Die DSGVO, die für die Allgemeine Datenschutzverordnung steht, trat in der EU am 25. Mai 2018 in Kraft. Die Verabschiedung des Gesetzes war geprägt von einem starken Konflikt zwischen denjenigen, die an die Rolle der Regierung beim Schutz der Privatsphäre der Verbraucher durch Regulierung glauben und diejenigen, die glauben, dass ein freier Markt herrschen muss.

Die DSGVO sieht ?den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Datenverkehr? vor. Als grundlegende Überarbeitung der Art und Weise, wie Unternehmen Daten verarbeiten, handhaben und speichern sollen, gab die DSGVO Einzelpersonen auch eine detailliertere Kontrolle über ihre Daten.

Unter der DSGVO beziehen sich Daten sowohl auf personenbezogene Daten wie Namen, IP-Adressen oder alles, was zur Identifizierung einer Person verwendet werden könnte, als auch auf sensible personenbezogene Daten wie genetisches Material, politische Ansichten, sexuelle Orientierung und dergleichen.

Jede Organisation, die als Verantwortlicher oder Verarbeiter personenbezogener Daten fungiert, fällt unter die DSGVO. Ein Datenverantwortlicher ist die Stelle, die bestimmt, wie Daten verwendet werden, damit der Prozess zustande kommt, während der Datenverarbeiter jede Stelle ist, die kein Mitarbeiter des Datenverantwortlichen ist und Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet.

Für Hotels ist diese Unterscheidung wichtig, da sie als ?Verantwortliche? von Daten (z. B. Direktbuchungen) fungieren können, während ihre Anbieter als ?Verarbeiter? der Daten (z. B. Buchungen auf Drittplattformen) gelten. Sofern vertraglich nichts anderes geregelt ist, ist der Datenverantwortliche für die Einhaltung der DSGVO verantwortlich.

Hotels müssen bei drohenden Bußgeldern von bis zu 25 Millionen Euro oder 4 % des Umsatzes den Gast in den Mittelpunkt aller Datenschutzstrategien stellen. Darauf gehen wir später in unserer DSGVO-Checkliste für Hotels ein.

Um Ihr Hotel konform zu machen und diese Konformität im Laufe der Zeit aufrechtzuerhalten, ist ein durchdachter und ganzheitlicher Ansatz erforderlich. Sie müssen sorgfältig überlegen, wie Daten zwischen internen Systemen ausgetauscht werden und wie diese Daten von Drittsystemen, die nicht direkt Ihrer Kontrolle unterliegen, hin und her fließen.

Da die DSGVO Ihrem Hotel als Datenverantwortlichem die Verantwortung auferlegt, ist es wichtig, dass Sie verstehen, wie Daten an jedem Knotenpunkt fließen. Hier eine DDR-Checkliste für Hotels:

1. Prüfung. Führen Sie eine Analyse durch, um interne Prozesse, Verträge mit Anbietern, vorhandene Datenbanken und den Datenfluss zwischen Systemen zu überprüfen. Sie müssen verstehen, welche Informationen Sie besitzen und wer Zugriff darauf hat. Diese Klarheit sollte alles bestimmen, was Sie von diesem Punkt an tun.

2. Kommunizieren. Fragen Sie bestehende Anbieter nach ihren Daten-Compliance-Richtlinien. Wir müssen ein klares Bild davon haben, wie die Daten Ihres Hotels mit seinen Systemen interagieren, und alle Schwachstellen oder schlecht informierten Anbieter identifizieren. Nachdem Sie mit Ihren bestehenden Anbietern gesprochen haben, ist es möglicherweise an der Zeit, andere Optionen zu prüfen. Wenn Sie mit einem DSGVO-konformen Anbieter wie dem GMS (CRM) von TravelClick, der iHotelier-Buchungsmaschine oder einem Hotel-Website-Builder zusammenarbeiten, beseitigen Sie Compliance-Stress, ohne einen Finger zu rühren. Die Compliance ist in das Produkt integriert, sodass Sie beruhigt sein können.

3. Planen. Sobald Sie Ihr Audit und den aktualisierten Tech-Stack haben, besteht der nächste Schritt darin, einen Entwurf für die Governance zu erstellen. Sie möchten einen Rahmen für die Verwaltung von Daten, einschließlich Richtlinien und Prozessen, um potenzielle Lücken im Umgang mit Gästedaten in Ihrem Hotel zu schließen. Sie benötigen klar definierte Rollen und Verantwortlichkeiten für die Mitarbeiter, z. B. die Zuweisung der Verantwortung für die Bearbeitung eingehender Datenanfragen von Verbrauchern. Sie sollten auch einen schrittweisen Aktionsplan für Datenschutzverletzungen erstellen, der im Falle eines datenbezogenen Vorfalls, Hacks oder einer Verletzung in Kraft tritt.

