Darf ich den Gastraum filmen?

Dauerhafte Videoüberwachung des Gastraums oder von Personalbereichen ist nach übereinstimmender Auffassung der Aufsichtsbehörden regelmäßig unzulässig. Zulässig sind eng begrenzte Bereiche wie Kasse, Eingang oder Lager mit dokumentierter Interessenabwägung und Hinweisschild vor dem Betreten.

Wie lange darf ich Videoaufnahmen speichern?

Grundsatz nach DSK-Kurzpapier Nr. 15 ist die Löschung innerhalb von 48 Stunden. Eine längere Speicherung ist nur mit konkreter Begründung im Einzelfall zulässig — das Löschkonzept muss die Frist samt Ausnahmefällen dokumentieren.

Brauche ich ein Verzeichnis von Verarbeitungstätigkeiten?

Ja, praktisch immer. Die Ausnahme in Art. 30 Abs. 5 DSGVO für Unternehmen unter 250 Mitarbeitenden greift nicht bei regelmäßiger Verarbeitung — und Kasse, Reservierung und Personal fallen darunter. Ein schlankes VVT mit 6–10 Einträgen reicht.

Brauche ich einen Datenschutzbeauftragten?

Für ein typisches Einzelrestaurant in der Regel nein. Nach § 38 BDSG greift die Pflicht bei mindestens 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind — im Betrieb also selten erreicht.

Darf ich einen Newsletter an Gäste versenden?

Nur mit ausdrücklicher Einwilligung im Double-Opt-in-Verfahren nach § 7 Abs. 2 UWG. Adressen aus Reservierungen dürfen nicht ohne separaten Opt-in für Werbung verwendet werden; ein Einwilligungsprotokoll ist zwingend.

Was droht bei Verstößen?

Der Bußgeldrahmen nach Art. 83 DSGVO reicht bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für einzelne Betriebe sind fünf- bis sechsstellige Bußgelder in Rechtsprechung und Aufsichtspraxis dokumentiert.

DSGVO Gastronomie: 7 typische Fehler & Lösungen

Fehler 1: Videoüberwachung falsch aufgesetzt

Videoüberwachung ohne Hinweisschild, ohne Löschkonzept und ohne dokumentierte Interessenabwägung ist der häufigste DSGVO-Fehler in der Gastronomie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; die DSK verlangt in Kurzpapier Nr. 15 grundsätzlich Löschung nach 48 Stunden, längere Speicherung nur mit Begründung.

Dauerüberwachung von Gastraum oder Personalbereich ist nach Auffassung der Aufsichtsbehörden regelmäßig unzulässig. In Norwegen verhängte die Datenschutzbehörde Datatilsynet 2021 gegen ein Restaurant rund 20.000 € Bußgeld wegen Dauer-Videoüberwachung der Beschäftigten — die Fallkonstellation ist auf Deutschland übertragbar.

So machen Sie es richtig: Kameras nur auf eng begrenzte Bereiche (Kasse, Eingang, Lager). Hinweisschild vor dem Betreten mit den Pflichtangaben nach Art. 13 DSGVO. Löschkonzept mit 48-Stunden-Frist. Grundlage: DSK-Kurzpapier Nr. 15 und die Aufsichtspraxis unter Sächsischer Datenschutzbeauftragter.

Fehler 2: Reservierungsdaten ewig gespeichert

Reservierungsdaten in der Kontaktdatei zu behalten, weil sie einmal nützlich sein könnten, verletzt den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Zulässig ist die Speicherung nur so lange, wie sie für den Zweck erforderlich ist — die Reservierung.

So machen Sie es richtig: Löschroutine kurz nach dem Besuch. Reservierungssystem so konfigurieren, dass Kontaktdaten automatisch nach einem definierten Zeitraum gelöscht werden. Wer Gäste dauerhaft ansprechen will, holt separat eine Werbe-Einwilligung ein (siehe Fehler 7).

Fehler 3: Gäste-WLAN ohne Datenschutzhinweis

Ein offenes Gäste-WLAN ist Verarbeitung personenbezogener Daten — spätestens beim Log. Nach Art. 13 DSGVO und dem TDDDG (2024 umbenannt, vormals TTDSG) muss vor der Einwahl transparent über Verarbeitungszwecke informiert werden. Zwangsregistrierung mit persönlichen Daten ist unverhältnismäßig.

So machen Sie es richtig: Captive Portal mit Datenschutzhinweis in verständlicher Sprache. Keine Erhebung mehr als nötig — schon gar keine Namen oder Adressen als Zugangsvoraussetzung. Zugangsdaten regelmäßig wechseln, Zugriffsprotokolle nach kurzer Frist löschen.

Fehler 4: Kein Verzeichnis von Verarbeitungstätigkeiten

Viele Betriebe berufen sich auf die 250-Mitarbeiter-Grenze in Art. 30 Abs. 5 DSGVO — die Ausnahme greift jedoch nicht bei regelmäßiger Verarbeitung. Kasse, Personalabrechnung und Reservierung fallen darunter, also praktisch immer. Ein VVT ist deshalb faktisch Pflicht (DSK-Kurzpapier Nr. 1).

