In der Schweiz hat die Überarbeitung des Bundesgesetzes über den Datenschutz (DSG) die Verpflichtungen der Unternehmen, die personenbezogene Daten erheben und verarbeiten, geändert. Der Hotelsektor, in dem jede Buchung einen Datenfluss (Identität, Kontaktdaten, Aufenthaltspräferenzen, Zahlungsmethoden) generiert, ist direkt betroffen.
Das DSG regelt nun diese Verarbeitungen mit Anforderungen an Transparenz, Verhältnismäßigkeit und Sicherheit, die sowohl die Rezeption eines kleinen Betriebs als auch die IT-Systeme einer internationalen Kette betreffen.
DSG und Hoteldaten: Was das Gesetz für die Bearbeitung von Buchungen ändert
Das DSG verpflichtet jedes Hotel, einen klaren Zweck für jede erhobene Daten festzulegen. Eine E-Mail-Adresse, die zur Bestätigung einer Buchung gesammelt wird, darf nicht ohne eine separate rechtliche Grundlage für eine Werbekampagne wiederverwendet werden. Dieses Zweckprinzip zwingt die Betriebe dazu, ihre Formulare, ihre Verwaltungssoftware (PMS) und ihre internen Praktiken zu überdenken.
Das Verhältnismäßigkeitsprinzip verbietet es, mehr Informationen zu sammeln, als notwendig ist. Die Anforderung einer Kopie des Reisepasses für einen Aufenthalt von einer Nacht ohne lokale gesetzliche Verpflichtung stellt einen übermäßigen Eingriff im Sinne des DSG dar. Das Hotel muss in der Lage sein, jedes Feld seines Buchungsformulars zu rechtfertigen.
Das Gesetz sieht auch ein Zugangsrecht für den Kunden vor: Jede Person kann anfragen, welche Daten ein Hotel über sie hat, zu welchem Zweck und an wen sie weitergegeben wurden. Das Hotel hat eine Frist von dreißig Tagen, um zu antworten. In der Praxis verfügen nur wenige Hotels heute über einen formalisierten internen Prozess zur Bearbeitung solcher Anfragen, was ein Risiko für die Nichteinhaltung schafft. Finden Sie Informationen auf Tout Mon Monde, die diese Mechanismen im täglichen Hotelbetrieb detailliert beschreiben.
Kette von digitalen Dienstleistern: Risiken von Datenlecks kartieren
Ein Hotel arbeitet fast nie allein mit den Daten seiner Kunden. Zwischen dem PMS, der Online-Buchungsplattform, dem Channel Manager, der die Verfügbarkeiten synchronisiert, und dem Zahlungsanbieter hat jedes Glied der digitalen Kette Zugang zu einem Teil der Aufenthaltsdaten. Das DSG macht das Hotel verantwortlich dafür, zu überprüfen, dass seine Dienstleister ein angemessenes Sicherheitsniveau gewährleisten.
Die Kartierung dieser Dienstleister ist ein Schritt, den viele Betriebe vernachlässigen. Ein Risikomanagementdokument, das sich mit dieser Kette befasst, empfiehlt, jeden Dienstleister aufzulisten, die jeweiligen Verantwortlichkeiten zu klären und die angewandten Sicherheitsmaßnahmen zu überprüfen. Ohne diese Kartierung weiß das Hotel nicht genau, wo die Daten seiner Kunden fließen und wer darauf Zugriff hat.
Der Fall der Buchungsplattformen
Buchungsplattformen sind zu einem bevorzugten Ziel für Cyberkriminelle geworden. Jüngste Vorfälle in der Schweiz haben gezeigt, dass Schwachstellen bei diesen Vermittlern die Aufenthaltsdaten der Kunden gefährden können. Betrüger nutzen diese Informationen dann, um gefälschte Nachrichten an Reisende zu senden, sich als Hotel oder Plattform auszugeben, um Bankdaten zu erlangen.
Das Hotel hat keine direkte Kontrolle über die IT-Sicherheit der Plattform. Sein Handlungsspielraum liegt in der vertraglichen Wahl: Schnelle Benachrichtigungsklauseln im Falle einer Verletzung verlangen, die Sicherheitszertifikate des Partners überprüfen und das Volumen der geteilten Daten auf das unbedingt Notwendige für die Transaktion beschränken.
