Datenschutz und Sicherheit bei digitalen Systemen

Der Ausgangspunkt ist der Begriff des personenbezogenen Datums. Personenbezogen ist jede Information, die sich auf eine identifizierbare Person bezieht – Name, Anschrift, E-Mail, Telefonnummer, Buchungshistorie, IP-Adresse oder Zahlungsdaten gehören dazu. Fast alles, was ein Vermietungssystem über Gäste speichert, fällt darunter, weshalb die DSGVO praktisch immer einschlägig ist. Ihre Grundsätze nach Art. 5 – Zweckbindung, Datenminimierung, Speicherbegrenzung und Rechenschaftspflicht – sind kein Kleingedrucktes, sondern der Maßstab, an dem jede Verarbeitung gemessen wird. Wer nur erhebt, was er wirklich braucht, erfüllt den wichtigsten dieser Grundsätze fast von selbst.

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für die Abwicklung einer Buchung ist das in der Regel die Vertragserfüllung nach Art. 6 Abs. 1 lit. b, für ergänzende Zwecke wie Betrugsprävention oder Reichweitenmessung mitunter das berechtigte Interesse nach lit. f, das eine Abwägung verlangt. Für Newsletter oder nicht zwingend nötige Cookies ist eine Einwilligung erforderlich, die freiwillig, informiert und widerrufbar sein muss. Ergänzend verlangen die Informationspflichten nach Art. 13, dass Sie den Gast bei der Erhebung transparent unterrichten, wer welche Daten zu welchem Zweck und auf welcher Grundlage wie lange verarbeitet – in der Praxis über eine verständliche Datenschutzerklärung.

Sobald ein externer Anbieter Gästedaten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Das betrifft nahezu jedes Cloud-Werkzeug: PMS, Channel-Manager, Zahlungsdienstleister, E-Mail- und Newsletter-Dienste, Cloud-Speicher und Chatbot-Anbieter. Der Vertrag bindet den Dienstleister an Ihre Weisungen, regelt Unterauftragsverarbeiter, Löschung und Sicherheit und muss in Text- oder elektronischer Form vorliegen. Eine praxisnahe Orientierung dazu gibt das Kurzpapier Nr. 13 der Datenschutzkonferenz zur Auftragsverarbeitung. Fehlt der Vertrag, ist die Verarbeitung formal rechtswidrig, unabhängig davon, wie sicher das System technisch ist – die Einzelheiten vertieft Frage drei dieses Unterpunkts.

Art. 32 DSGVO verlangt Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen, die zum Risiko passen. Dazu zählen in der Praxis die Verschlüsselung von Datenträgern und Übertragungswegen, eine Zwei-Faktor-Authentifizierung für alle Systemzugänge, ein Zugriffskonzept, das jedem nur die wirklich benötigten Rechte gibt, sowie regelmäßige, getestete Backups. Diese Maßnahmen sind keine Kür, sondern gesetzliche Pflicht, und ihr Fehlen ist einer der häufigsten Ansatzpunkte für Bußgelder und Schäden. Welche Maßnahmen im Einzelnen als Pflicht gelten, behandelt Frage sechs; die Absicherung der Zugänge vertieft Frage acht.

Viele Cloud- und KI-Werkzeuge verarbeiten Daten außerhalb der EU. Dann ist der Drittlandtransfer zu prüfen: Sitz des Anbieters, Serverstandort und ob ein gültiger Übertragungsmechanismus greift – für die USA das EU-US Data Privacy Framework, sonst Standardvertragsklauseln mit ergänzender Risikobetrachtung. Ebenso wichtig ist der Grundsatz der Datenminimierung: Besondere Kategorien personenbezogener Daten nach Art. 9 – Gesundheit, Religion, Gewerkschaft, sexuelle Orientierung – haben in einem Buchungssystem nichts zu suchen und sollten gar nicht erst erfasst werden. Weniger Daten bedeuten weniger Angriffsfläche, weniger Vertragsaufwand und weniger Meldepflichten im Schadensfall.

Für die Beherbergung kommt eine Besonderheit hinzu. Die §§ 29 und 30 Bundesmeldegesetz verlangen einen Meldeschein mit handschriftlicher Unterschrift und dessen Aufbewahrung ein Jahr ab dem Abreisetag, danach die Vernichtung innerhalb von drei Monaten – ein rein digitaler Check-in muss das abbilden, nicht umgehen. Bei umfangreichem oder risikoreichem Einsatz, etwa einer weitreichenden Profilbildung, kann zudem eine Datenschutz-Folgenabschätzung nach Art. 35 nötig werden. Der Bußgeldrahmen des Art. 83 reicht bis zu 10 Millionen € oder 2 Prozent des weltweiten Jahresumsatzes und in schweren Fällen bis zu 20 Millionen € oder 4 Prozent – ein Grund, die Pflichten ernst zu nehmen.

Fachliches Urteil: Behandeln Sie Datenschutz nicht als Formular am Ende, sondern als Bauplan am Anfang: Rechtsgrundlage, Information, Auftragsverarbeitung und Sicherheit müssen stehen, bevor ein System live geht. Der wirksamste und günstigste Hebel ist dabei die Datensparsamkeit – jedes Feld, das Sie nicht erheben, spart Vertrag, Absicherung und Risiko. Ob Ihre konkrete Konstellation alle Anforderungen erfüllt, ist eine Einzelfallfrage und lässt sich nicht pauschal als rechtssicher erklären. Diese Darstellung ist eine Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und ausdrücklich keine Datenschutz- oder Rechtsberatung – verbindliche Auskunft gibt nur diese.

Bevor Sie absichern, sollten Sie wissen, wo Gästedaten überhaupt liegen. In einem typischen Betrieb verteilen sie sich auf das PMS, den Channel-Manager, das E-Mail-Postfach, die Portalkonten, den Zahlungsdienstleister, den Cloud-Speicher, das Smartphone und mitunter einen Laptop. Jede dieser Stellen ist ein möglicher Verlustpunkt. Art. 32 DSGVO verlangt keine feste Liste, sondern Maßnahmen, die zum Schutzbedarf passen – je sensibler und umfangreicher die Daten, desto höher die Anforderung. Der erste Schritt ist deshalb eine schlichte Bestandsaufnahme, welche Daten wo liegen und wer darauf zugreift.

