Kurz gesagt
Deine Hotelsoftware ist ein Auftragsverarbeiter, du bleibst der Verantwortliche. Verlange deshalb einen schriftlichen Vertrag nach Artikel 28 DSGVO, risikoangemessene Schutzmaßnahmen nach Artikel 32, eine Liste der Unterauftragnehmer sowie die Möglichkeit, Daten zu exportieren, zu berichtigen und zu löschen. Löschfristen legst du selbst fest: Das Gesetz schreibt nur Höchst- und Mindestgrenzen je Datenart vor (Stand: Oktober 2026).
Das Wichtigste in Kürze
- Das Hotel ist Verantwortlicher; der PMS-Anbieter verarbeitet im Auftrag und braucht einen Vertrag mit den Inhalten aus Artikel 28 Absatz 3 DSGVO.
- Frage vor dem Kauf nach Rollen und Rechten, Protokoll, Wiederherstellung, Unterauftragnehmern und Verarbeitungsort. Nachweise gehören zum Vertrag.
- Jede Datenart hat ihre eigene Frist: Meldeschein, Rechnung und Marketing-Einwilligung dürfen nicht dieselbe Löschregel haben.
- Eine Gästeauskunft muss innerhalb eines Monats beantwortet sein; übe den Ablauf einmal vor dem ersten Antrag.
Wer im Hotel Verantwortlicher ist und wer Auftragsverarbeiter
Ein Verantwortlicher ist die Stelle, die über Zweck und Mittel der Verarbeitung entscheidet. Beim Hotel-PMS sind das du: du legst fest, welche Gästedaten erhoben werden, wie lange sie bleiben und wer sie sieht.
Ein Auftragsverarbeiter verarbeitet Daten ausschließlich auf deine dokumentierte Weisung (Artikel 28 Absatz 3 Buchstabe a DSGVO). Das trifft typischerweise den PMS-Anbieter, aber auch einen Dienstleister für Online-Check-in, Gästemails oder Datensicherung. Ob ein Dienstleister Auftragsverarbeiter ist, entscheidet sich an seiner Rolle und nicht am Namen des Vertrags. Arbeitet er nach eigenen Zwecken, etwa für eigene Werbung, ist er nicht weisungsgebunden und der Fall liegt anders.
Prüfe deshalb für jedes System, das Gästenamen, Mailadressen oder Meldedaten sieht, in welcher Rolle der Anbieter auftritt. Trage das Ergebnis in dein Verzeichnis der Verarbeitungstätigkeiten ein. Artikel 30 DSGVO nimmt kleine Betriebe nur aus, wenn die Verarbeitung gelegentlich erfolgt, kein Risiko birgt und keine besonderen Datenkategorien umfasst. Ein Hotel mit laufender Gästeverwaltung erfüllt diese Bedingungen in der Regel nicht. Die Wirtschaftskammer Österreich bietet dafür ein branchenspezifisch vorausgefülltes Muster für die Hotellerie an (Stand der Seite: März 2024).
Den Auftragsverarbeitungsvertrag prüfen
Der Vertrag mit deinem PMS-Anbieter muss Gegenstand und Dauer der Verarbeitung, Art der Daten und Pflichten beider Seiten regeln. Artikel 28 Absatz 3 DSGVO nennt acht Mindestinhalte. Die Tabelle übersetzt sie in Fragen, die du dem Anbieter vor der Unterschrift stellen kannst.
Bitte um den Vertrag vor dem Testbetrieb mit echten Gästedaten. Lies besonders die Anlage mit den Unterauftragnehmern: Artikel 28 Absatz 2 DSGVO verlangt deine Genehmigung, wenn der Anbieter weitere Verarbeiter einsetzt, und bei einer allgemeinen Genehmigung eine Information über Änderungen mit Widerspruchsmöglichkeit.