4. Ausführen. Jetzt ist es Zeit, den Plan zu arbeiten! Dinge, die Sie unbedingt einschließen möchten:

   1. Ausdrückliche Zustimmung: Bitten Sie die Besucher Ihrer Website, sich für Cookies zu entscheiden, anstatt automatisch Cookies zu installieren und sie abzulehnen. Sie müssen auch nachverfolgen, wann und wo jede Person zugestimmt (oder diese Zustimmung widerrufen) hat.

   2. Datenschutzrichtlinie: Aktualisieren Sie Ihre Datenschutzrichtlinie, um relevante Informationen zur DSGVO-Konformität aufzunehmen, z. B. wie Sie Daten verwenden und wie Benutzer sich abmelden können.

   3. Rezeption: Stellen Sie sicher, dass Ihre Datenerfassungsrichtlinien an der Rezeption konform sind, da alles, was Sie offline erfassen, auch der DSGVO entsprechen muss.

   4. Existierende Daten. Die DSGVO gilt für alle personenbezogenen Daten, unabhängig davon, wann sie erfasst wurden. Da Daten auch neuen Regeln und Vorschriften unterliegen, möchten Sie sicher sein, dass sie auch konform sind!

5. Zug. Compliance ist nur so gut wie Ihr schwächstes Glied. Indem Sie Ihre Mitarbeiter darin schulen, sich an diese Richtlinien zu halten, sind Sie weniger anfällig für Probleme im Zusammenhang mit der DSGVO. Informieren Sie Ihre Mitarbeiter darüber, was zu einer Datenschutzverletzung führen kann und wie sie dazu beitragen können, dies zu verhindern ? einschließlich der Überwachung auf Warnsignale. einen klaren Prozess für die Mitarbeiter durchspielen, um Fehler oder andere Probleme im Zusammenhang mit Beschwerden an das Management zu melden. Es sollte eine angstfreie Umgebung herrschen, in der Transparenz Vorrang vor Bestrafung hat.

6. Pflegen. Wartung ist weitaus weniger belastend als Compliance. Überprüfen Sie jeden Aspekt Ihres Datenschutzprogramms regelmäßig, um es auf unerwartete Änderungen oder neue Compliance-Probleme zu überprüfen.

Die Absichten hinter dem Datenschutzgesetz waren gut: Es ging darum, im heutigen datengetriebenen digitalen Zeitalter mehr Kontrolle für Verbraucher zu schaffen. In den meisten Ländern und Regionen wurden bestehende Datenschutzgesetze erlassen, bevor das Internet die Macht übernahm. Die Verordnung sollte Vorschriften bis zum Handel auffangen.

Um dieses Ziel einer größeren Kontrolle im heutigen digitalen Zeitalter zu erreichen, wurden in der Verordnung sieben individuelle Rechte verankert, die auf den Kernprinzipien des Datenschutzes basieren:

1. Das Recht, informiert zu werden. Unternehmen müssen angeben, welche Daten gesammelt werden, warum sie gesammelt werden, wofür sie verwendet werden und wie lange sie gespeichert werden. Unternehmen müssen auch klare Gründe für die Speicherung von Daten über diesen Zeitraum haben.

1. Das Zugriffsrecht. Einzelpersonen können auf Anfrage in einem leicht lesbaren Format auf die personenbezogenen Daten zugreifen.

2. Das Recht auf Berichtigung. Einzelpersonen können Daten, über die Unternehmen verfügen, überprüfen, ändern und korrigieren.

3. Das Recht auf Vergessenwerden. Einzelpersonen können die Löschung von Informationen über sie beantragen, und Unternehmen müssen individuelle Interessen mit dem öffentlichen Wohl abwägen, wenn sie Löschanträgen stattgeben.

4. Das Recht auf Einschränkung der Verarbeitung. Einzelpersonen haben das Recht, die Verarbeitung ihrer personenbezogenen Daten einzuschränken, wenn sie einen besonderen Grund für die Einschränkung haben.

5. Das Recht auf Datenübertragbarkeit. Einzelpersonen haben das Recht, ihre personenbezogenen Daten auf Anfrage zu übermitteln.

6. Das Widerspruchsrecht. Unternehmen müssen ausdrücklich die Zustimmung von Einzelpersonen einholen und die Möglichkeit anbieten, diese Zustimmung zu widerrufen, während sie diese Zustimmung an einem zentralen Ort nachverfolgen. Einzelpersonen haben auch das Recht, gegen Entscheidungen zu protestieren, die von automatisierten Algorithmen getroffen wurden.

