Kurz gesagt
Sicher ist eine Hotelsoftware, wenn der Anbieter fünf Dinge belegen kann: Anmeldung mit zweitem Faktor, Rechte je Rolle, ein Protokoll aller Änderungen, getestete Backups und einen Datenschutzvertrag mit klarem Speicherort. Stelle die 15 Fragen dieser Checkliste schriftlich, lass dir Nachweise zeigen und bewerte jede Antwort mit erfüllt, teilweise oder offen.
Das Wichtigste in Kürze
- Ein Passwort allein reicht für ein System mit Gästedaten nicht; frage nach einem zweiten Faktor für jede Person im Team.
- Rechte je Rolle und ein Änderungsprotokoll schützen vor Fehlern im eigenen Haus, nicht nur vor Angriffen von außen.
- Backups zählen erst, wenn der Anbieter die Wiederherstellung nachweislich übt und dir sagt, wie lange sie dauert.
- Der Auftragsverarbeitungsvertrag legt Speicherort, Unterauftragnehmer, Löschung und Ausstieg fest; lies ihn vor dem Vertragsabschluss.
Warum du als Hotel für die Daten verantwortlich bleibst
Ein Hotel ist für die Daten seiner Gäste verantwortlich, auch wenn ein Softwareanbieter sie speichert. Die DSGVO nennt den Anbieter dann Auftragsverarbeiter. Das Hotel darf nach Art. 28 Abs. 1 nur Anbieter wählen, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten.
Die 15 Fragen unten machen diese Garantien prüfbar. Sie gelten für jede Betriebsgröße: Eine Pension mit 12 Zimmern hat dieselben Pflichten wie ein Stadthotel, aber keine IT-Abteilung, die Antworten einordnet.
Anmeldung, Rechte und Protokoll: Fragen 1 bis 5
Im Alltag greifen vor allem Menschen im eigenen Haus auf Gästedaten zu: die Rezeption, die Aushilfe, die Buchhaltung. Deshalb stehen Anmeldung und Rechte am Anfang.
Frage 1 und 2 betreffen die Anmeldung. Verlangt das System einen zweiten Faktor, etwa einen Code aus einer Authentifizierungs-App, und gilt er für alle Mitarbeitenden oder nur auf Wunsch? Und hat jede Person einen eigenen Zugang? Ein geteiltes Passwort am Empfang verhindert jede Nachvollziehbarkeit.
Frage 3 und 4 betreffen Rechte. Lassen sich Rollen für Rezeption, Housekeeping und Buchhaltung getrennt einstellen, und kann eine Reinigungskraft nur ihren Zimmerplan sehen? Im Hotel Nordlicht soll die Aushilfe im Frühdienst Anreisen sehen, aber keine Rechnungen und keine Gästekartei.
Frage 5 betrifft das Protokoll. Zeigt das System, wer wann eine Buchung, einen Preis oder eine Rechnung geändert hat? Ohne Protokoll bleibt ein Fehler am Montag ungeklärt, und ein Datenabfluss lässt sich nicht eingrenzen.
Datenhaltung und Datenschutzvertrag: Fragen 6 bis 9
Der Auftragsverarbeitungsvertrag (AVV) ist der Vertrag, der regelt, wie der Anbieter deine Gästedaten verarbeiten darf. Nach Art. 28 Abs. 3 DSGVO gehören dazu unter anderem die Bindung an deine Weisungen, die Verschwiegenheit der Mitarbeitenden, Regeln zu Unterauftragnehmern sowie Löschung oder Rückgabe der Daten nach Vertragsende.
Frage 6: Liegt ein AVV vor, bevor du echte Gästedaten eintragst? Frage 7: Wo werden die Daten verarbeitet, und steht das im Vertrag oder nur in der Werbung? Frage 8: Welche Unterauftragnehmer sind beteiligt, und wie erfährst du von Änderungen? Frage 9: Welche Gästedaten speichert das System, und kannst du Aufbewahrungsfristen einstellen?
Eine gute Antwort nennt Dokument und Fundstelle, etwa „AVV, Anlage 2“. Eine schlechte Antwort lautet „Wir sind DSGVO-konform“. Diese Aussage ist ohne Vertrag und Nachweis wertlos, weil du als Hotel haftest.
Backups, Ausfall und Sicherheitsvorfälle: Fragen 10 bis 12
Ein Backup ist eine Sicherungskopie deiner Daten, aus der der Anbieter nach einem Ausfall oder Fehler den früheren Stand wiederherstellt. Art. 32 Abs. 1 DSGVO nennt ausdrücklich die rasche Wiederherstellung von Verfügbarkeit und Zugang nach einem Zwischenfall und die regelmäßige Überprüfung der Maßnahmen.
Frage 10: Wie oft sichert der Anbieter, und wie lange dauert eine Wiederherstellung? Frage 11: Übt er die Wiederherstellung und prüft er seine Maßnahmen regelmäßig? Frage 12: Wann und auf welchem Weg informiert er du bei einem Sicherheitsvorfall? Lass die Frist im AVV nennen, denn dein Hotel muss danach selbst handeln.
Frage auch aus Rezeptionssicht: Was tun du, wenn das System am Samstag um 16 Uhr nicht erreichbar ist? Ein Ausdruck der Anreisen des Tages gehört in jedes Haus.
