[Sammelthread] Der DSGVO | Datenschutz Laberthread

[taeddyyy]

Gerne hier zurückmelden, wenn es für dich ok ist. Mich würde vor allem die Reaktion der zuständigen Behörde interessieren. Da diese allerdings aktuell extrem viel zu tun haben kann ich mir, wie frankfurter schon sagte, vorstellen, dass es ziemlich lange dauert bis du dort eine Rückmeldung dazu bekommst. Ich würde, je nach Unternehmen in dem du einen Löschantrag stellst, die Kirche bzgl. 1 Monatsfrist im Dorf lassen. Je nachdem wie groß der Laden ist haben die Leute da eh schon genug "Angst" vor der DSGVO und genug zu tun diese Umzusetzen. Eine Löschroutine aufzusetzen und vor allem um/durchzusetzen kann je nach Firmenstruktur sehr aufwendig sein. Sollte ein Unternehmen diese Anträge und deine Nachfrage allerdings komplett ignorieren frei nach dem Motto "Datenschutz? Brauchen wir nicht, wollen wir nicht" bin ich natürlich ganz bei dir und würde dies der Aufsichtsbehörde melden.

 

[KurantRubys]

Ich hab auch schon vor ca. 4-6 Wochen ne Beschwerde eingereicht, bis jetzt kam noch keine Rückmeldung. Dauert alles seine Zeit, da gehts aber auch um ein Unternehmen das der Meinung war, DSGVO was ist das, braucht man das und ist das wichtig?

 

[black-avenger]

Visitenkarten austauschen gehört ja zu einer Messe dazu wie die Butter aufs Brot. Um diese DSGVO-Konform zu sammeln wollen wir wie folgt vorgehen.
An unserem Messestand wird eine undurchsichtige "Wahlurne" aufgestellt (natürlich ausreichend gegen Diebstahl geschützt), in die Interessenten ihre Karte schmeißen können. An dieser Urne ist sinngemäß folgender Wortlaut angebracht:
Unsere Datenschutzerklärung finden Sie unter: [Datenschutzerklärung der Musterfirma]. Weiterhin besteht die Möglichkeit die Datenschutzerklärung in Papierform auszuhändigen.
Muss ich direkt an die Wahlurne schreiben, wofür die Daten Verwendet werden oder reicht der Datenschutzhinweis aus?

Nur meine ganz bescheidene Meinung dazu. Man kann sich auch irgendwie mit Fleiß Geschäftsbeziehungen von vorneherein verhageln durch eine scheinbare Umstandskrämerei. Sowas komisches hab ich seit Einführung der DSGVO noch auf keiner einzigen Messe gesehen. Ich war auf keinen Messen wo Pimpelhubers Müllersepp seine neue Erfindung bewirbt, sondern milliardenschwere Großkonzerne denen eine Strafe mehr als nur schaden würde. Was ich da teils bekommen hab war ein Follow-Up per Mail mit DSGVO Blabla.

Das ist einer der Bereiche den ich für völligen Murks halte, aber nun gut.

 

[taeddyyy]

Kein Problem, dafür ist dieser Thread ja da. Austauschen und Meinungen kundtun.
Ich war auf einer Schulung zum DSB und dort wurde halt eben dieses Thema angesprochen, und rein aus Sicht der DSGVO wäre das oben beschriebene Verfahren nach meinem Verständnis DSGVO konform. Auf der Schulung wurde extrem sensibilisiert.
Es muss halt bei Erhebung von personenbezogen Daten vom Verantwortlichen auf die Rechte, Pflichten und Art, Dauer usw. der Verarbeitung hingewiesen werden. Natürlich sollte man die Kirche im Dorf lassen, und eben diesen Spagat zwischen DGSVO umsetzen und ohne großen klotz am Bein arbeiten können muss man hinkriegen.
Und ich sehe jetzt nicht den Punkt, an dem ich von vornherein irgendwelche Geschäftsbeziehungen verhagel wenn ich bei entgegennahme der Karte auf unsere Datenschutzerklärung verweise. Kannst du mir ja gerne erklären.

 

[KurantRubys]

Naja wenn du es ganz genau nimmst müsstest du schon beim Telefonkontakt sagen "Unsere Datenschutzbestimmungen finden Sie unter domain.de/datenschutz, mein Name ist Max Mustermann von Musterfirma..." da erklärt dich jeder für bescheuert. Gerade bei den Kolleginnen die bei mir um die Ecke sitzen wäre das garantiert extrem, die machen Kaltaquise..

