Buchungssysteme für Reiseveranstalter in Deutschland und die DSGVO

Das Wichtigste auf einen Blick

• Buchungssysteme für Reiseveranstalter müssen DSGVO, BDSG und die Vorgaben der Zahlungsdienstaufsicht zusammen erfüllen.
• Datensparsamkeit und saubere Einwilligungen sind bei Buchungsformularen der häufigste Streitpunkt.
• Schnittstellen zu Anbietern wie Zahlern, Hotels und Buchhaltung sind datenschutzrechtlich eigenständige Verarbeitungen.
• Das BSI liefert die technischen Mindestanforderungen an IT-Sicherheit und Notfallvorsorge.
• Eine Auswahl ohne Prüfraster führt zu Nachbesserungen, die im Betrieb teuer werden.

DSGVO und BDSG: nationale Datenschutzregeln für Reiseveranstalter

Reiseveranstalter verarbeiten personenbezogene Daten in großem Umfang. Name, Anschrift, Geburtsdatum, Reisepassnummern, Zahlungsdaten und oft Gesundheitsangaben landen im Buchungssystem. Die DSGVO gibt den Rahmen vor, das BDSG füllt ihn national aus.

Für die Praxis relevant sind vor allem die Beschäftigtendatenverarbeitung nach § 26 BDSG und die Regelungen zu Videoüberwachung und Scoring. Wer Kundendaten für Werbung nutzt, braucht eine belastbare Rechtsgrundlage. Das BDSG im Volltext ist die erste Pflichtlektüre, bevor ein Anbietervertrag unterschrieben wird.

Zuständig ist in der Regel die Landesdatenschutzaufsicht am Sitz des Veranstalters. In Bayern, Baden-Württemberg, Nordrhein-Westfalen oder Sachsen gelten dieselben Vorgaben, die Aufsichtsbehörden arbeiten aber unterschiedlich eng zusammen. Wer grenzüberschreitend verkauft, braucht einen Verzeichniseintrag nach Art. 30 DSGVO.

Auftragsverarbeitung als Standardfall

Fast jedes Buchungssystem läuft als Software-as-a-Service. Der Anbieter ist dann Auftragsverarbeiter, der Veranstalter Verantwortlicher. Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist der Betrieb unzulässig. Der Vertrag muss Weisungsrechte, Löschfristen, Subunternehmer und Meldepflichten bei Vorfällen regeln.

Viele Anbieter stellen Standardverträge bereit. Diese decken selten alle Fälle ab, etwa wenn der Support auf Kundendaten zugreift oder Daten in Drittländer fließen. Wer den Vertrag ungeprüft übernimmt, trägt das Risiko selbst.

Aufbewahrung und Löschung

Buchungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen. Rechnungsrelevante Daten bleiben sechs oder zehn Jahre erhalten, reine Marketingdaten nicht. Das System muss beide Kategorien trennen können. Fehlt eine Löschfunktion, wird jede Auskunftsanfrage zur Handarbeit.

Anforderungen an Buchungssysteme: Datensparsamkeit und Einwilligung

Datensparsamkeit heißt nicht, weniger zu verkaufen. Sie heißt, nur die Felder zu erheben, die für die Buchung nötig sind. Geburtsdatum, Telefonnummer oder Reisemotiv sind bei einer Pauschalreise häufig verzichtbar.

Jedes Pflichtfeld braucht einen Zweck. Wer ein Feld nicht begründen kann, sollte es streichen. Das reduziert Haftungsrisiken und beschleunigt den Buchungsvorgang.

Einwilligung richtig einholen

Für Werbung, Newsletter und Tracking braucht der Veranstalter eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie muss freiwillig, informiert und widerrufbar sein. Voreingestellte Häkchen sind unzulässig.

Die Einwilligung muss im System dokumentiert werden, mit Zeitpunkt, Umfang und Version des Textes. Ändert sich der Text, braucht es eine neue Einwilligung. Viele Systeme speichern nur ein Ja oder Nein und können den Nachweis nicht führen.

Die Verbraucherzentrale beschreibt regelmäßig, wie Verbraucher auf ihre Rechte bei Online-Buchungen bestehen. Diese Sicht sollte die Formulargestaltung prägen, damit Widerruf und Auskunft ohne Supportanfrage funktionieren. Mehr dazu im Bereich Online-Handel der Verbraucherzentrale.

Betroffenenrechte technisch abbilden

Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit müssen innerhalb eines Monats erfüllbar sein. Ein System ohne Exportfunktion macht das unmöglich. Prüfen Sie vor dem Kauf, ob ein vollständiger Datenexport pro Kunde möglich ist.

Praxisbeispiel

Ein Veranstalter aus Niedersachsen verkauft Städtereisen. Das Buchungssystem erhebt standardmäßig Geburtsdatum und Telefonnummer für alle Kunden. Nach einer Beschwerde prüft der Datenschutzbeauftragte die Felder. Beide werden optional, die Conversion bleibt gleich. Die Löschfristen werden auf 24 Monate nach Reiseende gesetzt, Rechnungsdaten ausgenommen.

