DSGVO für Veranstalter: Daten, Fotos, Newsletter

Für Ticketkauf, Teilnehmernamen und Einlass brauchst du als Veranstalter keine Einwilligung. Die Rechtsgrundlage ist der Vertrag mit dem Gast (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung brauchst du für den Newsletter an Nicht-Kunden, für werbliche Porträtfotos und für Gesundheitsdaten. Dazu kommen drei Pflichten, die viele vergessen: Gäste informieren (Art. 13 DSGVO), Daten nach festen Fristen löschen und mit jedem Dienstleister, der Daten in deinem Auftrag verarbeitet, einen AV-Vertrag schließen. Mit Foto-Hinweis-Vorlage und Checkliste, Stand: November 2026.

Das Wichtigste in Kürze

Ticketdaten und Teilnehmernamen verarbeitest du auf Basis des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), Rechnungen wegen der gesetzlichen Aufbewahrungspflicht (lit. c).

Fotos für deine Öffentlichkeitsarbeit fallen unter die DSGVO, nicht unter das KUG. Übersichtsbilder gehen meist über das berechtigte Interesse (lit. f), Porträts für Werbung nur mit Einwilligung.

Werbe-Mails brauchen eine ausdrückliche Einwilligung (§ 7 Abs. 2 UWG). Ausnahme sind Ticketkäufer, wenn alle vier Bedingungen aus § 7 Abs. 3 UWG erfüllt sind.

Rechnungen und Buchungsbelege bewahrst du 8 Jahre auf (§ 147 Abs. 3 AO). Gästelisten und Scan-Protokolle löschst du, sobald du sie nicht mehr brauchst.

Verarbeitet ein Dienstleister Daten nach deinen Weisungen, brauchst du einen Vertrag nach Art. 28 DSGVO.

Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.

Wann gilt die DSGVO für Veranstalter?

Definition: Personenbezogene Daten sind alle Informationen, mit denen sich eine Person identifizieren lässt. Bei Events sind das zum Beispiel Name, E-Mail-Adresse, Bestellnummer, ein QR-Code, der einem Namen zugeordnet ist, Scan-Zeitpunkte und Fotos, auf denen Gäste erkennbar sind.

Die DSGVO gilt, sobald du solche Daten für eine Veranstaltung erhebst. Ausgenommen sind nur „ausschließlich persönliche oder familiäre Tätigkeiten“ (Art. 2 Abs. 2 lit. c DSGVO). Diese Haushaltsausnahme legt der Landesdatenschutzbeauftragte Baden-Württemberg eng aus: Erinnerungsfotos auf einer Familienfeier fallen darunter, eine öffentlich verkaufte Party nicht.

Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Bei deinem Event bist das in der Regel du: Du legst fest, was der Shop abfragt und wer die Gästeliste sieht.

Dazu kommen Grundpflichten:

Datenminimierung (Art. 5 Abs. 1 lit. c): Frag nur ab, was du für Ticket und Einlass brauchst. Geburtsdatum, Adresse oder Telefonnummer sind nur bei einem konkreten Zweck nötig.
Informationspflicht (Art. 13): Gäste erfahren beim Kauf, was mit ihren Daten passiert.
Verzeichnis von Verarbeitungstätigkeiten (Art. 30): Die Ausnahme für Organisationen unter 250 Beschäftigten greift nur, wenn du Daten bloß gelegentlich verarbeitest. Wer regelmäßig Tickets verkauft, sollte es führen. Die Tabelle im nächsten Abschnitt ist ein guter Anfang.
Datenschutzbeauftragter: meist erst ab 20 Personen nötig (siehe FAQ).

Lachende Gäste kommen am beleuchteten Festival-Eingang an und halten ihre Tickets bereit

Welche Rechtsgrundlage gilt für welche Daten?

Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Häufiger Fehler: für alles eine Einwilligung einholen. Die kann jederzeit widerrufen werden (Art. 7 Abs. 3), und dann dürftest du den Namen am Einlass nicht mehr prüfen.

Daten / Zweck	Rechtsgrundlage	Hinweis für die Praxis
Name, E-Mail, Bestellung, Zahlung beim Ticketkauf	Art. 6 Abs. 1 lit. b (Vertrag)	Keine Einwilligung nötig
Teilnehmername auf personalisierten Tickets	lit. b	Nur Name, keine weiteren Felder ohne Grund
E-Mails zum Event (Ticketversand, Einlasszeit, Absage)	lit. b	Das ist Vertragskommunikation, keine Werbung
Rechnungen, Buchungsbelege, Erstattungen	lit. c (gesetzliche Pflicht, § 147 AO)	8 Jahre aufbewahren
QR-Scan und Einlasskontrolle, Missbrauchsschutz	lit. b und lit. f (berechtigtes Interesse)	Scan-Protokolle zeitnah löschen
Gästeliste mit Begleitpersonen	lit. b bzw. lit. f	Begleitpersonen über den Einladenden informieren
Übersichtsfotos fürs Vereinsarchiv, Website, Pressebericht	lit. f	Hinweis vorab und am Einlass, Widerspruch ermöglichen
Porträts für Werbeanzeigen, Plakate, Social Ads	lit. a (Einwilligung)	Schriftlich oder elektronisch dokumentieren
Newsletter an Interessenten	lit. a und § 7 Abs. 2 UWG	Double-Opt-in
Werbung an Ticketkäufer für ähnliche Events	lit. f und § 7 Abs. 3 UWG	Nur wenn alle vier Bedingungen erfüllt sind
Allergien, Rollstuhlplatz, Assistenzbedarf	Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung)	Gesundheitsdaten, getrennt erfragen und früh löschen

Wann ist das berechtigte Interesse genug?

Bei lit. f wägst du deine Interessen gegen die Interessen der Gäste ab. Entscheidend sind die „vernünftigen Erwartungen“ der Betroffenen (Erwägungsgrund 47 DSGVO). Gäste können einer Verarbeitung auf Basis von lit. f widersprechen, wenn Gründe aus ihrer besonderen Situation vorliegen (Art. 21 Abs. 1). Gegen Direktwerbung geht der Widerspruch immer (Art. 21 Abs. 2). Wenn du lit. f nutzt, musst du das konkrete Interesse in deinen Datenschutzhinweisen nennen (Art. 13 Abs. 1 lit. d).

Darf die Einwilligung an den Ticketkauf gekoppelt werden?

Nicht für Zwecke, die für den Vertrag unnötig sind. Ob eine Einwilligung freiwillig war, hängt ausdrücklich davon ab, ob der Vertrag an sie gekoppelt wurde (Art. 7 Abs. 4). Biete Newsletter und Foto-Einwilligung deshalb als eigene, nicht vorausgewählte Optionen an.

Was musst du Gästen beim Ticketkauf mitteilen?

Wenn du Daten direkt beim Gast erhebst, musst du ihn „zum Zeitpunkt der Erhebung“ informieren (Art. 13 DSGVO). Beim Online-Ticketverkauf heißt das: Die Datenschutzhinweise sind vor dem Kaufabschluss verlinkt. Praxishinweise gibt das DSK-Kurzpapier Nr. 10.

Pflichtangaben nach Art. 13 Abs. 1 und 2 DSGVO, übersetzt auf Events:

Verkaufst du über eine Ticketing-Plattform, informiert sie über ihre eigene Verarbeitung. Für Gästeliste, Fotos, Newsletter und Exporte bleibst du zuständig. Verlinke deine Hinweise in der Eventbeschreibung.

Fotos auf der Veranstaltung: KUG oder DSGVO?

