In den vergangenen 18 Monaten habe ich mit Hotelmanagern aus Oesterreich, der Schweiz und Deutschland gesprochen. Fast alle beschreiben dieselbe Situation: Ihre Mitarbeiter nutzen KI-Tools — aber niemand weiß genau, welche, wofür und welche Gästedaten dabei eingegeben werden.
Das ist kein Ausnahmefall. Es ist der Normalzustand in der europäischen Hotellerie 2026.
KI-Tools sind nicht mehr teuer, nicht mehr kompliziert und nicht mehr unsichtbar. Sie sind kostenlos, intuitiv und auf jedem Smartphone. Was häufig fehlt, ist nicht die Nutzung — es ist die Struktur darum herum.
Was Shadow AI im Hotel konkret bedeutet
Shadow AI beschreibt eine einfache Situation: Mitarbeiter nutzen KI-Tools eigenständig, ohne dass Unternehmensleitung oder IT weiß, welche Tools eingesetzt werden, welche Daten dort eingegeben werden und ob diese Nutzung mit internen Richtlinien oder externen Anforderungen vereinbar ist.
Das ist strukturell dasselbe Phänomen wie "Shadow IT" vor 15 Jahren. Der Unterschied: KI-Tools verarbeiten Sprache — und Sprache enthält Kontext, Gästedaten und vertrauliche Betriebsinformationen.
Typische Situationen im Hotelbetrieb
Gästekommunikation
Ein Rezeptionsmitarbeiter formuliert Gästeantworten mit ChatGPT. Er gibt dabei den Namen des Gastes, das Buchungsdatum, den Zimmertyp und die konkrete Anfrage ein. Kostenlose ChatGPT-Accounts können Eingaben für das Modell-Training verwenden — das ist in den Nutzungsbedingungen dokumentiert, aber im Alltag selten bewusst.
Beschwerdemanagement
Eine Operations-Managerin nutzt ein KI-Tool, um eine schwierige Gästebeschwerde zu formulieren. Sie kopiert die originale Nachricht des Gastes — inklusive Name und Kontaktdaten — in das Tool. Ob das Tool über eine Datenverarbeitungsvereinbarung verfügt, bleibt ungeklärt.
Marketingtexte und Social Media
Das Marketingteam verwendet KI-gestützte Tools für Beschreibungen und Posts. Die generierten Texte sind möglicherweise nicht einheitlich mit der geprüften Markenkommunikation des Hauses abgestimmt.
Uebersetzungen
Mehrsprachige Gästekorrespondenz wird durch Mitarbeiter in Google Translate oder DeepL übersetzt — beide inzwischen mit KI-Komponenten. Vertrauliche Buchungsdetails passieren dabei externe Server.
Revenue Management mit KI-Funktionen
Einige Revenue-Management-Systeme haben KI-basierte Preisempfehlungen integriert. Deren Einordnung unter datenschutzrechtlichen und regulatorischen Gesichtspunkten ist je nach Anbieter und Konfiguration unterschiedlich — und in vielen Häusern noch nicht formell geprüft.
Warum das jetzt relevant ist
Ab dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Act. Eine der Kernanforderungen betrifft die Transparenz und Dokumentation von KI-Systemen, die in Unternehmen eingesetzt werden.
Wenn Ihr Team KI-Tools nutzt — ob eingekauft oder eigenständig mitgebracht — und diese Tools mit Gästedaten arbeiten, könnte daraus eine Dokumentationspflicht entstehen. Die genaue Einordnung hängt vom jeweiligen System und dessen Nutzungskontext ab.
Das Problem ist nicht die Nutzung an sich. Das Problem ist, wenn Kontrolle und Dokumentation fehlen.
Die einfache Ausgangsfrage
Können Sie diese drei Fragen heute beantworten?
- → Welche KI-Tools werden in Ihrem Betrieb genutzt — offiziell und eigenständig?
- → Werden dabei Gästedaten eingegeben?
- → Haben Sie für diese Tools gültige Datenverarbeitungsvereinbarungen?
Drei konkrete Risiken
Datenschutz-Exposition
Gästedaten werden in externe KI-Systeme eingegeben, die möglicherweise nicht über eine gültige Datenverarbeitungsvereinbarung verfügen. Das ist ein konkretes Risiko, das durch klare Richtlinien und eine bewusste Tool-Auswahl adressierbar ist.
