Hotelbetreiber setzen regelmäßig externe IT-Dienstleister, Buchungsplattformen, Cloud-Anbieter oder Property-Management-Systeme ein.
Die Hotelbetreiber haften datenschutzrechtlich auch dann weiter, wenn die eigentliche Verarbeitung an Dritte ausgelagert war. Unzureichende Regelungen zur Datenlöschung oder fehlende Kontrollen beim Vertragsende können daher zu Schadensersatzansprüchen ehemaliger Gäste führen.
Der Bundesgerichtshof hat mit Urteil vom 11. November 2025 (Az. VI ZR 396/24) die datenschutzrechtlichen Pflichten von Unternehmen bei der Beendigung von Auftragsverarbeitungen konkretisiert und damit eine für Hotelbetriebe besonders praxisrelevante Entscheidung getroffen.
Der BGH stellt klar, dass die Verantwortung für personenbezogene Daten nicht automatisch mit dem Ende eines Dienstleistungsvertrages endet. Hotelbetreiber bleiben vielmehr verpflichtet, sicherzustellen, dass personenbezogene Daten von Gästen nach Vertragsbeendigung beim Auftragsverarbeiter vollständig gelöscht oder ordnungsgemäß zurückgegeben werden, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Nach der Entscheidung liegt ein Verstoß gegen die DSGVO bereits dann vor, wenn personenbezogene Daten nach Vertragsende beim ehemaligen Dienstleister verbleiben und der Verantwortliche keinen effektiven Zugriff oder keine Kontrolle mehr über diese Daten hat. In diesem Zusammenhang betont der BGH, dass schon ein Kontrollverlust über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 DSGVO begründen kann, ohne dass ein konkreter Missbrauch nachgewiesen werden muss.
Hotelbetreibern ist vor diesem Hintergrund dringend zu empfehlen, bestehende Auftragsverarbeitungsverträge zu überprüfen und klare, verbindliche Regelungen zur Datenrückgabe und Datenlöschung bei Vertragsende vorzusehen. Ebenso sollten die entsprechenden Löschvorgänge technisch abgesichert und dokumentiert werden. Das Urteil macht deutlich, dass Datenschutz kein rein vertragliches Thema ist, sondern ein fortdauerndes Haftungsrisiko darstellt, das aktiv gemanagt werden muss.
Wir stehen bei der rechtlichen Beratung an Ihrer Seite. Rufen Sie uns gerne unter + 49 211 – 5997770 an oder senden uns eine E-Mail an info@wmrg.de .
Dieser Beitrag wurde verfasst von Mathias Iking | Rechtsanwalt | LL.M. Medienrecht