Cyber- und Datenschutz-Risiken absichern

Der Ausgangspunkt ist der Digitalisierungsgrad, der sich in der Ferienvermietung in wenigen Jahren stark erhöht hat. Ein durchschnittliches Objekt an der MV-Ostseeküste wird über mindestens ein Portal vermarktet, häufig über zwei oder drei, dazu kommt eine eigene Website mit Anfrageformular. Belegung und Preise laufen über einen Channel-Manager, die Kommunikation über ein oder mehrere E-Mail-Konten und Messenger, die Buchhaltung über eine Software oder ein Tabellenprogramm, die Zahlungen über Bankkonto und Zahlungsdienstleister. Zugang zum Objekt gewähren zunehmend Codeschlösser oder App-gesteuerte Systeme, Heizung und Rauchwarnmelder sind teilweise vernetzt. Jede dieser Komponenten ist ein eigener Zugangsweg – und die Kette ist nur so stark wie ihr schwächstes Glied, was in der Praxis fast immer ein wiederverwendetes Kennwort oder ein nicht abgesichertes Postfach ist.

Der häufigste Angriffsweg ist die gefälschte Nachricht. Bei der Fake-Buchungsanfrage erhält der Vermieter eine plausibel formulierte Anfrage, die einen Anhang oder einen Link enthält – angeblich eine Reiseplanung, eine Gästeliste oder ein Nachweis. Der Anhang installiert Schadsoftware, der Link führt auf eine nachgebaute Anmeldeseite. Bei der Portal-Phishing-Variante wirkt die Nachricht wie eine Systemmeldung der Buchungsplattform: Verifizierung erforderlich, Auszahlung blockiert, Konto gefährdet. Wer dort seine Zugangs- und gegebenenfalls Bankdaten eingibt, verliert die Kontrolle über das Vermieterkonto. Die Folge ist regelmäßig nicht der Diebstahl einer einzelnen Zahlung, sondern die Umleitung der hinterlegten Auszahlungsverbindung, das Löschen oder Verändern von Inseraten und der Zugriff auf die Nachrichtenhistorie mit allen Gästedaten.

Die zweite Gruppe betrifft den Rechner selbst. Ransomware verschlüsselt Dateien und verlangt Zahlung für die Entschlüsselung; oft werden die Daten vorher kopiert, um zusätzlich mit einer Veröffentlichung zu drohen. Für einen Ferienvermietungsbetrieb ist der Ausfall unmittelbar spürbar: Belegungsplan, Verträge, Rechnungen, Fotos, Reinigungsplanung und Gästekommunikation liegen häufig auf einem einzigen Gerät. Kommt es in der Hochsaison dazu, sind Anreisen nicht mehr sauber zuzuordnen, Codes nicht mehr auffindbar und Abrechnungen nicht mehr nachvollziehbar. Werden zugleich personenbezogene Daten abgeflossen sein, tritt neben den Betriebsschaden die datenschutzrechtliche Meldepflicht – die Zahlung eines Lösegeldes beseitigt diese Pflicht nicht.

Die dritte Gruppe ist der Zahlungsbetrug bei Direktbuchungen. Er funktioniert in beide Richtungen. Gegen den Vermieter: Eine gefälschte Buchungsbestätigung oder ein manipulierter Zahlungsbeleg täuscht einen Eingang vor, das Objekt wird belegt, das Geld kommt nie. Gegen den Gast: Angreifer, die Zugriff auf das Postfach des Vermieters haben, lesen mit, greifen in laufende Konversationen ein und versenden eine Rechnung mit fremder Bankverbindung. Der Gast zahlt an die falsche Kontonummer und besteht anschließend auf seiner Buchung. Wirtschaftlich und rechtlich ist das eine unangenehme Konstellation, weil der Gast auf ein Verschulden in Ihrer Sphäre verweist. Wirksam dagegen sind feste Zahlungswege, ein Rückrufverfahren bei geänderten Bankverbindungen und ein Hinweis in der Buchungsbestätigung, dass sich die Kontoverbindung niemals kurzfristig ändert.

Auf der Objektebene entstehen eigene Angriffsflächen. Ein Gäste-WLAN, das auf demselben Netz wie die Haustechnik läuft, öffnet den Weg von einem beliebigen Gastgerät zu Router, Heizungssteuerung, Kameras und Netzwerkspeicher; sinnvoll ist deshalb ein getrenntes Gastnetz mit eigener Zugangskennung. Die vielfach befürchtete Störerhaftung des Anbieters für Rechtsverletzungen der Nutzer ist demgegenüber weitgehend entschärft: § 8 TMG – dessen Regelung seit 2024 im Digitale-Dienste-Gesetz fortgeführt wird – privilegiert die reine Durchleitung, sodass Anbieter offener Zugänge grundsätzlich nicht für fremde Rechtsverletzungen auf Schadensersatz oder Abmahnkosten haften. Elektronische Schließsysteme und Smart-Home-Komponenten sind demgegenüber ein reales Sicherheitsthema: Standardkennwörter, fehlende Aktualisierungen und aus dem Internet erreichbare Oberflächen sind die typischen Schwachstellen, und ein kompromittiertes Schloss ist zugleich ein physisches Einbruchsrisiko.

Ein Sonderfall ist die Videoüberwachung am Objekt. Kameras an Eingang, Stellplatz oder Poolbereich erscheinen als einfache Lösung gegen Vandalismus und Regelverstöße, sind aber eine Verarbeitung personenbezogener Daten mit hoher Eingriffsintensität. Sie benötigt eine Rechtsgrundlage nach Art. 6 DSGVO, in aller Regel eine sorgfältig begründete Interessenabwägung, dazu Transparenzhinweise, eine enge Ausrichtung ausschließlich auf eigene Flächen, kurze Speicherfristen und häufig eine Datenschutz-Folgenabschätzung. Innenräume, Sanitärbereiche, Saunen und Zugänge zu Wohnbereichen sind praktisch nie zulässig überwachbar, und heimliche Aufnahmen können zusätzlich strafbar sein. Eine unzulässig betriebene Kamera erzeugt damit genau den Schaden, den sie verhindern sollte: Ansprüche von Gästen und ein Ansatzpunkt für die Aufsichtsbehörde.

Fachliches Urteil: Die Cyber-Risiken eines Ferienvermieters sind überschaubar in der Zahl, aber eng verzahnt: Konto, Postfach, Rechner, Zahlungsweg, Netz und Objekttechnik hängen zusammen, und in fast allen realen Fällen steht am Anfang eine menschliche Fehlentscheidung, nicht eine technische Meisterleistung des Angreifers. Wer Mehrfaktor-Authentifizierung auf allen Konten aktiviert, Buchungs- und Belegdaten regelmäßig getrennt sichert, Gastnetz und Haustechnik trennt und für Zahlungsänderungen ein Rückrufverfahren festlegt, hat den größten Teil der praktischen Angriffsfläche geschlossen. Die Versicherung deckt danach das Restrisiko und die Aufarbeitungskosten. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Die Auswahl einer Cyberpolice gehört zu Versicherungsfachleuten, die datenschutzrechtliche Bewertung zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten.

Der Ausgangspunkt ist die Rolle des Vermieters. Wer Buchungen entgegennimmt, ist datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO: Er entscheidet über Zwecke und Mittel der Verarbeitung und trägt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Diese Rolle entfällt nicht dadurch, dass die Buchung über ein Portal kam oder dass eine Agentur die Objektbetreuung übernimmt. Sie bringt konkrete Pflichten mit sich: eine Rechtsgrundlage nach Art. 6 DSGVO für jede Verarbeitung, Datenminimierung und Speicherbegrenzung nach Art. 5 DSGVO, Transparenzinformationen für die Gäste, ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit allen eingebundenen Dienstleistern sowie angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Der erste Geldfluss ist das Bußgeld. Art. 83 DSGVO staffelt den Rahmen; in der oberen Stufe – etwa bei Verstößen gegen die Verarbeitungsgrundsätze oder gegen die Rechte der Betroffenen – sind bis zu 20 Mio. € oder 4 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem, welcher Betrag höher ist. Für einen Kleinstbetrieb sind das keine realistischen Größenordnungen; die Aufsichtsbehörden müssen nach Art. 83 Abs. 1 und 2 DSGVO wirksam, verhältnismäßig und abschreckend sanktionieren und dabei Art, Schwere, Dauer, Vorsatz oder Fahrlässigkeit, ergriffene Abhilfemaßnahmen und die Kooperationsbereitschaft berücksichtigen. Entscheidend ist deshalb weniger der abstrakte Höchstrahmen als die Feststellung, ob überhaupt zumutbare Maßnahmen ergriffen und dokumentiert wurden.

