DSGVO-konforme Datenverarbeitung
Für Vermieter von Monteurzimmern und Ferienwohnungen einfach erklärt

Nein. Eine Einwilligung ist nicht automatisch für jede Verarbeitung von Gästedaten erforderlich. Daten, die für eine Anfrage oder die Durchführung eines Beherbergungsvertrags notwendig sind, können beispielsweise auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Gesetzlich vorgeschriebene Verarbeitungen können auf Art. 6 Abs. 1 lit. c DSGVO beruhen.

Auch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO kann in bestimmten Fällen infrage kommen, setzt jedoch eine Interessenabwägung voraus.

Wird tatsächlich eine Einwilligung verwendet, muss diese insbesondere freiwillig, informiert und nachweisbar erfolgen und grundsätzlich widerrufbar sein. Eine pauschale Einwilligung für sämtliche Gästedaten ist deshalb keine sinnvolle Standardlösung.

Eine Ausweiskopie sollte nicht routinemäßig von jedem Gast verlangt werden. § 20 Personalausweisgesetz erlaubt das Ablichten eines Personalausweises durch andere Personen nur mit Zustimmung des Ausweisinhabers. Die Ablichtung muss außerdem eindeutig und dauerhaft als Kopie erkennbar sein. Zusätzlich gelten die allgemeinen Datenschutzanforderungen.

Ist lediglich eine Identitätsprüfung erforderlich, kann es datensparsamer sein, den Ausweis anzusehen, statt vorsorglich eine vollständige Kopie zu speichern.

Gesetzliche Meldepflichten sind davon getrennt zu betrachten. Weitere Informationen bietet der DMZ-Ratgeber zum Meldeschein für Monteurzimmer und Ferienwohnungen.

Unterscheiden Sie deshalb zwischen notwendiger Identitätsprüfung, gesetzlich vorgeschriebenen Angaben und einer darüber hinausgehenden dauerhaften Ausweiskopie.

Für alle Gästedaten gilt nicht dieselbe Speicherfrist. Entscheidend ist, warum die jeweilige Information noch benötigt wird und ob für bestimmte Geschäftsunterlagen gesetzliche Aufbewahrungspflichten bestehen.

Mobil: Tabelle seitlich wischen.

Trennen Sie deshalb operative Gästedaten von Unterlagen, die weiterhin aus gesetzlichen Gründen archiviert werden müssen. Ein sinnvoller Löschprozess legt für jede Datenart fest, wo sie gespeichert wird, wer darauf zugreifen darf, warum sie noch benötigt wird und wann sie entfernt werden kann.

Die aktuell für unterschiedliche Geschäftsunterlagen geltenden Fristen erläutert der DMZ-Ratgeber zu den Aufbewahrungsfristen für Geschäftsunterlagen.

Gästedaten sollten möglichst zentral, zugriffsgeschützt und nur für berechtigte Personen erreichbar sein. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, deren Umfang sich nach der jeweiligen Verarbeitung und dem bestehenden Risiko richtet.

Besonders schwer kontrollierbar sind verstreute Kopien auf privaten Smartphones, in Messenger-Chats, mehreren Tabellen oder ungeschützten Cloud-Speichern.

Eine Weitergabe kann zulässig oder erforderlich sein, ist aber nicht beliebig möglich. Auch für die Übermittlung personenbezogener Daten muss ein konkreter Zweck und eine passende Rechtsgrundlage bestehen.

Das kann beispielsweise bei steuerlichen Pflichten, der Rechnungsbearbeitung, Zahlungsabwicklung oder gesetzlich vorgeschriebenen Meldungen der Fall sein.

Bei externen Dienstleistern sollte außerdem geprüft werden, welche datenschutzrechtliche Rolle sie übernehmen. Nicht jeder Steuerberater, Zahlungsdienstleister, Softwareanbieter oder Büroservice ist automatisch ein Auftragsverarbeiter.

Verarbeitet ein Anbieter personenbezogene Daten im Auftrag und nach Weisung des Vermieters, kann ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich sein.

