DSGVO-Löschpflichten in der Reisebranche: Welche Daten Reiseveranstalter wann löschen müssen

Kaum eine Branche verarbeitet so viele – und so sensible – personenbezogene Daten wie die Reisebranche. Reisepass- und Ausweisnummern, Allergien und Diätwünsche, Mobilitätseinschränkungen, Zahlungsdaten, komplette Teilnehmerlisten: All das fällt bei jeder Buchung an. Und genau hier entsteht ein Spannungsfeld, das viele Reiseveranstalter unterschätzen – mit echtem Bußgeldrisiko.

Denn die DSGVO verlangt, personenbezogene Daten zu löschen bzw. zu anonymisieren, sobald sie nicht mehr gebraucht werden. Das Handels- und Steuerrecht verlangt gleichzeitig, bestimmte Daten über Jahre aufzubewahren. Wer beides nicht sauber trennt, verstößt fast zwangsläufig gegen eine der beiden Pflichten.

Zwei Pflichten, die sich widersprechen

Auf der einen Seite steht die Löschpflicht der DSGVO. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Ist der Zweck erfüllt, greift die Löschpflicht (Art. 17 DSGVO). Daten „auf Vorrat” zu behalten, etwa alte Kundenprofile „für den Fall der Fälle”, ist bereits ein Verstoß.

Auf der anderen Seite steht die Aufbewahrungspflicht aus HGB und AO. § 257 HGB und § 147 AO schreiben vor, buchhaltungsrelevante Unterlagen über bestimmte Fristen aufzubewahren. Wer diese Daten zu früh löscht, riskiert Ärger mit dem Finanzamt.

Die Lösung liegt nicht im „alles behalten” und nicht im „alles löschen”, sondern in einem Löschkonzept je Datenkategorie – mit klaren Fristen und einem klaren Auslöser.

Die wichtigsten Fristen im Überblick

Datenkategorie	Frist	Grundlage
Rechnungen & Buchungsbelege	8 Jahre (seit 2025, zuvor 10)	§ 147 AO / § 257 HGB
Handelsbücher, Bilanzen, Jahresabschlüsse	10 Jahre	§ 257 HGB
Geschäftliche Korrespondenz (Handelsbriefe)	6 Jahre	§ 257 HGB
Kundenstammdaten (ohne Rechnungsbezug)	i. d. R. 3 Jahre nach Ende der Geschäftsbeziehung	BGB-Verjährung
Reisepass-/Ausweisdaten	nur bis zur Reisedurchführung nötig → kurz danach löschen	DSGVO Art. 5
Gesundheits-/Diätdaten (besondere Kategorien, Art. 9)	so kurz wie möglich, nach Reiseende löschen	DSGVO Art. 5 & 9
Newsletter-Daten	sofort nach Abmeldung löschen	DSGVO Art. 17

Hinweis: Seit dem Vierten Bürokratieentlastungsgesetz (in Kraft seit 1.1.2025) wurde die Frist für Buchungsbelege und Rechnungen von 10 auf 8 Jahre verkürzt. Handelsbücher, Bilanzen und Jahresabschlüsse bleiben bei 10 Jahren.

Quellen & Rechtsgrundlagen:

• § 147 AO – Aufbewahrung von Unterlagen: gesetze-im-internet.de/ao_1977/__147.html
• § 257 HGB – Aufbewahrung von Unterlagen, Aufbewahrungsfristen: gesetze-im-internet.de/hgb/__257.html
• Art. 5 DSGVO – Grundsätze (u. a. Speicherbegrenzung): dsgvo-gesetz.de/art-5-dsgvo
• Art. 9 DSGVO – Besondere Kategorien personenbezogener Daten: dsgvo-gesetz.de/art-9-dsgvo
• Art. 17 DSGVO – Recht auf Löschung: dsgvo-gesetz.de/art-17-dsgvo
• Verkürzung auf 8 Jahre (Viertes Bürokratieentlastungsgesetz, seit 1.1.2025): Haufe · IHK Berlin

Warum das in der Reisebranche besonders heikel ist

Zwei Punkte machen die Umsetzung schwierig:

Zum einen geht es um besonders schützenswerte Daten. Gesundheits- und Diätangaben zählen zu den „besonderen Kategorien” nach Art. 9 DSGVO. Sie genießen erhöhten Schutz und sollten so früh wie möglich gelöscht werden, idealerweise direkt nach Reiseende. Ausweis- und Reisepassdaten werden nur für die Durchführung der Reise benötigt und haben danach keinen Zweck mehr.

