Gästedaten und DSGVO im Restaurant: der Praxisleitfaden 2026

Die DSGVO hat in der Gastronomie einen denkbar schlechten Ruf: Man denkt an Bußgelder, Anwälte und unverständliche Formulare. Manche Ratgeber machen es schlimmer und behaupten, schon der Name im Reservierungsbuch brauche eine Einwilligung. Die Realität ist deutlich entspannter. Die Verordnung verbietet keine Gästedatenbank, sie verlangt drei Dinge, die schlicht gesunder Menschenverstand sind: nur erheben, was Sie brauchen, nichts ewig aufheben, und ein paar elementare Rechte Ihrer Gäste respektieren.

Ein Restaurant, das Reservierungen annimmt, verarbeitet zwangsläufig personenbezogene Daten: einen Namen, eine Telefonnummer, oft eine E-Mail-Adresse, manchmal eine Allergie. Dieser Leitfaden zeigt, was Sie erheben und wie lange Sie es behalten dürfen, wie das Verarbeitungsverzeichnis in der Kleinbetriebs-Version aussieht, was der Vertrag mit Ihrem Reservierungsanbieter regeln muss, und wo Deutschland und Österreich sich im Detail unterscheiden. Die DSGVO selbst gilt in beiden Ländern wortgleich, nur die Behörden und einige Fristen sind national.

Das Wichtigste in Kürze:

• Sie dürfen eine Gästedatenbank führen: Die Reservierung selbst stützt sich auf die Vertragserfüllung, eine Einwilligung ist dafür nicht nötig;
• Gästedaten behalten Sie, solange die Geschäftsbeziehung läuft, danach als Faustregel noch etwa drei Jahre; Rechnungen und Belege folgen eigenen Fristen (8 Jahre in Deutschland, 7 Jahre in Österreich);
• eine Allergie ist ein Gesundheitsdatum: nur notieren, wenn der Gast sie selbst angibt, und nur für das Essen verwenden;
• auf ein Auskunfts- oder Löschersuchen müssen Sie innerhalb eines Monats reagieren;
• das Verzeichnis von Verarbeitungstätigkeiten ist auch für kleine Betriebe Pflicht, aber mit Muster an einem Nachmittag erledigt;
• mit Ihrem Reservierungsanbieter brauchen Sie einen Auftragsverarbeitungsvertrag, und Sie sollten wissen, wem die Gästedaten dort wirklich gehören.

Welche Gästedaten dürfen Sie bei einer Reservierung erheben?

Das Grundprinzip der DSGVO heißt Datenminimierung: Sie erheben, was für den Zweck nötig ist, und nicht mehr. Für eine Tischreservierung ist die Liste kurz und völlig unproblematisch:

• Name (oder Vor- und Nachname): um den Gast zu begrüßen und die Reservierung zuzuordnen;
• Telefonnummer: um bei Unvorhergesehenem erreichbar zu sein, in beide Richtungen;
• E-Mail-Adresse: für Bestätigung und Erinnerung;
• Datum, Uhrzeit, Personenzahl: das ist die Reservierung selbst;
• besondere Wünsche: Kinderstuhl, Terrasse, Geburtstag.

Umgekehrt gilt: Geburtsdatum, Postanschrift oder Beruf haben in einem Reservierungsformular nichts verloren, denn sie sind für die Leistung nicht erforderlich. Genau diese Sparsamkeit verlangt Art. 5 DSGVO, und ein gut gebautes Reservierungsformular setzt sie von allein um: Es fragt nur das Nötige ab, verschickt die Bestätigung automatisch, und die Gästedatenbank wächst sauber mit jedem Service. Nach diesem Prinzip funktioniert ViteUneTable, ein Reservierungssystem, bei dem die Gästedaten dem Restaurant gehören: Jede Reservierung füllt Ihre Datenbank, nicht die eines Vermittlers.

