DSGVO und Gästedaten: Verzeichnis, Aufbewahrungsfristen und gute Praxis für Gastgeber

Die DSGVO gilt für jeden Gastgeber einer touristischen Unterkunft, der personenbezogene Daten seiner Gäste erhebt. Bei jeder Buchung verarbeiten Sie mindestens Identität und Kontaktdaten Ihrer Gäste, manchmal einen Ausweis und regelmäßig auch die Historie ihrer Nachrichten, Bewertungen und Zahlungen. Das gilt für unabhängige Gastgeber, Concierge-Services oder Hoteliers, ganz gleich, ob Sie diese Informationen in einem Papierheft, einer Excel-Datei oder einem Cloud-PMS führen.

Das ist kein abstraktes juristisches Thema. Eine zu lange Aufbewahrung, ein Dateileck oder die Weigerung, auf eine Auskunftsanfrage zu reagieren, kann zu einer Geldbuße, einer Beschwerde des Gastes oder zu einem Vertrauensverlust führen, der schwer wieder gutzumachen ist. Dieser Leitfaden bietet Ihnen einen operativen DSGVO-Rahmen: das Verzeichnis der Verarbeitungstätigkeiten, Aufbewahrungsfristen, die Rechte der Gäste und bewährte Praktiken, abgestimmt auf Ihr Gästeverzeichnis und Ihren Self-Check-in.

Kurz gesagt

Die DSGVO gilt, sobald Sie auch nur eine einzige Unterkunft vermieten: Die Anzahl der Objekte ändert nichts an der Pflicht. Das Verzeichnis der Verarbeitungstätigkeiten ist das zentrale Dokument Ihrer Compliance; es erfasst Zwecke, Fristen, Empfänger und Sicherheitsmaßnahmen. Bewahren Sie Ausweiskopien nicht unbegrenzt auf: Legen Sie begrenzte Fristen fest, planen Sie regelmäßige Löschungen und beschränken Sie die erhobenen Daten auf das unbedingt Notwendige. Benennen Sie außerdem einen Datenverantwortlichen, selbst in einem Zwei-Personen-Team, und geben Sie im Gästebuch eine eigene E-Mail-Adresse an.

Warum die DSGVO jeden Gastgeber betrifft, nicht nur große Ketten

Die DSGVO schützt die natürlichen Personen, deren Daten Sie verarbeiten. Bei Kurzzeitvermietungen sind Sie oft Verantwortlicher für die Gästedaten im gesetzlichen Register, für Kopien von Ausweisdokumenten, für außerhalb der Plattform erhobene Kontaktdaten (E-Mail, Telefon), für Nachrichtenverläufe, wenn Sie diese exportieren, und für Fotos von Übergaben oder Zuständen, wenn darauf ein Gesicht oder indirekte personenbezogene Daten zu sehen sind.

Sie können auch Auftragsverarbeiter sein, wenn Sie Objekte für einen Eigentümer verwalten, der die Zwecke festlegt. In diesem Fall muss der Concierge seine Pflichten mit einer klaren Datenverarbeitungsvereinbarung vertraglich regeln.

DSGVO-Verzeichnis der Verarbeitungstätigkeiten: das zentrale Dokument

Das Verzeichnis der Verarbeitungstätigkeiten ist für die meisten Beherbergungsbetriebe verpflichtend. Es ist keine Formalität: Es ist die Karte Ihrer Datenflüsse.

Mindestspalten je Verarbeitung

Typische Verarbeitungen, die Sie erfassen sollten

1. Register der untergebrachten Personen (gesetzliche Pflicht, getrennt von der DSGVO, aber mit personenbezogenen Daten) ;
2. Digitaler Check-in (Online-Formular, Ausweisscan) ;
3. OTA-Nachrichten und Exporte ;
4. Kaution / Zahlung außerhalb der Plattform ;
5. Newsletter oder Direktmarketing (wenn Sie E-Mails erfassen) ;
6. Videoüberwachung am Eingang oder in Gemeinschaftsbereichen (spezielle Regeln) ;
7. KI-Tools, die auf Gästeanfragen antworten (Konversationsprotokolle).

