Vier Datenklassen
Die Fristen sind in der Datenbank hinterlegt, nicht im Programmcode, und je Klasse getrennt. Die Klasse Rechnung umfasst Belege und die Gastdaten, die darauf stehen; ihre Behandlung ist Pseudonymisieren, nie Löschen. Die Klasse Meldeschein ausländisch umfasst die Meldescheine von Gästen ohne Wohnsitz in Deutschland; Behandlung Löschen. Die Klasse Kurtaxe umfasst die für die Kurtaxe nötigen Gästedaten; Behandlung Löschen nach kommunaler Frist. Die Klasse Marketing umfasst Einwilligungen; Behandlung Löschen bei Widerruf.
Was heute automatisch läuft
Der Löschlauf startet nachts und arbeitet die Klassen der Reihe nach ab. Scharf ist derzeit die Klasse Meldeschein ausländisch: Meldescheine werden zwölf Monate nach dem Abreisedatum plus höchstens drei Monate endgültig gelöscht, unabhängig davon, ob Gast oder Rechnung noch existieren. Der Tab Meldeschein einer alten Buchung ist danach leer; ein gedruckter Meldeschein im Aktenordner unterliegt derselben Frist und gehört in den Schredder.
Zusätzlich räumt der Lauf drei Protokolle mit zwölf Monaten Frist auf: die Sicherheitsereignisse (zum Beispiel Passwortänderungen), das Versandprotokoll der Rechnungs-Mails und das der Buchungsbestätigungen. Sie sehen das im Postausgang: Einträge älter als ein Jahr verschwinden. Die Rechnung selbst und ihr PDF bleiben.
Die Klassen Rechnung, Kurtaxe und Marketing sind im Lauf angelegt, aber noch nicht aktiv. Ob und wann ein wiederkehrender Gast automatisch pseudonymisiert wird, ist eine offene Frage an die Datenschutzbeauftragten; bis dahin passiert das nur manuell.
Was manuell bleibt
Die Pseudonymisierung eines Gastes lösen Sie selbst mit Anonymisieren aus, typischerweise auf Antrag des Gastes (Gast anonymisieren (DSGVO)). Sie überschreibt die Stammdaten, löscht Notizen und Tags und lässt Buchungen und Belege stehen. Zahlungs- und Buchungsdatensätze, die nur auf das Profil verweisen, tragen selbst keine Klartextdaten und werden mit dem Profil anonym.
Was nie gelöscht wird
Rechnungen, Stornorechnungen, Zahlungen und der Audit-Trail sind unveränderlich und bleiben für die steuerliche Aufbewahrung erhalten; auf der Rechnung gedruckte Namen bleiben lesbar. Buchungen bleiben mit Zeitraum, Zimmer und Beträgen bestehen, auch nach Anonymisierung des Gastes. Gäste, Firmen, Zimmer und Kategorien lassen sich deaktivieren oder anonymisieren, aber nicht löschen; Artikel nur, solange sie nie gebucht wurden.
Was Sie organisatorisch ergänzen müssen
Die Software deckt die Fristen der Daten ab, die sie selbst hält. Ausdrucke, E-Mail-Postfächer, Ausweiskopien am Empfang oder Excel-Listen liegen außerhalb; dafür brauchen Sie ein eigenes Löschkonzept. Halten Sie in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest, dass Meldescheine automatisch nach 12 plus 3 Monaten gelöscht werden und Gastprofile auf Antrag pseudonymisiert werden.
Dieser Artikel beschreibt den Stand der Software und ersetzt keine Rechtsberatung.