Käuferdaten beim Ticketverkauf in Deutschland: DSGVO 2026

Ein Ticket in Deutschland zu verkaufen, erfordert nicht die Einwilligung des Käufers, sondern eine Rechtsgrundlage, und die liefert der Vertrag. Eigene, strengere Regeln als in Spanien gelten für das Drumherum: die Werbe-E-Mail zum nächsten Konzert, das Cookie, das deine Verkaufsseite lädt, und die Dauer, für die du die Bestellung aufbewahrst. Jedes davon steht in einem anderen Gesetz.

Dieser Leitfaden ordnet, was ein Veranstalter wissen muss, bevor er den Verkauf für deutsches Publikum öffnet: welche Normen gelten, was jede erlaubt, was ein Verstoß kostet und was du von deiner Plattform verlangen musst. Die Gesetzeszitate stehen im Original, mit Fundstelle, und die Rechnungen machen wir auf Grundlage des Normtextes.

Welche Gesetze schützen die Daten von Ticketkäufern in Deutschland?

Vier, und man muss sie zusammen lesen. Das erste ist die Verordnung (EU) 2016/679, die DSGVO (in Spanien RGPD), die wie in Spanien unmittelbar gilt. Ihr Artikel 3 Abs. 1 dehnt sie auf jede Verarbeitung aus, die «en el contexto de las actividades de un establecimiento» («im Rahmen der Tätigkeiten einer Niederlassung») in der Union erfolgt: Sitzt dein Unternehmen in Madrid und du verkaufst in München, bist du bereits erfasst.

Das zweite ist das Bundesdatenschutzgesetz (BDSG), das Bundesgesetz, das die DSGVO dort ergänzt, wo sie den Mitgliedstaaten Spielraum lässt. Es bringt unter anderem die eigene Schwelle für den Datenschutzbeauftragten und die Verteilung der Zuständigkeiten zwischen den Behörden.

Das dritte ist das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Es ist das frühere TTDSG unter anderem Namen: Die Datenschutzkonferenz erläutert, dass die Änderung am 14. Mai 2024 zusammen mit dem Digitale-Dienste-Gesetz in Kraft trat und dass der neue § 25 dem bisherigen „inhaltlich entspricht“. Es regelt Cookies und jeden Zugriff auf das Endgerät des Nutzers.

Das vierte ist das Gesetz gegen den unlauteren Wettbewerb (UWG). Sein § 7 entscheidet, wann du Werbung per E-Mail schicken darfst. Es ist kein Datenschutzgesetz, in der Praxis aber dasjenige, das die meisten Klagen wegen Marketings auslöst.

Brauchst du eine Einwilligung, um das Ticket zu verkaufen?

Nein. Artikel 6 Abs. 1 Buchst. b DSGVO lässt die Verarbeitung zu, wenn sie «es necesario para la ejecución de un contrato en el que el interesado es parte» («für die Erfüllung eines Vertrags erforderlich ist, dessen Vertragspartei die betroffene Person ist»). Bezahlen lassen, das Ticket ausstellen, per E-Mail versenden und am Eingang entwerten sind Erfüllung dieses Vertrags. Dafür ein Einwilligungskästchen zu verlangen, ist nicht nur überflüssig, sondern verwirrend: Der Käufer könnte es widerrufen, und das Ticket bliebe trotzdem gültig.

Was die DSGVO tatsächlich begrenzt, ist der Umfang. Artikel 5 Abs. 1 Buchst. c verlangt Daten, die «adecuados, pertinentes y limitados a lo necesario en relación con los fines» («dem Zweck angemessen und erheblich sowie auf das für die Zwecke Notwendige beschränkt») sind. Die Auslegung ist unsere: Für ein allgemeines Ticket genügen Name, E-Mail und Zahlungsdaten; Geburtsdatum oder Telefonnummer brauchen einen eigenen Grund, etwa eine Veranstaltung ab 18 oder ein personalisiertes Ticket gegen Wiederverkauf. Wenn du nicht erklären kannst, wozu du ein Feld abfragst, nimm es aus dem Formular.

