Dati dell'acquirente di biglietti in Germania: DSGVO 2026

Vendere un biglietto in Germania non richiede il consenso dell'acquirente: richiede una base giuridica, e il contratto la fornisce. Ciò che ha regole proprie, e più dure che in Spagna, è quello che sta intorno: l'email promozionale del prossimo concerto, il cookie che carica la tua pagina di vendita e il tempo per cui conservi l'ordine. Ogni aspetto vive in una legge diversa.

Questa guida mette in ordine ciò che un organizzatore deve sapere prima di aprire la vendita al pubblico tedesco: quali norme si applicano, che cosa permette ciascuna, quanto costa non rispettarle e che cosa devi chiedere alla tua piattaforma. Le citazioni delle leggi sono in tedesco, con il relativo riferimento, e i calcoli li facciamo sul testo della norma.

Quali leggi proteggono i dati dell'acquirente di biglietti in Germania?

Quattro, e vanno lette insieme. La prima è il Regolamento (UE) 2016/679, il GDPR, che in Germania si cita come DSGVO e che si applica direttamente, come in Spagna. Il suo articolo 3.1 lo estende a qualsiasi trattamento effettuato «en el contexto de las actividades de un establecimiento» (nel contesto delle attività di uno stabilimento) nell'Unione: se la tua azienda ha sede a Madrid e vendi a Monaco, ci sei già dentro.

La seconda è la Bundesdatenschutzgesetz (BDSG), la legge federale che integra il GDPR dove questo lascia margine agli Stati. Prevede, tra l'altro, la soglia propria per il responsabile della protezione dei dati e la ripartizione delle competenze tra le autorità.

La terza è la Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). È la vecchia TTDSG con un altro nome: la Datenschutzkonferenz spiega che il cambio è entrato in vigore il 14 maggio 2024, insieme alla Digitale-Dienste-Gesetz, e che il nuovo § 25 «entspricht inhaltlich» (corrisponde nel contenuto) al precedente. Disciplina i cookie e qualsiasi accesso al dispositivo dell'utente.

La quarta è la Gesetz gegen den unlauteren Wettbewerb (UWG), la legge sulla concorrenza sleale. Il suo § 7 stabilisce quando puoi inviare pubblicità via email. Non è una legge sulla protezione dei dati, ma in pratica è quella che genera più cause per marketing.

Serve il consenso per vendere il biglietto?

No. L'articolo 6.1.b del GDPR ammette il trattamento quando «es necesario para la ejecución de un contrato en el que el interesado es parte» (è necessario all'esecuzione di un contratto di cui l'interessato è parte). Incassare, emettere il biglietto, inviarlo per email e convalidarlo all'ingresso sono esecuzione di quel contratto. Chiedere una casella di consenso per questo non solo è superfluo: genera confusione, perché l'acquirente potrebbe revocarlo e il biglietto resterebbe comunque valido.

Ciò che il GDPR limita davvero è la quantità. L'articolo 5.1.c esige dati «adecuados, pertinentes y limitados a lo necesario en relación con los fines» (adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità). La lettura è nostra: per un biglietto generico bastano nome, email e dati di pagamento; la data di nascita o il telefono richiedono un motivo specifico, come un evento vietato ai minori di 18 anni o un biglietto nominativo contro il bagarinaggio. Se non sai spiegare perché chiedi un campo, toglilo dal modulo.

Il limite dei 16 anni

L'articolo 8.1 del GDPR fissa a 16 anni l'età per prestare il consenso nei servizi della società dell'informazione e consente a ogni Stato di abbassarla, «siempre que esta no sea inferior a 13 años» (purché non sia inferiore a 13 anni). La Germania non l'ha abbassata. Lo afferma la Kurzinformation WD 10 - 3000 - 019/23 dei Servizi scientifici del Bundestag, del 17 maggio 2023: una clausola di apertura per ridurre l'età «gibt es in Deutschland bisher nicht». In Spagna, l'articolo 7 della Ley Orgánica 3/2018 la colloca a 14 anni.

La conseguenza pratica riguarda il marketing, non la vendita. L'acquisto si basa sul contratto, non sul consenso; la casella della newsletter, sì. Se vendi un festival con pubblico adolescente nei due Paesi, la casella che vale per un ragazzo di 15 anni a Valencia non vale per uno di 15 anni a Colonia. Le regole sulla presenza di minori nel locale sono un'altra cosa e si trovano nella guida su minori e alcol negli eventi in Germania.

Puoi inviare email promozionali a chi ha comprato un biglietto?

