KI im Hotel: Wie gehen wir mit Gästedaten um?

Das Problem

Ein Hotel verarbeitet täglich viele persönliche Daten: Namen, Adressen, Ausweisangaben, Zahlungsdaten, Aufenthaltsdauer, Wünsche, Allergien, manchmal Gesundheits- oder Familienangaben. Gäste vertrauen darauf, dass diese Informationen sorgfältig behandelt werden. Nun möchten Sie KI nutzen, um Anfragen zu beantworten, Texte zu schreiben oder Daten auszuwerten, und stellen sich die Frage: Wie gehen wir mit Gästedaten um?

Die Versuchung ist gross, eine Buchungsbestätigung samt Namen und Daten in einen KI-Chat zu kopieren, damit die Antwort schneller geht. Dabei können Daten bei einem Anbieter landen, dessen Bedingungen Sie nicht kennen, möglicherweise im Ausland und mit unklarer Verwendung.

Diese Seite erklärt die wichtigsten Grundsätze in einfacher Sprache. Sie ersetzt keine Rechtsberatung. Gerade bei einem Hotel, das auch Gäste aus der EU beherbergt, lohnt sich fachliche Unterstützung.

Einfach erklärt

Das schweizerische Datenschutzgesetz (DSG) schützt Personen vor missbräuchlicher Bearbeitung ihrer Daten. Es gilt für Hotels in der Schweiz. Die Datenschutz-Grundverordnung (DSGVO) der EU kann zusätzlich gelten, wenn Sie gezielt Personen in der EU ansprechen oder deren Verhalten beobachten, zum Beispiel mit Werbung für EU-Gäste. Ob und wie das auf Ihr Haus zutrifft, muss im Einzelfall geprüft werden.

Wichtige Grundsätze, die in beiden Rechtsordnungen eine Rolle spielen:

Besonders schützenswert sind unter anderem Gesundheitsdaten. Wenn Gäste Allergien, Mobilitätseinschränkungen oder ähnliches angeben, ist besondere Vorsicht geboten.

Prompt zum Kopieren für eine interne Regel

Erstelle eine einseitige interne Regel «KI und Gästedaten» für ein Hotel in der Schweiz mit [Anzahl] Mitarbeitenden. Sie soll in einfacher Sprache erklären:
1. Welche Daten nie in KI-Werkzeuge gehören (z. B. Ausweisdaten, Zahlungsdaten, Gesundheitsangaben, vollständige Buchungsbestätigungen).
2. Wie Anfragen vor der Eingabe anonymisiert werden (Platzhalter für Namen, Kontaktdaten, Buchungsnummern).
3. Welche KI-Werkzeuge freigegeben sind: [Liste oder «noch zu klären»].
4. Wer Fragen beantwortet: [Rolle].
5. Was bei einem Fehler zu tun ist (Meldung an [Rolle]).
Hinweis: Dies ist keine Rechtsberatung. Weise darauf hin, dass die Regel von einer Datenschutzfachperson geprüft werden sollte. Erfinde keine Gesetzesartikel.

Lassen Sie die Regel von der verantwortlichen Person prüfen, bevor Sie sie einführen.

So lösen Sie es mit KI – Schritt für Schritt

1. Verschaffen Sie sich einen Überblick. Welche Gästedaten erfassen Sie, wo liegen sie (Buchungssystem, Kasse, Papier, E-Mail), und wer hat Zugriff? Schreiben Sie eine einfache Übersicht.
2. Legen Sie fest, wofür KI eingesetzt wird. Antworttexte, Zusammenfassungen, Auswertungen? Für jeden Zweck klären Sie, welche Daten nötig sind.
3. Verwenden Sie, wo möglich, keine Personendaten. Anonymisieren Sie Anfragen, siehe Daten vor der KI anonymisieren. Für viele Aufgaben genügen Platzhalter.
4. Prüfen Sie den Dienst. Wo werden Daten verarbeitet, werden sie für Training genutzt, wie lange gespeichert, gibt es einen Vertrag zur Auftragsbearbeitung? Eine Checkliste bieten die Fragen an KI-Anbieter.
5. Klären Sie die Rechtsgrundlage. Dürfen Sie die Daten für diesen Zweck bearbeiten? Bei Gästen aus der EU kann die DSGVO relevant sein, siehe DSG und DSGVO im Vergleich.
6. Informieren Sie Gäste. Ergänzen Sie Ihre Datenschutzerklärung. Eine Vorlage bietet KI-Datenschutzerklärung.
7. Schulen Sie das Team. Alle Mitarbeitenden müssen wissen, was erlaubt ist. Üben Sie die Anonymisierung an Beispielen.
8. Halten Sie Regeln, Freigaben und Vorfälle fest. Bei Fehlern, etwa einer versehentlich eingegebenen Buchung, melden Sie intern und prüfen Sie weitere Schritte mit einer Fachperson.