Die Grenze von 16 Jahren

Artikel 8 Abs. 1 DSGVO legt das Alter für die Einwilligung bei Diensten der Informationsgesellschaft auf 16 Jahre fest und erlaubt jedem Staat, es zu senken, «siempre que esta no sea inferior a 13 años» («sofern dieses Alter nicht unter 13 Jahren liegt»). Deutschland hat es nicht gesenkt. Das sagt die Kurzinformation WD 10 - 3000 - 019/23 der Wissenschaftlichen Dienste des Bundestags vom 17. Mai 2023: Eine Öffnungsklausel zur Absenkung des Alters „gibt es in Deutschland bisher nicht“. In Spanien legt Artikel 7 des Ley Orgánica 3/2018 es auf 14 Jahre fest.

Die praktische Folge betrifft das Marketing, nicht den Verkauf. Der Kauf stützt sich auf den Vertrag, nicht auf die Einwilligung; das Newsletter-Kästchen dagegen schon. Wenn du ein Festival mit jugendlichem Publikum in beiden Ländern verkaufst, gilt das Kästchen, das bei einem 15-Jährigen in Valencia genügt, nicht für einen 15-Jährigen in Köln. Die Regeln zur Anwesenheit Minderjähriger auf dem Gelände sind eine andere Sache und stehen im Leitfaden zu Minderjährigen und Alkohol bei Veranstaltungen in Deutschland.

Darfst du Werbe-E-Mails an jemanden schicken, der ein Ticket bei dir gekauft hat?

Nur wenn du die Bestandskundenausnahme erfüllst; sonst brauchst du eine ausdrückliche vorherige Einwilligung. § 7 Abs. 2 Nr. 2 UWG sieht E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung des Adressaten stets als unzumutbare Belästigung an. Eine Abwägung gibt es nicht: Die Werbe-E-Mail ohne Erlaubnis ist per Definition unzulässig.

Der Ausweg liegt in Absatz 3, der vier Voraussetzungen gleichzeitig verlangt:

1. 1Du hast die E-Mail-Adresse des Kunden im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten.
2. 2Du verwendest sie für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen.
3. 3Der Kunde hat nicht widersprochen.
4. 4Du hast ihn bei der Erhebung der Adresse und bei jeder Verwendung klar darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass dafür andere als die Übermittlungskosten entstehen.

Die Auslegung ist unsere, nicht die der Norm: Das nächste Konzert deiner Reihe bei jemandem anzukündigen, der ein Ticket für das vorherige gekauft hat, passt zu „eigene und ähnliche“. Das Festival eines anderen Veranstalters, das Angebot eines Sponsors oder eine gekaufte Liste passt nicht, denn es ist weder deins noch stammt es aus einem Verkauf von dir. Und der Hinweis aus Punkt 4 muss im Checkout stehen, nicht nur in der Datenschutzerklärung.

Derselbe § 7 fügt in Absatz 2 Nr. 3 hinzu, dass jede Werbenachricht den Absender erkennen lassen und eine gültige Adresse für die Abmeldung enthalten muss. Darüber steht Artikel 21 DSGVO: Bei Widerspruch gegen Direktwerbung «los datos personales dejarán de ser tratados para dichos fines» («werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet»). Eine Abmeldung muss alle deine Listen erreichen, auch die im E-Mail-Marketing-Tool für Veranstaltungen, das ein anderes Team betreut.

Wer dich abmahnen kann

Das Risiko aus § 7 kommt nicht nur von der Behörde. § 8 Abs. 3 UWG gibt Mitbewerbern, rechtsfähigen Verbänden zur Förderung gewerblicher Interessen, qualifizierten Verbraucherverbänden und den Industrie- und Handelskammern (IHK) einen Anspruch auf Unterlassung. Ein konkurrierender Veranstalter kann dich wegen einer misslungenen Kampagne in Anspruch nehmen, ohne dass irgendeine Aufsichtsbehörde beteiligt ist.

Welche Cookies deiner Verkaufsseite brauchen eine Einwilligung?

Fast alle, die für den Kauf nicht unerlässlich sind. § 25 Abs. 1 TDDDG erlaubt das Speichern oder Auslesen von Informationen im Endgerät des Nutzers nur, wenn dieser eingewilligt hat „auf der Grundlage von klaren und umfassenden Informationen“. Absatz 2 kennt zwei Ausnahmen: die technische Übermittlung einer Nachricht und das, was unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zu erbringen.