Solo se rispetti l'eccezione del cliente; altrimenti serve un consenso espresso e preventivo. Il § 7 comma 2 numero 2 dell'UWG considera sempre un disturbo inammissibile la pubblicità via email senza il consenso espresso preventivo del destinatario. Non c'è alcuna ponderazione: l'email promozionale senza permesso è illecita per definizione.

La via d'uscita è nel comma 3, che richiede quattro condizioni contemporaneamente:

1. 1Hai ottenuto l'email del cliente in relazione alla vendita di un prodotto o servizio.
2. 2La usi per la pubblicità diretta di prodotti o servizi tuoi e simili.
3. 3Il cliente non si è opposto.
4. 4Lo hai informato con chiarezza, al momento della raccolta dell'email e a ogni utilizzo, che può opporsi in qualsiasi momento senza altri costi oltre a quelli di trasmissione.

La lettura è nostra, non della norma: promuovere il prossimo concerto della tua rassegna a chi ha comprato il biglietto per quello precedente rientra in «propri e simili». Promuovere il festival di un altro promotore, l'offerta di uno sponsor o una lista acquistata non rientra, perché non è tuo e non deriva da una tua vendita. E l'informativa del punto 4 deve stare nel checkout, non solo nella informativa sulla privacy.

Lo stesso § 7, al comma 2 numero 3, aggiunge che ogni messaggio pubblicitario deve identificare il mittente e contenere un indirizzo valido per annullare l'iscrizione. A ciò si aggiunge l'articolo 21 del GDPR: di fronte all'opposizione al marketing diretto, «los datos personales dejarán de ser tratados para dichos fines» (i dati personali non saranno più trattati per tali finalità). Una disiscrizione deve raggiungere tutte le tue liste, comprese quelle dello strumento di email marketing per eventi gestito da un altro team.

Chi può farti causa

Il rischio del § 7 non viene solo dall'autorità. Il § 8 comma 3 dell'UWG legittima a chiedere la cessazione i concorrenti, le associazioni di imprese iscritte, le associazioni di consumatori qualificate e le camere di commercio (IHK). Un promotore rivale può agire contro di te per una campagna fatta male senza che intervenga alcun regolatore.

Quali cookie della tua pagina di vendita richiedono il consenso?

Quasi tutti quelli non indispensabili per acquistare. Il § 25 comma 1 del TDDDG consente di archiviare o leggere informazioni sul dispositivo dell'utente solo se questi ha prestato il consenso «auf der Grundlage von klaren und umfassenden Informationen». Il comma 2 prevede due eccezioni: la trasmissione tecnica di un messaggio e ciò che è strettamente necessario per fornire un servizio digitale che l'utente ha richiesto espressamente.

L'Orientierungshilfe Digitale Dienste della Datenschutzkonferenz, versione 1.2 di novembre 2024, è la lettura delle autorità tedesche. Cinque criteri riguardano da vicino una biglietteria online:

• Non serve un dato personale. La regola si applica a qualsiasi cookie, contenga o meno dati personali (Rz. 26). La guida cita la sentenza Planet49 del Bundesgerichtshof del 28 maggio 2020 (I ZR 7/16).
• Il carrello, solo quando viene usato. I cookie del carrello o del pagamento sono necessari quando l'utente ha già aggiunto un prodotto o ha avviato il pagamento, non mentre sfoglia il cartellone (Rz. 80).
• L'analitica non è esente per impostazione predefinita. «Selbst die einfache Messung von Besucherzahlen» non fa parte di per sé del servizio richiesto (Rz. 90).
• L'interesse commerciale non conta. Il fatto che il cookie sia necessario al tuo modello di business non lo rende strettamente necessario (Rz. 78).
• Niente prima del sì. Finché il banner è visibile, non si caricano script che accedono al dispositivo (Rz. 121), e il consenso deve esistere prima dell'accesso (Rz. 36).

Il pulsante per rifiutare

La stessa guida è concreta sul design. Rifiutare deve essere presentato come alternativa «gleichwertige» ad accettare: un pulsante paragonabile per dimensione, colore, contrasto e tipografia (Rz. 135). E un pulsante che dica «Einstellungen oder Ablehnen» e porti a una seconda schermata «ist an dieser Stelle nicht ausreichend» (Rz. 137). Se il tuo banner ha un grande «Accetta tutto» e un piccolo link alle impostazioni, in Germania non è conforme.

La lettura pratica è nostra. Separa nella pagina di vendita ciò che serve per acquistare da ciò che serve per misurare e fare pubblicità. Il primo va senza banner; il secondo, solo dopo un sì. Il pixel di un social network che registra l'acquisto per le tue campagne è pubblicità, anche se lo installa il team vendite.

