Ihre Daten, ihre Buchung: Datenschutzrecht entlang der Guest Journey

# Ihre Daten, ihre Buchung: Datenschutzrecht entlang der Guest Journey

Eine Reisende in Berlin bucht über eine OTA (Online Travel Agency) auf ihrem Handy ein Hotel in Miami. Innerhalb von Sekunden laufen ihr Name, ihre Passnummer und ihre Kartendaten durch mindestens vier Systeme und zwei Rechtsräume, jeder mit anderen Regeln dazu, was gespeichert werden darf, wie lange und wer haftet, wenn Daten abfließen. Sie sieht davon nichts. Das Compliance-Team ihres Hotels erlebt es jeden Tag.

Diese Lektion verfolgt diese eine Reservierung, um genau zu zeigen, wo GDPR, CCPA und PCI-DSS sich jeweils einen Teil der Gästedaten greifen und unterschiedliche, teils überlappende Pflichten auferlegen.

Die Reise: vier Stationen, vier Datenexpositionen

Station 1: OTA-Buchung. Der Gast gibt Name, E-Mail, Kartennummer, manchmal Passdaten ein (üblich bei internationalen Buchungen oder Pauschalangeboten). Die OTA (Expedia, Booking.com) wird nach europäischem Recht zum „Verantwortlichen“: der Stelle, die entscheidet, warum und wie personenbezogene Daten verarbeitet werden.

Station 2: Property Management System (PMS). Die OTA überträgt die Reservierung in das PMS des Hotels (Oracle Opera, Cloudbeds). Das Hotel hält nun dieselben personenbezogenen Daten unabhängig und ist für seine eigenen Gästedaten selbst Verantwortlicher: Check-in, Folio, Extraleistungen.

Station 3: Zahlungsabwicklung. Die Kartennummer zweigt in eine separate, engere regulatorische Spur ab: Zahlungskartendaten, geregelt durch PCI-DSS, unabhängig von Nationalität oder Ort.

Station 4: Loyalty-Datenbank. Nach dem Aufenthalt landen die Gästedaten im Loyalty-CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → (Marriott Bonvoy, Hilton Honors) für Marketing, Statusverfolgung und Personalisierung, oft über Jahre aufbewahrt.

Dieselben Daten, vier Systeme, drei verschiedene Rechtsregime. Nehmen wir sie einzeln durch.

GDPR: das EU-Datenschutzrecht

GDPR (General Data Protection Regulation) ist die EU-Verordnung für personenbezogene Daten aller Personen in der EU, unabhängig davon, wo das verarbeitende Unternehmen sitzt. Sie greift, weil unser Gast in Deutschland wohnt, auch wenn das Hotel in Miami steht. Diese extraterritoriale Reichweite ist das prägende Merkmal der GDPR und das, was Hospitality-Unternehmen am häufigsten unterschätzen.

Zentrale Pflichten mit Bezug zur Buchungskette:

• Rechtsgrundlage für die Verarbeitung. Das Hotel braucht einen rechtlichen Grund, um ihre Passnummer zu speichern (typischerweise „rechtliche Verpflichtung“, da viele Länder eine Erfassung der Gästeausweise vorschreiben) oder „Vertragserfüllung“ für die Buchung selbst.
• Datenminimierung. Nur erheben, was nötig ist. Eine Passnummer bei einem US-Inlandsgast mit Inlandsbuchung ist in der Regel nicht zu rechtfertigen; sie trotzdem abzufragen, schafft regulatorisches Risiko.
• Recht auf Löschung und Auskunft. Sie kann die Löschung ihrer Daten verlangen oder fragen, was gespeichert ist, und Hotel und OTA müssen antworten, typischerweise innerhalb eines Monats.
• Regeln für grenzüberschreitende Übermittlung. Ihre Daten von einem EU-Server der OTA in eine US-Loyalty-Datenbank zu übertragen, löst zusätzliche Schutzmaßnahmen aus (Standardvertragsklauseln, Angemessenheitsprüfungen).
• Meldung von Datenschutzverstößen. Ein Datenabfluss muss der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden.

