„Brauche ich von den Gästen eine Einwilligung in die Verarbeitung personenbezogener Daten?“ Nein — und genau darin liegt das häufigste Missverständnis. Die Daten der Gäste verarbeiten Sie, weil das GESETZ es Ihnen auferlegt, nicht weil der Gast es Ihnen erlaubt hat. Ein Einwilligungshäkchen im Check-in fügt nichts hinzu: Es erweckt nur den Eindruck, der Gast könne Nein sagen — und das kann er nicht.

Die DSGVO ist für Gastgeber kein Schreckgespenst. Es sind vier Regeln: wissen, warum Sie welche Angabe erheben, nichts darüber hinaus erheben, es den Gästen sagen und die Daten nach Ablauf der Frist vernichten. Unten stehen zu jeder die Grenze, die Frist und die Sanktion.

Was zu tun ist

Rechtsgrundlagen: eine Einwilligung brauchen Sie nicht

Die DSGVO kennt sechs Rechtsgrundlagen (Art. 6 Abs. 1 Buchst. a) bis f)). In der Praxis stehen Sie auf dreien:

1. 1RECHTLICHE VERPFLICHTUNG (Buchst. c)) — das Gästeverzeichnis nach § 3g des Gesetzes über kommunale Gebühren, das Hausbuch und die Meldung der Unterbringung eines Ausländers binnen 3 Arbeitstagen nach § 100 Buchst. c) und f), § 101 und § 102 des Ausländeraufenthaltsgesetzes, die Grundlage für die Aufenthaltsgebühr an die Gemeinde. Diese Daten MÜSSEN Sie verarbeiten; eine Einwilligung des Gastes ist gegenstandslos und er kann sie nicht „widerrufen“.

1. 1ERFÜLLUNG EINES VERTRAGS (Buchst. b)) — Buchung, Kontakt, Kommunikation zum Aufenthalt, Abrechnung. Sie deckt auch die Kommunikation vor der Buchung ab, wenn der Gast sie mit seiner Anfrage ausgelöst hat.

1. 1BERECHTIGTES INTERESSE (Buchst. f)) — die Kamera am Eingang, die Geltendmachung eines Schadens an der Ausstattung, das Angebot eigener ähnlicher Leistungen an frühere Gäste. Hier müssen Sie begründen können, dass Ihr Interesse die Privatsphäre des Gastes überwiegt (Abwägungstest), und der Gast hat ein Widerspruchsrecht (Art. 21).

Die Einwilligung heben Sie sich für das auf, was in keine dieser drei Grundlagen passt — und denken Sie auch dort daran, dass eine an die Leistungserbringung geknüpfte Einwilligung nach der Datenschutzbehörde „die Bedingung einer freien Willensäußerung nicht erfüllt“ (Art. 7 Abs. 4 DSGVO).

Datenminimierung: das Gesetz ist die Obergrenze, nicht das Minimum

Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c) DSGVO) erlaubt, nur die für den jeweiligen Zweck erforderlichen Daten zu verarbeiten. Bei den gesetzlichen Aufzeichnungen ist der Umfang abschließend vorgegeben: § 3g Abs. 2 des Gesetzes über kommunale Gebühren nennt den Aufenthaltszeitraum, die Identifikation des Gastes einschließlich der Anschrift des Anmeldeorts, die Angaben zum Ausweisdokument und die Höhe der eingezogenen Gebühr beziehungsweise den Befreiungsgrund — Punkt für Punkt behandelt sie ein eigener Artikel. Bei Ausländern kommt der Umfang des Meldescheins hinzu (§ 101 und § 103 des Ausländeraufenthaltsgesetzes). → Das Gästeverzeichnis: was darin nicht fehlen darf (und was dort nichts zu suchen hat)

Diese Aufzählung ist zugleich Ihre Obergrenze:

• Keine Kopien oder Fotos von Dokumenten „für die Schublade“ — das Gesetz will die Angaben aus dem Dokument, nicht das Dokument selbst.
• Keine Geburtsnummern — das Gästeverzeichnis verlangt sie nicht.
• Keine Angaben „falls sie mal nützlich sind“ — jede zusätzliche Angabe ist nur ein Risiko, bei einer Panne wie bei einer Kontrolle.

