In Frankreich setzt der Verkauf eines Tickets nicht die Einwilligung des Käufers voraus: Rechtsgrundlage ist der Vertrag. Eigene Regeln gelten für alles, was danach kommt, und genau dort verhängt die CNIL Bußgelder: die E-Mail zum nächsten Konzert, die Liste, die der Sponsor haben will, das Cookie auf der Verkaufsseite und die Dauer, für die du das alles aufbewahrst.
Dieser Leitfaden zeigt, was die Commission nationale de l'informatique et des libertés (CNIL) von einem Veranstalter erwartet, vom Checkout bis zur Löschung. Die Zitate stehen auf Französisch, mit Dokument und Datum. Alle Quellen wurden am 23. Oktober 2026 abgerufen.
Welche Regeln schützen die Daten von Ticketkäufern in Frankreich?
Drei Ebenen. Die erste ist die Verordnung (EU) 2016/679, die DSGVO, wie auch in Deutschland. Die zweite ist die loi n.º 78-17 du 6 janvier 1978, die loi Informatique et Libertés, die die DSGVO ergänzt und die ePrivacy-Richtlinie umsetzt. Die dritte ist der code des postes et des communications électroniques (CPCE), dessen Artikel L34-5 die Werbung per E-Mail und SMS regelt.
Der Referenzrahmen der CNIL zur Verwaltung kommerzieller Aktivitäten fasst es in Abschnitt 2 zusammen: Kunden- und Interessentendateien unterliegen der DSGVO, dem Gesetz von 1978 und «des dispositions spécifiques relatives à la protection de la vie privée dans le secteur des communications électroniques». Dieser Referenzrahmen ist das Dokument, auf das sich dieser Leitfaden am meisten stützt. Er ist nicht bindend: Der Text selbst sagt, er «n'a pas de caractère contraignant». Aber er ist die Referenz der CNIL selbst, und wer davon abweicht, muss nachweisen können, dass er die DSGVO trotzdem einhält.
Cookies laufen über einen anderen Weg. Die Seite der CNIL zu Cookies hält fest: «L'article 82 de la loi Informatique et Libertés transpose ces dispositions en droit français».
Die CNIL behandelt den Ticketverkauf nicht als Randthema. In ihren Kontrollschwerpunkten 2024, veröffentlicht am 8. Februar 2024, kündigte sie an, die kommerzielle Seite der Olympischen Spiele zu prüfen, «notamment à la collecte de données opérée dans le cadre des services de billetterie». Dieselbe Mitteilung beziffert die Kontrollen von 2023 auf 340 und sagt, dass die Schwerpunktthemen im Schnitt 30 % der Gesamtzahl ausmachen.
Wenn du vom spanischen Markt kommst: Den gemeinsamen Rahmen findest du in unserem Leitfaden zu Käuferdaten beim Ticketverkauf und DSGVO. Hier steht, was in Frankreich anders ist.
Brauchst du die Einwilligung des Käufers, um ihm das Ticket zu verkaufen?
Nein. Die Tabelle in Abschnitt 4 des Referenzrahmens ordnet Bestellabwicklung, Lieferung und Leistungserbringung der Rechtsgrundlage «Exécution du contrat» zu. Reklamationen und Kundendienst ebenfalls. Das Ticket ausstellen, kassieren und am Einlass entwerten: All das passt dort hinein.
Entscheidend ist, welche Daten du abfragst. Der Referenzrahmen zitiert den Europäischen Datenschutzausschuss: Dass der Vertrag eine bestimmte Erhebung erwähnt, «ne suffit pas» als Nachweis ihrer Erforderlichkeit. Die Erhebung muss «indispensable pour fournir le service» sein. Geburtsdatum, Geschlecht oder Postleitzahl für den Verkauf eines normalen Tickets zu verlangen, besteht diesen Test nicht, wenn es keinen veranstaltungsspezifischen Grund gibt.