Die erste Schutzebene ist der Zugang. Jeder Zugriff auf Systeme mit Gästedaten sollte durch ein starkes, einzigartiges Passwort und eine Zwei-Faktor-Authentifizierung gesichert sein, damit ein gestohlenes Passwort allein nicht ausreicht. Statt Sammelkonten braucht jede Person ein eigenes Konto mit genau den Rechten, die sie für ihre Aufgabe benötigt. Die Reinigung muss Termine sehen, aber keine Zahlungsdaten; ein Aushilfsteam braucht keinen Vollzugriff. Dieses Zugriffskonzept ist eine der wirksamsten und zugleich günstigsten Maßnahmen überhaupt und wird in Frage acht dieses Unterpunkts vertieft.

Die zweite Ebene ist die Speicherung. Datenträger, Laptops und Smartphones, auf denen Gästedaten liegen, sollten verschlüsselt sein, damit ein verlorenes Gerät nicht zur Datenpanne wird. Besonders heikel sind lokale Kopien: Ausweisscans im E-Mail-Postfach, Gästelisten auf dem privaten Rechner, Screenshots im Chatverlauf. Solche Nebenkopien entziehen sich jeder Kontrolle und sollten vermieden oder konsequent gelöscht werden. Ein Löschkonzept mit klaren Fristen – etwa das eine Jahr für Meldescheine nach dem Bundesmeldegesetz – sorgt dafür, dass Daten nicht unbegrenzt liegen bleiben.

Die dritte Ebene ist die Übertragung. Daten, die zwischen Systemen fließen, gehören verschlüsselt – sichtbar an einer gesicherten Verbindung im Browser, im Hintergrund an verschlüsselten Schnittstellen zwischen PMS, Portalen und Zahlungsdienst. Versenden Sie sensible Daten nicht unverschlüsselt per E-Mail und laden Sie keine Gästelisten in ungesicherte Onlinedienste. Weil bei jeder Übertragung an einen Dienstleister personenbezogene Daten in fremde Hände gelangen, ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO kein Nebenpunkt, sondern Teil der Absicherung.

Die vierte Ebene ist die Ausfallsicherung. Regelmäßige Backups schützen vor Verlust durch Defekt, Fehlbedienung oder Ransomware – aber nur, wenn sie getrennt vom Hauptsystem liegen und im Ernstfall auch wirklich zurückgespielt werden können. Ein Backup, das nie getestet wurde, ist ein Versprechen ohne Deckung. Bewährt hat sich das Prinzip mehrerer Kopien an verschiedenen Orten, von denen eine offline bleibt. Auch hier gilt: Was Sie gar nicht erst speichern, müssen Sie weder sichern noch wiederherstellen.

Damit ist der wichtigste Punkt genannt, an dem weniger mehr ist. Die sicherste Gästeliste ist die kurze: Wer nur Name, Kontakt und Aufenthalt erhebt und auf Geburtsdatum, Ausweiskopie und überflüssige Zusatzfelder verzichtet, verkleinert seine Angriffsfläche drastisch. Für einen kleinen Betrieb kann es sicherer sein, den Meldeschein weiter auf Papier im verschlossenen Schrank zu führen, als eine ungesicherte digitale Sammlung anzulegen. Nicht jede Digitalisierung erhöht die Sicherheit – eine schlecht abgesicherte Cloud ist riskanter als ein sauber geführter Aktenordner.

Fachliches Urteil: Sichern Sie Gästedaten in der Reihenfolge Zugang, Speicherung, Übertragung, Ausfall – und beginnen Sie mit den beiden Maßnahmen mit dem besten Verhältnis von Aufwand und Wirkung: Zwei-Faktor-Authentifizierung und Datensparsamkeit. Kein Maßnahmenkatalog macht ein System pauschal sicher; angemessen ist, was zum konkreten Risiko passt. Diese Einordnung ist eine Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und keine IT-, Datenschutz- oder Rechtsberatung – die Risikobewertung Ihres Betriebs gehört in fachkundige Hände.

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Der Cloud-Anbieter, der Ihre Gästeliste speichert, und das PMS, das Buchungen verwaltet, sind typische Auftragsverarbeiter. Davon abzugrenzen sind eigene Verantwortliche, die selbst entscheiden, wie sie Daten nutzen – die Steuerberatung etwa handelt aufgrund eigener Berufspflichten, hier braucht es keinen AVV. Eine dritte Form ist die gemeinsame Verantwortlichkeit nach Art. 26, die bei manchen Portalen und Plattformen in Betracht kommt. Welche Kategorie zutrifft, ist eine rechtliche Einordnung im Einzelfall.

Praktisch heißt das: Erstellen Sie eine Liste aller Werkzeuge, die Gästedaten berühren, und prüfen Sie für jedes, ob ein AVV nötig ist. Auf der Liste stehen fast immer das PMS, der Channel-Manager, der Zahlungsdienstleister, E-Mail- und Marketing-Dienste, Cloud-Speicher, ein digitales Check-in- oder Meldesystem und ein etwaiger Chatbot. Auch scheinbar harmlose Helfer wie ein Terminplaner oder ein Automatisierungsdienst können darunterfallen, sobald sie Namen oder Kontaktdaten sehen. Diese Bestandsaufnahme ist zugleich die Grundlage für ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30.

Ein AVV muss nach Art. 28 Abs. 3 bestimmte Inhalte regeln: Gegenstand und Dauer, Art und Zweck der Verarbeitung, die betroffenen Datenarten, die Weisungsbindung, die Vertraulichkeit der Beschäftigten, die Sicherheitsmaßnahmen nach Art. 32, den Umgang mit Unterauftragsverarbeitern, die Unterstützung bei Betroffenenrechten und Datenpannen sowie Löschung oder Rückgabe der Daten nach Auftragsende. Eine praxisnahe Orientierung, worauf zu achten ist, gibt das Kurzpapier Nr. 13 der Datenschutzkonferenz. Der Vertrag muss in schriftlicher oder elektronischer Form vorliegen, ein mündliches Einverständnis genügt nicht.

