Weitergabe von Daten an das Hotel

Eine Eventagentur wird vom Veranstalter beauftragt, eine Veranstaltung zu organisieren. Im Laufe dieser Veranstaltung sollen die Teilnehmer in einem Hotel übernachten, was Teil der Veranstaltung ist. Dazu übermittelt die Agentur eine Liste der Teilnehmer an das Hotel. Wie man sich denken kann, kommen nun einige Rechtsfragen auf die Beteiligten zu:

Bundesmeldegesetz

Ein Hotel ist eine Beherbergungsstätte im Sinne des Bundesmeldegesetzes (BMG). Das heißt, dass für ein Hotel die besondere Meldepflicht nach § 29 BMG gilt. Der Hotelgast muss am Tag der Ankunft einen Meldeschein handschriftlich zu unterschreiben, der die in § 30 Absatz 2 BMG genannten Daten enthält.

Beim Meldeschein gibt es eine Besonderheit:

Ist eine Reisegesellschaft unterwegs, muss nur der Reiseleiter den Meldeschein ausfüllen und dabei die Anzahl und Staatsangehörigkeiten der Mitreisenden angeben.

Der Begriff der “Reisegesellschaft” ist dabei nicht eng auf das Reiserecht zu beschränken: Es reicht aus, dass mehrere Personen im Rahmen einer gemeinsam unternommenen Reise in einem Hotel gemeinsam übernachten. Maßgeblich ist insoweit, dass die Organisation der Reise einer verantwortlichen Person anvertraut wurde, z.B. einer Eventagentur. Erfolgt die Übernachtung aller Teilnehmer auf eine gemeinsame Rechnung (z.B. die des Veranstalters/Arbeitgebers) und wird dem Hotel eine Teilnehmerliste übermittelt, geht man von einer Reisegesellschaft i.S.d. § 29 Abs. 2 BMG aus. In diesem Fall muss nicht jeder Teilnehmer einzeln einen Meldeschein ausfüllen.

Datenschutzgrundverordnung

Nun wird es aber problematisch: Immerhin werden personenbezogene Daten an das Hotel weitergegeben, also kommt auch das Datenschutzrecht ins Spiel.

Das bedeutet, dass Veranstalter und Agentur vorab klären müssen:

• Besteht zwischen Veranstalter und Agentur eine Auftragsverarbeitung? Muss also ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden?
• Oder besteht zwischen Veranstalter und Agentur eine gemeinsame Verantwortlichkeit, weil beide gemeinsam über Mittel und Zweck der Datenverarbeitung entscheiden? Hier kommt es also insbesondere auf die Gestaltung bzw. Formulierung im Vertrag zwischen Veranstalter und Agentur an.
• Besteht dann weiter zwischen Agentur und dem Hotel eine Auftragsverarbeitung? Muss also ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden? Dann muss diese (Unter-)Auftragsverarbeitung bereits im Vertrag zwischen Hotel und Agentur genannt werden!
• Auf welcher Rechtsgrundlage beruht die Weitergabe der Daten vom Veranstalter an die Agentur? Kann sich der Veranstalter auf eine Einwilligung, auf die Vertragserfüllung oder sein berechtigtes Interesse stützen? Eine solche Rechtsgrundlage wäre nicht notwendig, wenn zwischen den beiden ein Auftragsverarbeitungsverhältnis besteht.

Das Problem: Veranstalter und Agentur müssen eine Vielzahl von Rechtsfragen vorab klären und sich darüber einig sein. Denn beide dürfen nur mit der Datenverarbeitung beginnen, wenn ein AVV geschlossen wurde – soweit er denn notwendig ist (oder ein Vertrag über die gemeinsame Verantwortlichkeit). Sind sich die beiden also im Vorfeld nicht einig (was an den unterschiedlichen Rechtsauffassungen ggf. eingeschalteter Anwälte oder an Bequemlichkeit der Beteiligten liegen kann), dann gehen beide ein Risiko ein, wenn sie “einfach so” mit der Datenverarbeitung beginnen: Entweder fehlt eine Rechtsgrundlage und/oder ein Vertrag (AVV oder Joint Controller-Vertrag).

Wichtig:

Denken Sie in jedem Fall an die Information an die Betroffenen (Art. 13 DSGVOArt. 13 DSGVO): Transparenz ist das Zauberwort. Der Betroffene muss also u.a. wissen, ob und an wen seine Daten weitergegeben werden.