Die Regeln, an die sich Reiseunternehmen tatsächlich halten müssen

# Die Regeln, an die sich Reiseunternehmen tatsächlich halten müssen

Ein Gast tritt an ein Kiosk-Terminal in der Hotellobby, schaut in eine Kamera und checkt ein, ohne einen Pass oder eine Tastatur zu berühren. In Frankfurt braucht dasselbe System heute eine Konformitätsbewertung, bevor es live geht. In Illinois braucht es womöglich eine schriftliche Einwilligung und ein Löschkonzept, sonst folgt eine Klage. In Shenzhen muss der dahinterliegende Algorithmus vor dem Einsatz in einem staatlichen Register eingetragen werden. Dieselbe Technologie, drei völlig unterschiedliche rechtliche Realitäten. Wenn Ihr Reise- oder Hospitality-Unternehmen KI über mehrere Märkte hinweg ausrollt, ist das das Terrain, in dem Sie sich tatsächlich bewegen, keine Hypothese.

Warum Travel und Hospitality eine regulatorische Hot Zone ist

Reiseunternehmen sitzen auf zwei Dingen, die Regulierer am meisten interessieren: biometrische Daten (Gesichter, Fingerabdrücke, manchmal Gangbild oder Stimme) und dynamische Preisalgorithmen, die in Echtzeit auf den Geldbeutel der Verbraucher wirken. Dazu kommen grenzüberschreitende Datenflüsse (eine Buchung in Paris, verarbeitet in einem US-Rechenzentrum, für ein Hotel in Dubai) und schon haben Sie eine Compliance-Oberfläche, die die meisten anderen Branchen nicht haben.

Drei Regulierungsregime zählen 2026 am meisten: der EU AI Act, US-Gesetze auf Bundesstaatsebene zu Biometrie und algorithmischer Preisgestaltung sowie Chinas Regeln zur Algorithmus-Governance. Keines davon ist sich darüber einig, was als „riskant" gilt, und genau das ist das Problem.

Der EU AI Act: Risikostufen, keine pauschalen Verbote

Der EU AI Act (Verordnung (EU) 2024/1689, in Kraft seit August 2024, mit Pflichten, die bis 2026-2027 gestaffelt greifen) sortiert KI-Systeme in vier Risikostufen: inakzeptabel, hoch, begrenzt und minimal.

Inakzeptables Risiko (komplett verboten): biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen durch Strafverfolgungsbehörden ist mit engen Ausnahmen untersagt. Das trifft Hotels meist nicht direkt, gibt aber den Ton vor: biometrische Identifizierung wird als grundsätzlich sensibel behandelt.

Hohes Risiko: hier landet der Hotel-Check-in per Gesichtserkennung, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Personen so identifiziert oder verifiziert, dass Grundrechte berührt werden. Hochrisiko-Systeme erfordern vor dem Einsatz eine Konformitätsbewertung (eine formale Prüfung, ob das System EU-Sicherheits- und Grundrechtsstandards erfüllt), ein Risikomanagementsystem, menschliche Aufsicht, technische Dokumentation und die Registrierung in einer EU-Datenbank. Eine Hotelkette in Deutschland oder Spanien, die Gesichts-Check-in als mehr als ein Opt-in-Komfortfeature nutzt, muss das wahrscheinlich als hochriskant behandeln.

Begrenztes Risiko: Systeme wie Chatbots oder KI-generierte Inhalte brauchen Transparenz, im Kern also den Hinweis „Sie sprechen mit einer KI" oder die Kennzeichnung synthetischer Inhalte. Der KI-Concierge-Chatbot eines Hotels fällt hierunter: Offenlegungspflichten, keine Konformitätsbewertungen.

Minimales Risiko: die meisten dynamischen Pricing-Engines fallen, sofern sie nur Flug- oder Hotelpreise anhand von Nachfragesignalen anpassen, unter dem AI Act selbst in die minimale oder begrenzte Risikostufe, weil Preisoptimierung nicht als Hochrisiko-Anwendungsfall gelistet ist (anders als Biometrie, Beschäftigung oder Kreditscoring). Preisalgorithmen sind woanders aber nicht aus dem Schneider, siehe unten.

