DSGVO-konform Events organisieren – so geht's

Die Verordnung (EU) 2016/679 (DSGVO, im Spanischen RGPD) betrifft jeden Veranstalter, der Daten von Besuchern erhebt. E-Mail-Adressen, Namen, Telefonnummern, Kaufpräferenzen: All das sind personenbezogene Daten, die nach den Vorschriften verarbeitet werden müssen. In Spanien wird sie ergänzt durch das Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte, LOPDGDD). Artikel 83.5 DSGVO setzt den oberen Bußgeldrahmen bei 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes an, je nachdem, welcher Betrag höher ist; Artikel 83.4 sieht einen niedrigeren Rahmen von 10 Millionen Euro oder 2 % vor. Dieser Leitfaden erklärt dir das Wichtigste.

Das Risiko ist nicht theoretisch. Die spanische Datenschutzbehörde (Agencia Española de Protección de Datos) teilte am 23. Januar 2026 mit, dass sie 2.765 Meldungen von Datenpannen im Jahr 2025 erhalten hat, 80 % davon aus der Privatwirtschaft. Das sind 7,6 Meldungen pro Tag (eigene Berechnung auf Basis der AEPD-Zahl). Ein Veranstalter mit einer Käuferdatenbank gehört zu diesem Kreis.

Welche Daten erhebst du als Veranstalter?

Als Veranstalter erhebst du wahrscheinlich mehr Daten, als du denkst. Es ist wichtig, sie alle zu erfassen, um sie richtig zu verwalten.

• Kaufdaten: Name, E-Mail, Telefon, Rechnungsadresse
• Zutrittsdaten: Uhrzeit des Einlasses, Bereich, Validierungsversuche
• Verhaltensdaten: besuchte Seiten, abgebrochene Warenkörbe
• Gerätedaten: IP-Adresse, Browser, Betriebssystem
• Optionale Daten: Präferenzen, Geburtsdatum, Geschlecht

Sinnvoll ist nicht, die Daten nur aufzulisten, sondern jedes Datum mit seiner Rechtsgrundlage und seiner Aufbewahrungsfrist zu verknüpfen. Diese Tabelle ist das Grundgerüst des Verzeichnisses von Verarbeitungstätigkeiten, das Artikel 30 DSGVO verlangt:

Quellen: Artikel 6 Absatz 1, 9 Absatz 2 und 30 DSGVO sowie Artikel 22 LOPDGDD. Die steuerlichen Fristen sind im Leitfaden zur Besteuerung des Ticketverkaufs ausgeführt. Welche Daten du im Kaufformular abfragen darfst und welche nicht, steht im Leitfaden dazu, welche Daten du vom Ticketkäufer verlangen darfst.

Welche Rechtsgrundlagen gibt es für die Datenverarbeitung?

Artikel 6 Absatz 1 DSGVO verlangt, dass sich jede Datenverarbeitung auf eine der sechs aufgeführten Rechtsgrundlagen stützt. Für Veranstalter sind diese am wichtigsten:

• Vertragserfüllung: Du brauchst die Daten, um das Ticket zu verkaufen und zuzustellen
• Einwilligung: für den Versand von Newslettern oder Werbemitteilungen
• Berechtigtes Interesse: um Betrug zu verhindern oder den Service zu verbessern
• Rechtliche Verpflichtung: steuerliche Daten, die du von Gesetzes wegen aufbewahren musst. Mehr Details findest du im Leitfaden zur Besteuerung des Ticketverkaufs

Zwei Hinweise zum berechtigten Interesse. Erstens: Buchstabe f) von Artikel 6 Absatz 1 knüpft es daran, dass nicht «los intereses o los derechos y libertades fundamentales del interesado» (die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person) überwiegen. Es verlangt also eine schriftliche Abwägung, nicht bloß ein Etikett. Zweitens: Artikel 21 Absatz 2 DSGVO gibt dem Besucher das Recht, der Verarbeitung zum Zweck der Direktwerbung jederzeit zu widersprechen, und dann gilt: «los datos personales dejarán de ser tratados para dichos fines» (die personenbezogenen Daten werden nicht mehr für diese Zwecke verarbeitet). Gegen einen Widerspruch hält keine Abwägung stand.

Wie holst du die Einwilligung richtig ein?