Eine Kopie des Dokuments ist nicht bloß übertriebene Vorsicht, sondern ein Verstoß gegen zwei eigenständige Gesetze. Eine Kopie des Personalausweises ohne Einwilligung des Inhabers verbietet § 39 Buchst. c) des Gesetzes Nr. 269/2021 Sb.; es ist eine Ordnungswidrigkeit mit einer Geldbuße bis zu 10.000 CZK (§ 65 Abs. 1 Buchst. d)), die das Gemeindeamt einer Gemeinde mit erweitertem Wirkungskreis behandelt, nicht die Datenschutzbehörde. Beim Reisedokument ist das Verbot weiter: § 2 Abs. 3 des Gesetzes Nr. 329/1999 Sb. verbietet, eine Kopie des Reisedokuments „mit welchen Mitteln auch immer“ ohne Einwilligung des Bürgers anzufertigen — also auch nicht mit dem Handy zu fotografieren; die Geldbuße beträgt wiederum bis zu 10.000 CZK (§ 34a Abs. 1 Buchst. i)). Dieses Gesetz betrifft tschechische Reisedokumente — bei Pässen von Ausländern führt die DSGVO selbst zum gleichen Ergebnis: Für die Kopie haben Sie keine Rechtsgrundlage.

Das Gesetz sagt „ohne Einwilligung des Inhabers“, und mancher liest das als „wenn der Gast nickt, darf ich“. Sie dürfen nicht: Für die Kopie fehlt die Rechtsgrundlage, und eine an die Unterbringung geknüpfte Einwilligung ist nicht frei. Praktisch — nicht kopieren, nicht fotografieren. Sie sehen ins Dokument, notieren Nummer und Art und geben es zurück; das bloße Hineinsehen betrachtet die Datenschutzbehörde nicht als Verarbeitung.

Die Geburtsnummer verlangen Sie gar nicht erst: Mit ihr umgehen darf ihr Träger, sonst nur in den Fällen nach § 13c des Gesetzes Nr. 133/2000 Sb. — und das Gästeverzeichnis verlangt sie nicht, seit 2020 wird das Geburtsdatum eingetragen.

Informationspflicht: was der Gast wissen muss

Die Information wird nach Art. 13 Abs. 1 DSGVO „zum Zeitpunkt der Erhebung personenbezogener Daten“ erteilt — also in dem Moment, in dem der Gast das Formular ausfüllt, beim Online-Check-in vor dessen Absenden. Nicht erst bei der Schlüsselübergabe. Angaben, die Sie schon aus der Buchung haben (Name, E-Mail, Telefon), deckt die Information bei der Buchung oder in der Bestätigung ab.

Der Inhalt des Art. 13 ist umfangreicher, als man erwartet. Dazu gehören:

• wer Sie sind (Name oder Firma, IČO) und wie man Sie erreicht,
• die Verarbeitungszwecke und die Rechtsgrundlage zu jedem von ihnen — gesetzliche Aufzeichnungen (§ 3g des Gesetzes Nr. 565/1990 Sb., §§ 101–102 des Gesetzes Nr. 326/1999 Sb.) und Erfüllung des Beherbergungsvertrags,
• Empfänger oder deren Kategorien: die Gemeinde als Verwalterin der Aufenthaltsgebühr, die Polizei der Tschechischen Republik bei Ausländern, Ihr Softwareanbieter als Auftragsverarbeiter,
• die Speicherdauer — 6 Jahre ab dem Tag des letzten Eintrags,
• die Rechte des Gastes: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch,
• das Recht, bei der Datenschutzbehörde Beschwerde einzulegen,
• dass die Bereitstellung der Daten eine gesetzliche Anforderung ist, und die Folgen, wenn der Gast sie nicht bereitstellt,
• eine etwaige Übermittlung außerhalb der EU und die dafür geltenden Garantien.

