DSGVO für Hotels und B&Bs: Gästedaten rechtskonform verwalten

Die DSGVO wirkt als Kürzel bedrohlicher als in der Sache. Ein Hotel oder ein B&B verarbeitet jeden Tag personenbezogene Daten — vom beim Check-in vorgezeigten Ausweis bis zur Bestätigungs-E-Mail — und die gute Nachricht ist: Fast alles, was Sie tun, ist bereits rechtmäßig, sofern Sie wissen, warum Sie es tun und wie lange Sie die Informationen aufbewahren. Sehen wir uns konkret an, wie Sie Gästedaten rechtskonform handhaben, ohne die Rezeption in eine Anwaltskanzlei zu verwandeln.

Welche Daten Sie verarbeiten (oft ohne es zu merken)

Ein Beherbergungsbetrieb erhebt mehr Daten, als Sie sich vorstellen. Manche sind gesetzlich vorgeschrieben, andere braucht es zur Erbringung der Leistung, wieder andere erfragen Sie schlicht, um besser zu arbeiten.

• Ausweisdokumente und Stammdaten (Name, Geburtsdatum, Staatsangehörigkeit) zur Gästemeldung
• Kontaktdaten: E-Mail und Telefonnummer zur Bestätigung der Buchung und zur Betreuung des Gastes
• Zahlungs- und Rechnungsdaten, die größtenteils über den Bankenkreislauf abgewickelt werden
• Vorlieben und Aufenthaltsnotizen (hohes Stockwerk, Allergien, Ankunftszeit)
• Etwaige Kennzeichen für Umweltzonen (ZTL) oder Parkplätze

Die Rechtsgrundlagen: warum Sie sie verarbeiten dürfen

Jedes Datum muss einen rechtlichen Grund haben. Das ist keine abstrakte Bürokratie: Es ist das, was Sie schützt, falls jemand Rechenschaft von Ihnen verlangt. In der Praxis gibt es für einen Beherbergungsbetrieb drei Grundlagen.

• Gesetzliche Pflicht: Die Meldung der Beherbergten an die Sicherheitsbehörden ist gesetzlich vorgeschrieben; hier ist keine Einwilligung nötig — im Gegenteil, Sie können nicht darauf verzichten
• Vertragserfüllung: Für die Verwaltung von Buchung, Aufenthalt und Zahlung genügen die erforderlichen Daten, ohne Genehmigungen einzuholen
• Einwilligung: nur nötig für alles, was über die Leistung hinausgeht, typischerweise Marketing — Newsletter, Angebote, Bewertungsanfragen. Sie muss freiwillig, spezifisch und widerruflich sein

Die Unterscheidung ist sehr praktisch: Sie dürfen niemanden von Amts wegen zum Newsletter anmelden, nur weil er ein Zimmer gebucht hat.

Wie lange sie aufbewahren

Alles für immer zu behalten ist genauso ein Fehler wie zu früh zu löschen. Die Regel lautet, jedes Datum nur so lange aufzubewahren, wie es seinem Zweck dient.

• Meldedaten der Gäste: Die Übermittlung an die Sicherheitsbehörden richtet sich nach den gesetzlichen Fristen — es ist kein Marketing-Archiv zur Wiederverwendung
• Steuerunterlagen und Rechnungen: Die zivil- und steuerrechtliche Aufbewahrung beträgt in Italien in der Regel zehn Jahre
• Marketing-Kontakte: solange der Gast die Einwilligung nicht widerruft; danach sind sie zu löschen
• Vorlieben und Aufenthaltsnotizen: nützlich für die Rückkehr des Gastes, aber regelmäßig zu prüfen und zu bereinigen

Ein guter Grundsatz: Dient ein Datum keinem seiner Zwecke mehr, wird es gelöscht.

Die Rechte der Gäste

Der Gast bleibt Inhaber seiner eigenen Daten und kann bestimmte Rechte ausüben. Sie müssen in angemessener Zeit reagieren können — sei es auch nur durch ein klares Verfahren, wer dafür zuständig ist.

• Auskunft: wissen, welche Daten Sie verarbeiten, und eine Kopie davon erhalten
• Berichtigung: falsche oder unvollständige Angaben korrigieren
• Löschung: vergessen werden, wenn keine Aufbewahrungspflicht vorgeht
• Widerspruch gegen Marketing und Widerruf der Einwilligung jederzeit

Praktische Maßnahmen, die Sie sofort umsetzen

Datensicherheit erfordert keine IT-Abteilung: Sie erfordert Gewohnheiten. In kleinen Betrieben entstehen die meisten Probleme durch herumliegende Zettel und informelle Nachrichten, nicht durch ausgefeilte Angriffe.

• Beschränkter Zugriff: Jeder Mitarbeiter sieht nur, was er braucht, mit persönlichen, nicht geteilten Konten
• Keine sensiblen Daten auf Papierzetteln, Rezeptionsheften oder in WhatsApp-Gruppen
• Daten und Dokumente auf verschlüsselten Systemen, mit starken Passwörtern und, wo möglich, Zwei-Faktor-Authentifizierung
• Kopien von Dokumenten löschen, sobald sie nicht mehr gebraucht werden
• Eine interne Ansprechperson, die auf eine Anfrage des Gastes reagieren kann

Zusammengefasst

Für ein Hotel oder ein B&B läuft die DSGVO auf drei Fragen hinaus: welche Daten Sie verarbeiten, auf welcher Rechtsgrundlage und wie lange Sie sie aufbewahren. Wer diese drei Dinge gut beantwortet, ist für den Großteil der Arbeit bereits rechtskonform. HotelOnlineAI ist darauf ausgelegt, Gästedaten konform zu verarbeiten — Hosting innerhalb der Europäischen Union und Werkzeuge, um sie auf Anfrage zu exportieren oder zu löschen —, sodass die technische Seite bereits abgedeckt ist und Ihnen das Wesentliche bleibt: die Beziehung zum Gast.