Der zweite Geldfluss sind Ansprüche der Betroffenen. Art. 82 DSGVO gewährt jeder Person, der durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist, Schadenersatz gegen den Verantwortlichen; dieser haftet, sofern er nicht nachweist, dass er in keinerlei Hinsicht verantwortlich ist. Der Anspruch ist damit im Ausgangspunkt verschuldensunabhängig konstruiert, mit einer Entlastungsmöglichkeit. Die einzelnen Beträge sind in der Rechtsprechung typischerweise moderat, entscheidend ist die Multiplikation: Steht ein Buchungsbestand mit mehreren hundert Gästen im Raum, entsteht aus vielen kleinen Ansprüchen schnell eine relevante Summe, dazu die Kosten der Abwehr. Ergänzend bestehen Auskunftsansprüche nach Art. 15 DSGVO und Löschansprüche nach Art. 17 DSGVO, deren Bearbeitung Zeit und häufig anwaltliche Unterstützung kostet.

Der dritte und in der Praxis wichtigste Block sind die Eigenkosten der Aufarbeitung. Ein Vorfall beginnt mit der Frage, was überhaupt passiert ist – das erfordert eine forensische Untersuchung der betroffenen Systeme. Parallel läuft die Uhr des Art. 33 DSGVO: Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, ein Risiko für die Rechte und Freiheiten ist unwahrscheinlich. Besteht ein hohes Risiko, sind nach Art. 34 DSGVO zusätzlich die Betroffenen selbst zu benachrichtigen. Dazu kommen Wiederherstellung der Systeme, Ersatzbeschaffung, Kommunikation mit Gästen und Plattformen sowie der Ausfall der Buchungsfähigkeit über Tage. Diese Positionen treffen jeden Betrieb unabhängig davon, ob am Ende ein Bußgeld verhängt wird.

Versicherungstechnisch ist die Trennlinie wichtig. Cyberpolicen bilden regelmäßig die Eigenschaden- und Kostenseite ab – Forensik, Wiederherstellung, Benachrichtigungs- und Krisenkommunikationskosten, rechtliche Begleitung des Meldeverfahrens, Betriebsunterbrechung – und daneben die Drittschadenseite, also Ansprüche von Betroffenen und Vertragspartnern. Geldbußen und Strafen sind demgegenüber ein Sonderfall: Ihre Versicherbarkeit ist rechtlich umstritten, weil eine Sanktion ihre Steuerungswirkung verlöre, wenn sie regelmäßig ein Dritter zahlt. Manche Bedingungswerke sehen eine Deckung vor, soweit sie rechtlich zulässig ist, andere schließen sie vollständig aus. Wer eine Cyberdeckung prüft, sollte diesen Punkt ausdrücklich ansprechen und sich die Antwort schriftlich geben lassen.

Hinzu kommt eine Besonderheit der Ferienvermietung: die Meldedaten. Nach den §§ 29 ff. Bundesmeldegesetz besteht für Beherbergungsstätten eine besondere Meldepflicht; die Meldescheine sind nach § 30 Abs. 4 BMG ein Jahr aufzubewahren und anschließend innerhalb von drei Monaten zu vernichten. Seit der Änderung durch das Vierte Bürokratieentlastungsgesetz zum 1. Januar 2025 entfällt diese besondere Meldepflicht für deutsche Staatsangehörige; für ausländische Gäste besteht sie fort, einschließlich der Pflicht zur Vorlage eines Identitätsdokuments. Diese Daten sind besonders sensibel, weil sie Ausweisangaben enthalten. Ihr Abfluss wiegt in einer Risikobewertung nach Art. 33 und 34 DSGVO deutlich schwerer als eine bloße Adressliste, und ihre Aufbewahrung über die gesetzliche Frist hinaus ist selbst ein Verstoß gegen die Speicherbegrenzung.

Fachliches Urteil: Datenschutz-Risiken sind für Ferienvermieter nicht wegen des theoretischen Bußgeldrahmens relevant, sondern weil ein einziger Vorfall eine Kette aus Fristen, Nachweispflichten, Betroffenenansprüchen und Eigenkosten auslöst, die ein Einzelbetrieb ohne Unterstützung kaum sauber abarbeitet. Der versicherbare Kern liegt in dieser Aufarbeitung: Forensik, Meldeverfahren, Benachrichtigung, Wiederherstellung, Betriebsunterbrechung und die Abwehr von Ansprüchen. Wer zusätzlich sein Verzeichnis nach Art. 30 DSGVO, seine Auftragsverarbeitungsverträge nach Art. 28 DSGVO und seine Löschfristen in Ordnung hat, senkt zugleich Bußgeldrisiko und Prämienrelevanz. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Die Prüfung Ihrer Deckung gehört zu Versicherungsfachleuten, die datenschutzrechtliche Bewertung zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten.

Der Eigenschadenbaustein ist für Kleinstbetriebe der wirtschaftlich wichtigste Teil. Er greift, sobald ein Sicherheitsvorfall festgestellt wird, und trägt zunächst die Ursachenklärung: Welche Systeme sind betroffen, ist tatsächlich ein Abfluss personenbezogener Daten erfolgt, sind Zugänge weiterhin kompromittiert. Darauf folgen die Wiederherstellung von Daten und Systemen, gegebenenfalls die Neuaufsetzung von Geräten, die Bereinigung von Konten und die Absicherung gegen einen erneuten Zugriff. Weil ein Ferienvermieter selten über eigene IT-Kapazitäten verfügt, ist der praktische Wert dieses Bausteins weniger die Erstattung als der Zugang zu einem Dienstleisternetz, das kurzfristig arbeitet. Genau das unterscheidet eine Cyberdeckung von einer reinen Kostenerstattung im Nachhinein.

Der Drittschadenbaustein ist eine Haftpflichtdeckung für digitale Sachverhalte. Versichert sind Ansprüche Dritter, die aus einer Verletzung des Datenschutzes oder der Datensicherheit hergeleitet werden: Schadenersatz nach Art. 82 DSGVO, Ansprüche wegen verspäteter oder unterlassener Benachrichtigung, Ansprüche von Vertragspartnern wegen weitergegebener Schadsoftware oder wegen der Verletzung vertraglicher Vertraulichkeits- und Sicherheitspflichten. Wie in jeder Haftpflicht besteht die Leistung aus Prüfung, Regulierung des berechtigten Teils und Abwehr des unberechtigten Teils auf Kosten des Versicherers. Bei den in der Praxis eher kleinteiligen Einzelansprüchen nach Art. 82 DSGVO ist die Abwehrfunktion regelmäßig wertvoller als die Zahlung selbst.

Die Betriebsunterbrechung bildet den Ertragsausfall ab. Ausgangspunkt ist ein versicherter Sicherheitsvorfall, der die Betriebsfähigkeit beeinträchtigt – etwa verschlüsselte Belegungsdaten, gesperrte Portalzugänge oder ein ausgefallenes Buchungssystem. Ersetzt wird der entgangene Deckungsbeitrag für die Dauer der Unterbrechung, häufig zuzüglich Mehrkosten für Ersatzlösungen. Zwei Parameter entscheiden über den Wert: die Wartezeit, also die Karenz in Stunden, bevor die Leistung einsetzt, und die Haftzeit, also der maximale Entschädigungszeitraum. Für saisonale Betriebe ist ein dritter Punkt wichtig, der oft übersehen wird: Ein Ausfall im Juli wiegt anders als einer im November, und nicht jede Bedingung berücksichtigt Saisonverläufe bei der Schadenberechnung.

Der Krisen- und Assistancebaustein ist der Teil, der im Ernstfall über den Verlauf entscheidet. Er stellt eine Meldestelle, die rund um die Uhr erreichbar ist, vermittelt IT-Forensik, koordiniert die rechtliche Begleitung der Meldung nach Art. 33 DSGVO und der Benachrichtigung nach Art. 34 DSGVO und unterstützt bei der Kommunikation mit Gästen und Plattformen. Die 72-Stunden-Frist ist kurz, und die Meldung muss Art und Umfang der Verletzung, voraussichtliche Folgen und ergriffene Maßnahmen beschreiben. Ein Einzelvermieter, der am Freitagabend feststellt, dass sein Postfach übernommen wurde, wird diese Anforderungen ohne Unterstützung kaum fristgerecht erfüllen.

Lösegeldzahlungen sind gesondert zu betrachten. Manche Bedingungswerke sehen eine Erstattung vor, teils gedeckelt und stets unter dem Vorbehalt der rechtlichen Zulässigkeit, insbesondere mit Blick auf Sanktions- und Embargolisten; andere schließen sie aus. Unabhängig von der Deckung gilt: Eine Zahlung beseitigt weder die Meldepflicht noch das Risiko einer späteren Veröffentlichung der Daten, und sie garantiert keine funktionsfähige Entschlüsselung. Ähnlich differenziert sind Vermögensschäden durch Betrug zu behandeln. Reine Zahlungsumleitungen ohne technischen Einbruch, also die klassische Täuschung per gefälschter Rechnung, sind nicht in jeder Cyberpolice erfasst und werden teilweise nur über einen gesonderten Vertrauensschaden- oder Betrugsbaustein abgedeckt.