Das muss nicht alles am Formular stehen: Die DSGVO lässt ein gestuftes Vorgehen zu — ein kurzer Absatz beim Check-in plus der vollständige Text auf der Website oder hinter einem QR-Code. Die einzige Bedingung: Die Kurzfassung muss tatsächlich auf die vollständige verweisen.

Sicherheit, Fristen und Datenpannen

Die sechs Jahre laufen nicht ab dem Aufenthalt des Gastes: Das Gesetz sagt „für die Dauer von 6 Jahren ab dem Tag der Vornahme des letzten Eintrags“ (§ 3g Abs. 4 des Gesetzes über kommunale Gebühren). Bei einem laufend geführten Verzeichnis halten Sie die ältesten Einträge also wesentlich länger als 6 Jahre nach dem Check-out. Dieselbe Regel hat das Hausbuch (§ 101 Abs. 4 des Ausländeraufenthaltsgesetzes); die es ersetzenden Schriftstücke werden 6 Jahre ab dem Ende der Unterbringung des Ausländers gehalten und ein aufbewahrter Meldeschein 6 Jahre ab der Unterbringung des Ausländers (§ 102 Abs. 4).

Die konkreten Aufbewahrungsfristen, die Gastgeber am häufigsten treffen:

• Jahresabschluss und Geschäftsbericht — 10 Jahre beginnend mit dem Ende des Rechnungszeitraums, auf den sie sich beziehen (§ 31 Abs. 2 Buchst. a) des Gesetzes Nr. 563/1991 Sb., über die Buchführung).
• Buchungsbelege, Bücher, Abschreibungspläne, Inventurlisten, Kontenrahmen und Übersichten — 5 Jahre beginnend mit dem Ende des Rechnungszeitraums, auf den sie sich beziehen (§ 31 Abs. 2 Buchst. b) desselben Gesetzes).
• Steuerbelege, wenn Sie Mehrwertsteuerzahler sind — 10 Jahre ab dem Ende des Besteuerungszeitraums, in dem die Leistung erbracht wurde (§ 35 Abs. 2 des Gesetzes Nr. 235/2004 Sb., über die Mehrwertsteuer).
• Belege, nach denen Sozialversicherungsbeiträge festgesetzt und abgeführt werden — 10 Kalenderjahre nach dem Jahr, auf das sie sich beziehen (§ 22c des Gesetzes Nr. 589/1992 Sb.); das betrifft Sie nur, wenn Sie Beschäftigte haben.
• Führen Sie statt der Buchführung nur Steueraufzeichnungen, richten Sie sich nach der Festsetzungsfrist: Sie beträgt 3 Jahre, verlängert sich um 1 Jahr, wenn in den letzten 12 Monaten vor ihrem Ende eine der Tatsachen nach § 148 Abs. 2 der Abgabenordnung eintritt, und endet spätestens 10 Jahre nach ihrem Beginn (§ 148 Abs. 1 und 5 des Gesetzes Nr. 280/2009 Sb.). Belege zum jeweiligen Jahr halten Sie deshalb real 10 Jahre.

Treffen auf einen Beleg mehrere Vorschriften zu, gilt die längere Frist: Verwenden Sie einen Buchungsdatensatz auch für ein Steuerverfahren oder für die Sozialversicherung, müssen Sie ihn nach § 32 Abs. 1 des Gesetzes über die Buchführung auch nach Ablauf der Frist aus § 31 aufbewahren. Praktisch: Eine Rechnung mit dem Namen des Gastes für das Jahr 2026 löschen Sie nicht Ende 2031, nur weil „Buchungsbelege fünf Jahre“ gelten — steht Mehrwertsteuer darauf, läuft die Frist bis Ende 2036.

