Wo eine Gästehaus-Website personenbezogene Daten berührt
Wer schreibt „Ist die Wohnung vom 14. bis 21. Juli für zwei Erwachsene und ein Kind frei?“, hat Ihnen gerade Name, E-Mail-Adresse und Angaben zu Familie und Reiseplänen mitgeteilt. Das sind personenbezogene Daten im Sinne der DSGVO, und Sie sind dafür der Verantwortliche. Dasselbe gilt für eine Telefonnummer in einem Rückruffeld. Oft ist die Website die erste Stelle, an der das geschieht, und es geschieht an mehr Stellen als nur im Formular.
Fünf Stellen, die Sie prüfen sollten
Das Anfrageformular
Fragen Sie nur ab, was Sie wirklich brauchen: Name, E-Mail, Reisedaten, Personenzahl und Nachricht. Die Telefonnummer kann freiwillig sein. Für jedes weitere Feld sollte es einen Grund geben. Neben den Button gehört ein Link zur Datenschutzinformation.
E-Mail-Link und WhatsApp-Button
Ein einfacher E-Mail-Link erhebt für sich nichts, sobald der Gast aber schreibt, verarbeiten Sie seine Daten. Ein WhatsApp-Button öffnet ein Gespräch bei einem Drittanbieter; das sollte in der Datenschutzinformation stehen.
Eingebettete Karten, Videos und Buchungs-Widgets
Lädt eine Seite eine Karte oder ein Video eines anderen Anbieters, verbindet sich der Browser des Besuchers mit diesem Anbieter, der mindestens die IP-Adresse erhält. Üblich sind ein Platzhalter, der den Inhalt erst nach einem Klick lädt, oder ein statisches Kartenbild mit Link.
Besucherstatistik
Statistik gilt in der Regel nicht als „unbedingt erforderlich“ für den Dienst, den der Besucher angefordert hat. Ein Werkzeug, das Kennungen auf dem Gerät speichert oder ausliest, braucht deshalb normalerweise vorher eine Einwilligung. Prüfen Sie die Dokumentation des Werkzeugs und die Hinweise Ihrer Aufsichtsbehörde.
Newsletter
Halten Sie ihn getrennt und freiwillig, mit einem nicht vorangekreuzten Kästchen. Die Einwilligung zum Newsletter und die Anfrage nach Terminen sind zwei verschiedene Vorgänge.
Was die Datenschutzinformation enthalten muss
Artikel 13 DSGVO zählt auf, was ein Mensch erhält, wenn seine Daten direkt bei ihm erhoben werden: wer der Verantwortliche ist und wie man ihn erreicht, Zwecke und Rechtsgrundlage, die Empfänger (zum Beispiel Hosting- und E-Mail-Anbieter), ob Daten außerhalb der EU übermittelt werden, wie lange sie gespeichert werden, welche Rechte bestehen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) und dass man sich bei der Aufsichtsbehörde beschweren kann. In Bulgarien ist das die Kommission für den Schutz personenbezogener Daten (CPDP). Für eine Buchungsanfrage kommen üblicherweise vorvertragliche Maßnahmen auf Wunsch des Gastes als Grundlage in Betracht, nicht die Einwilligung. Der Text muss Ihren Betrieb beschreiben, nicht den eines anderen. Lassen Sie ihn deshalb von einer Fachperson für Datenschutzrecht prüfen.
Wie eine gültige Einwilligung aussieht
Nach der Zusammenfassung des Europäischen Datenschutzausschusses (EDSA, englisch EDPB) muss eine Einwilligung freiwillig, bestimmt, informiert und unmissverständlich sein. Vorangekreuzte Kästchen, Schweigen und bloßes Weiterscrollen sind keine Einwilligung. Ein Banner, das Inhalte sperrt, bis der Besucher auf „Akzeptieren“ klickt, ergibt nach dem dort genannten Beispiel ebenfalls keine gültige Einwilligung. Der Widerruf muss so einfach sein wie die Erteilung; deshalb gehört auf jede Seite ein Link im Fußbereich, der die Einstellungen erneut öffnet. Skripte nicht notwendiger Werkzeuge laden erst nach dem Klick. Die Leitlinien des EDSA zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der ePrivacy-Richtlinie machen deutlich, dass die Regel nicht auf klassische Cookies beschränkt ist, sondern auch Tracking-Pixel und lokalen Speicher erfassen kann. Bulgarien hat die Richtlinie in nationales Recht umgesetzt; prüfen Sie den aktuellen Wortlaut oder fragen Sie eine Fachperson.
Vor dem Start
Bevor eine Website online geht, gehen wir eine kurze Liste durch: welche Felder wirklich nötig sind, welche externen Werkzeuge laden, wer der Verantwortliche ist und wie er erreichbar ist, wie lange Anfragen gespeichert werden und wo der Link zur Datenschutzinformation steht. Meldepflichten von Beherbergungsbetrieben gegenüber Behörden und steuerliche Fragen sind von der Website getrennt und werden hier nicht behandelt.
Was es kostet und was ich von Ihnen brauche
Eine „Start“-Website mit bis zu fünf Seiten auf Bulgarisch und Englisch beginnt bei 490 € netto. Das Hosting beginnt bei 24,90 € pro Monat. Ich brauche von Ihnen: welche Formularfelder Sie möchten, welche Werkzeuge Sie nutzen (Buchungs-Widget, Karte, Statistik, Newsletter) und wer der Verantwortliche für die Daten ist. Die Rechtstexte sollte eine Fachperson prüfen; ich baue sie in die Website ein.
Quellen: EDSA/EDPB: Zusammenfassung zur Einwilligung (englisch) · EUR-Lex: DSGVO (Verordnung 2016/679) · EUR-Lex: ePrivacy-Richtlinie 2002/58/EG
Häufige Fragen
Brauche ich ein Cookie-Banner, wenn meine Gästehaus-Seite nur ein Kontaktformular hat?
Das hängt davon ab, was die Seite lädt. Für technisch notwendige Speicherung braucht es keine Einwilligung, für eingebettete Karten, Videos, Statistik oder Werbung unter Umständen schon. Eine Datenschutzinformation brauchen Sie in jedem Fall, weil das Formular Daten erhebt.
Darf ich eine Datenschutzerklärung von einer anderen Website übernehmen?
Das ist keine gute Idee. Der Text muss Ihre eigene Verarbeitung beschreiben: wer Sie sind, welche Werkzeuge Sie nutzen, wer die Daten erhält und wie lange Sie sie speichern. Ein kopierter Text nennt oft Werkzeuge, die Sie gar nicht nutzen, und lässt andere aus. Lassen Sie ihn prüfen.
Deckt meine Information auch Buchungen über ein Portal wie Booking.com ab?
Für das, was auf dem Portal geschieht, gilt dessen eigene Datenschutzinformation. Ihr Text deckt Ihre Website ab: das Formular, Ihre E-Mails und eingebettete Werkzeuge. Binden Sie ein Portal-Widget in Ihre Seite ein, sollten Sie das erwähnen.
Wie lange darf ich Anfragen speichern?
Die DSGVO nennt keine feste Frist. Artikel 13 verlangt, dass Sie die Dauer oder die Kriterien dafür angeben. Legen Sie sie selbst fest, zum Beispiel für Anfragen ohne Buchung, und halten Sie sie schriftlich fest.
Bereit für eine Gästehaus-Website, die mit Gästedaten sauber umgeht?
Erzählen Sie mir von Ihrer Unterkunft und den Werkzeugen, die Sie nutzen. Ich antworte mit einer ersten Einschätzung und einem Festpreis.