Datenschutz für Hotels

Persönliche Daten von Hotelgästen fallen regelmäßig bei jedem Hotelaufenthalt an. Viele Hotelgastdaten sind zudem besonders persönlich und sensibel, denn der Kontakt zwischen Gast und Hotel ist naturgemäß eng.

Das Hotel lernt die  Essgewohnheiten und –Vorlieben des Gastes kennen, erfährt von seinen Freizeitinteressen, reinigt täglich sein Bad und das Zimmer. Häufig hat das Hotel sogar Kenntnis vom Gesundheitszustand des Gastes, von Krankheiten, Allergien oder Diäten.

Der Hotelbetrieb weiß, mit wem der Gast die Nacht  verbringt, welche Fernsehprogramme bevorzugt werden, welche Besucher er zusätzlich empfängt, welche Zahlungsmittel einsetzt und ggf. welches nächste Reiseziel ansteuert wird.

Der Hotelbetrieb muss dafür sorgen, dass die personenbezogenen Daten nach dem Datenschutzgesetz absolut vertraulich und fachgerecht verarbeitet werden. Die Enttäuschung der Gäste bei Fehlern ist gut nachvollziehbar.

Kaum ein Unternehmen bekommt einen so umfassenden Einblick in die Persönlichkeit des Kunden.

Dies verpflichtet ihn in besonderer Weise, das informationelle Selbstbestimmungsrecht seiner Gäste zu wahren.

In aller Regel ist eine Bestellung eines Datenschutzbeauftragten (DSB) durchzuführen, wenn mindestens 2o  Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut werden.

„Ständig beschäftigt“ ist, wer z.B. permanent die Gästeverwaltung macht. Üblicherweise werden  dabei Reinigungskräfte in den Zimmern oder Personen, die im Restaurant gelegentlich mit Namen von Kunden umgehen, nicht mitgezählt.

Die Aufgaben des Datenschutzbeauftragten sind im Gesetz.  festgelegt. Neben der Unterrichtung und Beratung des Unternehmens muss er die Einhaltung der relevanten Datenschutzgesetze  überwachen. Er berät auch bei  Datenschutz-Folgenabschätzungen und kommuniziert mit den betroffenen  Personen und den Aufsichtsbehörden.

Die Arbeit des Datenschutzbeauftragten ist sehr abwechslungsreif. In diesem sich noch stetig veränderten  Rechtsgebiet empfiehlt es sich, einen erfahrenen Datenschutzbeauftragten zu bestellen.

Ein interner Datenschutzbeauftragter hat den großen Vorteil, dass er die Prozesse im Unternehmen und die Beteiligten kennt. Er bekommt im Rahmen seiner täglichen Arbeit deutlich mehr Informationen am Rande mit. Jedoch entstehen jedoch hohe Kosten für die Ausbildung und stetige Weiterbildung.

Ein externer DSB kann den Kostenfaktor deutlich zu reduzieren. Er kümmert sich auch selbstständig um seine Weiterbildung und bekommt, wenn er für mehrere Unternehmen tätig ist, deutlich mehr Umsetzungspraktiken kennen.

Wenn Sie Dienstleister beauftragen und diese personenbezogene Daten im Kern verarbeiten, dann müssen Sie diverse Punkte beachten. Neben dem Abschluss einer Auftragsverarbeitungsvereinbarung  müssen Sie den Auftragsverarbeiter auf Eignung vorab und dann regelmäßig prüfen. Dies müssen Sie gegebenüber den Aufsichtsbehörden auch nachweisen können. Dieses Thema ist recht umfangreich, wird aber gerne vernachlässigt. Typische Auftragsverarbeiter im Hotelbetrieb sind

• - Betreiber oder Lieferant der Hotel- oder CRM-Software (Fernwartung oder / und Hosting)
• - Externe Personalverwaltung oder Lohnbuchhaltung
• - IT-Support
• - Betrieb oder Support Telekommunikationsanlage
• - Betrieb von Online-Buchungssystemen (Reservierung, Tisch, u. s. w.)
• - Hosting oder Betreuung der Online-Auftritte
• - E-Mail-Newsletter-Service
• - Online-Bewertungen
• - Sonstige Cloud-Dienste (z. B. Office 365 von Microsoft)
• - Onlinebasierte Zeit- oder Ticket/Mängelerfassung
• - Call-Center
• - Systemwartung (z. B. Videoüberwachungsanlage oder Türschließsysteme)
• - Datensicherung / Archivierung
• - Papier- oder Datenträgerentsorgung
• - Externer Nachtdienst
• - Consulting
• - E-Mail- oder Spamdienst
• -Online-Dienste, z.B. Analysetools auf der Webseite oder in der App

Mit meiner langjährigen Erfahrung bringe ich auch Ihr Hotel praxisnah und wirtschaftlich in diesen Themen voran. Mein typischer Aufgabenbereich umfasst unter anderem folgende Bereiche:

