DSGVO beim Ticketverkauf im Freizeitbetrieb: Käuferdaten rechtssicher verarbeiten

Wer Tickets für Kartbahn, Indoor-Spielplatz, Trampolinhalle oder Erlebnispark online verkauft, verarbeitet ab dem ersten Klick personenbezogene Daten — und damit greift die DSGVO beim Ticketverkauf im Freizeitbetrieb in vollem Umfang. Anders als beim Barverkauf an der Kasse hinterlässt jeder Online-Kauf eine Datenspur: Name, E-Mail, Zahlungsinformationen, Kaufzeitpunkt, oft auch das gewählte Zeitfenster und beim Einlass ein Scan-Log. Dieser Artikel zeigt konkret, welche Daten anfallen, auf welcher Rechtsgrundlage Sie sie verarbeiten dürfen, wie lange Sie sie aufbewahren und worauf Sie beim Vertrag mit Ihrem Ticket-Dienstleister achten müssen.

Disclaimer: Dieser Beitrag ist eine sachliche Orientierung aus IT- und Prozesssicht, keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls konsultieren Sie einen Fachanwalt für IT-Recht oder Ihre Datenschutzbeauftragte.

Die datenschutzrechtlichen Grundlagen für Online-Zahlungen behandeln wir allgemein in Online-Bezahlung im Freizeitbetrieb — hier geht es speziell um die Besonderheiten des Ticketverkaufs: Timed-Entry-Slots, Einlasskontrolle per QR-Code und das Newsletter-Opt-in im Kaufprozess. Wie das Online-Ticketing insgesamt aufgebaut wird, lesen Sie im Überblicksartikel Online-Tickets verkaufen für Freizeitbetriebe.

Welche Daten beim Online-Ticketverkauf anfallen

Beim Ticketing im Freizeitbetrieb fallen Daten in drei Phasen an — Kauf, Zustellung und Einlass. Wer das sauber trennt, erkennt schnell, welche Verarbeitung wirklich nötig ist und welche man sich sparen kann (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

• Beim Kauf: Vor- und Nachname des Käufers, E-Mail-Adresse, gewähltes Zeitfenster/Slot, Ticketkategorie (z. B. Erwachsener, Kind, Sockenpaket), Anzahl der Tickets, Kaufzeitpunkt.
• Bei der Zahlung: Zahlungsart und Transaktions-ID. Kartendaten selbst laufen bei seriösen Anbietern nie über Ihren Server, sondern über den Payment-Provider (PCI-DSS-Scope-Reduktion) — Sie sehen nur Referenz und Status.
• Bei der Zustellung: E-Mail mit PDF-Ticket oder Wallet-Pass, darin ein eindeutiger QR-Code-Token.
• Beim Einlass: Scan-Zeitpunkt, verwendeter Scanner/Eingang, Gültig-/Ungültig-Status — das sogenannte Check-in-Log.

Nicht jeder Freizeitbetrieb braucht alle diese Daten. Ein Trampolinpark, der aus Sicherheitsgründen eine unterschriebene Haftungserklärung pro Springer verlangt, verarbeitet zwangsläufig mehr personenbezogene Daten als ein Indoor-Spielplatz mit anonymem Tageseintritt. Die Faustregel: Erheben Sie nur, was Sie für Vertrag, Einlass und gesetzliche Pflichten wirklich brauchen. Jedes zusätzlich erfasste Feld ist später ein Feld, das Sie schützen, dokumentieren und irgendwann wieder löschen müssen.

Ein zweiter blinder Fleck sind die Metadaten, die nebenbei anfallen: Geräte- und Browserinformationen, IP-Adressen im Webserver-Log, Cookie-IDs im Checkout. Diese Daten entstehen, ohne dass der Kunde sie aktiv eingibt — und sie fallen trotzdem unter die DSGVO. Deshalb gehört zur Bestandsaufnahme nicht nur das sichtbare Formular, sondern auch, was Ihr Ticketing-System, Ihr Analytics-Tool und Ihr Payment-Widget im Hintergrund protokollieren. Wer hier den Überblick behält, vermeidet die typische Lücke zwischen dem, was in der Datenschutzerklärung steht, und dem, was das System tatsächlich speichert.

Rechtsgrundlagen: Auf welcher Basis Sie welche Daten verarbeiten

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Beim Ticketverkauf sind praktisch drei relevant: Vertragserfüllung (lit. b), berechtigtes Interesse (lit. f) und Einwilligung (lit. a). Die folgende Tabelle ordnet die typischen Ticketing-Daten zu.