DSGVO-Aufbewahrungsfristen: nicht alles „für den Fall der Fälle“ behalten

Der häufigste Fehler: Ausweiskopien unbegrenzt aufzubewahren, weil es „einfacher“ ist.

Die DSGVO verlangt begrenzte und begründete Fristen.

Richten Sie die Löschung des Gästeverzeichnisses an unserem Leitfaden Gästeverzeichnis aus: Die gesetzlichen Aufbewahrungspflichten für das Register rechtfertigen nicht, den Ausweis in fünf verschiedenen Tools zu duplizieren.

Jetzt handeln — Buchen Sie eine einstündige Videoberatung, um Ihre Compliance-Fragen zu klären, oder erstellen Sie Ihren Bereich (1 Unterkunft kostenlos).

Datenminimierung: nur das erfassen, was nötig ist

Datenminimierung ist ein zentrales Prinzip: Jedes Feld in Ihrem Formular muss einen dokumentierten Zweck haben.

Bevor Sie ein neues Feld in ein Formular aufnehmen, stellen Sie sich drei einfache Fragen. Brauchen Sie wirklich die vollständige Reisepassnummer, oder reicht eine Sichtprüfung bei der Ankunft? Benötigt das Reinigungsteam die Telefonnummer des Gastes oder nur einen Türcode? Enthält Ihr monatlicher Excel-Export Spalten, die niemand nutzt?

Gestalten Sie beim Self-Check-in den Ablauf klar: Pflichtangaben bei der Ankunft, optionale Angaben für Marketingzwecke (mit ausdrücklicher Einwilligung). Siehe Self-Check-in.

Rechte der Gäste nach DSGVO: antworten ohne Panik

Ein Gast kann seine Rechte ausüben: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit (je nach Kontext).

Empfohlene interne Vorgehensweise

1. Eingangsbestätigung innerhalb von 72 Stunden ;
2. Identitätsprüfung (um Datenlecks an Dritte zu vermeiden) ;
3. Antwort innerhalb eines Monats (Verlängerung möglich, wenn komplex) ;
4. Nachvollziehbarkeit: Wer hat die Anfrage bearbeitet, welche Maßnahmen wurden ergriffen.

Häufige Fälle in der Kurzzeitvermietung

Wenn ein Gast nach einem Aufenthalt „Löschen Sie meine Daten“ verlangt, löschen Sie alles, was nicht durch eine gesetzliche Pflicht aufbewahrt werden muss. Bewahren Sie das Register auf, wenn das Gesetz es verlangt, und beschränken Sie die Felder strikt auf die Pflichtangaben. Wenn die Frage lautet „Warum haben Sie meinen Ausweis?“, erklären Sie klar den Zweck und die Aufbewahrungsdauer und bieten Sie die Löschung an, sobald der Ausweis nicht mehr benötigt wird. Wenn der Gast schreibt „Ich möchte keine E-Mails mehr von Ihnen“, melden Sie ihn sofort von Ihren Marketingkommunikationen ab; transaktionale Nachrichten, etwa die Zusendung von Zugangscodes, bleiben im Rahmen der Vertragserfüllung möglich.

Technische und organisatorische Sicherheit

Ohne Cybersicherheitsexperte zu werden, sollten Sie angemessene Maßnahmen ergreifen:

Zugriff

Verbieten Sie die Nutzung persönlicher Konten für Gästedaten: Ein gemeinsam genutztes privates Gmail-Konto ist keine akzeptable Lösung. Verlangen Sie starke Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für Ihr PMS, Ihr geschäftliches E-Mail-Postfach und Ihr Drive. Wenden Sie außerdem das Prinzip der minimalen Rechte an: Das Reinigungsteam braucht keinen Zugriff auf das vollständige Register.

