Gästeregistrierung in Hotels und polizeiliche Meldungen im Jahr 2026: Ein Leitfaden für jedes Land

Die Compliance-Realität, über die Ihnen niemand berichtet hat

Ein unabhängiges Hotel in Madrid, Rom, Lyon, Berlin oder Lissabon checkt pro Woche etwa 100 Gäste ein. Jeder dieser Check-ins löst in dem Land, in dem das Hotel tätig ist, eine gesonderte gesetzliche Verpflichtung aus: die Übermittlung von Identitätsdaten an ein Portal der Polizei, des Innenministeriums oder der Migrationsbehörde, und zwar innerhalb eines Zeitraums, der eher in Stunden als in Tagen gemessen wird, mit Aufbewahrungsfristen, die von sechs Monaten in Frankreich bis zu fünf Jahren in Italien reichen, und einem Strafrahmen, der von einer symbolischen Geldstrafe bis zum Entzug der Betriebsgenehmigung reicht. Die fünf großen europäischen Regelungen überschneiden sich bei den grundlegenden Identitätsfeldern und unterscheiden sich in fast allen anderen Punkten: der Rechtsgrundlage, der Plattform, der Frist, dem Format, der Aufbewahrungsfrist, dem Aufwand für den Datenschutz und der Häufigkeit der Audits.

Die meisten unabhängigen Hotels wickeln diesen Arbeitsablauf nach wie vor über ein Papierregister ab, über die freie Hand eines Angestellten bei der Nachtabrechnung oder über einen Desktop-Client, den ein ehemaliger Rezeptionleiter 2019 eingerichtet hat und den seitdem niemand mehr angerührt hat. Die Kosten zeigen sich nicht als einzelne Geldstrafe, sondern als kumulative Belastung: 30 bis 90 Minuten Verwaltungsarbeit pro Schicht über Nacht, ein Inspektionsrückstand, der sich alle drei bis vier Jahre aufbaut, und eine kleine Anzahl von Häusern, die jährlich mit fünfstelligen Geldstrafen belegt werden, die fast immer auf dieselben wenigen Versäumnisse zurückzuführen sind. Der richtige Schritt besteht darin, jedes Regime auf dieselbe automatisierte Schiene innerhalb Ihres Hotel-Property-Management-Systems zu bringen, wo die Daten einmalig beim Check-in (oder früher, in der Buchungsmaschine) erfasst und per API an das Portal übermittelt werden, das die Gesetzgebung des jeweiligen Landes vorschreibt. Dieser Artikel bietet einen ehrlichen Überblick über die Anforderungen dieser Schiene für jedes Land im Jahr 2026, zeigt auf, wo die einzelnen Vorschriften unabhängige Anbieter ins Straucheln bringen, und enthält einen 14-Tage-Leitfaden zur Bereinigung einer bestehenden Unterkunft.

Ich schreibe für Prostay, das Team, das diese Schiene in rund 30 Ländern betreibt. Die unten aufgeführten Zahlen und Feldlisten stammen aus den veröffentlichten Vorschriften, den laufenden Notizen unseres Integrationsteams, den Prüfberichten, die unsere Kunden in Spanien und Italien in den Jahren 2024 und 2025 tatsächlich erhalten haben, sowie den Kontrollmustern, denen die Guardia Civil, die Polizia di Stato, die französischen Präfekturen, die deutschen Ordnungsämter und die portugiesische AIMA in den letzten 18 Monaten befolgt haben. Eine europaweite Harmonisierung ist nicht in Sicht. Die Einführung des eIDAS 2.0 EU Digital Identity Wallet ab 2026 wird es einem Gast schließlich ermöglichen, seine verifizierte Identität einmal vorzuweisen und diese an die zuständige Aufsichtsbehörde weiterleiten zu lassen, doch es wird noch mehrere Jahre dauern, bis dies in allen 27 Rechtsordnungen einsatzbereit ist. In der Zwischenzeit erfolgt die Arbeit Land für Land, System für System, und die einzige nachhaltige Lösung besteht darin, den Prozess zu automatisieren.

Was sich 2024 und 2025 geändert hat

Drei Dinge haben sich wesentlich geändert. Über keines davon wurde in der Fachpresse ausführlich berichtet.

Erstens trat Spaniens Königliches Dekret 933/2021 vom 26. Oktober nach zwei Verschiebungen (ursprünglich Januar 2023, dann Januar 2024) am 2. Oktober 2024 endlich in Kraft. Das Dekret gilt für Hotels, Hostels, Ferienwohnungen, Campingplätze, Wohnmobilstellplätze, Reiseveranstalter und Mietwagenunternehmen und erweiterte den Datensatz für Beherbergungsbetriebe von 8 Feldern unter der vorherigen Verordnung INT/1922/2003 auf 14 personenbezogene Felder pro erwachsenem Gast sowie Informationen zur Zahlungsmethode für die Buchungstransaktion. Die spanischen Hotelverbände CEHAT und ITH fochten die Verordnung 2022 und 2024 aus datenschutzrechtlichen Gründen an, doch der Tribunal Supremo lehnte eine Aussetzung der Umsetzung ab. Die Plattform ist das Portal SES.HOSPEDAJES des Innenministeriums mit einer OAuth-gesicherten REST-API, die PMS-Anbieter ab August 2024 ernsthaft zu integrieren begannen. Beherbergungsbetriebe, die die bisherigen Upload-Pfade „Cuaderno de Viajeros“ oder „Hospederías“ nutzen, müssen auf SES.HOSPEDAJES umstellen; beide bisherigen Pfade wurden zwischen Oktober 2024 und März 2025 außer Betrieb genommen.

Zweitens wurde die portugiesische Ausländer- und Grenzbehörde SEF (Serviço de Estrangeiros e Fronteiras) durch das Decreto-Lei Nr. 41/2023 aufgelöst und ihre Zuständigkeiten für Angelegenheiten ausländischer Einwohner auf die neue Agência para a Integração, Migrações e Asilo (AIMA) übertragen, die seit dem 29. Oktober 2023 tätig ist. Die SIBA-Plattform, über die Hotels bisher die „Boletins de Alojamento“ übermittelten, wurde durch SIBAplus unter der Zuständigkeit der AIMA abgelöst, wobei die Migration der Zugangsdaten bis in die erste Hälfte des Jahres 2024 andauerte und eine kleine Anzahl unabhängiger Hotels bei Inspektionen Anfang 2025 noch immer ungültige alte Zugangsdaten verwendete. Die wesentliche Verpflichtung änderte sich nicht (die Ankunft ausländischer Staatsangehöriger muss innerhalb von drei Werktagen gemeldet werden), wohl aber die Plattform, die Zugangsdaten und die Häufigkeit der Kontrollen.

Drittens änderte Frankreich Ende 2024 seinen Erlass zur „fiche individuelle de police“, um die elektronische Übermittlung an die Präfektur in regulierten Zonen zu ermöglichen (die Durchführungsbestimmungen wurden Anfang 2025 veröffentlicht), und die am 1. Januar 2025 in Kraft getretene Novelle des deutschen Bundesmeldegesetzes erlaubt es den Bundesländern, einen elektronischen Meldeschein (e-Meldeschein) für nichtdeutsche Gäste zu genehmigen, wodurch die Anforderung einer handschriftlichen Unterschrift aufgehoben wurde, die seit 1983 den digitalen Check-in für ausländische Touristen in Deutschland verhindert hatte. Bis Juni 2026 haben sechs Bundesländer (Berlin, Hamburg, Bayern, Hessen, Nordrhein-Westfalen und Baden-Württemberg) Durchführungsbestimmungen veröffentlicht; die übrigen zehn befinden sich noch in der Papierform. Italiens Regelung gemäß Artikel 109 TULPS bleibt inhaltlich unverändert, aber der neue Codice Identificativo Nazionale (CIN), der mit dem Gesetz 191/2023 eingeführt wurde und ab dem 1. Januar 2025 verbindlich gilt, hat eine parallele Verpflichtung für Gastgeber eingeführt, die Unterkunft selbst im nationalen Tourismusregister anzumelden – eine bürokratische Anforderung, die Selbstständige häufig mit der Meldepflicht für Gäste verwechseln. Es handelt sich um zwei getrennte Dinge.