Das praktische Sicherheitsminimum (Art. 5 Abs. 1 Buchst. f), Art. 25 und Art. 32 DSGVO):

• Zugang nur für den, der ihn zur Arbeit braucht. Die Reinigung braucht den Termin und allenfalls den Namen, nicht die Dokumentnummer oder das Geburtsdatum. → Reinigung ohne Telefonate: ein eigenes Portal für Ihre Reinigungskraft
• Gesicherte Aufzeichnungen mit geregeltem Zugang sind sicherer als ein Heft in der Wohnung oder eine Tabelle auf einem ungeschützten Notebook.
• Gästedaten nicht per gewöhnlicher E-Mail oder per Messenger weiterleiten — nach sechs Jahren können Sie Kopien, von denen Sie nichts wissen, nicht mehr löschen.

Wenn Daten abfließen (verlorenes Heft, gehacktes E-Mail-Konto, versehentlich versandte Tabelle), gilt Art. 33 Abs. 1 DSGVO: der Datenschutzbehörde unverzüglich melden, möglichst binnen 72 Stunden ab dem Moment, in dem Sie von der Verletzung Kenntnis erlangt haben — die Frist läuft ab der Kenntnis, nicht ab dem Ereignis. Nicht gemeldet wird nur, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Gäste birgt; ein verlorenes Heft mit Dokumentnummern birgt es typischerweise. Bei späterer Meldung geben Sie die Gründe für die Verzögerung an.

Zwei Dinge, die vergessen werden: Bei hohem Risiko müssen Sie unverzüglich auch die Gäste selbst informieren (Art. 34 Abs. 1), und dokumentieren müssen Sie alle Verletzungen, auch die nicht gemeldeten (Art. 33 Abs. 5). Kanäle der Behörde: Formular „Meldung einer Verletzung des Schutzes personenbezogener Daten nach der DSGVO“ auf uoou.gov.cz, Datenbox qkbaa2n, posta@uoou.gov.cz oder per Post an Pplk. Sochora 27, 170 00 Praha 7. → Datenbox: 20 Minuten, die Ihnen Jahre an Behördengängen sparen

Auftragsverarbeiter und Verantwortliche: wer die Daten für Sie hält

Nutzen Sie eine Software (wie die unsere), ist ihr Betreiber Ihr AUFTRAGSVERARBEITER — er verarbeitet Gästedaten für Sie und nach Ihren dokumentierten Weisungen (Art. 4 Nr. 8 und Art. 28 Abs. 3 Buchst. a) DSGVO). Dafür verlangt die DSGVO einen Vertrag mit den Bestandteilen nach Art. 28 Abs. 3 Buchst. a) bis h): Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Mitwirkung bei den Rechten der Gäste, Meldung von Vorfällen, Löschung oder Rückgabe der Daten nach Ende, Audits. Die Schriftform umfasst die elektronische (Art. 28 Abs. 9), der Vertrag kann also Teil der Geschäftsbedingungen sein — bei uns ist er das. Verantwortlicher bleiben Sie, und Sie tragen die Verantwortung für die Konformität (Art. 5 Abs. 2, Art. 24).

Airbnb und Booking.com sind dagegen NICHT Ihre Auftragsverarbeiter. Airbnb übermittelt Gastgebern Daten als selbstständiger Verantwortlicher an einen selbstständigen Verantwortlichen; Sie sind also ein unabhängiger Verantwortlicher mit eigenen Pflichten. Daraus folgt zweierlei: Daten von der Plattform dürfen Sie ohne eigene Rechtsgrundlage nicht zu einem anderen Zweck verwenden (typischerweise daraus eine Marketingdatenbank bauen), und die gesetzlichen Aufzeichnungen erfüllt die Plattform nicht für Sie.

Nutzen Sie Werkzeuge mit Daten außerhalb der EU, müssen Sie das den Gästen nach Art. 13 Abs. 1 Buchst. f) mitteilen und die Garantien für die Übermittlung kennen (Art. 44 ff.); eine Übersicht, wo die Daten gespeichert sind, finden Sie bei uns in der Dokumentation.