Für die Vorbereitung steuerlicher Unterlagen hilft zusätzlich die DMZ-Checkliste zu den Unterlagen für den Steuerberater.

Eine Buchungsbestätigung sollte nur die personenbezogenen Angaben enthalten, die der Empfänger für Buchung und Aufenthalt tatsächlich benötigt. Unnötige Gästedaten gehören weder in den Nachrichtentext noch in Anhänge.

Bei Firmenbuchungen ist besondere Sorgfalt sinnvoll, weil häufig mehrere Ansprechpartner beteiligt sind. Eine vollständige Gästeliste sollte nicht automatisch an einen großen Verteiler geschickt werden.

Hinweise zum inhaltlichen Aufbau einer Bestätigung finden Vermieter im Ratgeber zur Buchungsbestätigung für Monteurzimmer und Ferienwohnungen.

Gäste sollten erkennen können, wer ihre Daten verarbeitet, warum dies geschieht und welche Rechte ihnen zustehen. Je nachdem, ob die Daten unmittelbar bei der betroffenen Person oder aus einer anderen Quelle erhoben werden, sind insbesondere Art. 13 oder Art. 14 DSGVO relevant.

Die Datenschutzinformation sollte dort leicht erreichbar sein, wo Daten erhoben werden, etwa bei der Anfrage, im Buchungsprozess, in einer Buchungsbestätigung oder auf der eigenen Website.

Nutzerführung ist dabei Teil der Transparenz: Gäste und Firmenkunden sollten die für sie wichtigen Angaben finden können, ohne sie in einem langen juristischen Text suchen zu müssen.

Sichern, prüfen und dokumentieren Sie den Vorfall unverzüglich. Eine falsch versendete Rechnung, Buchungsbestätigung oder Gästeliste kann eine Verletzung des Schutzes personenbezogener Daten darstellen.

Ist eine Meldung erforderlich, muss sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Die Frist ist daher keine Zeitspanne, die Vermieter zunächst abwarten sollten.

Ein vorab festgelegter Notfallprozess erleichtert eine schnelle Risikobewertung und verhindert unnötige Verzögerungen.

Eine pauschale oder vorsorgliche Überwachung des Surfverhaltens von Gästen sollte nicht erfolgen. Ob und in welchem Umfang technische Nutzungsdaten verarbeitet werden dürfen, hängt vom konkreten Zweck, der technischen Ausgestaltung und einer passenden Rechtsgrundlage ab.

Mobil: Tabelle seitlich wischen.

Ein stabiles WLAN ist für viele Monteure ein wichtiger Ausstattungsfaktor. Daraus folgt jedoch nicht, dass Vermieter vorsorglich Nutzungsprofile einzelner Gäste anlegen sollten.

In der Praxis sind ein getrenntes Gastnetz, eine sichere Konfiguration und eine möglichst geringe Verarbeitung personenbezogener Nutzungsdaten meist die datensparsamere Lösung.

Legen Sie einen Hauptablageort und eine feste Löschroutine fest. Datenschutzprobleme entstehen häufig dadurch, dass dieselben Buchungsdaten gleichzeitig in E-Mails, Messenger-Chats, Papierordnern, Tabellen, Rechnungsprogrammen und privaten Geräten gespeichert sind.

Besonders bei mehreren Monteurwohnungen oder häufig wechselnden Teams sollte klar geregelt sein, wer für Ablage, Archivierung und Löschung verantwortlich ist.

Ein pauschaler Löschzeitraum für sämtliche Daten ist dabei nicht sinnvoll. Maßgeblich sind der jeweilige Speicherzweck und gegebenenfalls bestehende gesetzliche Aufbewahrungspflichten.

Viele Datenschutzprobleme entstehen nicht durch komplizierte Sonderfälle, sondern durch fehlende Regeln im normalen Buchungsalltag. Dazu gehören zu umfangreiche Datenerhebung, unklare Zugriffe und eine fehlende Löschroutine.

Bei Firmen- und Teambuchungen sollten Vermieter zusätzlich unterscheiden, welche Daten tatsächlich für Buchung und Rechnung erforderlich sind und welche lediglich aus Gewohnheit gesammelt werden.