| Inhalt im Vertrag | Deine Frage an den Anbieter |
|---|---|
| Verarbeitung nur auf Weisung (a) | Wer darf Weisungen erteilen, und wie dokumentierst du sie? |
| Vertraulichkeit der Mitarbeitenden (b) | Sind alle Personen mit Datenzugriff zur Vertraulichkeit verpflichtet? |
| Sicherheitsmaßnahmen nach Artikel 32 (c) | Welche Maßnahmen gelten, und stehen sie in einer Anlage? |
| Weitere Auftragsverarbeiter (d) | Welche Unterauftragnehmer gibt es, und wie erfahre ich von Änderungen? |
| Hilfe bei Betroffenenrechten (e) | Kann ich Daten eines Gastes exportieren, berichtigen und löschen? |
| Hilfe bei Pflichten nach Artikel 32 bis 36 (f) | Wie meldest du mir eine Datenpanne, und in welcher Zeit? |
| Löschung oder Rückgabe nach Vertragsende (g) | In welchem Format erhalte ich meine Daten, und wann löschst du die Kopien? |
| Nachweise und Überprüfungen (h) | Welche Nachweise bekomme ich, und darf ich prüfen oder prüfen lassen? |
Verarbeitungsort und Drittländer
Frage nach dem Land, in dem Gästedaten liegen und aus dem Support darauf zugreift. Eine Übermittlung in ein Drittland ist nur zulässig, wenn die Bedingungen von Kapitel V der DSGVO erfüllt sind (Artikel 44). Das gilt auch für Unterauftragnehmer.
Lass dir den Ort schriftlich im Vertrag oder in der Anlage bestätigen. Eine Aussage im Verkaufsgespräch genügt nicht, wenn du später gegenüber der Datenschutzbehörde nachweisen musst, was vereinbart war.
Schutzmaßnahmen, die du im PMS sehen kannst
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Er nennt unter anderem Verschlüsselung, dauerhafte Vertraulichkeit und Verfügbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und eine regelmäßige Überprüfung der Maßnahmen. Welche Maßnahme angemessen ist, hängt von den Daten ab: Meldedaten und Zahlungsinformationen verlangen mehr als eine Zimmerliste.
Als Hotelier prüfst du keine Rechenzentren, aber du erkennst im Alltag, ob ein System dir die Arbeit nach dem Grundsatz „so wenig Zugriff wie nötig“ erlaubt. Die Checkliste fasst zusammen, was du in der Testphase und im Vertrag klärst.
Schutzmaßnahmen vor dem Kauf prüfen
- Jede Mitarbeiterin und jeder Mitarbeiter hat einen eigenen Zugang; gemeinsame Logins gibt es nicht.
- Rollen begrenzen den Zugriff: Die Aushilfe im Frühdienst sieht keine Rechnungsbeträge und keine Ausweisdaten, wenn sie diese nicht braucht.
- Die Anmeldung verlangt einen zweiten Faktor, und ausgeschiedene Mitarbeitende lassen sich am selben Tag sperren.
- Ein Protokoll zeigt, wer wann Gästedaten angesehen, geändert oder exportiert hat.
- Der Anbieter beschreibt schriftlich, wie Daten gesichert und nach einem Ausfall wiederhergestellt werden.
- Der Vertrag nennt, wie lange der Anbieter du nach einer Datenpanne spätestens informiert (deine Frist gegenüber der Behörde: 72 Stunden).
- Du weißt, welche Gästedaten das System verschlüsselt und welche nicht, und der Anbieter beantwortet diese Frage schriftlich.
Löschfristen je Datenart festlegen
Die DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie der Zweck es erfordert (Artikel 5 Absatz 1 Buchstabe e). Ist der Zweck entfallen, haben Gäste ein Recht auf Löschung (Artikel 17 Absatz 1 Buchstabe a). Das gilt nicht, wenn eine rechtliche Pflicht die weitere Speicherung verlangt (Artikel 17 Absatz 3 Buchstabe b).
Für Hotels heißt das: Es gibt keine einzelne Löschfrist für „die Gästekartei“. Meldedaten, Rechnungen und Werbeeinwilligungen laufen nach unterschiedlichen Regeln. Die Tabelle zeigt die gesetzlichen Fristen, die du in Österreich und Deutschland für typische Hoteldaten kennen musst. Alles, was nicht in der Tabelle steht, bestimme selbst und halten es im Verzeichnis der Verarbeitungstätigkeiten fest.