Worauf Sie achten müssen

• Keine Gästedaten in nicht freigegebene Dienste. Das gilt besonders für private Konten und kostenlose Angebote mit unklaren Bedingungen.
• Besonders schützenswerte Daten. Gesundheits- und ähnliche Angaben gehören nicht in KI-Werkzeuge ohne klare Rechtsgrundlage und Schutzmassnahmen. Hinweise bietet der EDÖB.
• EU-Gäste. Je nach Ausrichtung Ihres Angebots kann die DSGVO zusätzlich anwendbar sein. Lassen Sie das prüfen. Mehr: Schweizer Firmen mit EU-Kunden.
• Aufbewahrung und Löschung. Geschäftsunterlagen haben gesetzliche Aufbewahrungsfristen, Gästekarteien sollten nicht unbegrenzt gespeichert werden. Klären Sie Fristen mit einer Fachperson. Grundlage ist das Datenschutzgesetz.
• Meldepflichten und Pannen. Bei Datenschutzverletzungen können Meldepflichten bestehen. Legen Sie intern fest, wer das beurteilt.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Hotel in Zermatt mit internationaler Gästeschaft möchte KI für Antworten auf Gästeanfragen nutzen. Frau Müller aus dem Empfang soll Regeln vorbereiten.

Vorher kopierten Mitarbeitende Anfragen samt Name und Buchungsnummer in einen frei zugänglichen KI-Chat. Nachher legt Frau Müller mit der Direktion fest: Anfragen werden anonymisiert, Gesundheits- und Zahlungsangaben nie eingegeben, ein geprüftes Werkzeug mit klaren Bedingungen wird verwendet.

Die Datenschutzerklärung wird mit Hilfe einer Fachperson angepasst, und ein Kurzblatt erklärt dem Team die Anonymisierung. Wegen vieler Gäste aus der EU lässt die Direktion zusätzlich die DSGVO-Frage klären.

So hilft Ihnen Alpasana

In der KI-Weiterbildung für Unternehmen sind laut Beschreibung Schweizer Praxisbezug und Datenschutz Lerninhalte, ebenso der EU AI Act bei EU-Bezug und der verantwortungsbewusste Umgang mit Unternehmensdaten. Mitarbeitende lernen, KI für Verwaltung, Kommunikation, Analyse und Texte einzusetzen und Daten sorgfältig zu behandeln.

Eine rechtliche Beurteilung Ihres Hotels bietet das nicht, dafür sind Fachpersonen zuständig. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Häufige Fragen

Darf ich eine Buchungsbestätigung in ein KI-Werkzeug kopieren?

Nicht mit Namen, Kontaktdaten und Buchungsnummern in einen nicht freigegebenen Dienst. Anonymisieren Sie vorher und verwenden Sie nur geprüfte Werkzeuge.

Muss ich Gäste über KI-Nutzung informieren?

Wenn Personendaten mit KI-Diensten bearbeitet werden, gehört das in die Datenschutzerklärung. Wie ausführlich, hängt vom Einsatz ab. Lassen Sie den Text prüfen.

Gilt die DSGVO für mein Hotel in der Schweiz?

Das kann der Fall sein, wenn Sie gezielt Personen in der EU ansprechen, etwa mit Werbung oder Buchungsangeboten für EU-Gäste. Lassen Sie es im Einzelfall durch eine Fachperson klären.