Per quanto tempo puoi conservare i dati degli acquirenti?

Dipende dal dato. L'articolo 5.1.e del GDPR obbliga a conservare i dati identificabili «durante no más tiempo del necesario» (per un tempo non superiore a quello necessario) per la loro finalità. Ma la legge fiscale e commerciale tedesca fissa minimi che prevalgono su questo principio per i documenti contabili. Ciò che conta è il tipo di documento:

Il § 14b dell'UStG aggiunge da quando decorre il termine: «mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt worden ist». Facciamo il conto. Una fattura di biglietti emessa il 15 marzo 2026 inizia a decorrere il 31 dicembre 2026; otto anni dopo è il 31 dicembre 2034. Puoi distruggerla a partire dal 1° gennaio 2035. Il § 147 dell'AO aggiunge una cautela: il termine non scade finché i documenti restano rilevanti per un'imposta il cui periodo di liquidazione non è prescritto.

Il § 257 dell'HGB ripete gli stessi termini nel diritto commerciale. Ciò che non compare in quella tabella non ha un termine minimo di legge. Il consenso al marketing di chi da anni non apre un'email, il telefono richiesto solo per avvisare di un cambio di orario o la foto di un biglietto nominativo decadono con la loro finalità. Se vendi ad aziende, la parte di fatturazione ha regole proprie nella guida su E-Rechnung e IVA in Germania.

Chi ti controlla e quanto costa non rispettare le regole?

In Germania non esiste un'unica agenzia come l'AEPD. Il § 40 della BDSG affida la vigilanza sulle imprese private alle autorità «nach Landesrecht zuständigen», cioè all'autorità di ciascun Land. Se hai più sedi in Germania, decide quella dello stabilimento principale. Per un'azienda spagnola senza sede tedesca, l'articolo 56.1 del GDPR attribuisce il ruolo principale nel trattamento transfrontaliero a «la autoridad de control del establecimiento principal o del único establecimiento» (l'autorità di controllo dello stabilimento principale o dell'unico stabilimento), che sarebbe l'AEPD.

I massimali delle sanzioni sono distribuiti tra tre leggi:

Il calcolo del GDPR favorisce il regolatore nel caso di un'azienda piccola. Una società di produzione con 3 milioni di euro di fatturato annuo ha un 4% di 120.000 euro e, dato che l'articolo 83.5 prende l'importo maggiore, il suo massimale resta di 20 milioni. Il 4% prevale solo oltre i 500 milioni di fatturato: 20 diviso 0,04 fa 500.

Per i cookie il massimale è fisso. Il § 28 del TDDDG qualifica come illecito l'archiviazione o la lettura di informazioni «entgegen § 25 Absatz 1 Satz 1» e il suo comma 2 lo punisce con una multa «bis zu dreihunderttausend Euro». È un rischio distinto da quello del GDPR: se il cookie alimenta anche un profilo pubblicitario senza base giuridica, i due regimi si sommano.

Serve un responsabile della protezione dei dati e un contratto con la tua piattaforma?

Il DPO dipende dalle dimensioni del team, e la Germania fissa l'asticella più in basso del GDPR. Il § 38 comma 1 della BDSG obbliga a designarlo quando l'azienda impiega «in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten». Lo sostiene l'articolo 37.4 del GDPR, che consente agli Stati di richiederlo in più casi.

Lo stesso § 38 lo impone senza soglia di organico in due ipotesi: se il trattamento richiede una valutazione d'impatto ai sensi dell'articolo 35 del GDPR, o se tratti dati a fini commerciali di cessione o di ricerche di mercato. La lettura è nostra: una società di produzione di dodici persone che vende solo biglietti non rientra; una che installa il riconoscimento facciale all'ingresso dovrebbe verificarlo, perché la valutazione d'impatto può essere obbligatoria.

La piattaforma di vendita tratta i dati per tuo conto. Per questo serve il contratto di nomina a responsabile dell'articolo 28.3 del GDPR: «el tratamiento por el encargado se regirá por un contrato u otro acto jurídico» (il trattamento da parte del responsabile sarà disciplinato da un contratto o da altro atto giuridico). Il fatto che la piattaforma sia in Spagna non aggiunge adempimenti di trasferimento internazionale, perché i dati non escono dallo Spazio economico europeo. La Datenschutzkonferenz ricorda che tali trasferimenti sono un altro problema quando il dato esce dal SEE.

