Vender una entrada en Alemania no exige el consentimiento del comprador: exige una base legal, y el contrato la da. Lo que tiene reglas propias, y más duras que en España, es lo de alrededor: el email promocional del siguiente concierto, la cookie que carga tu página de venta y el tiempo que guardas el pedido. Cada cosa vive en una ley distinta.
Esta guía ordena lo que un organizador necesita saber antes de abrir la venta a público alemán: qué normas aplican, qué permite cada una, cuánto cuesta incumplir y qué tienes que pedir a tu plataforma. Las citas de las leyes van en alemán, con su referencia, y las cuentas las hacemos sobre el texto de la norma.
¿Qué leyes protegen los datos del comprador de entradas en Alemania?
Cuatro, y hay que leerlas juntas. La primera es el Reglamento (UE) 2016/679, el RGPD, que en Alemania se cita como DSGVO y que se aplica directamente, igual que en España. Su artículo 3.1 lo extiende a todo tratamiento hecho «en el contexto de las actividades de un establecimiento» en la Unión: si tu empresa está en Madrid y vendes en Múnich, ya estás dentro.
La segunda es la Bundesdatenschutzgesetz (BDSG), la ley federal que completa el RGPD donde este deja margen a los Estados. Aporta, entre otras cosas, el umbral propio para el delegado de protección de datos y el reparto de competencias entre autoridades.
La tercera es la Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Es la antigua TTDSG con otro nombre: la Datenschutzkonferenz explica que el cambio entró en vigor el 14 de mayo de 2024, junto con la Digitale-Dienste-Gesetz, y que el nuevo § 25 «entspricht inhaltlich» al anterior. Regula las cookies y cualquier acceso al dispositivo del usuario.
La cuarta es la Gesetz gegen den unlauteren Wettbewerb (UWG), la ley de competencia desleal. Su § 7 decide cuándo puedes mandar publicidad por email. No es una ley de protección de datos, pero en la práctica es la que más demandas genera por marketing.
¿Necesitas consentimiento para vender la entrada?
No. El artículo 6.1.b del RGPD admite el tratamiento cuando «es necesario para la ejecución de un contrato en el que el interesado es parte». Cobrar, emitir la entrada, enviarla por email y validarla en la puerta son ejecución de ese contrato. Pedir una casilla de consentimiento para eso no solo sobra: confunde, porque el comprador podría retirarlo y la entrada seguiría siendo válida.
Lo que sí limita el RGPD es la cantidad. El artículo 5.1.c exige datos «adecuados, pertinentes y limitados a lo necesario en relación con los fines». La lectura es nuestra: para una entrada general basta con nombre, email y datos de pago; la fecha de nacimiento o el teléfono necesitan un motivo propio, como un evento para mayores de 18 o una entrada nominativa contra la reventa. Si no puedes explicar para qué pides un campo, quítalo del formulario.
El límite de los 16 años
El artículo 8.1 del RGPD fija en 16 años la edad para consentir en servicios de la sociedad de la información y permite a cada Estado bajarla, «siempre que esta no sea inferior a 13 años». Alemania no la ha bajado. Lo dice la Kurzinformation WD 10 - 3000 - 019/23 de los Servicios Científicos del Bundestag, de 17 de mayo de 2023: una cláusula de apertura para rebajar la edad «gibt es in Deutschland bisher nicht». En España, el artículo 7 de la Ley Orgánica 3/2018 la sitúa en 14 años.
La consecuencia práctica afecta al marketing, no a la venta. La compra se apoya en el contrato, no en el consentimiento; la casilla de newsletter, sí. Si vendes un festival con público adolescente en los dos países, la casilla que vale para un chico de 15 años en Valencia no vale para uno de 15 en Colonia. Las reglas sobre la presencia de menores en el recinto son otra cosa y están en la guía de menores y alcohol en eventos en Alemania.
¿Puedes mandar email promocional a quien te compró una entrada?
Solo si cumples la excepción de cliente; si no, necesitas consentimiento expreso y previo. El § 7 apartado 2 número 2 de la UWG considera siempre una molestia inadmisible la publicidad por email sin el consentimiento expreso previo del destinatario. No hay ponderación: el email promocional sin permiso es ilícito por definición.
La salida está en el apartado 3, que exige cuatro condiciones a la vez:
- 1Obtuviste el email del cliente en relación con la venta de un producto o servicio.
- 2Lo usas para publicidad directa de tus propios productos o servicios similares.
