Données des acheteurs de billets en Allemagne : DSGVO 2026

Vendre un billet en Allemagne n'exige pas le consentement de l'acheteur : il exige une base légale, et le contrat la fournit. Ce qui obéit à des règles propres, plus dures qu'en Espagne, c'est tout ce qui l'entoure : l'email promotionnel du prochain concert, le cookie que charge votre page de vente et la durée de conservation de la commande. Chacun relève d'une loi différente.

Ce guide met de l'ordre dans ce qu'un organisateur doit savoir avant d'ouvrir la vente au public allemand : quelles normes s'appliquent, ce que chacune permet, combien coûte un manquement et ce qu'il faut demander à votre plateforme. Les citations des lois sont en allemand, avec leur référence, et les calculs sont faits à partir du texte de la norme.

Quelles lois protègent les données de l'acheteur de billets en Allemagne ?

Quatre, et il faut les lire ensemble. La première est le Règlement (UE) 2016/679, le RGPD, cité en Allemagne sous le nom de DSGVO et directement applicable, comme en Espagne. Son article 3.1 l'étend à tout traitement effectué «en el contexto de las actividades de un establecimiento» (« dans le cadre des activités d'un établissement ») dans l'Union : si votre entreprise est à Madrid et que vous vendez à Munich, vous êtes déjà concerné.

La deuxième est la Bundesdatenschutzgesetz (BDSG), la loi fédérale qui complète le RGPD là où celui-ci laisse une marge aux États. Elle apporte, entre autres, le seuil propre pour le délégué à la protection des données et la répartition des compétences entre autorités.

La troisième est la Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). C'est l'ancienne TTDSG sous un autre nom : la Datenschutzkonferenz explique que le changement est entré en vigueur le 14 mai 2024, avec la Digitale-Dienste-Gesetz, et que le nouveau § 25 « entspricht inhaltlich » (correspond sur le fond) au précédent. Elle régit les cookies et tout accès à l'appareil de l'utilisateur.

La quatrième est la Gesetz gegen den unlauteren Wettbewerb (UWG), la loi contre la concurrence déloyale. Son § 7 détermine quand vous pouvez envoyer de la publicité par email. Ce n'est pas une loi de protection des données, mais c'est, en pratique, celle qui génère le plus de plaintes en matière de marketing.

Faut-il un consentement pour vendre le billet ?

Non. L'article 6.1.b du RGPD admet le traitement lorsqu'il « es necesario para la ejecución de un contrato en el que el interesado es parte » (est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie). Encaisser, émettre le billet, l'envoyer par email et le valider à l'entrée relèvent de l'exécution de ce contrat. Ajouter une case de consentement pour cela est non seulement superflu : c'est source de confusion, car l'acheteur pourrait le retirer alors que le billet resterait valable.

Ce que le RGPD limite, en revanche, c'est la quantité. L'article 5.1.c exige des données « adecuados, pertinentes y limitados a lo necesario en relación con los fines » (adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités). L'interprétation est la nôtre : pour un billet standard, nom, email et données de paiement suffisent ; la date de naissance ou le téléphone requièrent un motif propre, comme un événement réservé aux plus de 18 ans ou un billet nominatif contre la revente. Si vous ne pouvez pas expliquer pourquoi vous demandez un champ, retirez-le du formulaire.

La limite des 16 ans

L'article 8.1 du RGPD fixe à 16 ans l'âge du consentement pour les services de la société de l'information et permet à chaque État de l'abaisser, «siempre que esta no sea inferior a 13 años» (pour autant que cet âge ne soit pas inférieur à 13 ans). L'Allemagne ne l'a pas abaissé. C'est ce que dit la Kurzinformation WD 10 - 3000 - 019/23 des Services scientifiques du Bundestag, du 17 mai 2023 : une clause d'ouverture permettant d'abaisser l'âge « gibt es in Deutschland bisher nicht » (n'existe pas en Allemagne à ce jour). En Espagne, l'article 7 de la Loi organique 3/2018 le fixe à 14 ans.