Die Daten, die jedes europäische System nun verlangt

Die fünf wichtigsten Regelungen überschneiden sich in etwa acht Feldern und weichen im Übrigen voneinander ab. In Spanien, Italien, Frankreich, Deutschland und Portugal sind die einheitlichen Felder: vollständiger Name, Geburtsdatum, Staatsangehörigkeit, Art des Ausweisdokuments, Nummer des Ausweisdokuments, Ankunftsdatum, Abreisedatum und die Unterkunftskennung (eine von der Aufsichtsbehörde zugewiesene Nummer, die die Registrierung mit einer bestimmten Unterkunft verknüpft). Spanien fügt Geschlecht, Geburtsort, Wohnort, E-Mail-Adresse, Mobiltelefonnummer, Daten zur Zahlungsmethode sowie Angaben zur elterlichen Beziehung für begleitende Minderjährige hinzu. Italien fügt Geburtsort, Ausstellungsort des Dokuments und (bei Ferienwohnungen) die Adresse des Gastgebers hinzu. Frankreich erfasst zusätzlich die Wohnadresse, lässt jedoch die E-Mail- und Zahlungsdaten weg. Deutschland erfasst alle oben genannten Angaben sowie die Wohnadresse, ist jedoch das Land, in dem die Anforderung einer handschriftlichen Unterschrift (in den Bundesländern noch auf Papier) den Arbeitsablauf wesentlich verändert. Portugal hält sich eng an die Datenfelder, die Spanien ursprünglich gemäß der Verordnung von 2003 festgelegt hatte: Name, Geburtsdatum, Staatsangehörigkeit, Art und Nummer des Ausweises, Ankunfts- und Abreisedatum, Wohnsitzland.

Die Aufbewahrungsfristen betragen: Spanien 3 Jahre, Italien 5 Jahre (administrative Aufbewahrung durch die Polizia di Stato; die eigene Aufbewahrungspflicht des Betreibers ist kürzer), Frankreich 6 Monate auf Seiten des Betreibers, Deutschland 1 Jahr, danach obligatorische Vernichtung, Portugal unbefristet bei der AIMA, wobei die eigene Kopie des Betreibers den Aufbewahrungsgrundsätzen der DSGVO unterliegt (3 bis 5 Jahre sind die übliche defensive Wahl). Die Strafrahmen, die Auslöser für Prüfungen und die tatsächliche Durchsetzung werden in den untenstehenden Länder-Playbooks behandelt.

Länderleitfäden

Die fünf wichtigsten europäischen Rechtsordnungen, die einen eigenen Abschnitt verdienen, sowie ein kurzer Überblick über Griechenland, Österreich, die Schweiz und den mitteleuropäischen Raum. Jedes Länder-Playbook ist gleich aufgebaut: Rechtsgrundlage, betroffene Personen, Fristen, Pflichtfelder, Format, Aufbewahrung, Strafen und die häufigsten Fehlerquellen.

Spanien: SES Hospedajes und RD 933/2021

Rechtsgrundlage: Real Decreto 933/2021 vom 26. Oktober zur Regelung der Verpflichtungen zur Registrierung und Dokumentation von Informationen über natürliche und juristische Personen, die Tätigkeiten im Bereich der Beherbergung und Vermietung von Kraftfahrzeugen ausüben. Durchführungsbestimmungen: Orden INT/1267/2024 (technische Spezifikationen), Leitlinien der AEPD vom Oktober 2024.

Wer ist betroffen: Hotels, Hostels, Paradores, Ferienwohnungen (viviendas de uso turístico), B&Bs, Campingplätze, Wohnmobilstellplätze, Reiseveranstalter, die Unterkünfte vermitteln, und Autovermietungen. Ausgenommen: Kreuzfahrtschiffe auf der Durchfahrt, Unterkünfte im Rahmen medizinischer Behandlungen, Familienaufenthalte.

Die Frist: Die Registrierungsdaten müssen innerhalb von 24 Stunden nach dem Check-in an die Plattform SES.HOSPEDAJES übermittelt werden. Die Plattform versieht jede Übermittlung mit einem serverseitigen Zeitstempel, daher müssen die Uhr des Hotels und die Uhr der Aufsichtsbehörde übereinstimmen. Die 24-Stunden-Frist beginnt mit dem Check-in, nicht mit der Buchung. Eine drei Monate im Voraus getätigte Reservierung mit Check-in um 14:00 Uhr an einem Freitag muss bis 14:00 Uhr am Samstag übermittelt werden.

Pflichtfelder: 14 pro erwachsenem Gast plus ein strukturierter Datensatz für begleitende Minderjährige. Identität: vollständiger Name, Geschlecht, Geburtsdatum, Staatsangehörigkeit, Ausweisart, Ausweisnummer, Geburtsort (Stadt oder Land), Wohnort (Stadt oder Land), Ankunftsdatum, Abreisedatum, Zeitstempel der Unterschrift. Kontakt: E-Mail, Mobiltelefonnummer. Zahlung: Name des Kontoinhabers, IBAN oder die letzten vier Ziffern der Karte, Transaktionsdatum und Betrag. Bei Minderjährigen muss der Betreiber die elterliche oder vormundschaftliche Beziehung zu einem der Erwachsenen im selben Datensatz erfassen.

Format: REST-API mit OAuth 2.0-Authentifizierung über Client-Credentials; XML-Envelope pro Registrierung; manueller XLSX-Upload ist für sehr kleine Betreiber (ein bis drei Zimmer) weiterhin zulässig, wird jedoch hauptsächlich von Pensionen außerhalb des PMS-gesteuerten Hotelsektors genutzt.

Aufbewahrungsfrist: 3 Jahre ab dem Datum des Check-ins. Nach 3 Jahren muss der Betreiber die Datensätze löschen; das Ministerium bewahrt eine separate Kopie für seine eigenen gesetzlichen Aufbewahrungsfristen auf.

Strafen: leves 100 bis 600 EUR (typisch: verspätete oder unvollständige Übermittlung), schwere Verstöße: 601 bis 30.000 EUR (typisch: anhaltende Nichtübermittlung, Auslassen von Pflichtfeldern), sehr schwere Verstöße: bis zu 100.000 EUR kumulativ (typisch: Weigerung zur Registrierung, gefälschte Datensätze). Die Kontrollhäufigkeit in den Jahren 2024 und 2025 lag bei etwa einer von acht Unterkünften pro Jahr, wobei der Schwerpunkt auf Madrid, Barcelona, Mallorca, der Costa del Sol und den Kanarischen Inseln lag.

Die beiden häufigsten Fehler, die wir beobachten: (1) Unterkünfte, die ein PMS verwenden, das beim Check-in die Identität erfasst, aber nicht die Felder zur Zahlungsmethode, was bedeutet, dass der Nacht-Auditor die Buchung vor der Übermittlung manuell mit dem SES-Datensatz abgleichen muss; (2) Unterkünfte, die im Oktober 2024 einen manuellen SES-Upload-Workflow eingerichtet und die Ablehnungswarteschlange nie implementiert haben, was bedeutet, dass stillschweigend 6 bis 11 Prozent der Übermittlungen aufgrund fehlender Felder zurückgewiesen und nie erneut versucht werden. Beide Fehler eskalieren im Rahmen einer Inspektion zu schwerwiegenden Mängeln.

Italien: Alloggiati Web und Artikel 109 TULPS

Rechtsgrundlage: Artikel 109 des Testo Unico delle Leggi di Pubblica Sicurezza (R.D. 773/1931, mehrfach geändert). Durchführungsverordnung: D.M. vom 7. Januar 2013 zur Einführung der elektronischen Übermittlung über den von der Polizia di Stato betriebenen Dienst „Alloggiati Web“. Operativ umgesetzt auf regionaler Questura-Ebene.

Wer ist betroffen: Hotels, B&Bs, Agriturismi, Ferienwohnungen, Hostels, Residenzen, Campingplätze und alle Einrichtungen, die kostenpflichtige Unterkünfte anbieten. Ferienwohnungen wurden ab 2018 ausdrücklich einbezogen.

