Das Problem: Hotels sammeln zu viele Daten
Sie kommen im Hotel an. An der Rezeption werden Sie gebeten, Ihren Reisepass oder Personalausweis auszuhandigen. Der Rezeptionist scannt das Dokument, macht eine Kopie oder gibt alle Daten ein, einschliesslich Ihres Fotos und Ihrer Personalausweisnummer.
Dieses Szenario kennen Millionen von Reisenden. Aber ist es unter der DSGVO erlaubt?
Die kurze Antwort: Nein, in der Regel nicht. Hotels haben eine gesetzliche Pflicht, bestimmte Gastdaten zu erfassen, aber das Kopieren oder Scannen des gesamten Identittatsdokuments geht fast immer uber das hinaus, was das Gesetz verlangt.
Was sagt das Gesetz?
Die meisten EU-Mitgliedstaaten verpflichten Hotels, Gastdaten zu erfassen; dies ist die sogenannte Meldepflicht nach dem Bundesmeldegesetz in Deutschland. Die genauen Anforderungen variieren je nach Land, umfassen aber in der Regel:
- Vollstandiger Name des Gastes
- Geburtsdatum
- Staatsangehorigkeit
- Art und Nummer des Identittatsdokuments
- An- und Abreisedatum
Das ist alles. Kein Passfoto. Keine Personalausweisnummer. Kein vollstandiger Scan Ihres Reisepasses.
Durchsetzung: Bussgelder fur Hotels
Die spanische Datenschutzbehorde (AEPD) hat mehrere Hotels wegen Verstossen im Zusammenhang mit Identittatsdaten von Gasten bestraft:
Hotel in Barcelona - 30.000 EUR Bussgeld Das Hotel machte standardmassig Kopien von Reisepassen beim Check-in und speicherte diese digital. Die AEPD urteilte, dass dies gegen den Grundsatz der Datenminimierung (Artikel 5(1)(c) DSGVO) verstosst: Das Hotel sammelte mehr Daten als fur den Zweck erforderlich.
Hotelkette in Madrid - 45.000 EUR Bussgeld Die Kette bewahrte gescannte Reisepasse bis zu 5 Jahre nach dem Aufenthalt auf, wahrend das spanische Gesetz eine Aufbewahrungsfrist von 3 Jahren vorschreibt. Zudem waren die Scans nicht angemessen gesichert; Mitarbeiter hatten uneingeschrankten Zugang.
Hotel auf Mallorca - Verwarnung Das Hotel kopierte nur die Nummer und den Namen, speicherte aber auch die Staatsangehorigkeit in einer ungesicherten Excel-Datei, die uber einen gemeinsamen Ordner fur alle Mitarbeiter zuganglich war.
Do’s und Don’ts fur Hoteliers
Was Sie tun SOLLTEN
- Erfassen Sie die gesetzlich vorgeschriebenen Daten: Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennummer, Aufenthaltsdaten
- Prufen Sie das Identittatsdokument visuell: Sie durfen das Dokument ansehen, um die Informationen zu uberprufen
- Informieren Sie die Gaste, warum Sie die Daten benotigen (gesetzliche Pflicht) und wie lange Sie sie aufbewahren
- Sichern Sie die Daten: Zugriffskontrolle, Verschlusselung, eingeschrankter Zugang fur Mitarbeiter
- Loschen Sie Daten nach Ablauf der gesetzlichen Aufbewahrungsfrist
- Schulen Sie Ihr Personal: Rezeptionsmitarbeiter mussen wissen, welche Daten sie erfassen durfen und welche nicht
Was Sie NICHT tun sollten
- Kopien oder Scans anfertigen von Reisepassen oder Personalausweisen ohne Rechtsgrundlage
- Passfotos oder biometrische Daten speichern
- Personalausweisnummern erfassen, es sei denn, das Landesgesetz schreibt dies ausdrucklich vor
- Daten langer aufbewahren als gesetzlich vorgeschrieben
- Gastdaten in ungesicherten Systemen speichern (Excel-Dateien auf gemeinsamen Ordnern, unverschlusselte USB-Sticks)
- Daten fur Marketing verwenden ohne ausdruckliche Einwilligung
Nach Land: Was ist vorgeschrieben?
| Land | Rechtsgrundlage | Erforderliche Daten | Aufbewahrungsfrist |
|---|---|---|---|
| Deutschland | Bundesmeldegesetz par.29 | Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennr, Anreisedatum | 1 Jahr |
| Osterreich | Meldegesetz | Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennr | 1 Jahr |
| Belgien | KB 23/10/2020 | Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennr, Aufenthaltsdaten | 1 Jahr |
| Niederlande | Gemeentewet Art. 438 | Name, Adresse, Geburtsdatum, Staatsangehorigkeit, Dokumentennr | 1 Jahr |
| Spanien | Ley de Seguridad Ciudadana | Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennr, Aufenthaltsdaten | 3 Jahre |
| Frankreich | Code de la securite interieure | Name, Geburtsdatum, Staatsangehorigkeit, Dokumentennr | 6 Monate |
Was sollten Sie als Hotelier tun?
- Uberprufen Sie Ihr aktuelles Verfahren: Machen Sie Kopien oder Scans? Horen Sie damit auf, es sei denn, Sie haben eine spezifische Rechtsgrundlage
- Passen Sie Ihr Check-in-Formular an: Erfassen Sie nur die gesetzlich vorgeschriebenen Felder
- Loschen Sie alte Scans und Kopien: Wenn Sie digitale Kopien von Reisepassen aufbewahrt haben, loschen Sie diese
- Sichern Sie Ihr Gasteregister: Verwenden Sie ein gesichertes System mit Zugriffskontrolle, kein gemeinsames Excel-Dokument
- Informieren Sie Ihre Gaste: Ein kurzer Datenschutzhinweis an der Rezeption oder in der Bestatigungsmail genugt
- Legen Sie Aufbewahrungsfristen fest: Konfigurieren Sie Ihr System so, dass Daten nach der gesetzlichen Frist automatisch geloscht werden
GDPRWise scannt Ihre Website und erkennt automatisch, welche personenbezogenen Daten Sie uber Buchungsformulare, Cookies und Drittanbieter erfassen.