Datenschutz im Hotel: Meldeschein, Gästedaten & DSGVO

Inhalt in Kürze

• Seit dem 1. Januar 2025 entfällt die Hotelmeldepflicht für deutsche Gäste – das Vierte Bürokratieentlastungsgesetz schafft den Meldeschein für Inländer ab.
• Für ausländische Gäste bleibt der Meldeschein Pflicht: Erhebung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Bundesmeldegesetz.
• Ausgefüllte Meldescheine sind genau ein Jahr aufzubewahren und danach binnen drei Monaten zu vernichten.
• Buchungsportale, Channel-Manager und Zahlungsdienstleister sind Auftragsverarbeiter und brauchen einen AVV.

Zum Jahreswechsel hat sich für Hotels und Pensionen eine spürbare Erleichterung ergeben – und gleichzeitig bleibt die Datenflut rund um Buchung, Bezahlung und Gästekommunikation groß. Wir sortieren, was sich geändert hat und was bleibt.

Die wichtigste Änderung 2025: weniger Meldescheine

Bis Ende 2024 musste jeder Hotelgast bei der Anreise einen besonderen Meldeschein ausfüllen. Mit dem Vierten Bürokratieentlastungsgesetz ist das für deutsche Staatsangehörige seit dem 1. Januar 2025 Geschichte. Für Inländer entfällt der Meldeschein vollständig.

Wichtig: Für ausländische Gäste bleibt alles beim Alten. Sie müssen weiterhin einen Meldeschein ausfüllen und unterschreiben, und Beherbergungsbetriebe müssen die Angaben mit dem Ausweisdokument abgleichen. Hintergrund ist § 29 ff. des Bundesmeldegesetzes (BMG).

Welche Gästedaten ein Hotel verarbeiten darf

Hinter jeder Übernachtung steckt eine Datenkette. Die zentralen Verarbeitungen und ihre Rechtsgrundlagen:

Der Meldeschein für ausländische Gäste ist ein Jahr vom Tag der Anreise aufzubewahren und anschließend innerhalb von drei Monaten zu vernichten. Das ist im Bundesmeldegesetz klar geregelt – eine längere Aufbewahrung ist nicht zulässig. Diese Datenminimierung ist auch ein Grundprinzip von Art. 5 DSGVO: Erheben Sie nur, was Sie brauchen, und löschen Sie, sobald der Zweck wegfällt.

Aus der Praxis

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern. Dabei geht es darum, nur das zu speichern, was man wirklich braucht.

Nils OehmichenDatenschutzberater bei frag.hugo

Buchungsportale und Technik: die unsichtbare Datenkette

Kaum ein Hotel bucht heute noch ausschließlich direkt. Buchungsportale, Channel-Manager, Property-Management-System und Zahlungsdienstleister verarbeiten Gästedaten in Ihrem Auftrag. Für jeden brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

1. Buchungsportale prüfen: Wer ist Verantwortlicher, wer Auftragsverarbeiter? Die Rollen unterscheiden sich je nach Portal-Modell.
2. Channel-Manager und PMS: Diese Systeme bündeln alle Gästedaten – AVV, Serverstandort und Zugriffsrechte klären.
3. Zahlungsdienstleister: Kreditkartendaten unterliegen zusätzlich dem PCI-DSS-Standard. Nie unverschlüsselt speichern.
4. Gäste-WLAN: Anmeldedaten und Surfverhalten nur erheben, soweit nötig – und transparent informieren.

Löschen nicht vergessen

Der häufigste Fehler im Hotel: Gästeprofile wachsen jahrelang, ohne dass je etwas gelöscht wird. Buchungsdaten ohne steuerliche Relevanz, alte Marketing-Einwilligungen, ausgelaufene Meldescheine – all das muss nach Zweckfortfall entfernt werden.

Ein schriftliches Löschkonzept ordnet jede Datenart einer Frist zu – und macht Sie bei einer Behördenprüfung handlungsfähig.

Ihr nächster Schritt

Wie wir Gastgewerbe-Betriebe begleiten, lesen Sie auf unserer Seite zum Datenschutz für Gastronomie und Hotellerie. Wie sicher Ihre Buchungs-Website ist, prüft der kostenlose Hugo Check in zwei Minuten. Die laufende Betreuung übernimmt unsere Plattform Hugo DSB.

Häufige Fragen (FAQ)

Müssen Hotels seit 2025 noch Meldescheine ausfüllen lassen?

Für deutsche Staatsangehörige nicht mehr – das Vierte Bürokratieentlastungsgesetz hat die Meldepflicht zum 1. Januar 2025 abgeschafft. Für ausländische Gäste bleibt der Meldeschein verpflichtend.

Wie lange muss ein Hotel den Meldeschein aufbewahren?

Der ausgefüllte Meldeschein ausländischer Gäste ist ein Jahr vom Tag der Anreise an aufzubewahren und danach innerhalb von drei Monaten zu vernichten. So regelt es das Bundesmeldegesetz.

Welche Rechtsgrundlage gilt für die Verarbeitung von Gästedaten?

Buchungs- und Vertragsdaten stützen sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag), der Meldeschein auf Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Newsletter und Marketing brauchen eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Braucht ein Hotel einen AVV mit Buchungsportalen?

Wenn das Portal Gästedaten im Auftrag des Hotels verarbeitet, ja. Channel-Manager, Property-Management-System und Zahlungsdienstleister sind regelmäßig Auftragsverarbeiter nach Art. 28 DSGVO und brauchen einen Auftragsverarbeitungsvertrag.

Dürfen Hotels Allergien oder Gesundheitswünsche speichern?

Nur mit ausdrücklicher Einwilligung des Gastes. Solche Angaben sind besondere Daten nach Art. 9 DSGVO und dürfen nicht ohne Anlass dauerhaft im Gästeprofil hinterlegt werden.