Pitch-Decks und Datenschutz: was du Gründern schuldest

Ein Gründer schickt dir sein Pitch-Deck. Darin stehen seine Umsätze, seine Kunden, sein Lebenslauf, sein Plan für die nächsten zwei Jahre. Er tut das, weil er einen Preis, ein Programm oder ein Investment will, und er tut es meistens, ohne zu fragen, was danach mit dem Deck passiert. Das ist keine Nachlässigkeit der Gründer, es ist ein Vertrauensvorschuss. Was du ihm dafür schuldest, steht selten in den Teilnahmebedingungen. Hier steht es.

Vorweg: Dies ist eine Orientierung aus der Praxis, kein Rechtsrat. Für die Datenschutzerklärung deines Wettbewerbs brauchst du jemanden, der sie verantworten darf.

Zwei Regelwerke, ein Deck

In einem Pitch-Deck stecken zwei Sorten von Daten. Personenbezogene Daten, also alles, was Gründerinnen und Mitarbeiter betrifft: Namen, Lebensläufe, Kontaktdaten, Fotos. Dafür gilt die DSGVO. Und Geschäftsgeheimnisse: Zahlen, Kundenlisten, Technik, Roadmap. Dafür gilt das Geschäftsgeheimnisgesetz, und das schützt den Inhaber nur, wenn er selbst „angemessene Geheimhaltungsmaßnahmen“ getroffen hat. Ein Deck, das ohne Vertraulichkeitsvermerk an fünfzig Juroren geht, ist danach schwer als Geheimnis zu verteidigen.

Für dich als Veranstalter heißt das: Du bist für die Personendaten der Verantwortliche im Sinne der DSGVO, mit allen Pflichten. Und du bist für die Geheimnisse derjenige, der die Geheimhaltungsmaßnahme entweder mitträgt oder unterläuft.

Die zehn Punkte

1. Wer ist verantwortlich. Der Veranstalter, nicht die Jury, nicht der Sponsor, nicht die Hochschule, die den Raum stellt. Ein Name, eine Adresse, eine E-Mail für Datenschutzfragen, im Hinweis und im Impressum.

2. Wofür die Daten verarbeitet werden. Die Durchführung des Wettbewerbs: Prüfung der Teilnahmebedingungen, Bewertung, Kommunikation, Prämierung. Rechtsgrundlage ist die Teilnahme selbst, also der Vertrag, den die Bewerbung schließt (Art. 6 Abs. 1 Buchstabe b DSGVO). Alles darüber hinaus (Newsletter, Weitergabe an Investoren, Pressefotos) ist ein eigener Zweck und braucht eine eigene Einwilligung, mit eigenem Kästchen, nicht vorangekreuzt.

3. Wer das Deck sieht. Die Jury ist Empfänger, und das muss im Hinweis stehen. Praktisch heißt das: eine Liste der Jurorinnen und Juroren, die das Team einsehen kann, spätestens auf Nachfrage. Juroren, die ein Team kennen oder mit ihm konkurrieren, bewerten es nicht; die Zuordnung macht die Organisation.

4. Was die Jury unterschreibt. Eine Juryvereinbarung mit drei Absätzen: Vertraulichkeit (nichts weitergeben, nichts für eigene Zwecke nutzen, auch nicht für das eigene Portfolio), Interessenkonflikte (melden, dann nicht bewerten), Rückgabe (alle Unterlagen nach der Runde löschen, auch die Kopie im Download-Ordner). Ohne diese Vereinbarung ist die Aussage „die Jury unterliegt der Geheimhaltung“ eine Behauptung.

5. Wo das Deck liegt. In einem System, auf das nur die zugreifen, die es brauchen, mit Zugängen je Person, nicht mit einem geteilten Passwort. Nicht in fünfzig Mail-Postfächern. Nicht in einem Ordner, dessen Link jeder öffnen kann, der ihn hat. Wenn der Speicherort außerhalb der EU liegt, brauchst du eine Übermittlungsgrundlage (Angemessenheitsbeschluss oder Standardvertragsklauseln), und du musst es sagen.

6. Welche Werkzeuge mitlesen. Formular-Tool, Cloud-Speicher, Bewertungssoftware, Videokonferenz, KI-Dienst: Jeder Anbieter, der das Deck technisch verarbeitet, ist Auftragsverarbeiter, und mit jedem brauchst du einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Die Anbieter haben diese Verträge fertig; die Arbeit ist, sie einmal zu sammeln und die Liste im Hinweis zu nennen.