Zahlungsdienstaufsicht und Schnittstellen zu Anbietern im deutschen Markt

Sobald ein Veranstalter Zahlungen selbst abwickelt, berührt er das Zahlungsdiensteaufsichtsrecht. Die Bundesanstalt für Finanzdienstleistungsaufsicht beaufsichtigt Zahlungsinstitute, nicht den einzelnen Händler. Entscheidend ist, wer gegenüber dem Kunden als Zahlungsempfänger auftritt.

Wer Zahlungen treuhänderisch einzieht oder Geld weiterleitet, kann erlaubnispflichtig werden. Das klassische Reiseveranstaltermodell über ein Treuhandkonto oder eine Kundengeldabsicherung ist davon zu trennen. Wer unsicher ist, klärt die Einordnung vor dem Livegang.

Schnittstellen zu Anbietern

Ein Buchungssystem spricht selten allein. Typische Schnittstellen sind:

• Zahlungsdienstleister für Kreditkarte, SEPA und Wallet
• Hotel- und Leistungsträger für Verfügbarkeiten
• Buchhaltung und Umsatzsteuer, Stichwort § 25 UStG
• Newsletter- und CRM-Werkzeuge
• Flug- und Bahnschnittstellen für Anreisen

Jede Schnittstelle ist eine eigene Datenübermittlung. Der Veranstalter muss wissen, welche Daten wohin fließen und auf welcher Grundlage. Pauschale Freigaben an den Systemanbieter reichen nicht.

Insolvenzabsicherung und Meldepflichten

Reiseveranstalter mit Sitz in Deutschland brauchen nach § 651r BGB eine Insolvenzabsicherung. Der Kunde erhält einen Sicherungsschein. Ob das Buchungssystem diesen automatisch erzeugt und dokumentiert, ist ein Auswahlkriterium. Fehlt die Funktion, entsteht Medienbruch.

Die IHK vergibt die Reisegewerbekarte, das Finanzamt prüft die Umsatzsteuer-Sonderregelung für Reiseleistungen. Beide Stellen verlangen Nachweise, die aus dem System kommen sollten. Wer Buchungen manuell nachhält, verliert Zeit und macht Fehler.

IT-Sicherheit nach BSI-Vorgaben für Buchungsplattformen

Das BSI beschreibt in seinen Empfehlungen, wie Unternehmen IT-Systeme absichern und Datenschutzvorfälle behandeln. Diese Vorgaben sind kein Gesetz, aber sie gelten als Maßstab für angemessene technische Maßnahmen nach Art. 32 DSGVO. Wer sie ignoriert, hat im Schadensfall schlechte Karten.

Die wichtigsten Bausteine für Buchungsplattformen:

1. Verschlüsselung bei Übertragung und Speicherung
2. Rollen- und Rechtekonzept mit Zwei-Faktor-Anmeldung
3. Protokollierung aller Zugriffe auf personenbezogene Daten
4. Regelmäßige Updates und Patchmanagement
5. Notfallplan mit Meldeweg zur Aufsichtsbehörde binnen 72 Stunden

Die Informationen des BSI sind die Referenz für diese Maßnahmen. Prüfen Sie, ob der Anbieter ein aktuelles Zertifikat oder einen Prüfbericht vorlegen kann.

Rechenzentrumsstandort und Subunternehmer

Viele Anbieter hosten in Deutschland oder der EU, andere in Drittländern. Der Standort bestimmt, welche Garantien nötig sind. Subunternehmer müssen im Auftragsverarbeitungsvertrag genannt und genehmigt werden.

Meldepflicht bei Datenschutzvorfällen

Ein Vorfall muss binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden, wenn ein Risiko für Betroffene besteht. Der Anbieter muss den Veranstalter unverzüglich informieren. Diese Pflicht gehört ausdrücklich in den Vertrag.

Vergleich: Buchungssysteme für Reiseveranstalter in Deutschland

Der Markt teilt sich in drei Gruppen: Komplettsysteme für Veranstalter, modulare Systeme für Vermittler und Buchungsportale mit Veranstalterfunktion. Die Wahl hängt von Größe, Sortiment und Vertriebsweg ab.

Die folgende Übersicht nennt Kriterien, keine Rangfolge. Preise und Funktionsumfang ändern sich, deshalb gehören diese Punkte in jede Ausschreibung.

Kriterium	Komplettsystem	Modulares System	Portal mit Veranstalterfunktion
Zielgruppe	mittlere und große Veranstalter	kleine Veranstalter, Spezialisten	Vermittler mit eigenem Kontingent
Datenschutzfunktionen	Auftragsverarbeitung, Löschkonzept, Export	je nach Modul unterschiedlich	meist standardisiert, wenig anpassbar
Schnittstellen zu Anbietern	breit, teils offene API	über Drittanbieter	auf Portalpartner begrenzt
Zahlungsabwicklung	eigener Vertrag mit Zahlungsdienstleister	über Plugins	über Portalbetreiber
BSI-orientierte Sicherheit	Prüfberichte üblich	vom Hoster abhängig	vom Betreiber abhängig
Insolvenzabsicherung	Sicherungsschein integrierbar	manuell	meist nicht vorgesehen

Wer überregionale Reisen mit Bahn- und Fluganteil verkauft, braucht offene Schnittstellen. Wer regionale Erlebnisse in Bayern oder Mecklenburg-Vorpommern bündelt, kommt mit schlankeren Modulen aus.