Besondere Aufmerksamkeit verdienen Unterauftragsverarbeiter. Große Anbieter setzen selbst wieder Dienstleister ein – für Hosting, Versand oder Support. Der AVV muss regeln, ob und wie solche Unterauftragnehmer eingesetzt werden dürfen und dass Sie über Änderungen informiert werden und widersprechen können. So entsteht eine Kette, die nur so stark ist wie ihr schwächstes Glied. Gerade bei verschachtelten Diensten lohnt der Blick, wer am Ende tatsächlich Zugriff auf die Gästedaten hat und wo diese physisch liegen.

Damit ist der Drittlandbezug angesprochen. Sitzt der Anbieter oder einer seiner Unterauftragnehmer außerhalb der EU, genügt der AVV allein nicht; es braucht zusätzlich einen gültigen Übertragungsmechanismus. Für Anbieter in den USA kommt das EU-US Data Privacy Framework in Betracht, sonst sind Standardvertragsklauseln mit ergänzender Risikoabwägung nötig. Prüfen Sie deshalb nicht nur, ob ein AVV existiert, sondern auch, wo verarbeitet wird – ein AVV mit einem Anbieter, dessen Server im unklaren Drittland stehen, ist nur die halbe Miete.

An dieser Stelle zahlt sich Zurückhaltung aus. Jeder zusätzliche Dienst bedeutet einen weiteren AVV, eine weitere Kette von Unterauftragnehmern und eine weitere Drittlandprüfung. Wer seinen Tool-Stack schlank hält und Aufgaben bündelt, reduziert nicht nur Kosten, sondern auch den vertraglichen und rechtlichen Aufwand. Für einen kleinen Betrieb kann es der einfachere Weg sein, mit einem gut geprüften System zu arbeiten, statt fünf spezialisierte Dienste zu verketten, für die je ein Vertrag geführt und überwacht werden muss. Weniger Anbieter bedeuten weniger Datenweitergabe – und das ist der datensparsamste Zustand.

Fachliches Urteil: Führen Sie eine vollständige Liste aller Tools mit Gästedatenbezug, holen Sie für jeden Auftragsverarbeiter einen AVV ein, achten Sie auf Unterauftragnehmer und Serverstandort und dokumentieren Sie das Ergebnis. Ob eine Stelle Auftragsverarbeiter, gemeinsam Verantwortlicher oder eigenständig ist, lässt sich nicht pauschal beantworten und gehört im Zweifel geprüft. Diese Darstellung ist eine Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und keine Datenschutz- oder Rechtsberatung – die verbindliche Einordnung leistet nur diese.

Der erste Schritt ist ein realistisches Bild der Bedrohung. Angriffe auf kleine Betriebe sind selten gezielt und persönlich, sondern automatisiert und breit gestreut: Programme probieren gestohlene Passwörter massenhaft aus, Phishing-Mails imitieren Portale oder Banken, Schadsoftware verschlüsselt Festplatten und fordert Lösegeld. Gerade weil ein Ferienvermieter meist keine IT-Abteilung hat, ist er ein lohnendes Ziel. Die gute Nachricht: Die immer gleichen Einfallstore lassen sich mit überschaubarem Aufwand schließen, und schon wenige Grundmaßnahmen halten den Großteil der automatisierten Angriffe ab.

Das wichtigste Einfallstor sind Zugangsdaten. Ein für mehrere Dienste genutztes Passwort wird bei einem einzigen Datenleck zum Generalschlüssel. Abhilfe schaffen einzigartige, lange Passwörter aus einem Passwortmanager und vor allem die Zwei-Faktor-Authentifizierung, die einen gestohlenen Zugang allein wertlos macht. Diese eine Maßnahme verhindert einen Großteil der Kontoübernahmen und sollte für jedes System mit Gästedaten aktiv sein. Die Absicherung von Zugängen im Detail behandelt Frage acht dieses Unterpunkts.

Der zweite Bereich ist die Systempflege. Veraltete Betriebssysteme, Browser, Apps und Router enthalten bekannte Lücken, die Angreifer gezielt ausnutzen. Zeitnahe Updates schließen diese Lücken und sind eine der einfachsten Schutzmaßnahmen überhaupt. Dazu gehören ein aktueller Virenschutz, eine aktive Firewall und die Vorsicht, Software nur aus vertrauenswürdigen Quellen zu installieren. Auch das Router-Standardpasswort und offene Fernzugänge sind ein häufig übersehenes Risiko, gerade in einem Ferienobjekt mit Gäste-WLAN.

Der dritte Bereich ist die Absicherung gegen Verlust. Ransomware, die alle Daten verschlüsselt, verliert ihren Schrecken, wenn ein aktuelles, getrenntes Backup existiert, aus dem sich der Betrieb wiederherstellen lässt. Entscheidend ist, dass mindestens eine Kopie offline oder anderweitig vom Hauptsystem getrennt liegt, sodass die Schadsoftware sie nicht miterfasst, und dass die Wiederherstellung geprobt wurde. Ein nie getestetes Backup ist im Ernstfall oft wertlos, weil sich erst dann zeigt, dass Daten fehlen oder sich nicht zurückspielen lassen.

Der vierte Bereich ist der Mensch, denn die meisten Pannen beginnen mit einem Klick. Eine gefälschte Mail, die zur dringenden Anmeldung auffordert, ein angeblicher Zahlungsbeleg im Anhang, eine SMS mit Paketlink – wer die Muster kennt, fällt seltener darauf herein. Prüfen Sie Absender und Links, geben Sie Zugangsdaten nie über einen Link aus einer Nachricht ein und seien Sie bei Dringlichkeit und Drohung besonders misstrauisch. Hier wirkt Datensparsamkeit doppelt: Wer wenige Daten hält, macht einen erfolgreichen Angriff weniger lohnend und den Schaden kleiner.