Die Durchsetzung liegt bei den nationalen Datenschutzbehörden (DPAs), etwa der irischen Data Protection Commission, die viele US-Tech- und Reiseplattformen mit EU-Geschäft beaufsichtigt. Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bis zu 4 % des globalen Jahresumsatzes erreichen, eine Größe, die in der Vergangenheit zu realen Strafen in Millionenhöhe gegen große Plattformen geführt hat (siehe die Durchsetzungsübersicht des European Data Protection Board).

CCPA: Kaliforniens paralleles, aber anderes Regime

CCPA (California Consumer Privacy Act, geändert und erweitert durch den CPRA, California Privacy Rights Act) regelt personenbezogene Daten von Einwohnern Kaliforniens. Wäre unsere Reisende Kalifornierin statt Deutsche, wäre dies das mamaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßgebliche Gesetz, sobald Hotel oder OTA die Umsatz- oder Datenvolumenschwellen erreichen.

CCPA unterscheidet sich in wichtigen Punkten von der GDPR, die Profis nicht verwischen sollten:

• Es ist ein Opt-out-Modell für Datenverkauf und Weitergabe, nicht der Opt-in-Consent-Standard der GDPR. Das Hotel kann ihre Daten standardmäßig verarbeiten; sie muss ihre Rechte aktiv ausüben, um bestimmte Nutzungen zu stoppen (etwa den Verkauf an Drittanbieter-Marketer).
• Recht auf Auskunft und Löschung bestehen, dem Geist nach ähnlich der GDPR, aber die Verfahrensmechanik unterscheidet sich (verifizierte Verbraucheranfragen, bestimmte Antwortfristen).
• Kein einheitliches strenges Regime für grenzüberschreitende Übermittlung wie bei der GDPR; im Fokus stehen eher Offenlegung an Dritte und Datenverkauf, relevant, wenn das Hotel ihr Loyalty-Profil mit einem Ad-Tech-Partner teilt.
• Die Durchsetzung erfolgt durch die California Privacy Protection Agency (CPPA), eine eigens durch den CPRA geschaffene Behörde, getrennt von der allgemeiner zuständigen US Federal Trade Commission (FTC), die Datenschutzfragen national dort behandelt, wo kein einzelstaatliches Gesetz gilt.

Praktische Folge für eine Hotelkette: Dieselbe Loyalty-Datenbank braucht häufig zwei getrennte Consent- und Offenlegungs-Workflows, einen GDPR-konformen für EU-Gäste, einen CCPA-konformen für kalifornische Gäste, weil keines der beiden Gesetze das andere für sich als ausreichend betrachtet.

PCI-DSS: das eigene Regelwerk der Kartennummer

PCI-DSS (Payment Card Industry Data Security Standard) ist kein staatliches Recht. Es ist ein von der Branche vorgegebener Sicherheitsstandard, durchgesetzt über Verträge mit den Kartennetzwerken (Visa, Mastercard, Amex) und nicht über Datenschutzbehörden oder Generalstaatsanwälte. Jede Stelle, die Kartendaten speichert, verarbeitet oder überträgt, OTA, Hotel, Payment-Gateway, muss ihn einhalten.

Kernanforderungen mit Bezug zu unserer Buchung:

• Den CVV (Card Verification Value) nach der Autorisierung niemals speichern, Punkt.
• Kartendaten verschlüsseln, bei der Übertragung und im Ruhezustand.
• Zugriff beschränken auf Need-to-know-Basis (ein Mitarbeiter an der Rezeption sollte nicht die komplette Kartendatenbank abfragen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen).
• Regelmäßige Vulnerability-Scans und Penetrationstests aller Systeme, die Kartendaten berühren.
• Tokenisierung, also die echte Kartennummer wo möglich durch einen Ersatz-TokenTokenA token is the basic unit of text that language models process, often a word fragment, whole word, or punctuation mark rather than a single character.Vollständige Definition ansehen → ablösen, sodass PMS und Loyalty-Datenbank die echte Nummer nie halten müssen.

Die Einhaltung wird über Self-Assessment Questionnaires (SAQs) für kleinere Händler oder jährliche Audits durch einen Qualified Security Assessor (QSA) bei Verarbeitern mit hohem Volumen nachgewiesen. Verstöße bringen keine staatlichen Bußgelder; sie bringen Strafen der Kartennetzwerke, höhere Transaktionsgebühren und den möglichen Verlust der Möglichkeit, überhaupt Karten zu akzeptieren, eine existenzielle Bedrohung für jedes Hotel und jede OTA.

