KI und Datenschutz in der Gastronomie: Erfüllt HorecaHub die DSGVO?

Jeder Gastronomieunternehmer, der KI für Reservierungen, Fragen oder Follow-ups einsetzt, stößt früher oder später auf dieselbe Frage: Wie steht es eigentlich um Datenschutz und die DSGVO? Das ist eine berechtigte Frage, denn Gästedaten sind sensibel. Namen, Telefonnummern, Ernährungswünsche und manchmal sogar medizinische Informationen wie Allergene kommen vor. In diesem Artikel erklären wir, wie HorecaHub mit KI Gastronomie Datenschutz umgeht, welche Entscheidungen wir treffen, um die europäische DSGVO einzuhalten, und was das in der Praxis für dich als Unternehmer bedeutet.

Wir stützen uns auf Richtlinien der Autoriteit Persoonsgegevens, den offiziellen Text des Europäischen AI Act sowie die praktische Guidance des EDPB.

Was fällt unter KI Gastronomie Datenschutz

Bei KI Gastronomie Datenschutz geht es in der Praxis um vier Arten von Daten: Kontaktdaten (Name, Telefon, E-Mail), Reservierungsdaten (Datum, Uhrzeit, Anzahl Personen), Gesprächsinhalte (was ein Gast in einem Chat oder Telefongespräch sagt) und sensible Notizen (Allergene, Mobilität, Ernährungswünsche). Nicht alle diese Daten sind nach der DSGVO automatisch personenbezogene Daten, aber in Kombination schon.

Unsere Regel ist einfach: Wir verarbeiten nur das, was nötig ist, um dem Gast in diesem Moment zu helfen – nicht mehr. Dieses Prinzip heißt Datenminimierung und steht ausdrücklich in Artikel 5 der DSGVO.

Wie lange speichert die KI Gästedaten

Die Standard-Speicherfrist für Gesprächsinhalte beträgt 30 Tage. Nach dieser Frist werden Gespräche automatisch gelöscht oder anonymisiert. Die Reservierungsdaten selbst unterliegen den Aufbewahrungsfristen des Reservierungssystems des Unternehmers, nicht unseren Systemen. Besondere Kategorien wie Allergieinformationen speichern wir nur so lange, wie die Reservierung aktiv ist, und danach höchstens sieben Tage zur Bearbeitung möglicher Beschwerden.

Unternehmer können diese Fristen in Abstimmung verkürzen, wenn ihre eigene Datenschutzrichtlinie dies verlangt. Eine Verlängerung ist ebenfalls möglich, jedoch nur mit ausdrücklicher Rechtsgrundlage und Begründung im Verzeichnis der Verarbeitungstätigkeiten.

Wo werden die Daten physisch gespeichert

Alle Gästedaten werden verschlüsselt auf Servern innerhalb der Europäischen Union gespeichert. Wir nutzen keine Rechenzentren außerhalb der EU zur Speicherung personenbezogener Daten. Beim Einsatz von KI-Modellen laufen wir, wo möglich, auf europäischen Instanzen; wo dies technisch noch nicht verfügbar ist, verwenden wir standardmäßig Data Processing Addenda und zusätzliche Garantien gemäß den Leitlinien des EDPB.

Wie wissen Gäste, dass sie mit einer KI sprechen

Der Europäische AI Act verlangt, dass Gäste wissen, wenn sie mit einer KI kommunizieren. Wir integrieren dies standardmäßig in die ersten Sätze eines Gesprächs, in der Sprache des Gastes und auf natürliche Weise, sodass es nicht wie ein juristischer Disclaimer wirkt. Im Chat ist dies sichtbar im Chat-Widget. Bei Sprache hört der Gast in der Begrüßung, dass ein digitaler Assistent mithört und hilft.

Wer ist Verantwortlicher und wer ist Auftragsverarbeiter

Im Standardmodell ist der Gastronomieunternehmer der Verantwortliche und HorecaHub der Auftragsverarbeiter. Das bedeutet, dass der Unternehmer festlegt, zu welchem Zweck Daten erhoben werden, und wir die Verarbeitung in seinem Auftrag durchführen. Einen Auftragsverarbeitungsvertrag schließen wir standardmäßig zu Beginn der Zusammenarbeit ab. Die Unterzeichnung dauert weniger als fünf Minuten, und der Inhalt basiert auf dem Mustervertrag der Autoriteit Persoonsgegevens.

