Datenschutz beim Ticketkauf

Früher war der Ticketkauf kein Problem. Alles war analog. Es gab keine Onlinebestellung, keine Verknüpfung der Eintrittskarte mit dem Name ihres Käufers uns es gab auch keine RFID-Chips (= Funkchips), die kaum spürbar in ein Eintrittskarte eingebaut werden kann.

Das führt uns zu der Frage dieses Beitrages: Gibt es ein Datenschutzproblem beim Ticketkauf? Nun, in der Regel wohl nicht. Der traditionelle Kartenverkauf ist ja nach wie vor nicht unerheblich. Beim Onlinekauf wiederum stellen sich keine besonderen Probleme, die es nicht in jedem anderen Onlineshop auch gäbe.

Problematisch können aber die zunehmend zum Einsatz kommenden personalisierten Einrittskarten sein. Erstmals großflächig wurden bei der Fußball WM 2006 in Deutschland Karten ausschließlich personalisiert verkauft. Jeder Käufer musste seine personenbezogenen Daten schon beim Kauf der Karte angeben. Die Daten wurden dann teilweise auf die Karte gedruckt (wie z.B. der Name) und teilweise auf einem RFID-Chip auf der Karte gespeichert. Im Chip war eine Nummer gespeichert. Diese enthielt einen Hash-Wert, der sich aus der Reservierungsnummer und der Chip-ID zusammensetzt.

Die Ausstattung der WM-Tickets mit Chips sollte unter anderem Ticketfälschungen erschweren und sicherstellen, dass nur Personen, die ihr Ticket offiziell erworben haben, in die WM-Stadien gelangen. Insbesondere wollte man vermeiden, dass Hooligans ins Stadion gelangen.

Die Kontrolle des Zugangs zu den Stadien wurde in mehreren Phasen durchgeführt. Bei einer stichprobenartig durchgeführten Ausweiskontrolle erfolgte zunächst ein optischer Abgleich des Ausweispapiers mit dem Ticketaufdruck. Im Rahmen weiterer technischer Kontrollen bestand dann die Möglichkeit zu prüfen, ob die auf dem Chip gespeicherte Nummer mit den Daten aus dem Ticketverkaufsystem identisch und der Inhaber des Tickets rechtmäßiger Eigentümer ist.

Datenschutzrechtlich ist das sicherlich problematisch. Schließlich gibt es im Datenschutzrecht die Grundsätze der Datenvermeidung und Datensparsamkeit. Das bedeutet, dass Daten nur dann erhoben und gespeichert werden sollen, wenn es hierfür ein berechtigtes schutzwürdiges Interesse gibt. Letztendlich ist es eine Abwägungsfrage. Abzuwägen gilt es die Motive der Veranstalter an einem sicheren und reibungslosen Ablauf der Veranstaltung, für den der Veranstalter ja auch haftet, mit dem Persönlichkeitsrecht der Besucher.

Im Falle der WM-Tickets oder überhaupt von Fußballtickets mag der Zweck der Datenerhebung, nämlich die Vermeidung des Eintritts gewaltbereiter bzw. als gewaltbereit bekannter „Fans“ ein berechtigtes und legitimes Interesse des Veranstalters darstellen. Ob dieser legitime Zweck in Anbetracht der Erhebung und Speicherung der Daten aller Besucher verhältnismäßig umgesetzt wird, ist sicherlich grenzwertig. Nach meiner Rechtsauffassung dürfte der Grundsatz der Verhältnismäßigkeit – gerade auch in Anbetracht der Tatsache, dass die Sicherheit der friedlichen Besucher dadurch gewährleistet sein soll – noch gewahrt sein, so dass die Datenerhebung und -nutzung zulässig sein dürfte.

Das sähe aber bei anderen Veranstaltungen, also bei Fehlen eines vergleichbaren berechtigten Interesses an einer Datenerhebung – schon wieder ganz anders aus.

Gerichtsentscheidungen zu diesem Thema liegen nach meiner Kenntnis jedenfalls noch nicht vor.

Unabhängig davon muss immer die Transparenz gewahrt sein. Für die Käufer der Eintrittskarten muss deutlich erkennbar und nachvollziehbar sein, welche Daten wo und für welche Zwecke und für welchen Zeitraum gespeichert werden.

Dass die Daten unmittelbar nach Ende der Veranstaltung zu löschen sind, versteht sich von selbst. Der Zweck der Erhebung ist dann nämlich weg gefallen.

Timo Schutt

Rechtsanwalt & Fachanwalt für IT-Recht

Weiterführende Links

• Orginalmeldung von Schutt, Waetke - Rechtsanwälte
• Alle Meldungen von Schutt, Waetke - Rechtsanwälte