DSGVO für Restaurants: das Wichtigste verständlich erklärt

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen – also Name, Telefonnummer, E-Mail-Adresse oder auch eine IP-Adresse. In der Gastronomie kommen solche Daten an vielen Stellen zusammen, oft ohne dass es bewusst wahrgenommen wird. Schon eine telefonische Tischreservierung mit Namensnotiz ist eine Verarbeitung im Sinne der DSGVO.

• Reservierungen mit Name, Telefonnummer, Personenzahl und manchmal besonderen Wünschen oder Allergiehinweisen.
• Online-Bestellungen mit Liefer- oder Abholadresse, Kontaktdaten und Bezahlinformationen.
• Newsletter-Anmeldungen mit E-Mail-Adresse und gegebenenfalls Vorname zur persönlichen Ansprache.
• WLAN-Zugänge für Gäste, bei denen je nach Lösung Geräte- oder Anmeldedaten erfasst werden.
• Kontaktformulare auf der Website sowie Anfragen über Messenger oder soziale Netzwerke.
• Videoüberwachung (CCTV) im Gastraum oder am Eingang sowie Bewerbungsunterlagen von Mitarbeitenden.

Je mehr digitale Kanäle Sie nutzen, desto mehr Datenquellen entstehen. Ein erster sinnvoller Schritt ist deshalb, sich einen Überblick zu verschaffen: Welche Daten erheben wir, wo werden sie gespeichert und wer hat Zugriff darauf? Diese Bestandsaufnahme bildet die Grundlage für alles Weitere.

Die DSGVO baut auf einigen klaren Grundsätzen auf, die Sie nicht auswendig kennen müssen, deren Logik aber hilft, im Alltag richtig zu handeln. Im Kern geht es darum, nur die Daten zu erheben, die Sie wirklich brauchen, und transparent damit umzugehen. Wer diese Logik verinnerlicht, trifft im Zweifel meist die richtige Entscheidung.

Die wichtigsten Prinzipien

• Rechtsgrundlage: Jede Verarbeitung braucht einen erlaubten Grund, etwa eine Einwilligung, einen Vertrag (z. B. eine Bestellung) oder ein berechtigtes Interesse.
• Zweckbindung: Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden – Reservierungsdaten nicht ungefragt für Werbung.
• Datenminimierung: Erheben Sie nur, was wirklich nötig ist, und verzichten Sie auf Pflichtfelder, die keinen Zweck erfüllen.
• Transparenz: Gäste müssen verständlich erfahren, welche Daten Sie wie verarbeiten – dafür dient die Datenschutzerklärung.
• Speicherbegrenzung: Daten dürfen nicht länger aufbewahrt werden, als es der Zweck oder gesetzliche Fristen erfordern.
• Sicherheit: Personenbezogene Daten sind durch geeignete technische und organisatorische Maßnahmen vor Verlust und unbefugtem Zugriff zu schützen.

Diese Grundsätze gelten EU-weit, weil die DSGVO eine europäische Verordnung ist. In Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG) an einzelnen Stellen. Welche Rechtsgrundlage im Einzelfall passt, lässt sich nicht pauschal beantworten – im Zweifel klären Sie das mit der zuständigen Aufsichtsbehörde oder einer fachkundigen Rechtsberatung.

Sobald Sie personenbezogene Daten verarbeiten, brauchen Sie eine Datenschutzerklärung – in der Regel auf Ihrer Website, gut auffindbar und in verständlicher Sprache. Sie erklärt unter anderem, welche Daten Sie zu welchem Zweck erheben, wie lange Sie sie speichern und welche Rechte Gäste haben. Nutzen Sie für einzelne Aufgaben externe Dienstleister, die in Ihrem Auftrag Daten verarbeiten, kommt ein Auftragsverarbeitungsvertrag (AVV) hinzu.