Artikel 4 Nummer 11 DSGVO definiert die Einwilligung als Willensbekundung, die «libre, específica, informada e inequívoca» (freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich) erfolgt, und Artikel 7 ergänzt die Bedingungen, um sie nachzuweisen und zu widerrufen. Das heißt: Du darfst keine vorausgewählten Kästchen verwenden, den Kauf nicht an die Zustimmung zu Marketing koppeln und die Einwilligung nicht in allgemeinen Geschäftsbedingungen verstecken. Wenn du außerdem Werbemitteilungen per E-Mail oder SMS verschickst, gilt zusätzlich Artikel 21 des Gesetzes 34/2002 (LSSI-CE).

• Getrennte Kästchen für jeden Zweck (eines für Marketing, eines für Dritte)
• Klare, verständliche Sprache ohne Juristenjargon
• Die Einwilligung ist genauso leicht zu widerrufen wie zu erteilen
• Protokoll darüber, wann und wie jede Einwilligung eingeholt wurde

Absatz 1 dieses Artikels 21 ist eindeutig: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas» (Es ist verboten, Werbe- oder Verkaufsförderungsmitteilungen per E-Mail oder einem gleichwertigen elektronischen Kommunikationsmittel zu versenden, die der Empfänger nicht zuvor angefordert oder ausdrücklich genehmigt hat). Absatz 2 öffnet die einzige nützliche Tür für Veranstalter: Besteht bereits eine Vertragsbeziehung, wurden die Daten rechtmäßig erhoben und betrifft die Mitteilung Produkte oder Dienstleistungen, die den gekauften ähnlich sind, darfst du jemanden anschreiben, der schon bei dir gekauft hat. Dafür musst du den Widerspruch über «un procedimiento sencillo y gratuito» (ein einfaches und kostenloses Verfahren) anbieten, und zwar sowohl bei der Erhebung der Daten als auch in jeder Nachricht. In der Praxis: Wer ein Ticket für dein Festival gekauft hat, darf die Ankündigung der nächsten Ausgabe erhalten; wer ein Theaterticket gekauft hat, ist nicht die natürliche Zielgruppe für die Kampagne eines Dritten. Wie du eine solche Abfolge aufsetzt, steht im Leitfaden zum E-Mail-Marketing für Events.

Welche Rechte haben Besucher an ihren Daten?

Die Artikel 15 bis 22 DSGVO räumen den Besuchern mehrere Rechte an ihren Daten ein, die du erfüllen können musst. Artikel 12 Absatz 3 gibt dir einen Monat ab Eingang des Antrags für die Antwort. Die Frist ist um weitere zwei Monate verlängerbar, wenn Komplexität oder Anzahl der Anträge dies rechtfertigen; dann musst du die betroffene Person innerhalb des ersten Monats informieren und die Verzögerung begründen.

• Auskunft: erfahren, welche Daten du über sie hast
• Berichtigung: falsche Daten korrigieren
• Löschung: ihre Daten löschen lassen (mit gesetzlichen Ausnahmen)
• Datenübertragbarkeit: ihre Daten in strukturiertem Format erhalten
• Widerspruch: bestimmten Verarbeitungen widersprechen

Zwei praktische Feinheiten. Die Datenübertragbarkeit nach Artikel 20 erfasst nur Daten, die die betroffene Person selbst bereitgestellt hat, und nur Verarbeitungen auf Basis von Einwilligung oder Vertrag. Sie muss «en un formato estructurado, de uso común y lectura mecánica» (in einem strukturierten, gängigen und maschinenlesbaren Format) erfolgen: Eine CSV-Datei genügt, ein Screenshot nicht. Und die Löschung nach Artikel 17 ist nicht absolut: Absatz 3 Buchstabe b) nimmt sie aus, wenn die Verarbeitung «para el cumplimiento de una obligación legal» (zur Erfüllung einer rechtlichen Verpflichtung) erforderlich ist, und genau das trifft auf die steuerlichen Aufzeichnungen eines Verkaufs zu. Das Marketingprofil zu löschen und die Rechnung aufzubewahren, ist kein Widerspruch: Es ist das, was die Vorschrift verlangt.

Wann brauchst du für dein Event eine Datenschutz-Folgenabschätzung?

Wenn die Verarbeitung ein hohes Risiko birgt. Artikel 35 Absatz 1 DSGVO verpflichtet dazu, die Datenschutz-Folgenabschätzung (spanisch EIPD) vor Beginn der Verarbeitung durchzuführen, und die AEPD veröffentlicht die in Artikel 35 Absatz 4 vorgesehene Liste der Verarbeitungsarten, die eine Folgenabschätzung erfordern. Diese Liste nennt ein praktisches Kriterium: Eine EIPD ist nötig «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» (in den meisten Fällen, in denen die Verarbeitung zwei oder mehr Kriterien erfüllt) von den elf aufgeführten.

