DSGVO für Ferienwohnungs-Gastgeber: der Praxis-Überblick

Gilt die DSGVO überhaupt für mich?

Kurz: ja. Sobald du personenbezogene Daten deiner Gäste verarbeitest — also Namen, Kontaktdaten, Reisedaten, Rechnungsangaben oder Ausweisdaten —, bist du datenschutzrechtlich Verantwortlicher. Das gilt für die private Einzelwohnung genauso wie für die Verwaltung mit zwanzig Objekten und unabhängig davon, ob du steuerlich privat oder gewerblich vermietest. Die „Haushaltsausnahme" für rein persönliche Tätigkeiten greift bei der entgeltlichen Vermietung an fremde Gäste nicht.

Die gute Nachricht: Du musst kein Datenschutz-Experte werden. Es gibt einige klare Pflichten, die sich mit den richtigen Werkzeugen weitgehend automatisieren lassen. Dieser Überblick führt dich durch die wichtigsten — die Sonderfälle Ausweiskopie, Lärmsensor und Meldeschein vertiefen wir in eigenen Leitfäden.

Die Rechtsgrundlage: warum du Daten verarbeiten darfst

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Gastgeber sind vier relevant:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Buchungs- und Gästedaten, die du zur Abwicklung des Beherbergungsvertrags brauchst (Name, Kontakt, An-/Abreise, Abrechnung).
• Rechtliche Verpflichtung (lit. c): der Meldeschein für ausländische Gäste und die steuerliche Aufbewahrung von Rechnungen — hier musst du verarbeiten.
• Berechtigtes Interesse (lit. f): z. B. ein Lärmsensor zur Schadensabwehr — aber nur nach dokumentierter Interessenabwägung gegen die Rechte der Gäste.
• Einwilligung (lit. a): alles Werbliche, vor allem der Newsletter — nur mit aktivem, freiwilligem Opt-in.

Auftragsverarbeitung: AV-Verträge mit deinen Tools

Du arbeitest fast immer mit Dienstleistern, die Gästedaten in deinem Auftrag verarbeiten. Mit ihnen brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — typischerweise mit:

• Channel-Manager / PMS (z. B. Smoobu)
• Cloud-Check-in- bzw. Meldeschein-Tool
• OCR-/KI-Dienst für die Ausweisprüfung
• Hosting, Datenbank und E-Mail-Versand

Ein häufiges Missverständnis betrifft die Buchungsplattformen: Airbnb und Booking.com sind keine Auftragsverarbeiter, sondern eigene Verantwortliche. Sie verarbeiten Daten für eigene Zwecke (Plattformbetrieb, Marketing) und nicht weisungsgebunden für dich — deshalb schließt du mit ihnen keinen AVV.

Daten ins Ausland: Airbnb, US-Cloud & das Data Privacy Framework

Fließen Gästedaten an US-Plattformen oder in eine US-Cloud, ist das ein Drittlandtransfer (Art. 44 ff. DSGVO). Grundlage ist aktuell das EU-US Data Privacy Framework (DPF): Transfers an DPF-zertifizierte US-Unternehmen sind ohne Zusatzinstrument zulässig.

Löschfristen: was wann gelöscht werden muss

Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) verlangt: Daten nur so lange aufbewahren, wie ein Zweck oder eine gesetzliche Pflicht besteht. Die wichtigsten Fristen:

• Meldeschein ausländischer Gäste: 1 Jahr ab Abreise aufbewahren, dann innerhalb von drei Monaten vernichten (§ 30 BMG).
• Rechnungen & Buchungsbelege: seit dem 1.1.2025 nur noch 8 Jahre (vorher 10) — verkürzt durch das Vierte Bürokratieentlastungsgesetz.
• Jahresabschlüsse, Bücher, Inventare: weiterhin 10 Jahre (nicht verkürzt).
• Sonstige Buchungs-/Gästedaten ohne eigene Aufbewahrungspflicht: löschen, sobald der Zweck entfällt (nach Abreise und Abrechnung).

Bist du DSGVO-fit? Die Schnellprüfung

Fünf Fragen zeigen dir, wo du stehst:

Deine Pflichten im Einzelnen

Datenschutzerklärung (Art. 13)

An jedem Punkt, an dem du Daten direkt beim Gast erhebst, musst du transparent informieren: welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, an welche Empfänger (z. B. PMS, Check-in-Tool), wie lange gespeichert, welche Rechte der Gast hat und ob Daten in Drittländer fließen.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Ein internes Dokument, das deine Verarbeitungen auflistet (Zwecke, Datenkategorien, Empfänger, Löschfristen). Die Ausnahme für Stellen unter 250 Beschäftigten greift nicht, sobald die Verarbeitung „nicht nur gelegentlich" erfolgt — bei laufender Gästeverarbeitung ist sie das. Also: auch für dich Pflicht.

Technische & organisatorische Maßnahmen (Art. 32)

Angemessene Sicherheit nach Stand der Technik: Zugriff nur nach Need-to-know, Verschlüsselung, EU-Hosting, sichere Aufbewahrung von Ausweis- und Meldedaten, automatische Löschung nach Fristablauf.