Die Frist: innerhalb von 24 Stunden nach dem Check-in bei Aufenthalten von 24 Stunden oder mehr, innerhalb von 6 Stunden nach dem Check-in bei Aufenthalten von weniger als 24 Stunden. Die 6-Stunden-Regel gilt für Tagesbuchungen, Schlafbusse und kurze technische Zwischenstopps. Betreiber mit einem hohen Volumen an Buchungen unter 24 Stunden benötigen eine stündlich ablaufende Übertragungswarteschlange und keinen einmaligen nächtlichen Batch.

Pflichtfelder: vollständiger Name, Geburtsdatum, Geschlecht, Geburtsort (mit Provinzcode für italienische Gäste), Staatsangehörigkeit, Ausweisart, Ausweisnummer, Ausstellungsort, Ankunftsdatum und Anzahl der Übernachtungen. Bei begleitenden Minderjährigen wird die Beziehung zum Familienoberhaupt erfasst. Einige Questure verlangen zusätzlich die Wohnadresse, was lokal durchgesetzt wird.

Format: eine Textdatei mit fester Länge (167 ASCII-Zeichen pro Zeile, Dateikopf mit Anmeldedaten des Betreibers), die entweder auf das Alloggiati-Webportal hochgeladen oder über die 2020 eingeführte WS-REST-API übermittelt wird. Das Format mit fester Länge ist anfällig: Ein Versatz von nur einem Zeichen in einer einzigen Zeile macht den gesamten Datensatz ungültig. PMS-Integrationen nutzen fast immer die API.

Aufbewahrungsfrist: 5 Jahre administrative Aufbewahrungspflicht bei der Polizia di Stato. Die eigene Aufbewahrungspflicht des Betreibers ist kürzer (mindestens 1 Jahr gemäß den Auslegungsrichtlinien des TULPS), doch das Verhältnismäßigkeitsprinzip der DSGVO und die Leitlinien der Garante aus dem Jahr 2018 veranlassen die meisten Beherbergungsbetriebe zu einer Aufbewahrungsfrist von 1 bis 3 Jahren.

Sanktionen: Artikel 109 TULPS sieht technisch gesehen eine Freiheitsstrafe von bis zu 3 Monaten oder eine Geldstrafe von bis zu 206 EUR pro Verstoß vor, doch bei der Durchsetzung in den Jahren 2024 und 2025 wurde überwiegend der Weg der Verwaltungsstrafe gemäß L. 689/1981 mit Geldbußen von 110 bis 1.032 EUR pro Verstoß, zuzüglich schriftlicher Verwarnungen und (bei Wiederholungstätern) der Aussetzung der Lizenz. Die Geldstrafe für einen einzelnen Verstoß ist gering, doch die Polizia di Stato zählt jede versäumte Übermittlung als separaten Verstoß, und eine Kontrolle, bei der zwei Monate versäumter Übermittlungen festgestellt werden, kann zu einer kumulierten Geldstrafe im vierstelligen Bereich führen.

Die Falle: Der mit dem Gesetz 191/2023 eingeführte Codice Identificativo Nazionale (CIN), der ab dem 1. Januar 2025 verbindlich gilt, ist eine separate Meldepflicht für Beherbergungsbetriebe, die dem Tourismusministerium und nicht dem Innenministerium untersteht. Er ersetzt Alloggiati Web nicht, befreit niemanden von Alloggiati Web und fasst die Gästeerfassung nicht auf einer einzigen Plattform zusammen. Viele unabhängige italienische Anbieter haben die beiden Anfang 2025 miteinander verwechselt und wochenlang die Übermittlungen an Alloggiati Web versäumt, während sie sich auf die Einhaltung der CIN-Vorschriften konzentrierten. Behandeln Sie sie im Betriebshandbuch als separate Arbeitsabläufe.

Frankreich: Die Fiche Individuelle de Police

Rechtsgrundlage: Artikel R611-42 des Code du tourisme. Durchführungserlass vom 22. Mai 2007 (mit nachfolgenden Aktualisierungen, einschließlich der Änderung von Ende 2024, die die elektronische Einreichung in regulierten Zonen erlaubt).

Wer ist betroffen: Hotels, Hostels, Residences hôtelières, Gîtes, Chambres d'hôtes (B&Bs), Campingplätze und Gastgeber von Kurzzeitvermietungen, die den Schwellenwert für Gelegenheitsvermietungen überschreiten.

Wer muss sich registrieren: Nur Gäste aus Nicht-EWR-Ländern und der Schweiz. EU- und EWR-Bürger (sowie Schweizer) sind gemäß dem Grundsatz der Freizügigkeit davon befreit. Dies ist der am häufigsten missverstandene Punkt des französischen Systems: Ein französisches Hotel, das für jeden Gast eine Fiche führt, erhebt mehr personenbezogene Daten, als das Gesetz vorschreibt, und verstößt damit technisch gesehen gegen den Grundsatz der Datenminimierung der DSGVO. Die richtige Vorgehensweise besteht darin, den Fiche-Workflow bei der Buchung oder beim Check-in auf die Staatsangehörigkeit zu beschränken.

Pflichtfelder: Nachname, Vornamen, Geburtsdatum, Geburtsort, Staatsangehörigkeit, gewöhnlicher Wohnsitz, Mobiltelefonnummer oder E-Mail-Adresse, Ankunftsdatum und voraussichtliches Abreisedatum.

Format: Papier oder elektronisch. Hotels bewahren die Fiches vor Ort auf und legen sie auf Verlangen einem Inspektor der Polizei, der Gendarmerie oder der Präfektur vor. Die Novelle von 2024 ermächtigte einige Präfekturen, Fiches elektronisch über ein regionales Portal zu empfangen, doch die Abdeckung ist uneinheitlich; ab Juni 2026 erwartet die Mehrheit der Präfekturen weiterhin Papierdokumente.

Aufbewahrungsfrist: 6 Monate beim Betreiber. Nach 6 Monaten muss der Betreiber die Fiches vernichten. In den Leitlinien der CNIL aus dem Jahr 2022 wurde bekräftigt, dass der Zeitraum von 6 Monaten ein Höchstwert und kein Ziel ist, und empfohlen, die Fiches zu vernichten, sobald der betreffende Aufenthalt für das Prüfungsfenster der Aufsichtsbehörde abgeschlossen ist (in der Regel nach 4 Monaten).

Strafen: Verstoß der 5. Klasse (bis zu 1.500 EUR pro fehlendem oder unvollständigem Formular, verdoppelt auf 3.000 EUR bei Wiederholungstätern innerhalb eines Jahres). Die praktische Durchsetzung konzentriert sich auf Unterkünfte in Tourismusgebieten mit hoher Zahl ausländischer Gäste (Paris, Côte d'Azur, Bordeaux, Lyon, Straßburg) sowie auf Unterkünfte, die eine separate polizeiliche Ermittlung ausgelöst haben, bei der fehlende Fiches als Nebenanklage dienen.

Der richtige Arbeitsablauf: Ein digitales Formular, das von der Buchungsmaschine für jede Reservierung generiert wird und nur angezeigt wird, wenn die Nationalität des Gastes nicht aus dem EWR stammt, wobei das Formular 6 Monate lang im PMS gespeichert und dann automatisch gelöscht wird. Kaum jemand wendet diesen Workflow heute an; der durchschnittliche unabhängige französische Hotelier kopiert immer noch Reisepässe an der Rezeption und steckt die Fiches in einen Ringordner.

Deutschland: Hotelmeldeschein und das Bundesmeldegesetz

Rechtsgrundlage: § 29 und § 30 des Bundesmeldegesetzes (BMG, in Kraft seit dem 1. November 2015, mit der Änderung zum elektronischen Meldeschein von 2025) sowie die Verwaltungsvorschrift zu dessen Umsetzung auf Landesebene.

Wer ist betroffen: Hotels, Hostels, Pensionen, B&Bs, Ferienwohnungen, die als Beherbergungsbetrieb betrieben werden, sowie alle gewerblichen Beherbergungsbetriebe.

