Datenleck beim Buchungsdienstleister: Wann müssen Hotels und Ferienwohnungsvermieter ihre Gäste informieren?
Cyberangriffe auf Buchungsplattformen und Dienstleister betreffen zunehmend auch kleinere Übernachtungsbetriebe. Die niedersächsische Datenschutzaufsicht warnt aktuell vor gestohlenen Gästedaten und betrügerischen Zahlungsaufforderungen. Für Hotels, Campingplätze und Ferienwohnungsvermieter stellt sich damit eine wichtige Frage: Wer muss reagieren, wenn ein externer Dienstleister gehackt wurde?
Aktuelle Warnung der niedersächsischen Datenschutzaufsicht
Am 12. Oktober 2026 veröffentlichte der Landesbeauftragte für den Datenschutz Niedersachsen eine Warnung vor Phishing-Nachrichten an Gäste von Hotels, Ferienwohnungen und Campingplätzen.
Hintergrund sind zahlreiche Datenschutzvorfälle im Tourismusbereich. Nach Angaben der Behörde wurden im dritten Quartal 2026 vermehrt Datenpannen gemeldet, die unter anderem auf Cyberangriffe gegen überregionale Buchungsdienstleister zurückzuführen sind.
Bei diesen Angriffen gelangten Kriminelle an personenbezogene Buchungsinformationen. Dazu gehören beispielsweise Namen, E-Mail-Adressen, Telefonnummern, Buchungsnummern und Angaben zu gebuchten Unterkünften.
Mit diesen Informationen können Betrüger Nachrichten verfassen, die besonders glaubwürdig erscheinen. Gäste werden beispielsweise per E-Mail, SMS oder WhatsApp aufgefordert, ihre Kreditkartendaten zu bestätigen oder eine vermeintlich noch offene Übernachtungsrechnung zu bezahlen.
Das Problem: Die Nachricht enthält unter Umständen tatsächlich die richtige Buchungsnummer, den Namen der Unterkunft und den Buchungszeitraum. Für Gäste ist der Betrug deshalb nicht immer leicht zu erkennen.
Wer ist verantwortlich, wenn der Dienstleister gehackt wurde?
Viele kleinere Übernachtungsbetriebe nutzen externe Buchungssysteme, Reservierungsplattformen oder Softwaredienstleister.
Wird ein solcher Dienstleister Opfer eines Cyberangriffs, liegt die Ursache zunächst außerhalb des eigenen Unternehmens. Daraus folgt aber nicht automatisch, dass der Hotelier oder Vermieter keine datenschutzrechtlichen Pflichten hat.
Nach der Datenschutz-Grundverordnung kommt es entscheidend darauf an, welche datenschutzrechtliche Rolle die beteiligten Unternehmen einnehmen.
Verarbeitet ein Buchungsdienstleister personenbezogene Daten im Auftrag des Übernachtungsbetriebs, bleibt dieser grundsätzlich Verantwortlicher im Sinne der DSGVO. Der Dienstleister ist dann regelmäßig Auftragsverarbeiter.
Anders kann die rechtliche Einordnung ausfallen, wenn eine Buchungsplattform bestimmte Daten zu eigenen Zwecken und in eigener Verantwortung verarbeitet. Dann müssen die jeweiligen Verantwortlichkeiten gesondert geprüft werden.
Wichtig ist deshalb: Ein Cyberangriff auf einen externen Dienstleister entbindet das Unternehmen nicht automatisch von seinen Datenschutzpflichten.
Wann muss eine Datenpanne der Aufsichtsbehörde gemeldet werden?
Art. 33 DSGVO regelt die Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Datenschutzaufsichtsbehörde.
Eine meldepflichtige Datenschutzverletzung kann insbesondere vorliegen, wenn Unbefugte Zugriff auf personenbezogene Gästedaten erhalten haben.
Die Meldung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls erfolgen, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Meldepflicht entfällt, wenn ein solches Risiko voraussichtlich nicht besteht.
Bei gestohlenen Buchungsinformationen, die bereits für gezielte Betrugsversuche verwendet werden, wird sich ein fehlendes Risiko allerdings nur schwer begründen lassen.
Entscheidend ist eine unverzügliche und nachvollziehbare Risikobewertung. Sind noch nicht alle Informationen verfügbar, kann eine Meldung zunächst mit den bekannten Angaben erfolgen und später ergänzt werden.
Müssen auch die betroffenen Gäste informiert werden?
Neben der Meldung an die Datenschutzaufsichtsbehörde kann eine weitere Verpflichtung bestehen: die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO.
Diese ist grundsätzlich erforderlich, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der Betroffenen zur Folge hat.
Bei Buchungsdaten ist insbesondere zu berücksichtigen, dass Kriminelle die Informationen für gezielte Phishing-Angriffe und Zahlungsbetrug verwenden können.
Die niedersächsische Datenschutzaufsicht weist deshalb ausdrücklich darauf hin, dass betroffene Übernachtungsbetriebe ihre Gäste regelmäßig informieren müssen.
Eine solche Benachrichtigung sollte verständlich erklären, was passiert ist, welche Daten betroffen sein können und welche Schutzmaßnahmen Gäste ergreifen sollten.
Besonders wichtig ist der Hinweis, unerwartete Zahlungsaufforderungen nicht ungeprüft zu erfüllen und keine Kreditkartendaten über Links aus verdächtigen Nachrichten einzugeben.
