Welche Daten braucht der Ablauf?
Namen, Kontaktdaten oder Freitext sind nicht automatisch nötig. Ein Ablauf braucht meist weniger Angaben, als heute mitlaufen.
Drei Fragen vor jedem Pilotprojekt
Wo werden sie verarbeitet?
Prüfen Sie Anbieter, Speicherorte, Vertragsgrundlage, Löschmöglichkeiten und Zugriffsrechte, bevor echte Daten verwendet werden.
Wer trägt die Entscheidung?
Ein Vorschlag darf nicht unbemerkt zur Entscheidung werden. Preis, Versand und sensible Kommunikation brauchen eine benannte Freigabe.
So begrenzen wir einen ersten Prototyp
Nur die nötigen Daten
Der Prototyp bekommt die Angaben, die der Ablauf braucht, und keine weiteren. So lassen sich Ablauf und Fehlerfälle testen, ohne unnötig Personenbezug einzuführen.
Nur die nötigen Zugriffe
Ein Werkzeug erhält nicht vorsorglich Zugriff auf das ganze Postfach oder System. Berechtigungen folgen dem konkreten Zweck.
Ausgabe statt Aktion
Der Prototyp bereitet zunächst einen Entwurf, eine Liste oder einen Prüfhinweis vor. Ein Mensch übernimmt den nächsten Schritt.
Dokumentieren und entscheiden
Vor dem Echtbetrieb werden Werkzeug, Datenarten, Verantwortliche, Löschung und Kontrollschritte festgehalten.
Welche Daten im Betrieb entstehen, und was das Gesetz dazu sagt
Gastdaten
Name, Anschrift, Ausweisdaten auf dem Meldeschein, Zimmerwünsche, Allergien. Der Meldeschein ist nach Bundesmeldegesetz Pflicht und darf nur für diesen Zweck genutzt werden. Für alles Weitere gilt die Datensparsamkeit der DSGVO: nur, was der Ablauf braucht.
Mitarbeiterdaten
Dienstpläne, Arbeitszeiten, Verfügbarkeiten. Arbeitszeiterfassung ist Pflicht, und alles, was Verhalten oder Leistung erfassen könnte, ist mitbestimmungspflichtig. Der Betriebsrat gehört bei Dienstplan-Abläufen von Anfang an dazu.
Zahlungs- und Kassendaten
Rechnungen, Kassenabschlüsse, OTA-Abrechnungen. Die Kasse unterliegt der Kassensicherungsverordnung, ihre Daten bleiben im System. KI liest Exporte und Belege, sie schreibt nicht in die Kasse.
Bewertungen und Anfragen
Öffentliche Bewertungen und eingehende Mails enthalten Personenbezug. Ein Antwortentwurf braucht den Inhalt, nicht die Kontaktdaten. Was in ein Werkzeug geht, wird vorher festgelegt.
Vier Abläufe und ihre Datenfrage
Tagungsanfrage beantworten
Braucht: Termin, Personenzahl, Räume, Verpflegung, Zimmerwunsch. Braucht nicht: die Ausweisdaten der Teilnehmenden. Das Angebot entsteht aus den Bausteinen des Hauses, der Absender bleibt in Ihrem Postfach.
Bewertung beantworten
Braucht: den Text der Bewertung und den Ton des Hauses. Braucht nicht: Reservierungsdaten des Gastes. Der Entwurf wird vor dem Versand gelesen.
Anreiseliste erstellen
Braucht: Zimmer, Ankunftszeit, Sonderwünsche, Allergien für die Küche. Braucht nicht: Zahlungsdaten. Die Liste bleibt im Haus, sie läuft in Ihren eigenen Zugängen.
Rechnungen vorprüfen
Braucht: Rechnung, Bestellung, Lieferant, Kostenstelle. Braucht nicht: Bankverbindungen im Klartext. Die Freigabe bleibt bei der Buchhaltung.
Was Hotels und Restaurants uns zum Datenschutz fragen
- Dürfen Gastdaten in ein KI-Werkzeug?
- Nur, wenn der Ablauf sie braucht, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter besteht und die Daten in Europa verarbeitet werden. Für die meisten Abläufe braucht es sie nicht.
- Welche Werkzeuge sind erlaubt?
- Die, deren Anbieter einen Auftragsverarbeitungsvertrag anbieten und den Verarbeitungsort nennen. Im KI-Fahrplan steht für jeden Ablauf, welches Werkzeug dafür in Frage kommt.
- Muss der Betriebsrat mitreden?
- Bei Dienstplan und Arbeitszeiten ja, nach § 87 Betriebsverfassungsgesetz. Für Abläufe ohne Bezug zu Verhalten und Leistung der Mitarbeitenden nicht.
- Wer haftet, wenn KI etwas Falsches schreibt?
- Das Haus, wie bei jedem Mitarbeiter. Deshalb bleibt bei Preis, Zusagen und Kulanz ein Mensch zwischen Entwurf und Versand, und das steht in der Dokumentation des Ablaufs.
Rechtsgrundlagen, auf die sich diese Seite stützt
- Bundesmeldegesetz §§ 29 und 30: Meldeschein in Beherbergungsstätten, Zweckbindung.
- DSGVO Art. 5: Datensparsamkeit, Zweckbindung, Speicherbegrenzung.
- Kassensicherungsverordnung: Anforderungen an elektronische Kassensysteme.
- Bundesministerium für Arbeit und Soziales: Pflicht zur Arbeitszeiterfassung.
- Bundesamt für Sicherheit in der Informationstechnik: Nutzungsregeln für generative KI, Umgang mit sensiblen Daten.
Was dieser Rahmen nicht ersetzt
Er hilft, Projekte sinnvoll zu entwerfen. Er ersetzt keine individuelle rechtliche Prüfung Ihres Betriebs. Welche Anforderungen gelten, hängt vom konkreten Ablauf, den Daten und den eingesetzten Anbietern ab.
In unser öffentliches Kontaktformular gehören keine Gast-, Mitarbeiter- oder anderen sensiblen Daten. Für das Erstgespräch genügt eine abstrakte Beschreibung des Ablaufs.
Der Datenschutz-Rahmen gehört in den KI-Fahrplan.
Für jeden priorisierten Fall halten wir fest, welche Daten in welches Werkzeug dürfen und was im Haus bleiben muss.
KI-Fahrplan und KI-Werkstatt ansehen