Einführungsdatum: 01.01.2025
Verantwortlicher (Administrator): Niklas Stasiak Tel. +48 780108770 | Tel. +49 15773275068 | Fax: +48 913508516  info@balticandmore.de Baltic & MORE Incoming-Agentur Niklas Stasiak / U-St-ID: PL 5833189596 / Regon 363060564
Datenschutzbeauftragter: Niklas Stasiak Tel. +48 780108770  Tel. +49 15773275068 info@balticandmore.de

---

Dieses Dokument legt die Verfahren fest, die der Veranstalter von Events anwendet, um die Anforderungen der DSGVO und des polnischen Datenschutzgesetzes zu erfüllen.

Es gilt für alle personenbezogenen Daten, die im Rahmen von:

• Teilnehmerregistrierung und     Ticketverkauf,
• Zusammenarbeit mit Kunden,     Auftragnehmern und Partnern,
• Medien-, VIP- und     Crew-Akkreditierungen,
• Wettbewerben, Umfragen,     Newslettern und Marketingaktivitäten,
• Foto-/Video-Dokumentation,
• Sicherheits- und     Organisationsmaßnahmen während der Veranstaltungen,
• Korrespondenz, Reklamationen     und Anfragen

verarbeitet werden.

---

• Verantwortlicher     (Administrator) – das     Unternehmen, das die Veranstaltungen organisiert.
• Personenbezogene Daten – alle Informationen, die eine     Person identifizieren können (z. B. Name, E-Mail, Telefonnummer, Bild).
• Verarbeitung – Erheben, Speichern,     Offenlegen, Löschen oder jede andere Form der Nutzung von Daten.
• Auftragsverarbeiter – externer Dienstleister, der     Daten im Auftrag des Verantwortlichen verarbeitet.

---

Der Veranstalter wendet folgende Prinzipien an:

1. Rechtmäßigkeit, Verarbeitung     nach Treu und Glauben, Transparenz
2. Datenminimierung – nur notwendige Daten werden     erhoben.
3. Richtigkeit – Daten werden aktualisiert     und korrigiert.
4. Speicherbegrenzung – Daten werden nicht länger     als notwendig gespeichert.
5. Integrität und Vertraulichkeit – technische und     organisatorische Sicherheitsmaßnahmen.
6. Rechenschaftspflicht – der Verantwortliche     dokumentiert und nachweist die Einhaltung.

---

Die Informationspflicht wird erfüllt durch Bereitstellung von Datenschutzhinweisen:

• auf Registrierungs- und     Ticketseiten,
• im Veranstaltungsreglement,
• bei Medien- und     VIP-Akkreditierungen,
• an Registrierungsstellen vor     Ort.

Die Hinweise enthalten: Verantwortlicher, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer, Rechte der betroffenen Personen, Kontakt.

---

1. Daten werden im Rahmen der     Anmeldung, Ticketbestellung oder Akkreditierung erhoben.
2. Typische Daten: Name, Vorname,     E-Mail, Telefonnummer, Firma, Rolle bei der Veranstaltung.
3. Einwilligung erforderlich, wenn:
 
• Marketingkommunikation      erfolgt,
 
• individuelle Portraitfotos      veröffentlicht werden sollen.
4. Daten werden ausschließlich zur     Durchführung der Veranstaltung, Kommunikation, Sicherheit sowie Abwicklung     möglicher Ansprüche verarbeitet.

---

1. Reportageaufnahmen während der Veranstaltung:     Rechtsgrundlage ist das berechtigte Interesse des Veranstalters.
2. Personenbezogene Portraits für Veröffentlichungen     benötigen eine Einwilligung.
3. Aufnahmen werden 2–5 Jahre     gespeichert.
4. Fotografen/Videoteams     unterzeichnen:
 
• Vertraulichkeitserklärung,
 
• Auftragsverarbeitungsvertrag      (falls Zugriff auf personenbezogene Daten besteht).

---

Nur autorisierte Personen erhalten Zugriff auf personenbezogene Daten.
Alle Personen:

• erhalten eine schriftliche Autorisierung,
• unterzeichnen eine Vertraulichkeitserklärung,
• werden im Verzeichnis der     Berechtigungen geführt.