Wichtig ist schließlich die Abgrenzung zu anderen Policen. Die Betriebs- und die Haus- und Grundbesitzerhaftpflicht decken Personen- und Sachschäden Dritter, aber typischerweise keine reinen Vermögensschäden ohne vorangegangenen Personen- oder Sachschaden – genau das aber ist der Datenschutzschaden. Eine Vermögensschadenhaftpflicht schließt diese Lücke grundsätzlich, ist jedoch klassisch auf beratende Berufe zugeschnitten und deckt weder Eigenschäden noch Betriebsunterbrechung noch Krisenmanagement. Die Elektronik- oder Inhaltsversicherung ersetzt beschädigte Geräte, nicht aber Daten, Wiederherstellung und Ertragsausfall. Die Cyberpolice ist deshalb kein Ersatz für diese Verträge, sondern die Ergänzung, die den digitalen Vermögensschaden und die Aufarbeitungskosten aufnimmt.

Fachliches Urteil: Für einen Ferienvermietungsbetrieb liegt der Wert einer Cyberpolice weniger in der Schadenzahlung als in der organisierten Hilfe: Wer nachts in der Hochsaison feststellt, dass Konten übernommen oder Daten verschlüsselt sind, braucht innerhalb von Stunden Forensik, rechtliche Einordnung und eine belastbare Meldung an die Aufsichtsbehörde. Bei der Auswahl sind vier Punkte entscheidend: Umfang des Krisenbausteins, Wartezeit und Haftzeit der Betriebsunterbrechung, Behandlung von Bußgeldern und Lösegeld sowie die Frage, ob Betrug ohne technischen Einbruch mitversichert ist. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Diese Prüfung leisten Versicherungsfachleute; die datenschutzrechtliche Bewertung gehört zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten.

Am Anfang steht eine ehrliche Bestandsaufnahme. In einer typischen Ferienvermietung fallen an: Stammdaten der buchenden Person mit Name, Anschrift, Telefonnummer und E-Mail-Adresse; Buchungsdaten mit Zeitraum, Objekt, Personenzahl und Namen der Mitreisenden einschließlich Kindern; Zahlungsdaten mit Bankverbindung, teilweise Kreditkartendaten über einen Zahlungsdienstleister; Vertragsunterlagen und Rechnungen; Kommunikationsverläufe aus Portalen, E-Mail und Messenger; Daten zur Kurabgabe oder Kurkarte; Zutrittscodes und Protokolle elektronischer Schlösser; Bewertungen und Beschwerden. Hinzu kommen freiwillige Angaben, die Gäste von sich aus machen – Allergien, Mobilitätseinschränkungen, Anlässe wie Hochzeiten oder Trauerfälle. Solche Angaben können Gesundheitsdaten sein und damit besondere Kategorien nach Art. 9 DSGVO, für die strengere Anforderungen gelten.

Eine Sonderstellung nehmen die Meldedaten ein. Für Beherbergungsstätten besteht nach den §§ 29 ff. Bundesmeldegesetz eine besondere Meldepflicht. Seit der Änderung durch das Vierte Bürokratieentlastungsgesetz zum 1. Januar 2025 gilt sie nicht mehr für deutsche Staatsangehörige, für ausländische Gäste dagegen unverändert, einschließlich der Pflicht zur Vorlage eines gültigen Identitätsdokuments. Die Meldescheine sind nach § 30 Abs. 4 BMG ein Jahr aufzubewahren und danach innerhalb von drei Monaten zu vernichten. Daraus folgen zwei Punkte: Erstens ist die Speicherung dieser Daten während der Frist durch eine rechtliche Verpflichtung nach Art. 6 Abs. 1 Buchstabe c DSGVO gedeckt. Zweitens ist die Aufbewahrung darüber hinaus – etwa als Stapel im Ordner oder als Scan im Postfach – kein Kavaliersdelikt, sondern ein eigenständiger Verstoß gegen die Speicherbegrenzung des Art. 5 DSGVO.

Ob aus einem Vorfall eine Meldepflicht folgt, entscheidet die Risikobewertung. Nach Art. 33 DSGVO ist jede Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich. Diese Ausnahme ist eng: Sie greift etwa bei wirksam verschlüsselten Daten, deren Schlüssel sicher ist. Führt der Vorfall voraussichtlich zu einem hohen Risiko, verlangt Art. 34 DSGVO zusätzlich die unverzügliche Benachrichtigung der Betroffenen in klarer und einfacher Sprache. Genau hier wirkt die Datenart: Eine reine Namensliste ist anders zu bewerten als eine Kombination aus Namen, Anschrift, Reisezeitraum, Ausweisnummer und Bankverbindung, weil daraus Identitätsmissbrauch und sogar die Information folgt, wann eine Wohnung leer steht.

Die Ansprüche der Betroffenen sind die zweite Ebene. Art. 82 DSGVO gibt jeder Person, der ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch gegen den Verantwortlichen; dieser haftet, wenn er sich nicht entlasten kann. Die in der Rechtsprechung zugesprochenen Einzelbeträge bewegen sich meist in überschaubarer Höhe, doch die Zahl der Betroffenen ist der Multiplikator: Ein Bestand aus mehreren Saisons umfasst leicht mehrere hundert Buchungen mit jeweils mehreren Personen. Hinzu kommen die Kosten der Bearbeitung von Auskunftsersuchen nach Art. 15 DSGVO und Löschverlangen nach Art. 17 DSGVO, die nach einem öffentlich gewordenen Vorfall erfahrungsgemäß sprunghaft zunehmen und binnen Monatsfrist zu beantworten sind.

Die dritte Ebene ist das Bußgeld. Der Rahmen des Art. 83 DSGVO reicht in der oberen Stufe bis 20 Mio. € oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für einen Ferienvermietungsbetrieb ist entscheidend, dass die Aufsichtsbehörde bei der Zumessung nach Art. 83 Abs. 2 DSGVO ausdrücklich Art, Schwere und Dauer des Verstoßes, den Grad des Verschuldens, die getroffenen technischen und organisatorischen Maßnahmen, frühere Verstöße und die Zusammenarbeit mit der Behörde berücksichtigt. Wer ein Verzeichnis nach Art. 30 DSGVO führt, Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen hat, Löschfristen einhält und den Vorfall fristgerecht meldet, steht in dieser Abwägung erkennbar anders da als jemand, bei dem nichts davon vorhanden ist.

Praktisch lässt sich das Risiko am wirksamsten über die Datenmenge steuern. Erheben Sie nur, was Sie brauchen: Für eine Buchung sind Geburtsdatum, Ausweiskopie oder Kfz-Kennzeichen in aller Regel nicht erforderlich, und die pauschale Anforderung einer Ausweiskopie per E-Mail ist ein klassischer Fehler. Trennen Sie die Bestände: Meldedaten gehören nicht in das gleiche Postfach wie die Werbekorrespondenz. Legen Sie Löschfristen fest und halten Sie sie ein – steuerlich relevante Belege unterliegen eigenen Aufbewahrungsfristen, Kommunikationsverläufe und Zutrittscodes dagegen nicht. Und verschlüsseln Sie Datenträger und Sicherungen, weil wirksam verschlüsselte Daten die Risikobewertung nach Art. 33 und 34 DSGVO erheblich entspannen.

Fachliches Urteil: Das Risiko eines einzelnen Ferienvermieters ist nicht der spektakuläre Millionenbußgeldfall, sondern die Kombination aus einem über Jahre gewachsenen, ungeordneten Datenbestand, fehlender Dokumentation und einer 72-Stunden-Frist, die im Ernstfall niemand kennt. Wer den Bestand einmal aufräumt, Löschfristen definiert, Ausweisdaten strikt auf den gesetzlich vorgesehenen Umfang begrenzt und Sicherungen verschlüsselt, reduziert sowohl die Eintrittswahrscheinlichkeit als auch die Schwere eines Vorfalls deutlich. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Die Bewertung Ihres Datenbestands und einer möglichen Meldepflicht gehört zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten, die Deckungsfrage zu Versicherungsfachleuten.

