DSGVO und Ticketing: Was europäische Veranstalter wissen müssen

Sie verkaufen ein Ticket. Die Person, die es kauft, gibt ihren Namen, ihre E-Mail-Adresse und ihre Zahlungsdaten ein. Bei den meisten Ticketing-Plattformen gehören diese Daten nun der Plattform. Diese nimmt die Person in ihre eigenen Mailinglisten auf, spricht sie mit Werbung für konkurrierende Veranstaltungen erneut an und teilt aggregierte Daten mit Partnern. Diese Person hat sich für Ihr Konzert angemeldet, nicht für ein Leben lang Marketing von einem Unternehmen, von dem sie noch nie gehört hat.

Für europäische Veranstalter ist das nicht nur ein Vertrauensproblem. Es ist ein rechtliches.

„Wer ist der Verantwortliche für die Datenverarbeitung, wenn ich eine Ticketing-Plattform nutze?"

Laut DSGVO ist der Verantwortliche die Stelle, die festlegt, warum und wie personenbezogene Daten verarbeitet werden. Wenn Sie Tickets über eine Marktplatz-Plattform verkaufen, agiert die Plattform typischerweise als gemeinsam Verantwortlicher oder sogar als alleiniger Verantwortlicher für die Daten der Teilnehmenden. Das bedeutet, sie entscheiden, was mit den Informationen Ihres Publikums geschieht.

Bei Praticable sind Sie der Verantwortliche. Praticable verarbeitet die Daten der Teilnehmenden in Ihrem Auftrag als Auftragsverarbeiter. Der Unterschied ist wesentlich: Sie entscheiden, welche Daten erhoben werden, wie sie verwendet werden und wer Zugang hat. Praticable nutzt diese Daten nicht für eigenes Marketing, verkauft sie nicht und gibt sie nicht an Dritte weiter.

„Wo werden die Daten gespeichert?"

Die Infrastruktur von Praticable läuft auf europäischen Servern. Daten der Teilnehmenden, Transaktionsdatensätze und Veranstaltungsinformationen werden in der EU gespeichert. Das vereinfacht die Compliance für Veranstalter, die nachweisen müssen, dass personenbezogene Daten den Europäischen Wirtschaftsraum nicht ohne angemessene Schutzmaßnahmen verlassen.

Zahlungsdaten werden von Stripe verarbeitet, das PCI-DSS-konform ist und europäische Datenspeicherungsoptionen bietet. Da Sie Ihr eigenes Stripe-Konto verbinden, besteht die Zahlungsbeziehung zwischen Ihrer Organisation und Stripe, nicht vermittelt durch Praticable.

„Meine Teilnehmenden haben nicht zugestimmt, von der Plattform beworben zu werden"

Dies ist einer der häufigsten DSGVO-Verstöße in der Ticketing-Branche. Jemand erwirbt ein Ticket für Ihre Veranstaltung und beginnt, Werbe-E-Mails von der Plattform über unverwandte Veranstaltungen zu erhalten. Dem hat diese Person nicht zugestimmt; sie hat zugestimmt, ein Ticket von Ihnen zu kaufen.

Praticable sendet kein Marketing an Ihre Teilnehmenden. Die einzigen Mitteilungen, die Teilnehmende erhalten, sind transaktionsbezogen: ihre Ticketbestätigung, ihr Wallet-Pass und alle Benachrichtigungen, die Sie über das Dashboard versenden möchten. Sie kontrollieren die Kommunikation. Es gibt keinen parallelen Kanal, über den die Plattform eine eigene Beziehung zu Ihrem Publikum aufbaut.

„Was ist mit dem Recht auf Löschung?"

Laut DSGVO können Personen die Löschung ihrer personenbezogenen Daten verlangen. Bei einer Marktplatz-Plattform ist diese Anfrage kompliziert: Die Daten der Teilnehmenden sind mit den eigenen Systemen der Plattform, Marketing-Datenbanken und Analyse-Pipelines verflochten.

Bei Praticable ist die Löschung unkompliziert. Daten der Teilnehmenden, die mit Ihren Veranstaltungen verknüpft sind, können aus dem System entfernt werden. Da Praticable diese Daten nicht über Marketing-Systeme oder Drittanbieter-Integrationen repliziert, gibt es weniger Stellen, an denen Daten nach der Löschung verbleiben.

„Wie betrifft das unabhängige Theater und kleine Spielstätten?"

Unabhängige Theater und kleine Kulturstätten haben oft kein eigenes Rechts-Team, um die DSGVO-Konformität zu bewältigen. Sie brauchen eine Ticketing-Plattform, die von Grund auf konform ist, nicht eine, die sie zwingt, eine komplexe Datenteilungsvereinbarung zu prüfen.

Eine DSGVO-konforme Ticketing-Plattform für unabhängige Theater bedeutet:

• Keine überraschende Datenweitergabe. Die Informationen Ihrer Teilnehmenden bleiben in den Systemen, die Sie kontrollieren.
• Klare Auftragsverarbeitungsverträge. Praticable stellt einen AVV (Auftragsverarbeitungsvertrag) bereit, der genau definiert, welche Daten verarbeitet werden und wie.
• Minimale Datenerhebung. Praticable erhebt nur das, was zur Verarbeitung des Ticketkaufs und zur Zustellung des Tickets notwendig ist. Kein Verhaltenstracking, kein Profiling, keine Cookies für gezielte Werbung.
• Nachvollziehbarkeit. Ihre Daten befinden sich in Ihrem Stripe-Konto und Ihrem Praticable-Dashboard. Zwei Systeme, beide unter Ihrer Kontrolle, beide prüfbar.

„Worauf sollte ich bei einer DSGVO-konformen Ticketing-Plattform achten?"

Fünf Fragen, die Sie jedem Ticketing-Anbieter stellen sollten:

1. Wer ist der Verantwortliche? Wenn die Plattform der Verantwortliche ist, entscheidet sie, was mit den Daten Ihrer Teilnehmenden geschieht.
2. Betreibt die Plattform Marketing bei meinen Teilnehmenden? Wenn ja, werden Ihre Teilnehmenden ohne Ihr Wissen oder deren aussagekräftige Einwilligung kontaktiert.
3. Wo werden die Daten gespeichert? Daten, die außerhalb der EU gespeichert werden, erfordern zusätzliche rechtliche Schutzmaßnahmen.
4. Kann ich einen Auftragsverarbeitungsvertrag erhalten? Ein seriöser Auftragsverarbeiter wird diesen ohne Zögern bereitstellen.
5. Was passiert, wenn eine teilnehmende Person die Löschung verlangt? Die Antwort sollte einfach und vollständig sein, nicht „wir werden das prüfen".

Praticable beantwortet alle fünf Fragen klar: Sie sind der Verantwortliche, es gibt kein Plattform-Marketing, die Daten werden in der EU gespeichert, ein AVV ist verfügbar, und die Löschung ist unkompliziert.

---

DSGVO-Konformität ist kein Feature, das man nachträglich hinzufügt. Es ist eine Architekturentscheidung. Praticable ist so aufgebaut, dass die Datenbeziehung dort bleibt, wo sie hingehört: zwischen Ihnen und Ihrem Publikum. Erfahren Sie mehr oder fordern Sie eine Demo an.