Datenschutz im Hotel: Meldeschein, Gästedaten & DSGVO

Inhalt in Kürze

• Seit dem 1. Januar 2025 entfällt die Hotelmeldepflicht für deutsche Gäste – das Vierte Bürokratieentlastungsgesetz schafft den Meldeschein für Inländer ab.
• Für ausländische Gäste bleibt der Meldeschein Pflicht: Erhebung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Bundesmeldegesetz.
• Ausgefüllte Meldescheine sind ein Jahr ab Abreise aufzubewahren und danach binnen drei Monaten zu vernichten.
• Hotelsoftware, Channel-Manager und die eigene Buchungsmaske sind in der Regel Auftragsverarbeiter und brauchen einen AVV. Große Buchungsportale wie Booking.com treten dagegen als eigene Verantwortliche auf.

Zum Jahreswechsel hat sich für Hotels und Pensionen eine spürbare Erleichterung ergeben – und gleichzeitig bleibt die Datenflut rund um Buchung, Bezahlung und Gästekommunikation groß. Wir sortieren, was sich geändert hat und was bleibt.

Die wichtigste Änderung 2025: weniger Meldescheine

Bis Ende 2024 musste jeder Hotelgast bei der Anreise einen besonderen Meldeschein ausfüllen. Mit dem Vierten Bürokratieentlastungsgesetz ist das für deutsche Staatsangehörige seit dem 1. Januar 2025 Geschichte. Für Inländer entfällt der Meldeschein vollständig.

Wichtig: Für ausländische Gäste bleibt alles beim Alten. Sie müssen weiterhin einen Meldeschein ausfüllen und unterschreiben, und Beherbergungsbetriebe müssen die Angaben mit dem Ausweisdokument abgleichen. Hintergrund sind die §§ 29 und 30 des Bundesmeldegesetzes (BMG) – und das Schengen-Recht, das die Hotelmeldepflicht für Ausländer zwingend vorgibt. Deshalb konnte der Gesetzgeber sie nur für Deutsche streichen.

Welche Gästedaten ein Hotel verarbeiten darf

Hinter jeder Übernachtung steckt eine Datenkette. Die zentralen Verarbeitungen und ihre Rechtsgrundlagen:

Der Meldeschein für ausländische Gäste ist ein Jahr ab dem Tag der Abreise aufzubewahren und anschließend innerhalb von drei Monaten zu vernichten. Das regelt § 30 Abs. 4 BMG – die gleichen Fristen gelten für elektronisch erhobene Meldedaten. Eine längere Aufbewahrung ist nicht zulässig. Diese Datenminimierung ist auch ein Grundprinzip von Art. 5 DSGVO: Erheben Sie nur, was Sie brauchen, und löschen Sie, sobald der Zweck wegfällt.

Aus der Praxis

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern. Dabei geht es darum, nur das zu speichern, was man wirklich braucht.

Nils OehmichenDatenschutzberater bei frag.hugo

Buchungsportale und Technik: die unsichtbare Datenkette

Kaum ein Hotel bucht heute noch ausschließlich direkt. Hotelsoftware (PMS), Channel-Manager, die Buchungsmaske auf Ihrer Website und der WLAN-Hotspot-Betreiber verarbeiten Gästedaten in der Regel in Ihrem Auftrag – mit ihnen brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Nicht jeder Dienstleister ist aber Auftragsverarbeiter: Große Buchungsportale und viele Zahlungsdienstleister handeln als eigene Verantwortliche.

1. Buchungsportale prüfen: Wer ist Verantwortlicher, wer Auftragsverarbeiter? Booking.com etwa bezeichnet sich in seiner Datenschutzerklärung als Verantwortlicher und übergibt die Buchungsdaten an das Hotel, das sie ab dann selbst verantwortet. Ein AVV ist dort nicht der richtige Vertrag.
2. Channel-Manager und PMS: Diese Systeme bündeln alle Gästedaten – AVV, Serverstandort und Zugriffsrechte klären.
3. Zahlungsdienstleister: Viele treten als eigene Verantwortliche auf – Rolle im Vertrag nachlesen. Kreditkartendaten unterliegen zusätzlich dem PCI-DSS-Standard. Nie unverschlüsselt speichern.
4. Gäste-WLAN: Anmeldedaten und Surfverhalten nur erheben, soweit nötig – und transparent informieren.

Löschen nicht vergessen

Der häufigste Fehler im Hotel: Gästeprofile wachsen jahrelang, ohne dass je etwas gelöscht wird. Buchungsdaten ohne steuerliche Relevanz (Rechnungen und Buchungsbelege dagegen acht Jahre, ab Ende des Kalenderjahres – seit 2025 statt zehn), alte Marketing-Einwilligungen, ausgelaufene Meldescheine – all das muss nach Zweckfortfall entfernt werden.

Ein schriftliches Löschkonzept ordnet jede Datenart einer Frist zu – und macht Sie bei einer Behördenprüfung handlungsfähig.

Ihr nächster Schritt

Wie wir Gastgewerbe-Betriebe begleiten, lesen Sie auf unserer Seite zum Datenschutz für Gastronomie und Hotellerie. Wie sicher Ihre Buchungs-Website ist, prüft der kostenlose Hugo Check in zwei Minuten. Die laufende Betreuung übernimmt unsere Plattform Hugo DSB.

Häufige Fragen (FAQ)

Müssen Hotels seit 2025 noch Meldescheine ausfüllen lassen?

Für deutsche Staatsangehörige nicht mehr – das Vierte Bürokratieentlastungsgesetz hat die Meldepflicht zum 1. Januar 2025 abgeschafft. Für ausländische Gäste bleibt der Meldeschein verpflichtend.

Wie lange muss ein Hotel den Meldeschein aufbewahren?

Der ausgefüllte Meldeschein ausländischer Gäste ist ein Jahr ab dem Tag der Abreise aufzubewahren und danach innerhalb von drei Monaten zu vernichten. So regelt es § 30 Abs. 4 des Bundesmeldegesetzes.

Welche Rechtsgrundlage gilt für die Verarbeitung von Gästedaten?

Buchungs- und Vertragsdaten stützen sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag), der Meldeschein auf Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Newsletter und Marketing brauchen eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Braucht ein Hotel einen AVV mit Buchungsportalen?

Das hängt vom Portal ab. Große Portale wie Booking.com sehen sich als eigene Verantwortliche und geben die Buchungsdaten an das Hotel weiter, das sie dann selbst verantwortet – ein AVV passt dort nicht. Hotelsoftware (PMS), Channel-Manager und die Buchungsmaske auf der eigenen Website sind dagegen in der Regel Auftragsverarbeiter nach Art. 28 DSGVO und brauchen einen Auftragsverarbeitungsvertrag.

Dürfen Hotels Allergien oder Gesundheitswünsche speichern?

In aller Regel nur mit ausdrücklicher Einwilligung des Gastes (Art. 9 Abs. 2 lit. a DSGVO). Solche Angaben sind besondere Daten nach Art. 9 DSGVO und dürfen nicht ohne Anlass dauerhaft im Gästeprofil hinterlegt werden.