Speicherung

Verschlüsseln Sie mobile Datenträger und vermeiden Sie es, Ausweisdokumente als WhatsApp-Anhang über einen unsicheren Kanal zu versenden. Richten Sie verschlüsselte Backups ein und testen Sie mindestens einmal pro Jahr eine Wiederherstellung.

Auftragsverarbeiter

Listen Sie alle Ihre Tools auf — PMS, digitales Gästebuch, Channel Manager, Buchhaltung — und prüfen Sie, ob jeder Anbieter einen AVV (Auftragsverarbeitungsvertrag) und möglichst eine Speicherung innerhalb der Europäischen Union anbietet.

DSGVO und Declaloc / Loi Le Meur

Die Loi Le Meur und Declaloc führen zusätzliche Verwaltungsanzeigen ein. Die Declaloc-Daten und das Gästeverzeichnis überschneiden sich teilweise, dürfen aber nicht verwechselt werden. Declaloc betrifft die Meldung der möblierten Unterkunft und die Registrierungsnummer. Das Gästeverzeichnis zeigt, wer wann übernachtet hat. Die DSGVO wiederum regelt, wie Sie diese Daten schützen und begrenzen.

Nur eine Person sollte wissen, wo jede Datenart gespeichert ist, um auf eine Kontrolle oder eine Anfrage der CNIL reagieren zu können.

Digitales Gästebuch und KI-Butler: Punkte, auf die Sie achten sollten

Ein Gästebuch wie Majordia verarbeitet auf Gästeseite nur wenige sensible Daten, hauptsächlich Aufrufe und Fragen. Die Majordome-IA-Logs (Privat- und Pro-Version) können jedoch persönliche Fragen enthalten: Legen Sie eine passende Aufbewahrungsdauer fest. Die in den Check-in integrierten Formulare müssen eine klare Datenschutzerklärung anzeigen. Außerdem darf der Gästebuch-Link niemals die Daten anderer Gäste offenlegen.

Bündeln Sie die DSGVO-Hinweise auf einer Gästebuch-Seite „Ihre Daten“: Zweck, Dauer, Kontaktperson, Link zur vollständigen Richtlinie.

Concierge-Service und mehrere Objekte: Governance

Ab 5 bis 10 Unterkünften steigen die Risiken. Sie arbeiten oft mit mehreren Eigentümern, was mehrere getrennte Verantwortliche bedeuten kann. Ein wechselndes Team (Reinigung, Empfang) macht kurze Schulungen verpflichtend. Wenn Sie außerdem Exporte für das Eigentümer-Reporting erstellen, anonymisieren Sie alles, was nicht unbedingt erforderlich ist.

Dokumentieren Sie im Mandat: Wer ist Verantwortlicher, wer handelt als Auftragsverarbeiter, welche Tools sind erlaubt. Ergänzend siehe Verwaltung mehrerer Objekte.

Datenpanne: Vorgehen innerhalb von 24 Stunden

Wenn eine Gästeliste an den falschen Empfänger gesendet wird, ein Laptop gestohlen wird oder ein Tool gehackt wurde:

1. Eindämmung: Zugriff sperren, Passwörter ändern ;
2. Bewertung: Schweregrad, betroffene Daten, Anzahl der Personen ;
3. Meldung an die CNIL innerhalb von 72 Stunden, wenn ein Risiko für die Rechte der Personen besteht ;
4. Information der Gäste, wenn ein hohes Risiko besteht ;
5. Verzeichnis der Verletzungen (verpflichtend) ;
6. Lessons Learned: Korrekturmaßnahme.

Verschweigen Sie eine Datenpanne nicht aus Angst vor einer Geldbuße — eine verspätete Meldung verschlimmert die Lage.

