Wenn du Tickets verkaufst, verarbeitest du personenbezogene Daten – Name, E-Mail, Zahlungsdaten, oft mehr. Damit bist du in der DSGVO drin, egal wie klein dein Club oder deine Reihe ist. Der Aufwand ist überschaubar; das Problem ist ein anderes: fast alles, was du dazu online liest, kommt von Anbietern, die dir etwas verkaufen wollen – und ein paar der beliebtesten Sätze stimmen einfach nicht.
Dieser Text ist die Kurzfassung für Veranstalter, Clubbetreiber und Promoter. Keine Rechtsberatung, aber jede Aussage mit der Quelle daneben, damit du sie selbst nachlesen kannst.
Die kurze Antwort
DSGVO-konformes Ticketing besteht im Kern aus vier Dingen:
- Du weißt, wer welche Rolle hat – du bist in der Regel Verantwortlicher, dein Ticketing-Anbieter Auftragsverarbeiter.
- Du hast einen Auftragsverarbeitungsvertrag (AVV) mit diesem Anbieter, schriftlich, vor dem ersten Ticketverkauf.
- Du weißt, wo die Daten liegen – und was das rechtlich tatsächlich bedeutet.
- Du weißt, wann du löschst – und trennst Marketing sauber vom Ticketkauf.
Alles Weitere folgt daraus.
1. Rolle klären: Verantwortlicher oder Auftragsverarbeiter?
Das ist die Weiche, an der sich alles andere entscheidet. Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – bei einem Event bist das du. Auftragsverarbeiter ist, wer die Daten in deinem Auftrag verarbeitet, also die Plattform, die deinen Ticketshop betreibt.
Seriöse Anbieter schreiben das selbst hin. pretix formuliert es in der eigenen Datenschutzerklärung so: "Wir treten als Auftragsverarbeiter des Veranstalters auf." (pretix.eu, gelesen 04.08.2026)
Auch Eventbrite legt es in seinem Data Processing Addendum for Organizers offen – der Satz lohnt sich im Original, weil er beide Rollen in einer Zeile festlegt:
"Where Eventbrite Processes the Personal Data of Consumers on behalf of Organizer as part of the Services, Eventbrite is a Data Processor or Service Provider in performing such Processing and Organizer is the Data Controller or Business."
— Eventbrite, DPA for Organizers (eventbrite.com, gelesen 04.08.2026)
Nur: das ist nicht die ganze Rollenverteilung. Dieselbe Plattform ist an anderer Stelle selbst Verantwortliche – für die Daten, die im Zuge der Nutzung ihrer Dienste anfallen, und die sie nach eigener Angabe unter anderem für "research and analysis" und "targeted recommendations" verwendet (eventbrite.co.uk, gelesen 04.08.2026). Beides ist gleichzeitig wahr, und genau deshalb reicht die Frage "seid ihr Auftragsverarbeiter?" nicht: die interessante Frage ist, welchen zweiten Datenbestand der Anbieter aus deinem Event für sich selbst aufbaut.
Warum das für dich zählt: Als Verantwortlicher bleibt die Gästeliste deine – du entscheidest über Nutzung, Export und Löschung. Sitzt der Anbieter dagegen als eigener Verantwortlicher zwischen dir und deinem Gast, gehört die Beziehung faktisch ihm. Wie sich das im Alltag auswirkt, haben wir in Fandaten-Eigentümerschaft: Wem gehören deine Daten? auseinandergenommen.
Frag also nicht "seid ihr DSGVO-konform?" – frag "in welcher Rolle verarbeitet ihr die Daten meiner Gäste?" Die erste Frage beantwortet jeder mit Ja. Die zweite trennt die Anbieter.
2. Der AVV: das eine Dokument, das dir sonst fehlt
Sobald jemand Daten in deinem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Vertrag darüber. Art. 28 Abs. 1 formuliert die Grundregel:
"Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden […]"
— Art. 28 Abs. 1 DSGVO (dsgvo-gesetz.de, gelesen 04.08.2026)
Der Vertrag muss laut Art. 28 Abs. 3 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen festlegen – und außerdem regeln, dass der Auftragsverarbeiter
- nur auf dokumentierte Weisung von dir verarbeitet (lit. a),
- seine Leute zur Vertraulichkeit verpflichtet (lit. b),
- die Sicherheitsmaßnahmen nach Art. 32 umsetzt (lit. c),
- Unterauftragsverarbeiter nur unter den Bedingungen der Abs. 2 und 4 einsetzt (lit. d),
- dich bei Betroffenenanfragen unterstützt (lit. e),
- dich bei den Pflichten aus Art. 32–36 unterstützt (lit. f),
- die Daten am Ende löscht oder zurückgibt (lit. g),
- dir die Nachweise liefert und Prüfungen ermöglicht (lit. h).