Zum anderen sind die Daten stark verflochten. Ein einzelner Kunde hängt an Buchungen, Rechnungen, Teilnehmerlisten und Kommunikation. Löscht man den Kunden nach drei Jahren, darf man die Rechnung mit seiner Anschrift trotzdem nicht anrühren, wenn sie erst zwei Jahre alt ist. Ein pauschales „Kunde weg = alles weg” ist damit rechtlich gefährlich. Es braucht ein Veto für buchhaltungsrelevante Daten, das die Löschung so lange sperrt, wie die steuerliche Frist läuft.

Daran scheitert die manuelle Umsetzung: In Excel-Listen und über mehrere Tools hinweg lässt sich das kaum sauber, nachweisbar und fristgerecht erledigen.

Wie TourOps die Löschpflichten automatisiert

Bei der Entwicklung von TourOps haben wir genau dieses Problem in ein konfigurierbares Löschkonzept übersetzt. Kernidee: je Datenkategorie eine eigene Frist, ein eigener Auslöser und eine eigene Aktion (löschen oder anonymisieren) – vollautomatisch.

Die Standardwerte, die jeder Veranstalter im Backoffice anpassen kann:

• Reisepass-/Ausweisdaten: 90 Tage nach Reiseende → anonymisieren
• Gesundheits-/Diätdaten: 30 Tage nach Reiseende → löschen
• Teilnehmerdaten: 3 Jahre nach Reiseende → anonymisieren
• Kundenstammdaten: 3 Jahre nach letzter Aktivität → anonymisieren
• Helpdesk-/Kommunikationsdaten: 3 Jahre → löschen
• Nutzungs-/Logdaten: 90 Tage → löschen
• Rechnungsdaten: 8 Jahre (ab Rechnungsdatum) → anonymisieren
• Newsletter: sofort nach Abmeldung → löschen (der Einwilligungsnachweis wird separat befristet aufbewahrt)

Drei Prinzipien machen das rechtssicher und alltagstauglich:

1. Irreversible Anonymisierung. Nach Fristablauf werden Informationen und Daten unwiderruflich anonymisiert oder gelöscht – ohne Schlüssel, ohne Re-Link. Auch die zugehörigen Protokolleinträge werden bereinigt, damit keine Klartextspuren zurückbleiben.
2. Buchhaltungs-Veto. Solange eine Rechnung jünger als die gesetzliche 8-Jahres-Frist ist, wird jede Anonymisierung der verknüpften Kunden-, Buchungs- und Teilnehmerdaten automatisch gesperrt. Die DSGVO-Löschung unterläuft so nie die steuerliche Aufbewahrungspflicht.
3. Nachweisbarkeit. Jeder Löschlauf wird protokolliert – wichtig für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Ein Testlauf zeigt vorab, was gelöscht oder anonymisiert würde, bevor etwas passiert.

Statt „irgendwann mal aufräumen” läuft die Löschung damit planbar, nachvollziehbar und fristgerecht – ohne dass jemand daran denken muss.

Fazit

DSGVO-Compliance ist in der Reisebranche kein Häkchen, sondern ein Dauerprozess: sensible Informationen und Daten früh löschen bzw. anonymisieren, buchhaltungsrelevante Daten fristgerecht behalten, alles dokumentieren. Wer das manuell versucht, verliert früher oder später den Überblick – und damit im Zweifel viel Geld.

Ein durchdachtes, automatisiertes Löschkonzept nimmt Ihnen diese Last ab. TourOps bringt es von Haus aus mit – entwickelt und gehostet in Deutschland von der Aburok Softwareentwicklung in Fulda.

---

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die konkreten Fristen und Pflichten sollten Sie im Einzelfall mit Ihrem Datenschutzbeauftragten oder einer Rechtsanwältin bzw. einem Rechtsanwalt abstimmen.