Gästedaten bei Restaurantreservierungen: DSGVO beachten

Auch hier vorweg: Einordnung, keine Rechtsberatung. Für ein Restaurant mit einem Reservierungsbuch ist die Lage aber überschaubarer, als der Ruf der DSGVO vermuten lässt.

Welche Daten Sie erheben dürfen

Für die Durchführung eines Vertrags dürfen Sie die Daten erheben, die Sie dafür brauchen – eine gesonderte Einwilligung ist dafür nicht nötig. Bei einer Reservierung sind das Name, Datum, Uhrzeit, Personenzahl und ein Kontaktweg.

• Name: erforderlich, sonst wissen Sie nicht, wer vor Ihnen steht.
• Telefon oder E-Mail: erforderlich, sonst können Sie bei einer Änderung niemanden erreichen. Beides gleichzeitig zu verlangen ist schwerer zu begründen.
• Anmerkungen des Gastes: in Ordnung, solange er sie freiwillig macht. Fragen Sie nicht nach Allergien „für die Statistik“ – Gesundheitsdaten sind besonders geschützt.
• Geburtsdatum, Adresse, Anrede: für eine Reservierung nicht erforderlich. Wer sie trotzdem abfragt, braucht dafür einen Grund.

Wie lange Sie aufbewahren dürfen

Solange der Zweck besteht. Nach dem Besuch ist der Zweck „Reservierung durchführen“ erledigt. Ein gewisser Nachlauf ist begründbar – für Rückfragen, für die Statistik in aggregierter Form, bei Rechnungen für die steuerlichen Fristen.

Was nicht geht, ist unbegrenzt aufbewahren, „weil man ja nie weiß“. Eine übliche und gut begründbare Praxis ist, personenbezogene Reservierungsdaten nach einigen Monaten automatisch zu löschen und nur die Zahlen zu behalten – wie viele Gäste an welchem Tag, ohne Namen.

Was Sie den Gästen sagen müssen

Beim Reservieren braucht es einen Hinweis, wer die Daten verarbeitet, wozu, wie lange, und dass es Rechte auf Auskunft und Löschung gibt. In der Praxis reicht ein Satz am Formular mit einem Link auf die Datenschutzerklärung.

Wenn jemand Auskunft oder Löschung verlangt

1. 1Identität prüfen – aber verhältnismäßig. Sie dürfen sicherstellen, dass Sie nicht die Daten eines Dritten herausgeben, aber keinen Ausweis verlangen, wenn die Zuordnung anders klappt.
2. 2Innerhalb eines Monats antworten. Das ist die Frist, und sie wird ernst genommen.
3. 3Bei Auskunft: alles herausgeben, was Sie zu dieser Person gespeichert haben, in verständlicher Form.
4. 4Bei Löschung: löschen, soweit keine Aufbewahrungspflicht entgegensteht. Was Sie behalten müssen, sollten Sie begründen können.

Auftragsverarbeitung

Wenn Sie eine Reservierungssoftware nutzen, verarbeitet dieser Anbieter Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung. Ein seriöser Anbieter stellt den von sich aus bereit – wenn Sie danach fragen müssen und niemand weiß, was gemeint ist, ist das ein Warnzeichen.