• - Durchführung einer Bestandsaufnahme - Erstellung eines priorisierten Aktionsplanes für weitere Aktivitäten
• - Prüfung und ggf. Aktualisierung Ihrer bisher erarbeiteten Unterlagen
• - Beratung in sämtlichen datenschutzrelevanten Themengebieten
• - Unterstützung bei der Erstellung Ihrer Dokumentation, wie z.B. Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten oder die Betroffenenanfragen
• - Erfüllung der Rolle des Datenschutzbeauftragten für ihr Hotel gem. Art. 39 DSGVO
• - Prüfung und Dokumentation Ihrer Auftragsverarbeiter gem. Art. 28 DSGVO
• - Prüfung Ihrer Online-Auftritte auf Gesetzeskonformität und Erstellung der Informationspflichten und Datenschutzhinweise
• - Erstellung von Richtlinien und Anweisungen zur Informationssicherheit und zum Datenschutz

Als Hotelier dürfen Sie nur jene Daten Ihrer Gäste verarbeiten, die Sie für die Erfüllung des Beherbergungsvertrags benötigen. Dabei sind sowohl die Datenschutzgrundsätze Datenminimierung und Zweckbindung zu beachten als auch die Speicherbegrenzung. Es darf eine Speicherung nur so lange erfolgen, als dies zeitlich erforderlich ist
und der Zweck für die Verarbeitung nicht entfallen ist.

Das die Daten richtig und sicher verarbeitet werden, ist selbstverständlich.

Bei der sicheren Verarbeitung sind angemessene und wirksame Massnahmen zu etablieren, die dem Stand der Technik entsprechen.

In den folgenden Bereichen werden immer wieder Fehler in den Hotelbetrieben gemacht, die zu Abmahnungen oder Beschwerden führen:

• - Reservierungsprozess
• - Check-In und Gästeverzeichnisblatt
• - Kreditkartendaten
• - Aufenthalt und Verwendung von Daten für weitere Zwecke, wie z. B. dauerhafte Speicherung von kostenpflichtiger Dienste
• - Videoüberwachungsanlagen, insbesondere in Ruhebereichen
• - Elektronische Türschließsysteme für Gäste und Beschäftigte (Protokollierung und Nutzung für Leistungs- und Verhaltenskontrolle)
• - Internetnutzung
• - Aufnahme von Gastwünschen und Informationen in der Hotel-Software
• - Check-Out-Prozess, wie z. B. nachgelagerte Zufriedenheitsumfragen
• - Kopie von Personaldokumenten (z. B. Personalausweis oder Reisepass)
• - Prozesse zur Geltendmachung von Betroffenenrechten (z. B. Auskunft, Berichtigung oder Löschung)

Der Betrieb einer Videoüberwachungsanlage muss auch im Datenschutz fachgerecht geplant und etabliert werden. Erfolgt dies nicht, kann eine Untersagung erfolgen oder hohe Bußgelder folgen. Die Höhe der Strafe hängt vom Einzelfall ab

Was ist schon bei der Planung zu beachten?

• - Für jede einzelne Kamera müssen Sie festlegen, welcher Zweck erfüllt werden soll.
• - Werden öffentlich zugängliche Bereichen - wie Hotellobby, Fahrstuhl, Restaurants oder Wellnessbereich – ist ein Betrieb grundsätzlich möglich, muss aber gut begründet werden (Mein Tipp: Erstellen Sie eine dreistufige Interessenabwägung)
• - Je nach Einsatzort ist ggf. auch vorab eine Datenschutz-Folgenabschätzung durchzuführen. Dies ist ein Prozess zur Beschreibung, Bewertung und Eindämmung von Risiken.
• - In privaten Bereichen, wie z. B. Hotelzimmer, Toilettenbereich, Umkleideräume - ist eine Videoüberwachung aufgrund des Eingriffs in das Persönlichkeitsrecht nicht rechtskonform möglich.
• - Sie müssen auf die Videoüberwachung durch sichtbare Hinweisschildern hinweisen.
• - Prozesse zum operativen Betrieb (Zugang, Zugriff, Herausgabe, Wartung, Support und Löschung) müssen dokumentiert werden.
• - Angemessene TOMs (Technische und organisatorische Maßnahmen) sind zu dokumentieren und regelmäßig und Wirksamkeit zu prüfen.
• - Das Verzeichnis der Verarbeitungstätigkeiten ist zu erstellen.

Das Bundesmeldegesetz verpflichtet Hotels, mithilfe eines Meldescheins die folgenden personenbezogenen Daten über den Gast schriftlich zu erfassen. Dazu gehören:

• - Datum der Ankunft
• - Familiennamen
• - Vornamen
• - Geburtsdatum
• - Staatsangehörigkeit
• - Anschrift
• - Zahl der Mitreisenden und ihre Staatsangehörigkeit in den Fällen des § 29 Absatz 2 Satz 2 und 3 sowie
• - Seriennummer des anerkannten und gültigen Passes oder Passersatzpapiers bei ausländischen Personen.
• ggf. weitere Daten je Bundesland (z. B. Fremdenverkehrs- und Kurbeiträge)

Der ausgefüllte Meldeschein ist vom Tag der Anreise der beherbergten Person für ein Jahr aufzubewahren und innerhalb von drei Monaten nach Ablauf der Aufbewahrungsfrist fachgerecht zu vernichten (z. B. Schredder oder Auftragsverarbeiter).

Weitere Angaben des Gastes erfolgen nicht mehr auf der Grundlage des Meldegesetzes. Diese Daten dürfen daher nur erhoben werden, wenn der Hotelgast hierzu freiwillig einwilligt. Bei der Erstellung einer Einwilligung sind diverse Punkte zu beachten, wie z. B. die Möglichkeit des Widerrufs.