Trotz so großer Vorteile für die individuelle Kontrolle über ihre Daten und deren Verwendung hatte die Initiative auch einige unbeabsichtigte Folgen.

Es gab einige bedeutende unbeabsichtigte Folgen der DDR; nämlich, wie die Realitäten der Compliance in die Wirtschaftlichkeit der Geschäftstätigkeit in Europa einsickerten und die Macht von Big Tech weiter festigten:

1. Big Tech ist der größte Nutznießer.

   1. Die Marken mit den am weitesten verbreiteten Datentrackern haben aufgrund der DSGVO Marktanteile gewonnen. Als sich kleinere Unternehmen an das neue Gesetz anpassten, verloren sie gegenüber denen mit den meisten Ressourcen. Eine Ghostery-Studie zeigte einen Rückgang der Website-Reichweite um 20 % bei den 50 führenden Anbietern von Werbetechnologie, da waren nicht Google oder Facebook. Die DSGVO scheint mehr Macht in die Hände der bereits Dominanten gebracht zu haben.

2. Komplexität führt zu Verwirrung ? und zu einem Geldsegen für Anwälte.

   1. Das Gesetz selbst ist sowohl für Privatpersonen als auch für Unternehmen viel zu kompliziert. Da viele Unternehmen mindestens 40 % ihres Compliance-Budgets für Rechtsberatung ausgeben , sind die Anwälte wirklich die einzigen, die auf ganzer Linie gewinnen.

3. Reduzierte europäische Wettbewerbsfähigkeit ? und weniger Arbeitsplätze.

   1. Das Gesetz der Komplexität hatte einen enormen Einfluss auf die Startups der Region, wobei eine Studie ?einen Rückgang der von EU-Ventures pro Staat pro Rohölindustriekategorie pro Woche insgesamt aufgebrachten Dollar um 3,38 Millionen US-Dollar und eine Verringerung der Anzahl wöchentlicher Venture-Deals um 17,6 % feststellte , und ein 39,6-prozentiger Rückgang des bei einem durchschnittlichen Deal gesammelten Betrags nach der Einführung der DSGVO.? Der Verlust dieser Investition führte zu einem Verlust von 3.604 bis 29.819 Arbeitsplätzen in Europa.

4. Neue Fusionsrisiken.

   1. Wie die Rekordstrafe von Marriott im Zusammenhang mit Praktiken von Starwood belegt, übernehmen Hotels, die andere Hotels erwerben, alle DDR-bezogenen Risiken. Daher scheitern Deals, wobei 55 % der Befragten einer Merrill Corp-Umfrage angaben, dass sie an Deals gearbeitet hatten, die aufgrund von Bedenken hinsichtlich der Datenschutzrichtlinien eines Zielunternehmens und der Einhaltung der DSGVO gescheitert waren.

5. Compliance-Kosten für Hotels.

   1. Das Gastgewerbe ist besonders von der DSGVO betroffen, da Hotels selbst an den entlegensten Orten die Einhaltung der Vorschriften berücksichtigen müssen. Die Kosten für die Beibehaltung von Ratschlägen und die Implementierung von Systemen sind hoch. Die Einhaltung der DSGVO erfordert die Zusammenarbeit zwischen Anbietern und Mitarbeitern in den Bereichen IT, Cybersicherheit, digitale Forensik und Systemdesign. Da so viel zu tun ist, haben die größten Marken einen großen Vorteil, da sie ihre Skaleneffekte nutzen können, um die Gesamtkosten der Implementierung zu senken.

Trotz dieser unbeabsichtigten Folgen ist die DSGVO immer noch ein wichtiges Thema für Hotels. Indem Compliance-Anforderungen mit einem strategischen Ansatz in Einklang gebracht werden, können Hotels jeder Größe einen Rahmen schaffen, der erschwinglich und effektiv ist.

Denken Sie beim Blick auf die DSGVO daran, dass Hotels dafür verantwortlich sind, wie Anbieter Daten sammeln und mit ihnen interagieren. Jeder Berührungspunkt muss konform sein, sonst riskieren Sie Bußgelder. Sie müssen also sicherstellen, dass Ihre Anbieter über die DSGVO für Hotels informiert und proaktiv sind. Andernfalls, egal wie viel Vorbereitung Sie auf Ihrer Seite treffen, werden Sie Ihr Hotel für Schwachstellen offen lassen ? und die finanziellen und PR-Folgen, wenn Sie nicht konform sind und so etwas wie eine Datenpanne haben.