Datenschutzerklärung: Mindestinhalt

Ihre Website, Ihr Gästebuch oder Ihre Bestätigungs-E-Mail sollte die Identität des Verantwortlichen, die Zwecke der Verarbeitung, die gewählte Rechtsgrundlage (Vertrag, rechtliche Verpflichtung, berechtigtes Interesse oder Einwilligung), die Aufbewahrungsfristen, die Rechte der betroffenen Personen und einen Kontakt zur Ausübung dieser Rechte, die Empfänger und mögliche Übermittlungen außerhalb der EU sowie das Recht auf Beschwerde bei der CNIL enthalten.

Eine generische Copy-Paste-Vorlage ohne Anpassung ist fast so riskant wie gar keine Datenschutzerklärung.

DSGVO-Compliance-Checkliste — Gastgeber Kurzzeitvermietung

• Verzeichnis der Verarbeitungstätigkeiten aktuell ;
• Aufbewahrungsfristen schriftlich festgelegt und Löschung automatisiert oder per Kalender ;
• Datenschutzerklärung zugänglich ;
• Datenverantwortlicher benannt ;
• Verfahren für Gästeanfragen getestet ;
• Verträge mit Auftragsverarbeitern (PMS, Gästebuch) geprüft ;
• Team geschult: keine private WhatsApp für Ausweisdokumente ;
• Abstimmung von Gästeverzeichnis / Check-in / Declaloc ohne unnötige Duplikate.

FAQ zu DSGVO und Gästedaten in der Beherbergung

Betrifft mich die DSGVO, wenn ich nur eine einzige Unterkunft habe?

Ja. Die DSGVO hängt nicht von der Anzahl der Unterkünfte ab, sondern von der Verarbeitung personenbezogener Daten. Ein Gastgeber mit einem Studio ist ebenso Verantwortlicher wie ein Concierge-Service mit 50 Objekten — mit angemessenen Maßnahmen.

Darf ich die Ausweisdokumente der Gäste aufbewahren?

Nur wenn es notwendig und verhältnismäßig ist. Die CNIL rät von der systematischen Aufbewahrung von Kopien ab. Bevorzugen Sie eine Sichtprüfung bei der Ankunft oder eine zertifizierte Lösung mit automatischer Löschung. Lassen Sie sich für Ihren konkreten Fall juristisch beraten (klassifiziertes Hotel vs. Ferienwohnung).

Sind OTA-Plattformen für die DSGVO verantwortlich?

Sie verarbeiten Daten je nach Fall in gemeinsamer Verantwortlichkeit oder in eigener Verantwortung. Sie bleiben für die Daten verantwortlich, die Sie zusätzlich erfassen (außerhalb der Plattform) und für Ihre Exporte.

Muss ich einen DSB benennen?

Ein DSB ist nur in bestimmten Fällen verpflichtend (groß angelegte Verarbeitung, umfangreiche sensible Daten). Viele Concierge-Services sind nicht dazu verpflichtet — ein interner Ansprechpartner reicht oft aus.

Wie gehe ich mit Daten von Minderjährigen um?

Erfassen Sie die Informationen des gesetzlichen Vertreters; minimieren Sie die Daten des Kindes; sichern Sie das Register. Dieselbe Sorgfalt wie in einem Familienhotel.

Wo bekomme ich Hilfe für meinen konkreten Fall?

Bei komplexen Fragen (mehrere Gesellschaften, Gruppen, Videoüberwachung) kontaktieren Sie unser Team oder wenden Sie sich an einen DSGVO-Anwalt. Für das operative Gästeverzeichnis siehe unseren detaillierten Leitfaden.

Die DSGVO ist nicht der Feind der Gastfreundschaft: Sie ist der Rahmen, der Gästen zeigt, dass Sie mit ihren Informationen ebenso sorgfältig umgehen wie mit ihrem Aufenthalt. Ein aktuelles Verzeichnis, klare Fristen und ein gebrieftes Team sind besser als ein juristisches PDF, das niemand liest.