Das ist kein Papierkram für später. Ohne AVV ist die Verarbeitung angreifbar – und zwar bei dir, nicht beim Anbieter.
Praktisch heißt das: Der AVV muss ohne Diskussion verfügbar sein. Bei pretix generierst du ihn im Veranstalterkonto unter "Datenschutz" (pretix.eu, gelesen 04.08.2026). Wenn ein Anbieter dir stattdessen erklärt, ein AVV sei "bei uns nicht nötig", ist das die Antwort auf deine Anbieterfrage.
3. Der Serverstandort-Mythos
Viele Anbieterseiten erzählen dir hier das Gegenteil. Sätze wie "Hosting in Deutschland ist Pflicht" oder "alle Daten müssen in Deutschland bleiben" liest man ständig. In der DSGVO steht das nicht.
Was tatsächlich gilt: Innerhalb der EU und des EWR ist die Datenübermittlung nicht beschränkt – das ist der Sinn des Binnenmarkts. Beschränkt sind Übermittlungen in Drittländer. Art. 44 DSGVO:
"Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten […]"
— Art. 44 DSGVO (dsgvo-gesetz.de, gelesen 04.08.2026)
Und Art. 45 lässt solche Übermittlungen ausdrücklich zu, wenn die EU-Kommission dem Zielland ein angemessenes Schutzniveau bescheinigt hat.
Warum das für dich trotzdem relevant ist: Der Unterschied zwischen "EU-gehostet" und "US-Anbieter mit Angemessenheitsbeschluss" ist kein Compliance-Unterschied, sondern ein Risikoprofil. Ein Angemessenheitsbeschluss ist eine politische Entscheidung – er kann geändert oder gekippt werden, und dann musst du deine Rechtsgrundlage neu bauen, mitten in der Saison. Bleiben die Daten im EWR, stellt sich die Frage nie.
Frag deinen Anbieter also nicht "ist das DSGVO-konform?", sondern: In welchem Land liegen die Daten, und welche Unterauftragsverarbeiter sind beteiligt? Die Liste der Unterauftragsverarbeiter ist der Ort, an dem der US-Dienst normalerweise auftaucht – nicht die Startseite.
4. Löschfristen – und die 10-Jahres-Legende
Der zweite Satz, der ständig falsch abgeschrieben wird: "Rechnungsdaten musst du 10 Jahre aufbewahren."
Für Buchungsbelege stimmt das seit der Verkürzung nicht mehr. § 147 Abs. 3 Satz 1 AO:
"Die in Absatz 1 Nummer 1 und 4a aufgeführten Unterlagen sind zehn Jahre, die in Absatz 1 Nummer 4 aufgeführten Unterlagen acht Jahre und die sonstigen in Absatz 1 aufgeführten Unterlagen sechs Jahre aufzubewahren […]"
— § 147 Abs. 3 AO (gesetze-im-internet.de, gelesen 04.08.2026)
Buchungsbelege – und darunter fallen deine Ticketrechnungen – sind Abs. 1 Nr. 4, also acht Jahre. Bücher, Abschlüsse und Inventare bleiben bei zehn.
Für die Praxis heißt das: Deine Daten zerfallen in zwei Töpfe.
- Steuerlich aufbewahrungspflichtig — z. B. Ticketrechnung, Zahlungsbeleg. Wie lange: die gesetzliche Frist, nicht dein Ermessen.
- Alles andere — z. B. Gästeliste, Scan-Log, Marketing-Kontakt. Wie lange: so lange wie der Zweck es trägt – dann weg.
Der Fehler, den fast alle machen: Man behält den zweiten Topf, weil der erste eine Frist hat. Das ist keine Vorsicht, das ist ein Verstoß gegen die Speicherbegrenzung. Setz dir einen Termin nach jeder Saison und räum auf.
Ein Beispiel aus unserem eigenen System, weil es die unangenehme Sorte Datensatz gut zeigt: Unser Einlass-Scanner hat seit dem Start 6.376 erfolgreiche Scans protokolliert, bei einer Erfolgsquote von 96,6 % (6.376 von 6.599, Mehrfach-Taps herausgerechnet; Stand 03.08.2026, gemessen aus der Produktionsdatenbank). Jede dieser Zeilen sagt, wer wann an welcher Tür stand. Für ein Scan-Log gibt es keine steuerliche Aufbewahrungsfrist – es ist reiner Topf zwei. Es ist trotzdem genau die Art Tabelle, die in den meisten Systemen einfach liegen bleibt, weil sie niemandem gehört und niemand eine Frist dafür aufgeschrieben hat. Was passiert mit dem Scan-Log deines Anbieters?