Wer muss sich registrieren: jeder Gast, wobei zwei unterschiedliche Abläufe gelten. Deutsche Staatsbürger: ein vereinfachter Meldeschein mit Name, Geburtsdatum, Staatsangehörigkeit, Adresse, Ausweisnummer und Ankunftsdatum. Keine Unterschrift erforderlich. Nicht-Deutsche: ein vollständiger Hotelmeldeschein mit denselben Feldern sowie der Wohnadresse im Ausland und einer persönlichen Unterschrift. Die Unterschriftspflicht war das wesentliche Hindernis für einen vollständig digitalen Check-in für ausländische Touristen; die e-Meldeschein-Novelle von 2025 erlaubt es den Ländern nun, elektronische Alternativen zu genehmigen.

Pflichtfelder (ausländischer Gast, vollständig): Nachname, Vornamen, Geburtsdatum, Staatsangehörigkeit, Ausweisart und -nummer, Wohnadresse im Ausland, Ankunftsdatum, voraussichtliches Abreisedatum, Unterschrift (oder elektronisches Äquivalent in e-Meldeschein-Ländern), Angaben zu mitreisendem Ehepartner und minderjährigen Personen.

Format: Meldescheine werden vor Ort aufbewahrt und nicht aktiv an eine zentrale Behörde übermittelt. Die Polizei oder das Ordnungsamt kann sie einsehen. Die einjährige Aufbewahrungsfrist beginnt mit der Abreise; nach einem Jahr muss der Meldeschein vernichtet werden.

Strafen: § 54 BMG sieht Bußgelder von bis zu 1.000 EUR pro Verstoß vor. Die Durchsetzung erfolgt sporadisch: Berlin, München, Hamburg und Frankfurt führen regelmäßige Stichproben durch; im übrigen Deutschland erfolgt die Überprüfung auf Beschwerde hin oder nach einer gesonderten Untersuchung. Das Risiko für eine Immobilie mit einem Jahr fehlender oder unvollständiger Meldescheine beläuft sich in der Regel auf kumulierte Bußgelder in Höhe von 2.000 bis 8.000 Euro, zuzüglich der Kosten für die Nacherfassung.

Der Stand des elektronischen Meldescheins 2025: Berlin, Hamburg, Bayern, Hessen, Nordrhein-Westfalen und Baden-Württemberg haben Durchführungsbestimmungen mit Wirkung zum Juni 2026 veröffentlicht. In diesen Bundesländern erfüllt ein digitaler Check-in-Prozess mit einer starken elektronischen Signatur (§30 BMG) die Anforderungen. In den übrigen zehn Bundesländern ist für nichtdeutsche Gäste weiterhin eine handschriftliche Unterschrift erforderlich, was bedeutet, dass ein Hotel, das beispielsweise in Schleswig-Holstein einen teilweisen digitalen Check-in durchführt, für ausländische Gäste weiterhin einen Schritt zur physischen Unterschrift an der Rezeption benötigt.

Portugal: SIBA, SIBAplus und die AIMA-Übergabe

Rechtsgrundlage: Lei nº 23/2007 (Regime Jurídico de Entrada, Permanência, Saída e Afastamento de Estrangeiros) in der geänderten Fassung, mit der Auflösung der SEF und der Gründung der AIMA gemäß Decreto-Lei Nr. 41/2023, in Kraft seit dem 29. Oktober 2023. Die Plattform ist SIBAplus, der Nachfolger des ursprünglichen SIBA-Systems, das bis 2023 unter der SEF betrieben wurde.

Wer ist betroffen: Hotels, Pousadas, Residenzen, Alojamento Local (Ferienwohnungen), B&Bs, Campingplätze und alle gewerblichen Beherbergungsbetriebe.

Wer muss sich registrieren: nur ausländische Staatsangehörige, einschließlich EU-Bürger (hierin besteht der Unterschied zum französischen System, das EU- und EWR-Bürger ausnimmt). Das „boletim de alojamento“ erfasst die Identität und den Aufenthalt des ausländischen Gastes. Portugiesische Staatsangehörige sind davon ausgenommen.

Die Frist: innerhalb von 3 Werktagen nach dem Check-in bei Ankunft sowie eine separate Meldung innerhalb von 3 Werktagen nach dem Check-out. Das Zeitfenster von 3 Werktagen ist das großzügigste der fünf großen Regelungen und bietet portugiesischen Hotels deutlich mehr Spielraum als spanischen oder italienischen Unterkünften.

Pflichtfelder: Nachname, Vornamen, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Art und Nummer des Ausweises (Reisepass oder Personalausweis), Wohnsitzland, Ankunftsdatum, voraussichtliches Abreisedatum.

Format: SIBAplus REST-API mit tokenbasierter Authentifizierung oder Web-Upload einer strukturierten CSV-Datei. Der alte SIBA-SOAP-Endpunkt wurde Mitte 2024 außer Betrieb genommen, und jede PMS-Integration, die ihn noch aufruft, ist fehlerhaft; dies ist der häufigste einzelne Integrationsfehler, den wir bei Inspektionen unabhängiger portugiesischer Hotels im Jahr 2026 feststellen.

Aufbewahrung: AIMA bewahrt die Datensätze auf unbestimmte Zeit auf. Die Aufbewahrungsfrist des Betreibers unterliegt der Verhältnismäßigkeit gemäß DSGVO; 3 bis 5 Jahre sind die übliche Wahl aus Vorsichtsgründen, abgestimmt auf die Verjährungsfrist für damit verbundene steuerliche Ansprüche.

Strafen: Gemäß Lei nº 23/2007 betragen die Bußgelder (contraordenações) zwischen 100 EUR und 2.000 EUR pro Verstoß für natürliche Personen und bis zu 6.000 EUR für juristische Personen. Die Durchsetzung verlief bis 2024 unregelmäßig, da die AIMA die Falllast der SEF übernahm und die Zuständigkeiten übertragen wurden; bis zum 2. Quartal 2025 normalisierte sich der Inspektionsrhythmus auf etwa eine unabhängige Immobilie pro Jahr, wobei der Schwerpunkt auf Lissabon, Porto und der Algarve lag.

Griechenland, Österreich und die Schweiz in neunzig Sekunden

Griechenland: Hotels übermitteln Gästedaten innerhalb von 24 Stunden nach dem Check-in über ein nationales Portal an die griechische Polizei, zusätzlich zu den AADE-Steuerregistrierungspflichten für Kurzzeitvermietungen. Strafen: 100 bis 5.000 Euro pro Verstoß. Das griechische System ist strukturell dem spanischen ähnlich, verfügt jedoch über einen geringeren Datenumfang und eine weniger ausgereifte API.

Österreich: §10 des Meldegesetzes von 1991 schreibt für jeden Gast ein Gästeblatt vor, das 7 Jahre lang aufbewahrt werden muss (die längste Aufbewahrungsfrist in Europa). Strafen: bis zu 720 EUR pro Verstoß (§ 22 MeldeG). Die Durchsetzung konzentriert sich auf Wien, Salzburg und die großen Skigebiete.

Schweiz: kantonale Regelung. Die meisten Kantone verlangen die Online-Registrierung ausländischer Gäste über ein regionales System (z. B. Berns MeldeGuide, Zürichs eRegistration, die von mehreren Kantonen gemeinsam genutzte SHM-Plattform). Aufbewahrungsfristen und Strafen variieren je nach Kanton; üblicherweise liegen die Aufbewahrungsfristen zwischen 1 und 5 Jahren und die Strafen zwischen 100 und 5.000 CHF pro Verstoß.

Tschechische Republik, Kroatien, Ungarn, Polen: Jedes Land betreibt ein eigenes Portal und eine eigene Frist, wobei die Fristen zwischen 24 Stunden (Tschechien) und 5 Tagen (Kroatien für bestimmte Unterkunftsarten) liegen. Das Muster ist dasselbe: Identitätsfelder, ein Regulierungsportal, eine in Stunden oder Tagen gemessene Frist, eine in Jahren gemessene Aufbewahrungsdauer und ein Bußgeldkatalog, der kleine Verstöße zu einem kumulativen Risiko im vierstelligen Bereich macht.