Unkontrollierter Kommunikationsstil
Wenn verschiedene Mitarbeiter mit unterschiedlichen KI-Tools Gästekommunikation verfassen, ist ein einheitliches Kommunikationsbild schwer aufrechtzuerhalten — besonders in kritischen Momenten wie Beschwerden oder Upgrade-Kommunikation.
Fehlende Dokumentationsgrundlage
Ohne Inventar und Dokumentation fehlt die Grundlage für eine saubere Einschätzung, welche KI-Systeme in Ihrem Betrieb eingesetzt werden und welche Anforderungen dabei relevant sein könnten.
Drei pragmatische erste Schritte
Shadow AI löst man nicht durch Verbote. Mitarbeiter werden KI-Tools nutzen — die Frage ist, ob das mit einem klaren Rahmen geschieht oder ohne.
Inventar erstellen — ohne Bewertung
Bitten Sie Ihr Team in einem offenen Gespräch — kein Audit, keine Konsequenzen — eine Liste aller KI-Tools zu erstellen, die beruflich genutzt werden. Erfahrungsgemäß kommen dabei 8–15 Tools zusammen, von denen die Unternehmensleitung 2–3 kannte.
Daten-Check je Tool
Für jedes Tool eine einfache Frage: Werden dabei Gästedaten eingegeben? Name, E-Mail, Buchungsdetails, Beschwerden — ja oder nein? Das reduziert die relevante Liste schnell auf 3–5 Tools, bei denen eine genauere Prüfung sinnvoll ist.
Einfache Richtlinie statt Verbot
Eine einzige Regel kann das Datenschutzrisiko erheblich reduzieren: keine Gästedaten in nicht-geprüften KI-Tools. Keine aufwendige Policy, kein IT-Rollout. Eine klare Festlegung, kommuniziert und dokumentiert.
Diese drei Schritte lösen das Thema nicht vollständig — aber sie verschieben die Position von "wir wissen es nicht" zu "wir haben einen Ueberblick". Das ist der wesentliche Unterschied, wenn die Artikel-50-Transparenzpflichten ab dem 2. August 2026 gelten.
Häufige Fragen
Ist Shadow AI im Hotel ein Compliance-Problem oder ein Managementproblem?
Beides. Die Compliance-Dimension entsteht, wenn Gästedaten in externe KI-Systeme eingegeben werden, ohne dass eine gültige Datenverarbeitungsvereinbarung vorliegt. Die Management-Dimension entsteht, wenn Kommunikationsqualität und Markenkonsistenz nicht mehr steuerbar sind. Beide lassen sich mit denselben Maßnahmen adressieren: Inventar und einfache Richtlinie.
Dürfen Mitarbeiter KI-Tools privat auf dem Smartphone nutzen, auch wenn diese arbeitsbezogen verwendet werden?
Das hängt von der internen Richtlinie und dem Arbeitsvertrag ab. Als allgemeine Orientierung gilt: Wenn mit einem privaten Tool Gästedaten verarbeitet werden, entsteht möglicherweise ein Datenschutzrisiko für das Unternehmen — unabhängig davon, ob das Tool privat oder beruflich beschafft wurde. Für eine verbindliche Einschätzung empfehlen wir anwaltliche Beratung.
Wie viel Zeit braucht ein Shadow AI-Inventar im Hotel?
Erfahrungsgemäß 60–90 Minuten: 30 Minuten Teamrunde, 30–60 Minuten strukturierte Aufbereitung. Kein IT-Projekt, kein externer Berater erforderlich.
Was kostet ein AI Readiness Call bei Peak Care AI?
Der erste Schritt — ein 30-minütiges Gespräch — ist kostenfrei. Ein strukturierter AI Readiness Check mit schriftlichem Ergebnis ist als separates Angebot verfügbar. Details auf Anfrage.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Er ersetzt keine rechtliche Einzelfallprüfung. Für Fragen zur DSGVO-Compliance oder zur Einordnung von KI-Systemen unter den EU AI Act empfehlen wir den Kontakt zu einem spezialisierten Rechtsanwalt.
Andreas Donner
Founder, peakcareai.com · 25+ Jahre in der internationalen Luxushotellerie — Projektentwicklung und Betrieb.