Schnittstellen, Nachweise und Ausstieg: Fragen 13 bis 15
Jede Schnittstelle öffnet einen weiteren Weg zu deinen Daten, etwa zum Buchungsportal, zum Zahlungsdienst oder zur Steuerberatung. Frage 13: Welche Anbindungen gibt es, und wer verwaltet die Zugangsdaten dafür? Zugänge für Dritte solltest du selbst sperren können.
Frage 14: Welche Nachweise gibt es vor Vertragsabschluss, etwa Zertifikate, Prüfberichte oder die Maßnahmenbeschreibung im AVV? Ein Zertifikat ist kein Muss. Ohne Zertifikat lässt du dir die Maßnahmen schriftlich beschreibst; Art. 28 Abs. 3 gibt dir ein Recht auf Informationen zum Nachweis.
Frage 15: Wie bekommst du deine Daten zurück, in welchem Format, und wann löscht der Anbieter sie? Der AVV muss nach Vertragsende Löschung oder Rückgabe vorsehen, sofern keine gesetzliche Aufbewahrung entgegensteht.
Die 15 Fragen zum Abhaken
Sende die Liste jedem Anbieter in der engeren Wahl. Die Bewertung der Antworten folgt im nächsten Abschnitt.
15 Sicherheitsfragen an den Anbieter
- 1. Gilt ein zweiter Faktor bei der Anmeldung für alle Mitarbeitenden?
- 2. Hat jede Person einen eigenen Zugang?
- 3. Lassen sich Rollen je Aufgabe festlegen?
- 4. Sieht die Reinigungskraft nur ihren Zimmerplan?
- 5. Protokolliert das System, wer was geändert hat?
- 6. Liegt der AVV vor, bevor du echte Gästedaten eintragst?
- 7. Wo werden die Daten verarbeitet, und steht das im Vertrag?
- 8. Welche Unterauftragnehmer sind beteiligt?
- 9. Welche Gästedaten werden gespeichert, und lassen sich Fristen einstellen?
- 10. Wie oft wird gesichert, und wie lange dauert die Wiederherstellung?
- 11. Wird die Wiederherstellung geübt und die Wirksamkeit geprüft?
- 12. Wann und wie informiert der Anbieter bei einem Vorfall?
- 13. Welche Schnittstellen gibt es, und wer verwaltet die Zugänge?
- 14. Welche Nachweise gibt es vor Vertragsabschluss?
- 15. Wie und wann erhältst du deine Daten zurück, und wann löscht der Anbieter?
Antworten bewerten und Angebote vergleichen
Bewerte jede Antwort mit drei Stufen und vermerke den Nachweis dazu. Offene Punkte sind kein Ausschluss, solange der Anbieter sie bis zum Vertrag schriftlich klärt. Bleibt ein Punkt, den du als Muss festgelegt hast, offen, ist das Angebot nicht vergleichbar.
| Stufe | Woran du sie erkennst | Was du tun |
|---|---|---|
| Erfüllt | Antwort mit Dokument, Fundstelle oder Vorführung | Nachweis ablegen |
| Teilweise | Antwort ohne Beleg oder nur für einen Teil der Fälle | Schriftlich nachfordern, Frist setzen |
| Offen | Ausweichende Antwort wie „Das ist alles geregelt“ | Vor Vertragsabschluss klären oder ausscheiden |
Häufige Fragen
Muss mein Softwareanbieter ISO-27001-zertifiziert sein?
Nein, die DSGVO verlangt kein Zertifikat. Sie verlangt geeignete Maßnahmen und Nachweise, die du nach Art. 28 Abs. 3 vom Anbieter fordern können. Ein Zertifikat ist ein möglicher Nachweis. Ohne Zertifikat lässt du dir die Maßnahmen schriftlich beschreibst.
Brauche ich mit einer Cloud-Hotelsoftware einen Vertrag zur Auftragsverarbeitung?
Ja, sobald der Anbieter Gästedaten in deinem Auftrag verarbeitet. Art. 28 DSGVO verlangt dafür einen Vertrag mit festem Inhalt. Forder ihn an, bevor du echte Gästedaten eintragst.
Wie erkenne ich, ob Backups wirklich funktionieren?
Daran, dass der Anbieter die Wiederherstellung übt und die Dauer nennt. Frage nach Häufigkeit, Ort und letzter Probe.
Reicht ein Passwort für die Anmeldung meiner Rezeption?
Nein, ein Passwort allein ist bei Gästedaten ein Risiko, weil es sich weitergeben und abfangen lässt. Frage nach einem zweiten Faktor und nach einem eigenen Zugang je Person.
Was passiert mit meinen Daten, wenn ich den Anbieter wechsle?
Du erhältst sie zurück oder der Anbieter löscht sie, so wie du es wählst. Der AVV muss das nach Art. 28 Abs. 3 DSGVO vorsehen, sofern keine gesetzliche Aufbewahrung entgegensteht. Kläre Format und Frist vor dem Start.
Quellen
- DSGVO: Art. 28 Auftragsverarbeiter (Verordnung (EU) 2016/679), abgerufen am 14. Oktober 2026
- DSGVO: Art. 32 Sicherheit der Verarbeitung (Verordnung (EU) 2016/679), abgerufen am 14. Oktober 2026
Teste STRYK mit deinem echten Hotelalltag
14 Tage kostenlos, ohne Einrichtungsgebühr. Wir richten deine Zimmer, Preise und ersten Abläufe gemeinsam mit dir ein.