Der Einstieg beginnt bei den Konten, nicht bei den Geräten. Für jedes System, das für den Betrieb zählt, gilt dieselbe Regel: eigenes, langes und nirgends wiederverwendetes Kennwort, verwaltet in einem Kennwortspeicher, dazu ein zweiter Faktor. Am robustesten sind Authentifizierungs-Apps oder Sicherheitsschlüssel; Codes per SMS sind besser als nichts, aber angreifbar. Besonders wichtig ist das E-Mail-Postfach, weil es die Kennwort-Zurücksetzung aller anderen Dienste ermöglicht – wer nur einen einzigen zweiten Faktor einrichtet, richtet ihn dort ein. Ergänzend sollten Anmeldebenachrichtigungen aktiviert und die hinterlegten Wiederherstellungsadressen und Telefonnummern regelmäßig geprüft werden, weil Angreifer diese als Erstes austauschen.

Der zweite Block ist die Datensicherung. Bewährt hat sich das Prinzip, wichtige Daten in mehreren Kopien auf unterschiedlichen Medien zu halten, davon mindestens eine außerhalb des Objekts und mindestens eine, die nicht dauerhaft mit dem Rechner verbunden ist. Der entscheidende und meist vernachlässigte Schritt ist der Test: Eine Sicherung, aus der noch nie etwas zurückgespielt wurde, ist eine Annahme, keine Sicherung. Wer einmal im Quartal stichprobenweise eine Datei wiederherstellt, merkt rechtzeitig, wenn der Vorgang seit Monaten stillsteht. Für Datenschutzzwecke ist zusätzlich die Verschlüsselung von Geräten und Sicherungsmedien wichtig, weil wirksam verschlüsselte Daten die Risikobewertung nach Art. 33 und 34 DSGVO deutlich entlasten.

Der dritte Block betrifft Zahlungen. Legen Sie einen festen Zahlungsweg fest und kommunizieren Sie ihn in Buchungsbestätigung und Vertrag, verbunden mit dem klaren Hinweis, dass sich Ihre Kontoverbindung niemals kurzfristig ändert und dass Sie eine Änderung ausschließlich telefonisch unter einer bereits bekannten Rufnummer bestätigen. Umgekehrt gilt dieselbe Vorsicht: Kommt eine Änderungsmitteilung von einem Dienstleister, rufen Sie unter der Ihnen bekannten Nummer zurück, nicht unter der in der Nachricht angegebenen. Zahlungseingänge gelten erst als erfolgt, wenn sie auf dem Kontoauszug erscheinen – übersandte Belege, Bildschirmfotos oder angebliche Bestätigungen des Zahlungsdienstleisters ersetzen das nicht. Bei Direktbuchungen mit auffälligen Merkmalen wie überhöhter Anzahlung mit Rückerstattungsbitte ist besondere Zurückhaltung angebracht.

Der vierte Block ist die technische Grundhygiene. Betriebssysteme, Browser, Buchungssoftware und die Firmware von Routern, Kameras und Schließsystemen sind aktuell zu halten; automatische Aktualisierung ist für Kleinstbetriebe die einzige realistische Variante. Standardkennwörter von Geräten werden bei der Inbetriebnahme geändert, Fernwartungszugänge nur aktiviert, wenn sie wirklich gebraucht werden. Das Gäste-WLAN läuft in einem eigenen Netz, getrennt von Haustechnik und Netzwerkspeicher, mit eigener Zugangskennung, die regelmäßig gewechselt wird. Die vielfach befürchtete Störerhaftung des Anschlussinhabers ist demgegenüber weitgehend entschärft, weil § 8 TMG – seit 2024 im Digitale-Dienste-Gesetz fortgeführt – die reine Durchleitung privilegiert; das technische Trennungsargument bleibt davon unberührt.

Der fünfte Block sind die Menschen und die Dienstleister. Wer Reinigungskräfte, Hausmeisterunterstützung oder eine Verwaltung einsetzt, sollte klare Regeln haben: keine Weitergabe von Zutrittscodes über Messenger, keine Gästelisten auf privaten Geräten, getrennte Zugänge statt eines gemeinsam genutzten Kontos, sofortiger Entzug von Berechtigungen beim Ausscheiden. Datenschutzrechtlich verlangt Art. 28 DSGVO für alle Dienstleister, die in Ihrem Auftrag personenbezogene Daten verarbeiten – Channel-Manager, Buchungssoftware, Reinigung, Smart-Home-Anbieter –, einen Vertrag zur Auftragsverarbeitung. Dieser Vertrag ist kein Formalismus: Er ist zugleich der Hebel, mit dem Sie Sicherheitsanforderungen und Meldewege vertraglich festschreiben.

Der sechste Block ist die Vorbereitung auf den Ernstfall. Ein einseitiger Notfallzettel, ausgedruckt und nicht nur auf dem betroffenen Rechner gespeichert, sollte enthalten: wer im Verdachtsfall sofort informiert wird, wie Konten gesperrt und Kennwörter zurückgesetzt werden, welche Bank- und Plattformkontakte gelten, die Notfallnummer der Cyberdeckung sofern vorhanden, die zuständige Datenschutzaufsichtsbehörde und der ausdrückliche Hinweis auf die 72-Stunden-Frist des Art. 33 DSGVO. Wichtig ist außerdem die Reihenfolge: erst Zugänge sperren und Beweise sichern, dann bereinigen. Wer das betroffene Gerät sofort neu aufsetzt, vernichtet die Grundlage für die Feststellung, ob überhaupt Daten abgeflossen sind – und damit die Basis jeder belastbaren Meldung.

Fachliches Urteil: Der Ertrag der ersten Maßnahmen ist unverhältnismäßig hoch: Mehrfaktor-Authentifizierung auf Postfach und Plattformkonten, eine getrennte und getestete Sicherung, aktuelle Systeme und ein Rückrufverfahren bei Zahlungsänderungen decken den überwiegenden Teil der realen Angriffswege ab und kosten vor allem Aufmerksamkeit. Alles Weitere – Netztrennung, Auftragsverarbeitungsverträge, Notfallzettel – ist Ordnungsarbeit, die im Ernstfall Zeit spart. Die Versicherung ist die letzte Schicht, nicht die erste, und sie setzt die Einhaltung genau dieser Maßnahmen als Obliegenheit voraus. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Welche Obliegenheiten Ihr Vertrag vorsieht, klären Versicherungsfachleute; die datenschutzrechtliche Bewertung gehört zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten.

Der erste Schadensblock entsteht unmittelbar nach der Entdeckung und wird regelmäßig unterschätzt. Bevor überhaupt feststeht, ob etwas zu melden ist, muss geklärt werden, was passiert ist: welche Systeme betroffen sind, ob und welche personenbezogenen Daten abgeflossen sind, wie viele Personen betroffen sind und ob die Zugänge weiterhin offen stehen. Diese forensische Arbeit ist Spezialarbeit und in der Regel extern zu beauftragen. Parallel laufen Wiederherstellung, Ersatzbeschaffung, Neuvergabe von Zugängen und die Absicherung gegen einen zweiten Zugriff. Für einen Betrieb, der keine eigene IT-Abteilung hat, ist der Engpass weniger das Geld als die Verfügbarkeit qualifizierter Hilfe innerhalb der ersten Stunden – und genau in diese Stunden fällt die Frist des Art. 33 DSGVO.

Der zweite Block sind die Pflichtkosten gegenüber Behörde und Betroffenen. Die Meldung nach Art. 33 DSGVO muss Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und der Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen beschreiben; ist eine vollständige Meldung binnen 72 Stunden nicht möglich, ist die Verzögerung zu begründen und nachzumelden. Besteht ein voraussichtlich hohes Risiko, verlangt Art. 34 DSGVO die Benachrichtigung jedes Betroffenen in klarer und einfacher Sprache. Bei einem über mehrere Saisons gewachsenen Gästebestand bedeutet das Recherche der aktuellen Anschriften, Versand, Rückfragen und eine erreichbare Ansprechstelle. Dazu kommen Auskunftsersuchen nach Art. 15 DSGVO und Löschverlangen nach Art. 17 DSGVO, die nach einem bekannt gewordenen Vorfall erfahrungsgemäß deutlich zunehmen und fristgebunden zu bearbeiten sind.

Der dritte Block sind Ansprüche der Betroffenen. Art. 82 DSGVO gibt jeder Person, der ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Ersatz; der Verantwortliche haftet, wenn er sich nicht entlasten kann. Immaterielle Schäden können etwa in einem nachvollziehbaren Kontrollverlust über sensible Daten liegen; die zugesprochenen Einzelbeträge sind meist überschaubar, die Zahl der Anspruchsteller ist der eigentliche Faktor. Hinzu kommen Abwehrkosten für unbegründete oder überhöhte Forderungen, die auch dann anfallen, wenn Sie am Ende recht behalten. In der Praxis treten solche Ansprüche gebündelt auf, sobald ein Vorfall öffentlich wird oder eine Benachrichtigung nach Art. 34 DSGVO versandt wurde.

