Gästemeldepflicht bei Kurzzeitvermietung: ein Länder-Leitfaden

Im Dezember 2024 hat eine Gastgeberin, die ich kenne, in Málaga ein ganzes Wochenende damit verbracht, ein französisches Paar im neuen spanischen Portal SES.HOSPEDAJES zu registrieren. Das Formular wollte über vierzig Felder pro Gast — darunter das Verwandtschaftsverhältnis der beiden Reisenden und die letzten vier Ziffern der Karte, mit der sie bezahlt hatten. Im dritten Anlauf hatte sie es abgeschickt: zwanzig Stunden nach Check-in, vier Stunden vor der gesetzlichen Frist. Sie vermietet seit sechs Jahren auf Airbnb — und hatte bis zur Ankündigungs-E-Mail nie von dem System gehört.

Genau diese Lücke füllt dieser Beitrag. Dass es die DSGVO gibt, wissen fast alle Gastgeber. Kaum jemand weiß, dass dieselbe EU, die die DSGVO geschrieben hat, ein paralleles Regelwerk betreibt, das Sie zwingt, Gäste-Ausweise zu erheben und der Polizei zu übergeben. Hier ist die Realität, Land für Land, für die fünf größten Kurzzeitvermietungsmärkte — mit den Fristen und Aufbewahrungsregeln, die wirklich zubeißen.

Zwei Gesetze, die in entgegengesetzte Richtungen ziehen

Wenn Sie unseren DSGVO-Leitfaden für Gastgeber gelesen haben, ist der ganze Geist dieser Verordnung Minimierung: erheben Sie so wenig Daten wie möglich, behalten Sie sie so kurz wie möglich, löschen Sie auf Anfrage.

Die Gästemeldepflicht ist das Spiegelbild. Sie ist ein Instrument der inneren Sicherheit und der Steuerkontrolle, das die DSGVO weit überdauert — Frankreichs fiche de police reicht bis in die 1940er zurück — und zwingt Sie, einen Pass oder Personalausweis zu erfassen, bestimmte Felder zu übertragen und sie entweder in ein staatliches System hochzuladen oder zur Prüfung bereitzuhalten.

Diese beiden Gesetze widersprechen sich nicht, aber es fühlt sich so an. Die Auflösung ist Artikel 6 Abs. 1 lit. c DSGVO: Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung. Wenn das Recht des Landes, in dem Ihre Wohnung liegt, sagt „melde diesen Gast", erlaubt die DSGVO die Erhebung ausdrücklich. Sie brauchen keine Einwilligung — und Sie sollten sie auch nicht einholen, denn eine Einwilligung kann widerrufen werden, eine rechtliche Verpflichtung nicht.

Die praktische Folge: Ihr Datenschutzhinweis braucht eine Zeile, die sagt — „wo lokales Recht eine Gästemeldung verlangt, erheben und übermitteln wir Ausweisdaten aufgrund rechtlicher Verpflichtung". Dieser eine Satz deckt alles unten ab.

Spanien: SES.HOSPEDAJES, das strengste von allen

Spanien hat sein gesamtes System unter dem Königlichen Dekret 933/2021 neu gebaut, und nach zwei Verschiebungen wurde es am 2. Dezember 2024 verpflichtend. Das Portal heißt SES.HOSPEDAJES und wird vom Innenministerium betrieben.

Was Spanien hart macht, ist die Zahl der Felder. Das alte parte de viajero war eine Handvoll Angaben. Das neue System fragt rund 40 Datenpunkte pro Buchung ab, darunter:

• Vollständige Ausweisdaten jedes Gastes über 14, einschließlich Minderjähriger in der Reisegruppe.
• Das Verwandtschaftsverhältnis der Reisenden (Ehepartner, Kind, Kollege).
• Zahlungsdaten — die Zahlungsart, bei Karten Teilangaben und den Karteninhaber.
• Die Vertragsdaten: Termine, Objektreferenz, Gästezahl.

Die Frist beträgt 24 Stunden ab Check-in, und die Aufzeichnungen müssen drei Jahre aufbewahrt werden. Spanien verlangt zudem, dass das Objekt selbst vorab im System registriert ist — ohne das melden Sie keinen einzigen Gast.

Die Pflicht zu den Zahlungsdaten ist der Teil, den Gastgeber hassen, und der Teil, der am ehesten leise zurückgenommen wird — Kartendaten für ein Polizeisystem zu erheben ist genau die Art Sache, an der eine Datenschutzbehörde irgendwann Anstoß nimmt. Bis sich das ändert, ist das Gesetz das Gesetz. Übermitteln Sie, was das Formular verlangt.

Italien: Alloggiati Web und die 24-Stunden-Uhr

Italiens System Alloggiati Web wird direkt von der Polizia di Stato betrieben. Jeder Gastgeber — auch mit einem einzigen Gästezimmer — muss Portal-Zugangsdaten bei der örtlichen questura (Polizeipräsidium) beantragen und dann die Daten jedes Gastes innerhalb von 24 Stunden nach Ankunft übermitteln. Bei Aufenthalten unter 24 Stunden melden Sie zum Zeitpunkt der Ankunft.

Der Datensatz ist kleiner als der spanische: Name, Geburtsdatum und -ort, Staatsangehörigkeit, Dokumentart und -nummer. Sie übertragen das aus dem Pass oder Ausweis und laden es hoch — per Webformular, Datei-Upload oder API.