Trotz aller Vorsorge bleibt ein Restrisiko, und genau dafür braucht es einen Notfallplan. Legen Sie vorab fest, woran Sie eine Panne erkennen, wen Sie informieren und wie Sie eindämmen. Denn wird der Schutz personenbezogener Daten verletzt, verlangt Art. 33 DSGVO in vielen Fällen eine Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis, und bei hohem Risiko sind nach Art. 34 auch die betroffenen Gäste zu benachrichtigen. Wie Sie im Ernstfall vorgehen, behandelt Frage neun dieses Unterpunkts ausführlich.

Fachliches Urteil: Schließen Sie zuerst die vier Einfallstore mit dem besten Verhältnis von Aufwand und Wirkung – Zwei-Faktor, Updates, getrennte Backups und Wachsamkeit gegenüber Phishing – und akzeptieren Sie, dass kein Schutz lückenlos ist. Deshalb gehört der Notfallplan zur Prävention. Datensparsamkeit ist dabei die stille Versicherung: weniger Daten, kleinerer Schaden. Bedrohungslage und Abwehr sind eine Momentaufnahme (Stand 2026-07); Favorent ist keine IT-Sicherheits- oder Datenschutzberatung – eine belastbare Sicherheitsbewertung leistet nur fachkundige Beratung.

Der wichtigste Gedanke vorweg: Datenschutzkonformität ist keine Eigenschaft der Software, sondern des gesamten Verarbeitungsvorgangs. Auch das beste Werkzeug wird rechtswidrig genutzt, wenn kein AVV vorliegt, die Rechtsgrundlage fehlt oder zu viele Daten erhoben werden. Umgekehrt kann ein schlichtes Tool sauber eingesetzt werden. Deshalb ersetzt kein Prüfsiegel und keine Werbeaussage die eigene Prüfung. Wer bei der Auswahl systematisch vorgeht, vermeidet die häufigsten Fallen – und legt die Grundlage dafür, das gewählte System später auch rechtssicher zu betreiben, was ohnehin nur im Einzelfall zu beurteilen ist.

Das erste Kriterium ist der Auftragsverarbeitungsvertrag. Ein seriöser Anbieter, der personenbezogene Daten verarbeitet, stellt einen AVV nach Art. 28 DSGVO bereit – oft abrufbar oder auf Anfrage. Fehlt er oder wird ausweichend geantwortet, ist das ein deutliches Warnsignal. Prüfen Sie zugleich, ob der Vertrag konkrete Sicherheitsmaßnahmen und einen klaren Umgang mit Unterauftragnehmern benennt und nicht nur allgemeine Floskeln. Wie ein AVV aufgebaut sein sollte, behandelt Frage drei dieses Unterpunkts.

Das zweite Kriterium ist der Datenstandort. Server in der EU oder im EWR vereinfachen die Lage erheblich. Liegt die Verarbeitung außerhalb, etwa bei vielen US-Diensten, muss ein gültiger Übertragungsmechanismus greifen – das EU-US Data Privacy Framework für zertifizierte US-Anbieter oder Standardvertragsklauseln mit ergänzender Risikobetrachtung. Fragen Sie konkret nach dem Serverstandort und nach den Unterauftragnehmern, denn ein europäischer Firmensitz allein sagt noch nichts darüber, wo die Daten tatsächlich liegen und wer darauf zugreifen kann.

Das dritte Kriterium ist die technische Sicherheit. Achten Sie darauf, ob das Werkzeug Verschlüsselung, Zwei-Faktor-Authentifizierung, feingranulare Zugriffsrechte und nachvollziehbare Protokolle bietet. Zertifizierungen wie ISO 27001 oder Prüfberichte nach anerkannten Standards sind ein Indiz für ein ernsthaftes Sicherheitsmanagement, aber kein Beweis für Konformität im Einzelfall und kein Ersatz für den AVV. Sie erleichtern die Auswahl, entbinden aber nicht von der eigenen Prüfung, ob die Funktionen zu Ihrem Schutzbedarf passen.

Das vierte Kriterium ist die Datensparsamkeit des Werkzeugs selbst. Fragen Sie, welche Daten das Tool zwingend verlangt und welche optional sind, und wählen Sie im Zweifel das System, das mit weniger auskommt. Ein Buchungsformular, das nur Name und Kontakt abfragt, ist besser als eines, das Geburtsdatum, Ausweisnummer und Zusatzangaben verlangt, die niemand braucht. Besondere Kategorien nach Art. 9 sollten gar nicht abgefragt werden. Hier ist weniger nicht nur rechtlich sauberer, sondern auch sicherer, weil es die Angriffsfläche verkleinert.

Das fünfte Kriterium ist die Datenhoheit am Ende. Prüfen Sie vor der Einführung, ob Sie Ihren Datenbestand vollständig exportieren und auf Verlangen löschen lassen können. Ein System, das Daten faktisch einbehält, erschwert nicht nur den Wechsel, sondern auch die Erfüllung von Betroffenenrechten wie Auskunft und Löschung. Zugleich lohnt der Blick auf die Zahl der Werkzeuge insgesamt: Manchmal ist die datenschutzfreundlichste Entscheidung, ein zusätzliches Tool gar nicht einzuführen und die Aufgabe im bestehenden, bereits geprüften System oder schlicht analog zu erledigen. Jedes Werkzeug, das Sie nicht einführen, spart einen weiteren Vertrag, eine weitere Drittlandprüfung und eine weitere Stelle, an der Daten abfließen können – der schlankste Stack ist auch der am leichtesten zu beherrschende.

Fachliches Urteil: Wählen Sie entlang von AVV, Datenstandort, Sicherheitsfunktionen, Datensparsamkeit und Exportfähigkeit – und misstrauen Sie Werbeaussagen zur Konformität, die es als pauschale Eigenschaft nicht gibt. Oft gewinnt das Werkzeug, das am wenigsten Daten verlangt, weil weniger Datenabfrage die einfachere Rechtslage, die kleinere Angriffsfläche und den geringeren Löschaufwand zugleich bedeutet. Anbieterangaben und Rechtslage sind eine Momentaufnahme (Stand 2026-07); ob ein Tool in Ihrem Einsatz konform ist, beurteilt allein eine Datenschutz- oder Rechtsberatung, nicht Favorent.