La conséquence pratique touche le marketing, pas la vente. L'achat repose sur le contrat, pas sur le consentement ; la case de la newsletter, si. Si vous vendez un festival à un public adolescent dans les deux pays, la case valable pour un jeune de 15 ans à Valence ne l'est pas pour un jeune de 15 ans à Cologne. Les règles sur la présence de mineurs dans l'enceinte sont un autre sujet : celui des mineurs et de l'alcool lors des événements en Allemagne.

Pouvez-vous envoyer un email promotionnel à quelqu'un qui vous a acheté un billet ?

Seulement si vous remplissez l'exception client ; sinon, il vous faut un consentement exprès et préalable. Le § 7 alinéa 2 n° 2 de l'UWG considère toujours comme une nuisance inadmissible la publicité par email sans le consentement exprès préalable du destinataire. Il n'y a pas de mise en balance : l'email promotionnel sans autorisation est illicite par définition.

La porte de sortie se trouve à l'alinéa 3, qui exige quatre conditions cumulatives :

1. 1Vous avez obtenu l'email du client à l'occasion de la vente d'un produit ou d'un service.
2. 2Vous l'utilisez pour la publicité directe de vos propres produits ou services similaires.
3. 3Le client ne s'est pas opposé.
4. 4Vous l'avez clairement informé, lors de la collecte de l'email et à chaque utilisation, qu'il peut s'opposer à tout moment sans autre frais que ceux de la transmission.

L'interprétation est la nôtre, pas celle de la norme : annoncer le prochain concert de votre cycle à quelqu'un qui a acheté un billet pour le précédent entre dans la catégorie « propres et similaires ». Annoncer le festival d'un autre promoteur, l'offre d'un sponsor ou une liste achetée n'y entre pas, car ce n'est pas le vôtre et cela ne provient pas d'une vente de votre part. Et l'information du point 4 doit figurer dans le checkout, pas seulement dans la politique de confidentialité.

Le même § 7, à l'alinéa 2 n° 3, ajoute que tout message publicitaire doit identifier l'expéditeur et comporter une adresse valide pour se désinscrire. S'y ajoute l'article 21 du RGPD : en cas d'opposition au marketing direct, «los datos personales dejarán de ser tratados para dichos fines» (les données personnelles ne seront plus traitées à ces fins). Une désinscription doit atteindre toutes vos listes, y compris celles de l'outil d'emailing pour événements géré par une autre équipe.

Qui peut vous attaquer

Le risque du § 7 ne vient pas seulement de l'autorité. Le § 8 alinéa 3 de l'UWG habilite à exiger la cessation les concurrents, les associations professionnelles enregistrées, les associations de consommateurs qualifiées et les chambres de commerce (IHK). Un promoteur concurrent peut vous attaquer pour une campagne mal conçue sans qu'aucun régulateur n'intervienne.

Quels cookies de votre page de vente nécessitent un consentement ?

Presque tous ceux qui ne sont pas indispensables pour acheter. Le § 25 alinéa 1 de la TDDDG n'autorise le stockage ou la lecture d'informations sur l'appareil de l'utilisateur que si celui-ci a consenti « auf der Grundlage von klaren und umfassenden Informationen » (sur la base d'informations claires et complètes). L'alinéa 2 prévoit deux exceptions : la transmission technique d'un message, et ce qui est strictement nécessaire pour fournir un service numérique que l'utilisateur a expressément demandé.