Der vierte Block ist die aufsichtsbehördliche Ebene. Die Aufsichtsbehörde verfügt nach Art. 58 DSGVO über abgestufte Befugnisse: Auskunftsverlangen, Untersuchungen, Verwarnungen, Anweisungen zur Herstellung des rechtmäßigen Zustands bis hin zur Beschränkung oder dem Verbot einer Verarbeitung. Erst am Ende dieser Skala steht das Bußgeld nach Art. 83 DSGVO. Für Kleinstbetriebe ist die praktische Belastung häufig nicht die Sanktion, sondern das Verfahren selbst: Fristgebundene Stellungnahmen, die Vorlage von Verzeichnis nach Art. 30 DSGVO, Auftragsverarbeitungsverträgen nach Art. 28 DSGVO und dem Nachweis technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO binden Zeit und regelmäßig anwaltliche Unterstützung. Wer diese Unterlagen bereits hat, verkürzt das Verfahren erheblich; wer sie erst erstellt, verschlechtert zugleich seine Position in der Bußgeldzumessung.

Der fünfte Block ist der Betriebsschaden. Ein verschlüsselter Rechner, gesperrte Plattformkonten oder ein vorsorglich abgeschaltetes Buchungssystem bedeuten in der Hochsaison unmittelbar entgangene Buchungen, verzögerte Anreisen, Mehraufwand für manuelle Abläufe und Erstattungen an Gäste. Der Effekt ist stark saisonabhängig: Derselbe Ausfall wiegt an der Ostseeküste im Juli ungleich schwerer als im November. Hinzu kommen mittelbare Folgen, die sich schlechter beziffern lassen – ein schlechteres Ranking nach abgesagten Buchungen, negative Bewertungen, im Extremfall die vorübergehende Sperrung eines Plattformkontos, weil dort ein Missbrauch registriert wurde.

Der sechste Block ist der Vertrauens- und Reputationsschaden. Gäste, die eine Benachrichtigung nach Art. 34 DSGVO erhalten, verbinden das dauerhaft mit dem Objekt und dem Vermieter. In einem Markt, in dem Stammgäste und Weiterempfehlungen einen erheblichen Teil der Auslastung tragen, ist das ein realer wirtschaftlicher Faktor, auch wenn er in keiner Schadenaufstellung auftaucht. Umgekehrt lässt sich mit einer sachlichen, frühen und vollständigen Information ein erheblicher Teil dieses Schadens vermeiden. Genau dafür enthalten Cyberdeckungen einen Krisenkommunikationsbaustein – nicht als Kosmetik, sondern weil eine unkoordinierte Kommunikation die rechtliche Lage zusätzlich verschlechtern kann.

Fachliches Urteil: Bei Datenschutzverstößen dominiert nicht die Sanktion, sondern die Summe aus Aufarbeitung, Pflichtkommunikation, Betriebsausfall und Vertrauensverlust. Das ist eine gute Nachricht, weil genau diese Positionen versicherbar und durch Vorbereitung beeinflussbar sind: Wer sein Verzeichnis nach Art. 30 DSGVO, seine Auftragsverarbeitungsverträge nach Art. 28 DSGVO, dokumentierte Maßnahmen nach Art. 32 DSGVO und einen Notfallablauf mit Fristen vorhält, verkürzt jedes Verfahren und verbessert seine Position in der Bußgeldzumessung nach Art. 83 Abs. 2 DSGVO. Favorent ist kein Versicherungsmakler und keine Rechtsberatung: Die Bewertung Ihres Falls gehört zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten, die Deckungsfrage zu Versicherungsfachleuten.

Der rechtliche Ausgangspunkt ist DSGVO Art. 32. Die Norm verlangt keine bestimmte Technik, sondern ein Schutzniveau, das dem Risiko angemessen ist – gemessen an Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung. Für eine Ferienwohnung an der Ostseeküste mit Buchungs-, Melde- und Zahlungsdaten weniger Hundert Gäste im Jahr bedeutet das etwas anderes als für einen Konzern, aber es bedeutet nicht nichts. Als Bausteine kommen in dieser Größenordnung regelmäßig in Betracht: Verschlüsselung der Datenträger, Zugriffsbeschränkung auf die Personen, die die Daten wirklich brauchen, Mehr-Faktor-Authentifizierung für Portal- und Cockpit-Zugänge, aktuelle Betriebssysteme und Anwendungen, eine getrennt aufbewahrte Datensicherung sowie ein schriftlich festgehaltenes Vorgehen für den Fall, dass etwas schiefgeht. Art. 32 Abs. 1 lit. d nennt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit – Maßnahmen einmal einzurichten und nie wieder anzusehen genügt der Norm nicht.

Der versicherungsrechtliche Ausgangspunkt ist der Antrag. Cyber-Versicherer prüfen das Risiko nicht durch Besichtigung, sondern durch Fragen. Typisch sind Fragen nach Datensicherung und deren Trennung vom Produktivsystem, nach Aktualisierungsstand, nach Virenschutz und Firewall, nach Mehr-Faktor-Authentifizierung, nach Zahl der Nutzer und Zugänge, nach früheren Vorfällen und nach der Art der verarbeiteten Daten. Diese Fragen sind Gefahrfragen im Sinne von § 19 Abs. 1 VVG: Sie müssen wahrheitsgemäß und vollständig beantwortet werden. Wird eine Frage schuldhaft falsch beantwortet, kann der Versicherer nach § 19 Abs. 2 bis 4 VVG zurücktreten, kündigen oder den Vertrag rückwirkend anpassen; bei arglistiger Täuschung kommt die Anfechtung nach § 22 VVG in Betracht. Der praktische Rat lautet deshalb: Beantworten Sie keine Frage aus dem Gedächtnis oder in der Erwartung, das werde schon so sein, sondern prüfen Sie den tatsächlichen Zustand, bevor Sie ein Kreuz setzen.

Nach Vertragsschluss wirken dieselben Punkte als Obliegenheiten weiter. Bedingungswerke verlangen regelmäßig, den Sicherungsstand aufrechtzuerhalten: Sicherheitsaktualisierungen innerhalb einer bestimmten Frist einzuspielen, Datensicherungen in festgelegtem Rhythmus anzufertigen und getrennt vom Netz aufzubewahren, Zugänge nach Ausscheiden von Dienstleistern zu sperren. Verletzt der Versicherungsnehmer eine solche vertragliche Obliegenheit vorsätzlich, ist der Versicherer nach § 28 Abs. 2 VVG leistungsfrei; bei grober Fahrlässigkeit darf er die Leistung in einem der Schwere des Verschuldens entsprechenden Verhältnis kürzen, wobei die Beweislast für die grobe Fahrlässigkeit beim Versicherer liegt. Hinzu kommt § 82 VVG mit der Pflicht, im Schadenfall den Schaden abzuwenden und zu mindern und Weisungen des Versicherers einzuholen – im Cyber-Fall also etwa das befallene System vom Netz zu trennen, aber nicht vorschnell zu löschen, weil damit Beweismittel und Wiederherstellungsmöglichkeiten verschwinden.

Zwischen Technik und Police liegt die Dokumentation, und sie ist der Teil, der in der Praxis am häufigsten fehlt. Wer nicht belegen kann, wann die letzte Datensicherung erfolgreich war, wann zuletzt aktualisiert wurde und wer welchen Zugang hatte, steht im Streit über § 28 VVG schlecht da und kann zugleich die Rechenschaftspflicht aus DSGVO Art. 5 Abs. 2 nicht erfüllen. Für einen Kleinstbetrieb reicht dafür kein aufwendiges Managementsystem, wohl aber eine geführte Übersicht: welche Systeme und Konten es gibt, wer darauf zugreift, welche Auftragsverarbeiter beteiligt sind, wann Sicherungen geprüft wurden und wann Wiederherstellungen getestet wurden. Eine Datensicherung, die nie zurückgespielt wurde, ist eine Vermutung und kein Nachweis; ein Rückspieltest einmal im Jahr, mit Datum notiert, verwandelt sie in ein belastbares Argument.

Für die typische Konstellation an der MV-Küste lohnt der Blick auf die Schnittstellen, weil dort Technik und Vertrag zusammenlaufen. Der Channel-Manager oder die Buchungssoftware verarbeitet Gästedaten im Auftrag – hier braucht es einen Vertrag nach DSGVO Art. 28 und einen Blick darauf, welche Sicherheitsmaßnahmen der Anbieter zusagt. Die Reinigungs- und Betreuungsorganisation erhält Zugang zu Objekt, oft zu Schließsystem und Belegungsplan. Smart-Home- und Zutrittssysteme hängen an Herstellerkonten, die selbst geschützt sein müssen. Zahlungsdienstleister bringen eigene Anforderungen mit. Jede dieser Schnittstellen ist gleichzeitig ein Risikofaktor im Antrag und ein Prüfpunkt nach Art. 32; wer sie einmal systematisch aufschreibt, hat beides erledigt. Erfahrungsgemäß fällt bei dieser Übung mindestens ein Zugang auf, den längst niemand mehr braucht.