Menschenfehler und gezieltes Phishing: Die Lücke, die die Technologie nicht schließt
Die effektivsten Angriffe auf Hotels erfolgen nicht über ausgeklügelte Softwareanfälligkeiten. Betrüger senden gefälschte Anfragen zu einem Aufenthalt, begleitet von einem präparierten Link. Wenn ein Empfangsmitarbeiter darauf klickt, kann sich Spyware installieren und Zugang zu den internen Systemen des Betriebs erhalten.
Dieses Szenario nutzt die tägliche Routine aus: Ein Empfangsmitarbeiter bearbeitet täglich Dutzende von Anfragen und hat nicht immer die notwendigen Reflexe, um eine betrügerische E-Mail zu erkennen. Technische Maßnahmen (Antivirus, Firewalls) reichen nicht aus, wenn das Personal nicht geschult ist. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) empfiehlt insbesondere:
- Die Zwei-Faktor-Authentifizierung für alle Zugriffe auf Systeme, die Kundendaten enthalten, einschließlich beruflicher E-Mail-Postfächer
- Regelmäßige Schulungen des Personals, die sich auf die Erkennung von phishingspezifischen Versuchen im Hotelbereich konzentrieren
- Ein klares internes Meldeverfahren: Jede verdächtige E-Mail muss vor jeglicher Aktion an einen identifizierten Ansprechpartner weitergeleitet werden
Die Schulung beschränkt sich nicht auf ein jährliches Modul. Die Phishing-Techniken entwickeln sich weiter, und die gegen Hotels verwendeten Szenarien werden zunehmend personalisiert, mit Verweisen auf echte Buchungen aus kompromittierten Datenbanken.
DSG und künstliche Intelligenz im Hotelwesen: Ein noch unklarer Rahmen
Einige Hotels nutzen bereits KI-Tools, um das Kundenerlebnis zu personalisieren, die Preise in Echtzeit anzupassen oder die Antworten auf Buchungsanfragen zu automatisieren. Das DSG enthält keine spezifischen Bestimmungen zur KI, aber die Prinzipien von Zweck, Verhältnismäßigkeit und Transparenz bleiben vollumfänglich anwendbar.
Ein Chatbot, der die Essenspräferenzen eines Kunden sammelt, um seinen Aufenthalt vorzubereiten, muss diesen über die Verwendung dieser Daten informieren. Wenn ein Algorithmus zur dynamischen Preisgestaltung die Aufenthaltsgeschichte eines Stammkunden nutzt, stellt diese Nutzung eine Verarbeitung personenbezogener Daten dar, die dem DSG unterliegt.
Die Grenzen dieses Rahmens zeigen sich, wenn das KI-Tool von einem externen Dienstleister bereitgestellt wird, dessen Server sich außerhalb der Schweiz befinden. Die Frage des Datenexports ins Ausland, die durch das DSG geregelt ist, fügt eine Komplexitätsebene hinzu, die die meisten kleinen Betriebe nicht eigenständig bewerten können.
DSG-Konformität: Wo anfangen
Ein Hotel, das sich konform stellen möchte, sollte seine Vorgehensweise um drei konkrete Achsen strukturieren:
- Ein Verzeichnis der Datenverarbeitungen erstellen, in dem jede Kategorie der gesammelten Daten, ihr Zweck und ihre Aufbewahrungsdauer aufgeführt sind
- Die Verträge mit den digitalen Dienstleistern prüfen, um dort Datenschutzklauseln gemäß DSG zu integrieren
- Eine interne Ansprechperson benennen, die für die Beantwortung von Zugangsanforderungen der Kunden und die Koordination des Incident Managements verantwortlich ist
Die Einhaltung des DSG ist kein fester Zustand. Jeder neue Dienstleister, jedes neue Tool oder jede Änderung interner Prozesse kann eine neue Datenverarbeitung schaffen, die einer Bewertung bedarf. Hotels, die diese Logik in ihr tägliches Management integrieren, anstatt sie als einmaliges Projekt zu behandeln, reduzieren nachhaltig ihre Risikobelastung.