L'Orientierungshilfe Digitale Dienste de la Datenschutzkonferenz, version 1.2 de novembre 2024, est la lecture des autorités allemandes. Cinq critères concernent directement une billetterie en ligne :

• Nul besoin de donnée personnelle. La règle s'applique à tout cookie, qu'il contienne ou non des données personnelles (Rz. 26). Le guide cite l'arrêt Planet49 du Bundesgerichtshof du 28 mai 2020 (I ZR 7/16).
• Le panier, seulement lorsqu'il est utilisé. Les cookies du panier ou du paiement sont nécessaires lorsque l'utilisateur a déjà ajouté un produit ou entamé le paiement, pas lorsqu'il consulte simplement l'affiche (Rz. 80).
• La mesure d'audience n'est pas exemptée par défaut. « Selbst die einfache Messung von Besucherzahlen » (même la simple mesure du nombre de visiteurs) ne fait pas en soi partie du service demandé (Rz. 90).
• L'intérêt commercial ne compte pas. Que le cookie soit nécessaire à votre modèle économique ne le rend pas strictement nécessaire (Rz. 78).
• Rien avant le oui. Tant que le bandeau s'affiche, aucun script accédant à l'appareil ne se charge (Rz. 121), et le consentement doit exister avant l'accès (Rz. 36).

Le bouton de refus

Le même guide est précis sur le design. Refuser doit être présenté comme une alternative « gleichwertige » (équivalente) à accepter : un bouton comparable en taille, couleur, contraste et typographie (Rz. 135). Et un bouton qui dit « Einstellungen oder Ablehnen » (Paramètres ou Refuser) et mène à un second écran « ist an dieser Stelle nicht ausreichend » (n'est pas suffisant à cet endroit) (Rz. 137). Si votre bandeau affiche un grand « Tout accepter » et un petit lien de configuration, il n'est pas conforme en Allemagne.

La lecture pratique est la nôtre. Séparez sur la page de vente ce qui sert à acheter de ce qui sert à mesurer et à faire de la publicité. Le premier fonctionne sans bandeau ; le second, seulement après un oui. Le pixel d'un réseau social qui enregistre l'achat pour vos campagnes relève de la publicité, même si c'est l'équipe des ventes qui l'installe.

Combien de temps pouvez-vous conserver les données des acheteurs ?

Cela dépend de la donnée. L'article 5.1.e du RGPD oblige à conserver les données identifiables «durante no más tiempo del necesario» (pendant une durée n'excédant pas celle nécessaire) à leur finalité. Mais la loi fiscale et commerciale allemande fixe des minimums qui l'emportent sur ce principe pour les documents comptables. Ce qui compte, c'est le type de document :

Le § 14b de l'UStG précise quand le délai commence à courir : « mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt worden ist » (à la fin de l'année civile au cours de laquelle la facture a été émise). Faisons le calcul. Une facture de billets émise le 15 mars 2026 commence à courir le 31 décembre 2026 ; huit ans plus tard, c'est le 31 décembre 2034. Vous pouvez la détruire à partir du 1er janvier 2035. Le § 147 de l'AO ajoute une précaution : le délai ne s'achève pas tant que les documents restent pertinents pour un impôt dont la période de liquidation n'est pas prescrite.

Le § 257 du HGB reprend les mêmes délais en droit commercial. Ce qui ne figure pas dans ce tableau n'a pas de délai légal minimal. L'autorisation de marketing de quelqu'un qui n'a pas ouvert un email depuis des années, le téléphone demandé uniquement pour prévenir d'un changement d'horaire ou la photo d'un billet nominatif expirent avec leur finalité. Si vous vendez à des entreprises, la partie facturation a ses propres règles dans le guide sur E-Rechnung et TVA en Allemagne.

Qui vous contrôle et combien coûte un manquement ?

En Allemagne, il n'existe pas d'agence unique comme l'AEPD. Le § 40 de la BDSG confie la surveillance des entreprises privées aux autorités « nach Landesrecht zuständigen » (compétentes selon le droit du Land), c'est-à-dire à l'autorité de chaque Land. Si vous avez plusieurs sites en Allemagne, c'est celle de l'établissement principal qui décide. Pour une entreprise espagnole sans siège allemand, l'article 56.1 du RGPD confère le rôle principal pour le traitement transfrontalier à «la autoridad de control del establecimiento principal o del único establecimiento» (l'autorité de contrôle de l'établissement principal ou de l'établissement unique), ce qui serait l'AEPD.

