DSGVO beim Reservieren: Prüfpunkte für Restaurants

Reservierungen enthalten personenbezogene Daten: meist Name und Kontaktweg, teilweise Notizen, Besuchshistorie oder Angaben zu besonderen Anforderungen. Datenschutz ist deshalb kein einmaliger Haken im Setup, sondern ein dokumentierter Prozess.

Dieser Überblick nennt zentrale Prüfpunkte. Welche Rechtsgrundlage oder Aufbewahrungsfrist im Einzelfall passt, muss das Restaurant mit fachkundiger Beratung bewerten. Der Artikel ersetzt keine Rechtsberatung.

1. Zweck und Rechtsgrundlage festlegen

Artikel 5 und 6 DSGVO verlangen unter anderem Zweckbindung, Datenminimierung und eine Rechtsgrundlage. Für Daten, die zur Bearbeitung einer Reservierung erforderlich sind, kann je nach Ausgestaltung insbesondere die Durchführung vorvertraglicher Maßnahmen oder eines Vertrags in Betracht kommen.

Eine kompakte Einordnung der wichtigsten Prüffelder steht außerdem im Glossar unter DSGVO-Konformität bei Reservierungssystemen.

Andere Zwecke müssen getrennt betrachtet werden. Eine für die Reservierung angegebene E-Mail-Adresse darf nicht automatisch für beliebige Werbung verwendet werden.

Typische getrennte Verarbeitungsvorgänge sind:

• Reservierung anlegen und bestätigen,
• Änderung oder Stornierung bearbeiten,
• notwendige Servicekommunikation,
• freiwillige Gästeprofile,
• Newsletter und Werbenachrichten,
• Bewertungsanfragen,
• Analyse oder Scoring.

Dokumentiert für jeden Zweck mindestens Datenkategorien, Rechtsgrundlage, Empfänger und Löschlogik.

2. Nur erforderliche Daten abfragen

Ein Buchungsformular sollte nicht vorsorglich möglichst viele Angaben verlangen. Fragt nur ab, was für den konkreten Ablauf benötigt wird, und kennzeichnet freiwillige Felder eindeutig.

Besondere Vorsicht gilt bei Gesundheits- oder Allergenangaben. Solche Angaben können besondere Kategorien personenbezogener Daten betreffen. Erhebung, Zugriff und Aufbewahrung sollten deshalb vorab rechtlich und organisatorisch geklärt werden.

3. Rollen und Auftragsverarbeitung klären

Das Restaurant ist für seine Verarbeitungszwecke typischerweise Verantwortlicher. Verarbeitet ein SaaS-Anbieter personenbezogene Daten ausschließlich nach dokumentierter Weisung, kann ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich sein.

Prüft nicht nur, ob ein „AVV“ vorhanden ist. Relevant sind auch:

• Gegenstand und Dauer der Verarbeitung,
• Kategorien betroffener Personen und Daten,
• Weisungen und Vertraulichkeit,
• technische und organisatorische Maßnahmen,
• Unterauftragsverarbeiter,
• Unterstützung bei Betroffenenanfragen,
• Rückgabe oder Löschung nach Vertragsende.

Die BfDI stellt eine offizielle Mustervereinbarung zur Auftragsverarbeitung bereit.

4. Transparenzinformationen aktualisieren

Artikel 13 DSGVO nennt Informationen, die betroffene Personen bei der Erhebung erhalten sollen. Die Datenschutzerklärung des Restaurants sollte den tatsächlichen Reservierungsprozess abbilden.

Prüft insbesondere:

• verantwortliche Stelle und Kontakt,
• Zwecke und Rechtsgrundlagen,
• Empfänger beziehungsweise Kategorien,
• mögliche Drittlandübermittlungen,
• Speicherdauer oder Kriterien dafür,
• Betroffenenrechte,
• Beschwerdemöglichkeit,
• eingesetzte Dienstleister und Buchungswege.

Ein pauschaler Satz zum „Reservierungstool“ genügt nicht, wenn die tatsächlichen Datenflüsse wesentlich komplexer sind.