Allergien und Unverträglichkeiten: Vorsicht, Gesundheitsdaten

Ein Sonderfall verdient einen eigenen Absatz. Die DSGVO zählt Gesundheitsdaten zu den besonders geschützten Datenkategorien, und eine bei der Reservierung angegebene Lebensmittelallergie fällt darunter: Sie verrät etwas über den Gesundheitszustand des Gastes. Kein Grund zur Panik, wenn Sie drei Regeln einhalten:

1. Der Gast gibt die Allergie selbst an, Sie fragen sie nicht verpflichtend ab. Ein Freitextfeld für besondere Wünsche, in das der Gast schreibt, was er möchte, ist etwas völlig anderes als ein Pflichtfeld nach Unverträglichkeiten.
2. Die Angabe dient dem Essen, nicht dem Marketing. Nutzen Sie die Information in der Küche am Tag der Reservierung. Bauen Sie daraus niemals ein Werbesegment, dafür bräuchten Sie eine ausdrückliche Einwilligung.
3. Speichern Sie sie nicht ewig. Eine Allergienotiz an einer Reservierung von vor drei Jahren hat keinen Zweck mehr. Löschen Sie solche Felder regelmäßig oder lassen Sie den Gast sie bei jeder Reservierung neu angeben.

Auf welcher Rechtsgrundlage speichern Sie Reservierungsdaten?

Jede Datenverarbeitung braucht nach der DSGVO eine Rechtsgrundlage. Das klingt bedrohlicher, als es ist, denn für ein Restaurant decken zwei Fälle fast alles ab.

Die Reservierung selbst: Vertragserfüllung. Wer einen Tisch reserviert, schließt mit Ihnen einen Vertrag, und Name und Kontaktdaten sind nötig, um ihn zu erfüllen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung eines Vertrags. Keine Checkbox, keine Einwilligung: Die Reservierung ist der Vertrag. Das gilt auch für die Bestätigungs-E-Mail und die Erinnerung vor dem Service, wie wir im Beitrag zu Reservierungsbestätigung und Erinnerung im Detail zeigen. Behauptet ein Ratgeber, schon die Namensnotiz brauche eine Unterschrift, können Sie weiterblättern.

Werbung ist ein eigenes Kapitel. Sobald Sie dieselbe E-Mail-Adresse für einen Newsletter oder eine Rückgewinnungsaktion nutzen wollen, verlassen Sie die Vertragserfüllung, und es gelten die Regeln des nächsten Abschnitts.

Gesundheitsdaten: nur mit ausdrücklicher Einwilligung für jeden Zweck jenseits des konkreten Essens. Im Zweifel: weglassen. Eine Gästedatenbank braucht keine sensiblen Daten, um nützlich zu sein.

Newsletter an Gäste: was UWG und TKG erlauben

Viele Gastronomen trauen sich seit der DSGVO nicht mehr, ihren Gästen zu schreiben. Das ist schade, denn die Rechtslage ist günstiger als ihr Ruf, und sie steht nicht in der DSGVO selbst, sondern im Wettbewerbs- und Telekommunikationsrecht.

In Deutschland verlangt § 7 UWG für Werbe-E-Mails grundsätzlich eine vorherige ausdrückliche Einwilligung, macht in Absatz 3 aber eine Ausnahme für Bestandskunden: eigene ähnliche Leistungen, Adresse im Zusammenhang mit einem Verkauf erhalten, klarer Abmeldehinweis bei der Erhebung und in jeder E-Mail. In Österreich regelt § 174 TKG 2021 dieselbe Frage nahezu gleich, mit der zusätzlichen Pflicht, vor dem Versand die ECG-Liste zu prüfen, wie die Wirtschaftskammer im Detail erläutert. Ein Gast, der bei Ihnen gegessen hat, darf also Ihre neue Karte oder Ihr Festtagsmenü per E-Mail bekommen, solange er sich jederzeit mit einem Klick abmelden kann. Wie Sie daraus systematisch Stammgäste machen, haben wir in einem eigenen Leitfaden beschrieben, inklusive der vier UWG-Bedingungen im Wortlaut.

Wichtig ist die Trennung: Die Reservierungsbestätigung ist keine Werbung und braucht keine Einwilligung. Die Werbe-E-Mail ist Werbung und braucht Einwilligung oder die Bestandskunden-Ausnahme. Wer beides in einer Nachricht mischt, macht aus einer zulässigen E-Mail eine unzulässige.

Wie lange dürfen Sie Gästedaten aufbewahren?