Mehrere dieser Kriterien treffen bei einem großen Festival zusammen: Verarbeitungen, die «perfilado o valoración de sujetos» (Profiling oder Bewertung von Personen, Kriterium 1) beinhalten, «el uso de datos biométricos con el propósito de identificar de manera única a una persona física» (die Verwendung biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person, Kriterium 5), «el uso de datos a gran escala» (die Verwendung von Daten in großem Umfang, Kriterium 7), die «asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos» (Zuordnung, Kombination oder Verknüpfung von Datenbankeinträgen aus zwei oder mehr Verarbeitungen mit unterschiedlichen Zwecken oder durch verschiedene Verantwortliche, Kriterium 8) und «la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas» (der Einsatz neuer Technologien oder ein innovativer Einsatz etablierter Technologien, Kriterium 10).

Rechnen wir an einem konkreten Fall nach, der unsere Lesart der Liste ist und kein Beschluss der AEPD: Ein Festival, das den Einlass per Fingerabdruck validiert, die Käuferdatenbank mit der des Cashless-Systems abgleicht und Kampagnen nach Kaufverhalten segmentiert, erfüllt die Kriterien 5, 7, 8 und 10. Das sind vier von elf: Über die Notwendigkeit der EIPD lässt sich dann nicht mehr streiten.

Darfst du Gesichtserkennung oder Fingerabdruck bei der Zutrittskontrolle einsetzen?

Nur mit einer sehr soliden Rechtsgrundlage, und fast nie allein mit der Einwilligung. Die AEPD veröffentlichte am 23. November 2023 den Leitfaden Tratamientos de control de presencia mediante sistemas biométricos (Verarbeitungen zur Anwesenheitskontrolle mit biometrischen Systemen) und vertritt in ihrer Pressemitteilung die Auffassung, sie betrachte «el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos» (die Verarbeitung biometrischer Daten, sowohl zur Identifizierung als auch zur Authentifizierung, als Verarbeitung mit hohem Risiko, die besondere Kategorien von Daten umfasst).

Daraus folgt dreierlei. Es braucht einen Umstand, der das Verbot aus Artikel 9 Absatz 1 DSGVO aufhebt, und zusätzlich eine Bedingung aus Artikel 6, die die Verarbeitung rechtfertigt. Es braucht eine EIPD «de forma previa al inicio del tratamiento» (vor Beginn der Verarbeitung). Und man muss «la superación del triple análisis de idoneidad, necesidad y proporcionalidad» (das Bestehen der dreifachen Prüfung auf Eignung, Erforderlichkeit und Verhältnismäßigkeit) nachweisen: Wenn ein personalisierter QR-Code oder ein NFC-Armband die Zutrittskontrolle lösen, besteht der Fingerabdruck den Erforderlichkeitstest nicht. Deshalb bleiben die meisten Veranstaltungsorte bei der Zutrittskontrolle mit QR und NFC, die viel weniger Daten verarbeitet und nicht unter Artikel 9 fällt.

Was gilt für Dienstleister und Auftragsverarbeiter?

Wenn du eine Ticketing-Plattform, einen E-Mail-Marketing-Dienst oder einen anderen Dienstleister nutzt, der auf Daten deiner Besucher zugreift, verlangt Artikel 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag. Dieser Artikel zählt auf, was der Vertrag mindestens enthalten muss: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen und die Pflichten des Auftragsverarbeiters, darunter nur nach deinen Weisungen zu handeln und die Daten nach Ende der Leistung zu löschen oder zurückzugeben.

• Prüfe, ob deine Dienstleister die DSGVO einhalten
• Schließe Auftragsverarbeitungsverträge ab
• Kläre, wo sie die Daten speichern (internationale Übermittlungen)
• Führe ein Verzeichnis aller Dienstleister mit Datenzugriff

Drei Punkte, die in Standardverträgen leicht durchrutschen. Artikel 28 Absatz 2 untersagt dem Auftragsverarbeiter, ohne deine vorherige schriftliche, gesonderte oder allgemeine Genehmigung Unterauftragnehmer einzuschalten: Wechselt deine Plattform den Anbieter für Transaktions-E-Mails, hast du das Recht, davon zu erfahren und zu widersprechen. Artikel 28 Absatz 3 Buchstabe h) gibt dir das Recht, ihn zu prüfen oder seine Prüfberichte zu erhalten. Und wenn ein Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums ohne Angemessenheitsbeschluss verarbeitet, sind das übliche Instrument die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 der Kommission, die unterzeichnet und um eine Bewertung des Ziellandes ergänzt werden müssen. Der Ausgangspunkt dieses Gesprächs ist einfach: Verlange vor der Unterschrift schriftlich die Liste der Unterauftragnehmer und das Land, in dem die Daten gehostet werden, nicht erst nach dem ersten Vorfall.