 

[black-avenger]

Und ich sehe jetzt nicht den Punkt, an dem ich von vornherein irgendwelche Geschäftsbeziehungen verhagel wenn ich bei entgegennahme der Karte auf unsere Datenschutzerklärung verweise. Kannst du mir ja gerne erklären.

"Wenn die bei Visitenkarten schon so Umstandskrämerei und Aufriss machen, wie wird das dann erst, wenn man mal wirklich zusammenarbeiten muss?"
Wär für mich jedenfalls eindeutig vorbelastet. Und nachdem es die Großkonzerne die ja grundsätzlich Strafen in 2 bis 3-stelliger Millionenhöhe erwarten dürften eben nicht so tun, würde ich mich als Kleiner da umso weniger für verbiegen und einen bereits beim Erstkontakt komplizierten Anstrich vermeiden.

Ich war auf einer Schulung zum DSB und dort wurde halt eben dieses Thema angesprochen, und rein aus Sicht der DSGVO wäre das oben beschriebene Verfahren nach meinem Verständnis DSGVO konform. Auf der Schulung wurde extrem sensibilisiert.

Ja, na klar wurde da sensibilisiert. Ich hab vor 12 Jahren oder so mal kurzfristig in 'ner Kanzlei gearbeitet die auch Schulungen und Lehrgänge zu Verordnungen aller Art abgehalten haben, teilweise auch im Auftrag von Behörden. Damals den Chef gefragt, ob das alles was in der Präsentation die ich aufgearbeitet hab wirklich so gemeint wäre, bzw. ob das sein Ernst wäre. "Ist es nicht, aber ich muss das so, sonst wären unsere Auftraggeber unzufrieden. Dass das völlig an der Realität vorbei ist, steht doch außer Frage!"
Den Eindruck hab ich bei vielem zur DSGVO und Schulungen dazu auch. Hat sich also in 12 Jahren mit und ohne DSGVO nix geändert diesbezüglich

 

[JanV]

Mal im Ernst:
Was erwartet denn ein Geschäftsmann, wenn er seine Visitenkarte auf einem Messestand bei einer Firma abgibt? Dass diese direkt vernichtet wird? Er will doch Informationen haben, für mich ist das mehr oder weniger eine stillschweigende Einwilligung in die Verarbeitung seiner Daten. Lediglich Newsletter lassen wir uns bestätigen, das wird auf dem Vertrag festgehalten. An sonsten gibt es keine Newsletter nur durch Visitenkartenerhalt. In der Messenachbereitung wird dann eben eine Mail an die Adresse versandt, in der Informationen zum gewünschten Produkt geliefert werden, diese dann eben auch mit Hinweis auf den Datenschutz.

Wie soll man denn sonst arbeiten? Die Idee mit der Blackbox ist zwar interessant, praktisch aber doch auch nicht leicht umzusetzen. "Kommen Sie mal eben mit, wir haben hier eine schwarze Kiste stehen, da können Sie ihre Visitenkarte reinstecken. Danach wissen wir leider nicht mehr wer Sie sind, da wir kein Kontaktbogen mit Ihrem Namen ausfüllen dürfen um Sie gezielt im Nachgang informieren zu können. Im Endeffekt werden Sie nicht kontaktiert. Also lassen Sie doch einfach Ihre Karte stecken und gehen bitte 2 Stände weiter zur Konkurrenz. Die nehmen die Karten noch klassich entgegen und tackern die an einen Zettel Papier, worauf einige Stichpunkte zum durchgeführten Gespräch drauf stehen".

"Achja, meine Visitenkarte kann ich Ihnen leider auch nicht aushändigen, Sie haben ja auch keine Datenschutzerklärung dabei. Und was ist, wenn Ihnen meine Visitenkarte aus der Hosentasche fällt? Wie kann ich dann sicherstellen, dass mein Name nicht in die falschen Hände gerät?"

So in etwa läuft das dann ab...

Ich war auch mal auf einem Stand, da sollte ich einen Zettel unterschreiben, wozu meine Daten verwendet werden. Fand ich extrem unpraktisch.

 

[GreenStorm]

Mal im Ernst:
Was erwartet denn ein Geschäftsmann, wenn er seine Visitenkarte auf einem Messestand bei einer Firma abgibt? Dass diese direkt vernichtet wird? Er will doch Informationen haben, für mich ist das mehr oder weniger eine stillschweigende Einwilligung in die Verarbeitung seiner Daten. Lediglich Newsletter lassen wir uns bestätigen, das wird auf dem Vertrag festgehalten. Ansonsten gibt es keine Newsletter nur durch Visitenkartenerhalt. In der Messenachbereitung wird dann eben eine Mail an die Adresse versandt, in der Informationen zum gewünschten Produkt geliefert werden, diese dann eben auch mit Hinweis auf den Datenschutz.