Der Ausgangspunkt ist bewusst kein Katalog, sondern ein Prinzip. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die den Stand der Technik, die Kosten, den Zweck und vor allem das Risiko für die betroffenen Personen berücksichtigen. Ein Betrieb, der nur Name und Kontakt speichert, schuldet weniger als einer, der Ausweis- und Zahlungsdaten sammelt. Diese Risikoorientierung ist ein Vorteil für kleine Vermieter: Sie müssen nicht das Niveau eines Konzerns erreichen, sondern das ihrem Risiko angemessene. Zugleich verlagert das die Verantwortung auf eine ehrliche Einschätzung des eigenen Schutzbedarfs.

Faktisch als Basispflicht gilt die Verschlüsselung. Geräte mit Gästedaten – Laptop, Smartphone, externe Datenträger – sollten verschlüsselt sein, ebenso die Übertragungswege, erkennbar an gesicherten Verbindungen. Der Aufwand ist gering, der Schutz hoch: Ein verlorenes, verschlüsseltes Gerät ist meist keine meldepflichtige Panne, ein unverschlüsseltes dagegen schon. Die Verschlüsselung ist in Art. 32 sogar ausdrücklich als Beispiel genannt und damit die am klarsten erwartete Einzelmaßnahme. Moderne Betriebssysteme und Smartphones bringen die Verschlüsselung ohnehin mit; sie muss oft nur aktiviert werden.

Ebenso etabliert ist die Absicherung der Zugänge. Eine Zwei-Faktor-Authentifizierung für jeden Zugang zu Systemen mit Gästedaten und ein Zugriffskonzept, das jeder Person nur die nötigen Rechte gibt, gehören zum erwarteten Mindeststandard. Sammelkonten mit geteilten Passwörtern sind das Gegenteil davon und im Schadensfall kaum zu verantworten. Die Details dieser Zugangssicherung behandelt Frage acht; wichtig ist hier, dass sie nicht als Komfort, sondern als Pflichtbestandteil angemessener Sicherheit zu verstehen ist.

Die vierte Basismaßnahme ist die Ausfall- und Wiederherstellungssicherheit. Art. 32 nennt ausdrücklich die Fähigkeit, die Verfügbarkeit und den Zugang zu Daten bei einem Zwischenfall rasch wiederherzustellen – das heißt in der Praxis: regelmäßige, getrennte und getestete Backups, aus denen sich der Betrieb im Ernstfall auch wirklich zurückholen lässt. Hinzu kommt die laufende Systempflege durch Updates, die bekannte Lücken schließen. Beides sind Maßnahmen, deren Fehlen im Ernstfall nicht nur den Betrieb gefährdet, sondern auch als Sorgfaltsverstoß gewertet werden kann.

Neben der Technik stehen organisatorische Pflichten. Beschäftigte und Aushilfen sind auf Vertraulichkeit zu verpflichten, ein Löschkonzept muss festlegen, wann welche Daten entfernt werden – etwa der Meldeschein nach dem einen Jahr des Bundesmeldegesetzes –, und ab einer gewissen Regelmäßigkeit der Verarbeitung ist ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 zu führen. Diese Dokumentation wirkt bürokratisch, ist aber im Streitfall der Nachweis, dass Sie Ihre Pflichten kennen und erfüllen – die Rechenschaftspflicht verlangt genau das.

Der wichtigste Hebel ist zugleich der einfachste, und er senkt die Pflichten selbst. Je weniger und je weniger sensible Daten Sie verarbeiten, desto niedriger das Risiko und desto geringer die geschuldeten Maßnahmen. Ein Einzelvermieter, der auf Ausweiskopien und Sonderdaten verzichtet und den Meldeschein analog im verschlossenen Schrank führt, muss schlicht weniger absichern als jemand mit einer umfangreichen digitalen Sammlung. Angemessene Sicherheit beginnt daher nicht beim Kauf von Schutzsoftware, sondern bei der Entscheidung, welche Daten überhaupt anfallen.

Fachliches Urteil: Pflicht ist nicht ein starrer Katalog, sondern das zum Risiko passende Maß – praktisch aber sind Verschlüsselung, Zwei-Faktor, Zugriffskonzept, Backups und Updates heute so selbstverständlich, dass ihr Fehlen schwer zu rechtfertigen ist. Wer wenig erhebt, senkt seine Pflichten mit. Was in Ihrem Fall angemessen ist, ist eine Einzelfall- und Momentaufnahme (Stand 2026-07); Favorent ist keine IT-Sicherheits- oder Datenschutzberatung und kann kein Maßnahmenniveau verbindlich bestätigen.

Die Besonderheit von KI-Tools liegt in drei Punkten. Erstens gelangen eingegebene Daten häufig auf Server außerhalb der EU. Zweitens behalten sich manche Anbieter vor, Eingaben zur Verbesserung ihrer Modelle zu nutzen – was bedeutet, dass ein einmal eingegebener Gästename dem Modell dauerhaft zur Verfügung stehen kann. Drittens ist die Verarbeitung oft eine Blackbox, deren Innenleben sich nicht vollständig prüfen lässt. Aus diesen drei Punkten folgt fast alles Weitere: Vorsicht bei dem, was man eingibt, und Klarheit über Anbieter, Standort und Nutzungsbedingungen, bevor echte Daten ins Spiel kommen.

Wird KI mit Personenbezug eingesetzt, gelten die normalen DSGVO-Pflichten unverändert. Es braucht eine Rechtsgrundlage nach Art. 6 – meist Vertragserfüllung oder berechtigtes Interesse mit Abwägung – und für den KI-Anbieter als Auftragsverarbeiter einen AVV nach Art. 28. Viele Anbieter bieten inzwischen Geschäfts- oder Enterprise-Varianten an, die eine Nutzung der Eingaben zum Training vertraglich ausschließen und einen AVV bereitstellen; die kostenlosen Endkundenversionen tun das oft nicht. Der Unterschied entscheidet darüber, ob ein Werkzeug für die Verarbeitung von Gästedaten überhaupt in Frage kommt.