Die häufigste Frage, und die ehrliche Antwort vorweg: Die DSGVO nennt keine einzige konkrete Frist. Sie verlangt nur, Daten nicht länger zu speichern, als der Zweck es erfordert. Die Wirtschaftskammer empfiehlt, sich an den gesetzlichen Aufbewahrungs- und Verjährungsfristen zu orientieren, und dieselbe Logik verwenden die deutschen Aufsichtsbehörden. Daraus ergibt sich für ein Restaurant eine gut vertretbare Praxis:

Zwei Feinheiten machen die Regel im Alltag sehr gut lebbar:

• Die Uhr startet bei jedem Besuch neu. Ein Stammgast, der jeden Monat kommt, bleibt in Ihrer Datenbank, solange er kommt, und danach noch die Übergangsfrist. Sie verlieren nie einen aktiven Gast.
• Steuerunterlagen sind kein Marketing-Archiv. Die Rechnung der Weihnachtsfeier muss 7 oder 8 Jahre aufbewahrt werden, aber das erlaubt nicht, die E-Mail-Adresse des Organisators ebenso lange für Werbung zu nutzen. Getrennt denken: Buchhaltung archivieren, Marketingdaten purgen.

Praktisch heißt das: einmal im Jahr eine Löschrunde. Kontakte ohne jede Interaktion seit rund drei Jahren fliegen aus der Gästedatenbank, die Buchhaltung bleibt unangetastet in ihrem eigenen Archiv. Ein gutes Reservierungssystem zeigt Ihnen das Datum der letzten Reservierung pro Gast, damit ist die Runde in einer Stunde erledigt.

Die Rechte Ihrer Gäste: Auskunft, Berichtigung, Löschung

Ihre Gäste haben einklagbare Rechte an ihren Daten: wissen, was Sie gespeichert haben (Auskunftsrecht, Art. 15 DSGVO), Fehler korrigieren lassen, die Löschung verlangen, der Werbung widersprechen. Für die Antwort haben Sie maximal einen Monat Zeit.

Im echten Restaurantalltag sind solche Anfragen selten und in fünf Minuten erledigt:

• „Löschen Sie mich aus Ihrer Datenbank": Sie löschen die Gästekartei im System. Nur Rechnungen bleiben im Buchhaltungsarchiv, das verlangt das Steuerrecht.
• „Was wissen Sie über mich?": Sie öffnen die Kartei und teilen den Inhalt mit: Kontaktdaten, Reservierungshistorie, Notizen.
• „Keine E-Mails mehr": Das muss der Abmeldelink in jeder E-Mail ohnehin schon erledigen, bevor jemand Ihnen schreiben muss.

Zuständig für Beschwerden sind in Deutschland die Datenschutzaufsichtsbehörden der Bundesländer (Übersicht beim Bundesbeauftragten für den Datenschutz), in Österreich die Datenschutzbehörde in Wien. Und ja, es trifft auch kleine Betriebe: In Österreich wurde ein Unternehmer rechtskräftig zu einer Geldstrafe verurteilt, weil er in der öffentlichen Antwort auf eine Google-Rezension den vollen Namen der Kundin genannt hatte, ein Fall, den wir im Beitrag zum Beantworten negativer Bewertungen ausführlich behandeln. Gästedaten gehören in die Kartei, nie in eine öffentliche Antwort.

Das Verzeichnis von Verarbeitungstätigkeiten, Kleinbetriebs-Version

Das Verarbeitungsverzeichnis ist das Dokument, das festhält, was Sie mit Daten tun: was, wozu, wie lange, mit welchem Schutz. Die oft zitierte Ausnahme für Betriebe unter 250 Mitarbeitern hilft in der Praxis kaum, denn sie greift nicht bei regelmäßiger Verarbeitung, und Reservierungen und Lohnabrechnung sind regelmäßig. Die gute Nachricht: Für ein Restaurant ist das Verzeichnis kurz, und die WKO stellt kostenlose Muster bereit, die auch für deutsche Betriebe als Vorlage taugen. So sieht der Eintrag für die Reservierungsverwaltung aus:

• Zweck: Annahme und Verwaltung von Tischreservierungen.
• Daten: Name, Telefon, E-Mail, Datum und Uhrzeit, Personenzahl, besondere Wünsche.
• Betroffene: Gäste und Interessenten des Restaurants.
• Empfänger: Inhaber und Serviceteam; der Anbieter der Reservierungssoftware als Auftragsverarbeiter.
• Speicherdauer: Geschäftsbeziehung plus 3 Jahre, jährliche Löschrunde.
• Sicherheit: passwortgeschützter Zugriff, Hosting in Europa, keine wilden Excel-Exporte auf drei Rechnern.