Der wichtigste Fehler in der Praxis: Marketing-Daten auf die Vertragsgrundlage zu stützen. Die E-Mail-Adresse für die Ticketzustellung dürfen Sie ohne Einwilligung verarbeiten — für den Newsletter brauchen Sie eine separate, freiwillige Einwilligung. Dazu weiter unten mehr. Genauso gilt: Nur weil Sie eine Rechtsgrundlage für die Erhebung haben, dürfen Sie die Daten nicht beliebig lange oder für andere Zwecke nutzen. Zweckbindung und Speicherbegrenzung sind eigene Grundsätze.

Ein Sonderfall ist das berechtigte Interesse (lit. f). Es klingt bequem, weil es ohne Einwilligung auskommt — aber es verlangt eine dokumentierte Interessenabwägung: Ihr Interesse (z. B. Missbrauchsschutz bei der Einlasskontrolle) gegen das Interesse des Kunden an Datensparsamkeit. Diese Abwägung müssen Sie schriftlich festhalten, damit Sie sie im Zweifel gegenüber einer Aufsichtsbehörde belegen können. Für reine Marketing-Zwecke trägt das berechtigte Interesse beim E-Mail-Newsletter dagegen nicht — hier verlangt das Wettbewerbsrecht (§ 7 UWG) zusätzlich zur DSGVO eine ausdrückliche Einwilligung.

Der AV-Vertrag mit Ihrem Ticket-Dienstleister

Kaum ein Freizeitbetrieb betreibt sein Ticketing-System selbst. Ob Sie eine White-Label-Plattform, ein Buchungssystem oder ein POS-/Venue-System einsetzen — sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AV-Vertrag, Art. 28 DSGVO). Ohne diesen Vertrag ist die Datenweitergabe formell rechtswidrig, selbst wenn technisch alles sauber läuft.

Worauf Sie beim AV-Vertrag achten sollten:

• Verantwortlicher bleiben Sie. Der Dienstleister ist Auftragsverarbeiter, nicht selbst verantwortlich. Er darf die Daten nur nach Ihrer Weisung und nur für den vereinbarten Zweck nutzen — nicht für eigene Werbung.
• Serverstandort und Unterauftragnehmer. Läuft die Plattform auf EU-Servern? Werden Subprozessoren (Payment-Provider, E-Mail-Versand, Hosting) eingesetzt, und liegt für Drittland-Transfers ein Angemessenheitsbeschluss oder liegen Standardvertragsklauseln vor?
• TOM-Anhang. Der AV-Vertrag muss die technischen und organisatorischen Maßnahmen des Dienstleisters dokumentieren (Verschlüsselung, Zugriffskontrolle, Backup).
• Löschkonzept. Was passiert mit den Daten nach Vertragsende? Es muss eine Lösch- oder Rückgabepflicht vereinbart sein.

Wenn Sie ein anpassbares Venue-System wie VenuePilot einsetzen — etwa für Kasse, Self-Order-Kiosk und Ticketausgabe in einer Kartbahn oder Trampolinhalle — sollte der Anbieter Ihnen den AV-Vertrag proaktiv bereitstellen. Fehlt er, ist das ein Warnsignal. Wie eine sauber dokumentierte, DSGVO-taugliche Systemlandschaft im Freizeitbetrieb aussieht, zeigen wir in Digitale Infrastruktur im Freizeitbetrieb.

Einlassdaten und Check-in-Logs datenschutzkonform behandeln

Der QR-Code auf dem Ticket ist datenschutzrechtlich unauffälliger, als viele denken — solange er nur einen zufälligen Token enthält und nicht den Klarnamen im Klartext. Der Scan beim Einlass erzeugt jedoch ein Log: wer wann durch welchen Eingang kam. Das ist ein berechtigtes Interesse (Missbrauchs- und Mehrfachnutzungsschutz), aber es ist auch ein personenbeziehbares Datum, sobald sich der Token einem Käufer zuordnen lässt.

Die technische Umsetzung der Einlasskontrolle beschreiben wir im Detail in QR-Code-Tickets und Einlasskontrolle im Freizeitbetrieb. Datenschutzrechtlich gelten dabei drei Leitplanken:

1. Token statt Klardaten. Der QR-Code trägt eine ID, keine Namen. Die Zuordnung passiert serverseitig und nur so lange, wie sie gebraucht wird.
2. Kurze Aufbewahrung der Scan-Logs. Nach dem Event und der Reklamationsfrist haben Scan-Zeitpunkte keinen Zweck mehr. Ein automatischer Löschjob nach wenigen Wochen ist praxistauglich.
3. Kein Bewegungsprofil. Wenn Sie mehrere Scan-Punkte betreiben (Einlass, Attraktion, Gastro), widerstehen Sie der Versuchung, daraus ein detailliertes Aufenthaltsprofil zu bauen — das ginge über den ursprünglichen Zweck hinaus und bräuchte eine eigene Rechtsgrundlage.