Kurz: Für die Fotos, die du als Veranstalter für Website, Social Media oder Werbung machst, gilt die DSGVO. Das Kunsturhebergesetz (KUG) gilt laut BGH vorrangig nur noch für journalistisch-redaktionelle Zwecke, gestützt auf die Öffnungsklausel in Art. 85 Abs. 2 DSGVO (BGH, Urteile vom 07.07.2020, VI ZR 246/19 und VI ZR 250/19).

Nach § 22 KUG dürfen Bildnisse grundsätzlich nur mit Einwilligung verbreitet werden. § 23 Abs. 1 KUG nennt Ausnahmen, darunter Bilder, auf denen Personen nur als Beiwerk erscheinen (Nr. 2), und „Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen“ (Nr. 3). Der LfDI Baden-Württemberg schreibt dazu: Unabhängig vom Theorienstreit fließen die Wertungen des KUG in die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO ein. Was nach KUG ohne Einwilligung ginge, geht also meist auch über das berechtigte Interesse.

Welche Fotos gehen ohne Einwilligung?

Motiv	Typische Grundlage	Empfehlung
Totale vom vollen Saal, Publikum von hinten, Bühne mit Menge	lit. f	Hinweis vorab und am Einlass genügt meist
Künstler auf der Bühne	Vertrag mit dem Künstler	Fotoklausel in den Künstlervertrag
Kleine Gruppe, Gesichter klar erkennbar, Website-Rückblick	lit. f, Abwägung im Einzelfall	Fotograf fragt kurz nach, Widerspruch respektieren
Porträt einer einzelnen Person für Plakat, Anzeige, Ticketshop	lit. a	Schriftliche Einwilligung mit Zweck und Kanälen
Kinder und Jugendliche, nicht nur als Beiwerk	lit. a	Einwilligung der Eltern einholen
Interne Feier, Weihnachtsfeier, geschlossene Gesellschaft	eher lit. a	Gäste erwarten keine Veröffentlichung

Der LfDI BW unterscheidet zwischen Erwartungen: Bei einer größeren Veranstaltung auf Einladung rechnen Gäste mit einer Dokumentation, aber nicht damit, dass die Fotos veröffentlicht oder werblich genutzt werden. Bei öffentlich beworbenen Veranstaltungen kann das anders aussehen. Eine Einwilligung muss nicht schriftlich sein, du musst sie aber nachweisen können (Art. 7 Abs. 1).

Vorlage: Foto-Hinweis für den Einlass

Der LfDI BW empfiehlt einen Aushang an den Eingängen mit den Basisinformationen. Die ausführlichen Angaben stehen dann auf einer Webseite (gestufte Information). Der folgende Text ist ein unverbindliches Muster, keine geprüfte Rechtsvorlage.

Hinweis zu Foto- und Videoaufnahmen (Muster, unverbindlich)

Auf dieser Veranstaltung fotografiert und filmt [Name des Veranstalters] bzw. ein beauftragter Fotograf. Wir nutzen die Aufnahmen für den Rückblick auf unserer Website und auf unseren Social-Media-Kanälen [Kanäle nennen]. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Veranstaltung zu dokumentieren und darüber zu berichten (Art. 6 Abs. 1 lit. f DSGVO). Porträts für Werbung machen wir nur mit deiner ausdrücklichen Zustimmung.

Du möchtest nicht fotografiert werden? Sag es dem Fotografen oder dem Team am Einlass, dann bekommst du [z. B. ein farbiges Bändchen]. Gegen bereits veröffentlichte Bilder kannst du jederzeit unter [E-Mail] widersprechen. Wir prüfen das und entfernen das Bild in der Regel.

Verantwortlich: [Name, Anschrift]. Alle Informationen zum Datenschutz: [kurze URL].

Häng den Hinweis vor dem Einlass auf, nicht erst im Saal, und wiederhole ihn in der Eventbeschreibung. Das Bändchen ist kein Muss, hilft dem Fotografen aber.

