KI im Hotel: was erlaubt ist, was gemeldet werden muss, was verboten ist

Die heikelste Stelle im Hotel ist nicht die Rezeption, sondern das Spa: Eine Hautanalyse erzeugt Gesundheitsdaten, und die landen meist im selben System wie die Zimmerbuchung. Dazu kommen Chatbot, Check-in und Personalplanung. Das meiste ist erlaubt und braucht nur einen Hinweis — eine Anwendung ist seit Februar 2025 verboten.

Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am 26. August 2026

Die heikelste Stelle ist das Spa

Im Hotel-Spa passiert dasselbe wie im Kosmetikstudio — nur mit einem Unterschied, der alles verändert: Die Daten landen im Hotelsystem.

Eine KI-Hautanalyse erzeugt einen Befund über Pigmentierung, Rötungen oder Faltentiefe. Dieser Befund sagt etwas über den Gesundheitszustand des Gastes aus und ist damit ein Gesundheitsdatum nach Artikel 4 Nummer 15 DSGVO — eine besondere Kategorie nach Artikel 9. Die Verarbeitung ist grundsätzlich verboten und wird erst durch eine ausdrückliche Einwilligung erlaubt.

Wem gehören die Daten, wenn das Spa extern betrieben wird?

Viele Hotel-Spas werden verpachtet oder von einem Dienstleister geführt. Dann ist die Frage nicht akademisch, sondern entscheidet, wer die Einwilligung einholen muss und wer bei einem Verstoß haftet:

Die dritte Zeile ist der Normalfall und wird fast nie geregelt. Wenn Hotel und Spa-Betreiber dieselbe Gästedatenbank nutzen, sind sie oft gemeinsam Verantwortliche nach Artikel 26 DSGVO — und müssen schriftlich festhalten, wer welche Pflicht erfüllt. Fehlt diese Vereinbarung, haften im Zweifel beide.

Und die Bilder?

Für Vorher-Nachher-Aufnahmen aus dem Spa gilt alles, was auch im Studio gilt — einschließlich des Werbeverbots bei Unterspritzungen. Ein Hotel, das seine Behandlungsergebnisse auf Instagram zeigt, sollte die drei Fragen kennen: Darf ich das Bild zeigen, habe ich die Einwilligung zur Veröffentlichung, war KI im Spiel?

Und im übrigen Haus: fangen wir mit dem an, was verboten ist

Ebenfalls verboten: das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsmaterial, um damit eine Gesichtsdatenbank aufzubauen. Wer ein Zutrittssystem einführt, sollte diesen Satz kennen, bevor der Anbieter erklärt, wie gut sein Abgleich funktioniert.

Gesichtserkennung am Check-in: auf ein Wort kommt es an

Biometrische Fernidentifizierung steht in Anhang III der KI-Verordnung und gilt damit als Hochrisiko — mit allem, was daran hängt. Es gibt aber eine Ausnahme, und sie entscheidet über den gesamten Pflichtenkatalog:

Ein Check-in-Automat, der das Selfie mit dem eingescannten Ausweis vergleicht, verifiziert. Ein System, das eine Person gegen eine Liste abgleicht — Hausverbote, Stammgäste, gesuchte Personen —, identifiziert. Der Unterschied ist eine Zeile im Datenblatt und ein völlig anderer Aufwand.

Chatbot und automatische Bewertungsantworten

Beides fällt unter Artikel 50 und ist unkompliziert — man muss es nur tun.

• Der Buchungs-Chatbot muss erkennen lassen, dass er eine Maschine ist. Eine Zeile zu Beginn genügt.
• Antworten auf Bewertungen, die eine KI formuliert, sind KI-generierter Text. Ob eine kurze Dankesantwort schon kennzeichnungspflichtig ist, ist umstritten; unstreitig ist es bei längeren, inhaltlichen Antworten. Der sichere und zugleich sympathischere Weg: ein Hinweis im Bewertungsprofil, dass Antworten mit KI-Unterstützung verfasst werden.

Nebenbei: Gäste erkennen generische KI-Antworten inzwischen zuverlässig. Eine gekennzeichnete Antwort wirkt ehrlicher als eine, bei der jeder es merkt und niemand es sagt.

Personalplanung und Bewerberauswahl

KI, die Bewerbungen vorsortiert, Schichten zuteilt oder Leistung bewertet, steht in Anhang III Nummer 4 — Beschäftigung. Das ist Hochrisiko, allerdings mit einer wichtigen Einschränkung: Der Digital Omnibus hat diese Pflichten auf den 2. Dezember 2027 verschoben.

Sie haben also Zeit — aber zwei Dinge gelten schon heute. Erstens die Mitbestimmung: Der Einsatz von Systemen, die Verhalten oder Leistung überwachen können, ist in Deutschland nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz mitbestimmungspflichtig. Entscheidend ist, was das System kann, nicht was Sie damit vorhaben. Zweitens die DSGVO, die für Beschäftigtendaten ohnehin gilt.

