DSGVO in Gastronomie und Salon: Was Sie mit Gästedaten wirklich tun müssen

Schlagen Sie Ihr Reservierungsbuch auf. Dort steht ein Name, eine Handynummer, eine Personenzahl und vermutlich eine Notiz wie "Nussallergie" oder "will nicht am Fenster sitzen". Diese letzte Zeile ist eine Notiz über einen Menschen, gespeichert von Ihrem Betrieb, und damit ein personenbezogenes Datum mit Regeln daran.

Die meisten Gastronomen und Saloninhaber denken bei DSGVO an ein Cookie-Banner. Das Cookie-Banner ist der kleinste Teil. Was im Betrieb tatsächlich zählt, sind die Gästeliste, der Newsletter-Verteiler und die Frage, wie lange beides gespeichert bleibt. Die gute Nachricht: Das praktische Minimum für einen kleinen Betrieb ist überschaubar und kostet fast nichts. Die schlechte: Der häufigste Fehler, eine Reservierung als Werbeerlaubnis zu behandeln, ist genau der, über den bei Aufsichtsbehörden Beschwerden eingehen.

Dieser Artikel beschreibt die Systematik in verständlicher Sprache. Er ist keine Rechtsberatung, und die Auslegung für die Gastronomie unterscheidet sich zwischen Deutschland, Österreich und der Schweiz teils erheblich. Klären Sie die Details mit Ihrer Landesdatenschutzbehörde, Ihrer IHK oder einem Datenschutzbeauftragten, bevor Sie etwas festschreiben.

Reservierungsdaten und Werbedaten sind zwei verschiedene Dinge

An dieser Unterscheidung hängt alles Weitere, deshalb kommt sie zuerst.

Wenn jemand einen Tisch für Freitag um acht reserviert, brauchen Sie einen Namen und einen Weg, die Person zu erreichen. Dafür müssen Sie nicht um Erlaubnis fragen. Diese Verarbeitung ist in der Regel gerechtfertigt, weil sie zur Erfüllung genau der Leistung erforderlich ist, die der Gast angefragt hat, oder weil Sie ein berechtigtes Interesse an einem funktionierenden Reservierungsbetrieb haben. Niemand muss ein Kästchen ankreuzen, um einen Tisch zu bekommen. Ein System, das das verlangt, hat die Rechtslage missverstanden und baut ohne Grund eine Hürde ein.

Werbung ist ein eigener Zweck mit eigener Rechtsgrundlage. Derselben Person eine Mail zur Frühlingskarte zu schicken, ein Geburtstagsangebot oder drei Monate später eine "Wir vermissen Sie"-Nachricht, gehört nicht mehr zur Freitagsreservierung. Dafür braucht es eine eigene Grundlage, und bei elektronischer Werbung an Verbraucher läuft das in der Praxis fast immer auf eine ausdrückliche Einwilligung hinaus. In Deutschland kommt hier zusätzlich das UWG ins Spiel, das bei Werbe-E-Mails und erst recht bei Anrufen und SMS streng ist.

Es gibt eine enge Ausnahme für Bestandskunden, die es unter bestimmten Bedingungen erlaubt, per E-Mail Werbung für ähnliche eigene Leistungen zu schicken, wenn die Adresse beim Verkauf erhoben wurde und bei jeder Nachricht klar widersprochen werden kann. Wie eng diese Ausnahme ist und ob sie in Ihrem Fall greift, ist eine Frage für eine kurze Rückfrage bei der Behörde und nicht für eine Schätzung. Für SMS und Messenger gelten typischerweise noch strengere Maßstäbe.

Wie eine Einwilligung aussehen muss

Wenn Sie sich auf eine Einwilligung stützen, ist die DSGVO ziemlich genau darin, was zählt. Die meisten Wege, auf denen Betriebe Einwilligungen einsammeln, erfüllen das nicht.

Eine Einwilligung muss freiwillig sein. Der Gast muss ablehnen können und trotzdem seinen Tisch bekommen. Ein Häkchen, ohne das der Reservierungsbutton nicht funktioniert, ist keine Einwilligung. Sie muss für einen bestimmten Zweck erteilt werden, ein pauschales "Ich akzeptiere die AGB" mit eingebauter Werbeerlaubnis trägt nicht. Sie muss informiert sein, der Gast muss also wissen, wer ihn worüber und auf welchem Kanal kontaktiert. Und sie muss eine aktive Handlung sein, vorangekreuzte Kästchen sind seit Jahren erledigt.