Absolut richtig so - alles andere ist auch Schwachsinn. Man muss sich das alles schon halbwegs vernunftsbasiert vorstellen - der Gesetzgeber hatte nicht vor, das gesamte Geschäftsleben der EU zum Erliegen zu bringen. Im Gegenteil, es ging ja um Harmonisierung des gemeinsamen Wirtschaftsraums.

 

[taeddyyy]

Kleine Rückmeldung: Ich habe mir hier die ja recht eindeutige Meinung zu Herzen genommen.
Folgendes vorgehen. Es gibt ein Hinweisschild (A4) am Messestand. Auf diesem steht: Unsere Datenschutzerklärung finden sie unter: musterhomepage.de
Bei entgegennahme einer Visitenkarte wird kurz und unkompliziert auf dieses Schild aufmerksam gemacht.
In der Praxis ist es ein (1) Satz mehr im Gespräch, der absolut nicht aufdringlich und rein informativ wirkt. Dadurch kommt man der Informationspflicht nach und die Gesprächspartner werden nicht mit kompliziertem Datenschutzblabla vollgetextet. Ich denke dass es so ok ist.

 

[JanV]

Wenn man jetzt das Haar in der Suppe suchen will, kannst du die Einwilligung nicht nachweisen. Es bleibt dann beim unternehmerischen Risiko das so zu machen. Mein Chef ist da relativ schmerzfrei und teilt meine Ansicht da. Ich berate ja nur und weise darauf hin, dass es so nicht 100% konform ist. Was er draus macht ist ja seine Sache.

Mit einem Hinweisschild bist du auf einer Messe aber schon weit vorne
Am besten davon ein Foto machen, dann hast du zumindest etwas dokumentiert. Wenn ihr die Kontakte dann im CRM anlegt, macht ihr ja bestimmt einen Hinweis mit hinein, wo der Erstkontakt zustande kam. Wenn dann auf die entsprechende Messe verwiesen wird, denke ich, wird sich da auch keine Behörde quer stellen.

 

[frankNfurter1701]

Mal ein wenig gesponnen: eigentlich gehört auf jede Visitenkarte eine Einverständniserklärung zur Verwendung der Daten und gleichzeitig eine Erklärung auf was die Verwendung der preisgegebenen Daten beschränkt ist.
So etwa ganz grob: "Ich erkläre mich damit einverstanden, dass meine Daten zu weiteren Informationszwecken gespeichert werden. Eine Übermittlung an Dritte wird von mir nicht gestattet".

 

[craxity]

So problematisch sind Messekontakte doch nicht. Es reicht doch aus, den Interessenten zunächst mündlich zu informieren, dass man den Kontakt auf einem Bogen dokumentiert wird und seine Visitenkarte beilegt, um ihm weitere Informationen zukommen zu lassen. Wenn die Daten in ein anderes System, wie ein CRM, eingetragen werden, schickt meine eine (am besten automatische) E-Mail mit den weitergehenden Informationen an den Kontakt.

Beweisprobleme hat man nicht wirklich, weil für die mündliche Erteilung de Information ein Zeuge zur Verfügung steht und der Rest im System dokumentiert wird.

Man muss auch nicht unbedingt eine Einwilligung haben, man kann die Verarbeitung ja auch auf ein berechtigtes Interesse stützen. Dann muss man auch keine Einwilligung fingieren oder dokumentieren.

 

[GreenStorm]

Absolut, das ist auch der Königsweg. M.E. sind Einwilligungen Käse, nichtzuletzt weil sie zurückgezogen werden können.

 

[xgame]

Guten Abend,
ich habe eine Frage zum Auskunftsprozess.
Ich habe eine Anfrage gestellt nun wird von mir verlangt, dass ich mich vor Ort ausweise. Logisch, ich habe ja per E-Mail Auskunft verlangt und könnte jemand anderer sein.
Bietet das Gesetz eine Möglichkeit die Hürde nicht nehmen zu müssen?

 

[Kuzorra]

Was für eine Anfrage denn, und meinst Du Ausweisen mittels Personalauswei (digital möglich?), oder was?