Grenzen der Kombination gehören ebenfalls benannt. Technik verhindert nicht jeden Vorfall, und die Police ersetzt keine Technik: Ein Versicherer, der ein Risiko ohne Datensicherung und ohne Mehr-Faktor-Authentifizierung überhaupt zeichnet, wird dies mit Ausschlüssen, Selbstbehalt oder Prämienzuschlag tun, und Bußgelder nach DSGVO Art. 83 sind in Deutschland nach ganz überwiegender Auffassung ohnehin nicht versicherbar, weil ihre Abwälzung dem Sanktionszweck widerspricht – versicherbar bleiben Abwehrkosten, Verfahrensbegleitung und zivilrechtliche Ansprüche nach Art. 82. Umgekehrt ersetzt die beste Absicherung nicht die Meldewege: Die 72-Stunden-Frist des Art. 33 läuft unabhängig davon, ob und wann der Versicherer eingeschaltet wird. Sinnvoll ist deshalb ein Notfallzettel, der beide Stränge nebeneinander führt – Versicherer-Hotline und Aufsichtsbehörde, mit Rufnummern, Vertragsnummer und der Frage, wer im Zweifel binnen Stunden erreichbar ist.

Fachliches Urteil: Die sinnvolle Reihenfolge lautet Bestandsaufnahme, Technik, Dokumentation, dann Antrag – wer sie umdreht, kauft eine Police, deren Zusagen er nicht halten kann, und riskiert Leistungskürzung nach § 28 VVG genau in dem Moment, in dem er sie braucht. Für ein einzelnes Ferienobjekt sind die Schritte überschaubar: getrennte und getestete Datensicherung, Mehr-Faktor-Authentifizierung auf allen Portal- und Verwaltungszugängen, aktuelle Software, ein schriftlicher Rückrufweg für Zahlungsänderungen, eine geführte Liste der Systeme und Auftragsverarbeiter. Ob Ihre Maßnahmen im Sinne von DSGVO Art. 32 angemessen sind, wie die Risikofragen Ihres konkreten Versicherers zu beantworten sind und welche Obliegenheiten das gewählte Bedingungswerk auferlegt, ist im Einzelfall zu prüfen und gehört zu Versicherungsfachleuten, IT-Sicherheitsfachleuten und – für die datenschutzrechtliche Bewertung – zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten. Favorent ist kein Versicherungsmakler und keine Rechtsberatung und übernimmt weder die Antragsprüfung noch die Bewertung Ihrer Sicherheitsarchitektur.

Der erste Prüfschritt betrifft die Datenlage. Maßgeblich ist nicht allein die Zahl der Gäste, sondern die Art der Daten. Wer Namen, Anschriften, Kontaktdaten, Ankunfts- und Abreisedaten, Zahlungsinformationen und – bei ausländischen Gästen – Meldedaten einschließlich Ausweisangaben nach §§ 29 ff. BMG verarbeitet, hält einen Datenbestand, dessen unbefugte Offenlegung Betroffene konkret gefährden kann: Abwesenheitszeiten in Verbindung mit Wohnanschriften sind für Einbruchsplanung verwertbar. Kommen Gesundheitsangaben hinzu, etwa Hinweise auf Barrierefreiheitsbedarf oder Allergien, greift zusätzlich DSGVO Art. 9 mit strengeren Anforderungen. Je sensibler und je umfangreicher der Bestand, desto eher rechtfertigt sich eine Deckung, die Forensik, Benachrichtigung der Betroffenen nach Art. 34 und Rechtsverteidigung trägt – denn genau diese Posten fallen unabhängig davon an, ob am Ende jemand Schadenersatz nach Art. 82 verlangt.

Der zweite Prüfschritt betrifft den Zahlungsweg. Wer ausschließlich über Portale vermittelt, die selbst kassieren, hat ein deutlich kleineres Betrugsrisiko als jemand, der Direktbuchungen annimmt und Anzahlungen auf das eigene Konto anfordert. Bei Direktbuchungen entsteht die klassische Angriffsfläche der Zahlungsumleitung: Der Angreifer greift den Mailverkehr ab und schickt dem Gast eine geänderte Bankverbindung, oder er tritt umgekehrt gegenüber dem Vermieter als Gast auf. Der wirtschaftliche Schaden trifft dabei je nach Konstellation den Gast, den Vermieter oder beide, und die Rückholung überwiesener Beträge gelingt selten. Wer eigene Zahlungsströme abwickelt, sollte diesen Baustein deshalb besonders genau ansehen: Deckungen für Vermögensschäden aus Zahlungsbetrug sind in Kleinstbetriebs-Tarifen nicht selbstverständlich enthalten, häufig gesondert zu vereinbaren, sublimitiert und an einen dokumentierten Rückrufweg als Obliegenheit geknüpft.

Der dritte Prüfschritt betrifft die Betriebsabhängigkeit. Entscheidend ist, wie lange Sie ohne Ihre Systeme arbeitsfähig blieben. Fällt die Buchungssoftware in der Nebensaison für zwei Tage aus, ist das ärgerlich; fällt sie im Juli aus, während Anreisen zu koordinieren, Zutrittscodes zu vergeben und Reinigungen zu takten sind, entsteht schnell ein spürbarer Ertragsausfall. Genau hier liegt der Unterschied zur klassischen Ertragsausfallversicherung, die typischerweise an einen versicherten Sachschaden am Gebäude anknüpft und bei einem reinen IT-Ausfall ohne Substanzschaden nicht eingreift. Die Betriebsunterbrechungskomponente einer Cyber-Police setzt dagegen am IT-Vorfall selbst an, allerdings meist mit Wartezeit, Haftzeitbegrenzung und der Notwendigkeit, den entgangenen Ertrag nachvollziehbar zu belegen – ein weiterer Grund, Belegungs- und Ertragsdaten sauber zu führen.

Der vierte Prüfschritt betrifft die Zahl der Beteiligten. Ein Objekt, das der Eigentümer allein betreut, hat wenige Zugänge und wenige Fehlerquellen. Sobald Reinigungskräfte, Schlüsseldienste, Betreuungspartner, eine Agentur oder Familienangehörige mitwirken, wachsen Zugriffsrechte, Weitergabewege und die Zahl der Endgeräte, auf denen Gästedaten landen. Jede dieser Stellen ist entweder Auftragsverarbeiter nach DSGVO Art. 28 mit entsprechendem Vertrag oder eigenständig Verantwortlicher, und jede kann Ausgangspunkt eines Vorfalls sein, für den Sie als Verantwortlicher gegenüber der Aufsichtsbehörde einstehen. Auch die Zahl der Objekte spielt hinein: Wer mehrere Einheiten oder mehrere Standorte an der Küste verwaltet, vervielfacht Datenmenge und Systemlandschaft, ohne dass die Betreuungsstruktur automatisch mitwächst.

Der fünfte Prüfschritt betrifft die Technik im Objekt selbst. Ein Ferienhaus mit Schlüsselübergabe vor Ort und ohne Netzwerktechnik ist kein Cyber-Risiko im engeren Sinne. Ein Objekt mit elektronischem Schließsystem, Zugangscodes per Nachricht, Heizungsfernsteuerung, Kameras am Außenbereich und Gäste-WLAN ist es sehr wohl. Solche Systeme sind über Herstellerkonten erreichbar, hängen an Aktualisierungen des Anbieters und erzeugen selbst personenbezogene Daten – Zutrittsprotokolle etwa sind Daten der Gäste. Kommt Videotechnik hinzu, gelten enge Grenzen: Innenräume, Sanitärbereiche und die vom Gast genutzten Außenflächen sind der Beobachtung entzogen, und § 201a StGB stellt Bildaufnahmen aus Wohnungen unter Strafe. Wer solche Technik betreibt, hat sowohl den größeren Datenschutzaufwand als auch das größere Interesse an einer Deckung, die Wiederherstellung und rechtliche Begleitung trägt.

Der sechste Prüfschritt ist der Abgleich mit dem Bestand, und er verhindert die häufigste Fehlinvestition. Die Betriebs- beziehungsweise Haus- und Grundbesitzerhaftpflicht deckt Personen- und Sachschäden Dritter, nicht aber reine Vermögensschäden aus einer Datenpanne. Die Inhaltsversicherung deckt beschädigte Hardware als Sache, nicht die verlorenen Daten und nicht die Wiederherstellungskosten. Die Rechtsschutzversicherung kann bestimmte Verfahren tragen, deckt aber typischerweise keine Forensik, keine Krisenkommunikation und keine Betroffenenbenachrichtigung. Eine Vermögensschadenhaftpflicht deckt Vermögensschäden aus beruflichem Fehlverhalten, ist aber nicht auf IT-Vorfälle zugeschnitten und enthält keinen Eigenschadenbaustein. Wer diese vier Verträge nebeneinanderlegt, sieht die Lücke meist sofort – und erkennt zugleich, welche Bausteine er in einer Cyber-Police gar nicht braucht.