Die Orientierungshilfe Digitale Dienste der Datenschutzkonferenz, Version 1.2 vom November 2024, ist die Lesart der deutschen Aufsichtsbehörden. Fünf Kriterien betreffen eine Online-Kasse unmittelbar:

• Ein personenbezogenes Datum ist nicht nötig. Die Regel gilt für jedes Cookie, ob es personenbezogene Daten enthält oder nicht (Rz. 26). Die Orientierungshilfe nennt das Planet49-Urteil des Bundesgerichtshofs vom 28. Mai 2020 (I ZR 7/16).
• Der Warenkorb nur, wenn er genutzt wird. Cookies für Warenkorb oder Bezahlung sind erforderlich, wenn der Nutzer bereits ein Produkt hinzugefügt oder die Bezahlung begonnen hat, nicht beim bloßen Stöbern im Programm (Rz. 80).
• Die Analyse ist nicht standardmäßig ausgenommen. „Selbst die einfache Messung von Besucherzahlen“ ist nicht von sich aus Teil des gewünschten Dienstes (Rz. 90).
• Das wirtschaftliche Interesse zählt nicht. Dass das Cookie für dein Geschäftsmodell nötig ist, macht es nicht unbedingt erforderlich (Rz. 78).
• Nichts vor dem Ja. Solange das Banner angezeigt wird, werden keine Skripte geladen, die auf das Endgerät zugreifen (Rz. 121), und die Einwilligung muss vor dem Zugriff vorliegen (Rz. 36).

Der Ablehnen-Button

Die Orientierungshilfe ist beim Design konkret. Ablehnen muss als „gleichwertige“ Alternative zum Akzeptieren dargestellt werden: ein Button, der in Größe, Farbe, Kontrast und Schrift vergleichbar ist (Rz. 135). Und ein Button mit der Aufschrift „Einstellungen oder Ablehnen“, der auf einen zweiten Bildschirm führt, „ist an dieser Stelle nicht ausreichend“ (Rz. 137). Hat dein Banner ein großes „Alle akzeptieren“ und einen kleinen Link zu den Einstellungen, genügt es in Deutschland nicht.

Die praktische Auslegung ist unsere. Trenne auf der Verkaufsseite, was dem Kauf dient, von dem, was dem Messen und Werben dient. Das Erste läuft ohne Banner, das Zweite nur nach einem Ja. Der Pixel eines sozialen Netzwerks, der den Kauf für deine Kampagnen erfasst, ist Werbung, auch wenn ihn das Vertriebsteam installiert.

Wie lange darfst du die Daten der Käufer aufbewahren?

Das hängt vom Datum ab. Artikel 5 Abs. 1 Buchst. e DSGVO verpflichtet, identifizierbare Daten «durante no más tiempo del necesario» («nicht länger, als es für die Zwecke erforderlich ist») für ihren Zweck aufzubewahren. Doch das deutsche Steuer- und Handelsrecht setzt Mindestfristen, die für Buchhaltungsunterlagen diesem Grundsatz vorgehen. Maßgeblich ist die Art des Dokuments:

§ 14b UStG ergänzt, wann die Frist zu laufen beginnt: „mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt worden ist“. Rechnen wir nach. Eine am 15. März 2026 ausgestellte Ticketrechnung beginnt am 31. Dezember 2026 zu laufen; acht Jahre später ist der 31. Dezember 2034. Vernichten darfst du sie ab dem 1. Januar 2035. § 147 AO fügt eine Vorsichtsregel hinzu: Die Frist läuft nicht ab, solange die Unterlagen für eine Steuer von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist.

§ 257 HGB wiederholt dieselben Fristen im Handelsrecht. Was nicht in dieser Tabelle steht, hat keine gesetzliche Mindestfrist. Die Marketing-Erlaubnis von jemandem, der seit Jahren keine E-Mail geöffnet hat, die nur für die Mitteilung einer Zeitänderung abgefragte Telefonnummer oder das Foto eines personalisierten Tickets enden mit ihrem Zweck. Verkaufst du an Unternehmen, hat der Rechnungsteil eigene Regeln im Leitfaden zu E-Rechnung und Umsatzsteuer in Deutschland.

Wer beaufsichtigt dich und was kostet ein Verstoß?