Regionale Einordnung

Die Tourismusverbände der Bundesländer arbeiten mit unterschiedlichen Meldewegen. Bayern Tourismus und Tourismus NRW erfassen Betriebe anders als kleinere Verbände. Destatis liefert die amtliche Tourismusstatistik, an der sich Betriebsgrößen messen lassen.

Die Deutsche Zentrale für Tourismus ist für das Auslandsmarketing zuständig, nicht für die Systemauswahl. Der Deutsche Reiseverband vertritt die Branche gegenüber Politik und Aufsicht. Beide Institutionen geben Orientierung, ersetzen aber keine Rechtsprüfung.

Digitalisierung als Treiber

Der DIHK beschreibt, wie Digitalisierung und KI-Regeln in die Praxis kommen. Für Buchungssysteme heißt das: automatisierte Preisvorschläge und dynamische Pakete sind möglich, brauchen aber Transparenz gegenüber dem Kunden. Der Beitrag KI im Klartext des DIHK ordnet die Pflichten ein.

Automatisierte Entscheidungen mit rechtlicher Wirkung sind nach Art. 22 DSGVO nur eingeschränkt zulässig. Ein System, das Buchungen ohne Prüfung ablehnt, ist ein Risiko. Die Verbraucherzentrale dokumentiert in ihrem Bereich Digitale Welt, welche Fragen Verbraucher bei automatisierten Prozessen stellen.

Checkliste für die Auswahl eines DSGVO-konformen Buchungssystems

Arbeiten Sie die Punkte vor der Vertragsunterschrift ab. Jeder offene Punkt ist ein Risiko, kein Detail.

• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor und nennt alle Subunternehmer
• Serverstandort und Drittlandübermittlungen sind dokumentiert und mit Garantien hinterlegt
• Das System erhebt nur Pflichtfelder, die fachlich begründet sind
• Einwilligungen werden versioniert gespeichert und sind widerrufbar
• Export und Löschung pro Kunde funktionieren ohne Supportanfrage
• Rollen- und Rechtekonzept, Zwei-Faktor-Anmeldung und Protokollierung sind aktiv
• Meldepflicht des Anbieters bei Vorfällen ist vertraglich geregelt
• Schnittstellen zu Zahlern, Leistungsträgern und Buchhaltung sind einzeln freigegeben
• Sicherungsschein für die Insolvenzabsicherung wird automatisch erzeugt
• Prüfbericht oder Zertifikat nach BSI-orientierten Maßstäben liegt vor

Vertrag und Betrieb trennen

Ein guter Vertrag ersetzt keinen sauberen Betrieb. Legen Sie fest, wer im Haus für Löschfristen, Auskunftsanfragen und Vorfallmeldungen zuständig ist. Benennen Sie eine Vertretung.

Nach dem Start prüfen

Testen Sie nach drei Monaten, ob die Zusagen aus dem Vertrag im Alltag halten. Fragen Sie den Support nach einem Datenexport und messen Sie die Zeit. Das Ergebnis sagt mehr als jedes Verkaufsgespräch.

Häufige Fragen

Gilt die DSGVO auch für kleine Reiseveranstalter? Ja. Die DSGVO gilt unabhängig von der Betriebsgröße. Erleichterungen bestehen nur beim Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 5 DSGVO.

Braucht jeder Reiseveranstalter einen Datenschutzbeauftragten? Nicht immer. Die Pflicht greift ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, oder bei umfangreicher Verarbeitung besonderer Datenkategorien.

Darf ein Buchungssystem Daten in die USA übertragen? Nur mit einer gültigen Grundlage, etwa Standardvertragsklauseln und zusätzlichen Schutzmaßnahmen. Der Serverstandort allein sagt nichts über die Zulässigkeit.

Wer haftet bei einem Datenvorfall? Der Veranstalter als Verantwortlicher haftet gegenüber Betroffenen und Aufsicht. Rückgriffsansprüche gegen den Anbieter bestehen nur, wenn der Vertrag sie vorsieht.

Was kostet ein DSGVO-konformes Buchungssystem? Das lässt sich pauschal nicht sagen. Die Kosten hängen von Buchungsvolumen, Schnittstellen und Prüfaufwand ab und gehören in eine individuelle Ausschreibung.

Muss die Zahlungsabwicklung über ein Treuhandkonto laufen? Nicht zwingend. Entscheidend sind die Vorgaben der Zahlungsdienstaufsicht und die Kundengeldabsicherung nach § 651r BGB. Lassen Sie den Einzelfall prüfen.