Fachliches Urteil: Je mehr der folgenden Punkte zutreffen, desto eher lohnt die Prüfung einer eigenen Deckung: eigene Buchungsstrecke mit Zahlungsabwicklung, relevanter Anteil an Direktbuchungen, Meldedaten ausländischer Gäste, Channel-Manager und Buchungssoftware als betriebskritische Systeme, elektronisches Schließsystem oder Smart-Home-Technik, mehrere Einheiten, mitwirkende Dienstleister mit Datenzugriff, hohe Ertragskonzentration auf wenige Sommerwochen. Treffen dagegen nur Plattformvermittlung ohne eigenen Zahlungsverkehr, geringe Datenhaltung und Schlüsselübergabe vor Ort zu, steht die Verbesserung der eigenen Technik meist vor dem Abschluss einer Police. Ob und in welchem Umfang sich eine Cyber-Versicherung in Ihrem Fall rechnet, welche Sublimits tragfähig sind und wie die Bedingungen im Verhältnis zu Ihren bestehenden Verträgen wirken, ist im Einzelfall zu prüfen und gehört zu Versicherungsfachleuten; die datenschutzrechtliche Bewertung Ihrer Verarbeitung gehört zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten. Favorent ist kein Versicherungsmakler und keine Rechtsberatung.

Am deutlichsten unterschätzt wird die Auftragsverarbeiterkette. Buchungssoftware, Channel-Manager, Zahlungsdienst, Newsletter-Werkzeug, Cloud-Speicher, Reinigungsorganisation, Schlüsseldienst, Bewertungsdienst – jede dieser Stellen sieht Gästedaten. Verarbeiten sie die Daten weisungsgebunden für Sie, sind sie Auftragsverarbeiter, und DSGVO Art. 28 Abs. 3 verlangt einen Vertrag mit festgelegtem Inhalt: Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffenenkategorien, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Regelung der Unterauftragsverhältnisse, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe am Ende. Fehlt dieser Vertrag, liegt ein eigenständiger Verstoß vor, der nach Art. 83 Abs. 4 sanktionsbewehrt ist – und zwar unabhängig davon, ob je etwas passiert. Wird der Dienstleister gehackt, bleibt zudem die Verantwortlichkeit nach Art. 4 Nr. 7 bei Ihnen: Sie melden nach Art. 33, Sie benachrichtigen nach Art. 34, Sie stehen den Betroffenen gegenüber.

Der zweite blinde Fleck ist das Netz im Objekt. In vielen Ferienwohnungen hängt das Gäste-WLAN am selben Router und im selben Netzsegment wie die Technik des Vermieters – Netzwerkspeicher, Drucker, Heizungssteuerung, gelegentlich der eigene Rechner. Ein Gast oder jemand in Funkreichweite, der das Kennwort kennt, ist damit im selben Netz wie Ihre Daten. Die Trennung über ein Gastnetz mit Client-Isolation ist technisch einfach und wird trotzdem häufig nicht eingerichtet. Hinzu kommt die Haftungsfrage: Die Haftungsprivilegierung für Zugangsanbieter aus § 8 TMG, deren Regelung seit 2024 im Digitale-Dienste-Gesetz fortgeführt wird, schließt Schadenersatz und Abmahnkosten wegen Rechtsverletzungen der Nutzer aus; Ansprüche auf Sperrung bestimmter Inhalte bleiben unter engen Voraussetzungen möglich. Die früher gefürchtete Störerhaftung des WLAN-Betreibers für Urheberrechtsverstöße von Gästen ist damit weitgehend entschärft – das Datenschutz- und Sicherheitsproblem des offenen Netzes bleibt davon aber unberührt.

Drittens: Zutritts- und Smart-Home-Technik. Elektronische Schließsysteme, Codeschlösser, Heizungs- und Rollladensteuerungen und Sprachassistenten sind bequem und erweitern die Angriffsfläche in zwei Richtungen. Zum einen hängen sie an einem Herstellerkonto; wer dieses Konto übernimmt, kann im Extremfall die Tür öffnen – ein Risiko, das kein Vermieter trägt, der Schlüssel übergibt. Zum anderen erzeugen sie selbst personenbezogene Daten: Zutrittsprotokolle zeigen, wann welcher Gast kam und ging, Sensordaten zeigen Anwesenheit. Diese Daten unterliegen der DSGVO, brauchen eine Rechtsgrundlage nach Art. 6 und dürfen nur so lange gespeichert werden, wie sie erforderlich sind. Praktisch heißt das: Mehr-Faktor-Authentifizierung auf dem Herstellerkonto, Codes je Buchung wechseln und nach Abreise deaktivieren, Protokolle nicht dauerhaft vorhalten, und beim Wechsel von Dienstleistern oder beim Verkauf des Objekts sämtliche Zugänge übertragen oder löschen.

Viertens: Videoüberwachung am Objekt, deren Grenzen regelmäßig verkannt werden. Im Innenbereich der vermieteten Wohnung ist Kameraüberwachung unzulässig; § 201a StGB stellt Bildaufnahmen, die eine Person in einer Wohnung oder einem gegen Einblick besonders geschützten Raum zeigen, unter Strafe. Auch der vom Gast genutzte Außenbereich – Terrasse, Garten, Zuwegung – ist Rückzugsraum und der Beobachtung praktisch entzogen. Zulässig kann eine eng begrenzte Überwachung des eigenen Grundstückszugangs auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO sein, wenn ein konkretes Sicherungsinteresse besteht, kein milderes Mittel genügt, der Erfassungsbereich minimal bleibt, Hinweisschilder nach Art. 13 informieren und Aufnahmen nach kurzer Frist gelöscht werden. Attrappen ohne Funktion sind kein sicherer Ausweg, weil auch der Überwachungsdruck Persönlichkeitsrechte berühren kann. Wer hier falsch liegt, riskiert Beschwerden, Anordnungen der Aufsichtsbehörde nach Art. 58 und Ansprüche nach Art. 82.

Fünftens: der Datenfriedhof. Personenbezogene Daten dürfen nach Art. 5 Abs. 1 lit. e nur so lange in identifizierbarer Form gespeichert werden, wie es für die Zwecke erforderlich ist. Für Meldescheine gibt § 30 Abs. 4 BMG dies ausdrücklich vor: Aufbewahrung ein Jahr ab dem Tag, an dem die Aufbewahrungspflicht beginnt, danach Vernichtung binnen dreier Monate. Zu beachten ist, dass die besondere Meldepflicht für deutsche Staatsangehörige seit dem 1. Januar 2025 durch das Vierte Bürokratieentlastungsgesetz entfallen ist, für ausländische Gäste jedoch fortbesteht. Daneben stehen steuerliche und handelsrechtliche Aufbewahrungsfristen für Rechnungen und Buchungsbelege, die eigene Zwecke verfolgen und die Löschpflicht insoweit verdrängen. Was dagegen niemand braucht, sind Ausweiskopien im Mailpostfach, alte Belegungslisten auf dem privaten Tablet, Exporte auf dem USB-Stick und Sicherungskopien von Sicherungskopien. Jeder gelöschte Altbestand verkleinert den Schaden einer künftigen Panne unmittelbar – das ist die wirksamste und billigste Maßnahme überhaupt.

Sechstens: die Schnittstellen zwischen Personen. Private Endgeräte, auf denen Buchungsnachrichten ankommen, sind selten so geschützt wie ein Arbeitsgerät. Nachrichtendienste auf dem Telefon der Reinigungskraft enthalten Zutrittscodes und Anreisezeiten. Familienangehörige helfen aus und nutzen dieselben Zugänge. Beim Betreuerwechsel bleiben Zugänge offen, weil niemand sie sperrt. Beim Verkauf oder bei der Übergabe eines Objekts wandern Datenträger, Router und Smart-Home-Konten mit, ohne zurückgesetzt zu werden. Und der Zugang zum Portalkonto liegt oft bei einer Person, die im Ernstfall im Urlaub ist. Für all das gibt es keine Police, sondern nur Ordnung: eine Liste, wer welchen Zugang hat, ein Datum für die Sperrung, ein zweiter Faktor auf jedem Konto und die Angewohnheit, sensible Angaben nicht über private Kanäle zu verteilen.

