Die Datenschutzfrage: Sonnenliegen buchen, ohne Gäste zu beobachten

Es gibt drei Möglichkeiten zu wissen, ob ein Liegestuhl belegt ist. Sie können ihn mit einer Kamera überwachen. Sie können ein Druckpolster darunterlegen. Oder Sie können es überhaupt nicht messen und stattdessen nur verfolgen, ob ein Gast ihn reserviert hat. Alle drei funktionieren als Poolbetrieb. Nur die dritte vermeidet es, Gäste zu beobachten.

Kameras lösen die Belegung genau und kostengünstig, und sie führen auch eine permanente Überwachungsfläche ein, für die ein Hotel nun in jeder Gerichtsbarkeit, in der es tätig ist, verantwortlich sein wird. Die DSGVO ist nur die lauteste der Einschränkungen; die kulturelle Realität ist, dass eine Kamera, die auf ein Pooldeck gerichtet ist, eine Kamera ist, die auf Gäste in Badekleidung gerichtet ist. Selbst die am besten gemeinte Bereitstellung hat irgendwann einen schlechten Tag.

Druckpolster und PIR-Sensoren vermeiden die Bildaufnahme, verfolgen aber dennoch Personen: Jedes Mal, wenn ein bestimmter Gast sich hinsetzt, aufsteht oder vorbeigeht, wird ein Ereignis einem Liegestuhl zugeordnet. Diese Aufzeichnung ist ein Verhaltensprotokoll, und im Gegensatz zu einer Kamera ist sie für den Gast unsichtbar. In gewisser Weise ist dies schlimmer: Es gibt nichts, dem man widersprechen müsste, weil nichts so aussieht, als würde es beobachten.

Der dritte Ansatz, die Reservierung und nicht die Belegung zu verfolgen, ist das, was SunDibs tut. Wir wissen, ob ein Liegestuhl beansprucht wurde. Wir wissen, ob der Gast die Ankunft bestätigt hat. Wir wissen nicht, ob sie sich derzeit darauf befinden. Dies ist die architektonische Einschränkung, die die Datenschutzgeschichte real macht: Wir können Ihnen nicht sagen, dass ein Liegestuhl belegt ist, weil wir keine Möglichkeit haben, das zu beobachten, und keine zukünftige Richtlinienänderung kann dies ohne neue Hardware hinzufügen.

Der Kompromiss ist, dass wir keinen Gast erkennen können, der sich hinsetzt, ohne zu beanspruchen, und wir keinen Gast erkennen können, der für ein zweistündiges Mittagessen geht und zurückkommt. Wir behandeln beide Fälle auf die gleiche Weise: Das Ankunftsfenster ist das, was zählt. Wenn der Gast reserviert und bestätigt hat, gehört der Liegestuhl ihm für den Tag. Wenn nicht, wird jemand anderes ihn beanspruchen. Die aktuelle Belegung ist nichts, was das System wissen muss.

Dies ist die Art von Privatsphäre, die es wert ist, bewahrt zu werden: keine Richtlinie, die in einem Einstellungsbildschirm überarbeitet werden kann, sondern ein Design, das die Überwachungsoption unzugänglich macht. Es ist der Unterschied zwischen einem Schloss und einem Versprechen.