Ein Löschkonzept für Gästedaten aufbauen, das tatsächlich durchgesetzt wird

# Ein Löschkonzept für Gästedaten aufbauen, das tatsächlich durchgesetzt wird

Ein Gast checkt in einem Haus in Lissabon aus, und sein Buchungsdatensatz, sein Payment TokenTokenA token is the basic unit of text that language models process, often a word fragment, whole word, or punctuation mark rather than a single character.Vollständige Definition ansehen →, seine Ernährungspräferenzen und seine Treuepunkte liegen in sechs verschiedenen Systemen, von denen jedes eine andere Vorstellung davon hat, wann diese Daten sterben sollen. Das ist kein hypothetischer Fall. Es ist der Alltag jeder Mehrmarken-Hotelgruppe, die ein zentrales Reservierungssystem, ein Property Management System (PMS) in jedem Hotel, ein CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → für das Loyalty-Programm und einen Data LakeData LakeA data lake is a centralized repository that stores large volumes of raw data in its native format, from structured tables to unstructured files, until needed.Vollständige Definition ansehen → für Analytics betreibt. Die Aufbewahrungsuhr startet in jedem System zu einem anderen Zeitpunkt, und fast niemand setzt sie durch.

Der zentrale Konflikt: fünf Jahre gegen zwei

Stellen Sie sich eine globale Hotelgruppe vor, nennen wir sie „Meridian Hotels“, mit Luxus-, Midscale- und Budgetmarken unter einem Loyalty-Programm.

Das Loyalty-Team will fünf Jahre Aufenthaltshistorie pro Gast. Sein Argument: Um vorherzusagen, wer ein Suite-Upgrade oder eine Flasche Wein zum Geburtstag verdient, braucht man Verhaltensdaten über mehrere Jahre. Das ist ein legitimer Business Case, keine Eitelkeit.

Die Datenschutzaufsicht verweist derweil auf die Zweckbindung. Nach der EU-Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten „nicht länger als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ gespeichert werden (Artikel 5 Abs. 1 lit. e). Ein Gast, der 2022 einmal übernachtet hat und danach nie wieder mit dem Loyalty-Programm interagiert hat, darf berechtigterweise erwarten, dass seine Daten nicht unbegrenzt liegen bleiben. Mehrere europäische Datenschutzbehörden, darunter die französische CNIL (Commission Nationale de l'Informatique et des Libertés), haben Hinweise veröffentlicht, wonach inaktive Kundendaten nach etwa zwei bis drei Jahren Inaktivität gelöscht oder archiviert werden sollten, sofern keine spezifische Rechtsgrundlage für eine längere Aufbewahrung besteht (CNIL-Leitlinien zur Aufbewahrung).

Beide Seiten haben recht. Die Lösung ist keine einzelne Zahl. Sie ist ein gestuftes Löschkonzept, das an den Zweck gekoppelt ist, nicht an die Bequemlichkeit.

Schritt 1: Daten nach Zweck kartieren, nicht nach System

Der Fehler, den die meisten Hotelgruppen machen, ist, die Aufbewahrung auf Systemebene festzulegen („alles im CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → fünf Jahre behalten“). Aufsichtsbehörden denken nicht in Systemen. Sie denken in Zwecken.

Ein praktikables Konzept für Meridian Hotels sieht so aus:

| Datenkategorie | Zweck | Auslöser der Frist | Aufbewahrungsdauer (Schätzung, illustrativ) |

|---|---|---|---|

| Aktives Loyalty-Profil | Personalisierung, Statusvorteile | Letzte qualifizierende Aktivität | 3 Jahre Inaktivität, dann Archivierung/Löschung |

| Aufenthaltshistorie (Folio, Zimmerkategorie, Umsatz) | Loyalty-Analytics, Forecasting | Check-out-Datum | 5 Jahre, aber ab Jahr 2 pseudonymisiert |

| Zahlungskartendaten | Transaktionsabwicklung | Transaktionsdatum | Nach PCI DSS, typischerweise 12 bis 18 Monate, außererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → für Chargebacks nötig |

| Ausweis-/Passscans von Gästen | Gesetzliche Pflicht (Meldegesetze für Hotels) | Check-in-Datum | Wie lokal vorgeschrieben, oft 1 bis 3 Jahre |

| Nachweis der Marketing-Einwilligung | Nachweis des Opt-ins für E-Mail/SMS | Einwilligung erteilt/widerrufen | Bis zum Widerruf, plus kurzes Beweiszeitfenster |

| Videoüberwachung/Lobby-Aufnahmen | Sicherheit | Aufnahmedatum | Typischerweise 30 bis 90 Tage, außererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → bei Vorfallkennzeichnung |