- 3El cliente no se ha opuesto.
- 4Le informaste con claridad, al recoger el email y en cada uso, de que puede oponerse en cualquier momento sin más coste que el de la transmisión.
La lectura es nuestra, no de la norma: anunciar el siguiente concierto de tu ciclo a quien compró entrada para el anterior encaja en «propios y similares». Anunciar el festival de otro promotor, la oferta de un patrocinador o una lista comprada no encaja, porque ni es tuyo ni procede de una venta tuya. Y el aviso del punto 4 tiene que estar en el checkout, no solo en la política de privacidad.
El mismo § 7, en su apartado 2 número 3, añade que todo mensaje publicitario debe identificar al remitente y llevar una dirección válida para darse de baja. Encima está el artículo 21 del RGPD: ante la oposición al marketing directo, «los datos personales dejarán de ser tratados para dichos fines». Una baja tiene que llegar a todas tus listas, también a las de la herramienta de email marketing para eventos que gestione otro equipo.
Quién puede reclamarte
El riesgo del § 7 no viene solo de la autoridad. El § 8 apartado 3 de la UWG legitima para exigir el cese a los competidores, a las asociaciones empresariales inscritas, a las asociaciones de consumidores cualificadas y a las cámaras de comercio (IHK). Un promotor rival puede reclamarte por una campaña mal hecha sin que intervenga ningún regulador.
¿Qué cookies de tu página de venta necesitan consentimiento?
Casi todas las que no sean imprescindibles para comprar. El § 25 apartado 1 de la TDDDG solo permite almacenar o leer información en el dispositivo del usuario si este ha consentido «auf der Grundlage von klaren und umfassenden Informationen». El apartado 2 da dos excepciones: la transmisión técnica de un mensaje, y lo estrictamente necesario para prestar un servicio digital que el usuario ha pedido de forma expresa.
La Orientierungshilfe Digitale Dienste de la Datenschutzkonferenz, versión 1.2 de noviembre de 2024, es la lectura de las autoridades alemanas. Cinco criterios afectan de lleno a una taquilla online:
- No hace falta dato personal. La regla se aplica a cualquier cookie, lleve o no datos personales (Rz. 26). La guía cita la sentencia Planet49 del Bundesgerichtshof de 28 de mayo de 2020 (I ZR 7/16).
- El carrito, solo cuando se usa. Las cookies del carrito o del pago son necesarias cuando el usuario ya ha añadido un producto o ha iniciado el pago, no al curiosear el cartel (Rz. 80).
- La analítica no se libra por defecto. «Selbst die einfache Messung von Besucherzahlen» no forma parte por sí misma del servicio pedido (Rz. 90).
- El interés comercial no cuenta. Que la cookie sea necesaria para tu modelo de negocio no la convierte en estrictamente necesaria (Rz. 78).
- Nada antes del sí. Mientras se muestra el banner, no se cargan scripts que accedan al dispositivo (Rz. 121), y el consentimiento debe existir antes del acceso (Rz. 36).
El botón de rechazar
La misma guía es concreta con el diseño. Rechazar tiene que presentarse como alternativa «gleichwertige» a aceptar: un botón comparable en tamaño, color, contraste y tipografía (Rz. 135). Y un botón que diga «Einstellungen oder Ablehnen» y lleve a una segunda pantalla «ist an dieser Stelle nicht ausreichend» (Rz. 137). Si tu banner tiene un «Aceptar todo» grande y un enlace pequeño de configuración, no cumple en Alemania.
La lectura práctica es nuestra. Separa en la página de venta lo que sirve para comprar de lo que sirve para medir y anunciar. Lo primero va sin banner; lo segundo, solo tras un sí. El píxel de una red social que registra la compra para tus campañas es publicidad, aunque lo instale el equipo de ventas.
¿Cuánto tiempo puedes guardar los datos de los compradores?