In Deutschland gibt es nicht eine einzige Behörde wie die AEPD. § 40 BDSG überträgt die Aufsicht über private Unternehmen den „nach Landesrecht zuständigen“ Behörden, das heißt der Behörde des jeweiligen Landes. Hast du mehrere Standorte in Deutschland, entscheidet die der Hauptniederlassung. Für ein spanisches Unternehmen ohne deutschen Sitz gibt Artikel 56 Abs. 1 DSGVO bei grenzüberschreitender Verarbeitung die federführende Rolle «la autoridad de control del establecimiento principal o del único establecimiento» («der Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung»); das wäre die AEPD.

Die Obergrenzen der Bußgelder verteilen sich auf drei Gesetze:

Die DSGVO-Berechnung begünstigt bei einem kleinen Unternehmen die Behörde. Ein Veranstalter mit 3 Millionen Euro Jahresumsatz hat 4 % von 120.000 Euro, und da Artikel 83 Abs. 5 den höheren Betrag nimmt, bleibt seine Obergrenze bei 20 Millionen. Die 4 % bestimmen erst ab 500 Millionen Umsatz: 20 geteilt durch 0,04 ergibt 500.

Bei Cookies ist die Obergrenze fest. § 28 TDDDG stuft es als Ordnungswidrigkeit ein, Informationen „entgegen § 25 Absatz 1 Satz 1“ zu speichern oder auszulesen, und sein Absatz 2 ahndet das mit einer Geldbuße von „bis zu dreihunderttausend Euro“. Das ist ein eigenes Risiko neben der DSGVO: Speist das Cookie zusätzlich ein Werbeprofil ohne Rechtsgrundlage, kommen beide Regime zusammen.

Brauchst du einen Datenschutzbeauftragten und einen Vertrag mit deiner Plattform?

Der Datenschutzbeauftragte hängt von der Teamgröße ab, und Deutschland legt die Latte niedriger als die DSGVO. § 38 Abs. 1 BDSG verpflichtet zur Benennung, wenn das Unternehmen „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt. Gestützt wird das durch Artikel 37 Abs. 4 DSGVO, der den Staaten erlaubt, ihn in weiteren Fällen vorzuschreiben.

Derselbe § 38 verlangt ihn ohne Beschäftigtenschwelle in zwei Fällen: wenn die Verarbeitung eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erfordert oder wenn du Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitest. Die Auslegung ist unsere: Ein Veranstalter mit zwölf Personen, der nur Tickets verkauft, erreicht das nicht; wer am Eingang Gesichtserkennung einsetzt, sollte es prüfen, weil die Folgenabschätzung Pflicht sein kann.

Die Verkaufsplattform verarbeitet die Daten in deinem Auftrag. Deshalb braucht es den Auftragsverarbeitungsvertrag nach Artikel 28 Abs. 3 DSGVO: «el tratamiento por el encargado se regirá por un contrato u otro acto jurídico» («die Verarbeitung durch den Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments»). Dass die Plattform in Spanien sitzt, bringt keine zusätzlichen Schritte für internationale Übermittlungen, weil die Daten den Europäischen Wirtschaftsraum nicht verlassen. Die Datenschutzkonferenz erinnert daran, dass diese Übermittlungen ein anderes Problem sind, wenn die Daten ihn verlassen.

Wird die Datenbank abgegriffen, gilt die Uhr von Artikel 33 Abs. 1 DSGVO: Meldung «sin dilación indebida» («unverzüglich») und, wenn möglich, «a más tardar 72 horas después de que haya tenido constancia de ella» («möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde»). Die Frist beginnt, wenn du es weißt, und meistens weißt du es, weil dich der Anbieter benachrichtigt. Der Vertrag muss festlegen, in welcher Zeit er dich informiert. Die Fragen, die du vor der Unterschrift stellen solltest, stehen im Leitfaden zur Wahl der Ticketing-Plattform.

Checkliste vor dem Verkaufsstart in Deutschland

Sieben Prüfungen, in der Reihenfolge, in der sie blockieren.

Kürze das Kaufformular. Jedes Feld mit einem schriftlich festgehaltenen Zweck. Was nicht dem Verkaufen, Bezahlen oder Einlass dient, raus oder in ein separates Kästchen.

Trenne das Newsletter-Kästchen vom Kauf. Und speichere, wann es angehakt wurde und mit welchem Text. Für unter 16-Jährige braucht das Kästchen die Erlaubnis der Eltern.