Der entscheidende Schritt: Die Aufenthaltshistorie wird fünf Jahre aufbewahrt, aber ab Jahr zwei pseudonymisiert (befreit von direkten Identifikatoren wie Name und E-Mail). Das erfüllt den Analytics-Bedarf des Loyalty-Teams (aggregierte Daten und Trends bleiben erhalten) und zugleich den Minimierungsgrundsatz der Aufsicht (die Daten sind nach der Pseudonymisierung nicht mehr in gleicher Weise „personenbezogene Daten“ eines identifizierbaren Gastes). Die DSGVO behandelt pseudonymisierte Daten weiterhin als personenbezogen, wenn eine Re-Identifizierung möglich ist. Das funktioniert also nur, wenn der Re-Identifizierungsschlüssel wirklich getrennt und zugriffsbeschränkt ist, nicht bloß kosmetisch gehasht.

Schritt 2: Das Konzept an echtem Recht verankern, nicht an internen Vorlieben

Für eine Hotelgruppe, die in den USA und in Europa tätig ist, sind unter anderem diese Regelwerke relevant:

• DSGVO (EU, seit 2018): Zweckbindung, Speicherbegrenzung und das Recht auf Löschung (Artikel 17). Durchgesetzt von den nationalen Aufsichtsbehörden; Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bei den schwersten Verstößen bis zu 4 % des weltweiten Jahresumsatzes erreichen.
• California Consumer Privacy Act (CCPA) in der Fassung des California Privacy Rights Act (CPRA): gibt Gästen aus Kalifornien das Recht, Löschung zu verlangen, und verpflichtet Unternehmen, Aufbewahrungsfristen je Kategorie personenbezogener Daten offenzulegen. Durchgesetzt von der California Privacy Protection Agency (CPPA).
• PCI DSS (Payment Card Industry Data Security Standard): kein Gesetz, sondern ein vertraglicher Sicherheitsstandard der Kartennetzwerke, der verlangt, dass gespeicherte Karteninhaberdaten auf das Notwendige beschränkt und gelöscht werden, sobald sie nicht mehr gebraucht werden.
• Lokale Meldegesetze für Hotels (in Europa verbreitet, z. B. die italienischen „schedina“-Anforderungen, die deutschen Meldepflichten): Diese kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen die Aufbewahrung von Ausweisdaten für einen bestimmten Zeitraum *vorschreiben* und schaffen damit eine gesetzliche Untergrenze, die dem Reflex „schnell alles löschen“ vorgeht.

Das Konzept muss eine *Obergrenze* (Aufsicht: nicht zu lange aufbewahren) mit einer *Untergrenze* (lokales Recht: mindestens so lange für Melde- oder Steuerunterlagen) in Einklang bringen. Aufbewahrungspolitik ist die Aushandlung zwischen diesen beiden Linien, Kategorie für Kategorie, nicht eine pauschale Zahl.

Schritt 3: Für Durchsetzung konstruieren, nicht nur für Dokumentation

Ein Löschkonzept, das als PDF auf einem Compliance-SharePoint lebt, ist kein Löschkonzept. Es ist ein Haftungsdokument, das belegt, dass Sie die Regel kannten und sie nicht befolgt haben.

Durchsetzung erfordert:

1. Ein führendes System für Aufbewahrungs-Metadaten. Jeder Gästedatensatz braucht ein Feld „Aufbewahrungsuhr“: Kategorie, Auslösedatum, berechnetes Ablaufdatum. Das darf nicht nur im Kopf einer Person existieren.

2. Automatisierte Lösch- oder Archivierungsjobs, keine manuelle Durchsicht. Ein einfacher nächtlicher Batch-Job veranschaulicht die Logik:

-- Illustrativ: Loyalty-Profile zur Pseudonymisierung markieren
-- nach 2 Jahren Inaktivität
SELECT guest_id
FROM loyalty_profiles
WHERE last_qualifying_activity < CURRENT_DATE - INTERVAL '2 years'
  AND pseudonymized_flag = FALSE;

-- Danach Pseudonymisierungsroutine ausführen, Name/E-Mail/Telefon ersetzen
-- durch ein umkehrbares Token in einem separaten, zugriffsbeschränkten Vault

3. Systemübergreifender Abgleich. Ein Gast, der im CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → sein Recht auf Löschung ausübt, muss auch aus der Marketing-Plattform, dem Data LakeData LakeA data lake is a centralized repository that stores large volumes of raw data in its native format, from structured tables to unstructured files, until needed.Vollständige Definition ansehen → und bei jedem Drittdienstleister entfernt werden (eine häufige Lücke: Hotelgruppen vergessen Anbieter wie E-Mail-Service-Provider oder Review-Management-Tools, die Kopien halten).