| Datenart | Österreich | Deutschland |
|---|---|---|
| Meldedaten der Gäste | Gästeverzeichnis: 7 Jahre ab Eintragung (§ 10 Abs. 2 MeldeG) | Meldeschein: 1 Jahr ab Abreise, danach Vernichtung binnen 3 Monaten (§ 30 Abs. 4 BMG) |
| Rechnungen und Buchungsbelege | 7 Jahre (§ 132 Abs. 1 BAO) | 8 Jahre für Buchungsbelege (§ 147 Abs. 3 AO) |
| Bücher und Aufzeichnungen der Buchhaltung | 7 Jahre (§ 132 Abs. 1 BAO) | 10 Jahre (§ 147 Abs. 3 AO) |
| Ausweiskopie oder Ausweisfoto | Keine gesetzliche Pflicht; nicht speichern, wenn sie nicht erforderlich ist | Keine gesetzliche Pflicht; nicht speichern, wenn sie nicht erforderlich ist |
| Werbeeinwilligung und Newsletter-Adresse | Bis zum Widerruf, danach löschen oder sperren | Bis zum Widerruf, danach löschen oder sperren |
| Stammgastnotizen (Kissenwunsch, Lieblingszimmer) | Von dir festzulegen, mit klarem Zweck | Von dir festzulegen, mit klarem Zweck |
Was die Software dafür können muss
Prüfe, ob das PMS Daten gezielt löschen oder anonymisieren kann, ohne die Rechnung zu verändern, und ob es zeigt, welche Datensätze eine Frist erreicht haben. Gehört ein Gast zugleich zu einer offenen Rechnung und zu einem abgelaufenen Meldeschein, muss das System beides getrennt behandeln.
Die Zahlen in der Tabelle sind Orientierung für den Normalfall. Die Fristen beginnen unterschiedlich: Das Gästeverzeichnis in Österreich zählt ab der Eintragung, der deutsche Meldeschein ab der Abreise, die Buchhaltungsfristen beider Länder ab dem Ende des Kalenderjahres. Lass deine Steuerberatung die Fristen einmal für deinen Betrieb bestätigen.
Ausweisdaten und Angaben zur Gesundheit
Die Angaben aus dem Ausweis darfst du für die Gästemeldung erfassen. Eine Kopie oder ein Scan des Ausweises schreibt weder das österreichische noch das deutsche Melderecht vor. Wie du den Ausweis prüfst, ohne ein Abbild zu speichern, steht in Ausweiskopie im Hotel.
Besondere Kategorien personenbezogener Daten, etwa Gesundheitsangaben, unterliegen strengeren Regeln nach Artikel 9 DSGVO. Im Hotel betrifft das Notizen wie „Gast ist Rollstuhlfahrer“ oder „schwere Nussallergie“. Erfasse solche Hinweise nur, wenn der Gast sie selbst für den Aufenthalt mitteilt, und lege fest, wer sie sehen darf und wann sie gelöscht werden. Frage deine Datenschutzberatung, ob in deinem Fall eine ausdrückliche Einwilligung nötig ist.
Gästeauskunft und Löschwunsch in einem Monat beantworten
Eine Gästeauskunft ist die Antwort auf das Verlangen einer Person, zu erfahren, welche Daten du über sie speicherst (Artikel 15 DSGVO). Du musst den Antrag unverzüglich, spätestens innerhalb eines Monats beantworten. Bei komplexen Fällen oder vielen Anträgen kann die Frist um zwei Monate verlängert werden, doch du musst den Gast innerhalb des ersten Monats darüber informieren (Artikel 12 Absatz 3). Auf Verlangen stellst du eine Kopie der Daten bereit; bei elektronischem Antrag in einem gängigen elektronischen Format.
Das größte Hindernis ist selten das PMS, sondern die Streuung. Gästedaten liegen im PMS, im Mailpostfach der Rezeption, in der Buchungsbestätigung des Portals und in Zettelnotizen. Ein Beispiel zeigt den Aufwand.
So bearbeitest du einen Auskunftsantrag
Eingang dokumentieren
Notiere Datum und Absender am Tag des Eingangs. Die Monatsfrist läuft ab Eingang des Antrags.
Identität klären
Gleiche Namen, Mailadresse und Buchungsnummer ab. Bei Zweifeln fragst du gezielt nach, statt einen Ausweis zu verlangen.
Daten zusammentragen
Exportiere das Gästeprofil, durchsuche Postfach und Ablage und schwärze Angaben über andere Gäste, etwa Mitreisende.
Antworten und ablegen
Sende die Kopie samt Angaben zu Zwecken, Empfängern und Speicherdauer und lege die Antwort mit Datum ab.
Wenn ein Gast Löschung verlangt
Lösche, was keine Frist und kein Zweck mehr hält. Eine Rechnung, die du sieben oder acht Jahre aufbewahren musst, bleibt bestehen; sperre sie für andere Zwecke und teile dem Gast mit, warum. Den Newsletter-Eintrag und die Stammgastnotizen löschst du dagegen sofort.
Die Reaktion muss ebenfalls innerhalb der Monatsfrist erfolgen. Bitte den Anbieter vorab um die Zusage, dass er Löschungen im PMS unterstützt (Artikel 28 Absatz 3 Buchstabe e DSGVO).