Der Fall der Vorverkaufs-Verlosung mit Karte
Im April 2026 veröffentlichte UFC-Que Choisir, dass die Verlosung für den Vorverkauf der Céline-Dion-Konzerte in Paris, abgewickelt von AXS France, allein für die Anmeldung Kartennummer, Ablaufdatum und Sicherheitscode verlangte. Laut dem Magazin antwortete ihm die CNIL, diese Erhebung «pourrait ne pas satisfaire au principe de minimisation». Das Unternehmen führte an, sie diene der Bot-Abwehr. Eine Sanktion ist nicht bekannt: Es ist die Einschätzung, die die CNIL dem Magazin gegeben hat, keine Entscheidung.
Der Referenzrahmen geht beim Kryptogramm, dem dreistelligen Code, in dieselbe Richtung. Sein Abschnitt 7 sagt, es «doit être supprimé dès que le règlement de la prestation ou de l'achat est finalisé». Die Kartennummer darf für spätere Käufe gespeichert werden, unter den Bedingungen des Beschlusses Nr. 2018-303 vom 6. September 2018.
Ein Detail, das beeinflusst, wie du Tickets erzeugst: Abschnitt 5 verbietet, dass der interne Code zur Identifizierung des Kunden «son numéro de carte bancaire, ni son numéro de sécurité sociale, ni encore celui de son titre d'identité» ist. Das ist unsere Lesart, kein Text der CNIL: Die Kennung eines QR-Codes oder eines personalisierten Tickets sollte ein eigener Code sein, nie eine dieser drei Nummern.
Darfst du Marketing-E-Mails an Ticketkäufer schicken?
Ja, unter Bedingungen. Die allgemeine Regel nennt die CNIL in ihrem Merkblatt zur Direktwerbung, aktualisiert am 10. Juni 2026: Werbung per E-Mail oder SMS an Privatpersonen ist nur möglich «à condition que les personnes aient donné leur consentement avant d'être démarchées». Das Kästchen darf nicht vorausgewählt sein.
Die Ausnahme ist die Bestandskunden-Ausnahme. Eine vorherige Einwilligung ist nicht nötig, «si la prospection concerne les produits ou services similaires fournis par la même entreprise». Die CNIL begrenzt sie nach unten: Sie gilt nicht, «lorsqu'aucune vente ou prestation de service n'a été effectuée», und das Anlegen eines Kontos genügt nicht. Wer sich für die Warteliste eingetragen und nicht gekauft hat, ist kein Kunde.
Für den Veranstalter ist die Folge klar. Der Käufer des Festivals 2026 darf die Ankündigung der Ausgabe 2027 ohne vorherige Einwilligung erhalten, sofern er bei der Angabe seiner E-Mail-Adresse widersprechen konnte und sich in jeder Nachricht abmelden kann. Das Merkblatt verlangt, dass jede Nachricht den Absender nennt und es ermöglicht, weitere Nachrichten «par un moyen simple» abzulehnen. Im B2B-Bereich ist die Regel flexibler: Bei Geschäftskontakten genügt das berechtigte Interesse, wenn die Nachricht einen Bezug zu ihrem Beruf hat.
Zur operativen Seite der Kampagnen haben wir einen Leitfaden zu E-Mail-Marketing für Veranstaltungen.
Gewinnspiele und Verlosungen: wo am häufigsten bestraft wurde
Am 13. Oktober 2025 kündigte die CNIL 16 Sanktionen im vereinfachten Verfahren an, insgesamt 108.000 Euro. Eine betraf ein Unternehmen, das Interessenten über Gewinnspielformulare gewann. Das Formular hob das Kästchen für Werbeangebote hervor und suggerierte, nur so sei die Teilnahme gültig. Ergebnis: ungültige Einwilligung und «un manquement à l'article L. 34-5». Wenn du Tickets oder Backstage-Pässe verlost, steht das Werbekästchen separat, ohne Hervorhebung und ohne Bedingung für die Teilnahme.
Und wenn der Sponsor deine Liste will?
Das ist eine Weitergabe an Dritte mit eigenen Regeln, in Abschnitt 6 des Referenzrahmens. Wenn der Sponsor E-Mails versenden will, brauchst du die Einwilligung des Käufers zum Zeitpunkt der Erhebung und musst darüber informieren, wer die Daten erhält. Die CNIL empfiehlt eine vollständige Empfängerliste, die vom Formular aus erreichbar ist, zum Beispiel über einen Link. Sie lässt ein einziges Kästchen für Weitergabe und spätere Nutzung zu, «sous réserve de fournir une information préalable complète». Ohne diese Einwilligung ist die Werbung des Sponsors «illicite». Das Kästchen darf nie vorausgewählt sein.