Was tun bei einer Datenpanne?

Artikel 33 Absatz 1 DSGVO verpflichtet dazu, die Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden – in Spanien ist das die Agencia Española de Protección de Datos –, «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» (unverzüglich und möglichst binnen 72 Stunden, nachdem sie davon Kenntnis erlangt hat). Zwei Feinheiten werden oft übersehen: Eine Meldung ist nicht nötig, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Personen führt, und wer die 72 Stunden überschreitet, muss die Verzögerung begründen. Ist das Risiko hoch, verlangt Artikel 34 zusätzlich, die Betroffenen zu benachrichtigen. Die AEPD veröffentlicht einen Leitfaden zur Meldung von Datenpannen; das Protokoll bereit zu haben, bevor etwas passiert, macht den Unterschied.

Die AEPD-Zahlen für 2025 helfen bei der Einordnung. Von den 2.765 eingegangenen Meldungen wurden elf wegen hoher Schwere zur weiteren Untersuchung weitergeleitet: 0,4 % (eigene Berechnung). Eine Meldung ist kein Schuldeingeständnis; keine Meldung zu machen, ist dagegen für sich genommen ein Verstoß gegen Artikel 33. Die Pannen mit der größten Wirkung waren laut der Behörde selbst jene durch Ransomware und Eindringen in Informationssysteme, aber zu den häufigsten zählen die banalen: personenbezogene Daten an falsche Empfänger senden und personenbezogene Daten versehentlich anzeigen. Eine E-Mail mit der Gästeliste im offenen Verteiler ist genau das.

Zwei nützliche Werkzeuge. Die AEPD bietet Comunica-Brecha RGPD an, um zu entscheiden, ob die Betroffenen nach Artikel 34 zu benachrichtigen sind. Und Artikel 33 Absatz 5 verpflichtet dazu, alle Pannen intern zu dokumentieren, auch die nicht gemeldeten, samt Auswirkungen und Abhilfemaßnahmen: Diese Dokumentation verlangt eine Prüfung als Erstes.

Welche Fehler machen Veranstalter am häufigsten?

Sechs, und keiner braucht einen Hacker.

• Die Gästeliste im offenen Verteiler. Ein Versand mit hundert sichtbaren Adressen ist eine Verletzung der Vertraulichkeit, und zwar eine von denen, die die AEPD als die häufigsten beschreibt.
• Das vorausgewählte Marketing-Kästchen. Unvereinbar mit Artikel 4 Nummer 11 DSGVO, der eine unmissverständliche Willensbekundung verlangt.
• Die Käuferdatenbank an den Sponsor weitergeben. Das ist ein anderer Zweck und braucht eine eigene Rechtsgrundlage und vorherige Information. Er passt nicht in den Kaufvertrag über das Ticket.
• Die Datenbank ohne Auftragsverarbeitungsvertrag in ein neues Tool exportieren. Artikel 28 gilt für ein Test-CRM genauso wie für die Hauptplattform.
• Den Ausweis «für alle Fälle» abfragen. Der Grundsatz der Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c) verlangt, nur das zu erheben, was angemessen und auf das Notwendige beschränkt ist.
• Kamerabilder länger als einen Monat speichern. Artikel 22 LOPDGDD verpflichtet, sie innerhalb dieser Frist zu löschen, es sei denn, sie belegen rechtswidrige Handlungen.

Warum ist die DSGVO eine Chance und nicht nur eine Pflicht?

Die DSGVO ist nicht nur eine gesetzliche Pflicht, sondern auch eine Chance, Vertrauen bei deinen Besuchern aufzubauen. Ein transparenter und verantwortungsvoller Umgang mit Daten verbessert deinen Ruf und senkt Risiken. Nimm dir die Zeit, die Grundlagen richtig umzusetzen, und passe sie an, wenn sich deine Prozesse ändern.

Und Futura Tickets: Was davon deckt die Plattform ab?