Newsletter-Opt-in beim Ticketkauf — das häufigste Abmahnrisiko

Der Ticketkauf ist der attraktivste Moment, um Newsletter-Abonnenten zu gewinnen — und genau hier passieren die teuersten Fehler. Zwei Dinge sind unzulässig:

• Vorangekreuzte Checkboxen. Eine bereits gesetzte Häkchen-Box für den Newsletter ist keine gültige Einwilligung (EuGH, „Planet49"). Der Kunde muss aktiv anklicken.
• Kopplung an den Kauf. Sie dürfen den Ticketkauf nicht davon abhängig machen, dass jemand den Newsletter abonniert (Kopplungsverbot). Die Einwilligung muss freiwillig sein.

Zulässig ist eine separate, leere Checkbox mit klarem Text: „Ja, ich möchte per E-Mail Angebote und Termine erhalten. Abmeldung jederzeit möglich." Dokumentieren Sie Zeitpunkt und Wortlaut der Einwilligung (Nachweispflicht, Art. 7 DSGVO) — idealerweise über ein Double-Opt-in, bei dem der Kunde die Anmeldung per Bestätigungslink verifiziert.

Praxisbeispiel: Trampolinhalle mit Slot-Ticketing und Newsletter

Eine Trampolinhalle verkauft Zeitfenster-Tickets (90-Minuten-Jump-Slots) online. Im Checkout stehen drei Felder: Name, E-Mail, Anzahl Springer. Für minderjährige Springer wird beim Einlass eine Haftungserklärung des Erziehungsberechtigten unterschrieben — die bleibt bewusst offline auf Papier, damit keine zusätzlichen Gesundheits- oder Ausweisdaten im Online-System landen.

Das Newsletter-Feld ist eine separate, nicht vorausgefüllte Checkbox unter dem Zahlungsbutton. Wer sie anklickt, erhält eine Double-Opt-in-Mail. Die Kauf-E-Mails (Ticketzustellung, Umbuchung) laufen unabhängig davon auf Vertragsgrundlage. Ergebnis: klare Trennung von Vertrags- und Marketingdaten, saubere Nachweiskette, kein Kopplungsproblem. Genau diese Trennung ist der Grund, warum ein durchdachtes Buchungssystem — wie im Mobikart Kartbahn-Buchungssystem, das wir für eine Berliner Kartbahn mit NestJS und Next.js umgesetzt haben — Vertrags- und Einwilligungsdaten von Anfang an getrennt modelliert.

Aufbewahrung und Löschung: Fristen im Ticketing

Der häufigste Dauerverstoß im Freizeitbetrieb ist nicht die falsche Erhebung, sondern die fehlende Löschung. Daten sammeln sich an, weil niemand einen Löschjob eingerichtet hat. Ein Löschkonzept muss pro Datenkategorie eine Frist definieren:

• Ticket- und Slot-Daten: nach dem Event plus kurzer Kulanzfrist für Reklamationen — dann anonymisieren oder löschen.
• Rechnungs- und Zahlungsbelege: unterliegen der handels- und steuerrechtlichen Aufbewahrung (Richtwert 10 Jahre). Diese Daten dürfen — und müssen — Sie behalten, aber gesperrt für andere Zwecke.
• Scan-Logs: wenige Tage bis Wochen.
• Kontaktanfragen/Support: einige Monate nach Abschluss.
• Newsletter: bis zum Widerruf; danach umgehend aus dem Verteiler.

Wichtig ist die Zweckbindung: Steuerlich aufbewahrte Rechnungsdaten dürfen Sie nicht heimlich fürs Marketing wiederverwenden. Ein gutes System trennt „aktiv nutzbar" von „nur archiviert für gesetzliche Fristen". Praktisch heißt das, Löschregeln nicht als manuelle To-do-Liste zu führen, sondern als automatisierte Jobs im Buchungssystem zu hinterlegen — so wird aus einem guten Vorsatz eine belastbare, nachweisbare Praxis.

Betroffenenrechte im Ticketing praktisch umsetzen

Käufer haben konkrete Rechte, und im Ticketing tauchen sie regelmäßig auf — meist als E-Mail „Bitte löschen Sie meine Daten" oder „Welche Daten haben Sie über mich?". Sie müssen darauf in der Regel innerhalb eines Monats reagieren (Art. 12 DSGVO). Damit das kein Feuerwehreinsatz wird, sollten drei Rechte technisch vorbereitet sein:

• Auskunft (Art. 15). Sie müssen auf Anfrage eine Übersicht der gespeicherten Daten liefern können. Ein Buchungssystem, das alle Datensätze eines Kunden über E-Mail oder Kunden-ID zusammenführt, macht das zur Ein-Klick-Aufgabe statt zur Datenbank-Schnitzeljagd.
• Löschung (Art. 17). „Recht auf Vergessenwerden" — aber mit Grenzen: Rechnungsdaten in der steuerlichen Aufbewahrungsfrist dürfen und müssen Sie behalten, sie werden nur gesperrt. Das System sollte zwischen „vollständig löschen" und „für andere Zwecke sperren" unterscheiden können.
• Widerruf der Einwilligung (Art. 7 Abs. 3). Die Newsletter-Abmeldung muss so einfach sein wie die Anmeldung — ein Ein-Klick-Abmeldelink in jeder Mail ist Pflicht, nicht Kür.