Das PCI Security Standards Council veröffentlicht den aktuellen Standard (PCI-DSS v4.0, stufenweise eingeführt bis 2025) und Selbstbewertungswerkzeuge kostenfrei.

Wo die drei Regime kollidieren

Die Passnummer ist Sache der GDPR (personenbezogene Daten, EU-Regeln zu Erforderlichkeit und Aufbewahrung). Die Kartennummer ist Sache von PCI-DSS (Sicherheitsstandard, keine Schwelle für personenbezogene Daten). E-Mail und Aufenthaltshistorie in der Loyalty-Datenbank kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sache der GDPR oder der CCPA sein, je nach Wohnsitz des Gastes, oft beider, wenn die Kette global tätig ist.

Ein einziger Datenabfluss auf PMS-Ebene, etwa eine unverschlüsselte, im Internet offen erreichbare Datenbank, kann alle drei Regime gleichzeitig auslösen: GDPR-Meldung an eine Datenschutzbehörde, CCPA-Benachrichtigung betroffener kalifornischer Einwohner und eine PCI-Forensikuntersuchung durch die Kartennetzwerke. Drei verschiedene Aufsichtsstellen, drei verschiedene Fristen, drei verschiedene Sanktionsstrukturen, ein Vorfall.

Praktische Erkenntnisse für Hospitality-Betreiber

Für einen compliance-bewussten Revenue Manager oder GMGMGross margin is the share of revenue left after subtracting the direct cost of producing goods or services, expressed as a percentage of revenue.Vollständige Definition ansehen → sieht das branchenspezifische Playbook so aus:

• Datenflüsse abbilden, nicht nur Datenfelder. Wissen Sie nicht nur, was Sie erheben, sondern in welchem System es landet und in welchem Rechtsraum dieses System steht.
• Früh tokenisieren. Je weniger Roh-Kartendaten Ihr PMS und CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → tatsächlich berühren, desto kleiner der Prüfumfang Ihres PCI-DSS-Audits.
• Consent nach Wohnsitz segmentieren. Ein einzelnes „Cookies akzeptieren“-Banner kann nicht gleichzeitig den Opt-in-Standard der GDPR und das Opt-out-Modell der CCPA erfüllen; globale Ketten betreiben parallele Consent-Logik.
• Pass- und Ausweisdaten als hochriskant behandeln, nicht als Routine. Sie werden oft wegen lokaler Meldegesetze erhoben, müssen aber selten Jahre später noch in einer Loyalty-Datenbank liegen.

🎬 [VIDEO: "GDPR Explained in Simple Terms" - youtube.com/results?search_query=gdpr+explained+simple+terms - eine Erklärung der Kernprinzipien der GDPR in einfacher Sprache, nützlich als Auffrischung, bevor man sie auf Buchungsdatenflüsse anwendet]

Die wichtigsten Erkenntnisse

• GDPR regelt personenbezogene Daten von Personen in der EU weltweit, verlangt eine Rechtsgrundlage und Datenminimierung und wird von nationalen Datenschutzbehörden mit Bußgeldern von bis zu 4 % des globalen Umsatzes durchgesetzt.
• CCPA/CPRA regelt Daten kalifornischer Einwohner nach einem Opt-out-Modell, wird von der CPPA durchgesetzt und unterscheidet sich verfahrensrechtlich von der GDPR, selbst wenn ähnliche Rechte geschützt werden.
• PCI-DSS ist ein Branchenstandard, kein Gesetz, gilt speziell für Kartendaten unabhängig von der Nationalität des Gastes und wird über Verträge der Kartennetzwerke durchgesetzt, nicht über Behörden.
• Eine einzige Reservierung leitet personenbezogene und Zahlungsdaten durch OTA, PMS und Loyalty-Systeme, die jeweils einem anderen Regime unterliegen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, sodass ein Vorfall mehrere Compliance-Pflichten gleichzeitig auslösen kann.
• Die praktische Lösung ist architektonisch: Kartendaten tokenisieren, die Aufbewahrung sensibler Felder wie Passnummern minimieren und eine nach Rechtsraum differenzierte Consent-Logik betreiben statt einer einzigen globalen Datenschutzerklärung.