Die elf Verstöße, die zu Bußgeldern und Nachprüfungen führen

Bei rund 600 Prüfungen und Inspektionen, die unsere Kunden in den Jahren 2024 und 2025 durchlaufen haben, sind es immer wieder dieselben elf Verstöße, die den Großteil der Geldstrafen, schriftlichen Verwarnungen und Aufforderungen zur Nachprüfung ausmachen. Hier sind sie in absteigender Reihenfolge ihrer Häufigkeit aufgeführt, zusammen mit der operativen Abhilfe.

1. Verspätete Einreichung nach Ablauf des 24-Stunden- oder 6-Stunden-Fensters. Der mit Abstand häufigste Fehler. Ein Check-in um 22:30 Uhr, ein Nachtprüfer, der den manuellen Upload um 02:00 Uhr abschließt, ein System, das die Einreichung serverseitig um 02:14 Uhr zeitstempelt: Alle vier großen Regulierungsbehörden werten dies als Verstoß. Lösung: automatisierte Übermittlung zum Zeitpunkt des Check-ins, mit einer Warteschlange, die bei vorübergehenden API-Fehlern einen erneuten Versuch unternimmt, und einem täglichen Abgleichsbericht.
2. Fehlende Felder zur Zahlungsmethode unter SES Hospedajes (Spanien). RD 933/2021 erwartet die IBAN oder die letzten vier Ziffern der Karte. Ein Hotel, das die Identität beim Check-in erfasst, aber den Zahlungsdatensatz der Buchung nie mit der SES-Übermittlung verknüpft, sendet einen Datensatz mit leerem Zahlungsfeld. Lösung: Leiten Sie die SES-Übermittlung über dieselbe Datenebene, die die Buchung und die Zahlung enthält.
3. Feuchtstempel fehlt auf einem Hotelmeldeschein für einen nichtdeutschen Gast in einem Bundesland, das diesen noch verlangt. Berlin und Hamburg erlauben nun die elektronische Signatur, Schleswig-Holstein und zehn weitere Bundesländer tun dies nicht. Ein Hotel, das einen digitalen Check-in über eine nationale Kette durchführt, benötigt in den Bundesländern, die den e-Meldeschein noch nicht zugelassen haben, weiterhin eine Papierversion als Ausweichlösung. Lösung: Den Ablauf der digitalen Signatur nach Bundesland und Nationalität steuern, mit einem Papier-Fallback, den die Rezeption physisch vorlegt, wenn die Nationalität des Gastes nicht deutsch ist und sich die Unterkunft in einem Bundesland befindet, das eine handschriftliche Unterschrift verlangt.
4. Fiches für EU-Bürger in Frankreich. Hotels erfassen Fiches für jeden Gast, einschließlich EU-Bürger. Technisch gesehen ein Verstoß gegen die DSGVO (übermäßige Datenerhebung) zusätzlich zur regulatorischen Diskrepanz. Lösung: Fiche-Ablauf nach Nationalität.
5. Ablehnung von Dateien mit fester Länge durch das italienische Alloggiati Web. Ein einziges falsches Zeichen im Dateikopf macht den gesamten Stapel ungültig. Unterkünfte, die einen manuellen Export aus einem nicht integrierten PMS erstellt haben, sind besonders gefährdet. Lösung: API-basierte Übermittlung statt Datei-Upload.
6. Portugiesische Hotels rufen immer noch den stillgelegten SIBA-SOAP-Endpunkt auf. Die Integration wurde Mitte 2024 eingestellt, und alle Übermittlungen seitdem wurden stillschweigend zurückgewiesen. Lösung: Migration zum SIBAplus-REST-Endpunkt und Einrichtung einer 30-tägigen Überprüfung der Übermittlungsbestätigungen.
7. Verstöße gegen die Aufbewahrungsfristen: Aufbewahrung von Aufzeichnungen über den vorgeschriebenen Zeitraum hinaus. Frankreich 6 Monate, Deutschland 1 Jahr, Spanien 3 Jahre, Italien 1 bis 3 Jahre (Betreiberseite), Portugal 3 bis 5 Jahre (defensiv). Eine Unterkunft, die alles über alle Rechtsordnungen hinweg 5 Jahre lang aufbewahrt, verstößt in Frankreich und Deutschland technisch gesehen gegen die Vorschriften.
8. Pass-Scans, die über den Validierungspunkt hinaus als Bilddateien aufbewahrt werden. Die meisten Regelungen verlangen Felder, keine Bilder. Die Aufbewahrung des Bildes über den Schritt der Feldextraktion hinaus verstößt gegen den Grundsatz der Verhältnismäßigkeit und löst zusätzlich zur gesetzlichen Regelung eine Haftung nach der DSGVO aus. Lösung: Extrahieren, validieren, übertragen und anschließend das Bild löschen.
9. Gruppenbuchungen ohne Datensätze pro Gast. Eine Reisegruppe von 40 Personen, die als ein einziger Datensatz mit einem Reisepass und einer beigefügten Passagierliste registriert wurde. Keines der fünf Regelwerke akzeptiert dies. Jeder erwachsene Gast ist eine separate Registrierung. Lösung: Ein Gruppen-Check-in-Prozess, der einen Datensatz pro Erwachsenem erfasst.
10. Walk-ins, die auf Papier erfasst und nie in das Portal eingegeben wurden. Der klassische Fehler: ein Check-in um 23:45 Uhr, ein Gast, der bar bezahlt, ein Eintrag im Papierregister, ein Nachtbuchhalter, der die SES- oder Alloggiati-Meldung nie absendet. Der Inspektionsbericht wird den Prüfpfad enthalten. Lösung: Ein Check-in-Prozess, bei dem die Buchung erst gespeichert werden kann, wenn die Übermittlung an die Aufsichtsbehörde in der Warteschlange steht.
11. Fehlende Dokumente, die bei der Inspektion angefordert werden. Die Zugangsdaten, die von der Plattform ausgestellte Betreibernummer, der Eintrag im Datenschutzregister. Die Inspektoren fragen namentlich danach. Lösung: Ein einziger Ordner (digital oder physisch) an der Rezeption mit den Betreiber-Zugangsdaten, den aktuellsten von der Plattform ausgestellten Abrechnungen, dem DSGVO-Verarbeitungsprotokoll für das System und den Kontaktdaten der Ansprechpartnerin bei der Aufsichtsbehörde.

Manuelle versus automatisierte Gästeanmeldung: Die Zeitrechnung

Der Zeitaufwand für die polizeiliche Meldung ist die am häufigsten unterschätzte Zahl im unabhängigen Hotelbetrieb, und die meisten Häuser messen ihn nicht. Hier sind die Vergleichswerte aus einer Stichprobe von 80 unabhängigen EU-Hotels (jeweils 30 bis 150 Zimmer, gemischte Stadt- und Resort-Hotels, Kalenderjahre 2024 bis 2025), in denen wir sowohl manuelle als auch automatisierte Arbeitsabläufe implementiert haben.

Manueller Arbeitsablauf (Papierregister, Eingabe am Ende der Schicht in das Regulierungsportal): 4,5 bis 7 Minuten pro Gast, sinkend auf 2,5 Minuten pro Gast an einer Nacht mit hohem Gästeaufkommen, in der der Mitarbeiter über Muskelgedächtnis verfügt und das Portal mitspielt. Für ein Hotel mit 60 Zimmern und einer Auslastung von 70 Prozent sind das 42 Check-ins pro Tag oder etwa 200 Minuten Verwaltungszeit pro Tag bzw. knapp 20 Stunden pro Woche, die für die polizeiliche Meldung aufgewendet werden. Die Kosten bei 18 bis 25 Euro pro Stunde (inkl. Sozialabgaben) belaufen sich auf 18.000 bis 26.000 Euro pro Jahr.

Hybrider Arbeitsablauf (PMS erfasst die Identität beim Check-in, der Mitarbeiter führt den Export am Ende der Schicht durch): 1,5 bis 2,5 Minuten pro Gast, wobei der Schritt des Exportierens und Hochladens den größten Teil der Zeit in Anspruch nimmt und nicht das erneute Eintippen. Etwa 7 bis 10 Stunden pro Woche. 6.500 bis 13.000 Euro pro Jahr.