Für Anrufe fügt Abschnitt 9 eine weitere Pflicht hinzu: Personen auszuschließen, die auf Bloctel stehen, der Widerspruchsliste nach den Artikeln L223-1 ff. des code de la consommation.
Wie lange darfst du die Käuferdaten speichern?
Das hängt vom Zweck ab. Der Referenzrahmen nennt keine einheitliche Frist, er bindet sie an den jeweiligen Zweck. Das sind die Fristen, die die CNIL vorschlägt und die für einen Ticketverkauf gelten:
| Datum | Von der CNIL vorgeschlagene Frist | Ab wann | Quelle |
|---|---|---|---|
| Bestellung, Ticketlieferung und Reklamationen | Dauer des Vertragsverhältnisses | Kauf | Referenzrahmen, Abschnitt 4 |
| Buchhaltung und Rechnungen | Gesetzliche Frist, zum Beispiel 10 Jahre, im Zwischenarchiv | Vertragsende | Referenzrahmen, Abschnitt 4 |
| Kopie eines Ausweisdokuments, falls als Nachweis nötig | Höchstens 6 Jahre | Erhebung | Referenzrahmen, Abschnitt 5 |
| Kartenprüfnummer (Kryptogramm) | Wird mit Abschluss der Zahlung gelöscht | Zahlung | Referenzrahmen, Abschnitte 5 und 7 |
| Kunde, der für Direktwerbung genutzt wird | 3 Jahre | Ende der Geschäftsbeziehung oder letzter Kontakt des Kunden | Referenzrahmen, Abschnitt 7 |
| Interessent, der nicht gekauft hat | 3 Jahre | Erhebung oder letzter Kontakt des Interessenten | Referenzrahmen, Abschnitt 7 |
| Inaktives Online-Konto | 2 Jahre, eine Frist, die die CNIL für verhältnismäßig hält | Beginn der Inaktivität | Referenzrahmen, Abschnitt 7 |
| Cookie-Auswahl, akzeptiert oder abgelehnt | 6 Monate als bewährte Praxis | Auswahl des Nutzers | Empfehlung 2020-092, Punkt 39 |
Was als Kontakt zählt, ist definiert. Der Referenzrahmen nennt als Beispiel eine Anfrage nach Unterlagen oder einen Klick auf einen Link in der E-Mail. Dagegen sollte «la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect».
Ein Beispiel mit Datumsangaben, nach unserer Berechnung auf Grundlage dieser Regel. Ein Besucher kauft am 3. März 2026 für ein Festival im Juli. Interagiert er nicht erneut, läuft sein Datum für die Direktwerbung am 3. März 2029 ab. Klickt er am 1. September 2026 im Newsletter, beginnt die Frist neu: 1. September 2029. Öffnet er die Mails nur, ändert sich die Frist nicht.
Nach Ablauf der drei Jahre erlaubt die CNIL, die Person einmal zu kontaktieren, um zu fragen, ob sie weiterhin Angebote erhalten möchte. Ohne eine positive, ausdrückliche Antwort wird gelöscht oder archiviert.
Was verlangt die CNIL von den Cookies auf deiner Verkaufsseite?
Vorherige Einwilligung für alles, was nicht unbedingt erforderlich ist, mit einer Ablehnung, die so einfach ist wie die Zustimmung. Die Empfehlung der CNIL, angenommen mit dem Beschluss Nr. 2020-092 vom 17. September 2020, formuliert es in Punkt 30 so: Der Verantwortliche muss «tant la possibilité d'accepter que de refuser» mit «le même degré de simplicité» ermöglichen.
Punkt 32 nennt die Lösung, die die CNIL für gültig hält: zwei Schaltflächen auf der ersten Ebene, «au même niveau et sur le même format», etwa «tout accepter» und «tout refuser». Punkt 31 erklärt, warum ein Banner mit einem Klick zum Akzeptieren und mehreren zum Ablehnen ein Problem ist: Es birgt «le risque de biaiser le choix de l'utilisateur».
