DSGVO – Wichtige Auswirkungen für die Hotelsoftware!

by | Feb 14, 2018 | Impress

von Dr. Michael Toedt und Dr. Robert Selk

Die Datenschutzgrundverordnung (DSGVO) kommt und schwebt über den Köpfen der Hotellerie. Datenschutzrechtlich wird sie als „Paukenschlag“ bezeichnet: Denn mit Ihrer Geltung zum 25.05.2018 löst sie mit einem Schlag in allen 28 EU Ländern die dortigen bisherigen Datenschutzgesetze ab und nicht mehr diese sind maßgeblich, sondern nur noch die DSGVO als EU-Recht. Mit anderen Worten. Es gibt nicht mehr 28 Datenschutzgesetze, sondern nur noch 1 EU-weit geltendes Datenschutzrecht, das alle entgegenstehenden Datenschutzgesetze der EU Staaten verdrängt. Der Datenschutz wird damit europäisch. Doch nicht genug, die neue DSGVO beinhaltet eine Vielzahl von zusätzlichen Vorgaben.

Doch was bedeutet das für Eigentümer, Manager und Mitarbeiter, wenn am 25. Mai 2018 die zweijährige Übergangsfrist endet und die DSGVO „live“ geht?

Einen Standortvorteil haben deutsche Unternehmen, die sich schon bisher mit dem Thema Datenschutz intensiv befasst haben: Denn auch wenn die DSGVO vieles neu regelt und zahlreiche neue Pflichten beinhaltet, bleibt im Verhältnis zum bisherigen deutschen Recht doch auch vieles ähnlich oder fast gleich.

Doch Hand aufs Herz, nur die wenigsten Hoteliers haben sich bisher wirklich nachhaltig um das Thema Datenschutz gekümmert. Zudem ist zu trennen zwischen der sog. „Datensicherheit“ auf der einen Seite, die die technischen und organisatorischen Maßnahmen meint, und dem eigentlichen Datenschutz auf der anderen Seite, der Personen vor einer übermäßigen „Verdatung“ durch Unternehmen, dem Staat, etc. schützen will.  Personen sind natürlich nicht nur Gäste, sondern auch Mitarbeiter, können aber auch Lieferanten oder sonstige Besucher sein.

Im Folgenden soll es aber primär um die eigentliche Geschäftsgrundlagen von Unternehmen gehen, also um deren Kunden und damit in der Hotellerie um deren Gäste.

Es gibt gute Gründe, warum Unternehmer durchaus besorgt auf die DSGVO blicken sollten.

Hierzu zählen:

  • Die Strafen für Unternehmen wurden von gerade einmal bislang bis zu 300.000 € auf maximal 20 Millionen € angehoben bzw. auf bis zu 4% des Jahresumsatzes, je nachdem, was höher ist. Dazu ist anzumerken, dass der weltweite Jahresumsatz als Berechnungsbasis herangezogen wird. Für ausländische Konzerne mit Tochtergesellschaften innerhalb der EU also ein weiterer wichtiger Grund, sich der DSGVO anzunehmen. Dies gilt umso mehr, als dass diskutiert wird, dass es auf den weltweiten Konzern-Umsatz ankommen soll.
  • Die persönliche Haftung der Geschäftsführer bleibt auch nach neuem Recht, gleiches gilt für eine persönliche Haftung der Mitarbeiter
  • Zudem stärkt die DSGVO die Rolle der Betroffenen und gestattet noch im erweiterten Maße, dass etwa Abmahnvereine umfangreiche Datenschutzverstöße gegen die DSGVO verfolgen und Prozesse anstrengen können. Gerade dieser Punkt kann äußerst gefährlich werden, sollten die Prognosen zutreffen und sich dazu eine „Abmahn-Industrie“ entwickeln.

Umsichtige Manager sind also gut beraten, sich diesem Thema spätestens jetzt anzunehmen.