Rechte der Gäste — und ihre Grenzen

Ein Gast kann fragen, was Sie über ihn führen (Art. 15), und die Berichtigung eines Fehlers verlangen (Art. 16). Antworten müssen Sie unverzüglich, spätestens binnen 1 Monat ab Eingang des Antrags (Art. 12 Abs. 3); bei komplexen oder zahlreichen Anträgen lässt sich die Frist um weitere 2 Monate verlängern, über die Verlängerung müssen Sie aber im ersten Monat informieren. Die Bearbeitung ist unentgeltlich (Art. 12 Abs. 5); bei begründeten Zweifeln an der Identität des Antragstellers dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6).

Binnen 1 Monat ist auch eine ABLEHNUNG mitzuteilen, mit Begründung und dem Hinweis, dass der Gast bei der Datenschutzbehörde Beschwerde einlegen kann (Art. 12 Abs. 4). Schweigen ist für sich genommen ein Verstoß.

Und eine Grenze, die man auswendig kennen sollte: „Löschen Sie mich“ gilt für gesetzliche Aufzeichnungen nicht. Das Recht auf Löschung greift dort nicht, wo die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b)) — und Gästeverzeichnis wie Hausbuch halten Sie kraft Gesetzes 6 Jahre ab dem letzten Eintrag. Dem Gast erklären Sie das also und nennen das Gesetz. Die Löschung betrifft nur das, was Sie über den gesetzlichen Rahmen hinaus verarbeiten: einen Marketingkontakt, Notizen, Fotos.

Marketing: wann Sie früheren Gästen schreiben dürfen

Einem früheren Gast dürfen Sie ein Angebot eigener ähnlicher Leistungen auch OHNE Einwilligung senden — im Opt-out-Regime nach § 7 Abs. 3 des Gesetzes Nr. 480/2004 Sb. Die Bedingungen sind drei: Sie haben die E-Mail im Zusammenhang mit der Leistungserbringung erhalten, Sie bieten nur eigene ähnliche Leistungen an, und der Gast hatte eine klare und kostenlose Möglichkeit abzulehnen, schon bei der Erhebung des Kontakts wie in jeder weiteren Nachricht. Die Grundlage nach der DSGVO ist dann das berechtigte Interesse mit Widerspruchsrecht (Art. 21 Abs. 2 und 3).

Eine Einwilligung (Opt-in nach § 7 Abs. 2) brauchen Sie nur dort, wo die Gegenseite nicht Ihr Kunde ist — bei Interessenten, die am Ende nicht gebucht haben — und bei Angeboten fremder Leistungen.

Jede kommerzielle Mitteilung muss nach § 7 Abs. 4 deutlich als solche gekennzeichnet sein, es muss daraus hervorgehen, wer der Absender ist, und sie muss eine gültige Adresse für die Ablehnung enthalten. Die Aufsicht übt ebenfalls die Datenschutzbehörde aus. Meldet sich ein Gast ab, beenden Sie den Versand und löschen oder sperren den Kontakt fürs Marketing — das Gästeverzeichnis betrifft das nicht.

Die Papiere, die Sie haben sollten: das Verzeichnis von Verarbeitungstätigkeiten

Eine Folgenabschätzung (DSFA nach Art. 35) und interne Richtlinien werden bei gewöhnlichen Gästeaufzeichnungen nicht verlangt. Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 aber schon — und das ist die häufigste formale Lücke kleiner Gastgeber. Die Ausnahme für Einrichtungen mit unter 250 Beschäftigten (Art. 30 Abs. 5) gilt nicht, wenn „die Verarbeitung nicht nur gelegentlich erfolgt“, und Gästeaufzeichnungen erfolgen nicht gelegentlich: Sie führen sie regelmäßig, das ganze Jahr.

