Hotels in Spanien: Gästeregister, Reisepässe und generative KI

Spanien hat 2024 fast 94 Millionen internationale Touristen empfangen, so das Statistikamt INE. Hinter diesem Rekord stehen Tausende Hotels, Ferienwohnungen und Reisebüros, die jeden Tag Reisepässe, Kartennummern und detaillierte Buchungen verarbeiten. Seit dem 2. Dezember 2024 müssen sie einen Teil dieser Daten zudem innerhalb von 24 Stunden an das Innenministerium übermitteln.

Gleichzeitig ist generative KI an der Rezeption und im Backoffice angekommen. Mitarbeitende beantworten damit negative Bewertungen, übersetzen Nachrichten ins Deutsche oder schreiben Buchungsbestätigungen. Doch der Prompt enthält manchmal viel mehr als den Text einer Bewertung.

Das Gästeregister: was das Real Decreto 933/2021 verlangt

Das Königliche Dekret 933/2021 vom 26. Oktober 2021 (Real Decreto 933/2021) regelt die Registrierungs- und Meldepflichten für Beherbergungsbetriebe und Autovermietungen. Nach mehreren Verschiebungen ist das neue System am 2. Dezember 2024 in Kraft getreten. Die Daten werden über SES.HOSPEDAJES übermittelt, eine Plattform des Innenministeriums.

Betroffen sind Hotels, Hostels, Campingplätze, Ferien- und Landunterkünfte, aber auch Onlineplattformen, die solche Aufenthalte in Spanien vermarkten, und Reiseveranstalter als Vermittler. Die Liste der zu erfassenden Daten ist lang:

• Identität des Gastes: Vorname, Nachnamen, Geschlecht, Geburtsdatum, Staatsangehörigkeit, Art und Nummer des Ausweisdokuments, Wohnadresse, Telefon und E-Mail;

• das Verwandtschaftsverhältnis, wenn ein Gast minderjährig ist;

• Angaben zum Aufenthalt: An- und Abreisedatum mit Uhrzeit, Anzahl der Gäste;

• Zahlungsdaten: Zahlungsart, Angaben zur Karte oder IBAN, Inhaber und Zahlungsdatum.

Diese Angaben müssen sofort, spätestens aber innerhalb von 24 Stunden übermittelt und bis zu drei Jahre aufbewahrt werden.

Warum diese Daten in KI-Tools landen

Niemand kopiert absichtlich eine SES.HOSPEDAJES-Datei in ChatGPT. Lecks entstehen durch alltägliche Handgriffe. Ein Rezeptionist fügt den gesamten Austausch mit einem Gast ein, um eine höfliche Antwort zu bekommen, samt Buchungsnummer, der im Verlauf genannten Passnummer und Telefonnummer. Ein Reisebüro lässt eine Gruppenübersicht mit allen Teilnehmenden umformulieren. Die Buchhaltung bittet einen Assistenten, eine Tabelle mit Zahlungsreklamationen "aufzuräumen", inklusive der letzten vier Kartenziffern und der Namen der Karteninhaber.

Die Branche arbeitet stark mit Saisonkräften, die in wenigen Tagen eingearbeitet werden und mehrere Sprachen jonglieren. Eine Schulung zu Saisonbeginn reicht nicht: KI spart ihnen Zeit, und sie nutzen sie, ohne darüber nachzudenken, was sie einfügen. Was dieser unkontrollierte Einsatz kostet, zeigt unser Artikel über die realen Kosten von Schatten-KI.

Bewertungen und E-Mails: der häufigste Fall

Onlinebewertungen zu beantworten gehört für Hotels inzwischen zum Tagesgeschäft. Eine öffentliche Bewertung ist für sich genommen kein Problem. Das Risiko entsteht, wenn Mitarbeitende Kontext ergänzen, damit die Antwort präzise wird: Zimmernummer, genaue Daten, eine Erstattungsforderung, ein Gesundheitsproblem, das der Gast erwähnt hat, oder der Name des Kindes, das sich am Pool verletzt hat. Dieser Kontext sind personenbezogene Daten, teils sogar besondere Kategorien nach der DSGVO.