Datenpanne: 72 Stunden bis zur Meldung
Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten, etwa ein gestohlener Laptop mit Gästelisten oder ein fehlgeleitetes Mail mit Meldedaten. Du meldest sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Artikel 33 Absatz 1 DSGVO). Besteht ein hohes Risiko, informiere auch die betroffenen Gäste (Artikel 34 Absatz 1).
Die 72 Stunden laufen auch am Wochenende. Kläre deshalb vorab, wer im Haus entscheidet und wie der Softwareanbieter du erreicht. Der Auftragsverarbeiter ist verpflichtet, du bei diesen Pflichten zu unterstützen (Artikel 28 Absatz 3 Buchstabe f). Notiere die Telefonnummer des Anbieters und die Aufsichtsbehörde deines Landes an einer Stelle, die auch der Spätdienst findet.
Häufige Fragen
Brauche ich für meine Hotelsoftware einen Auftragsverarbeitungsvertrag?
Ja, wenn der Anbieter Gästedaten in deinem Auftrag verarbeitet, verlangt Artikel 28 DSGVO einen schriftlichen Vertrag, der auch elektronisch geschlossen werden kann. Er regelt unter anderem Weisungen, Sicherheitsmaßnahmen, Unterauftragnehmer und die Löschung nach Vertragsende. Forder ihn vor dem Echtbetrieb an.
Muss ein Hotel einen Datenschutzbeauftragten benennen?
Nicht automatisch. Artikel 37 DSGVO verlangt ihn bei Behörden, bei umfangreicher systematischer Überwachung als Kerntätigkeit und bei umfangreicher Verarbeitung besonderer Datenkategorien als Kerntätigkeit. Ob dein Haus darunter fällt, kläre mit deiner Datenschutzberatung. In Deutschland gilt zusätzlich § 38 BDSG: Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Österreich kennt keine solche Zusatzschwelle.
Wie lange darf ein Hotel Gästedaten speichern?
So lange, wie der Zweck es erfordert oder eine gesetzliche Pflicht es verlangt. Für Rechnungen gelten in Österreich 7 Jahre, in Deutschland 8 Jahre für Buchungsbelege und 10 Jahre für Bücher. Den Meldeschein bewahrst du in Deutschland ein Jahr auf, das Gästeverzeichnis in Österreich 7 Jahre.
Darf ich Gästedaten für Werbung verwenden?
Nur mit gültiger Rechtsgrundlage, in der Praxis meist mit einer Einwilligung, die der Gast widerrufen kann. Trenne im PMS deshalb Daten für den Aufenthalt von Daten für Werbung, und lösche die Werbeadresse nach dem Widerruf. Frage bei Zweifeln deine Datenschutzberatung.
Ist Software, die sich „DSGVO-konform“ nennt, automatisch rechtssicher für mein Hotel?
Nein. Die DSGVO verpflichtet du als Verantwortlichen, und ein Anbieter kann nur seinen Teil erfüllen. Verlange stattdessen konkrete Nachweise: Vertrag, Maßnahmenbeschreibung, Unterauftragnehmerliste und Verarbeitungsort. Prüfe diese schriftlich, bevor du Gästedaten einspielen.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5, 9, 12, 15, 17, 25, 28, 30, 32, 33, 34, 37 und 44, abgerufen am 13. Oktober 2026
- Bundeskanzleramt: Bundesabgabenordnung (BAO), § 132 Aufbewahrungspflicht, RIS, abgerufen am 13. Oktober 2026
- Bundeskanzleramt: Meldegesetz 1991, § 10 Gästeverzeichnis, RIS, abgerufen am 13. Oktober 2026
- Bundesministerium der Justiz: § 147 Abgabenordnung, Ordnungsvorschriften für die Aufbewahrung von Unterlagen, abgerufen am 13. Oktober 2026
- Bundesministerium der Justiz: § 30 Bundesmeldegesetz, Besondere Meldescheine für Beherbergungsstätten, abgerufen am 13. Oktober 2026
- Bundesministerium der Justiz: § 38 Bundesdatenschutzgesetz, Datenschutzbeauftragte nichtöffentlicher Stellen, abgerufen am 13. Oktober 2026
- Wirtschaftskammer Österreich: Muster-Dokumente zur DSGVO für Betriebe in der Tourismus- und Freizeitwirtschaft, Stand 22.03.2024, abgerufen am 13. Oktober 2026
Teste STRYK mit deinem echten Hotelalltag
14 Tage kostenlos, ohne Einrichtungsgebühr. Wir richten deine Zimmer, Preise und ersten Abläufe gemeinsam mit dir ein.