Datenschutz in der Touristik

Eine einzige Reisebuchung erzeugt mehr Datenarten als die meisten Geschäftsvorgänge: Name und Geburtsdatum, Ausweisnummer, Zahlungsdaten, Reisezeitraum und -ziel, Mitreisende, häufig Angaben zu Ernährung, Mobilität oder Gesundheit. Datenschutz in der Touristik heißt deshalb vor allem: die Datenarten auseinanderhalten, weil sie unterschiedlichen Regeln folgen.

Drei Kategorien mit drei Grundlagen

Zur Vertragserfüllung – Name, Reisezeitraum, Unterkunft, Transport. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO; hier ist wenig zu begründen.

Aufgrund rechtlicher Verpflichtung – Ausweis- und Passdaten für Einreiseformalitäten, Meldescheine in Beherbergungsbetrieben, Fluggastdaten. Grundlage ist lit. c. Auch das ist unproblematisch, solange die Daten für nichts anderes verwendet werden.

Besondere Kategorien – und hier wird es ernst. Der Wunsch nach einem barrierefreien Zimmer, nach Diabetikerkost, nach Sauerstoff an Bord: Solche Angaben lassen auf Gesundheit schließen, koschere oder halal-Verpflegung auf die Religion. Damit greift Art. 9 DSGVO, und die Verarbeitung ist grundsätzlich untersagt.

Die tragfähige Grundlage ist hier die ausdrückliche Einwilligung. Sie muss ausdrücklich sein, sich auf diese Angabe beziehen und freiwillig erteilt werden. Ein Freitextfeld „Sonderwünsche”, in das Reisende ihre Diagnose schreiben, erfüllt das nicht – und erzeugt einen Datenbestand, für den die Grundlage fehlt. Wer solche Angaben braucht, fragt sie gezielt und mit Erklärung ab, nicht beiläufig.

Die Weitergabe an Leistungsträger

Hotels, Fluggesellschaften, Mietwagenanbieter, Zielgebietsagenturen: Sie erhalten die Daten, um ihre eigene Leistung zu erbringen – und sind dabei in aller Regel eigenständig verantwortlich, nicht Auftragsverarbeiter. Sie handeln nicht auf Weisung des Veranstalters, sondern erfüllen einen eigenen Vertrag.

Das hat Folgen für die Information der Reisenden: Sie müssen erfahren, an welche Kategorien von Empfängern ihre Daten gehen und – bei Zielen außerhalb der EU – in welche Länder. Siehe Informationspflichten nach Art. 13.

Anders liegt es bei Reservierungssystemen, Buchungsplattformen und IT-Dienstleistern, die für Sie verarbeiten: Dort ist ein Auftragsverarbeitungsvertrag nötig.

Drittländer sind hier der Regelfall

Das unterscheidet die Touristik von fast jeder anderen Branche: Die Übermittlung ins Ausland ist nicht die Ausnahme, sondern der Zweck des Geschäfts. Ein Hotel in Thailand kann die Buchung nicht ohne die Daten der Gäste ausführen.

Für diesen Fall hält Art. 49 DSGVO eine passende Ausnahme bereit: Die Übermittlung ist zulässig, wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist. Das trägt die Weitergabe an das gebuchte Hotel.

Es trägt nicht den laufenden Betrieb: Ein Reservierungssystem oder ein Callcenter außerhalb der EU ist kein Einzelfall, sondern Dauerverarbeitung. Dafür braucht es Standardvertragsklauseln samt Transferfolgenabschätzung oder einen Angemessenheitsbeschluss – siehe Datenübermittlung in die USA.

Mitreisende und Buchende

Wer eine Familie oder eine Gruppe bucht, gibt Daten über andere Personen an. Diese Personen haben nichts unterschrieben und wissen häufig nicht, wer ihre Daten hat.

Daraus folgt die Pflicht aus Art. 14 DSGVO – Information bei Daten, die nicht bei der betroffenen Person erhoben wurden. Praktisch wird sie über den Buchenden erfüllt, der die Informationen weitergibt; das gehört im Buchungsprozess vorgesehen und dokumentiert.

Das Übliche

Buchungsstrecke und Website mit Einwilligungsbanner und eingebundenen Diensten – siehe CMP Consulting und den kostenlosen Website-Check; Werbung nach der Reise nach den Regeln aus dem E-Mail-Marketing; und Löschfristen, die zwischen Gewährleistung, Buchhaltung und dem Wunsch nach Stammkundenpflege abzuwägen sind.

Kontakt

Sie erfassen Sonderwünsche im Freitext und wissen nicht, ob das trägt? Das ist der Punkt, an dem wir in der Touristik am häufigsten ansetzen.