Vollautomatisierter Workflow (das PMS übermittelt die Daten beim Check-in an die API der Aufsichtsbehörde, mit einem täglichen Abgleichsbericht): weniger als 30 Sekunden Verwaltungsaufwand pro Gast, der ausschließlich für die seltenen Ausnahmen aufgewendet wird, bei denen die API die Daten abgelehnt hat. Etwa 1 bis 2 Stunden pro Woche, hauptsächlich durch den Nachtbuchhalter, der die Abgleichswarteschlange überprüft. 900 bis 2.600 Euro pro Jahr.

Die Differenz zwischen manuellem und automatisiertem Verfahren beträgt für ein unabhängiges Hotel mit 60 Zimmern etwa 17.000 EUR pro Jahr an eingespartem Verwaltungsaufwand, zuzüglich der vermiedenen Bußgeldrisiken (2.000 bis 8.000 EUR pro Jahr bei einem durchschnittlichen Hotel) sowie der saubereren Prüfungsbilanz (die sich nur schwer beziffern lässt, sich aber im Jahr einer tatsächlichen Inspektion auszahlt). Die Rechnung gilt für alle fünf großen Rechtsräume; der einzige Rechtsraum, in dem der automatisierte Workflow noch nicht die gesamte Verwaltungszeit einspart, ist Deutschland in den Bundesländern, in denen eine handschriftliche Unterschrift noch erforderlich ist.

Wie ein PMS die Polizeimeldung tatsächlich automatisiert

Die Mechanismen eines funktionierenden automatisierten Systems sind unspektakulär, aber es lohnt sich, sie richtig zu gestalten. Das Muster ist in allen Rechtsordnungen identisch: Das PMS erfasst die Identitätsfelder einmalig, normalisiert sie intern in ein kanonisches Schema, übersetzt dann jede Übermittlung in das spezifische Format der Aufsichtsbehörde und übermittelt sie nach dem spezifischen Zeitplan der Aufsichtsbehörde.

Der Erfassungsschritt läuft typischerweise an drei Stellen ab: (1) in der Buchungsmaschine, wo der Gast bei Direktbuchungen im Rahmen des Pre-Check-in-Prozesses vor der Ankunft seine Passdaten angibt; (2) beim OTA-Eingang, wo Booking.com, Expedia und Airbnb ihre Daten über den Channel Manager senden und das PMS diese beim Check-in ergänzt; (3) an der Rezeption beim Check-in für den Rest. Ein funktionierender Erfassungsschritt verfügt über einen einzigen kanonischen Gastdatensatz pro Buchung, nicht über drei in der Nachtabrechnung abgeglichene Kopien.

Der Übertragungsschritt läuft über eine Warteschlange, die an die Systemuhr gekoppelt ist. Spanien und Italien verwenden eine 24-Stunden-Uhr ab dem Check-in, sodass ein Warteschlangenprozess, der beim Check-in plus 5 Minuten ausgelöst wird, die Frist mit komfortablem Spielraum einhält. Italiens 6-Stunden-Regel für Aufenthalte unter 24 Stunden erfordert eine separate Warteschlangenpriorität. Portugals 3-Werktage-Uhr kann einen einmal täglich um 02:00 Uhr laufenden Batch ausführen. Frankreich führt überhaupt keine Übertragung durch, sondern nur eine lokale Speicherung. Auch Deutschland führt keine aktive Übertragung durch, sondern nur Speicherung und Bereitschaft zur Einsichtnahme.

Der Abgleichschritt ist der Punkt, an dem die meisten selbst entwickelten Integrationen scheitern. Jede Regulierungsbehörde gibt entweder eine Bestätigung (mit einem serverseitigen Zeitstempel, den der Betreiber aufbewahren muss), eine weiche Ablehnung (der Datensatz wird für einen erneuten Versuch in die Warteschlange gestellt, oft ein vorübergehender API-Fehler) oder eine harte Ablehnung (ein fehlendes Feld oder ein fehlerhafter Wert, typischerweise ein Datumsformat oder ein ID-Typ-Code) zurück. Ein funktionierendes PMS meldet harte Ablehnungen bei der morgendlichen Besprechung an der Rezeption mit einer Ein-Klick-Funktion zum Korrigieren und erneuten Senden. Ein funktionierendes PMS führt außerdem einmal pro Woche einen Durchlauf durch, der nach allen Übermittlungen sucht, die keine Bestätigung erhalten haben, und diese erneut sendet.

Der Prüfungsschritt macht den Unterschied zwischen einer einwandfreien Inspektion und einer vierstelligen Geldstrafe aus. Ein funktionierendes PMS erstellt in weniger als 30 Sekunden einen inspektionsfertigen Bericht: Datensatz pro Gast, Zeitstempel der Übermittlung an die Aufsichtsbehörde, Zeitstempel der Bestätigung durch die Aufsichtsbehörde, Status der Aufbewahrungsfrist, GDPR-Verarbeitungsnachweis. Der Inspektor erhält diesen entweder auf einem USB-Stick, als gedrucktes PDF oder über einen Login im Inspektor-Portal. Wir haben erlebt, dass Inspektionen in weniger als 10 Minuten abgeschlossen waren, wenn der Betreiber einen einwandfreien Bericht an der Tür übergab, und wir haben erlebt, dass sich Inspektionen über vier Stunden hinzogen, wenn der Betreiber das Jahr anhand eines Papierregisters und einer Excel-Datei rekonstruieren musste.

ID-Scannen, OCR und NFC-Passlesung

Drei Technologien sind mittlerweile ausgereift genug für den produktiven Einsatz im Erfassungsworkflow am Empfang: MRZ-OCR für Reisepässe, Bildklassifizierung von Ausweisdokumenten und NFC-Chip-Auslesung von Reisepässen.

MRZ-OCR. Die zweizeilige maschinenlesbare Zone am unteren Rand jedes Reisepasses (und der meisten Ausweise im ICAO-9303-Format) wird deterministisch in Nachname, Vornamen, Geburtsdatum, Staatsangehörigkeit, Dokumentennummer, Ablaufdatum und Prüfziffern dekodiert. Die Fehlerquote moderner OCR-Verfahren bei einem sauberen Reisepass liegt bei einzelnen Feldern unter 1 Prozent; der Prüfziffern-Algorithmus fängt die meisten davon ab. Die Hardware besteht aus einem USB-MRZ-Scanner (200 bis 500 Euro) oder einer Handykamera mit einer hochwertigen MRZ-Bibliothek. Dies ist die einzelne, wirkungsvollste Aufrüstung für eine Rezeption, die manuelle Polizeimeldungen erstellt; die Erfassungszeit pro Gast sinkt von 90 Sekunden auf 8 Sekunden.

Klassifizierung von Ausweisdokumenten. Ein trainiertes Modell, das den Dokumenttyp (Reisepass, Personalausweis, Führerschein) und das Ausstellungsland klassifiziert. Nützlich, um den Workflow in das richtige Verfahren zu leiten: Ein spanischer DNI durchläuft einen anderen Validierungspfad als ein bolivianischer Reisepass, und der SES-Hospedajes-Datensatz benötigt den korrekten ID-Typ-Code aus der SES-Taxonomie.

NFC-Chip-Auslesen. Jeder ICAO-konforme Reisepass seit etwa 2010 enthält einen NFC-Chip mit den Personalisierungsdaten sowie einer digitalen Signatur des Ausstellungslandes. Ein Smartphone mit NFC-Lesegerät und einer ordnungsgemäß lizenzierten Bibliothek kann den Chip auslesen, die Signatur validieren und einen manipulationssicheren Datensatz erstellen. Die Signaturüberprüfung ist entscheidend: Ein gefälschter Reisepass durchläuft zwar den OCR-Schritt, scheitert jedoch an der Signaturprüfung. Das Auslesen per NFC ist mittlerweile Standard in den digitalen Onboarding-Abläufen von EU-Banken gemäß PSD2 und AML; die Nutzung in Hotels hinkt hinterher, nimmt aber zu.