4. Ein vierteljährliches Aufbewahrungs-Audit. Ziehen Sie Stichproben über alle Kategorien und prüfen Sie, ob das berechnete Ablaufdatum dem entspricht, was im System tatsächlich passiert ist. Hier wird aus Governance ein prüfbares Control statt eines Policy-Statements.

Schritt 4: Die Audit-Checkliste aufbauen

Ein praktisches, wiederkehrendes Audit für die Gästedaten einer Hotelgruppe sollte prüfen:

• Abdeckung: Lässt sich jede Datenkategorie in der Aufbewahrungstabelle einem tatsächlichen technischen Control zuordnen (Löschjob, Archivierungsjob, Zugriffsbeschränkung)?
• Genauigkeit des Auslösers: Startet die „Uhr“ beim richtigen Ereignis (Check-out, letzte Aktivität, Einwilligungsdatum) und nicht versehentlich beim Ingestion-Datum?
• Weitergabe an Dienstleister: Legen die Auftragsverarbeitungsverträge (DPAs) mit Dritten (CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →-Anbieter, Revenue-Management-Systeme, OTAs wie Booking.com oder Expedia als gemeinsame oder getrennte Verantwortliche) passende Aufbewahrungs- und Löschpflichten fest?
• Bearbeitungszeit von Löschanfragen: Die DSGVO erwartet, dass Löschanfragen „unverzüglich“ bearbeitet werden, allgemein ausgelegt als innerhalb eines Monats. Messen Sie die tatsächliche Durchlaufzeit.
• Backup- und Disaster-Recovery-Kopien: Aus der Produktion gelöscht heißt nicht aus den Backups gelöscht. Definieren Sie ein maximales Backup-Zeitfenster (als operative Schätzung üblicherweise 30 bis 90 Tage), nach dem auch Backups auslaufen.
• Ausnahmen protokollieren: Jeder Datensatz, der über das Konzept hinaus aufbewahrt wird (z. B. wegen eines Litigation Hold), braucht eine dokumentierte, zeitlich befristete Begründung, keine stillschweigend unbefristete Aufbewahrung.

🎬 [VIDEO: "GDPR Explained: The Right to Erasure" - youtube.com/results?search_query=gdpr+right+to+erasure+explained - ein kurzer Erklärfilm dazu, wie Löschanfragen in der Praxis funktionieren, nützlicher Hintergrund für den obigen Audit-Schritt]

Der durchgerechnete Abgleich

Zurück zu Meridian Hotels: Die finale Policy lautet weder „fünf Jahre“ noch „zwei Jahre“. Sie lautet:

• Jahr 0 bis 2: vollständig identifizierbare Aufenthaltshistorie, aktiver Loyalty-Use-Case, vollem Löschrecht unterliegend.
• Jahr 2 bis 5: pseudonymisierte Aufenthaltshistorie ausschließlich für aggregiertes Forecasting, Re-Identifizierungsschlüssel in einem separaten Vault mit beschränktem Zugriff, protokolliert und vierteljährlich überprüft.
• Jahr 5: vollständige Löschung, einschließlich des Re-Identifizierungsschlüssels.

Damit erhält das Loyalty-Team seinen fünfjährigen analytischen Horizont, und die Aufsicht bekommt eine echte, prüfbare Reduktion des Risikos personenbezogener Daten ab Jahr zwei. Beide Zahlen überleben. Keine Seite „gewinnt“ die ganze Auseinandersetzung, was meist das Kennzeichen eines funktionierenden Governance-Kompromisses ist.

Key Takeaways

• Löschkonzepte müssen nach Zweck und Rechtsgrundlage aufgebaut werden, nicht nach IT-System; ein einzelner Gästedatensatz kann gleichzeitig mehrere unterschiedliche Aufbewahrungsuhren tragen.
• Bringen Sie konkurrierende Anforderungen (Loyalty will länger, Aufsicht will kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ürzer) über gestufte Controls zusammen, etwa Pseudonymisierung zu einem Zwischenzeitpunkt, statt sich auf eine Zahl festzulegen.
• Verankern Sie jede Aufbewahrungsfrist an einer benannten Quelle: dem Grundsatz der Speicherbegrenzung der DSGVO, den Offenlegungspflichten von CCPA/CPRA, PCI DSS oder lokalem Hotelmelderecht, nie an interner Gewohnheit.
• Eine Policy zählt erst dann als Governance, wenn sie technisch durchgesetzt wird: automatisierte Löschjobs, Felder für Aufbewahrungs-Metadaten und DPAs mit Dienstleistern, die dasselbe Konzept spiegeln.
• Führen Sie ein wiederkehrendes Audit durch (vierteljährlich ist ein vernünftiger Rhythmus) und prüfen Sie Genauigkeit der Auslöser, Weitergabe an Dienstleister, Backup-Aufbewahrung und Durchlaufzeit von Löschanfragen, denn dort verstecken sich die echten Lücken.