Dynamische Preise

Preisoptimierung nach Auslastung, Wochentag und Wettbewerb ist normales Geschäft und keine Hochrisiko-KI. Vorsicht ist nur an einer Stelle geboten: Preise, die sich nach persönlichen Merkmalen des Gastes richten statt nach Nachfrage, führen schnell in die Nähe einer verbotenen Praktik — und in jedem Fall in ein Diskriminierungsproblem.

Was zu tun ist

1. Im Spa anfangen. Dort liegen die empfindlichsten Daten. Wer hat Zugriff auf Behandlungsnotizen — und wer bräuchte ihn wirklich?
2. Aufschreiben, was läuft. Hautanalyse, Chatbot, Check-in, Revenue-System, Bewertungsantworten, Dienstplanung, Kameras. Fragen Sie auch die IT nach Funktionen, die niemand bestellt hat — moderne Systeme bekommen KI-Funktionen per Update.
3. Emotionserkennung ausschließen. Schriftlich beim Anbieter, nicht mündlich. Das ist die einzige Frage, bei der ein Nein existenziell ist.
4. Beim Check-in klären: verifizieren oder identifizieren? Die Antwort gehört in Ihre Unterlagen.
5. Hinweise setzen — beim Chatbot, im Bewertungsprofil.
6. Team schulen und den Nachweis aufheben. Mit Datum.

Häufige Fragen

Dürfen wir die Zufriedenheit unserer Mitarbeitenden mit KI messen?

Nicht über Emotionserkennung. Systeme, die am Arbeitsplatz Emotionen von Beschäftigten ableiten, sind nach Artikel 5 der KI-Verordnung verboten — mit dem höchsten Bußgeldrahmen der Verordnung. Eine anonyme Umfrage ist selbstverständlich weiterhin möglich.

Ist Gesichtserkennung am Check-in erlaubt?

Als reine Verifizierung — Abgleich des Selfies mit dem vorgelegten Ausweis — greift die Ausnahme in Anhang III, das System gilt dann nicht als Hochrisiko. Sobald es Personen gegen eine Datenbank abgleicht, ist es Identifizierung und damit Hochrisiko. Unabhängig davon brauchen Sie nach Artikel 9 DSGVO die ausdrückliche Einwilligung und eine echte Alternative für Gäste, die ablehnen.

Müssen wir KI-Antworten auf Bewertungen kennzeichnen?

Bei längeren, inhaltlichen Antworten ja. Bei einer kurzen Dankesformel ist es umstritten. Praktisch am einfachsten ist ein einmaliger Hinweis im Profil, dass Antworten mit KI-Unterstützung entstehen — das deckt alle Fälle ab und wirkt offener, als es kostet.

Unsere Dienstplan-Software hat jetzt eine KI-Funktion. Was heißt das?

Schichtplanung und Leistungsbewertung stehen in Anhang III als Hochrisiko, die Pflichten wurden aber auf den 2. Dezember 2027 verschoben. Sofort relevant ist die Mitbestimmung: In Deutschland ist der Einsatz überwachungsfähiger Systeme nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig — entscheidend ist, was das System kann, nicht wozu Sie es einsetzen wollen.

Unser Spa nutzt eine Hautanalyse-App. Was müssen wir tun?

Drei Dinge. Erstens eine ausdrückliche Einwilligung des Gastes nach Artikel 9 Absatz 2 Buchstabe a DSGVO — getrennt von der Einwilligung zur Behandlung. Zweitens einen Auftragsverarbeitungsvertrag mit dem Anbieter der App. Drittens getrennte Berechtigungen im Hotelsystem: Wer nicht behandelt, hat keinen Grund, Hautbefunde zu sehen.

Unser Spa wird von einem externen Betreiber geführt — betrifft uns das trotzdem?

Fast immer ja, weil beide dieselbe Gästedatenbank nutzen. Dann sind Hotel und Betreiber häufig gemeinsam Verantwortliche nach Artikel 26 DSGVO und müssen schriftlich festhalten, wer welche Pflicht erfüllt. Fehlt diese Vereinbarung, haften im Zweifel beide. Das ist der am häufigsten übersehene Punkt in dieser Konstellation.

Gilt das auch für kleine Hotels?

Ja. Die KI-Verordnung kennt keine Mitarbeiterschwelle. Beim Bußgeldrahmen gilt für kleine und mittlere Unternehmen jeweils der niedrigere der beiden Werte — das ändert nichts an der Pflicht selbst.

Wir nutzen nur die Systeme unserer Kette. Sind wir dann raus?

Nein. Wer ein System betreibt, ist Betreiber im Sinne der Verordnung — auch wenn die Zentrale es ausgesucht hat. Lassen Sie sich von dort schriftlich geben, welche KI-Funktionen enthalten sind; das ist zugleich der Anfang Ihres Inventars.