Italien hat 2024–2025 eine zweite Ebene ergänzt: den CIN, den Codice Identificativo Nazionale. Das ist ein nationaler Inserat-Identifikationscode, der in jeder Anzeige des Objekts stehen muss — Airbnb, Booking.com, Ihre eigene Seite. Kein CIN, und die Plattformen sind verpflichtet, das Inserat auszublenden. Der CIN ist getrennt von Alloggiati Web, lebt im Kopf eines Gastgebers aber im selben Compliance-Fach — behandeln Sie sie als eine Aufgabe.

Obendrauf kommt die regionale Kurtaxe (imposta di soggiorno), die die meisten Gemeinden inzwischen monatlich oder vierteljährlich von Ihnen erwarten. Drei Pflichten, ein Land.

Frankreich, Portugal, Deutschland: die Papierformular-Länder

Diese drei sind leichter, weil die Daten meist bei Ihnen bleiben, statt in Echtzeit an ein Behördenportal zu gehen.

Frankreich nutzt die fiche individuelle de police für ausländische Gäste, nach Artikel R611-42 des Ausländergesetzes CESEDA. Der Gast füllt das Formular aus — Name, Geburtsdatum, Staatsangehörigkeit, Wohnanschrift, Termine, und für Nicht-EU-Gäste die Einreisedaten. Sie bewahren es sechs Monate auf und übergeben es, wenn die Polizei fragt. Für die meisten Gastgeber gibt es kein proaktives Hochladen. Getrennt davon erheben und überweisen Sie die taxe de séjour.

Portugal führt das boletim de alojamento über das SIBA-System. Beachten Sie den Namenswechsel: die alte Grenzbehörde SEF wurde im Oktober 2023 aufgelöst, ihre Funktionen gingen an AIMA und die Polizeikräfte PSP/GNR, aber SIBA selbst läuft weiter. Sie übermitteln das boletim — Name, Staatsangehörigkeit, Dokument, Termine — innerhalb von drei Werktagen nach Check-in und nach Check-out, für ausländische Gäste.

Deutschland nutzt den Meldeschein nach dem Bundesmeldegesetz, §§ 29–30. Der Gast unterschreibt ihn bei der Ankunft; ausländische Gäste müssen sich ausweisen. Die Scheine bewahren Sie ein Jahr auf und sind dann verpflichtet, sie innerhalb von drei Monaten nach Ablauf dieser Frist zu vernichten. Wie in Frankreich gilt: aufbewahren und vorzeigen, nicht hochladen. Größere Betriebe speisen zusätzlich die Beherbergungsstatistik.

Was das für Ihre Datenhygiene bedeutet

Die Meldegesetze ändern, was Sie erheben. Sie ändern nicht die DSGVO-Regeln dazu, wie Sie es halten. Sie brauchen weiterhin:

1. Eine kurze Aufbewahrungsuhr pro Land. Spanien sagt drei Jahre, Deutschland sagt ein Jahr, dann vernichten. Wenn Sie in beiden Ländern vermieten, kommen Sie mit einem Ordner und einer Regel nicht aus. Versehen Sie jeden Scan mit seiner Rechtsordnung und seinem Lösch-Datum.
2. Einen echten Lösch-Schritt. „Der Polizei übergeben" heißt nicht „für immer behalten". Wenn Spaniens drei Jahre vorbei sind, ist der Scan reines Risiko — löschen. Das schlimmste Muster ist der vierjährige WhatsApp-Ordner voller Pässe, bis zu dessen Ende niemand scrollt.
3. Ein System, nicht fünf Postfächer. Stellt ein Gast einen DSGVO-Auskunftsantrag, müssen Sie genau sagen können, was Sie wo halten. Fünf E-Mail-Ordner und eine Handy-Galerie sind keine Antwort. Genau deshalb hält RentTools Gästedokumente an einem Ort mit Export-Knopf — das Meldegesetz vervielfacht Ihren Dokumentenstapel, und ein Stapel, den Sie nicht durchsuchen können, ist ein Stapel, den Sie nicht verteidigen können.

Die Arbeit, vierzig Felder aus einem Pass in ein Behördenportal zu übertragen, ist genau die Arbeit, in der Software gut ist. Was Sie auch nutzen — RentTools, eine Tabelle, das Add-on eines Channel Managers —, das Ziel ist dasselbe: das Dokument einmal lesen, einmal speichern, einmal übermitteln, planmäßig löschen. Zur vorderen Hälfte dieses Ablaufs siehe unseren Hinweis zu Gästeformularen vor Anreise: den Ausweis vor der Ankunft einzusammeln verwandelt eine 20-Stunden-Hektik in einen 5-Minuten-Upload.

Eine deutliche Meinung

Der größte Fehler, den Gastgeber bei der Gästemeldung machen, ist, sie als Papierkram-Pflicht getrennt von ihrer Daten-Einrichtung zu behandeln. Sie ist nicht getrennt. Das Meldegesetz ist der Grund, warum Ihr Gästedaten-Stapel groß ist, und die DSGVO ist der Grund, warum dieser Stapel ein Risiko ist. Es ist dasselbe Problem, gesehen aus zwei Regierungen.

Lösen Sie es einmal: den Ausweis vor der Ankunft einsammeln, die Felder in Ihr System übertragen, innerhalb der Frist ans Portal übermitteln und jedem Scan am Tag des Eingangs ein Lösch-Datum verpassen. Gastgeber, die diese Schleife fahren, brauchen zehn Minuten pro Buchung und schlafen gut. Gastgeber, die das Portal jedes Landes als frischen Notfall behandeln, verbringen ein Wochenende im Dezember — wie meine Bekannte in Málaga — damit herauszufinden, was SES.HOSPEDAJES will, vier Stunden bevor die Zeit abläuft.