5. Marketing ist nicht Ticketverkauf
Der Ticketkauf ist ein Vertrag – dafür brauchst du keine Einwilligung. Die Mail vier Wochen später mit dem nächsten Line-up ist Werbung – dafür schon.
Halte das getrennt, technisch und im Formular. Eine vorangekreuzte Box ist keine Einwilligung. Ein Newsletter-Haken, den man beim Ticketkauf nicht abwählen kann, ist keine Einwilligung. Und wenn dein Ticketing-Anbieter deine Gäste selbst anschreibt, ohne dass du es steuerst, dann bist du nicht mehr der Einzige, der Daten für Zwecke nutzt – dann tut er es auch.
Die 7 Fragen an deinen Ticketing-Anbieter
Das ist die Liste. Schick sie per Mail, schriftlich, vor der Unterschrift. Wer bei mehr als einer Frage ausweicht, beantwortet sie damit.
- In welcher Rolle verarbeitet ihr die Daten meiner Gäste – Auftragsverarbeiter oder eigener Verantwortlicher?
- Bekomme ich einen AVV nach Art. 28 DSGVO, und wo genau? (Selbst herunterladen ist besser als "auf Anfrage".)
- In welchen Ländern liegen die Daten, und welche Unterauftragsverarbeiter setzt ihr ein?
- Werde ich vorab informiert, wenn ihr einen Unterauftragsverarbeiter wechselt?
- Kann ich meine komplette Gästeliste jederzeit selbst exportieren – vollständig, in einem offenen Format?
- Was passiert mit den Daten, wenn ich kündige – Löschung oder Rückgabe, und in welcher Frist?
- Nutzt ihr die Daten meiner Gäste für eigene Zwecke – Empfehlungen, Cross-Promotion, Weiterverkauf?
Frage 5 und 7 sind die, bei denen sich Anbieter unterscheiden, die bei Frage 1 bis 4 identisch klingen.
Wie Movent das handhabt
- Movent tritt gegenüber Veranstaltern als Auftragsverarbeiter auf und stellt allen Unternehmenskunden einen AVV zur Verfügung, der diese Pflichten beschreibt – die Details stehen auf unserer Trust- und Datenschutzseite.
- Bei Movent gilt: deine Gästeliste ist deine – exportierbar, mit dir als verantwortlicher Stelle nach DSGVO.
- Wir führen eine dokumentierte Liste von Unterauftragsverarbeitern und informieren Kunden vorab über Änderungen.
Wenn du das gegen deinen aktuellen Anbieter halten willst: Nimm die sieben Fragen oben und stell sie beiden. Das ist ein ehrlicherer Vergleich als jede Feature-Tabelle.
Was Ticketing für Clubs und Reihen sonst noch ausmacht – Gebührenstruktur, Einlass, Stammgäste – steht in Ticketing für Clubs und Partys und im Überblick für Veranstalter.
Häufige Fragen
Brauche ich als kleiner Veranstalter überhaupt einen AVV? Ja. Art. 28 DSGVO knüpft nicht an die Größe an, sondern daran, ob jemand in deinem Auftrag personenbezogene Daten verarbeitet. Das tut jeder gehostete Ticketshop.
Reicht es, wenn der Anbieter "DSGVO-konform" auf der Website stehen hat? Nein. Das ist eine Selbstauskunft, kein Dokument. Was zählt, ist der AVV, die Liste der Unterauftragsverarbeiter und die Angabe, wo die Daten liegen.
Muss mein Ticketing in Deutschland gehostet sein? Die DSGVO verlangt das nicht. Innerhalb der EU/des EWR ist die Übermittlung frei; für Drittländer gelten die Bedingungen aus Kapitel V (Art. 44 ff.), etwa ein Angemessenheitsbeschluss nach Art. 45. EU-Hosting ist eine Risikoentscheidung, keine Rechtspflicht.
Wie lange darf ich die Gästeliste behalten? So lange der Zweck trägt, für den du sie erhoben hast. Steuerlich relevante Belege unterliegen den Fristen aus § 147 AO – Buchungsbelege acht Jahre. Die Gästeliste selbst ist kein Buchungsbeleg.
Darf ich Ticketkäufer einfach in den Newsletter aufnehmen? Der Kaufvertrag deckt die Abwicklung, nicht die Werbung. Für den Newsletter brauchst du eine eigene, aktive Einwilligung – getrennt vom Kauf, nicht vorangekreuzt.
Stand: 04.08.2026. Dieser Beitrag ist eine Orientierung für Veranstalter, keine Rechtsberatung. Bei konkreten Fällen – besonders bei Drittlandübermittlungen – hol dir bitte anwaltlichen Rat.