Se il database viene violato, l'orologio è quello dell'articolo 33.1 del GDPR: notifica «sin dilación indebida» (senza ingiustificato ritardo) e, se possibile, «a más tardar 72 horas después de que haya tenido constancia de ella» (entro 72 ore al più tardi dal momento in cui ne è venuto a conoscenza). Il termine decorre da quando lo sai, e normalmente lo sai perché te lo comunica il fornitore. Il contratto deve fissare in quanto tempo ti avvisa. Le domande da fare prima di firmare si trovano nella guida per scegliere la piattaforma di ticketing.

Checklist prima di aprire la vendita in Germania

Sette controlli, nell'ordine in cui bloccano.

Riduci il modulo di acquisto. Ogni campo, con una finalità scritta. Ciò che non serve per vendere, incassare o entrare, via o in una casella a parte.

Separa la casella della newsletter dall'acquisto. E registra quando è stata spuntata e con quale testo. Per i minori di 16 anni, la casella richiede il permesso dei genitori.

Scrivi l'informativa del § 7.3 UWG nel checkout. «Puoi opporti in qualsiasi momento senza costi», al momento della raccolta dell'email e nel piè di pagina di ogni invio. Promuovi solo i tuoi eventi a chi ha comprato da te.

Verifica i cookie della pagina di vendita. Elenca ciascuno, la sua finalità e se è strettamente necessario secondo la Datenschutzkonferenz. Analitica e pixel, dietro il consenso.

Metti il pulsante per rifiutare accanto a quello per accettare. Stessa dimensione, stesso colore, nella prima schermata. Un «Einstellungen oder Ablehnen» non vale.

Fissa i termini di cancellazione per tipo di dato. Fatture e giustificativi, otto anni dalla chiusura dell'anno; marketing e dati operativi, finché servono.

Firma il contratto dell'articolo 28 con la tua piattaforma. Con termine di avviso delle violazioni, elenco dei sub-responsabili, esportazione completa e cancellazione.

Per la base generale del GDPR, senza gli strati tedeschi, resta valida la guida al GDPR per organizzatori. Il confronto con il regime britannico è in dati dell'acquirente nel Regno Unito, e la domanda su chi sia il proprietario della lista, in di chi sono i dati dell'acquirente.

Quale piattaforma consigliamo per vendere biglietti in Germania? Futura Tickets

Per noi, la migliore piattaforma per vendere biglietti al pubblico tedesco è Futura Tickets, ed è quella che consigliamo, per una ragione che emerge da tutto quanto sopra: chi risponde davanti all'autorità tedesca o all'AEPD è l'organizzatore, e per adempiere ha bisogno di avere il dato a portata di mano. Futura Tickets è una piattaforma SaaS spagnola di ticketing per organizzatori professionali e consegna all'organizzatore il 100% del database dei partecipanti, con email e telefoni integri.

Questo non sostituisce alcun obbligo di questa guida. Ciò che cambia è la capacità di rispettarli: esportare la lista completa per dare seguito a una richiesta di accesso, cancellare un contatto in tutte le copie o dimostrare in quale vendita è stata ottenuta un'email quando bisogna giustificare l'eccezione del § 7.3 UWG. Se vuoi vederlo sul tuo evento, richiedi una demo.

Fonti

I testi delle leggi federali tedesche sono stati letti nella versione vigente su dejure.org il 23 ottobre 2026, perché il portale ufficiale Gesetze im Internet non rispondeva dalla nostra rete quel giorno.

• Reglamento (UE) 2016/679, General de Protección de Datos (testo in spagnolo) — GUUE L 119, 4 maggio 2016, su BOE.es; articoli 3, 5, 6, 8, 21, 28, 33, 37, 56 e 83.
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), versione 1.2 — Datenschutzkonferenz (DSK), novembre 2024.
• Regeln für den Schutz der personenbezogenen Daten von Kindern im Internet, WD 10 - 3000 - 019/23 — Wissenschaftliche Dienste des Deutschen Bundestages, 17 maggio 2023.
• § 7 UWG, Unzumutbare Belästigungen — Gesetz gegen den unlauteren Wettbewerb, testo vigente consultato il 23 ottobre 2026.
• § 8 UWG, Beseitigung und Unterlassung — Gesetz gegen den unlauteren Wettbewerb.
• § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 28 TDDDG, Bußgeldvorschriften — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
• § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen — Bundesdatenschutzgesetz.
• § 40 BDSG, Aufsichtsbehörden der Länder — Bundesdatenschutzgesetz.
• § 147 AO, Ordnungsvorschriften für die Aufbewahrung von Unterlagen — Abgabenordnung.
• § 257 HGB, Aufbewahrung von Unterlagen — Handelsgesetzbuch.
• § 14b UStG, Aufbewahrung von Rechnungen — Umsatzsteuergesetz.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — BOE, articolo 7.