Dazu kommt die Nachweispflicht. Sie müssen belegen können, wofür jemand wann und mit welchem Wortlaut eingewilligt hat. Ein mündliches "Ja klar, setzen Sie mich auf die Liste" am Empfang ist rechtlich denkbar, aber ein halbes Jahr später bei einer Beschwerde praktisch wertlos. Erfassen Sie es dort, wo eine Spur bleibt.

Der Widerruf muss so einfach sein wie die Erteilung. Wer sich mit zwei Klicks am Handy angemeldet hat, muss mit etwa zwei Klicks wieder herauskommen. Jede Werbenachricht braucht einen funktionierenden Abmeldeweg, und bei SMS oder Messenger heißt das eine Abmelde-Anweisung, die ein Mensch bei Ihnen auch tatsächlich sieht und umsetzt.

Speicherfristen, der Punkt den alle überspringen

Es gibt keinen DSGVO-Artikel, der sagt: "Reservierungsdaten achtzehn Monate aufbewahren." Die Regel lautet, dass Sie personenbezogene Daten nicht länger speichern als für den Zweck nötig, und dass Sie diese Frist selbst festlegen und dann auch einhalten.

Für einen kleinen Betrieb kann eine tragfähige Regelung so aussehen. Reservierungsdaten ohne weiteren Nutzen werden nach einer festgelegten Frist gelöscht oder anonymisiert. Gästeprofile von Personen mit aktiver Werbeeinwilligung bleiben, solange die Beziehung lebt, mit einer klaren Regel für den Fall langer Funkstille. Rechnungen und Buchhaltungsbelege folgen den handels- und steuerrechtlichen Aufbewahrungspflichten, die mehrere Jahre laufen und Ihrem Wunsch nach Ordnung vorgehen. Videoaufzeichnungen werden in der deutschsprachigen Aufsichtspraxis üblicherweise in Tagen gemessen, nicht in Monaten.

Die konkreten Zahlen fehlen hier bewusst. Speicherfristen gehören zu den Bereichen mit den größten nationalen Unterschieden, und eine Zahl aus einem Blogartikel ist eine Zahl, die Sie später nicht begründen können. Legen Sie Ihre Fristen fest, schreiben Sie sie in einem Absatz auf, und lassen Sie die steuerlichen und die Video-Fristen von Ihrem Steuerberater und Ihrer Aufsichtsbehörde bestätigen.

Handhabbar wird das durch Automatisierung. Eine Löschregel, die davon abhängt, dass sich jemand jedes Quartal ans Aufräumen erinnert, wird zwei Quartale lang eingehalten. Wenn Ihr Reservierungssystem nach Zeitplan löschen oder anonymisieren kann, treffen Sie diese Entscheidung einmal.

Auskunftsersuchen und die übrigen Betroffenenrechte

Ein Gast darf fragen, welche Daten Sie über ihn gespeichert haben. Er darf Berichtigung verlangen, Löschung, Herausgabe in einem übertragbaren Format, und er darf Werbung jederzeit widersprechen. Sie haben in der Regel einen Monat Zeit für die Antwort, verlängerbar in wirklich komplexen Fällen, und im Normalfall dürfen Sie dafür nichts berechnen.

Für Gastronomie und Salon ist das weit weniger dramatisch, als es klingt. Die ehrliche Antwort auf die meisten Anfragen ist eine kurze Liste: Name, Kontaktdaten, Reservierungshistorie, ein paar Notizen, Werbeeinstellungen. Der Aufwand steckt darin, das alles auf einmal zusammenzubekommen. Wenn Ihre Gästedaten über ein Reservierungstool, eine Excel-Tabelle, ein Newsletter-Programm und einen WhatsApp-Verlauf auf dem Privathandy der Servicekraft verteilt sind, wird aus einer Anfrage ein Nachmittag Archäologie.

Zwei Dinge machen es schmerzfrei. Erstens: Gästedaten an einer Stelle halten, damit eine Anfrage ein Nachschlagen wird statt einer Suche. Zweitens: vorher festlegen, wer solche Anfragen bearbeitet. In kleinen Betrieben ist das meist die Inhaberin oder der Betriebsleiter, und das eigentliche Risiko ist eine Anfrage, die fünf Wochen ungelesen in einem geteilten Postfach liegt.