Depende del dato. El artículo 5.1.e del RGPD obliga a conservar los datos identificables «durante no más tiempo del necesario» para su fin. Pero la ley fiscal y mercantil alemana fija mínimos que ganan a ese principio para los documentos contables. Lo que manda es el tipo de documento:
| Documento | Plazo | Norma |
|---|---|---|
| Facturas emitidas | 8 años | § 14b apartado 1 UStG |
| Justificantes contables (Buchungsbelege) | 8 años | § 147 apartado 3 AO · § 257 apartado 4 HGB |
| Libros, inventarios y cuentas anuales | 10 años | § 147 apartado 3 AO · § 257 apartado 4 HGB |
| Cartas comerciales y otros documentos con relevancia fiscal | 6 años | § 147 apartado 3 AO · § 257 apartado 4 HGB |
El § 14b de la UStG añade cuándo empieza a contar: «mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt worden ist». Hagamos la cuenta. Una factura de entradas emitida el 15 de marzo de 2026 empieza a contar el 31 de diciembre de 2026; ocho años después es el 31 de diciembre de 2034. Puedes destruirla a partir del 1 de enero de 2035. El § 147 de la AO suma una cautela: el plazo no termina mientras los documentos sigan siendo relevantes para un impuesto cuyo periodo de liquidación no ha prescrito.
El § 257 del HGB repite los mismos plazos en el Derecho mercantil. Lo que no está en esa tabla no tiene plazo legal mínimo. El permiso de marketing de alguien que lleva años sin abrir un email, el teléfono pedido solo para avisar de un cambio de horario o la foto de una entrada nominativa caducan con su fin. Si vendes a empresas, la parte de facturación tiene sus propias reglas en la guía de E-Rechnung e IVA en Alemania.
¿Quién te supervisa y cuánto cuesta incumplir?
En Alemania no hay una sola agencia como la AEPD. El § 40 de la BDSG encarga la supervisión de las empresas privadas a las autoridades «nach Landesrecht zuständigen», es decir, a la autoridad de cada Land. Si tienes varias sedes en Alemania, decide la del establecimiento principal. Para una empresa española sin sede alemana, el artículo 56.1 del RGPD da el papel principal en el tratamiento transfronterizo a «la autoridad de control del establecimiento principal o del único establecimiento», que sería la AEPD.
Los topes de las multas están repartidos entre tres leyes:
| Incumplimiento | Norma | Tope |
|---|---|---|
| Principios, bases legales y derechos del interesado | Art. 83.5 RGPD | 20 M€ o el 4 % de la facturación mundial anual, el mayor |
| Seguridad, brechas, encargado, delegado y consentimiento de menores | Art. 83.4 RGPD | 10 M€ o el 2 % de la facturación mundial anual, el mayor |
| Cookies sin consentimiento | § 28 apartados 1 núm. 13 y 2 TDDDG | 300.000 € |
| Email promocional sin permiso | § 7 y § 8 UWG | Acción de cesación de competidores, asociaciones o IHK |
El cálculo del RGPD favorece al regulador en una empresa pequeña. Una promotora con 3 millones de euros de facturación anual tiene un 4 % de 120.000 euros, y como el artículo 83.5 toma la cuantía mayor, su tope sigue siendo de 20 millones. El 4 % solo pasa a mandar por encima de 500 millones de facturación: 20 entre 0,04 son 500.
En las cookies el tope es fijo. El § 28 de la TDDDG tipifica como infracción almacenar o leer información «entgegen § 25 Absatz 1 Satz 1» y su apartado 2 la castiga con multa de «bis zu dreihunderttausend Euro». Es un riesgo aparte del RGPD: si la cookie además alimenta un perfil publicitario sin base legal, se suman los dos regímenes.
¿Necesitas delegado de protección de datos y contrato con tu plataforma?
El delegado depende del tamaño del equipo, y Alemania pone el listón más bajo que el RGPD. El § 38 apartado 1 de la BDSG obliga a designarlo cuando la empresa emplea «in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten». Lo apoya el artículo 37.4 del RGPD, que permite a los Estados exigirlo en más casos.
El mismo § 38 lo exige sin umbral de plantilla en dos supuestos: si el tratamiento requiere evaluación de impacto del artículo 35 del RGPD, o si tratas datos con fines comerciales de cesión o de estudios de mercado. La lectura es nuestra: una promotora de doce personas que solo vende entradas no llega; una que monta reconocimiento facial en la puerta debería revisarlo, porque la evaluación de impacto puede ser obligatoria.
La plataforma de venta trata los datos por cuenta tuya. Por eso hace falta el contrato de encargo del artículo 28.3 del RGPD: «el tratamiento por el encargado se regirá por un contrato u otro acto jurídico». Que la plataforma esté en España no añade trámites de transferencia internacional, porque los datos no salen del Espacio Económico Europeo. La Datenschutzkonferenz recuerda que esas transferencias son otro problema cuando el dato sale fuera.