Naja wenn du es ganz genau nimmst müsstest du schon beim Telefonkontakt sagen "Unsere Datenschutzbestimmungen finden Sie unter domain.de/datenschutz, mein Name ist Max Mustermann von Musterfirma..." da erklärt dich jeder für bescheuert. Gerade bei den Kolleginnen die bei mir um die Ecke sitzen wäre das garantiert extrem, die machen Kaltaquise..

Hmm, Kaltaquise ist ja nicht nur datenschutzrechtlich ein tolles Thema, unlauterer Wettbewerb und so....

 

[KurantRubys]

Da das weder mein Fachgebiet, noch mein Aufgabenbereich ist, halte ich mich da raus Selbst wenn würde das eh keinen interessieren

 

[boomab]

Guten Abend,
ich habe eine Frage zum Auskunftsprozess.
Ich habe eine Anfrage gestellt nun wird von mir verlangt, dass ich mich vor Ort ausweise. Logisch, ich habe ja per E-Mail Auskunft verlangt und könnte jemand anderer sein.
Bietet das Gesetz eine Möglichkeit die Hürde nicht nehmen zu müssen?

Keine Ahnung, wieso ich gerade jetzt hier auf den Thread stoße, aber vielleicht kommt ja hier noch jemand vorbei und interessiert sich, oder die Frage ist noch relevant, oder ich will einfach nur mal meinen Senf dazugeben, wo ich tatsächlich mal was von weiß

Jedenfalls ist das vor-Ort ausweisen Blödsinn. Man muss als Unternehmen schon die Identität der "Betroffenen" (der Person, die eine Anfrage stellt) prüfen. Dafür reicht es schon aus, wenn die E-Mail des Anfragenden mit der vorhandenen übereinstimmt. Hat man berechtigte Zweifel an der Identität (z.B. wenn die Anfrage per Telefon kommt oder die E-Mail nicht übereinstimmt) kann man weitere Nachweise per Mail oder Post verlangen. In den meisten Fällen reicht hier eine Ausweiskopie aus. Persönliches Erscheinen halte ich in 99% der Fälle unnötig und unverhältnismäßig.

Zur Frage, was man machen kann, wenn man selbst einen Auskunfts- oder einen Löschantrag bei einem Unternehmen stellt: Wenn es einem nur um die Löschung geht, den zuständigen Datenschutzbeauftragten des Unternehmens kontaktieren und mit Meldung drohen. Solche Anfragen müssen innerhalb eines Monats erledigt werden, auch der ganze Kram um Identitätsprüfung usw. muss innerhalb der Monatsfrist erledigt sein. Ausnahmen von der Frist sollten nur in den wenigsten Fällen Bestand haben. Dann sollte sich entsprechnd schnell was tun. Grundsätzlich würde ich DSGVO Anfragen immer an den zuständigen Datenschutzbeauftragten schicken und nicht an irgendwelche support@ oder info@ Adressen.

Wenn ihr die Unternehmen melden wollt, dann geht das bei eurer zuständigen Landesdatenschutzbehörde mit dem entsprechenden Meldeformular. Die Polizei wird das nicht jucken, das es sich dabei um keinen Straftatbestand handelt. Bußgeld kann aber bis zu 50k € gehen.

 

[KurantRubys]

Mal ein meiner Meinung nach interessantes Thema was bei uns jetzt intern auch vorgekommen ist. Wir haben Mitarbeiterfotos machen lassen (passender weise von mir ) und bei den Technikern sind die jetzt im Servicebericht den der Kunde nach abgeschlossener Tätigkeit als PDF per Mail bekommt mit enthalten. Das wurde aber nie kommuniziert, geschweige den eine Einwilligung dafür eingeholt. Meiner Meinung nach ist das ja ohne Einwilligung definitiv nicht DGSVO konform. Wie seht ihr das?

 

[Cyrrel]

Selbst mit Einwilligung sollte das nicht gehen... Wenn ich mich da an eine dsgvo Schulung richtig entsinne ging in Richtung Abhängigkeitsverhältnis oder so etwas!?

 

[craxity]

Ohne Einwilligung dürfte diese Nutzung unzulässig sein. Eine Einwilligung ist grundsätzlich möglich, aber es gibt im Rahmen des Arbeitsververhältisses Besonderheiten zu beachten. Näheres regelt § 26 BDSG. Zu beachten ist auch, dass Details wie z.B. Hautfarbe (ethnische Herkunft), Schmuck (religiöse Überzeugung) oder Sehhilfen (Gesundheitsdaten) auf Mitarbeiterfotots problematisch sein können.