Die Auslegung ist hier nicht einheitlich — die Datenschutzbehörde illustriert die Ausnahme am kleinen Gewerbetreibenden mit einer Kundenliste. Wir empfehlen, sich nicht darauf zu verlassen: Ein einseitiges Verzeichnis ist der billigste Konformitätsnachweis, den Sie bei einer Kontrolle haben können. Es genügt, darin Zweck (gesetzliche Aufzeichnungen, Vertragserfüllung), Rechtsgrundlage, Kategorien betroffener Personen und Daten, Empfänger (Gemeinde, Polizei der Tschechischen Republik, Softwareanbieter), Speicherdauer und Zugriffsberechtigte festzuhalten. Der Verantwortliche muss die Konformität nachweisen können (Art. 5 Abs. 2, Art. 24) — und „ich weiß es auswendig“ lässt sich nicht nachweisen.

Kameras am Eingang

Eine Kamera ist eine eigenständige Verarbeitung mit eigenen Regeln. Diese folgen aus der DSGVO; eine praktische Orientierung bietet die Methodik der Datenschutzbehörde zur Gestaltung und zum Betrieb von Kamerasystemen vom 8. 2. 2024 — sie ist rechtlich nicht verbindlich, geht von der DSGVO und den EDSA-Leitlinien 3/2019 aus und ist auch für kleine Betreiber geschrieben.

• Grundlage ist in der Regel das berechtigte Interesse (Art. 6 Abs. 1 Buchst. f)), belegt durch einen Abwägungstest — halten Sie ihn vorab fest, nicht erst bei der Kontrolle.
• Das Hinweisschild gehört noch vor den Eintritt ins Bild; Einzelheiten lassen sich stufen.
• Speicherdauer: Nach der Methodik sollte in den meisten Fällen eine Dauer von bis zu 72 Stunden genügen, bei längerer Dauer muss der Verantwortliche klare Gründe nennen, warum sie erforderlich ist.
• Dokumentation: Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Abwägungstest und die Überlegung, ob eine DSFA-Pflicht entsteht.
• Im Inneren der vermieteten Wohnung haben Kameras nichts verloren. Im Mehrfamilienhaus müssen Sie zudem die Regeln der Eigentümergemeinschaft für Gemeinschaftsräume beachten — ein Bildausschnitt hinein ist mit ihr vorab zu besprechen.

Was sich anbahnt

Die Verordnung (EU) 2024/1028 über die Erhebung und den Austausch von Daten zur Kurzzeitvermietung gilt nach ihrem Art. 19 ab dem 20. 5. 2026. Das Registrierungsverfahren für Beherberger ist darin aber bedingt, nicht verpflichtend: Der Mitgliedstaat führt es ein, wenn er Online-Plattformen die Übermittlung von Daten auferlegt (Art. 4 Abs. 2). Tschechien hat ein solches Verfahren nicht — der Entwurf (Drucksache 761) kam nicht in die dritte Lesung und fiel mit dem Ende der Wahlperiode. Das Ministerium für Regionalentwicklung stellte eTurista am 12. 8. 2026 im Unternehmerrat als zentrales Register vor, das ab 2027 laufen soll.

Praktisch: Zum September 2026 existiert in Tschechien weder eine Registrierung von Beherbergern noch eine Registriernummer fürs Inserat. Gästeverzeichnis, Hausbuch und die Meldung von Ausländern über UbyPort binnen 3 Arbeitstagen gelten unverändert. Die Termine 1. 7. 2026, 1. 10. 2026 und 1. 1. 2027, die in kommerziellen Artikeln kursieren, stammen aus einem verworfenen Entwurf. Kommt eTurista, tritt ein neuer Empfänger der Daten hinzu — und mit ihm eine Zeile in der Information für die Gäste. → UbyPort ohne Stress: ausländische Gäste richtig bei der Fremdenpolizei melden

Was droht: Geldbußen in der Praxis

Die Obergrenzen der DSGVO sind zwei. Bis zu 10.000.000 EUR oder 2 % des gesamten Jahresumsatzes (je nachdem, was höher ist) werden Verstöße gegen Pflichten des Verantwortlichen und Auftragsverarbeiters geahndet — Sicherheit, Verzeichnisse, Meldung eines Vorfalls, Auftragsverarbeitungsverträge (Art. 83 Abs. 4). Bis zu 20.000.000 EUR oder 4 % des Umsatzes gehen Verstöße gegen die Grundsätze, eine fehlende Rechtsgrundlage und Verstöße gegen die Rechte der Gäste (Art. 83 Abs. 5).