 

Das Verfahrensverzeichnis

 

Die DSGVO beinhaltet sehr viele Vorgaben zur Datenschutz-Organisation, u.a. ist die Pflicht beinhaltet, ein Verzeichnis seiner Datenverarbeitungstätigkeiten führen zu müssen. In ein solches müssen alle Verfahren eines Unternehmens, die mit personenbezogenen Daten zu tun haben, aufgenommen und beschrieben werden. Zu den Pflichtangaben gehören etwa auch die Speicherdauer und damit die Löschfristen. Soweit nach bisherigem deutschem Datenschutzrecht schon ein solches Verzeichnis besteht, kann dieses oft durch wenige Anpassungen weiterverwendet werden, meist aber fehlt ein solches und dann ist der Aufwand zur Erstellung oft massiv. Wenn man etwa von ca. 150 Verfahren für ein typisches Unternehmen ausgeht und pro Verfahren einige Stunden Erstellungs- und Prüfaufwand ansetzt, wird die Größenordnung eines DSGVO Projekt schnell deutlich – und mit dem Verfahrensverzeichnis ist nur eines von Dutzenden Themen betroffen.

Das Verfahrensverzeichnis muss einem Dritten klar verdeutlichen, wo Daten anfallen und was mit ihnen gemacht wird. Gab es dazu bisher Kontrollen durch die Datenschutzaufsichtsbehörden, so waren diese meist mit Vorlauf angekündigt. Zeit genug, um gegebenenfalls noch zu reagieren und ein Verzeichnis zu erstellen. Ab Geltung der DSGVO zum 25.05.2018 kann die Behörde quasi jederzeit das Verzeichnis – und nur für Sie ist es gedacht – anfordern und es wird verschiedentlich überlegt, ob die Datenschutzbehörden sich quasi unmittelbar per Fernzugriff Einblick verlangen. Selbst wenn die Frist einige Wochen beträgt, wird es kaum machbar sein, innerhalb dieser Zeit ein ordentliches Verzeichnis zu erstellen, zu hoch ist der nötige Input aller Fachabteilungen, von Legal, dem Datenschutzbeauftragten, der IT Security, etc. Es gibt also kaum noch Puffer, um noch auf die Schnelle etwas vorzubereiten. Die Unterlagen müssen quasi fertig in der Schublade liegen, will man nicht Gefahr laufen, sofort ein Bußgeld zu kassieren.

 

Auswirkungen auf die Hotelsoftware

 

Es ist zudem so, dass der „Besitzer“ der Daten (also etwa das Hotel – im Englischen „Controller“, im deutschen „Verantwortlicher“) für die Datenverarbeitung durch seine Dienstleister, also i.d.R. durch die Softwareanbieter, haftet („Processor“). Für ein von einem deutschen Hotel etwa beauftragtes Softwareunternehmen in den USA oder China haftet das deutsche Hotel voll und muss kontrollieren, dass auch beim Dienstleister aller Vorgaben eingehalten werden. Allein an diesem Punkt werden die meisten Hoteliers innerhalb der EU scheitern, mit ggf. gravierenden Folgen.

 

Technologische Änderungen

 

Auch technologisch stellt die DSGVO die Branche vor große Herausforderungen. Selbst Einzelhotels haben heute in der Regel ca. 15 Softwaresysteme mit Gastdaten. Gäste haben nun ab dem 25. Mai 2018 den Anspruch, nicht nur per Auskunftsersuchen zu erfahren, welche Daten ein Unternehmen über sie gespeichert hat, sie haben auch einen weitgehenden Löschanspruch sowie – dies ist neu –einen Anspruch auf Herausgabe, der von ihnen dem Hotel bereitgestellten eigenen Daten an sich selbst, aber auch an einen Dritten, wie etwa ein Konkurrenzunternehmen. Zwar ist dies an bestimmte Voraussetzungen geknüpft, die bei Hotelgästen aber fast immer erfüllt sein werden.

Wie soll ein Unternehmen diesen Anforderungen umgehend nachkommen, wenn die IT Landschaft komplett heterogen ist? Dies ist faktisch kaum realisierbar! Ohne ein zentrales Daten Management (Central Data Management = CDM), ein sogenanntes „Above Property System“, in das alle Datenquellen einlaufen, wird dies kaum sinnvoll und effizient machbar sein. In ein solches CDM mit seinem zentralen Gastprofil lässt sich auch gut ein Privacy Dashboard mit den vorgenannten Funktionen implementieren, wie es etwa von EU-Seite empfohlen wird.

