Zuerst einmal eine Orientierungshilfe, die zwar für Rheinland-Pfalz herausgegeben wurde, aber leicht auf andere Gebiete und auch auf Österreich übertragen werden kann.
Hervorheben und zitieren möchte ich aus dem PDF:
Zur Gewährleistung der hier angesprochenen Datensicherheit verpflichtet § 9 BDSG
den Hotelier, alle „technischen und organisatorischen Maßnahmen zu treffen“, die
erforderlich sind, um die rechtmäßige Nutzung der Daten zu gewährleisten.
Dazu muss er
1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren (Zutrittskontrolle),
2. verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden
können (Zugangskontrolle),
3. gewährleisten, dass die zur Nutzung Berechtigten ausschließlich auf die ihrer
Zugriffsberechtigung unterliegenden Daten zugreifen können (Zugriffskontrolle),
4. gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und
von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben,
verändert oder entfernt worden sind (Eingabekontrolle),
5. gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen
eine Übermittlung personenbezogener Daten erfolgt (Weitergabekontrolle),
6. gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden,
nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können
(Auftragskontrolle),
7. gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder
Verlust geschützt sind (Verfügbarkeitskontrolle) und
8. gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt
verarbeitet werden (Trennungsprinzip).
Dabei hat er insbesondere die dem Stand der Technik entsprechenden
Verschlüsselungsverfahren einzusetzen.
Diese Grundsätze der Datensicherheit gelten nicht nur für die Computer des
Hotelbetriebs selbst, sondern auch dann, wenn der Hotelier seinen Hotelgästen die
Nutzung von WLAN ermöglicht.
Kommt es trotzdem zu Datendiebstahl oder Datenverlusten, so ist der Hotelier
verpflichtet, den hiervon Betroffenen, also insbesondere den Hotelgästen, diese
„Datenpanne“ anzuzeigen und Maßnahmen zu treffen, den hierdurch drohenden
Schaden zu begrenzen; eine solche Anzeige ist auch der DatenschutzAufsichtsbehörde
gegenüber abzugeben (§ 42a BDSG).
Ist es wirklich so einfach? Speicherung von Kreditkartendaten der Gäste im Hotel weiterlesen