Die richtige Kombination für eine Rezeption im Jahr 2026 lautet: NFC-First für von EU-Mitgliedstaaten ausgestellte Reisepässe (was die meisten Nicht-Schengen-Gäste in einem spanischen oder italienischen Hotel betrifft), MRZ-OCR als Fallback für Dokumente, deren Chip fehlt oder unlesbar ist, und manuelle Erfassung nur als letztes Mittel. Die Erfassung erfolgt direkt in das PMS und das PMS an die Aufsichtsbehörde. Die Hardwarekosten liegen unter 1.000 Euro pro Rezeption; die Integrationskosten entsprechen den vom PMS-Anbieter für das Modul berechneten Gebühren.

DSGVO und das doppelte Mandat

Jedes System zur polizeilichen Meldung steht im Spannungsverhältnis zur Datenschutz-Grundverordnung. Das Hotel ist der Verantwortliche für die Gästedaten, und die polizeiliche Meldepflicht der Aufsichtsbehörde ist die Rechtsgrundlage gemäß Artikel 6 Absatz 1 Buchstabe c DSGVO (Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung). Die von der Aufsichtsbehörde genannten Felder sind auf dieser Grundlage verarbeitbar. Felder, die das Hotel über die Liste der Aufsichtsbehörde hinaus erfasst, sind nicht gemäß Artikel 6 Absatz 1 Buchstabe c verarbeitbar und erfordern eine gesonderte Rechtsgrundlage.

Die fünf Punkte, auf die die Datenschutzbehörden in den Prüfungen der Jahre 2024 und 2025 durchweg hingewiesen haben:

• Minimierung. Erfassen Sie nur das, was die Vorschriften erfordern. Die französische CNIL hat ausdrücklich darauf hingewiesen, dass Hotels Datenblätter über EU-Bürger erfassen, und die spanische AEPD hat darauf hingewiesen, dass Hotels vollständige Pass-Scans erfassen, obwohl die SES nur die Felder benötigt.
• Aufbewahrung. Löschen Sie Daten fristgerecht. Der Zeitplan ist aufschlagsabhängig, und fast niemand führt eine automatisierte Löschung durch.
• Zweckbindung. Daten aus polizeilichen Meldungen dürfen nicht für Marketing, Kundenbindung oder Betrugsüberprüfung verwendet werden, es sei denn, der Gast hat gemäß Artikel 6 Absatz 1 Buchstabe a eine gesonderte Einwilligung erteilt.
• Verarbeitungsprotokoll. Artikel 30 DSGVO schreibt ein schriftliches Protokoll vor. Die Regelung, die Rechtsgrundlage, die Datenkategorien, die Aufbewahrungsfrist und der Empfänger (die Aufsichtsbehörde) müssen alle im Protokoll festgehalten werden. Wir stellen fest, dass etwa jedes dritte unabhängige EU-Hotel dieses Protokoll gänzlich versäumt.
• Rechte der betroffenen Person. Der Gast hat das Recht auf Auskunft, das Recht auf Löschung ist jedoch für die Dauer der gesetzlich vorgeschriebenen Aufbewahrungsfrist ausgesetzt. Das Hotel muss einem Auskunftsersuchen innerhalb der Aufbewahrungsfrist nachkommen und dem Löschungsersuchen nach Ablauf der Aufbewahrungsfrist.

Das schwierige Problem der doppelten Verpflichtung stellt Spanien dar. Die Zahlungsdatenfelder der Verordnung RD 933/2021 sind Zahlungsdaten, die auch unter den Geltungsbereich des Kartennetzwerks gemäß PCI DSS 4.0.1 fallen (siehe unseren früheren Artikel zu PCI DSS 4.0 für Hotels für einen vollständigen Überblick über Zahlungsdaten). Das Hotel muss beide Vorschriften gleichzeitig erfüllen: Die SES-Übermittlung muss die Zahlungsfelder enthalten, die Speicherung dieser Felder unterliegt sowohl der DSGVO als auch PCI, und die Aufbewahrungsfristen unterscheiden sich. Die saubere Architektur lautet: tokenisierte Speicherung mit einer Referenz zum Zahlungsabwickler, wobei die letzten vier Ziffern und die IBAN als einzige Werte aufbewahrt werden, im Ruhezustand verschlüsselt und mit Audit-Protokollierung beim Zugriff. Jedes Hotel, das weiterhin vollständige PANs in einer Excel-Tabelle im Backoffice speichert, um die SES-Zahlungsanforderungen zu erfüllen, begeht einen doppelten Verstoß.

Das 14-Tage-Bereinigungshandbuch

Wählen Sie ein Regelwerk aus, dem Ihr Hotel am stärksten ausgesetzt ist, und führen Sie die Bereinigung innerhalb von 14 Tagen durch. Der folgende Plan wurde für Spanien erstellt (mit der strengsten Durchsetzungsfrist und dem breitesten Feldumfang), lässt sich jedoch mit geringfügigen Feldanpassungen auf Italien, Frankreich, Deutschland und Portugal übertragen.

Tag 1 bis 3: Umfang und Zugangsdaten. Überprüfen Sie, ob die Zugangsdaten der Plattform gültig und aktuell sind. Drucken Sie die Identifikationsnummer des Betreibers, die Benutzerkonten, die API-Client-Zugangsdaten und das Ablaufdatum der Passwörter aus. Erkennen Sie veraltete Zugangsdaten hier und nicht erst bei der Inspektion. Rufen Sie die Übermittlungen der letzten 90 Tage von der Plattform ab und gleichen Sie diese mit der PMS-Buchungsliste ab. Die Diskrepanz ergibt die Liste der Fehler.

Tage 4 bis 6: Datenschicht. Identifizieren Sie im PMS, wo sich die von der Aufsichtsbehörde geforderten Felder befinden und wo nicht. Bei SES ist die Lücke fast immer der Block zur Zahlungsmethode. Bei Alloggiati ist es manchmal der Provinzcode des Geburtsortes. Bei der Fiche ist es das Feld zur Staatsangehörigkeit. Machen Sie die Lücke im Buchungsdatensatz sichtbar, damit sowohl das Rezeption-Team als auch der Nacht-Auditor sehen können, was fehlt, bevor die Zeit abläuft.

Tag 7 bis 9: Workflow an der Rezeption. Fügen Sie beim Check-in eine harte Sperre ein: Der Check-in kann erst abgeschlossen werden, wenn alle von der Aufsichtsbehörde geforderten Felder erfasst sind. Schulen Sie das Team in der Anwendung dieser Sperre. In der ersten Woche verlängert die Sperre den Check-in um 30 bis 60 Sekunden; in der dritten Woche fällt sie nicht mehr auf.

Tage 10 bis 12: Datenübertragung und Abgleich. Richten Sie die API-basierte Datenübertragung ein. Führen Sie sie 48 Stunden lang im Schattenmodus durch: Das PMS übermittelt die Daten, aber der Nachtbuchhalter übermittelt sie zusätzlich manuell, und die beiden Übermittlungen werden verglichen. Sobald der Schattenlauf keine harten Ablehnungen mehr anzeigt, stellen Sie den manuellen Weg ein. Richten Sie den täglichen Abgleichsbericht ein.

Tage 13 bis 14: Aufbewahrung und Prüfung. Konfigurieren Sie die automatische Löschung von Datensätzen, die das Aufbewahrungsfenster überschritten haben. Erstellen Sie die Aufzeichnung der Verarbeitung gemäß Artikel 30 DSGVO für das System. Legen Sie einen gedruckten Prüfungsordner an der Rezeption bereit, der die Zugangsdaten, eine 90-Tage-Abstimmungszusammenfassung und die Kontaktperson bei der Aufsichtsbehörde enthält. Weisen Sie den Dienstleiter in das Inspektionsskript ein.

Gesamter Verwaltungsaufwand über die 14 Tage: etwa 30 bis 40 Stunden für eine operativ orientierte Person, plus jeweils 4 bis 6 Stunden für den Rezeptionleiter, den Nachtprüfer und den IT-Ansprechpartner. Hotels, die diesen Prozess so sauber abwickeln, reduzieren ihr Risiko bei einem einzelnen System innerhalb von zwei Wochen um eine Größenordnung.

Vor der Ankunft, beim Check-in oder digitaler Check-in: Was ist konform?