Dazu ein gleichartiger Eintrag für die Lohnabrechnung und gegebenenfalls für die Videoüberwachung, fertig. Ein Nachmittag, kein Halbjahresprojekt.

Der AVV: was der Vertrag mit Ihrem Reservierungsanbieter regeln muss

Sobald Ihre Reservierungen in einer Software leben, verarbeitet deren Anbieter Gästedaten in Ihrem Auftrag. Dafür verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, kurz AVV: Er legt fest, dass der Anbieter nur auf Ihre Weisung handelt, die Daten schützt und sie bei Vertragsende herausgibt oder löscht. Jeder seriöse Anbieter legt Ihnen diesen Vertrag von sich aus vor, meist zum Online-Abschluss. Fehlt er, ist das ein Warnsignal, denn verantwortlich bleiben Sie.

Der AVV ist auch der richtige Anlass für eine Frage, die kaum ein Ratgeber stellt: Wem gehört Ihre Gästedatenbank wirklich? Bei einer klassischen Reservierungssoftware ist die Sache klar: Der Anbieter ist Auftragsverarbeiter, die Daten bleiben Ihre. Bei einer Marktplatz-Plattform ist es konstruktionsbedingt anders: Der Gast, der dort reserviert, legt ein Konto bei der Plattform an und wird auch deren Nutzer, und die Plattform bewirbt bei ihm ihr gesamtes Angebot, auch die Restaurants Ihrer Konkurrenz. Das ist nicht versteckt, es ist das Geschäftsmodell eines Marktplatzes. Drei Fragen an jeden Anbieter, egal wie groß:

1. Kann ich meine komplette Gästedatenbank jederzeit exportieren, in einem wiederverwendbaren Format und ohne Gebühr?
2. Wer darf die Daten für Marketing nutzen: nur ich, oder auch die Plattform für eigene Zwecke?
3. Was passiert mit den Daten, wenn ich kündige?

Bei ViteUneTable ist die Antwort einfach und Teil des Konzepts: Die Gästedatenbank gehört dem Restaurant, die kostenlose Version nimmt unbegrenzt Reservierungen mit 0 % Provision an, und Gästedaten werden nie genutzt, um andere Lokale zu bewerben. Seien wir aber ehrlich: Keine Software der Welt macht Sie per Knopfdruck „DSGVO-konform". Verantwortlicher im Sinne der Verordnung bleiben Sie selbst; ein gutes Werkzeug macht die Pflichten nur sehr viel leichter einzuhalten.

Das Reservierungsbuch aus Papier: das unterschätzte Risiko

Ein verbreiteter Irrtum lautet, die DSGVO gelte nur für Computer. Sie gilt aber auch für strukturierte Papierablagen, und ein Reservierungsbuch mit Namen und Telefonnummern ist genau das.

Die praktischen Probleme sind schnell aufgezählt: Das Buch liegt offen am Empfang und zeigt jedem wartenden Gast die Namen und Nummern aller anderen. Verlangt jemand Auskunft oder Löschung, blättern Sie durch Monate von Seiten, und geschwärzt wird mit dem Filzstift. Ein Löschkonzept hat ein Buch, das jahrelang im Regal steht, naturgemäß nicht. Und geht es verloren, sind gleich alle Gästedaten eines Jahres weg, ohne Sicherungskopie. Nichts davon ist verboten, aber alles davon ist mühsam. Was der Umstieg konkret bringt und wie er neben dem Papier beginnen kann, steht in unserem Leitfaden zum digitalen Reservierungsbuch.

