Hotels sind bei Buchungen, Zahlungsabwicklungen und dem täglichen Betrieb auf zahlreiche externe IT-Dienstleister angewiesen. Sicherheitslücken bei Buchungssystemen, Property Management Systemen oder Zahlungsanbietern können deshalb mehrere Betriebe gleichzeitig betreffen. Die HSMA empfiehlt Hoteliers, sowohl die eigenen Schutzmaßnahmen als auch die Sicherheitsprozesse ihrer Technologiepartner zu prüfen und vertragliche Informationspflichten eindeutig festzulegen.

Cybersecurity in der Hotellerie: DSGVO-Meldepflichten und IT-Verträge prüfen

Die Datenschutz-Grundverordnung verpflichtet Auftragsverarbeiter, Datenschutzverletzungen unverzüglich an die verantwortlichen Unternehmen zu melden. Verantwortliche müssen meldepflichtige Vorfälle grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde anzeigen. Je nach Risiko kann außerdem eine Information betroffener Personen erforderlich sein. Die HSMA rät Hotels, bei der Auswahl von Technologiepartnern auf geregelte Abläufe für die Erkennung, Eskalation und Meldung von Sicherheitsvorfällen zu achten. Eine offene Kommunikation soll dazu beitragen, Risiken schneller einzuschätzen, Schutzmaßnahmen einzuleiten und Schwachstellen branchenweit zu erkennen. Der Verband unterstützt den Austausch zwischen Hoteliers, Technologieanbietern und Branchenexperten zum Umgang mit Cyberrisiken.