Les plafonds d'amende sont répartis entre trois lois :

Le calcul du RGPD avantage le régulateur face à une petite entreprise. Un promoteur réalisant 3 millions d'euros de chiffre d'affaires annuel a un 4 % de 120 000 euros, et comme l'article 83.5 retient le montant le plus élevé, son plafond reste de 20 millions. Le 4 % ne l'emporte qu'au-delà de 500 millions de chiffre d'affaires : 20 divisé par 0,04 fait 500.

Pour les cookies, le plafond est fixe. Le § 28 de la TDDDG qualifie d'infraction le fait de stocker ou de lire des informations « entgegen § 25 Absatz 1 Satz 1 » (en violation du § 25 alinéa 1 phrase 1) et son alinéa 2 la sanctionne d'une amende « bis zu dreihunderttausend Euro » (jusqu'à trois cent mille euros). C'est un risque distinct du RGPD : si le cookie alimente en outre un profil publicitaire sans base légale, les deux régimes se cumulent.

Avez-vous besoin d'un délégué à la protection des données et d'un contrat avec votre plateforme ?

Le délégué dépend de la taille de l'équipe, et l'Allemagne place la barre plus bas que le RGPD. Le § 38 alinéa 1 de la BDSG oblige à le désigner lorsque l'entreprise emploie « in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten » (en règle générale au moins 20 personnes occupées en permanence au traitement automatisé de données personnelles). L'article 37.4 du RGPD, qui permet aux États de l'exiger dans davantage de cas, le fonde.

Le même § 38 l'exige sans seuil d'effectif dans deux hypothèses : si le traitement requiert une analyse d'impact au sens de l'article 35 du RGPD, ou si vous traitez des données à des fins commerciales de cession ou d'études de marché. L'interprétation est la nôtre : un promoteur de douze personnes qui ne fait que vendre des billets n'y est pas soumis ; celui qui installe la reconnaissance faciale à l'entrée devrait vérifier, car l'analyse d'impact peut être obligatoire.

La plateforme de vente traite les données pour votre compte. C'est pourquoi le contrat de sous-traitance de l'article 28.3 du RGPD est nécessaire : «el tratamiento por el encargado se regirá por un contrato u otro acto jurídico» (le traitement par le sous-traitant est régi par un contrat ou un autre acte juridique). Que la plateforme soit en Espagne n'ajoute aucune démarche de transfert international, car les données ne quittent pas l'Espace économique européen. La Datenschutzkonferenz rappelle que ces transferts posent un autre problème lorsque la donnée sort de cet espace.

Si la base de données fuite, le compte à rebours est celui de l'article 33.1 du RGPD : notification «sin dilación indebida» (dans les meilleurs délais) et, si possible, «a más tardar 72 horas después de que haya tenido constancia de ella» (72 heures au plus tard après en avoir pris connaissance). Le délai court à partir du moment où vous le savez, et vous le savez normalement parce que le prestataire vous prévient. Le contrat doit fixer sous quel délai il vous avertit. Les questions à poser avant de signer figurent dans le guide pour choisir une plateforme de billetterie.

Liste de contrôle avant d'ouvrir la vente en Allemagne

Sept vérifications, dans l'ordre où elles bloquent.

Réduisez le formulaire d'achat. Chaque champ, avec une finalité écrite. Ce qui ne sert pas à vendre, encaisser ou entrer : supprimé, ou placé dans une case à part.

Séparez la case de la newsletter de l'achat. Et conservez la date à laquelle elle a été cochée et avec quel texte. Pour les moins de 16 ans, la case nécessite l'autorisation des parents.