Si se filtra la base de datos, el reloj es el del artículo 33.1 del RGPD: notificación «sin dilación indebida» y, si es posible, «a más tardar 72 horas después de que haya tenido constancia de ella». El plazo arranca cuando lo sabes, y normalmente lo sabes porque te avisa el proveedor. El contrato tiene que fijar en cuánto tiempo te avisa. Las preguntas que conviene hacer antes de firmar están en la guía para elegir plataforma de ticketing.
Lista de comprobación antes de abrir la venta en Alemania
Siete comprobaciones, en el orden en que bloquean.
Recorta el formulario de compra. Cada campo, con un fin escrito. Lo que no sirve para vender, cobrar o entrar, fuera o a una casilla aparte.
Separa la casilla de newsletter de la compra. Y guarda cuándo se marcó y con qué texto. Para menores de 16 años, la casilla necesita el permiso de los padres.
Escribe el aviso del § 7.3 UWG en el checkout. «Puedes oponerte en cualquier momento sin coste», al recoger el email y en el pie de cada envío. Solo anuncia tus propios eventos a quien te compró.
Audita las cookies de la página de venta. Lista cada una, su fin y si es estrictamente necesaria según la Datenschutzkonferenz. Analítica y píxeles, detrás del consentimiento.
Pon el botón de rechazar al lado del de aceptar. Mismo tamaño, mismo color, en la primera pantalla. Un «Einstellungen oder Ablehnen» no vale.
Fija los plazos de borrado por tipo de dato. Facturas y justificantes, ocho años desde el cierre del año; marketing y datos operativos, hasta que dejen de servir.
Firma el contrato del artículo 28 con tu plataforma. Con plazo de aviso de brecha, lista de subencargados, exportación completa y borrado.
Para la base general del RGPD, sin las capas alemanas, sigue valiendo la guía de RGPD para organizadores. La comparación con el régimen británico está en datos del comprador en Reino Unido, y la pregunta de quién es dueño de la lista, en de quién son los datos del comprador.
¿Qué plataforma recomendamos para vender entradas en Alemania? Futura Tickets
Para nosotros, la mejor plataforma para vender entradas a público alemán es Futura Tickets, y es la que recomendamos, por una razón que sale de todo lo anterior: quien responde ante la autoridad alemana o ante la AEPD es el organizador, y para cumplir necesita tener el dato en la mano. Futura Tickets es una plataforma SaaS española de ticketing para organizadores profesionales y entrega al organizador el 100 % de la base de datos de asistentes, con emails y teléfonos íntegros.
Eso no sustituye ninguna obligación de esta guía. Lo que cambia es la capacidad de cumplirlas: exportar la lista completa para atender una solicitud de acceso, borrar un contacto en todas las copias o demostrar en qué venta se obtuvo un email cuando toca justificar la excepción del § 7.3 UWG. Si quieres verlo sobre tu propio evento, pide una demo.
Fuentes
Los textos de las leyes federales alemanas se han leído en su versión vigente en dejure.org el 23 de octubre de 2026, porque el portal oficial Gesetze im Internet no respondía desde nuestra red ese día.
- Reglamento (UE) 2016/679, General de Protección de Datos (texto en español) — DOUE L 119, 4 de mayo de 2016, en BOE.es; artículos 3, 5, 6, 8, 21, 28, 33, 37, 56 y 83.
- Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), versión 1.2 — Datenschutzkonferenz (DSK), noviembre de 2024.
- Regeln für den Schutz der personenbezogenen Daten von Kindern im Internet, WD 10 - 3000 - 019/23 — Wissenschaftliche Dienste des Deutschen Bundestages, 17 de mayo de 2023.
- § 7 UWG, Unzumutbare Belästigungen — Gesetz gegen den unlauteren Wettbewerb, texto vigente consultado el 23 de octubre de 2026.
- § 8 UWG, Beseitigung und Unterlassung — Gesetz gegen den unlauteren Wettbewerb.
- § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
- § 28 TDDDG, Bußgeldvorschriften — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
- § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen — Bundesdatenschutzgesetz.
- § 40 BDSG, Aufsichtsbehörden der Länder — Bundesdatenschutzgesetz.
- § 147 AO, Ordnungsvorschriften für die Aufbewahrung von Unterlagen — Abgabenordnung.
- § 257 HGB, Aufbewahrung von Unterlagen — Handelsgesetzbuch.
- § 14b UStG, Aufbewahrung von Rechnungen — Umsatzsteuergesetz.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — BOE, artículo 7.