Die wirksamste Schutzmaßnahme ist auch hier die Datensparsamkeit. Für die meisten Aufgaben – einen Objekttext formulieren, eine Antwortvorlage entwerfen, eine Beschreibung übersetzen – braucht die KI überhaupt keine echten Personendaten. Arbeiten Sie mit Platzhaltern statt mit Namen, entfernen Sie Kontaktdaten aus dem Text, den Sie einfügen, und geben Sie niemals besondere Kategorien nach Art. 9 wie Gesundheits- oder Religionsangaben ein. So nutzen Sie den Vorteil der KI, ohne personenbezogene Daten preiszugeben – die sauberste und einfachste Lösung, die zugleich jedes Drittland- und Trainingsrisiko umgeht.

Lässt sich Personenbezug nicht vermeiden, rückt der Drittlandtransfer in den Blick. Prüfen Sie, wo der Anbieter verarbeitet und ob ein gültiger Mechanismus greift – das EU-US Data Privacy Framework für zertifizierte US-Anbieter oder Standardvertragsklauseln mit ergänzender Risikobetrachtung. Achten Sie auch auf Unterauftragnehmer, denn KI-Dienste stützen sich häufig auf weitere Cloud- und Rechenanbieter. Ein europäischer Firmensitz allein garantiert nicht, dass die Rechenleistung und damit Ihre Eingaben in der EU bleiben.

Bei umfangreichem oder risikoreichem Einsatz kann eine Datenschutz-Folgenabschätzung nach Art. 35 nötig werden – etwa wenn KI systematisch Gästeprofile bewertet oder große Datenmengen automatisiert auswertet. Automatisierte Entscheidungen mit rechtlicher Wirkung gegenüber dem Gast unterliegen zusätzlich den Grenzen des Art. 22. Hinzu kommt die Transparenzpflicht der KI-Verordnung: Nach Art. 50, der ab dem 2. August 2026 gilt, muss ein Gast erkennen können, dass er mit einer KI kommuniziert, und KI-erzeugte Inhalte sind entsprechend zu kennzeichnen. Der Rechtsrahmen der KI-Verordnung ist dabei in Teilen noch im Verfahren und als solcher eine Momentaufnahme.

Über allem steht das Prinzip, dass der Mensch die Kontrolle behält. KI liefert Entwürfe, keine Endergebnisse: Preisvorschläge, Textbausteine und Antwortvorschläge gehören redigiert, bevor sie nach außen gehen. Das schützt nicht nur die Qualität, sondern auch den Datenschutz, weil ein prüfender Blick verhindert, dass versehentlich sensible Angaben übernommen werden. Für viele kleine Betriebe ist ohnehin weniger KI die klügere Wahl: Eine persönlich geschriebene, warme Antwort ist gästefreundlicher und datensparsamer als ein Chatbot, der Anfragen samt Namen durch ein fremdes Modell schickt.

Fachliches Urteil: Behandeln Sie KI-Tools nach der Regel, echte Gästedaten möglichst gar nicht einzugeben; wo Personenbezug unvermeidlich ist, braucht es Rechtsgrundlage, AVV, Drittlandprüfung und gegebenenfalls eine Folgenabschätzung sowie ab 2026 die Transparenzkennzeichnung. Am sichersten bleibt, wer KI nur für anonyme Entwürfe nutzt und den Menschen entscheiden lässt. Recht und Angebote der KI ändern sich rasch; dies ist eine Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und keine Datenschutz- oder Rechtsberatung.

Der Grund, warum Zugänge im Mittelpunkt stehen, ist einfach: Die meisten erfolgreichen Angriffe brauchen keine technische Meisterleistung, sondern nur ein gültiges Passwort. Wird ein Dienst gehackt und werden dort Zugangsdaten erbeutet, probieren Programme dieselbe Kombination automatisch bei Dutzenden anderen Diensten aus. Wer dasselbe Passwort mehrfach nutzt, öffnet damit auf einen Schlag alle Türen. Der Schutz beginnt deshalb bei der Einzigartigkeit: Jeder Dienst braucht ein eigenes Passwort, das nirgends sonst verwendet wird.

Weil sich niemand Dutzende einzigartiger, langer Passwörter merken kann, ist ein Passwortmanager das zentrale Werkzeug. Er erzeugt und speichert für jeden Dienst ein starkes, zufälliges Passwort, und Sie müssen sich nur noch ein einziges sicheres Hauptpasswort merken. Länge schlägt dabei Komplexität: Eine lange Passphrase ist sicherer und leichter zu merken als ein kurzes Kürzel mit Sonderzeichen. Das Hauptpasswort des Managers sollte besonders stark und zusätzlich durch einen zweiten Faktor geschützt sein, denn es hütet alle anderen.

Die zweite Säule ist die Zwei-Faktor-Authentifizierung. Sie verlangt neben dem Passwort einen zweiten Nachweis – meist einen Code aus einer App oder einem Sicherheitsschlüssel –, sodass ein gestohlenes Passwort allein wertlos bleibt. Für jeden Zugang zu einem System mit Gästedaten sollte sie aktiv sein: PMS, Portalkonten, E-Mail, Cloud, Zahlungsdienst. Ein Verfahren über eine App ist dabei sicherer als eines über SMS, das sich leichter abfangen lässt. Diese eine Maßnahme verhindert einen Großteil der Kontoübernahmen.

Die dritte Säule ist das Zugriffskonzept. Jede Person, die im Betrieb mitarbeitet, sollte ein eigenes Konto haben und nur die Rechte, die sie für ihre Aufgabe braucht. Geteilte Sammelkonten mit einem für alle gültigen Passwort sind das Gegenteil: Niemand weiß, wer was getan hat, und scheidet eine Person aus, muss das Passwort für alle geändert werden. Die Reinigungskraft braucht Termine, aber keine Zahlungsdaten; eine Saisonhilfe braucht keinen Vollzugriff. Individuelle Konten mit abgestuften Rechten schaffen Nachvollziehbarkeit und begrenzen den Schaden, wenn ein Zugang kompromittiert wird.