Die Datenschutzbehörde verhängte für das Jahr 2025 7 Geldbußen in Höhe von insgesamt 14.671.000 CZK (aus 23 eingeleiteten Verfahren); darunter 96.000 CZK für die Verarbeitung von Vor-, Nachname und Telefonnummer ohne Rechtsgrund und 7.500.000 CZK für den Umgang mit Geburtsnummern. Die Zahl der Eingaben stieg im Jahresvergleich um 68 % — so stark wie nie seit Geltung der DSGVO.

Die häufigsten Fehler und Mythen

• „Ohne Einwilligung des Gastes darf ich seine Daten nicht erfassen.“ — Im Gegenteil: Erfassen müssen Sie sie kraft Gesetzes, und die Einwilligung ist gegenstandslos. Das Häkchen für gesetzliche Aufzeichnungen sparen Sie sich.
• „Wenn mir der Gast eine Einwilligung unterschreibt, darf ich den Pass fotografieren.“ — Eine an die Unterbringung geknüpfte Einwilligung ist nicht frei, und für die Kopie fehlt die Rechtsgrundlage: Mit dem Speichern der Kopie verstoßen Sie gegen die Datenminimierung (zuständig ist die Datenschutzbehörde) und ohne nachweislich freie Einwilligung auch gegen das Kopierverbot (Geldbuße bis zu 10.000 CZK).
• „Ein Newsletter an frühere Gäste braucht eine Einwilligung.“ — Braucht er nicht, wenn es um eigene ähnliche Leistungen geht und jede Nachricht eine kostenlose Abmeldemöglichkeit enthält (§ 7 Abs. 3 des Gesetzes Nr. 480/2004 Sb.).
• „Daten lösche ich 6 Jahre nach der Abreise des Gastes.“ — Die Frist läuft 6 Jahre ab dem Tag des letzten Eintrags ins Buch, nicht ab dem Aufenthalt; ein Löschen „6 Jahre ab Check-out“ widerspricht § 3g Abs. 4.
• „Airbnb ist mein Auftragsverarbeiter, das erledigt das für mich.“ — Airbnb ist ein selbstständiger Verantwortlicher; Gästeverzeichnis, Meldung an die Polizei und Gebühr an die Gemeinde erfüllt es nicht für Sie.
• „Ein kleiner Gastgeber braucht keine Dokumentation.“ — DSFA und Richtlinien nein, ein Verzeichnis von Verarbeitungstätigkeiten aber ja: Die Ausnahme für Unternehmen mit unter 250 Beschäftigten gilt nur für gelegentliche Verarbeitung.
• „Eine Datenpanne melde ich, wenn ich sie untersucht habe.“ — Die Frist von 72 Stunden läuft ab dem Moment, in dem Sie von der Verletzung erfahren haben; eine späte Meldung müssen Sie begründen.
• „Die Aufzeichnungen behalte ich lieber für immer, damit ich sie zur Hand habe.“ — Nach Ablauf der Frist entfällt die gesetzliche Grundlage, und das weitere Halten der Daten ist für sich genommen ein Verstoß (Art. 5 Abs. 1 Buchst. e) DSGVO).

Häufige Fragen

Aktualisiert: 5. 9. 2026, inhaltlich gegen die genannten Quellen geprüft. Informationstext, keine Rechts- oder Steuerberatung — besprechen Sie Ihren konkreten Fall mit einer Fachperson.