Zur Frage, wie lange die Auswahl gespeichert wird, ist Punkt 39 konkret: Einwilligung und Ablehnung «pendant une durée de 6 mois constitue une bonne pratique». Die Empfehlung stützt sich auf die Leitlinien 5/2020 des Europäischen Datenschutzausschusses zur Einwilligung, angenommen am 4. Mai 2020. Ihr Punkt 3 stellt klar, dass sie nicht vorschreibend ist: Andere Lösungen sind zulässig, wenn die Einwilligung konform ist.
Auf einer Ticketverkaufsseite sind das übliche Risiko Werbe-Pixel, die vor dem Banner geladen werden. Wenn das Pixel eines sozialen Netzwerks beim Öffnen der Veranstaltungsseite feuert, kommt die Entscheidung des Nutzers zu spät. Laut CNIL können Tracker zur Reichweitenmessung ausgenommen sein, «dès lors qu'ils respectent certaines conditions»; solche für personalisierte Werbung nicht.
Was ändert sich bei Minderjährigen und biometrischen Daten?
Zwei Grenzen, auf die man bei Veranstaltungen schnell stößt: das jugendliche Publikum und die Gesichtserkennung am Einlass.
Minderjährige unter 15 Jahren
Die DSGVO überlässt das Alter dem Mitgliedstaat. Ihr Artikel 8.1 setzt 16 Jahre fest, und die Mitgliedstaaten dürfen es senken, «siempre que esta no sea inferior a 13 años» (sofern dieses nicht unter 13 Jahren liegt). Frankreich hat 15 gewählt. Die Empfehlung 4 der CNIL vom 9. Juni 2021 erläutert Artikel 45 der loi Informatique et Libertés: Bei Online-Diensten, die auf Einwilligung beruhen, müssen die Inhaber der elterlichen Sorge «doivent donner leur accord conjointement avec celui de leur enfant», wenn dieses jünger als 15 ist.
Das betrifft, was von einer Einwilligung abhängt, etwa Newsletter oder Werbe-Cookies. Der Kauf beruht auf dem Vertrag, und die CNIL erinnert daran, dass diesen in dem Fall der Minderjährige oder an seiner Stelle die Inhaber der elterlichen Sorge abschließen können. Bei einem Konzert mit Publikum von 13 bis 15 Jahren braucht das Werbekästchen einen Weg zur elterlichen Einwilligung oder darf dieser Altersgruppe nicht angeboten werden.
Gesichtserkennung am Einlass
Die CNIL hat bereits einem Verein eine Absage erteilt. Am 18. Februar 2021 verwarnte sie einen Sportverein, der ein Gesichtserkennungssystem testete, um Personen mit kommerziellem Stadionverbot zu identifizieren. Das System «reposait sur le traitement de données biométriques», sensible Daten, deren Erhebung und Nutzung laut CNIL außer in Ausnahmen verboten ist. Ohne ein Gesetz oder eine Verordnung, die dies erlaubt, gibt es keine Grundlage. Die CNIL warnte, dass sich der Verein bei einem Einsatz Abhilfemaßnahmen aussetze, bis hin zu einem Bußgeld.
Für eine Zutrittskontrolle in Frankreich ist der sichere Weg das Ticket mit QR-Code oder das Armband, die den Zutrittstitel identifizieren und nicht das Gesicht. Die Regeln zu Kapazität und Taschenkontrollen in französischen Veranstaltungsstätten stehen in unserem Leitfaden zu Kapazität und Sicherheit bei Veranstaltungen in Frankreich.
Wie hoch kann die CNIL bestrafen, und was tust du bei einer Datenpanne?