---

• Geräteverschlüsselung (Laptop,     Smartphone),
• starke Passwörter (mind. 10     Zeichen),
• aktuelle Antivirensoftware,
• Zwei-Faktor-Authentifizierung     (wo möglich),
• regelmäßige Backups,
• Zugriffsbeschränkung nach dem     „Need-to-know“-Prinzip.

• Verbot der Weitergabe von Daten     an Unbefugte,
• keine privaten Datenträger für     dienstliche Daten,
• verschlossene Schränke für     Papierdokumente,
• Listen mit Teilnehmerdaten     dürfen nicht offen herumliegen,
• jährliche     Datenschutzschulungen.

---

Mit jedem Dienstleister, der personenbezogene Daten verarbeitet, wird ein Auftragsverarbeitungsvertrag abgeschlossen, z. B.:

• Ticketing- und     Registrierungssysteme,
• Sicherheitsdienst und     medizinischer Dienst,
• Fotografen und     Videoproduzenten,
• Agenturen für Marketing /     Social Media,
• Hosting- und     E-Mail-Dienstleister,
• Buchhaltung.

Der Vertrag regelt u. a.: Zweck, Umfang, Sicherheitsmaßnahmen, Löschung, Vertraulichkeit.

---

Der Veranstalter beantwortet Anfragen innerhalb von max. 30 Tagen.
Betroffene können folgende Rechte geltend machen:

• Auskunft,
• Berichtigung,
• Löschung („Recht auf     Vergessenwerden“),
• Einschränkung der Verarbeitung,
• Widerspruch,
• Datenübertragbarkeit.

Alle Anfragen werden dokumentiert.

---

1. Jeder Mitarbeiter meldet     Vorfälle innerhalb von 12 Stunden.
2. Der Verantwortliche bewertet     Art, Umfang, Risiko und Auswirkungen.
3. Besteht ein Risiko für     Betroffene, erfolgt Meldung an die Aufsichtsbehörde innerhalb von 72     Stunden.
4. Bei hohem Risiko erfolgt     Benachrichtigung der betroffenen Personen.
5. Jeder Vorfall wird im Register     für Datenschutzverletzungen dokumentiert.

Typische Vorfälle:

• unbefugter Zugriff auf     Teilnehmerlisten,
• E-Mail-Versand ohne BCC,
• verlorener USB-Stick,
• Konto-Hacking.

---

           

          

               

Teilnehmerdaten

       

12 Monate  nach der Veranstaltung

           

Rechnungs-  und Vertragsdaten

       

5 Jahre  (gesetzlich)

           

Marketingdaten

       

bis zum  Widerruf der Einwilligung

           

Foto-/Videoaufnahmen

       

2–5 Jahre

           

Daten von  Volunteers / Crew

       

3 Jahre

           

Register  (Nutzerrechte, Vorfälle, Berechtigungen)

       

5 Jahre

    

Nach Ablauf der Fristen erfolgen Löschung oder Anonymisierung.

---

• Papierdokumente werden mit     einem Aktenvernichter (min. Sicherheitsstufe P-4) vernichtet.
• Elektronische Daten werden     sicher gelöscht.
• Externe Entsorgungsunternehmen     arbeiten auf Grundlage eines Auftragsverarbeitungsvertrags.
• Jede Löschung wird     protokolliert.

---

• Listen mit Teilnehmerdaten     werden sicher aufbewahrt und nicht öffentlich zugänglich gemacht.
• Ausweise/Badges werden einzeln     ausgegeben.
• Nur berechtigte Personen dürfen     auf personenbezogene Daten zugreifen.
• Foto-/Videomaterial wird auf     gesicherten Datenträgern gespeichert.

---

Alle an der Organisation beteiligten Personen erhalten:

• eine Datenschutzunterweisung,
• Einsicht in die internen     Prozesse,
• eine Vertraulichkeitserklärung.

---

Diese Datenschutzverfahren treten mit Unterzeichnung durch den Verantwortlichen in Kraft.
Sie werden mindestens einmal jährlich oder bei Änderungen der Verarbeitungsvorgänge aktualisiert.