Wer diese drei Fälle vorab durchspielt, verwandelt eine potenziell teure Fehlerquelle in eine Routine. Der beste Zeitpunkt dafür ist die Systemauswahl, nicht der Tag, an dem die erste Löschanfrage eintrifft.

Wann strenger DSGVO-Aufwand NICHT nötig ist

Nicht jeder Freizeitbetrieb braucht die volle Compliance-Maschinerie — und es ehrlich zu benennen, spart Aufwand:

• Reiner anonymer Barverkauf vor Ort. Wer keine Online-Tickets verkauft und keine Namen erfasst, verarbeitet kaum personenbezogene Daten. Hier wäre ein aufwändiges Ticketing-Datenschutzkonzept überdimensioniert.
• Kein eigenes Kundenkonto. Wenn Gäste als Gast bestellen und Sie keine Kaufhistorie speichern, entfällt der ganze Komplex rund um Kontodaten, Login-Sicherheit und Profilbildung. Für viele kleine Betriebe ist Gast-Checkout die datensparsamere und einfachere Wahl.
• Standard-Plattform statt Eigenbau. Solange Sie ein etabliertes Ticketing-Tool mit AV-Vertrag nutzen, müssen Sie nicht selbst PCI-DSS-konform Kartendaten absichern — das übernimmt der Payment-Provider.

Umgekehrt gilt: Sobald Sie Gesundheitsdaten (z. B. Haftungsausschlüsse mit medizinischen Angaben in Trampolinparks), Fotos von Kindern (Indoor-Spielplatz-Events) oder Bewegungsprofile über mehrere Scan-Punkte verarbeiten, steigt das Risiko sprunghaft — dann lohnt eine formale Datenschutz-Folgenabschätzung (DSFA), bevor das System live geht. Der Aufwand skaliert also mit der Sensibilität der Daten, nicht mit der Größe des Betriebs: Ein kleiner Trampolinpark mit Gesundheitsangaben kann datenschutzrechtlich anspruchsvoller sein als ein großer Indoor-Spielplatz mit anonymem Ticketverkauf.

Checkliste: DSGVO beim Ticketverkauf im Freizeitbetrieb sicherstellen

• Verzeichnis von Verarbeitungstätigkeiten (VVT) für den Ticketverkauf angelegt
• Rechtsgrundlage je Datenkategorie dokumentiert
• AV-Vertrag mit Ticket-/POS-Dienstleister unterschrieben, inkl. TOM-Anhang
• Subprozessoren und Serverstandorte geprüft (EU / SCC bei Drittland)
• Newsletter-Opt-in separat, leer, mit Double-Opt-in und Protokoll
• Kopplungsverbot eingehalten (Kauf ohne Newsletter möglich)
• Löschkonzept mit Fristen je Kategorie, automatisierte Löschjobs
• Datenschutzerklärung deckt Ticketing, Zahlung und Einlass ab
• Auskunfts- und Löschanfragen (Art. 15/17) bearbeitbar
• Verschlüsselung (TLS, Zugriffskontrolle, Backup) technisch abgesichert

Die technische Absicherung — Verschlüsselung, Zugriffskontrolle, Backups — ist Teil unserer IT-Sicherheit; die saubere Neugestaltung von Buchungs- und Ticketprozessen begleiten wir im Rahmen der digitalen Transformation.

Weiterführende Artikel dieser Serie

• Online-Tickets verkaufen – Gesamtüberblick für Freizeitbetriebe

Fazit

DSGVO-Konformität beim Ticketverkauf im Freizeitbetrieb ist kein Hexenwerk, sondern eine Frage von Struktur: erheben, was der Vertrag braucht; Marketing sauber per Einwilligung trennen; Scan-Logs kurz halten; löschen, was seinen Zweck erfüllt hat; und einen AV-Vertrag mit jedem Dienstleister schließen. Wer das von Anfang an in sein Buchungs- und Ticketsystem einbaut, spart sich später teure Nachbesserungen und Abmahnrisiken.

Sie planen ein Online-Ticketing für Kartbahn, Indoor-Spielplatz oder Trampolinhalle und wollen Datenschutz von Beginn an richtig aufsetzen? Sprechen Sie mit SW Business Solutions — wir bauen Buchungs- und Ticketsysteme, die Vertrags-, Zahlungs- und Einwilligungsdaten von Grund auf getrennt und DSGVO-konform verarbeiten.