Fachliches Urteil: Die unterschätzten Risiken sind fast durchweg organisatorischer Natur, nicht technischer – fehlende Art.-28-Verträge, ungetrenntes Gäste-WLAN, ungeschützte Herstellerkonten der Zutrittstechnik, überschießende Videoüberwachung, nicht gelöschte Altdaten und unkontrollierte Zugänge. Sie kosten wenig zu beheben und verändern die Schadenhöhe erheblich, denn der Aufwand einer Panne skaliert mit der Zahl der betroffenen Personen. Eine Cyber-Police ändert daran nichts; sie zahlt Folgen, sie verkleinert keine Datenbestände. Ob Ihre Videoüberwachung zulässig ist, welche Ihrer Dienstleister Auftragsverarbeiter sind, wie lange Sie welche Daten aufbewahren dürfen und welche dieser Risiken Ihre Verträge auffangen, ist im Einzelfall zu prüfen und gehört zu Versicherungsfachleuten sowie – für die datenschutzrechtliche Bewertung – zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten. Favorent ist kein Versicherungsmakler und keine Rechtsberatung.

Fehler eins ist der unbedacht ausgefüllte Antrag. Die Risikofragen der Cyber-Versicherer wirken harmlos, sind aber Gefahrfragen nach § 19 Abs. 1 VVG. Wer bestätigt, alle Zugänge seien mit einem zweiten Faktor geschützt, obwohl das Portalkonto nur ein Passwort hat, oder wer eine tägliche Sicherung angibt, während faktisch monatlich kopiert wird, riskiert Rücktritt, Kündigung oder rückwirkende Vertragsanpassung nach § 19 Abs. 2 bis 4 VVG; bei bewusster Falschangabe droht zusätzlich die Anfechtung nach § 22 VVG. Besonders tückisch sind Fragen zu Vorfällen in der Vergangenheit: Ein früherer Kontoeinbruch, der damals folgenlos blieb, ist gleichwohl anzugeben. Der richtige Weg ist unspektakulär – vor dem Ausfüllen den tatsächlichen Zustand prüfen, im Zweifel nachfragen und die Antworten mit einem Datum dokumentieren, damit später nachvollziehbar ist, worauf sie beruhten.

Fehler zwei ist die Sicherung, die es nur auf dem Papier gibt. Eine Datensicherung, die dauerhaft mit demselben Rechner verbunden ist, wird bei einem Verschlüsselungsangriff mitverschlüsselt und ist damit wertlos; eine Sicherung in einem Cloud-Ordner, der automatisch abgleicht, ebenso, wenn die verschlüsselten Dateien nach oben synchronisiert werden. Und eine Sicherung, die nie zurückgespielt wurde, ist eine Hoffnung, kein Wiederherstellungsplan – unvollständige Sicherungssätze, abgelaufene Kennwörter für den Sicherungsspeicher oder Formate, die ohne die ursprüngliche Software nicht lesbar sind, fallen erst im Ernstfall auf. Der Aufwand, das zu vermeiden, ist gering: eine Kopie, die physisch oder logisch getrennt liegt, und einmal im Jahr ein Rückspieltest mit Datumsvermerk. Genau dieser Vermerk ist es, der im Streit über § 28 Abs. 2 VVG den Unterschied zwischen Kürzung und voller Leistung ausmachen kann.

Fehler drei ist die Zahlung ohne Rückfrage. Nahezu jeder Vermögensschaden aus Zahlungsbetrug in diesem Segment folgt demselben Muster: Eine Nachricht kündigt eine geänderte Bankverbindung an, sie kommt scheinbar vom bekannten Gegenüber, sie ist gut formuliert und passt zu einem laufenden Vorgang. Wer daraufhin überweist oder den Gast überweisen lässt, hat den Schaden gesetzt. Die Gegenmaßnahme kostet zwei Minuten: Rückruf unter der Nummer, die vor der Nachricht bekannt war – niemals unter der Nummer aus der Nachricht selbst. Versicherer erwarten genau diesen Ablauf und machen ihn im Baustein zum Zahlungsbetrug regelmäßig zur Obliegenheit. Wird sie missachtet, kommt eine Kürzung oder Leistungsfreiheit nach § 28 VVG in Betracht, und zwar unabhängig davon, wie überzeugend die Fälschung war. Gleiches gilt spiegelbildlich für die eigene Kommunikation: Bankdaten sollten Sie nur über einen Kanal ändern, den der Gast verifizieren kann.

Fehler vier ist der falsche Umgang mit der Zeit. DSGVO Art. 33 verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis; eine spätere Meldung ist zu begründen. Die Frist beginnt mit dem Bekanntwerden, nicht mit der Aufklärung – wer erst ermitteln will, bevor er meldet, verliert sie regelmäßig. Zulässig ist die Meldung in Stufen mit nachgereichten Informationen nach Art. 33 Abs. 4. Parallel läuft die Pflicht aus Art. 34, die Betroffenen zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Und parallel dazu läuft die Pflicht aus § 82 VVG, den Schaden zu mindern und Weisungen des Versicherers einzuholen. Wer in dieser Lage improvisiert, macht Fehler; wer einen Zettel mit Rufnummern, Vertragsnummer, Zuständigkeiten und dem Kontakt der zuständigen Landesbehörde für Datenschutz griffbereit hat, gewinnt die entscheidenden Stunden. In Mecklenburg-Vorpommern ist der Landesbeauftragte für Datenschutz und Informationsfreiheit die zuständige Aufsichtsbehörde.

Fehler fünf ist das voreilige Aufräumen. Der erste Reflex nach einem Befall lautet, das Gerät neu aufzusetzen und weiterzuarbeiten. Damit verschwinden aber die Spuren, die die Forensik braucht, um Umfang und Betroffenenkreis zu bestimmen – und ohne diese Feststellung lässt sich weder die Meldung nach Art. 33 sachgerecht ausfüllen noch der Schaden gegenüber dem Versicherer belegen. Bedingungswerke verlangen deshalb regelmäßig, den Versicherer vor Sanierungsmaßnahmen einzuschalten, und viele stellen eigene Dienstleisternetze bereit, deren Kosten nur bei Beauftragung über den Versicherer getragen werden. Wer vorher selbst einen IT-Betrieb beauftragt, bleibt im Zweifel auf der Rechnung sitzen. Richtig ist: System vom Netz trennen, aber eingeschaltet lassen beziehungsweise nicht löschen, Zugangsdaten von einem sauberen Gerät aus ändern, Vorfall dokumentieren, dann melden und den Versicherer anrufen.

Fehler sechs ist die falsche Erwartung an den Deckungsumfang. Weit verbreitet ist die Annahme, eine Cyber-Police fange Bußgelder auf; nach ganz überwiegender Auffassung sind Geldbußen nach DSGVO Art. 83 in Deutschland nicht versicherbar, weil ihre Abwälzung dem Sanktionszweck zuwiderliefe – versicherbar bleiben Abwehr- und Verfahrenskosten sowie zivilrechtliche Ansprüche nach Art. 82. Ebenso verbreitet ist die Annahme, die Police ersetze die Organisation: Ein fehlendes Verzeichnis nach Art. 30, fehlende Verträge nach Art. 28 oder eine nie erfolgte Löschung sind eigenständige Verstöße, die kein Versicherer heilt und die nach Art. 83 Abs. 2 lit. d bei der Bemessung einer Geldbuße gegen Sie wirken. Hinzu kommen Ausschlüsse und Sublimits, die im Ernstfall überraschen: Betriebsunterbrechung erst nach Wartezeit, Zahlungsbetrug nur bis zu einem niedrigen Teilbetrag, Lösegeldzahlungen ausgeschlossen oder an strenge Voraussetzungen geknüpft. Diese Punkte gehören vor Abschluss gelesen, nicht danach.

Fachliches Urteil: Schäden entstehen in diesem Feld regelmäßig durch Reihenfolgefehler – Police vor Technik, Meldung nach Aufklärung, Sanierung vor Beweissicherung, Überweisung vor Rückruf. Die Gegenmittel sind billig und wirken sofort: den tatsächlichen Zustand vor dem Antrag prüfen, eine getrennte und einmal jährlich getestete Sicherung führen, Mehr-Faktor-Authentifizierung überall aktivieren, Zahlungsänderungen ausnahmslos telefonisch unter bekannter Nummer bestätigen, Verzeichnis nach Art. 30 und Art.-28-Verträge anlegen, Altdaten löschen und einen Notfallzettel mit Versicherer- und Aufsichtsbehördenkontakt bereithalten. Welche Obliegenheiten Ihr Bedingungswerk konkret vorsieht, welche Sublimits gelten und wie ein konkreter Vorfall datenschutzrechtlich zu bewerten und zu melden ist, ist im Einzelfall zu klären und gehört zu Versicherungsfachleuten sowie zu einer Rechtsberatung beziehungsweise zu Datenschutzfachleuten. Favorent ist kein Versicherungsmakler und keine Rechtsberatung und übernimmt weder Meldungen noch die Abwicklung eines Vorfalls.