 

[Kuzorra]

Was craxitiy sagt....

@Cyrrel: Du darfst es nicht "erzwingen" - eine Einwilligung muss freiwillig sein und widerrufen werden können, dann ist es okay. Das ist allerdings in einem Abhängigkeitsverhältnis manchmal problematisch.

@Kurant: Wie habt Ihr's denn gemacht? Pflichttermin für alle? Das wäre mehr als grenzwertig....
Sauber ist es, wenn die Mitarbeiter die Bilder selbst in eine Art internes Telefonbuch lachen können (aber nicht müssen) und es auch selbst jederzeit wieder löschen können.

 

[KurantRubys]

@Kurant: Wie habt Ihr's denn gemacht? Pflichttermin für alle? Das wäre mehr als grenzwertig....
Sauber ist es, wenn die Mitarbeiter die Bilder selbst in eine Art internes Telefonbuch lachen können (aber nicht müssen) und es auch selbst jederzeit wieder löschen können.

Ja, ein bzw. zwei Termine für alle. Ging meines Wissens nur um die UC die nur firmenintern zum Einsatz kommt. In der UC kann, bzw. muss das auch jeder selbst hinterlegen und jeder kommt auch an seine Bilder ran. Im Exchange sind die auch hinterlegt, aber das ist ja auch nur ne interne Geschichte. Wurde aber auch nix von gesagt Aber die Berichte gehen automatisiert raus sobald der Kunde die Tätigkeit unterschreibt und geht an die Mail die im Ticket steht. Ist teilweise auch nicht der ASP vor Ort, macht das noch mal besser.

 

[Kuzorra]

(Wenn Du mir UC und ASP erläutern könntest, würde das helfen)

Ohne Einwilligung eigentlich nicht in Ordnung (wo kein Kläger, da kein Richter).
Eine Einwilligung kann aber nur erfolgen wenn sie freiwillig ist und die beabsichtigte Art der Verarbeitung auch korrekt/vollständig dargelegt wurde. Insofern könnte sich da ein angepisster Mitarbeiter da zu Recht beschweren, dann müsste das Verfahren angepasst werden. (Steht das Verfahren denn überhaupt im Verzeichnis der Verarbeitungstätigkeiten?)

 

[KurantRubys]

In der CTI der Telefonanlage Mit ASP war der Ansprechpartner gemeint der im Ticket des Technikers steht, lassen wir das mit den Abkürzungen mal lieber. Das mit der Einwilligung war in soweit auch mein Gedanke. Bis jetzt hab ich noch kein einziges Verzeichnis zu Gesicht bekommen, hab aber in der Richtung auch nicht nachgefragt da das ja eigentlich unser externer DSB macht. Im gleichen Zug lassen wir mal die firmeninternen WhatsApp Gruppen unter den Tisch fallen (bevor ich das umgesetzt bekomme das die abgeschafft werden kündige ich wahrscheinlich).

 

[Kuzorra]

Bis jetzt hab ich noch kein einziges Verzeichnis zu Gesicht bekommen, hab aber in der Richtung auch nicht nachgefragt da das ja eigentlich unser externer DSB macht.

Das Verzeichnis der Verarbeitungstätigkeiten kann der Einfachheit halber (zentral und für alle) beim Datenschutzbeauftragten liegen - die Verantwortung für die Datenverabeitung hat der DSB aber nicht!

Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.

https://dsgvo-gesetz.de/art-30-dsgvo/

Es gibt in Art. 30 Absatz (5) noch eine ggf. passend klingende Einschränkung "ab 250 Mitarbeitern", aber wenn man Fotos unter biometrische Daten gemäß Art. 9 packt, dann ist das nicht einschlägig.

 

[Cyrrel]

Ohne Einwilligung eigentlich nicht in Ordnung (wo kein Kläger, da kein Richter).
Eine Einwilligung kann aber nur erfolgen wenn sie freiwillig ist und die beabsichtigte Art der Verarbeitung auch korrekt/vollständig dargelegt wurde.

Ah okay, hatte irgendwie in Erinnerung dass das eigentlich im Angestelltenverhältnis nie so richtig freiwillig geschehen kann da immer Repressalien zu befürchten seien oder so... Haben daraufhin auch die MA Gallerie entfernt ^^

 

[KurantRubys]

Das ist natürlich immer der Fall, das ist halt mehr oder weniger die "Freiwilligkeit".