Typischer VVT-Eintrag	Zweck	Rechtsgrundlage
Reservierungen	Vertragserfüllung	Art. 6 Abs. 1 lit. b
Kassensystem	Vertragserfüllung + steuerliche Pflichten	lit. b + lit. c
Personal / Lohnabrechnung	Vertrag / gesetzliche Pflicht	lit. b + lit. c, § 26 BDSG
Videoüberwachung	Berechtigte Interessen	Art. 6 Abs. 1 lit. f
Bewerberdaten	Vertragsanbahnung	lit. b, § 26 BDSG
Newsletter	Einwilligung	Art. 6 Abs. 1 lit. a
Gäste-WLAN	Berechtigte Interessen	Art. 6 Abs. 1 lit. f

So machen Sie es richtig: Ein schlankes VVT mit 6–10 Einträgen reicht für die meisten Betriebe. Vorlage im DSGVO-Paket.

Fehler 5: Keine AV-Verträge mit Dienstleistern

Kassensystem-Cloud, Reservierungstool, Lohnsoftware und Newsletter-Dienst sind Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ohne schriftlichen (auch elektronisch möglichen) AV-Vertrag ist die Datenweitergabe formal rechtswidrig — unabhängig von Sicherheit oder Vertrauenswürdigkeit des Anbieters.

So machen Sie es richtig: Liste aller Dienstleister mit personenbezogenen Daten anlegen, AV-Verträge einholen (meist online per Klick abschließbar). Kontrolle: Anbieter mit Sitz außerhalb der EU brauchen zusätzliche Garantien nach Kapitel V DSGVO (z. B. Standardvertragsklauseln).

Fehler 6: Bewerber- und Mitarbeiterdaten zu lange aufbewahrt

Abgelehnte Bewerbungen werden häufig für „später" behalten — nach Aufsichtspraxis sind sie regelmäßig nach etwa 6 Monaten zu löschen (AGG-Klagefristen als Orientierung). Lohnunterlagen sind dagegen steuerlich 6–10 Jahre aufzubewahren; das ist keine Datenschutz-, sondern eine Aufbewahrungsfrist nach AO und HGB.

Datenkategorie	Aufbewahrungsfrist	Grundlage
Bewerbung (abgelehnt)	ca. 6 Monate	AGG-Fristen, Aufsichtspraxis (als solche kenntlich)
Bewerbung (eingestellt)	Personalakte, Dauer Arbeitsverhältnis + Fristen	§ 26 BDSG
Lohnunterlagen	6–10 Jahre	§ 147 AO, § 257 HGB
Arbeitsverträge	10 Jahre nach Ende	Verjährungs- und Aufbewahrungsfristen
Reservierungsdaten	kurz nach Besuch	Art. 5 Abs. 1 lit. e DSGVO
Videoaufnahmen	i. d. R. 48 Stunden	DSK-Kurzpapier Nr. 15

So machen Sie es richtig: Löschkonzept mit klaren Fristen je Datenkategorie, Verantwortlichem und Prüfroutine. Muster im DSGVO-Paket.

Fehler 7: Datenpannen in der Außenkommunikation

Häufige Panne: Antworten auf Google-Bewertungen, die den Besuch bestätigen, das bestellte Gericht nennen oder auf Gesundheitsdetails eingehen — jede solche Antwort ist eine Offenlegung personenbezogener Daten (Art. 5 und 6 DSGVO, bei Gesundheit Art. 9). Ebenso kritisch: Newsletter ohne Double-Opt-in (§ 7 Abs. 2 UWG).

So machen Sie es richtig: Neutral antworten, keine besuchs- oder personenbezogenen Details bestätigen. Vorlagen dazu im Ratgeber Google-Bewertungen: Antwortvorlagen. Für Newsletter Double-Opt-in einsetzen und das Einwilligungsprotokoll dauerhaft speichern.

Brauchen Sie einen Datenschutzbeauftragten?

Nach § 38 BDSG ist ein Datenschutzbeauftragter dann Pflicht, wenn im Regelfall mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind. Für ein typisches Einzelrestaurant ist die Grenze meist nicht erreicht — für Ketten und größere Betriebe oft schon.

Zählen: Küche, Service, Verwaltung, Reservierung — alle, die regelmäßig am System arbeiten.
Ausnahmen wie Videoüberwachung mit Risiko können unabhängig von der Personenzahl eine Bestellung erforderlich machen.
Weitere Grundpflichten (VVT, AV-Verträge, TOMs) bestehen unabhängig von der DSB-Pflicht — sie entfallen nicht, wenn kein Beauftragter zu bestellen ist. Vertiefend zur GoBD-Seite die Ratgeber Kassenführung & GoBD und Arbeitsvertrag Gastronomie sowie das Mitarbeiterhandbuch.

Fertiges Produkt

DSGVO-Paket Gastronomie (39 €)

VVT-Muster, AV-Vertrags-Checkliste, Video-Hinweisschild und Löschkonzept — fertig zum Anpassen. Deckt die sieben Fehler aus diesem Ratgeber strukturell ab.

DSGVO-Paket ansehen

DSGVO in der Gastronomie: 7 typische Fehler — und wie Sie sie beheben (2026)