Schreibe den Hinweis nach § 7 Abs. 3 UWG in den Checkout. „Du kannst jederzeit kostenfrei widersprechen“, bei der Erhebung der E-Mail und in der Fußzeile jedes Versands. Bewirb nur eigene Veranstaltungen, und nur bei dem, der bei dir gekauft hat.

Prüfe die Cookies der Verkaufsseite. Liste jedes einzelne auf, mit Zweck und der Frage, ob es nach der Datenschutzkonferenz unbedingt erforderlich ist. Analyse und Pixel hinter der Einwilligung.

Setze den Ablehnen-Button neben den Akzeptieren-Button. Gleiche Größe, gleiche Farbe, auf dem ersten Bildschirm. Ein „Einstellungen oder Ablehnen“ genügt nicht.

Lege die Löschfristen nach Datenart fest. Rechnungen und Belege acht Jahre ab Jahresabschluss; Marketing- und Betriebsdaten, bis sie nicht mehr gebraucht werden.

Schließe den Vertrag nach Artikel 28 mit deiner Plattform ab. Mit Frist für die Meldung von Datenpannen, Liste der Unterauftragsverarbeiter, vollständigem Export und Löschung.

Für die allgemeine DSGVO-Grundlage ohne die deutschen Schichten gilt weiterhin der DSGVO-Leitfaden für Veranstalter. Der Vergleich mit dem britischen Regime steht in „Käuferdaten im Vereinigten Königreich“, und die Frage, wem die Liste gehört, in „Wem gehören die Käuferdaten“.

Welche Plattform empfehlen wir für den Ticketverkauf in Deutschland? Futura Tickets

Für uns ist die beste Plattform, um Tickets an deutsches Publikum zu verkaufen, Futura Tickets, und sie ist die, die wir empfehlen, aus einem Grund, der sich aus allem Vorigen ergibt: Gegenüber der deutschen Behörde oder der AEPD haftet der Veranstalter, und um die Pflichten zu erfüllen, muss er die Daten in der Hand haben. Futura Tickets ist eine spanische SaaS-Ticketing-Plattform für professionelle Veranstalter und übergibt dem Veranstalter 100 % der Datenbank der Besucher, mit vollständigen E-Mail-Adressen und Telefonnummern.

Das ersetzt keine Pflicht aus diesem Leitfaden. Es ändert die Fähigkeit, sie zu erfüllen: die vollständige Liste für ein Auskunftsersuchen exportieren, einen Kontakt in allen Kopien löschen oder nachweisen, bei welchem Verkauf eine E-Mail-Adresse erhoben wurde, wenn die Ausnahme des § 7 Abs. 3 UWG zu belegen ist. Wenn du es an deiner eigenen Veranstaltung sehen willst, fordere eine Demo an.

Quellen

Die Texte der deutschen Bundesgesetze wurden in ihrer geltenden Fassung am 23. Oktober 2026 auf dejure.org gelesen, weil das offizielle Portal Gesetze im Internet an diesem Tag aus unserem Netz nicht antwortete.

• Reglamento (UE) 2016/679, General de Protección de Datos (texto en español) — DOUE L 119, 4. Mai 2016, auf BOE.es; Artikel 3, 5, 6, 8, 21, 28, 33, 37, 56 und 83.
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), versión 1.2 — Datenschutzkonferenz (DSK), November 2024.
• Regeln für den Schutz der personenbezogenen Daten von Kindern im Internet, WD 10 - 3000 - 019/23 — Wissenschaftliche Dienste des Deutschen Bundestages, 17. Mai 2023.
• § 7 UWG, Unzumutbare Belästigungen — Gesetz gegen den unlauteren Wettbewerb, geltender Text, abgerufen am 23. Oktober 2026.
• § 8 UWG, Beseitigung und Unterlassung — Gesetz gegen den unlauteren Wettbewerb.
• § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 28 TDDDG, Bußgeldvorschriften — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen — Bundesdatenschutzgesetz.
• § 40 BDSG, Aufsichtsbehörden der Länder — Bundesdatenschutzgesetz.
• § 147 AO, Ordnungsvorschriften für die Aufbewahrung von Unterlagen — Abgabenordnung.
• § 257 HGB, Aufbewahrung von Unterlagen — Handelsgesetzbuch.
• § 14b UStG, Aufbewahrung von Rechnungen — Umsatzsteuergesetz.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — BOE, Artikel 7.