Gästedaten & DSGVO: So bleibt dein Reservierungssystem rechtssicher

Die DSGVO gilt nicht erst ab Konzerngröße: Schon das Reservierungsbuch mit Namen und Handynummern ist Datenverarbeitung. Das ist kein Grund zur Panik — für Reservierungen ist die Rechtslage erfreulich klar, wenn ein paar Grundregeln sitzen. Und sie verlangt nichts Unmögliches: Wer weiß, welche Daten er wofür erhebt, hat den größten Teil schon geschafft.

Dieser Guide beantwortet die häufigsten Fragen: Welche Daten fallen an? Auf welcher Grundlage darfst du sie verarbeiten? Wie lange darfst du sie behalten? Und woran erkennst du, ob dein Reservierungssystem seinen Teil sauber erledigt? Am Ende steht eine Checkliste mit fünf Punkten, die du bei jedem Anbieter in wenigen Minuten prüfen kannst.

Welche Daten fallen bei Reservierungen an?

Bei einer Tischreservierung fallen regelmäßig personenbezogene Daten an: Name, E-Mail-Adresse oder Telefonnummer, Datum, Uhrzeit und Personenzahl — oft ergänzt um Anlass, Sonderwünsche oder Hinweise auf Allergien. Auch interne Notizen und Gastprofile mit Besuchshistorie zählen dazu. Bei Events kommen je nach Angebot Teilnehmerlisten und Zahlungsinformationen hinzu.

Es gilt der Grundsatz der Datenminimierung: Erhebe, was du für die Reservierung brauchst — und mach optionale Angaben auch als optional kenntlich. Eine Pflicht-Telefonnummer plus Pflicht-Adresse plus Geburtsdatum für einen Zweiertisch wäre schwer zu begründen. Ein angenehmer Nebeneffekt: Kürzere Formulare werden häufiger ausgefüllt — Datenminimierung und Conversion sind hier ausnahmsweise Verbündete.

Rechtsgrundlage: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO

Für die Verarbeitung von Reservierungsdaten brauchst du keine gesonderte Einwilligung: Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — die Daten sind erforderlich, um die Reservierung durchzuführen. Dazu gehören auch Bestätigungs- und Erinnerungs-Nachrichten zur konkreten Reservierung.

Die Grenze verläuft beim Zweck: Alles, was der Durchführung der Reservierung dient, ist abgedeckt. Alles darüber hinaus — etwa Werbung — braucht eine eigene Rechtsgrundlage. Ein Beispiel: Die Erinnerung an den morgigen Tisch ist Vertragserfüllung, die Einladung zum Themenabend nächste Woche ist Werbung. Dazu gleich mehr.

Aufbewahrung und Löschung: Daten nicht ewig behalten

Reservierungsdaten dürfen so lange gespeichert werden, wie sie für den Zweck erforderlich sind — danach werden sie gelöscht oder anonymisiert. Ein Löschkonzept legt fest, welche Daten nach welcher Frist automatisch wegfallen, statt sich auf „irgendwann mal aufräumen" zu verlassen. Wie lang die Fristen sind, entscheidest du dokumentiert selbst — wichtig ist, dass es sie gibt und dass sie eingehalten werden.

Denk auch an Sonderfälle: Exporte für den Systemwechsel löschst du nach dem Import, und Gastprofile ohne Aktivität solltest du regelmäßig ausdünnen. Wie ein sauberer Datenumzug abläuft, zeigt exemplarisch unsere Wechsel-Checkliste.

Beispiel Systemwechsel: Gästedaten sauber umziehen

Marketing nur mit eigener Rechtsgrundlage

Aus einer Reservierung folgt kein Freibrief für Werbung: Newsletter und Marketing-Mails brauchen eine eigene Rechtsgrundlage — im Regelfall die Einwilligung des Gastes, sauber dokumentiert und am besten per Double-Opt-in bestätigt. Das gilt unabhängig davon, wie die Adresse ins System kam — auch Stammgäste haben nie pauschal in Werbung eingewilligt.

Praktisch heißt das: eine separate, nicht vorangekreuzte Checkbox im Buchungsprozess, ein Bestätigungslink per E-Mail und eine Abmeldemöglichkeit in jeder Nachricht. Reservierungsbestätigungen und Erinnerungen bleiben davon unberührt — sie gehören zur Vertragserfüllung.

AVV und Verantwortlichkeit einfach erklärt

Nutzt du ein Reservierungssystem, verarbeitet dessen Anbieter Gästedaten in deinem Auftrag — dafür braucht es einen Auftragsverarbeitungsvertrag (AVV). Verantwortlicher für die Daten bleibst du als Betrieb; der Systemanbieter ist dein Auftragsverarbeiter und darf die Daten nur nach deiner Weisung verwenden. Der AVV regelt unter anderem Sicherheitsmaßnahmen, Unterauftragnehmer und was am Vertragsende mit den Daten passiert.

Aufpassen solltest du bei Plattformen, die Gästedaten auch für eigene Zwecke nutzen — etwa fürs eigene Marketing an „ihre" Nutzer. Dann liegt schnell eine gemeinsame Verantwortlichkeit mit zusätzlichen Pflichten vor. Bei einem reinen System-Anbieter, der Daten ausschließlich für dich verarbeitet, bleibt die Lage einfach.

DSGVO als Standortvorteil

Datenschutz ist auch ein Verkaufsargument: „Ihre Daten liegen auf Servern in Deutschland" beantwortet eine Frage, die sich immer mehr Gäste stellen. VidiReserve ist genau so gebaut — Server in Deutschland, AVV, Double-Opt-in fürs Marketing und Datenexport inklusive.

Auch hier gilt: Dieser Guide ersetzt keine Rechtsberatung. Bei konkreten Fragen zu deinem Betrieb hilft dir ein Datenschutzbeauftragter oder eine spezialisierte Kanzlei weiter. Die Grundlagen aus diesem Guide reichen aber, um die richtigen Fragen zu stellen — an dein System und an jeden Anbieter.

Mehr zur Reservierungssoftware mit Servern in Deutschland