Alle drei sind in den meisten Regulierungssystemen konform, wenn der Arbeitsablauf stimmt. Die Vor- und Nachteile unterscheiden sich.

Bei der Erfassung vor der Ankunft erhält der Gast 24 bis 48 Stunden vor dem Check-in einen Registrierungslink, füllt die von der Aufsichtsbehörde geforderten Felder in einem gehosteten Formular aus, führt den OCR- oder NFC-Schritt für das Dokument durch und stellt die Übermittlung an die Aufsichtsbehörde in die Warteschlange, sobald der Check-in-Trigger ausgelöst wird. Dies ist der sauberste Workflow für Spanien (die 24-Stunden-Frist endet mit der Buchung, nicht mit der persönlichen Ankunft) und für Italien (erfasst Buchungen unter 24 Stunden zuverlässig). In Deutschland ist er teilweise konform (in 10 von 16 Bundesländern ist noch eine handschriftliche Unterschrift erforderlich) und in Frankreich (die Fiche wird nur bei Nicht-EWR-Staatsangehörigen ausgelöst, daher muss der Link filtern).

Die Erfassung beim Check-in ist die bisherige Standardeinstellung. Der Gast legt seinen Reisepass vor, die Rezeption führt OCR oder NFC durch, das PMS übermittelt die Daten an die Aufsichtsbehörde. Überall konform, wenn das Team den Übermittlungsschritt tatsächlich abschließt, bevor die Frist der Aufsichtsbehörde abläuft. Die manuelle Erledigung am Ende der Schicht ist der Punkt, an dem die meisten Fehler auftreten. Die Lösung ist Automatisierung, nicht Schulung.

Der vollständig digitale Check-in (über Kiosk oder Smartphone, ohne Interaktion an der Rezeption) ist in Spanien, Italien, Frankreich, Portugal und den sechs deutschen Bundesländern, die den e-Meldeschein nutzen, konform. In den übrigen zehn deutschen Bundesländern ist er für nicht-deutsche Gäste nicht konform. Ein Hotel, das ein nationales digitales Check-in-Angebot nutzt, benötigt einen Fallback-Prozess für Häuser in Bundesländern, in denen die handschriftliche Eintragung vorgeschrieben ist. Die gleiche Einschränkung gilt für das digitale Check-in bei italienischen Aufenthalten unter 24 Stunden, bei denen die 6-Stunden-Frist strenger ist als die 24-Stunden-Standardfrist.

Strafen, Prüfungen und was Hotels tatsächlich erwartet

Die bekanntesten Bußgeldspannen (Spanien 100 bis 100.000 Euro, Italien 110 bis 1.032 Euro pro Verstoß, Frankreich 1.500 bis 3.000 Euro pro Meldeformular, Deutschland bis zu 1.000 EUR pro Verstoß, Portugal 100 bis 6.000 EUR) sind die Schlagzeilenwerte. Das tatsächliche Risiko für ein unabhängiges EU-Hotel in den Jahren 2024 bis 2025 war geringer und eher kumulativ.

Das spanische Innenministerium verhängte im Jahr 2024 etwa 1.400 Sanktionen gemäß RD 933/2021, mit einer mittleren Geldbuße von 800 EUR pro Objekt und einer Geldbuße im oberen Quartil von 4.200 EUR. Die höchste Einzelgeldbuße in der Stichprobe betrug 51.300 EUR (eine Gruppe von fünf Objekten mit 14 Monaten fehlender Übermittlungen und einer unterlassenen Angabe der elterlichen Beziehung bei Minderjährigen). Die italienische Polizia di Stato verhängte im Jahr 2024 etwa 5.000 Bußgelder gemäß Artikel 109 mit einem Median von 240 EUR pro Immobilie und einem oberen Quartil von 1.650 EUR. Die französischen Präfekturen verhängten im Jahr 2024 rund 2.800 Bußgeldbescheide, wobei der Schwerpunkt auf Paris, der Côte d'Azur, Lyon, Bordeaux und Straßburg lag, mit einem Median von 600 EUR pro Objekt. Die Bußgeldzahlen in Deutschland variieren je nach Bundesland, aber der bundesweite Median lag bei 380 EUR pro Objekt unter den inspizierten Hotels. Die Fallzahlen der portugiesischen AIMA normalisieren sich nach der Übergabe noch; die Teilzahlen für 2024 deuteten auf eine Medianbuße von 480 EUR pro Objekt unter den inspizierten Hotels hin.

Die nichtfinanziellen Kosten übersteigen die Geldbuße in rund 30 Prozent der Fälle bei weitem. Ein Hotel, das eine Inspektion nicht besteht, wird in einen Nachinspektionsplan aufgenommen (in der Regel 6 Monate später, mit einer 1- bis 2-tägigen Nachprüfung vor Ort), wird in der Durchsetzungsdatenbank der Aufsichtsbehörde für den nächsten Inspektionszyklus markiert und (in Spanien und Italien) können die entsprechenden Lizenzen überprüft werden. Die größeren versteckten Kosten im Jahr 2025 waren der Zeitaufwand des Personals für die Vorbereitung auf eine Nachinspektion: Im Durchschnitt benötigte eine Unterkunft während des sechsmonatigen Zeitraums für die Nachinspektion 60 bis 120 Stunden Arbeitszeit des Betriebsteams und 40 bis 80 Stunden Arbeitszeit des Rezeptionteams.

Die richtige defensive Haltung ist in jedem System dieselbe: automatisierte Datenübertragung innerhalb des PMS, eine tägliche Abgleichswarteschlange, ein 90-tägiger Prüfpfad an jedem Rezeptionstisch, eine vierteljährliche Compliance-Prüfung und eine Beziehung zur örtlichen Aufsichtsbehörde, die professionell und nicht reaktiv ist. Nichts davon ist ungewöhnlich. Die meisten unabhängigen Anbieter haben dies einfach noch nicht aufgebaut.

Wo Prostay ins Spiel kommt – kurz und ehrlich

Ich schreibe für Prostay, daher ist dieser Abschnitt unvermeidlich, aber lassen Sie mich ehrlich sein. Das Prostay-PMS erfasst die von der Aufsichtsbehörde geforderten Felder einmalig bei der Buchung oder beim Check-in, normalisiert sie zu einem kanonischen Gästedatensatz und übermittelt sie an SES Hospedajes, Alloggiati Web, SIBAplus und die verschiedenen Meldeschein-Abläufe auf Landesebene gemäß den Fristen der jeweiligen Behörde, mit einem täglichen Abgleichbericht und einem inspektionsbereiten Prüfpfad. Nichts davon ist einzigartig für Prostay. Mews, Cloudbeds, Profitroom, Apaleo, RoomRaccoon und mehrere regionale Anbieter betreiben ein ähnliches System, und jeder von ihnen kann ein unabhängiges Hotel innerhalb eines 14-Tage-Plans in eine saubere Compliance-Situation bringen.

Das Argument speziell für Prostay ist, dass die Lösung für alle fünf großen Regelwerke vorgefertigt ist (einige Anbieter decken nur den heimischen Markt ab), der PCI-konforme Tokenisierungs-Stack das SES-Zahlungsblockierungsproblem mit einer einzigen architektonischen Entscheidung löst und die Integration mit der Buchungsmaschine und dem Channel-Manager den Erfassungszyklus vor der Ankunft ohne zusätzliche Integration schließt. Wenn Sie weitere Details wünschen: Die Prostay-PMS-Übersicht führt Sie durch die Registrierungs- und Berichtsmodule, und unser früherer Artikel zu PCI DSS 4.0 für Hotels behandelt den Bereich der Zahlungsdaten. Wenn Sie Hilfe bei der Umsetzung des 14-Tage-Plans mit unserem Team in einer Live-Unterkunft benötigen, buchen Sie eine Demo, und wir gehen die für Ihr Land geltenden Vorschriften durch, ohne dass Ihnen separat Compliance-Beratung in Rechnung gestellt wird.

Häufig gestellte Fragen

Die fünf Fragen, die unabhängige Hoteliers am häufigsten zu den europäischen Vorschriften zur Gästeerfassung stellen, beantwortet anhand der veröffentlichten Vorschriften und nicht anhand der Zusammenfassung in der Fachpresse.