Das Problem: Hotels sammeln zu viele Daten
Sie kommen im Hotel an. An der Rezeption werden Sie gebeten, Ihren Reisepass oder Personalausweis auszuhändigen. Der Rezeptionist scannt das Dokument, macht eine Kopie oder gibt alle Daten ein, einschließlich Ihres Fotos und Ihrer Personalausweisnummer.
Dieses Szenario kennen Millionen von Reisenden. Aber ist es unter der DSGVO erlaubt?
Die kurze Antwort: Nein, in der Regel nicht. Hotels haben eine gesetzliche Pflicht, bestimmte Gastdaten zu erfassen, aber das Kopieren oder Scannen des gesamten Identitätsdokuments geht fast immer über das hinaus, was das Gesetz verlangt.
Was sagt das Gesetz?
Die meisten EU-Mitgliedstaaten verpflichten Hotels, Gastdaten zu erfassen; dies ist die sogenannte Meldepflicht nach dem Bundesmeldegesetz in Deutschland. Die genauen Anforderungen variieren je nach Land, umfassen aber in der Regel:
- Vollständiger Name des Gastes
- Geburtsdatum
- Staatsangehörigkeit
- Art und Nummer des Identitätsdokuments
- An- und Abreisedatum
Das ist alles. Kein Passfoto. Keine Personalausweisnummer. Kein vollständiger Scan Ihres Reisepasses.
Durchsetzung: Bußgelder für Hotels
Die spanische Datenschutzbehörde (AEPD) hat mehrere Hotels wegen Verstößen im Zusammenhang mit Identitätsdaten von Gästen bestraft:
Hotel in Barcelona - 30.000 EUR Bußgeld Das Hotel machte standardmäßig Kopien von Reisepässen beim Check-in und speicherte diese digital. Die AEPD urteilte, dass dies gegen den Grundsatz der Datenminimierung (Artikel 5(1)(c) DSGVO) verstößt: Das Hotel sammelte mehr Daten als für den Zweck erforderlich.
Hotelkette in Madrid - 45.000 EUR Bußgeld Die Kette bewahrte gescannte Reisepässe bis zu 5 Jahre nach dem Aufenthalt auf, während das spanische Gesetz eine Aufbewahrungsfrist von 3 Jahren vorschreibt. Zudem waren die Scans nicht angemessen gesichert; Mitarbeiter hatten uneingeschränkten Zugang.
Hotel auf Mallorca - Verwarnung Das Hotel kopierte nur die Nummer und den Namen, speicherte aber auch die Staatsangehörigkeit in einer ungesicherten Excel-Datei, die über einen gemeinsamen Ordner für alle Mitarbeiter zugänglich war.
Do’s und Don’ts für Hoteliers
Was Sie tun SOLLTEN
- Erfassen Sie die gesetzlich vorgeschriebenen Daten: Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennummer, Aufenthaltsdaten
- Prüfen Sie das Identitätsdokument visuell: Sie dürfen das Dokument ansehen, um die Informationen zu überprüfen
- Informieren Sie die Gäste, warum Sie die Daten benötigen (gesetzliche Pflicht) und wie lange Sie sie aufbewahren
- Sichern Sie die Daten: Zugriffskontrolle, Verschlüsselung, eingeschränkter Zugang für Mitarbeiter
- Löschen Sie Daten nach Ablauf der gesetzlichen Aufbewahrungsfrist
- Schulen Sie Ihr Personal: Rezeptionsmitarbeiter müssen wissen, welche Daten sie erfassen dürfen und welche nicht
Was Sie NICHT tun sollten
- Kopien oder Scans anfertigen von Reisepässen oder Personalausweisen ohne Rechtsgrundlage
- Passfotos oder biometrische Daten speichern
- Personalausweisnummern erfassen, es sei denn, das Landesgesetz schreibt dies ausdrücklich vor
- Daten länger aufbewahren als gesetzlich vorgeschrieben
- Gastdaten in ungesicherten Systemen speichern (Excel-Dateien auf gemeinsamen Ordnern, unverschlüsselte USB-Sticks)
- Daten für Marketing verwenden ohne ausdrückliche Einwilligung
Nach Land: Was ist vorgeschrieben?
| Land | Rechtsgrundlage | Erforderliche Daten | Aufbewahrungsfrist |
|---|---|---|---|
| Deutschland | Bundesmeldegesetz par.29 | Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennr, Anreisedatum | 1 Jahr |
| Österreich | Meldegesetz | Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennr | 1 Jahr |
| Belgien | KB 23/10/2020 | Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennr, Aufenthaltsdaten | 1 Jahr |
| Niederlande | Gemeentewet Art. 438 | Name, Adresse, Geburtsdatum, Staatsangehörigkeit, Dokumentennr | 1 Jahr |
| Spanien | Ley de Seguridad Ciudadana | Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennr, Aufenthaltsdaten | 3 Jahre |
| Frankreich | Code de la securite interieure | Name, Geburtsdatum, Staatsangehörigkeit, Dokumentennr | 6 Monate |
Was sollten Sie als Hotelier tun?
- Überprüfen Sie Ihr aktuelles Verfahren: Machen Sie Kopien oder Scans? Hören Sie damit auf, es sei denn, Sie haben eine spezifische Rechtsgrundlage
- Passen Sie Ihr Check-in-Formular an: Erfassen Sie nur die gesetzlich vorgeschriebenen Felder
- Löschen Sie alte Scans und Kopien: Wenn Sie digitale Kopien von Reisepässen aufbewahrt haben, löschen Sie diese
- Sichern Sie Ihr Gästeregister: Verwenden Sie ein gesichertes System mit Zugriffskontrolle, kein gemeinsames Excel-Dokument
- Informieren Sie Ihre Gäste: Ein kurzer Datenschutzhinweis an der Rezeption oder in der Bestätigungsmail genügt
- Legen Sie Aufbewahrungsfristen fest: Konfigurieren Sie Ihr System so, dass Daten nach der gesetzlichen Frist automatisch gelöscht werden
GDPRWise scannt Ihre Website und erkennt automatisch, welche personenbezogenen Daten Sie über Buchungsformulare, Cookies und Drittanbieter erfassen.