Viele Hotelbetriebe koordinieren Schichten, Gästeanfragen und HR-Themen über private Messenger wie WhatsApp. Das ist praktisch – und rechtlich heikel. Wer Gästedaten über ungesicherte Apps teilt, riskiert DSGVO-Bußgelder, verliert im Streitfall Beweismittel und hat bei Datenpannen kein Sicherheitsnetz. Drei Problembereiche, die du kennen solltest.
Dienstplan per WhatsApp-Gruppe, Zimmerstatus per Telegram, Beschwerden per iMessage – in vielen Hotels läuft die interne Kommunikation genau so. Schnell, unkompliziert, kostenlos. Und so lange nichts schiefgeht, fällt das Problem niemandem auf.
Dann geht doch etwas schief.
Das DSGVO-Problem sitzt im Gruppenchat
Sobald Gästenamen, Zimmernummern, Allergien oder Zahlungsinformationen durch einen privaten Messenger laufen, verlässt personenbezogene Daten die kontrollierte Infrastruktur des Hotels. Das ist ein Problem – und zwar kein theoretisches.
Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat wiederholt klargestellt: Unternehmen sind verantwortlich für jeden Weg, auf dem personenbezogene Daten ihr Haus verlassen. WhatsApp etwa überträgt Metadaten auf Meta-Server – auch bei aktivierter Ende-zu-Ende-Verschlüsselung. Wer das im geschäftlichen Kontext nutzt, ohne Auftragsverarbeitungsvertrag und ohne dokumentierte Rechtsgrundlage, bewegt sich auf dünnem Eis.
- Personenbezogene Daten dürfen nur über Systeme verarbeitet werden, mit denen ein Auftragsverarbeitungsvertrag (AVV) geschlossen wurde
- Für WhatsApp Business existiert ein solcher Vertrag mit Meta – für private WhatsApp-Nummern im Teameinsatz nicht
- Datenpannen müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden – das setzt voraus, dass du überhaupt weißt, wo die Daten liegen
- Bußgelder bei DSGVO-Verstößen: bis zu 4 % des weltweiten Jahresumsatzes oder 20 Mio. Euro
HR-Streit ohne Beweismittel – das ist das eigentliche Risiko
Private Messenger gehören dem Mitarbeitenden, nicht dem Betrieb. Verlässt jemand das Unternehmen – ob im Guten oder im Streit – sind alle Chatnachrichten weg. Kündigung angefochten? Vorwurf der Diskriminierung? Abmahnung, die mündlich kommuniziert wurde? Ohne gesicherten Nachrichtenverlauf steht Aussage gegen Aussage.
Wer keine Kontrolle über die Kommunikationsinfrastruktur hat, verliert im Zweifel den Prozess.Das betrifft nicht nur große Ketten. Gerade kleinere Betriebe mit flachen Hierarchien kommunizieren besonders viel per Messenger – und haben entsprechend weniger dokumentiert, wenn es ernst wird.
Welche Alternativen tatsächlich funktionieren
Die gute Nachricht: Es gibt spezialisierte Lösungen, die genau für Hotelbetriebe gebaut wurden – mit Rollensteuerung, Archivierungsfunktion und DSGVO-konformer Infrastruktur.
Bekannte Anbieter im Überblick
- Beekeeper – auf Frontline-Worker ausgelegt, Schichtpläne und Chats in einer App, EU-Serverstandorte verfügbar
- Staffbase – deutsches Unternehmen, Mitarbeiter-App mit Chat, Dokumenten und Dienstplanung, DSGVO-konform
- Microsoft Teams – ab bestimmten Microsoft-365-Lizenzen inklusive, AVV mit Microsoft standardmäßig vorhanden
- Quoality / Hapi Hotel – auf Hotel-Operations zugeschnitten, Gästekommunikation und Team-Chat kombiniert
Der Wechsel kostet Geld – meist zwischen 3 und 8 Euro pro Nutzer und Monat, je nach Anbieter und Funktionsumfang. Was ein DSGVO-Bußgeld oder ein verlorenes Arbeitsgerichtsverfahren kostet, liegt um ein Vielfaches höher.
So gehst du das an – Schritt für Schritt
Der Wechsel muss nicht von heute auf morgen passieren. Aber er muss geplant sein.
- Bestandsaufnahme: Welche Apps nutzt dein Team aktuell? Wo laufen Gästedaten durch?
- Datenschutzbeauftragten einbeziehen: Externe DSBs gibt es ab ca. 90 Euro pro Monat – Pflicht ab bestimmten Betriebsgrößen, sinnvoll für alle
- Anbieter evaluieren: Demo-Termine mit Beekeeper, Staffbase oder einem PMS-integrierten Tool anfragen
- Team schulen: Nicht nur das neue Tool erklären – auch warum der Wechsel passiert. Akzeptanz ist entscheidend
- Altdaten klären: Bestehende WhatsApp-Gruppen mit Gästedaten offiziell auflösen, Mitarbeitende informieren
- AVV mit allen eingesetzten Kommunikationstools geschlossen
- Verzeichnis der Verarbeitungstätigkeiten aktuell (inkl. interne Kommunikation)
- Datenpannen-Prozess definiert (wer meldet, wann, wie)
- HR-relevante Kommunikation archivierungsfähig
- Mitarbeitende zu Datenschutz in Kommunikationstools geschult
Fazit: Das Problem skaliert mit dem Betrieb
Ein kleines Familienhotel mit fünf Mitarbeitenden hat ein anderes Risikoniveau als eine Stadthotellerie mit 80 Saisonkräften. Aber das Grundproblem ist dasselbe: Private Messenger wurden nicht für geschäftliche Kommunikation mit personenbezogenen Daten gebaut. Je früher du auf ein kontrolliertes System wechselst, desto weniger musst du im Nachhinein aufräumen. Die Frage ist nicht ob etwas passiert – sondern ob du dann eine Antwort hast.