AVV nach deutschem Recht auf Anfrage zur Verfügung. Server stehen in Frankfurt am Main.

Speicherdauer und Löschung: die Pflicht nach dem Event

Eine klare Antwort: Sobald der Zweck der Datenverarbeitung erfüllt ist (Einlasskontrolle ist nach dem Event erfüllt), müssen die Daten gelöscht werden. Es gibt keine pauschale Aufbewahrungsfrist für Gästelisten — die einzige Ausnahme wäre, wenn du sie aus steuerrechtlichen Gründen oder als Nachweis für eine Behörde länger brauchst (selten).

Faustregel: maximal 30 Tage nach Event. Besser: 7 Tage. Idealerweise: sofortige Löschung nach Saldenabgleich.

In der digitalen Realität heißt das: Eine Funktion in der Software, die nach X Tagen automatisch löscht — oder ein klarer Workflow, der das händisch erledigt. Excel-Listen „vergessen" — also einfach nicht löschen — ist keine Option.

Tür-Praxis: Wie schützt du die Liste vor Fremden?

Konkret an der Tür:

• Tablet mit PIN-Login, nicht offen zugänglich. Keine ausgedruckten Listen auf dem Tresen.
• Rollen-Trennung: Türsteher sieht nur die Gästeliste, keine Promoter-Vergütungen, keine Abrechnungen, keine vergangenen Events.
• Daten nicht laut vorlesen. Wenn der Türsteher den Namen des nächsten Gastes nennt, sollte das nicht so laut sein, dass die ganze Schlange dahinter es mitbekommt.
• Bildschirm-Schutz: Tablet-Bildschirm gegen Mitlesen seitlich abschirmen, wenn die Tür eng ist.
• Keine Smartphone-Listen mehr, die theoretisch jeder im Team sehen oder weiterleiten kann. Stattdessen: zentrales System mit Login.

Was bei einer Datenpanne zu tun ist

Falls doch was passiert — Tablet verloren, Excel-Liste durch falsche E-Mail versendet, USB-Stick weg — gilt:

1. Sofort dokumentieren: was passiert, wann, welche Daten, wie viele Personen.
2. Risiko einschätzen: Sind nur Namen betroffen oder auch Geburtsdaten / Kontaktdaten? Je sensibler, desto höher das Risiko.
3. Innerhalb von 72 Stunden der zuständigen Datenschutzbehörde melden, sofern ein nennenswertes Risiko besteht (Art. 33 DSGVO).
4. Bei hohem Risiko auch die Betroffenen direkt informieren (Art. 34 DSGVO).
5. Maßnahmen ergreifen, um Wiederholung zu vermeiden — und dokumentieren, was du getan hast.

Das ist die strikte Variante. In den meisten Fällen sind Gästelisten-Pannen weniger dramatisch (nur Namen, kleine Anzahl), aber die Pflicht zur Dokumentation und Bewertung gilt trotzdem.

Checkliste: Wie du in 30 Minuten DSGVO-konform bist

1. Listen-Quelle prüfen — wo liegen sie heute (Excel, WhatsApp, Cloud, Papier)? Schreib's auf.
2. Zentrale Lösung wählen — eine DSGVO-konforme Software mit AVV, EU-Servern, Rollen-System.
3. Migration starten — alle bestehenden Listen importieren oder neu anlegen, alte Quellen löschen.
4. Promoter umstellen — sie tragen ab jetzt direkt im Tool ein, nicht mehr per WhatsApp.
5. Tür-Workflow definieren — Tablet mit PIN, klare Sichtkontrolle, kein Papier mehr.
6. Löschroutine festlegen — wer löscht wann was. Idealerweise automatisch.
7. AVV unterzeichnen — vom Software-Anbieter holen, gegenzeichnen, im Ordner ablegen.
8. Datenschutzerklärung anpassen — auf deiner Website klar machen, was du verarbeitest.

In 30 Minuten ist das tatsächlich machbar — vorausgesetzt, die richtige Software ist schon ausgewählt. Den schwierigsten Schritt (die Migration) macht ClubGuestList über einen CSV-Import in unter einer Minute. Mehr zu den Token-Paketen ohne Abo.

DSGVO ist kein Bürokratie-Monster, das du fürchten musst. Es ist eine Aufforderung, die personenbezogenen Daten deiner Gäste so zu behandeln, wie du selbst behandelt werden möchtest: nicht offen rumliegen lassen, nicht ohne Grund weitergeben, nicht ewig speichern. Wenn du das berücksichtigst, bist du im grünen Bereich.

Wenn du eine Software suchst, die diese Grundsätze von Haus aus erfüllt — Server in Deutschland, AVV auf Anfrage, Rollen-System, Lösch-Workflow — probier ClubGuestList aus. 10 Events kostenlos, kein Abo, du hast Zeit es in Ruhe einzurichten.