Gästedaten beim PMS-Wechsel: was du übernehmen darfst und was du löschen musst

Warum die Übernahme eine Entscheidung ist

Gästedaten-Migration ist die Übertragung von Gästedaten aus dem alten in das neue Hotelprogramm, die du als Verantwortlicher veranlassen. Technisch ist das ein Export und ein Import. Datenschutzrechtlich ist es eine Verarbeitung, bei der du wie bei jeder anderen jede Datenart begründen musst.

Drei Grundsätze der DSGVO entscheiden, was mitgeht. Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden (Art. 5 Abs. 1 Buchst. b). Sie müssen auf das notwendige Maß beschränkt sein (Buchst. c). Und sie dürfen nur so lange identifizierbar gespeichert werden, wie der Zweck es verlangt (Buchst. e). Du müssen die Einhaltung nachweisen kannst (Art. 5 Abs. 2).

Rollen von Hotel, altem und neuem Anbieter

Das Hotel entscheidet über Zweck und Mittel und ist Verantwortlicher. Der alte und der neue Softwareanbieter verarbeiten die Daten in der Regel als Auftragsverarbeiter und dürfen das nur auf deine dokumentierte Weisung (Art. 28 Abs. 3 Buchst. a DSGVO). Der Wechsel des Dienstleisters macht die Gäste nicht zu Daten eines anderen Verantwortlichen.

Schließe deshalb den Auftragsverarbeitungsvertrag mit dem neuen Anbieter, bevor echte Gästedaten ins neue System gelangen. Welche Inhalte der Vertrag haben muss, steht im Ratgeber Hotelsoftware und DSGVO. Ob deine Datenschutzerklärung und dein Verzeichnis der Verarbeitungstätigkeiten den neuen Anbieter nennen müssen, kläre mit deiner Datenschutzberatung.

Welche Daten ins neue System gehören

Die Tabelle ordnet typische Datenarten aus einem Hotel-PMS. Sie ist eine Ausgangsbasis für deine Entscheidung am Stichtag und ersetzt keine Prüfung durch deine Datenschutz- und Steuerberatung. Fristen sind nur für Österreich und Deutschland genannt.

Beim Stammgast-Archiv gibt es keine Standardantwort. Wer Gästen eine Wiedererkennung beim nächsten Besuch zusagen will, braucht dafür einen eigenen, dokumentierten Zweck und eine Interessenabwägung (Art. 6 Abs. 1 Buchst. f DSGVO) oder eine Einwilligung. Fehlt beides, übernimm das Profil nicht.

Werbeeinwilligungen und Widersprüche richtig mitnehmen

Eine Einwilligung zählt im neuen System nur, wenn du sie belegen kannst. Exportiere deshalb nicht nur das Häkchen „Newsletter ja“, sondern Datum, Kanal und den Text, dem der Gast zugestimmt hat. Fehlt dieser Nachweis im Altsystem, behandle das Profil wie ein Profil ohne Einwilligung.

Widerrufe und Widersprüche sind ebenso wichtig. Ein Gast, der der Werbung widersprochen hat, darf danach nicht mehr dafür verarbeitet werden. Gehen diese Vermerke beim Import verloren, erhält er die nächste Aktion. Lege im Import-Test fest, welche Spalte den Sperrvermerk trägt, und prüfe stichprobenartig fünf bekannte Fälle im neuen System.

Ob für E-Mail-Werbung neben der DSGVO weitere Regeln gelten, etwa das Wettbewerbs- oder Telekommunikationsrecht deines Landes, prüfe vor dem ersten Versand aus dem neuen System.

Das Altsystem geordnet löschen

Nach Abschluss der Leistungen muss der alte Anbieter alle personenbezogenen Daten nach deiner Wahl löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Speicherpflicht besteht (Art. 28 Abs. 3 Buchst. g DSGVO). Die Wahl triffst du, nicht der Anbieter. Fristen und Ablauf stehen in deinem Auftragsverarbeitungsvertrag.

Lösche erst, wenn das Archiv und der Import geprüft sind. Eine Löschung lässt sich nicht rückgängig machen, und du benötigst die Altdaten für Rechnungen und Meldedaten bis zum Fristende. Schriftlich verlangte Löschung und Bestätigung dienen als Nachweis (Art. 5 Abs. 2 DSGVO).

Exportdateien sind selbst ein Risiko

Eine Exportdatei mit Gästenamen, Mailadressen und Reisedaten ist eine vollständige Gästeliste und braucht dieselben Schutzmaßnahmen wie das System selbst (Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau). Lege sie nicht auf dem Desktop der Rezeption ab, und schicke sie nicht unverschlüsselt per Mail an die Steuerberatung oder den Importdienstleister.

Gehen Exportdateien verloren oder landen beim falschen Empfänger, ist das eine Datenpanne. Du meldest sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer sie führt voraussichtlich zu keinem Risiko für die Gäste (Art. 33 Abs. 1 DSGVO). Dokumentieren musst du jede Panne (Art. 33 Abs. 5). Vermerke deshalb im Wechselplan, wer die Dateien erzeugt, wo sie liegen und wann sie gelöscht werden.