Bei E-Mails ist es dasselbe. Eine Anfrage zur Änderung eines Aufenthalts enthält oft eine Ausweiskopie oder einen Screenshot einer Überweisung. Leitet der Mitarbeiter alles an einen öffentlichen KI-Assistenten weiter, um die Antwort zu formulieren, verliert das Hotel die Kontrolle über Daten, die es von Gesetzes wegen schützen muss.

Der Rechtsrahmen: DSGVO, LOPDGDD und AEPD

Die für das Gästeregister erhobenen Daten unterliegen weiterhin der DSGVO und dem spanischen Organgesetz 3/2018 (LOPDGDD). Zuständig ist die spanische Datenschutzbehörde, die Agencia Española de Protección de Datos (AEPD). Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und eine Datei, die Ausweisdokumente und Zahlungsdaten verbindet, ist eindeutig risikoreich. Unsere Checkliste zu KI-VO und Artikel 32 DSGVO beschreibt diese Maßnahmen.

Die DSGVO kennt außerdem den Grundsatz der Zweckbindung: Daten, die für eine Pflicht der öffentlichen Sicherheit erhoben wurden, dürfen nicht frei weiterverwendet und schon gar nicht ohne Vertrag und Prüfung an einen externen Dienst gegeben werden. Für den KI-Bereich ergänzt die AESIA, die spanische Aufsichtsbehörde für künstliche Intelligenz, das System. Ihre Rolle erklären wir in unserem Artikel über die AESIA und die Vorbereitung spanischer Unternehmen auf die KI-Verordnung.

Was Hotels und Reisebüros jetzt tun können

KI an der Rezeption zu verbieten ist nicht realistisch. Besser ist ein klarer Rahmen:

1. Die tatsächlich genutzten Tools erfassen, an Rezeption, Reservierung, Marketing und Buchhaltung, auch auf privaten Smartphones.

2. Eine einfache Regel festlegen: niemals Ausweis-, Kartennummern oder IBAN in einen KI-Assistenten, auch nicht für eine Übersetzung.

3. Ein freigegebenes Tool bereitstellen, mit einem DSGVO-konformen Auftragsverarbeitungsvertrag, statt jeden selbst wählen zu lassen.

4. Sensible Daten automatisch anonymisieren, bevor sie gesendet werden, damit die Mitarbeitenden den Nutzen des Tools behalten.

5. Verhinderte Vorfälle protokollieren, was bei einer Prüfung durch die AEPD hilft.

Anonymisierung ist oft der beste Kompromiss: Der Name wird zum Pseudonym, die Passnummer zu einer fiktiven Kennung im gleichen Format, und die generierte Antwort bleibt brauchbar. Unser Artikel über formatbewahrende Anonymisierung erklärt, wie das funktioniert.

Zusammenfassung

Seit Dezember 2024 halten spanische Beherbergungsbetriebe und Reisevermittler noch mehr Identitäts- und Zahlungsdaten. Generative KI hilft bei Bewertungen, E-Mails und Übersetzungen, doch jedes Kopieren und Einfügen kann einen Reisepass oder eine Bankkarte offenlegen. Wer diese Nutzung regelt, vor dem Senden anonymisiert und Nachweise über die Kontrollen aufbewahrt, kann einer Prüfung durch die AEPD gelassen entgegensehen.

ZeusLock erkennt und anonymisiert Pass-, DNI-, Karten- und IBAN-Nummern, bevor sie ChatGPT, Copilot oder Gemini erreichen, direkt im Browser Ihrer Teams. Fordern Sie eine ZeusLock-Demo an und sehen Sie, wie Sie Ihre Rezeption schützen, ohne sie auszubremsen.