Ob eine Benachrichtigung im konkreten Fall gesetzlich vorgeschrieben ist, hängt von der Risikobewertung und den Voraussetzungen des Art. 34 DSGVO ab.
Was sollten betroffene Unternehmen jetzt tun?
Erfährt ein Hotel, eine Pension oder ein Ferienwohnungsvermieter von einem möglichen Datenleck bei seinem Buchungsdienstleister, sollte der Vorfall strukturiert aufgearbeitet werden.
1. Sachverhalt aufklären
Zunächst sollte beim Dienstleister erfragt werden, welche Systeme betroffen sind, wann der Angriff stattgefunden hat und welche personenbezogenen Daten abgeflossen sein könnten.
2. Datenschutzrechtliche Verantwortung prüfen
Es ist festzustellen, ob der Dienstleister als Auftragsverarbeiter tätig war oder eine eigenständige datenschutzrechtliche Verantwortung trägt. Hierzu können insbesondere die vertraglichen Vereinbarungen herangezogen werden.
3. Risiken bewerten
Das Unternehmen sollte prüfen, welche Folgen der Datenabfluss für die betroffenen Gäste haben kann. Bereits bekannte Phishing-Versuche sind dabei besonders relevant.
4. Meldepflicht prüfen
Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen, ist eine Meldung nach Art. 33 DSGVO erforderlich. Die 72-Stunden-Frist muss dabei besonders beachtet werden.
5. Gäste gegebenenfalls informieren
Besteht voraussichtlich ein hohes Risiko, müssen die betroffenen Personen grundsätzlich unverzüglich benachrichtigt werden. Unabhängig davon kann auch eine zusätzliche freiwillige Warnung sinnvoll sein.
6. Vorfall dokumentieren
Nach Art. 33 Abs. 5 DSGVO sind Datenschutzverletzungen einschließlich ihrer Umstände, Auswirkungen und ergriffenen Maßnahmen zu dokumentieren. Dies gilt auch dann, wenn im Ergebnis keine Meldepflicht besteht.
Reicht es aus, wenn der Buchungsdienstleister eine Benachrichtigung verschickt?
Nicht unbedingt.
Ist der Übernachtungsbetrieb datenschutzrechtlich verantwortlich, muss er sicherstellen, dass seine Pflichten tatsächlich erfüllt werden.
Eine Mitteilung des Dienstleisters kann dabei helfen. Entscheidend ist jedoch, ob sie die gesetzlichen Anforderungen erfüllt und die betroffenen Personen in geeigneter Weise erreicht.
Unternehmen sollten sich deshalb nicht ungeprüft darauf verlassen, dass der Dienstleister sämtliche notwendigen Schritte übernimmt.
Datenschutz bei externen Dienstleistern: Vorsorge ist entscheidend
Der aktuelle Fall zeigt ein grundsätzliches Problem vieler kleiner und mittlerer Unternehmen.
Digitale Dienstleistungen werden ausgelagert, die Verantwortung für personenbezogene Kundendaten bleibt aber häufig beim Auftraggeber.
Unternehmen sollten deshalb bereits vor der Beauftragung prüfen, welche Daten ein Dienstleister verarbeitet, welche technischen und organisatorischen Sicherheitsmaßnahmen bestehen und wie Datenschutzvorfälle gemeldet werden.
Bei Auftragsverarbeitern gehört dazu insbesondere ein geeigneter Vertrag nach Art. 28 DSGVO.
Ebenso wichtig sind klare Kommunikationswege für den Ernstfall. Denn wenn ein Datenschutzvorfall bekannt wird, bleibt nur wenig Zeit, um die gesetzlichen Pflichten zu prüfen und erforderliche Maßnahmen einzuleiten.
Fazit: Ein gehackter Dienstleister kann eigene Handlungspflichten auslösen
Die aktuellen Cyberangriffe auf Buchungsdienstleister zeigen, dass Datenschutzvorfälle längst nicht nur große Unternehmen betreffen.
Auch kleinere Hotels, Pensionen, Campingplätze und Ferienwohnungsvermieter können in die Pflicht genommen werden, wenn Gästedaten bei einem externen Anbieter abgeflossen sind.
Entscheidend ist, den Vorfall frühzeitig aufzuklären, die datenschutzrechtliche Verantwortung zu bestimmen und mögliche Melde- und Benachrichtigungspflichten zu prüfen.
Wer externe Buchungs- und IT-Dienstleister einsetzt, sollte deshalb nicht erst nach einem Cyberangriff klären, wer im Ernstfall welche Aufgaben übernimmt.
Quelle und weiterführende Informationen
Landesbeauftragter für den Datenschutz Niedersachsen, Pressemitteilung Nr. 20/2026 vom 12. Oktober 2026: „LfD Niedersachsen warnt vor Phishing-Nachrichten an Gäste von Hotels, Ferienwohnungen und Campingplätzen“.
Zur Originalveröffentlichung der Datenschutzaufsicht
Weitere Informationen, eine Checkliste und Formulierungshilfen stellt die Behörde unter folgendem Link zur Verfügung:
Datenschutzvorfall bei Buchungsdienstleistern – Hinweise für Übernachtungsbetriebe
Hinweis
Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.