Datenschutz in der Tourismus- und Freizeitbranche – Anforderungen rechtssicher umsetzen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. In der Tourismusbranche umfasst dies typischerweise Namen, Adressdaten, E-Mail-Adressen, Buchungshistorien, Passdaten von Gäst:innen oder auch IP-Adressen von Webseiten-Besuchenden. Auch Daten von Mitarbeitenden und Lieferant:innen fallen darunter und müssen nach den gesetzlichen Vorgaben geschützt werden.

Der Datenschutz im Tourismus wird hauptsächlich durch die EU-Datenschutz-Grundverordnung (DSGVO) geregelt, die europaweit einheitliche Standards vorschreibt. Ergänzend dazu gilt in Deutschland das Bundesdatenschutzgesetz (BDSG), das bestimmte Bereiche konkretisiert oder ergänzt. Diese Gesetze bilden den rechtlichen Rahmen für die Verarbeitung aller personenbezogenen Daten von Gäst:innen, Interessent:innen und Mitarbeitenden in der Branche.

Gäste haben als betroffene Personen umfassende, in der DSGVO verankerte Rechte bezüglich ihrer Daten. Dazu zählen das Recht auf Auskunft über die gespeicherten Daten, auf Berichtigung falscher Angaben, auf Löschung („Recht auf Vergessenwerden“) und auf Einschränkung der Verarbeitung. Außerdem können sie der Verarbeitung widersprechen und haben ein Recht auf Datenübertragbarkeit, um ihre Daten zu erhalten.

Hotels dürfen auf dem Meldeschein nur die Daten erheben, die durch das Bundesmeldegesetz (BMG) für die Meldepflicht vorgeschrieben sind. Dazu gehören Name, Geburtsdatum, Anschrift sowie An- und Abreisedatum der Gäst:innen und bei ausländischen Gästen zusätzlich die Ausweisnummer. Für die Erhebung weiterer Daten, wie der E-Mail-Adresse für Werbezwecke, ist eine separate und freiwillige Einwilligung erforderlich.

Die Aufbewahrungsdauer für Gästedaten hängt von gesetzlichen Vorgaben ab. Daten aus dem Meldeschein müssen laut Bundesmeldegesetz ein Jahr aufbewahrt und danach vernichtet werden. Steuerrechtlich relevante Unterlagen wie Rechnungen unterliegen hingegen einer Aufbewahrungspflicht von bis zu zehn Jahren. Daten, die auf einer Einwilligung basieren, sind nach deren Widerruf oder Zweckerfüllung zu löschen.

Eine Einwilligung für den Newsletter-Versand ist nur gültig, wenn sie freiwillig, informiert und unmissverständlich erfolgt. Als rechtssicherer Standard hat sich das Double-Opt-In-Verfahren etabliert, bei dem die anmeldende Person ihre Zustimmung aktiv bestätigt, meist über einen Link in einer Bestätigungs-E-Mail. Dieses Verfahren dient als Nachweis für die bewusste und protokollierte Anmeldung.

Für technisch notwendige Cookies ist keine Einwilligung erforderlich, für alle anderen Cookies (z. B. für Marketing, Analyse, Tracking) hingegen schon. Webseiten-Betreiber:innen müssen über einen Cookie-Banner eine aktive und informierte Einwilligung der Nutzenden einholen, bevor diese Cookies gesetzt werden. Eine einfache „Akzeptieren“-Schaltfläche ohne echte Wahlmöglichkeit oder bereits angekreuzte Checkboxen sind dabei nicht zulässig.

Eine Datenpanne ist ein Sicherheitsvorfall, bei dem personenbezogene Daten unbefugt offengelegt, verändert oder vernichtet werden. Das kann ein Hackerangriff, aber auch ein verlorener Laptop oder eine falsch versendete E-Mail sein. Besteht durch die Panne ein Risiko für die betroffenen Personen, muss der Vorfall innerhalb von 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden.

Nutzt ein Hotel einen externen Dienstleister wie ein Buchungsportal oder ein Newsletter-Tool, das in seinem Auftrag personenbezogene Daten verarbeitet, liegt eine Auftragsverarbeitung vor. Dafür ist ein spezieller Vertrag zur Auftragsverarbeitung (AV-Vertrag) gesetzlich vorgeschrieben. Dieser regelt die Pflichten des Dienstleisters und stellt sicher, dass dieser die Daten nur nach Weisung des Hotels verarbeitet.

Ja, praktisch jede Webseite, auch die eines Tourismusbetriebs, benötigt eine Datenschutzerklärung. Sobald personenbezogene Daten verarbeitet werden, was bereits durch die Erfassung von IP-Adressen beim Aufruf der Seite geschieht, besteht eine gesetzliche Informationspflicht nach der DSGVO. Die Datenschutzerklärung muss für alle Besuchenden leicht auffindbar und verständlich sein und alle Datenverarbeitungen transparent auflisten.