Der offizielle AI-Act-Erklärtext der Europäischen Kommission ist die beste kostenlose Einführung, wenn Sie den zugrundeliegenden Text in klarer Sprache brauchen.

US-Recht: ein Flickenteppich, kein Bundesstandard

Die USA haben kein einheitliches Bundesgesetz zu KI, das dem EU AI Act entspricht. Stattdessen kommen Biometrie- und Algorithmusregeln von einzelnen Bundesstaaten, und sie treffen Reiseunternehmen ungleich.

Der Biometric Information Privacy Act (BIPA) von Illinois, seit 2008 in Kraft und das am häufigsten beklagte Biometriegesetz der USA, verlangt eine schriftliche Einwilligung vor der Erhebung biometrischer Identifikatoren (einschließlich Gesichtsgeometrie) und setzt strenge Regeln zu Aufbewahrung und Löschung. Der gesetzliche Schadensersatz liegt bei 1.000 bis 5.000 Dollar pro Verstoß, und „pro Verstoß" wurde von Gerichten weit ausgelegt, was bedeutet, dass Sammelklagen gegen Unternehmen, die Gesichtserkennung ohne ordnungsgemäße Einwilligung nutzen, zu hohen Vergleichssummen führen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen. Hotels oder Airlines, die Gesichts-Check-in für Einwohner von Illinois einsetzen, sind auch von einer Zentrale außerhalb des Bundesstaats aus exponiert.

Texas und Washington haben ähnliche Biometrie-Datenschutzgesetze mit etwas anderen Durchsetzungsmechanismen (in Texas läuft die Durchsetzung über den Attorney General des Bundesstaats, nicht über Privatklagen).

Colorado, Kalifornien und eine wachsende Zahl von Bundesstaaten haben KI-spezifische Offenlegungspflichten draufgelegt, besonders rund um automatisierte Entscheidungen, die Verbraucher betreffen, was dynamische Preisgestaltung zunehmend ins Visier rückt. Auch die Federal Trade Commission (FTC) hat algorithmische Preisgestaltung als Interessengebiet markiert, insbesondere dort, wo personenbezogene Daten zur Festlegung individualisierter Preise genutzt werden (manchmal „surveillance pricing" genannt). Die FTC hat 2024 eine 6(b)-Untersuchungsanordnung an mehrere Unternehmen erlassen, um diese Praxis zu prüfen.

Unterm Strich: die dynamische Pricing-Engine einer Airline, die Browsing-Historie, Gerätetyp oder Loyalty-Status nutzt, um Tarife zu personalisieren, steht je nach Bundesstaat unter sehr unterschiedlicher Beobachtung und muss zunehmend eine Fairness-Prüfung auf FTC-Niveau überstehen, nicht nur eine Einstufung nach dem EU AI Act.

China: Algorithmus-Anmeldung vor dem Start

Chinas Rahmenwerk funktioniert anders: es baut auf Registrierung vor dem Einsatz statt auf nachgelagerte Risikostufen. Die Cyberspace Administration of China (CAC) verwaltet Regeln, nach denen Unternehmen für Empfehlungssysteme und generative KI vor dem öffentlichen Einsatz „Algorithmus-Anmeldungen" einreichen müssen, unter anderem nach den Bestimmungen zu algorithmischen Empfehlungen von 2022 und den Interim Measures für generative KI von 2023.

Für eine Hotelkette oder eine Online-Reiseagentur, die in China tätig ist, heißt das: bevor eine personalisierte Empfehlungs-Engine oder ein dynamisches Preissystem live geht, muss es wahrscheinlich mit Angaben zu Trainingsdaten und beabsichtigtem Zweck registriert werden. Für Gesichtserkennung gelten zudem separate Regeln nach Chinas Personal Information Protection Law (PIPL, 2021), das klare Einwilligung und eine Notwendigkeitsbegründung für die Erhebung biometrischer Daten verlangt, mit einer Logik ähnlich der DSGVO, aber durchgesetzt von einem anderen Regulierer.

