DSGVO & Social Media, Tracking und Retargeting

Für Fotos, Kommentare und Nachrichten klare Regeln festlegen

Sind Gäste oder Mitarbeiter:innen auf Fotos und Videos erkennbar, werden personenbezogene Daten verarbeitet; zusätzlich ist das Recht am eigenen Bild zu beachten. Auch Social-Media-Nachrichten können rasch Buchungs-, Beschwerde- oder Gesundheitsdaten enthalten.

To-dos fürs Hotel

• Eine einheitliche Foto- und Videofreigabe verwenden. Darin Zweck, Kanäle und Dauer der Nutzung festhalten.
• Festlegen, wer Freigaben verwaltet. Bei Mitarbeiter:innen muss die Zustimmung freiwillig erfolgen.
• Bei vertraulichen Angaben in Kommentaren oder Direktnachrichten in einen dafür vorgesehenen, geschützten Hotelkanal wechseln.

Tracking und Retargeting

Tracking erfasst beispielsweise, welche Angebotsseite besucht oder ob eine Buchung begonnen und abgeschlossen wird. 

Retargeting – auch Remarketing genannt – nutzt solche Signale, um frühere Website-Besucher:innen später erneut mit Werbung anzusprechen.

Das Hotel legt Zweck, Zielgruppe, Budget und Laufzeit der Kampagne fest. Für Verarbeitungsschritte, über deren Zwecke und Mittel es mitentscheidet, bleibt es verantwortlich oder kann gemeinsam mit der Plattform verantwortlich sein. Diese Verantwortung lässt sich nicht vollständig an Meta, Google oder eine Agentur abgeben.

Vor der Freigabe muss das Hotel wissen

• Welche Tracking- und Werbedienste auf Website, Landingpages und Buchungsstrecke eingesetzt werden.
• Welchen konkreten Zweck jeder Dienst erfüllt und welche Empfänger:innen dadurch Daten erhalten.
• Welche Seiten und Ereignisse erfasst werden und welche Bereiche ausdrücklich ausgeschlossen bleiben.
• Wer Änderungen freigibt und wer Datenschutzerklärung sowie interne Datenschutzdokumentation aktuell hält.

Besondere Vorsicht gilt bei Seiten oder Buchungsschritten zu Allergien, gesundheitlichen Einschränkungen, Reha-Aufenthalten oder bestimmten Medical-Spa-Anwendungen. Sie können Rückschlüsse auf die Gesundheit zulassen und müssen vom Tracking sowie von Werbezielgruppen ausgeschlossen bleiben. 

Erst Einwilligung, dann Werbe-Pixel

Technisch nicht notwendige Cookies und vergleichbare Technologien dürfen grundsätzlich erst nach der erforderlichen Einwilligung aktiviert werden (§ 165 Abs. 3 TKG 2021). Das betrifft insbesondere Werbe- und Trackingdienste wie Meta Pixel, TikTok Pixel, LinkedIn Insight Tag oder vergleichbare Google-Werbefunktionen.

Das Hotel sollte kontrollieren

• „Akzeptieren“ und „Ablehnen“ sind sofort erreichbar, gleich gut sichtbar und mit gleich vielen Schritten auswählbar.
• Es gibt keine vorangekreuzten Auswahlfelder; bloßes Weitersurfen gilt nicht als Zustimmung.
• Die Cookie-Einstellungen bleiben jederzeit erreichbar und der Widerruf ist so einfach wie die Einwilligung.
• Website, Landingpages und Web Booking Engine sind in die Prüfung einbezogen.

Listenbasiertes Targeting: Gästelisten nicht einfach freigeben

Beim listenbasierten Targeting werden beispielsweise E-Mail-Adressen oder Telefonnummern aus PMS, CRM oder Newsletter-System an eine Werbeplattform übermittelt und dort mit Nutzerkonten abgeglichen. Je nach Plattform heißt diese Funktion etwa „Custom Audience“ oder „Customer Match“. Werden damit frühere Gäste erneut beworben, handelt es sich um listenbasiertes Retargeting. Das häufig eingesetzte Hashen macht die Daten nicht anonym.

Eine E-Mail-Adresse, die für eine Reservierung oder Anfrage erhoben wurde, darf nicht automatisch für Werbung auf Social-Media-Plattformen verwendet werden. Vor jedem Upload muss geprüft werden, woher die Daten stammen, wofür sie erhoben wurden, was die Gäste darüber erfahren haben und welche Rechtsgrundlage herangezogen werden kann.

To-dos fürs Hotel

• Gästelisten nicht ungeprüft aus dem PMS oder CRM exportieren und nicht per ungeschützter E-Mail an die Agentur übermitteln.
• Vor der Freigabe und dem Start der Kampagne die Rechtsgrundlage (Dürfen die Daten für diesen Zweck verwendet werden?), sowie die Erfüllung der Informationspflichten gegenüber den Gästen datenschutzrechtlich prüfen lassen.
• Festlegen, wie Widersprüche von Gästen berücksichtigt und hochgeladene Listen sowie daraus gebildete Zielgruppen gelöscht oder aktualisiert werden.
• Keine Gesundheitsdaten oder daraus ableitbare Gästesegmente verwenden.

Zusammenarbeit mit Agenturen klar regeln

Vor dem Kampagnenstart sollte schriftlich festgelegt werden, welche Aufgaben die Agentur übernimmt, welche Zugriffe sie erhält und wer für Freigaben, technische Prüfungen, Datenschutzhinweise, Widersprüche und Löschungen zuständig ist.

Verarbeitet die Agentur personenbezogene Daten ausschließlich nach dokumentierter Weisung des Hotels, ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO erforderlich. Je nach Leistung kann die Agentur jedoch auch eigenständig oder gemeinsam verantwortlich sein. Die Rollen und die dafür erforderlichen Vereinbarungen sind daher für die konkrete Zusammenarbeit zu prüfen.

Vertrauen und regelmäßige Gespräche sind wichtig, ersetzen aber weder eine klare Aufgabenverteilung noch die erforderlichen vertraglichen Regelungen.

Tipp: Lehrgang Online Marketing im KI-Zeitalter

Der Lehrgang Online Marketing im KI-Zeitalter zeigt dir, wie du Online-Marketing, Suchmaschinenoptimierung (SEO), Google Ads, Webanalyse, Social Media und KI-Tools wie ChatGPT gezielt für deinen Hotelbetrieb einsetzt und dadurch Sichtbarkeit, Direktbuchungen und den Erfolg deiner Marketingmaßnahmen steigerst.