Die Löschung hat Grenzen, die man kennen sollte. Wenn Sie eine Rechnung steuerrechtlich aufbewahren müssen, hebelt ein Löschverlangen das nicht aus. Sie löschen, was Sie löschen dürfen, behalten was das Gesetz verlangt, und sagen der Person klar, was davon welcher Fall ist.

Das praktische Minimum für einen kleinen Betrieb

Sie brauchen keine Compliance-Abteilung. Für ein inhabergeführtes Restaurant oder einen Salon ist die realistische Grundlinie kurz.

Schreiben Sie eine Datenschutzerklärung und platzieren Sie sie dort, wo Gäste ihr begegnen: auf der Reservierungsseite, verlinkt in der Fußzeile Ihrer Website, auf Nachfrage ausgedruckt im Betrieb, und überall dort, wo Sie eine E-Mail-Adresse erheben. Darin steht, wer Sie sind, was Sie erheben, warum, wie lange Sie es behalten, wer es sonst noch sieht und wie man Sie deswegen erreicht. Verständliche Sprache schlägt Juristendeutsch, das sagen die Aufsichtsbehörden selbst regelmäßig.

Trennen Sie die Werbeeinwilligung von der Reservierungsstrecke, mit eigenem nicht vorangekreuztem Feld und eigener klarer Formulierung, und speichern Sie den Nachweis dazu. Halten Sie Ihre Speicherfristen schriftlich fest und automatisieren Sie sie, wo es geht. Führen Sie eine kurze Liste aller Orte, an denen Gästedaten liegen, inklusive der Tools, die man vergisst: Reservierungssystem, Kasse, Newsletter-Dienst, Bewertungs-Widget, WhatsApp-Nummer. Diese Liste ist das Rückgrat sowohl Ihrer Datenschutzerklärung als auch Ihres Verarbeitungsverzeichnisses.

Schauen Sie sich Ihre Dienstleister an. Wenn ein Reservierungsanbieter oder ein Nachrichtendienst Daten in Ihrem Auftrag verarbeitet, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag und sollten wissen, wo die Daten liegen. Jeder ernsthafte Anbieter hat das fertig und veröffentlicht. Wenn Sie hinterherlaufen müssen, sagt das schon einiges.

Und sagen Sie Ihrem Team die zwei Dinge, die im Alltag den Unterschied machen: Gästenotizen gehören ins System und nicht aufs Privathandy, und niemand landet im Verteiler, weil er nett war.

Wo Sie das prüfen lassen

Alles oben ist die Systematik. Was sich zwischen Ländern und teils zwischen Bundesländern unterscheidet: konkrete Speicherfristen, ob die Bestandskundenausnahme in Ihrem Fall greift, die Regeln für SMS und Messenger, die Erwartungen an Videoüberwachung, und ob Ihr Betrieb einen Datenschutzbeauftragten benennen muss. In Deutschland hängt die Benennungspflicht unter anderem an der Zahl der Personen, die ständig mit personenbezogenen Daten arbeiten. Die meisten kleinen Betriebe fallen nicht darunter, aber "die meisten" ist nicht "alle", und diese Schwelle sollten Sie nachschlagen statt schätzen.

Ihre zuständige Aufsichtsbehörde veröffentlicht Leitfäden auf Deutsch, häufig mit Branchenseiten, und viele beantworten einfache Fragen von Kleinbetrieben kostenlos. Bei besonderen Kategorien personenbezogener Daten, und Allergie- oder Gesundheitsangaben können je nach Erfassung und Nutzung in diese Kategorie fallen, holen Sie sich echte Beratung statt sich an einem Artikel zu orientieren.

Das Prinzip dahinter merkt man sich leichter als jede einzelne Regel. Erheben Sie, was Sie zur Bedienung des Gastes brauchen, nutzen Sie es wofür Sie es angekündigt haben, behalten Sie es solange es nützt, und machen Sie das Aussteigen einfach. Betriebe, die so arbeiten, stellen meist fest, dass die Datenschutz-Unterlagen nur beschreiben, was sie ohnehin schon getan haben.

Wenn Sie Ihre Reservierungsbedingungen sowieso gerade überarbeiten: unser Generator für Reservierungsrichtlinien liefert einen sauberen Ausgangspunkt für die gästeseitigen Regeln, was sich gut mit einer in derselben Woche geschriebenen Datenschutzerklärung verbindet.