Die vierte Säule ist das Offboarding, der am häufigsten vergessene Punkt. Zugänge müssen entzogen werden, sobald eine Person das Team verlässt, eine Saisonkraft geht oder die Zusammenarbeit mit einem Dienstleister endet. Ein vergessener aktiver Zugang eines Ausgeschiedenen ist ein offenes Tor. Führen Sie deshalb eine einfache Liste, wer welche Zugänge hat, und arbeiten Sie sie beim Ausscheiden ab. Hier zeigt sich die datensparsame Haltung im Kleinen: Nicht mehr benötigte Konten werden gelöscht, nicht auf Vorrat behalten, denn jeder ungenutzte Zugang ist ein Risiko ohne Nutzen.

Einige Sonderfälle verdienen Aufmerksamkeit. Für den Notfall – etwa den Ausfall des Zwei-Faktor-Geräts – sollten Wiederherstellungscodes sicher hinterlegt sein, damit Sie sich nicht selbst aussperren. Geteilte Zugänge zu einzelnen Objekten oder Systemen, die sich technisch nicht vermeiden lassen, gehören dokumentiert und regelmäßig geändert. Die physische Seite der Zutrittssicherung – Schlüsselboxen, Keyless-Entry, Codeschlösser am Objekt – ist ein eigenes Thema und wird gesondert behandelt; hier geht es allein um die digitalen Zugänge zu Systemen und Daten.

Fachliches Urteil: Sichern Sie Zugänge über vier einfache Säulen – einzigartige Passwörter aus einem Manager, Zwei-Faktor überall, individuelle Konten mit minimalen Rechten und konsequentes Offboarding. Keine andere Maßnahme bietet ein besseres Verhältnis von Aufwand und Schutz. Nicht genutzte Zugänge löschen Sie, statt sie zu parken. Verfahren und Werkzeuge sind eine Momentaufnahme (Stand 2026-07); Favorent ist keine IT-Sicherheits- oder Datenschutzberatung und bestätigt kein Zugangskonzept verbindlich.

Zunächst die Definition, denn nicht jeder Zwischenfall ist gleich eine meldepflichtige Panne. Eine Verletzung des Schutzes personenbezogener Daten liegt vor, wenn Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt werden oder Unbefugte Zugang erhalten. Typische Fälle im Vermietungsbetrieb: ein verlorener oder gestohlener Laptop, eine Gästeliste im falschen E-Mail-Verteiler, ein gehacktes Portalkonto, ein Ransomware-Angriff, der Daten verschlüsselt. Der erste gedankliche Schritt ist zu erkennen, dass überhaupt eine Panne vorliegt – wer die Kategorien kennt, reagiert schneller und richtiger.

Der erste praktische Schritt ist die Eindämmung. Sperren Sie betroffene Zugänge, ändern Sie Passwörter, trennen Sie befallene Geräte vom Netz und stoppen Sie den weiteren Datenabfluss. Sichern Sie zugleich Beweise: Was ist passiert, wann, welche Daten und wie viele Personen sind betroffen? Diese Informationen brauchen Sie kurz darauf für die Risikobewertung und eine etwaige Meldung. Handeln Sie zügig, aber überstürzen Sie nichts, das Spuren vernichtet – eine ruhige, dokumentierte Reaktion ist mehr wert als blinder Aktionismus.

Der zweite Schritt ist die Risikobewertung. Entscheidend ist, welches Risiko für die Rechte und Freiheiten der betroffenen Gäste besteht. Ein verlorenes, verschlüsseltes Gerät ohne Zugriffsmöglichkeit stellt oft kein Risiko dar; eine offengelegte Liste mit Namen, Adressen und Aufenthaltszeiten dagegen sehr wohl, weil sie etwa Abwesenheiten verrät. Von dieser Einschätzung hängt ab, ob und wie Sie melden müssen. Weil die Bewertung heikel ist und die Frist läuft, sollten Sie im Zweifel früh fachkundigen Rat einholen.

Der dritte Schritt ist die Meldung an die Aufsichtsbehörde. Besteht ein Risiko für die Betroffenen, verlangt Art. 33 DSGVO die Meldung binnen 72 Stunden ab Kenntnis der Panne. Die Meldung beschreibt Art der Verletzung, betroffene Datenkategorien und Personenzahl, wahrscheinliche Folgen und ergriffene Maßnahmen. Ist eine vollständige Meldung in der Frist nicht möglich, meldet man zunächst, was bekannt ist, und reicht nach. Nur wenn die Panne voraussichtlich kein Risiko birgt, darf die Meldung unterbleiben – diese Einschätzung sollten Sie aber begründen und festhalten können.

Der vierte Schritt ist die Benachrichtigung der Betroffenen. Ist das Risiko für die Gäste hoch, verlangt Art. 34 DSGVO, dass Sie die Betroffenen unverzüglich und in klarer, einfacher Sprache informieren, damit sie sich schützen können – etwa Passwörter ändern oder auf verdächtige Nachrichten achten. Der fünfte Schritt begleitet alle anderen: die Dokumentation. Nach Art. 33 Abs. 5 ist jede Panne intern zu dokumentieren, auch die, die nicht gemeldet wird – mit Sachverhalt, Bewertung und Reaktion. Diese Dokumentation ist im Prüfungsfall Ihr Nachweis, dass Sie richtig gehandelt haben.

Die beste Reaktion ist die, die Sie vorbereitet haben. Ein einfacher Notfallplan hält fest, woran Sie eine Panne erkennen, wen Sie sofort informieren, welche Aufsichtsbehörde zuständig ist und wo die Dokumentationsvorlage liegt. So verlieren Sie in der knappen 72-Stunden-Frist keine Zeit mit Suchen. Vorbeugend wirkt zudem die Datensparsamkeit: Wer wenige und wenig sensible Daten hält, hat im Pannenfall seltener ein hohes Risiko und damit seltener eine Melde- und Benachrichtigungspflicht. Eine kurze Gästeliste und ein analog geführter, verschlossener Meldeschein sind damit auch eine Vorsorge für den schlechten Tag.