Ihre Umsetzung an einem Nachmittag

Zum Schluss die Minimal-Checkliste eines entspannt regelkonformen Restaurants:

1. Inventur machen: Wo leben Ihre Gästedaten heute? Reservierungssystem, Papierbuch, Excel, Mailpostfach, Kasse?
2. Gefährliche Duplikate löschen: Excel-Exporte, die auf mehreren Rechnern schlummern, sind Ihr größtes Leck-Risiko.
3. Verzeichnis ausfüllen: je ein Eintrag für Reservierungen, Lohn und gegebenenfalls Videoüberwachung, mit dem WKO-Muster.
4. Datenschutzhinweis ergänzen: Wer verarbeitet die Daten, wozu, wie lange, und wie übt der Gast seine Rechte aus? Verlinkt im Reservierungsformular und auf der Website.
5. Jährliche Löschrunde einplanen: Kontakte ohne Interaktion seit rund drei Jahren raus, Buchhaltung bleibt im Archiv.
6. Anbieter prüfen: AVV vorhanden, Export jederzeit möglich, keine Fremdnutzung Ihrer Gästedaten.

Nichts auf dieser Liste braucht einen Juristen in Vollzeit. Und wenn Ihr aktuelles Reservierungswerkzeug einen dieser Punkte unmöglich macht, liegt das Problem vermutlich beim Werkzeug, nicht bei der DSGVO.

Häufige Fragen

Verbietet die DSGVO eine Gästedatenbank im Restaurant?

Nein, im Gegenteil: Die DSGVO regelt die Gästedatenbank, sie verbietet sie nicht. Die Reservierung stützt sich auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO und braucht keine Einwilligung. Ihre Hauptpflichten: nur das Nötige erheben, die Speicherdauer begrenzen und Auskunfts-, Berichtigungs- und Löschersuchen innerhalb eines Monats beantworten.

Wie lange darf ein Restaurant die Kontaktdaten eines Gastes speichern?

Die DSGVO nennt keine feste Frist, verlangt aber eine begrenzte Speicherdauer. Bewährte Praxis: solange die Geschäftsbeziehung läuft, danach etwa drei Jahre ab dem letzten Kontakt, orientiert an der regelmäßigen Verjährungsfrist. Jede neue Reservierung startet die Uhr neu. Rechnungen und Belege folgen eigenen Fristen: 8 Jahre in Deutschland (§ 147 AO), 7 Jahre in Österreich (§ 132 BAO), ohne Marketingnutzung.

Darf ich meinen Gästen ohne Einwilligung einen Newsletter schicken?

Unter Bedingungen ja. In Deutschland erlaubt § 7 Abs. 3 UWG Werbe-E-Mails an eigene Kunden für ähnliche Leistungen, wenn die Adresse im Zusammenhang mit einem Verkauf erhoben wurde und jede E-Mail eine einfache Abmeldung enthält. In Österreich gilt Vergleichbares nach § 174 Abs. 4 TKG 2021, zusätzlich ist die ECG-Liste zu beachten. Für Personen, die nie bei Ihnen gegessen haben, bleibt die Einwilligung Pflicht.

Ist eine Lebensmittelallergie ein sensibles Datum im Sinne der DSGVO?

Ja. Eine vom Gast angegebene Allergie verrät etwas über seinen Gesundheitszustand und zählt damit zu den besonders geschützten Datenkategorien nach Art. 9 DSGVO. In der Praxis: Der Gast gibt sie freiwillig an, Sie nutzen sie nur für die Zubereitung seines Essens und speichern sie nicht dauerhaft. Als Marketingkriterium ist sie tabu.

Gilt die DSGVO auch für ein Reservierungsbuch aus Papier?

Ja. Sobald eine Papierablage strukturiert ist und sich die Daten einer Person darin wiederfinden lassen, fällt sie unter die DSGVO, und ein Reservierungsbuch mit Namen und Telefonnummern erfüllt das. Das Papier erschwert vor allem die Umsetzung der Gästerechte: Auskunft und Löschung über Monate von Seiten hinweg sind mühsam. Ein digitales System zentralisiert die Daten und macht beides zur Sache von Sekunden.

Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Reservierungsanbieter?

Ja. Sobald ein Dienstleister Gästedaten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Seriöse Anbieter legen ihn von sich aus vor. Prüfen Sie bei der Gelegenheit auch, ob Sie Ihre Gästedatenbank jederzeit exportieren können und ob der Anbieter die Daten ausschließlich für Sie nutzt.