 

[Kuzorra]

Ja, aber ohne Freiwilligkeit und Einwilligung ist's halt auch dünn, Vertragserfüllung und "berechtigte interessen" scheidet im Normalfall aus, es sei denn ohne ein "Mitarbeiterverzeichnis inkl. Bild" ist das ganze Business sinnlos - klingt aber weit hergeholt

 

[Barrac]

Hallo zusammen, ich habe den Thread hier gerade entdeckt, und hoffe, ihr könnt mir eine Einschätzung zu folgendem Thema geben, falls das hier überhaupt passt:

Ein paar Freunde und ich organisieren einmal im Jahr ein Auditreffen. Dort kann jeder interessierte teilnehmen, nachdem er online eine Anmeldung ausgefüllt hat. In dieser muss der Teilnehmer ein Kästchen anklicken, in dem er bestätigt, dass wir Bilder seines Fahrzeugs auf unserer Homepage und Facebookseite veröffentlichen dürfen.
Ohne aktiviertes Kästchen keine Teilnahme.
Wir haben immer noch ein paar Tickets für kurzentschlossene an der Einfahrt, für die, die keine Anmeldung ausgefüllt haben.

Definitiv werden wir an der Einfahrt zum Treffen, und auf dem Gelände selber Aushänge machen, dass Fotos gemacht werden, und diese auf HP und Facebook veröffentlicht werden. Und dass man sich mit dem Besuch der Veranstaltung damit einverstanden erklärt.

Jetzt zwei Fragen dazu:

1. Muss ein Spontanteilnehmer es uns unterschreiben, dass er mit der Veröffentlichung einverstanden ist, oder reicht der Hinweis auf dem Aushang, dass er sich mit Erwerb eines Tickets dazu einverstanden erklärt?

2. Schwerer ist da das Thema Kennzeichen. Müssen diese von uns auf den Bildern unkenntlich gemacht werden? Ich habe verschiedenes gelesen, das reicht von: "...da man eh nicht als Privatperson an die Daten kommt, braucht man nicht..." bis zu "...unkenntlich machen, da darauf auf den Halter geschlossen werden kann...".
Würde da evtl ein Hinweis auf das sichtbare Kennzeichen auf Fotos ausreichen?
Wäre echt ein Aufwand, auf knapp 300 Fotos alle Kennzeichen zu verpixeln...

Vielleicht könnt ihr uns da ja eine Einschätzung geben.

Vielen Dank schonmal, und schaut doch mal vorbei: www.audi-freunde-schiedersee.de

 

[taeddyyy]

Meine Einschätzung, nicht rechtskräftig!
Kennzeichen sind, solange es sich nicht um ein Fuhrparkfahrzeug einer Firma handelt (ohne Personenbezug) auch personenbezogene Daten, ja.
Wer die Person dadurch identifizieren kann ist egal, es reicht, dass eine identifizierung möglich ist.
Egal wie spontan die Teilnahme ist, ihr erhebt personenbezogene Daten (Fotos der Person, Kennzeichen, Name, was auch immer.) Daher braucht ihr für diese Erhebung eine einwilligung.
Da es aber keine öffentliche Veranstaltung im Sinne "Jeder kann kommen" ist, sondern zwingend ein Ticket zum Zugang erforderlich ist, reicht es, die Datenverarbeitung auf Vertragsgrundlage des Ticketkaufes zu begründen. Ich würde mich da evtl mal bei anderen Veranschaltungen und deren Datenschutzerklärungen belesen, bspw. Tomorrowland oder was, also Große, durch ticketzugang beschränkte veranstaltungen, wo Fotos eine der Grundlegensten Dingen sind.

Zu eurer Website: Der Cookiehinweis ist nicht DSGVO-konform:

Diese Website verwendet Cookies. Cookies werden zur Benutzerführung und Webanalyse verwendet und helfen dabei, diese Webseite zu verbessern. Durch die weitere Nutzung dieser Webseite erklären Sie sich mit unserer Cookie-Richtlinie einverstanden. Mehr Infos hier: Cookie Policy

https://www.gesetze-im-internet.de/kunsturhg/

https://www.gesetze-im-internet.de/kunsturhg/

Ihr müsst standardmäßig die Speicherung von Werbecookies abwählen, der User muss nur die Cookies aktzepieren, die technisch notwendog sind, um die Seite auszuliefern. Alle anderen Trackerdinger sind per Opt-in anzuhaken.
Der von Mindfactory ist ein gutes Beispiel:
Dort sind alle Session Cookies angehakt, der Rest muss durch den User angeklickt werden. Beim Besuch der Seite und Klick auf OK werden nur Session Cookies aktiviert.