Fotografin mitten im feiernden Publikum fotografiert die jubelnde Menge mit Konfetti

Werbe-E-Mails ohne vorherige ausdrückliche Einwilligung sind eine unzumutbare Belästigung (§ 7 Abs. 2 Nr. 2 UWG). Das gilt auch für den Hinweis auf dein nächstes Event.

So funktioniert das Double-Opt-in

Die Person trägt ihre E-Mail-Adresse in ein Formular ein, mit einem eigenen, nicht vorausgewählten Kästchen.
Sie bekommt eine Bestätigungsmail mit Link. Diese Mail enthält keine Werbung.
Erst nach dem Klick landet die Adresse im Verteiler. Du speicherst Zeitpunkt und Version des Einwilligungstexts.

Das Double-Opt-in-Verfahren ist als Nachweis anerkannt, und die Bestätigungsmail selbst ist grundsätzlich zulässig. Das OLG München zitiert dafür die Rechtsprechung des BGH (I ZR 164/09). Melden sich Minderjährige an, beachte Art. 8 DSGVO: Bei Online-Diensten, die sich direkt an Kinder richten, ist eine Einwilligung erst ab 16 Jahren wirksam, darunter braucht es die Eltern.

Die Ausnahme für Ticketkäufer (§ 7 Abs. 3 UWG)

Ohne Einwilligung darfst du Ticketkäufern Werbung per E-Mail schicken, wenn alle vier Bedingungen erfüllt sind:

Bedingung (§ 7 Abs. 3 UWG)	Was das beim Event heißt
Nr. 1: Adresse im Zusammenhang mit einem Verkauf erhalten	Die Person hat bei dir ein Ticket gekauft. Gratis-Anmeldungen und Gästelisten sind kein Verkauf.
Nr. 2: Werbung für eigene ähnliche Waren oder Dienstleistungen	Dein nächstes Konzert oder deine nächste Party, nicht das Angebot eines Sponsors
Nr. 3: Kein Widerspruch	Wer abgemeldet ist, bleibt draußen
Nr. 4: Klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und in jeder Mail	Im Checkout und als Abmeldelink in jeder Mail

Am häufigsten fehlt Nr. 4 bei der Erhebung: Ohne Hinweis im Checkout greift die Ausnahme nicht. Mehr Ideen für die Werbung selbst findest du im Ratgeber Event-Marketing.

Gästeliste, Einlass und Scanner-Helfer: Wer darf was sehen?

Am Einlass sehen viele Menschen Daten: Ordner, Kassenteam, Freunde am Scanner. Sie handeln unter deiner Verantwortung (Art. 29 DSGVO), also regelst du, wer was sieht.

Need-to-know: Wer scannt, braucht keinen Zugriff auf Umsätze oder E-Mail-Adressen. Für den Abgleich reicht Name und Ticketstatus.
Vertraulichkeit: Weise Helfer vor dem Event kurz ein. Ein Satz im Helferbriefing reicht: keine Fotos von Listen oder Bildschirmen, keine Weitergabe, nach dem Event Zugänge abgeben.
Ausgedruckte Listen: Nicht offen liegen lassen, nach dem Event schreddern.
Zugangslinks: Scanner-Links wie einen Schlüssel behandeln, nur an eingewiesene Helfer, nicht in große Gruppenchats.
Ausweise: Am Einlass reicht ein Blick auf den Ausweis. Kopieren ist nur mit Zustimmung des Inhabers zulässig (§ 20 PAuswG) und wird für den Einlass nicht gebraucht. Details im Ratgeber Personalisierte Tickets.

Vorlage: Gästeliste führen. Zum Scanner-Ablauf: Einlasskontrolle mit QR-Code.

Datenpanne am Event: Was tun?

Verlierst du eine ausgedruckte Gästeliste oder landet ein Export im falschen Chat, ist das eine Verletzung des Schutzes personenbezogener Daten. Du musst sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO).

Wie lange darfst du Teilnehmerdaten speichern?

Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e DSGVO). Für steuerlich relevante Unterlagen schreibt dir § 147 AO Mindestfristen vor. Seit dem 01.01.2025 gilt für Buchungsbelege eine Frist von 8 statt bisher 10 Jahren (Stand: November 2026).

Unterlage	Frist	Grundlage
Rechnungen, Gutschriften, Erstattungsbelege, Kassenbelege (Buchungsbelege)	8 Jahre	§ 147 Abs. 1 Nr. 4, Abs. 3 AO
Bücher, Jahresabschlüsse, Organisationsunterlagen	10 Jahre	§ 147 Abs. 1 Nr. 1, Abs. 3 AO
Handels- und Geschäftsbriefe, sonstige steuerrelevante Unterlagen	6 Jahre	§ 147 Abs. 1 Nr. 2, 3, 5, Abs. 3 AO
Gästeliste, Scan-Protokolle, Teilnehmernamen ohne Steuerbezug	keine feste Frist, löschen nach Zweckerfüllung	Art. 5 Abs. 1 lit. e, Art. 17 DSGVO
Newsletter-Einwilligung mit Nachweis	solange der Newsletter läuft, plus Nachweisphase	Art. 7 Abs. 1 DSGVO
Gesundheitsangaben (Allergien, Assistenz)	nach dem Event löschen	Art. 5, Art. 9 DSGVO

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist (§ 147 Abs. 4 AO). Sie läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 Satz 5 AO).

Beispielrechnung: Wann darf die Ticketrechnung weg?

Du verkaufst Tickets für ein Konzert am 14.03.2026. Die Rechnungen entstehen im Jahr 2026. Die Frist beginnt am 31.12.2026 und endet nach 8 Jahren am 31.12.2034. Ab 2035 darfst du die Belege löschen, wenn keine offene Steuerfestsetzung entgegensteht. Die Gästeliste desselben Konzerts brauchst du dagegen nur, bis Einlass und Abrechnung erledigt sind. Ein interner Löschtermin wie „30 Tage nach dem Event“ ist eine praktikable eigene Festlegung. Das Gesetz nennt keine feste Zahl.

Das Steuerrecht verlangt nur die Belege, nicht die ganze Teilnehmerdatenbank. Trenne deshalb früh zwischen Buchhaltung und Eventdaten (zum Löschkonzept: DSK-Kurzpapier Nr. 11).

AV-Vertrag mit der Ticketing-Plattform: Was ist das?

Definition: Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Mit ihm brauchst du einen Vertrag nach Art. 28 Abs. 3 DSGVO, kurz AV-Vertrag oder AVV. Er kann schriftlich oder in einem elektronischen Format geschlossen werden (DSK-Kurzpapier Nr. 13).

Typische Auftragsverarbeiter bei Events: Newsletter-Tools, Cloud-Speicher für Gästelisten, Anmeldeformulare und Ticketsysteme, die Daten nach deinen Vorgaben speichern. Nicht jeder Dienstleister ist aber Auftragsverarbeiter. Wer Daten für eigene Zwecke verarbeitet, ist insoweit selbst Verantwortlicher; das gilt nach Art. 28 Abs. 10 DSGVO auch für einen Auftragsverarbeiter, der eigenmächtig Zwecke festlegt. Legen zwei Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche (Art. 26 DSGVO) und brauchen eine eigene Vereinbarung. Welche Rolle ein Ticketing-Anbieter hat, hängt von der konkreten Gestaltung ab und steht in seinen Vertragsunterlagen.