5. Hosting und internationale Übermittlungen getrennt prüfen

Hosting in Deutschland kann Datenflüsse vereinfachen, ist aber weder alleinige Voraussetzung noch vollständiger DSGVO-Nachweis. Umgekehrt macht ein EU-Serverstandort weitere Übermittlungen nicht automatisch unmöglich.

Erstellt deshalb eine aktuelle Liste aller beteiligten Anbieter und Unterauftragsverarbeiter. Für Übermittlungen in Drittländer sind die Voraussetzungen des Kapitels V DSGVO und die konkrete Dokumentation zu prüfen.

6. Werbung von Reservierungsnachrichten trennen

Eine sachliche Nachricht zu einer konkreten Reservierung ist anders zu bewerten als ein Newsletter oder eine Werbe-SMS. Vermischt beides nicht in derselben Vorlage.

Für Werbung per elektronischer Post ist neben der DSGVO insbesondere § 7 UWG relevant. Die BfDI beschreibt für Newsletter unter anderem Anforderungen an Einwilligung und Nachweis. Ein optionales, nicht vorausgewähltes Feld mit klarer Beschreibung ist ein möglicher Baustein; die konkrete Gestaltung sollte rechtlich geprüft werden.

Speichert Einwilligungstext, Zeitpunkt, Quelle und Widerruf nachvollziehbar. Ein Widerruf muss so einfach wie die Einwilligung möglich sein.

7. Löschung, Berichtigung und Auskunft praktisch testen

Betroffenenrechte funktionieren nur, wenn das Team weiß, wie eine Anfrage bearbeitet wird. Artikel 12 DSGVO sieht grundsätzlich eine Reaktion ohne unangemessene Verzögerung und regelmäßig innerhalb eines Monats vor; Ausnahmen und Verlängerungen sind dort geregelt.

Ein interner Test sollte klären:

1. Wer nimmt die Anfrage an?
2. Wie wird die Identität angemessen geprüft?
3. In welchen Systemen liegen die Daten?
4. Welche gesetzlichen Aufbewahrungspflichten stehen einer sofortigen Löschung entgegen?
5. Wie werden Empfänger oder Auftragsverarbeiter einbezogen?
6. Wie wird die Bearbeitung dokumentiert?

Backups, Protokolle und gesetzliche Aufbewahrungspflichten brauchen eine eigene Löschlogik. „Ein Klick löscht alles“ wäre ohne Prüfung dieser Ebenen kein belastbares Versprechen.

8. Datenexport und Portabilität nicht verwechseln

Ein vertraglicher Datenexport für das Restaurant und das Recht einer betroffenen Person auf Datenübertragbarkeit nach Artikel 20 DSGVO sind nicht dasselbe.

Artikel 20 gilt nur unter bestimmten Voraussetzungen und erfasst nicht automatisch sämtliche internen oder abgeleiteten Daten. Restaurants sollten deshalb zusätzlich vertraglich klären, welche Daten sie in welchem Format exportieren können, welche Kosten entstehen und was nach Vertragsende passiert.

9. KI transparent und kontrollierbar einsetzen

Wer einen KI-Telefonassistenten oder Menu-Concierge einsetzt, sollte Gäste klar darauf hinweisen und einen menschlichen Ausweg anbieten. Artikel 50 der EU-KI-Verordnung enthält für bestimmte interaktive Systeme Transparenzpflichten. Die Europäische Kommission nennt für diese Vorschriften den 2. August 2026 als Anwendungsdatum.

Zusätzlich bleibt die DSGVO relevant. Werden Personenprofile oder Scores eingesetzt, sind Zweck, Datenbasis, Transparenz und mögliche automatisierte Entscheidungen zu prüfen. Nicht jedes Scoring fällt automatisch unter Artikel 22 DSGVO; die konkrete Wirkung entscheidet mit.