7. Ob eine KI das Deck liest. Wenn ja, steht das beim Absenden der Bewerbung, in einem Satz, nicht im Kleingedruckten: „Eine KI erstellt aus deinem Deck eine Zusammenfassung und einen Vorschlag für die Bewertung; die Entscheidung treffen Menschen.“ Zwei Dinge musst du dazu sicherstellen. Erstens, dass der KI-Anbieter das Deck nicht zum Training verwendet und einen Auftragsverarbeitungsvertrag anbietet; bei den großen Anbietern ist das über die Geschäftsprodukte möglich, über die Verbraucher-Apps nicht. Zweitens, dass die KI nie allein entscheidet. Eine Absage, die allein auf einer automatisierten Bewertung beruht, ist nach Art. 22 DSGVO grundsätzlich nicht zulässig; ein Vorschlag, den eine Jurorin sieht und übernimmt oder verwirft, ist es.

8. Wie lange die Daten bleiben. Eine Frist, keine Formel. „Bis auf Widerruf“ ist keine Speicherdauer, es ist das Fehlen einer. Ein brauchbarer Standard: Bewerbungen, die nicht prämiert werden, sechs Monate nach Ende der Runde löschen (das deckt Nachfragen und Einsprüche ab); Unterlagen der Preisträger so lange, wie die Förderung läuft, plus die gesetzliche Aufbewahrung für die Abrechnung; die Bewertungen der Jury als anonymisierte Statistik unbegrenzt, mit Namen nicht. Die Frist muss im Hinweis stehen und in deinem Kalender.

9. Wie gelöscht wird. Löschen heißt überall: im Bewertungssystem, im Cloud-Ordner, im Postfach der Organisation, bei den Juroren, beim KI-Anbieter (Aufbewahrungsfristen der API-Anbieter prüfen). Ein Werkzeug, das alle Decks einer Runde mit einem Klick löscht und das bestätigt, spart dir hier zwei Tage im Jahr.

10. Was das Team erfährt. Alles Vorstehende, beim Absenden, in verständlicher Sprache (Art. 12 und 13 DSGVO verlangen genau das: klar, einfach, zum Zeitpunkt der Erhebung). Dazu die Rechte: Auskunft, Berichtigung, Löschung, Beschwerde bei der Aufsicht. Und nach der Runde: die Bewertung. Wer ein Deck bekommt, schuldet eine Rückmeldung, nicht nur eine Absage.

Ein Fall

Ein österreichischer Hochschulwettbewerb (ustp.at) veröffentlicht einen eigenen Datenschutzhinweis für Einreichungen. Er nennt den Zweck (Abwicklung der Anmeldung), die Rechtsgrundlage (der Vertrag durch die Anmeldung), die Empfänger (Mitarbeiter der Hochschule und die Jury, die der Geheimhaltung unterliegt) und die Betroffenenrechte. Das ist mehr, als die meisten Wettbewerbe hinschreiben, und es zeigt, wie kurz so ein Hinweis sein kann. Eine Schwäche hat er: Als Speicherdauer steht „bis zum Widerruf“. Das verlagert die Löschung auf die Teams, die sich in zwei Jahren nicht mehr erinnern, dass sie sich beworben haben. Eine Frist wäre besser.

Warum sich das lohnt

Nicht, weil die Aufsicht kommt. Die kommt bei Wettbewerben selten. Es lohnt sich, weil die guten Teams sich merken, wer sauber mit ihnen umgeht. Ein Gründer, der weiß, dass sein Deck nach sechs Monaten gelöscht wird und keine KI es ohne sein Wissen liest, bewirbt sich nächstes Jahr wieder und empfiehlt dich weiter. Und ein Netzwerk, das seinen Investoren sagen kann, wie Decks behandelt werden, bekommt bessere Decks. Vertraulichkeit ist bei Dealflow kein Kostenpunkt, sie ist der Grund, warum der Dealflow kommt.

Die Checkliste zum Abhaken

Verantwortlicher benannt. Zwecke und Rechtsgrundlage genannt. Jury als Empfänger genannt, Liste auf Nachfrage. Juryvereinbarung mit Vertraulichkeit, Interessenkonflikt, Löschung. Speicherort mit Zugängen je Person, in der EU oder mit Übermittlungsgrundlage. Auftragsverarbeitungsverträge mit allen Werkzeugen. KI-Hinweis beim Absenden, kein Training, keine automatische Entscheidung. Löschfrist genannt und im Kalender. Löschung überall, mit Bestätigung. Hinweis in klarer Sprache, Rückmeldung an die Teams.

Größe, Mischung, Zuordnung, Vereinbarung, Kalibrierung: Wie du die Jury für einen Wettbewerb oder eine Auswahlrunde so aufstellst, dass am Ende ein Ranking steht, das sich gegenüber den Teams begründen lässt.