Ein AV-Vertrag muss nach Art. 28 Abs. 3 DSGVO unter anderem regeln:

Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen
Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer
Vertraulichkeit der eingesetzten Personen
technische und organisatorische Maßnahmen nach Art. 32
Unterauftragsverarbeiter nur mit Genehmigung, bei allgemeiner Genehmigung mit Info und Einspruchsmöglichkeit (Art. 28 Abs. 2)
Unterstützung bei Betroffenenrechten und Datenpannen
Löschung oder Rückgabe nach Vertragsende
Nachweise und Kontrollen

Prüfe vor dem Verkaufsstart: Gibt es einen AVV, eine Liste der Unterauftragsverarbeiter und eine Grundlage für Drittlandübermittlungen? Lege den AVV zu deinem Verarbeitungsverzeichnis.

Checkliste: DSGVO für dein Event

So setzt du das mit Eventoren um

Bei Eventoren kaufen Gäste ohne Kundenkonto. Abgefragt werden Vor- und Nachname, E-Mail, optional eine Telefonnummer und für jedes Ticket ein Teilnehmername. Die Tickets kommen als PDF mit QR-Code per E-Mail.

Laut Datenschutzerklärung von Eventoren werden die für dein Event nötigen Daten an dich übermittelt, und du verarbeitest sie als eigener Verantwortlicher. Deine Datenschutzhinweise für Gästeliste, Fotos und Exporte brauchst du deshalb trotzdem. Welche Vertragsdokumente für deine Organisation gelten, siehst du vor dem Verkaufsstart im Onboarding. Lege sie zu deinen Unterlagen.

Für das Need-to-know-Prinzip hilft das Rollenmodell: Die Rolle Einlass hat nur Zugriff auf Einlass, Abendkasse und Gästeliste, nicht auf Finanzen. Helfer ohne Konto scannen über teilbare Scanner-Links im Smartphone-Browser. Exporte gibt es als CSV, XLSX, PDF und ICS. Denk daran, dass du für exportierte Dateien selbst die Löschfristen einhältst. Einen Newsletter-Versand bietet Eventoren nicht an. Fragen beantworten wir über Kontakt.

Häufige Fragen

Brauche ich für den Ticketverkauf eine Einwilligung nach DSGVO?

Nein. Name, E-Mail und Bestelldaten verarbeitest du, um den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung brauchst du nur für zusätzliche Zwecke wie Newsletter an Nicht-Kunden oder werbliche Porträts.

Darf ich Fotos von Gästen auf Instagram posten?

Übersichtsbilder von öffentlichen Events kannst du meist auf dein berechtigtes Interesse stützen (lit. f), wenn du vorher und am Einlass darauf hinweist und Widersprüche respektierst. Für Porträts einzelner Personen in Werbung brauchst du eine Einwilligung. Bei Kindern, die nicht nur Beiwerk sind, brauchst du die Einwilligung der Eltern.

Gilt das KUG für Eventfotos noch?

Für Fotos, die du als Veranstalter für deine eigene Öffentlichkeitsarbeit machst, gilt nach der BGH-Rechtsprechung von 2020 die DSGVO. Das KUG gilt vorrangig für journalistische Zwecke. Seine Wertungen fließen aber in die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO ein.

Darf ich Ticketkäufern ohne Einwilligung meinen Newsletter schicken?

Ja, aber nur unter den vier Bedingungen des § 7 Abs. 3 UWG: Die Adresse stammt aus einem Ticketverkauf, du bewirbst eigene ähnliche Events, der Kunde hat nicht widersprochen, und du hast beim Kauf und in jeder Mail auf das Widerspruchsrecht hingewiesen. Fehlt der Hinweis beim Kauf, brauchst du eine Einwilligung.

Wie lange muss ich Gästelisten aufbewahren?

Für Gästelisten gibt es keine Aufbewahrungspflicht. Lösche sie, sobald Einlass, Abrechnung und mögliche Rückfragen erledigt sind. Aufbewahren musst du nur steuerlich relevante Belege wie Rechnungen, und zwar 8 Jahre ab Ende des Kalenderjahres (§ 147 AO).

Braucht mein Verein einen Datenschutzbeauftragten?

In der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Die übrigen DSGVO-Pflichten gelten unabhängig davon.