1. 1Verschaffen Sie sich einen Überblick über alle Tools und Dienstleister, die in Ihrem Auftrag Gästedaten verarbeiten – etwa Reservierungs-, Bestell-, Newsletter- oder Hosting-Anbieter.
2. 2Prüfen Sie für jeden dieser Dienste, ob ein Auftragsverarbeitungsvertrag (AVV) vorliegt; seriöse Anbieter stellen ihn bereit und schließen ihn mit Ihnen ab.
3. 3Erstellen oder aktualisieren Sie eine Datenschutzerklärung, die alle genutzten Dienste und Datenarten wahrheitsgemäß abbildet.
4. 4Dokumentieren Sie, welche Verarbeitungen in Ihrem Betrieb stattfinden – das gehört zum Verzeichnis von Verarbeitungstätigkeiten.
5. 5Überprüfen Sie die Angaben regelmäßig und passen Sie sie an, sobald Sie neue Tools einsetzen oder Abläufe ändern.

Ein AVV regelt die Pflichten des Dienstleisters und stellt sicher, dass die Daten nur weisungsgebunden verarbeitet werden. Verantwortlich für die Einhaltung der DSGVO bleiben Sie als Betrieb – auch dann, wenn die Daten technisch bei einem Dritten liegen. Eine rechtssichere Datenschutzerklärung sollte deshalb individuell auf Ihren Betrieb zugeschnitten sein, im Zweifel mit fachkundiger Unterstützung.

Die DSGVO gibt Gästen eine Reihe von Rechten, auf die Sie vorbereitet sein sollten. Stellt jemand eine Anfrage – etwa zur Auskunft oder Löschung –, müssen Sie in der Regel innerhalb eines Monats reagieren. Es hilft, einen klaren internen Ablauf dafür zu haben, damit solche Anfragen nicht im Tagesgeschäft untergehen.

• Auskunftsrecht: Gäste dürfen erfahren, ob und welche Daten Sie über sie gespeichert haben.
• Recht auf Berichtigung: Falsche oder veraltete Daten müssen auf Wunsch korrigiert werden.
• Recht auf Löschung: Sind Daten nicht mehr nötig oder fehlt die Grundlage, müssen sie gelöscht werden, sofern keine Aufbewahrungspflicht entgegensteht.
• Recht auf Einschränkung und Datenübertragbarkeit sowie das Widerspruchsrecht gegen bestimmte Verarbeitungen.
• Widerruf der Einwilligung: Eine erteilte Einwilligung, etwa für den Newsletter, muss jederzeit einfach widerrufbar sein.

Als praktische erste Schritte empfehlen sich: eine Bestandsaufnahme aller Datenquellen, eine aktuelle Datenschutzerklärung, AVV mit allen Dienstleistern, eine sparsame Datenerhebung und ein geregelter Umgang mit Anfragen. Schulen Sie zudem Ihr Team kurz dafür, wie mit Gästedaten umzugehen ist. So entsteht Schritt für Schritt ein solides Datenschutzniveau, ohne dass alles auf einmal perfekt sein muss.

Ein praktischer Teil des Datenschutzes ist Ordnung: Je übersichtlicher Ihre Gästedaten organisiert sind, desto leichter fällt der verantwortungsvolle Umgang. gastronomx bündelt Reservierungen und Online-Bestellungen an einem Ort, sodass Sie nicht zwischen verstreuten Listen, Zetteln und Postfächern hin- und herwechseln müssen. Diese zentrale Übersicht erleichtert es, den Überblick zu behalten und auf Anfragen geordnet zu reagieren.

Ordnung schafft die Grundlage

Innerhalb des Produkts werden Reservierungs- und Bestelldaten strukturiert verarbeitet, statt unkontrolliert an vielen Stellen verteilt zu liegen. Das nimmt Ihnen die rechtliche Verantwortung nicht ab – die DSGVO-Pflichten bleiben bei Ihnen als Betrieb –, aber eine aufgeräumte Datenbasis ist eine gute Ausgangslage für sauberen Datenschutz. Eigene Themen zur Datenschutzerklärung und zur Datensicherheit vertiefen die einzelnen Aspekte.

Wichtig bleibt: gastronomx ist ein Werkzeug, kein Ersatz für eine individuelle datenschutzrechtliche Prüfung. Welche Rechtsgrundlagen, Fristen und Formulierungen für Ihren Betrieb gelten, sollten Sie im Zweifel mit der zuständigen Aufsichtsbehörde oder einer fachkundigen Rechtsberatung klären. Dieser Artikel bietet allgemeine Orientierung und ist keine Rechtsberatung.