Welche Rechte hat ein Gast

Ein Gast hat nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. In der Praxis bearbeiten wir Anfragen über den Gastronomieunternehmer: Wenn ein Gast die Löschung seiner Daten verlangt, kann der Unternehmer dies mit einem Klick im Adminbereich weitergeben. Wir führen die Anfrage innerhalb von fünf Werktagen aus und bestätigen dies schriftlich. Bei sensiblen Anfragen können wir auch direkt mit dem Gast kommunizieren, sofern der Unternehmer dies genehmigt.

Wie gehen wir mit Beschwerden und Datenpannen um

Bei Verdacht auf eine Datenpanne wenden wir ein festes Incident-Protokoll an: innerhalb von 24 Stunden interne Meldung, innerhalb von 48 Stunden Impact-Analyse, innerhalb von 72 Stunden Meldung an die Autoriteit Persoonsgegevens, falls erforderlich. Der Unternehmer wird von Anfang an einbezogen und erhält einen schriftlichen Bericht darüber, was passiert ist, welche Daten betroffen waren und welche Maßnahmen ergriffen wurden. Wir halten dieses Protokoll bewusst kurz, weil Geschwindigkeit bei Datenschutzvorfällen entscheidend ist.

Was muss ich als Gastronomieunternehmer selbst regeln

Drei Dinge. Erstens: eine aktuelle Datenschutz- und Cookie-Erklärung auf der Website, in der KI-Verarbeitung ausdrücklich erwähnt wird. Wir liefern standardmäßig Textbausteine, die du übernehmen oder von deinem eigenen Juristen prüfen lassen kannst. Zweitens: ein interner Auftragsverarbeitungsvertrag mit HorecaHub, den wir standardmäßig mitliefern. Drittens: kurze interne Absprachen darüber, wer im Team die KI-Ergebnisse einsehen kann und wie das Team mit Gästeanfragen zu Daten umgeht.

Wie passt das zu anderer Gesetzgebung

Neben der DSGVO und dem AI Act spielen für die Gastronomie auch branchenspezifische Vorschriften eine Rolle. Dazu gehören Informationspflichten zu Allergenen gemäß der europäischen Lebensmittel-Informationsverordnung. Einen aktuellen Praxisrahmen findest du über KHN, den Branchenverband, der für Mitglieder Übersetzungen europäischer Vorschriften in den Arbeitsalltag im Betrieb bereitstellt. Eine gut eingerichtete KI hilft, diese Art von Informationen konsistent und einheitlich zu kommunizieren – unabhängig davon, wer an diesem Abend hinter der Bar steht.

Was bedeutet das für zukünftige Entwicklungen

Der Europäische AI Act wird in den kommenden Jahren schrittweise eingeführt, mit strengeren Anforderungen für risikoreiche Anwendungen. Kundenservice-KI fällt größtenteils unter ein leichteres Regime, aber Transparenz bleibt der Eckpfeiler. Wir verfolgen die Entwicklungen aktiv und passen die Plattform an, bevor neue Regeln in Kraft treten, damit Unternehmer nie von Überraschungen betroffen sind.

Praktische Checkliste für Unternehmer

Gehe diese fünf Punkte einmal pro Quartal durch: Ist die Datenschutzerklärung auf der Website noch aktuell, steht der Auftragsverarbeitungsvertrag auf den richtigen Namen, weiß das Team, wohin Gästeanfragen gehen müssen, stimmen die Aufbewahrungsfristen mit deiner aktuellen Arbeitsweise überein, und ist der KI-Hinweis im Chat und in der Telefonie noch sichtbar. Fünfzehn Minuten Arbeit pro Quartal – aber es verhindert die meisten Compliance-Probleme.

Häufige Folgefrage von Unternehmern

Fast jeder Unternehmer fragt: Kann mich die Autoriteit Persoonsgegevens bestrafen, wenn ich KI einsetze und etwas schiefgeht? Die kurze Antwort ist, dass Bußgelder meist aus dem Fehlen grundlegender Maßnahmen entstehen: kein Auftragsverarbeitungsvertrag, keine Datenschutzerklärung, kein Meldeverfahren. Wenn diese Basis vorhanden ist und du mit einem Auftragsverarbeiter arbeitest, der nachweislich die DSGVO einhält, ist das Bußgeldrisiko gering. Wir unterstützen Unternehmer aktiv dabei, diese Grundlage sauber einzurichten, weil eine gute Datenschutzpraxis auch das Vertrauen der Gäste stärkt.