Datenschutz-Checkliste für Reservierungssysteme

• Ist der tatsächliche Buchungsprozess in den Datenschutzinformationen beschrieben?
• Sind Pflichtfelder auf notwendige Angaben begrenzt?
• Sind Reservierungs- und Werbezwecke sauber getrennt?
• Gibt es gegebenenfalls einen vollständigen AVV?
• Sind Unterauftragsverarbeiter und Übermittlungen dokumentiert?
• Können Auskunft, Berichtigung und Löschung praktisch bearbeitet werden?
• Sind Exportumfang und Vertragsende schriftlich geregelt?
• Erkennt der Gast eine KI-Interaktion und erreicht bei Bedarf einen Menschen?
• Sind Zugriffe, Rollen und Sicherheitsmaßnahmen angemessen?
• Werden Löschfristen regelmäßig umgesetzt?

Diese Liste ist ein Startpunkt, kein Konformitätsnachweis.

Quandoo-Wechsel datenschutzbewusst vorbereiten

Bei einer Migration sollten Restaurants Export und Import getrennt prüfen:

1. unveränderte Exportdatei sicher ablegen,
2. enthaltene Felder und Datenherkunft dokumentieren,
3. zukünftige Buchungen und Einwilligungsstatus stichprobenartig prüfen,
4. nur erforderliche und rechtmäßig nutzbare Daten übernehmen,
5. Datenschutzinformationen und Dienstleisterliste aktualisieren,
6. Löschung beziehungsweise Rückgabe beim bisherigen Anbieter klären.

Hey Gastroline begleitet den Start persönlich. Ob und wie einzelne Quandoo-Daten importiert werden können, wird anhand des konkreten Exports geprüft. Der Migrationsablauf ordnet die technischen und organisatorischen Schritte ein.

Häufige Fragen

Reicht Hosting in Deutschland für DSGVO-Konformität?

Nein. Der Standort ist ein relevanter Baustein, ersetzt aber weder Rechtsgrundlage, Transparenz, AVV, Sicherheitsmaßnahmen noch die Prüfung weiterer Empfänger.

Braucht jedes Restaurant einen Datenschutzbeauftragten?

Nicht automatisch. Die Benennungspflicht hängt von den Voraussetzungen der DSGVO und ergänzendem nationalem Recht ab. Beschäftigtenzahl, Kerntätigkeit und Art der Verarbeitung können eine Rolle spielen. Lasst den konkreten Betrieb prüfen.

Können Reservierungsadressen für Newsletter genutzt werden?

Nicht allein deshalb, weil sie bei einer Buchung erhoben wurden. Für Werbenachrichten müssen die Voraussetzungen aus Datenschutz- und Wettbewerbsrecht gesondert geprüft und nachgewiesen werden.

Wie hoch kann ein DSGVO-Bußgeld sein?

Artikel 83 DSGVO enthält gestaffelte Höchstbeträge. Die konkrete Sanktion hängt jedoch von zahlreichen Umständen des Einzelfalls ab. Ein pauschaler „typischer Restaurantbetrag“ ohne belastbare Datengrundlage wäre irreführend.

Ist ein CSV-Export nach Artikel 20 immer geschuldet?

Nein. Das Recht auf Datenübertragbarkeit hat Voraussetzungen und gilt nicht automatisch für alle Daten. Der vertragliche Export des Restaurantkontos sollte zusätzlich ausdrücklich geregelt werden.

Fazit

Datenschutz beim Reservieren besteht aus nachvollziehbaren Entscheidungen: nur notwendige Daten erheben, Zwecke trennen, Dienstleister vertraglich einbinden, Datenflüsse dokumentieren und Betroffenenrechte praktisch beherrschen.

Datenschutz- und Reservierungsablauf mit Hey Gastroline besprechen

Quellen

• Datenschutz-Grundverordnung (EU) 2016/679
• BfDI: Mustervereinbarung zur Auftragsverarbeitung
• BfDI: Newsletter-Bestellung auf Webseiten
• § 7 UWG
• Verordnung (EU) 2024/1689 über künstliche Intelligenz

---

Stand: 24.07.2026. Allgemeiner Überblick auf Basis der verlinkten Primär- und Behördenquellen. Keine Rechtsberatung.