Die Bußgelder haben zwei Skalen. Die der DSGVO reicht in Artikel 83.5 bis «20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global» (höchstens 20 000 000 EUR oder, im Fall eines Unternehmens, bis zu 4 % des gesamten weltweiten Jahresumsatzes), «optándose por la de mayor cuantía» (wobei der höhere Betrag maßgeblich ist). Artikel 83.4 setzt eine niedrigere Stufe von 10 Millionen oder 2 % fest. 20 Millionen sind 4 % von 500 Millionen Euro: Unterhalb dieses Umsatzes ist die feste Zahl die maßgebliche Obergrenze. Die Rechnung stammt von uns.
Die kleine Skala trifft die meisten Veranstalter. Das vereinfachte Sanktionsverfahren nach Artikel 22-1 der loi Informatique et Libertés erlaubt eine Verwarnung, eine Anordnung zur Einhaltung mit Zwangsgeld oder ein Bußgeld:
| Maßnahme | Unternehmen mit weniger als 50 Mio. € Umsatz | Unternehmen mit mehr als 50 Mio. € Umsatz |
|---|---|---|
| Maximales Bußgeld | 20.000 € | 100.000 € |
| Zwangsgeld pro Tag Verzug | 100 € | 500 € |
Die 16 vereinfachten Sanktionen vom Oktober 2025 summierten sich auf 108.000 Euro: 6.750 Euro im Schnitt pro Sanktion, nach unserer Rechnung. Das ordentliche Verfahren liegt höher. Am 15. Mai 2025 verhängte die CNIL 900.000 Euro gegen Solocal Marketing Services, weil das Unternehmen E-Mails und SMS ohne gültige Einwilligung an Interessenten versandt hatte. Es konnte diese Einwilligung nicht nachweisen, wie es Artikel 7 der DSGVO verlangt. Zusätzlich verhängte die CNIL ein Zwangsgeld von 10.000 Euro pro Tag Verzug, falls es nicht binnen neun Monaten Abhilfe schaffte.
Die Datenpanne: 72 Stunden
Verschafft sich jemand Zugriff auf deine Käuferdatenbank, verpflichtet Artikel 33.1 der DSGVO zur Meldung an die Behörde «a más tardar 72 horas después de que haya tenido constancia de ella» (spätestens 72 Stunden, nachdem sie davon Kenntnis erlangt hat). Die Meldeseite der CNIL präzisiert, dass die Meldung über ihren Teledienst erfolgt. Wird die Frist überschritten, sind «les motifs du retard» zu erklären. Und bei hohem Risiko «vous devez également notifier les personnes concernées».
Auskunfts- oder Löschanträge haben ihre eigene Uhr. Artikel 12.3 der DSGVO räumt einen Monat ab Eingang ein, bei Bedarf um zwei weitere Monate verlängerbar («en caso necesario», also erforderlichenfalls). Die CNIL empfiehlt in Abschnitt 9 des Referenzrahmens eine eigene E-Mail-Adresse oder die Kontaktdaten des Datenschutzbeauftragten, um sie zu bündeln.
Und Futura Tickets: Was davon deckt die Plattform ab?
Futura Tickets ist eine spanische SaaS-Ticketing-Plattform für professionelle Veranstalter und verkauft in 9 Sprachen und auf 11 Länderdomains, Frankreich eingeschlossen. Bei Futura Tickets gehört die Teilnehmerdatenbank zu 100 % dem Veranstalter: E-Mail-Adressen und Telefonnummern werden vollständig übergeben, im Einklang mit der DSGVO. Das hat eine rechtliche Folge, die du dir klarmachen solltest: Wenn die Käuferdaten dir gehören, bist du gegenüber der CNIL der Verantwortliche für die Verarbeitung. Du entscheidest über das Werbekästchen, die Löschfristen und darüber, welchem Sponsor du die Liste weitergibst. Fordere bei jeder Plattform den Auftragsverarbeitungsvertrag nach Artikel 28 der DSGVO an, der nach Artikel 28.3 durch «un contrato u otro acto jurídico» (einen Vertrag oder ein anderes Rechtsinstrument) geregelt wird. Prüfe außerdem, welche Cookies die Verkaufsseite vor dem Banner lädt.
Checkliste vor dem Verkaufsstart in Frankreich
Sieben Prüfpunkte, die du diese Woche abarbeiten kannst.