Fachliches Urteil: Reagieren Sie strukturiert – eindämmen, bewerten, binnen 72 Stunden melden, bei hohem Risiko benachrichtigen, immer dokumentieren – und bereiten Sie diesen Ablauf vorab in einem Notfallplan vor. Ziehen Sie im Zweifel früh fachkundigen Rat hinzu, weil die Frist läuft und die Bewertung schwierig ist. Die konkrete Anwendung ist Einzelfall und Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und keine Datenschutz- oder Rechtsberatung – im Ernstfall wenden Sie sich an diese und an die Aufsichtsbehörde.

Bevor die Fehler im Einzelnen kommen, lohnt der Blick auf die Folgen, denn sie machen deutlich, warum Sorgfalt sich lohnt. Der Bußgeldrahmen des Art. 83 DSGVO ist zweistufig: Für Verstöße etwa gegen Auftragsverarbeitung oder Sicherheit reicht er bis zu 10 Millionen € oder 2 Prozent des weltweiten Jahresumsatzes, für schwerere Verstöße gegen Grundsätze oder Betroffenenrechte bis zu 20 Millionen € oder 4 Prozent – je nachdem, welcher Betrag höher ist. Für kleine Betriebe fallen Bußgelder in der Praxis niedriger aus, doch hinzu kommen Reputationsschaden, Schadensersatzforderungen der Betroffenen und der Aufwand der Aufarbeitung. Schon der drohende Ärger ist Grund genug, die Muster zu kennen.

Der erste und häufigste Fehler ist der fehlende Auftragsverarbeitungsvertrag. Wer ein PMS, einen Newsletter-Dienst oder einen Cloud-Speicher nutzt, ohne einen AVV nach Art. 28 DSGVO geschlossen zu haben, verarbeitet formal rechtswidrig, egal wie sicher das System technisch ist. Das Gegenmittel ist die vollständige Tool-Liste aus Frage drei und ein AVV für jeden Dienstleister. Dieser Fehler ist besonders ärgerlich, weil er reine Formsache ist: Der Vertrag liegt bei seriösen Anbietern bereit und muss nur eingeholt und dokumentiert werden.

Der zweite Fehler ist die fehlende Rechtsgrundlage oder Information. Wer Daten ohne klaren Zweck nach Art. 6 erhebt oder den Gast nicht nach Art. 13 über die Verarbeitung informiert, verstößt gegen Grundpflichten. Der dritte Fehler ist der ungeprüfte Drittlandtransfer: Ein US-Tool ohne gültiges EU-US Data Privacy Framework oder ohne Standardvertragsklauseln übermittelt Daten unzulässig. Beide Fehler entstehen meist aus Unkenntnis und lassen sich durch eine verständliche Datenschutzerklärung und die Prüfung von Serverstandort und Übertragungsmechanismus vor dem Einsatz vermeiden.

Der vierte Fehler ist mangelnde technische Sicherheit. Fehlen Verschlüsselung, Zwei-Faktor-Authentifizierung, ein Zugriffskonzept oder Backups, verstößt das gegen Art. 32 DSGVO – und rächt sich spätestens im Schadensfall, wenn ein verlorenes unverschlüsseltes Gerät zur meldepflichtigen Panne wird. Der fünfte Fehler schließt daran an: eine Datenpanne nicht, zu spät oder unvollständig zu melden. Die 72-Stunden-Frist des Art. 33 wird oft verpasst, weil kein Notfallplan existiert und wertvolle Zeit mit Orientierung vergeht. Auch die fehlende interne Dokumentation einer Panne ist bereits ein Verstoß.

Der sechste Fehler ist die Datensammelwut – und er ist heimtückisch, weil er wie Gründlichkeit aussieht. Wer Ausweiskopien speichert, Geburtsdaten abfragt, Gästehistorien endlos aufbewahrt oder gar besondere Kategorien nach Art. 9 erhebt, verstößt gegen die Grundsätze der Datenminimierung und Speicherbegrenzung nach Art. 5 und vergrößert zugleich den Schaden jeder Panne. Hier ist weniger eindeutig mehr: Jedes nicht erhobene Feld spart Vertrag, Absicherung, Löschaufwand und Risiko. Die datensparsame Gästeliste ist nicht nur rechtlich sauberer, sondern auch die günstigste Versicherung gegen den teuren Tag.

Ein siebter, oft übersehener Fehler ist das Unterlassen einer Datenschutz-Folgenabschätzung nach Art. 35, wo sie nötig wäre – etwa bei umfangreicher Profilbildung oder risikoreichem KI-Einsatz. Betrachtet man alle Muster zusammen, zeigt sich die gemeinsame Wurzel: Entschieden wird vom System und seinem Funktionsumfang her, nicht vom Recht und von der Frage, welche Daten überhaupt nötig sind. Wer die Reihenfolge umdreht – zuerst Zweck und nötige Daten, dann Rechtsgrundlage, Verträge und Sicherheit, dann das Werkzeug –, vermeidet die meisten dieser Fehler, bevor sie entstehen.

Fachliches Urteil: Fast alle bußgeld- und schadensträchtigen Fehler entstehen, weil vom Tool statt vom Recht und vom sparsamen Datenumgang her gedacht wird. Prüfen Sie AVV, Rechtsgrundlage, Information, Drittland, Sicherheit, Meldebereitschaft und vor allem, ob Sie nicht mehr Daten erheben, als Sie brauchen. Die Fehlermuster sind stabil, ihre rechtliche Bewertung im Einzelfall aber eine Momentaufnahme (Stand 2026-07); Favorent ist Verwaltungsdienstleister und keine Datenschutz- oder Rechtsberatung, die verbindliche Auskunft leistet allein diese.