Die praktische Erkenntnis: Chinas System verlagert Compliance nach vorn in ein Anmeldeverfahren, die EU verlagert sie nach vorn in eine Risikoklassifizierung, und die USA tun auf Bundesebene weder das eine noch das andere, setzen Sie dafür aber einem fragmentierten Prozessrisiko auf Bundesstaatsebene aus.

Ein einfacher Weg, Ihre Use Cases zu triagieren

Schicken Sie vor dem Einsatz jeden KI-Use-Case durch diese kurze Prüfung:

Use case: [e.g., hotel facial recognition check-in]
1. Does it process biometric data? → Y/N
2. Does it affect pricing or access based on personal data? → Y/N
3. Which markets does it touch? [EU / US states / China / other]
4. For each market, what's the trigger threshold?
   - EU: high-risk category? → conformity assessment required
   - US: which state law applies? → consent/disclosure required
   - China: algorithm filing required? → CAC registration
5. Documentation owner assigned? Y/N

Das ist keine juristische Compliance-Checkliste, sondern ein Governance-Triage-Tool, um zu markieren, welche Use Cases eine rechtliche Prüfung brauchen, bevor aus einem Pilot ein vollständiger Rollout wird.

Guardrails, die sich unabhängig von der Jurisdiktion lohnen

Selbst wo ein Use Case nach keinem einzelnen Gesetz strikt „hochriskant" ist, senken drei Guardrails Ihr Risiko überall:

Opt-in statt Standard bei Biometrie. Check-in per Gesichtserkennung sollte eine Alternative zum normalen Check-in sein, niemals der einzige Weg. Das allein entschärft die meisten BIPA-artigen Ansprüche und erfüllt die EU-Transparenzerwartungen.

Menschliche Prüfung bei Preisanomalien. Dynamische Pricing-Engines sollten extreme oder demografisch korrelierte Preisabweichungen markieren und an eine menschliche Prüfung weiterleiten. Das ist eine günstige Versicherung gegen EU-Fairnessprüfungen wie gegen FTC-Untersuchungen zu „surveillance pricing".

Datenminimierung und Aufbewahrungsgrenzen. Löschen Sie biometrische Templates nach dem Aufenthalt, nicht erst nach dem Ende der Loyalty-Beziehung. Die meisten Biometriegesetze (BIPA, PIPL, DSGVO-nahe EU-Regeln) sind sich in diesem Punkt einig, selbst wenn sie sich in fast allem anderen uneinig sind.

*(Hinweis: Prüfen Sie Verfügbarkeit und inhaltliche Passung des Videos, bevor Sie es mit Lernenden teilen; suchen Sie auf YouTube nach „EU AI Act explained 2025", falls sich dieser Link geändert hat.)*

Kernpunkte

• Der EU AI Act klassifiziert nach Risikostufe: Hotel-Check-in per Gesichtserkennung ist wahrscheinlich hochriskant (Konformitätsbewertung erforderlich), während die meisten dynamischen Preissysteme unter dem Act selbst minimal riskant sind.
• Die USA haben kein Bundesgesetz zu KI; das Risiko kommt aus Biometriegesetzen der Bundesstaaten wie dem BIPA in Illinois (Privatklagen, 1.000 bis 5.000 Dollar gesetzlicher Schadensersatz pro Verstoß) und aus der FTC-Beobachtung von „surveillance pricing".
• China verlangt für Empfehlungs- und generative KI-Systeme vor dem Einsatz eine Algorithmus-Anmeldung bei der Cyberspace Administration of China, dazu PIPL-Einwilligungsregeln für biometrische Daten.
• Dieselbe Technologie (Gesichtserkennung, dynamische Preisgestaltung) kann in einer Jurisdiktion hochriskant und in einer anderen kaum reguliert sein, Compliance muss also pro Use Case und Markt erfolgen, nicht über eine globale Policy.
• Bauen Sie Opt-in-Biometrie, menschliche Prüfung von Preisanomalien und kurze Aufbewahrungsfristen als Basis-Guardrails ein, die das Risiko in allen drei Regimen gleichzeitig senken.