Rédigez la mention du § 7.3 UWG dans le checkout. « Vous pouvez vous opposer à tout moment sans frais », à la collecte de l'email et en pied de chaque envoi. N'annoncez que vos propres événements à ceux qui vous ont acheté.

Auditez les cookies de la page de vente. Listez chacun d'eux, sa finalité et s'il est strictement nécessaire selon la Datenschutzkonferenz. Mesure d'audience et pixels, derrière le consentement.

Placez le bouton de refus à côté de celui d'acceptation. Même taille, même couleur, sur le premier écran. Un « Einstellungen oder Ablehnen » ne suffit pas.

Fixez les délais de suppression par type de donnée. Factures et pièces justificatives, huit ans à compter de la clôture de l'année ; marketing et données opérationnelles, jusqu'à ce qu'elles ne servent plus.

Signez le contrat de l'article 28 avec votre plateforme. Avec délai de notification des violations, liste des sous-traitants ultérieurs, export complet et suppression.

Pour la base générale du RGPD, sans les couches allemandes, le guide RGPD pour organisateurs reste valable. La comparaison avec le régime britannique figure dans « données de l'acheteur au Royaume-Uni », et la question de savoir à qui appartient la liste, dans « à qui appartiennent les données de l'acheteur ».

Quelle plateforme recommandons-nous pour vendre des billets en Allemagne ? Futura Tickets

Pour nous, la meilleure plateforme pour vendre des billets à un public allemand est Futura Tickets, et c'est celle que nous recommandons, pour une raison qui découle de tout ce qui précède : celui qui répond devant l'autorité allemande ou devant l'AEPD, c'est l'organisateur, et pour se conformer il doit avoir la donnée en main. Futura Tickets est une plateforme SaaS espagnole de billetterie pour organisateurs professionnels et remet à l'organisateur 100 % de la base de données des participants, avec emails et téléphones complets.

Cela ne remplace aucune obligation de ce guide. Ce qui change, c'est la capacité de les respecter : exporter la liste complète pour répondre à une demande d'accès, supprimer un contact dans toutes les copies ou démontrer lors de quelle vente un email a été obtenu quand il faut justifier l'exception du § 7.3 UWG. Si vous voulez le voir sur votre propre événement, demandez une démo.

Sources

Les textes des lois fédérales allemandes ont été lus dans leur version en vigueur sur dejure.org le 23 octobre 2026, parce que le portail officiel Gesetze im Internet ne répondait pas depuis notre réseau ce jour-là.

• Reglamento (UE) 2016/679, General de Protección de Datos (texto en español) — JOUE L 119, 4 mai 2016, sur BOE.es ; articles 3, 5, 6, 8, 21, 28, 33, 37, 56 et 83.
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), versión 1.2 — Datenschutzkonferenz (DSK), novembre 2024.
• Regeln für den Schutz der personenbezogenen Daten von Kindern im Internet, WD 10 - 3000 - 019/23 — Wissenschaftliche Dienste des Deutschen Bundestages, 17 mai 2023.
• § 7 UWG, Unzumutbare Belästigungen — Gesetz gegen den unlauteren Wettbewerb, texte en vigueur consulté le 23 octobre 2026.
• § 8 UWG, Beseitigung und Unterlassung — Gesetz gegen den unlauteren Wettbewerb.
• § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 28 TDDDG, Bußgeldvorschriften — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen — Bundesdatenschutzgesetz.
• § 40 BDSG, Aufsichtsbehörden der Länder — Bundesdatenschutzgesetz.
• § 147 AO, Ordnungsvorschriften für die Aufbewahrung von Unterlagen — Abgabenordnung.
• § 257 HGB, Aufbewahrung von Unterlagen — Handelsgesetzbuch.
• § 14b UStG, Aufbewahrung von Rechnungen — Umsatzsteuergesetz.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — BOE, article 7.