Doch was machen, wenn die eigenen Softwareanbieter in ihren Produkten die DSGVO Vorgaben nicht umsetzen? Dann heißt es, wechseln und prüfen, ob man diese zivilrechtlich zur Kasse bitten kann, weil unter Umständen ein „Rechtsmangel“ vorliegt. Hoteliers haben einen Anspruch auf eine rechtskonforme Software, der Datenschutz ist in jeder Software schon konzeptionell zu berücksichtigen (Privacy by Design). Es sollten nur Anbieter und Produkte eingesetzt werden, die eine rechtskonforme Software bieten können. Es ist davon auszugehen, dass EU Software- Unternehmen, die sich schon seit Jahren mit dem Thema Datenschutz befassen müssen, besser gerüstet sind als solche, für die die komplexe DSGVO völliges Neuland darstellt. Nie war es also wichtiger sich die richtigen Software-Partner ins Haus zu holen.

Wir bei dailypoint™ arbeiten bereits seit April 2017 an einer ganzheitlichen Compliance Strategie zur DSGVO. Zur ITB 2018 stellen wir für unsere dailypoint™ Softwareprodukte unser neues Privacy Dashboard vor. Dieses wird als Standardmodul in sämtliche dailypoint™ Produkte (kissCRM by dailypoint™, dailypoint™ 360° CDM/CRM, dailypoint™ BOOKING MANAGER und dailypoint™ SMART WLAN) integriert sein. Wie heißt es so schön: „Privacy by Design“. Wir nehmen den Datenschutz ernst und bieten Hotels alle Möglichkeiten, dies ebenfalls zu tun.

 

Über die Autoren:

Dr. Michael Toedt

Dr. Michael Toedt vereint die Bereiche Hotel-Know-how, Marketing und IT-Kompetenz und ist geschäftsführender Gesellschafter und CEO der Toedt, Dr. Selk & Coll. GmbH. Im Januar 2005 gründete Dr. Michael Toedt gemeinsam mit Dr. Robert Selk und Rainer Aumiller die Toedt, Dr. Selk & Coll. GmbH. Herr Dr. Toedt ist neben seiner Tätigkeit bei TS&C, Präsident des Cornell German Chapter, Lehrbeauftragter an der Hochschule München für das Thema CRM in der Hotellerie, Gastdozent an diversen Hochschulen und Universitäten wie der NDS Hôtelleriesuisse. Im April 2013 verfasste Dr. Michael Toedt als erster Autor ein Buch zum Megatrend „Big Data“ in der Hotellerie: „Big Data – Challenges for the Hospitality Industry“ (epubli) und veröffentlichte Anfang 2016 „Big Data – Herausforderung und Chance für die Hotellerie“ (Matthaes Verlag). Des Weiteren hat Dr. Michael Toedt bereits zahlreiche Artikel und Whitepaper zum Thema CRM und Marketing in der Hotellerie (AHGZ, TopHotel, Hospitality Inside usw.) sowie einen „Leitfaden zur Kundenbindung“ in Zusammenarbeit mit dem Österreichischen Hotelverband publiziert und ist Rezensent des International Journal of Economic Sciences.

 

Dr. Robert Selk

Rechtsanwalt Dr. jur. Robert Selk, ist Partner der Kanzlei Dr. Schmid, Dr. Selk & Hoffmann in München sowie Mitgesellschafter der Toedt, Dr. Selk & Coll. GmbH. Er promovierte im Bereich Datenschutz und Internet, gefolgt von dem Aufbaustudium „Europäisches und internationales Wirtschaftsrecht“ (Abschluss: Master of Laws, LL.M. EUR). Dr. Selk ist Mitglied der Arbeitsgruppe IT-Recht des Deutschen Anwaltsvereins (DAV IT), der DGRI (Deutsche Gesellschaft für Recht und Informatik e.V.), Mitglied der Gesellschaft für Datenschutz und Datensicherheit (GDD), der Vereinigung für gewerblichen Rechtsschutz und Urheberrecht (GRUR), dem Berufsverband der Datenschutzbeauftragten (BvD) und der deutschen Vereinigung für Datenschutz e.V. (DVD). Sein Fokus liegt hauptsächlich auf Computer, Internet und Datenschutz sowie auf gewerblichem Rechtsschutz und Urheberrecht. Dr. Selk ist u.a. Datenschutzbeauftragter verschiedener Unternehmen, Gastdozent für E-Commerce und Datenschutz an der Universität Augsburg sowie Dozent der Bayerischen Industrie und Handelskammer (BIHK).