Datenschutzbeauftragter (§ 38 BDSG)

Für typische Vermieter nicht nötig — Pflicht erst ab in der Regel 20 Personen, die ständig automatisiert Daten verarbeiten. Relevant kann es für größere Verwaltungen werden.

Betroffenenrechte: was Gäste verlangen können

Deine Gäste haben Rechte, die du fristgerecht (in der Regel binnen eines Monats) erfüllen musst:

• Auskunft (Art. 15): welche Daten du über sie gespeichert hast.
• Berichtigung (Art. 16): falsche Daten korrigieren.
• Löschung (Art. 17): Daten löschen, sobald keine Aufbewahrungspflicht mehr besteht — bestehende gesetzliche Fristen gehen vor.
• Widerspruch (Art. 21): vor allem gegen Werbung.

Datenpanne: die 72-Stunden-Regel

Geht etwas schief — ein gestohlener Laptop mit Meldedaten, eine fehlkonfigurierte Cloud, ein Massen-Mail-Versand mit offenen Adressen —, musst du die Verletzung der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden melden (Art. 33). Führt die Panne zu einem hohen Risiko für die Gäste, musst du zusätzlich die Betroffenen informieren (Art. 34).

Was kostet ein Verstoß?

Der Bußgeldrahmen (Art. 83) ist zweistufig — maßgeblich ist jeweils der höhere Betrag:

• Obere Stufe: bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — z. B. bei Verstößen gegen Grundsätze, Rechtsgrundlage oder Betroffenenrechte.
• Untere Stufe: bis 10 Mio. € oder 2 % — z. B. bei fehlendem Verzeichnis, mangelnden TOMs oder verspäteter Datenpannen-Meldung.

In der Praxis bewegen sich typische Gastgeber-Versäumnisse eher in der unteren Stufe — teuer genug, um den Aufwand für sauberen Datenschutz zu rechtfertigen.

Die Spezialfälle im Detail

Für die drei datenschutzintensivsten Themen haben wir eigene Leitfäden:

• Darf ich den Ausweis meiner Gäste kopieren? — Identität prüfen vs. kopieren, Datensparsamkeit.
• Lärmsensoren DSGVO-konform einsetzen — die Interessenabwägung beim berechtigten Interesse.
• Meldepflicht & Meldeschein — was seit 2025 für deutsche und ausländische Gäste gilt.

Häufige Fragen

Gilt die DSGVO auch für private Ferienwohnungs-Vermieter?

Ja. Sobald du personenbezogene Gästedaten verarbeitest — Name, Kontaktdaten, Reisedaten oder Ausweisangaben —, gilt die DSGVO, unabhängig von der Anzahl der Wohnungen und davon, ob du steuerlich privat oder gewerblich vermietest. Eine rein private Nutzung im Sinne der „Haushaltsausnahme" liegt bei entgeltlicher Vermietung an Fremde nicht vor.

Brauche ich einen Auftragsverarbeitungsvertrag mit Airbnb oder Booking.com?

Nein. Airbnb und Booking.com sind keine Auftragsverarbeiter, sondern eigene Verantwortliche — sie verarbeiten Daten für eigene Zwecke und nicht weisungsgebunden für dich. Einen AV-Vertrag (Art. 28 DSGVO) brauchst du dagegen mit Dienstleistern, die Gästedaten in deinem Auftrag verarbeiten, z. B. Channel-Manager/PMS, Check-in-Tool, Cloud-Hosting oder E-Mail-Versand.

Wie lange muss ich Gästedaten aufbewahren?

Den Meldeschein ausländischer Gäste ein Jahr ab Abreise, danach vernichten. Rechnungen und Buchungsbelege musst du seit 2025 nur noch 8 Jahre aufbewahren (vorher 10 Jahre; verkürzt durch das Vierte Bürokratieentlastungsgesetz). Jahresabschlüsse, Bücher und Inventare bleiben bei 10 Jahren. Sonstige Gästedaten löschst du, sobald der Zweck — die Vertragsabwicklung — entfallen ist.

Muss ich als Kleinvermieter ein Verarbeitungsverzeichnis führen?

In der Praxis ja. Die scheinbare Ausnahme für Unternehmen unter 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) greift nicht, sobald die Verarbeitung nicht nur gelegentlich erfolgt. Da Gästedaten laufend und systematisch verarbeitet werden, ist das Verzeichnis von Verarbeitungstätigkeiten faktisch auch für den Einzelvermieter Pflicht.

Brauche ich einen Datenschutzbeauftragten?

In der Regel nein. Ein Datenschutzbeauftragter ist nach § 38 BDSG erst Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — das erreichen typische Vermieter nicht. Schwellenunabhängig kann eine Pflicht entstehen, wenn eine Datenschutz-Folgenabschätzung nötig ist.

Was muss ich bei einer Datenpanne tun?

Eine Verletzung des Schutzes personenbezogener Daten musst du der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden melden (Art. 33 DSGVO) — es sei denn, sie führt voraussichtlich zu keinem Risiko. Bei hohem Risiko für die Betroffenen musst du zusätzlich die betroffenen Gäste informieren (Art. 34).