Gehe das Kaufformular Feld für Feld durch. Notiere für jedes Datum, wozu es bei der Durchführung der Veranstaltung dient. Was für den Vertrag nicht unerlässlich ist, fliegt aus dem Formular oder wird optional, mit erklärtem Zweck.
Trenne das Werbekästchen ab und lass es unausgewählt. Eins für deine eigenen Angebote, eins für jede Weitergabe an Dritte. Wenn du Tickets verlost, darf die Teilnahme nicht davon abhängen, Werbung zu akzeptieren.
Nutze die Bestandskunden-Ausnahme nur für Kunden. Wer sich für die Warteliste eingetragen und nicht gekauft hat, braucht eine vorherige Einwilligung. Jede Nachricht enthält eine Abmeldung mit einem Klick.
Plane die Löschung. Drei Jahre ab dem letzten echten Kontakt für Direktwerbung, E-Mail-Öffnungen nicht mitgezählt. Kartenprüfnummer raus, sobald die Zahlung abgeschlossen ist. Zwei Jahre für inaktive Konten, mit vorheriger Ankündigung.
Setze «tout refuser» neben «tout accepter». Gleiche Ebene, gleiches Format. Kein Werbe-Pixel vor der Auswahl. Merke dir die Auswahl sechs Monate.
Entscheide, was du mit Personen unter 15 Jahren tust. Newsletter und Werbe-Cookies brauchen die gemeinsame elterliche Einwilligung. Wenn du sie nicht einholen kannst, biete sie nicht an.
Halte den Plan für Datenpannen schriftlich fest. Wer erkennt, wer entscheidet und wer die CNIL innerhalb von 72 Stunden benachrichtigt. Fordere von deiner Plattform den Vertrag nach Artikel 28 und ihre Zusage unverzüglicher Benachrichtigung an.
Fazit
Frankreich wendet dieselbe DSGVO an wie Spanien, aber die CNIL hat konkrete Fristen und Formate festgelegt, wo die Verordnung nur allgemein spricht: drei Jahre für einen Interessenten, sechs Monate für die Cookie-Auswahl, zwei gleiche Schaltflächen im Banner. Außerdem verfolgt sie Direktwerbung ohne Einwilligung mit Sanktionen, die im vereinfachten Verfahren im Schnitt bei rund 6.750 Euro liegen. Für die übrigen Formalitäten einer Tour oder eines Festivals in Frankreich beginne mit Tickets in Frankreich verkaufen: récépissé, TVA und taxe CNM. Zum Vergleich mit dem britischen Modell gibt es den Leitfaden zu Käuferdaten im Vereinigten Königreich.
Quellen
- Verordnung (EU) 2016/679, DSGVO, Artikel 8, 12, 28, 33 und 83 (ABl. L 119, im BOE)
- Référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales (CNIL, PDF)
- La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel, 10. Juni 2026 (CNIL)
- Délibération n° 2020-092 du 17 septembre 2020, recommandation «cookies et autres traceurs» (CNIL, PDF)
- Cookies et autres traceurs: que dit la loi ?, 29. September 2020 (CNIL)
- Leitlinien 5/2020 zur Einwilligung im Sinne der Verordnung (EU) 2016/679 (Europäischer Datenschutzausschuss)
- Recommandation 4: rechercher le consentement d'un parent pour les mineurs de moins de 15 ans, 9. Juni 2021 (CNIL)
- Reconnaissance faciale et interdiction commerciale de stade: la CNIL adresse un avertissement à un club sportif, 18. Februar 2021 (CNIL)
- Les contrôles de la CNIL en 2024: données des mineurs, Jeux olympiques, droit d'accès et tickets de caisse, 8. Februar 2024 (CNIL)
- La procédure de sanction simplifiée (CNIL)
- La CNIL prononce 16 nouvelles sanctions dans le cadre de la procédure simplifiée, 13. Oktober 2025 (CNIL)
- Courtiers en données: sanction de 900 000 euros à l'encontre de la société Solocal Marketing Services (CNIL)
- Notifier une violation de données personnelles (CNIL)
- Céline-Dion-Konzerte und personenbezogene Daten beim Vorverkauf von AXS France, 10. April 2026 (UFC-Que Choisir)