Keine Plattform macht dich zum regelkonformen Verantwortlichen: Der Verantwortliche bist du, die Plattform ist Auftragsverarbeiter. Was sich je nach Anbieter unterscheidet, ist, wer die Daten behält. Futura Tickets ist eine spanische SaaS-Ticketing-Plattform für professionelle Veranstalter. Bei Futura Tickets gehört die Besucherdatenbank zu 100 % dem Veranstalter: E-Mail-Adressen und Telefonnummern werden vollständig übergeben, im Einklang mit der DSGVO. Das zählt an dem Tag, an dem ein Besucher sein Auskunfts- oder Löschungsrecht ausübt: Wenn du weder exportieren noch löschen kannst, kannst du ihn nicht innerhalb des Monats bedienen, den Artikel 12 Absatz 3 vorgibt. Die Konditionen findest du unter Preise.

Was du vor dem Verkaufsstart prüfen solltest

Sechs Prüfungen, alle vor dem ersten verkauften Ticket.

Schreibe das Verarbeitungsverzeichnis vor dem Formular. Artikel 30 DSGVO verlangt es und zwingt zudem dazu, die Rechtsgrundlage jedes Datums festzulegen. Wenn du nicht weißt, welche Grundlage ein Feld trägt, ist dieses Feld überflüssig.

Trenne die Kästchen und bewahre den Nachweis auf. Eines für den Kauf, eines für Marketing, eines für Weitergaben. Und ein Protokoll mit Datum, Uhrzeit und angezeigtem Text: Artikel 7 Absatz 1 macht dich dafür verantwortlich nachzuweisen, dass die Einwilligung vorlag.

Schließe den Auftragsverarbeitungsvertrag mit deiner Plattform ab und verlange ihre Liste der Unterauftragnehmer. Mit schriftlicher Angabe des Hosting-Landes. Bei einem Ziel außerhalb des EWR: die Standardvertragsklauseln des Beschlusses 2021/914.

Entscheide heute, wer ein Auskunftsrecht bearbeitet. Du hast einen Monat ab dem Antrag. Ein Postfach ohne Zuständigen ist der häufigste Weg, diese Frist zu verpassen.

Bereite das Protokoll für Datenpannen vor dem Event vor. Wer erkennt, wer bewertet das Risiko, wer meldet und mit welchen Daten. Die 72 Stunden aus Artikel 33 laufen auch am Festivalwochenende.

Prüfe, welche Zutrittstechnologie du einsetzen wirst. Wenn jemand Fingerabdruck oder Gesicht vorschlägt, lautet die kurze Antwort: Das Verbot aus Artikel 9 muss aufgehoben und vorab eine EIPD durchgeführt werden. Wenn ein personalisierter QR-Code reicht, nimm den QR-Code.

Quellen

Alle Links wurden am 11. Oktober 2026 abgerufen. Dieser Leitfaden dient der Information und ersetzt keine Rechtsberatung für einen konkreten Fall.

• Verordnung (EU) 2016/679 (DSGVO) — Art. 4 Nr. 11 und 7 (Einwilligung), Art. 5 Abs. 1 Buchst. c) (Datenminimierung), Art. 6 Abs. 1 (Rechtsgrundlagen), Art. 9 (besondere Kategorien), Art. 12 Abs. 3 (Antwortfrist), Art. 15–22 (Rechte), Art. 28 (Auftragsverarbeiter), Art. 30 (Verzeichnis von Verarbeitungstätigkeiten), Art. 33 und 34 (Datenpannen), Art. 35 (Datenschutz-Folgenabschätzung), Art. 83.4 und 83.5 (Bußgelder)
• Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte — Art. 7 (Minderjährige unter vierzehn Jahren) und Art. 22 (Videoüberwachung)
• Gesetz 34/2002 über Dienste der Informationsgesellschaft (LSSI-CE), Art. 21
• Spanische Datenschutzbehörde (AEPD)
• AEPD: Leitfaden zur Verwaltung und Meldung von Datenpannen (PDF)
• AEPD: Die Behörde erhielt 2025 2.765 Meldungen von Datenpannen (Pressemitteilung, 23. Januar 2026)
• AEPD: Listen der Verarbeitungsarten, die eine Folgenabschätzung erfordern, Artikel 35 Absatz 4 (PDF)
• AEPD: Leitfaden zu Verarbeitungen zur Anwesenheitskontrolle mit biometrischen Systemen, November 2023 (PDF)
• AEPD: Pressemitteilung zur Verwendung biometrischer Daten für Anwesenheits- und Zutrittskontrolle
• AEPD: Werkzeug Comunica-Brecha RGPD
• Durchführungsbeschluss (EU) 2021/914 der Kommission, Standardvertragsklauseln für die Übermittlung von Daten an Drittländer