DSGVO für Hotels und B&Bs: Gästedaten rechtskonform verwalten
Praxisleitfaden zur DSGVO für Hotels und B&Bs: welche Daten Sie verarbeiten, die Rechtsgrundlagen, Speicherfristen, Gästerechte und Sicherheitsmaßnahmen.
Ein Hotel oder B&B verarbeitet täglich personenbezogene Daten: vom Ausweis beim Check-in bis zur Bestätigungs-E-Mail. Rechtmäßigkeit hängt unter anderem von Zweck, Rechtsgrundlage, Information der Gäste, Sicherheit und Aufbewahrung ab. Dieser Leitfaden bietet eine erste Orientierung und ersetzt keine Prüfung Ihres konkreten Falls.
Welche Daten Sie verarbeiten (oft ohne es zu merken)
Ein Beherbergungsbetrieb erhebt mehr Daten, als Sie sich vorstellen. Manche sind gesetzlich vorgeschrieben, andere braucht es zur Erbringung der Leistung, wieder andere erfragen Sie schlicht, um besser zu arbeiten.
- Ausweisdokumente und Stammdaten (Name, Geburtsdatum, Staatsangehörigkeit) zur Gästemeldung
- Kontaktdaten: E-Mail und Telefonnummer zur Bestätigung der Buchung und zur Betreuung des Gastes
- Zahlungs- und Rechnungsdaten, die größtenteils über den Bankenkreislauf abgewickelt werden
- Vorlieben und Aufenthaltsnotizen (hohes Stockwerk, Allergien, Ankunftszeit)
- Etwaige Kennzeichen für Umweltzonen (ZTL) oder Parkplätze
Die Rechtsgrundlagen: warum Sie sie verarbeiten dürfen
Jedes Datum muss einen rechtlichen Grund haben. Das ist keine abstrakte Bürokratie: Es ist das, was Sie schützt, falls jemand Rechenschaft von Ihnen verlangt. In der Praxis gibt es für einen Beherbergungsbetrieb drei Grundlagen.
- Gesetzliche Pflicht: Die Meldung der Beherbergten an die Sicherheitsbehörden ist gesetzlich vorgeschrieben; hier ist keine Einwilligung nötig — im Gegenteil, Sie können nicht darauf verzichten
- Vertragserfüllung: Für die Verwaltung von Buchung, Aufenthalt und Zahlung genügen die erforderlichen Daten, ohne Genehmigungen einzuholen
- Einwilligung: nur nötig für alles, was über die Leistung hinausgeht, typischerweise Marketing — Newsletter, Angebote, Bewertungsanfragen. Sie muss freiwillig, spezifisch und widerruflich sein
Die Unterscheidung ist sehr praktisch: Sie dürfen niemanden von Amts wegen zum Newsletter anmelden, nur weil er ein Zimmer gebucht hat.
Wie lange sie aufbewahren
Alles für immer zu behalten ist genauso ein Fehler wie zu früh zu löschen. Die Regel lautet, jedes Datum nur so lange aufzubewahren, wie es seinem Zweck dient.
- Meldedaten der Gäste: Die Übermittlung an die Sicherheitsbehörden richtet sich nach den gesetzlichen Fristen — es ist kein Marketing-Archiv zur Wiederverwendung
- Steuerunterlagen und Rechnungen: Die zivil- und steuerrechtliche Aufbewahrung beträgt in Italien in der Regel zehn Jahre
- Marketing-Kontakte: solange der Gast die Einwilligung nicht widerruft; danach sind sie zu löschen
- Vorlieben und Aufenthaltsnotizen: nützlich für die Rückkehr des Gastes, aber regelmäßig zu prüfen und zu bereinigen
Ein guter Grundsatz: Dient ein Datum keinem seiner Zwecke mehr, wird es gelöscht.
Die Rechte der Gäste
Der Gast bleibt Inhaber seiner eigenen Daten und kann bestimmte Rechte ausüben. Sie müssen in angemessener Zeit reagieren können — sei es auch nur durch ein klares Verfahren, wer dafür zuständig ist.
- Auskunft: wissen, welche Daten Sie verarbeiten, und eine Kopie davon erhalten
- Berichtigung: falsche oder unvollständige Angaben korrigieren
- Löschung: vergessen werden, wenn keine Aufbewahrungspflicht vorgeht
- Widerspruch gegen Marketing und Widerruf der Einwilligung jederzeit
Praktische Maßnahmen, die Sie sofort umsetzen
Datensicherheit erfordert keine IT-Abteilung: Sie erfordert Gewohnheiten. In kleinen Betrieben entstehen die meisten Probleme durch herumliegende Zettel und informelle Nachrichten, nicht durch ausgefeilte Angriffe.
- Beschränkter Zugriff: Jeder Mitarbeiter sieht nur, was er braucht, mit persönlichen, nicht geteilten Konten
- Keine sensiblen Daten auf Papierzetteln, Rezeptionsheften oder in WhatsApp-Gruppen
- Daten und Dokumente auf verschlüsselten Systemen, mit starken Passwörtern und, wo möglich, Zwei-Faktor-Authentifizierung
- Kopien von Dokumenten löschen, sobald sie nicht mehr gebraucht werden
- Eine interne Ansprechperson, die auf eine Anfrage des Gastes reagieren kann
Zusammengefasst
Für den Datenschutz sind Datenarten, Rechtsgrundlagen und Aufbewahrungsfristen wichtige Ausgangspunkte, aber keine vollständige Checkliste. Im Pilotprogramm mit HotelOnlineAI können wir Ihren Bedarf an Datenorganisation und die passenden Einstellungen besprechen. Rollen, Zugriffe, Aufbewahrung und Unterlagen zur Datenverarbeitung sind für Ihren konkreten Fall mit Ihrer Datenschutzberatung abzustimmen.