FAQ Elektronischer Meldeschein für Hotels und Beherbungsstätten

Seit dem 01.01.2020 gibt es den neuen elektronischen Meldeschein. Wie sinnvoll ist der elektronische Meldeschein? Welche Möglichkeiten zur Umsetzung gibt es? Und was muss künftig beachtet werden? Mit diesen FAQ klären wir die drängendsten Fragen.

Eins vorweg: Es gibt grundsätzlich zwei Möglichkeiten, die Meldepflicht für Beherbergungsstätten im Sinne der neuen Regelungen des Bundesmeldegesetzes (BMG) zu erfüllen:

1. die Einholung eines elektronischen Meldescheins unter den Voraussetzungen des neuen Bundesmeldegesetzes (§ 29 Abs. 5 BMG) oder
2. die Bereithaltung eines analogen Papiermeldescheins mit handschriftlicher Unterschrift der beherbergten Person am Tag der Ankunft, wobei die Meldedaten elektronisch vorausgefüllt werden können.

1. Inwieweit sind die Orte und Destinationen von den Neuregelungen betroffen?

Die Leiter der Beherbergungsstätten sind nach wie vor zum Bereithalten von Meldescheinen verpflichtet. Der elektronische Meldeschein kann als Alternative zum Papiermeldeschein genutzt werden. Beherbergungsstätten in diesem Sinne sind: Einrichtungen, die der gewerbs- oder geschäftsmäßigen Aufnahme von Personen dienen.

2. Warum wurde der „digitale Meldeschein“/die digitale Authentifizierung eingeführt?

Die Neuregelungen zum elektronischen Meldeschein wurden mit dem Dritten Bürokratieentlastungsgesetz im BMG eingeführt. Mit Hilfe des elektronischen Meldescheins soll der bürokratische Aufwand minimiert und der Prozess digitalisiert werden. Ziel ist die Entlastung der Gäste und der Beherbergungsstätten beim Check-In. Gleichzeitig müssen jedoch die Anforderungen der PSD2-Richtlinie an eine starke Kundenauthentifizierung, die im Zahlungsdiensteaufsichtsgesetz (ZAG) umgesetzt wurden, sowie die Anforderungen an das Auslesen von Personalausweisen beachtet werden.

4. Die neuen Verfahren zielen auf die Authentifizierung des Gastes ab. Was bedeutet „Authentifizierung“?

Am besten lässt sich der Begriff der Authentifizierung anhand der einzelnen Authentifizierungsverfahren verdeutlichen:

Authentifizierung Variante 1

Bei der „starken Kundenauthentifizierung“, häufig auch Strong Customer Authentication (SCA) genannt, werden bei elektronischen Zahlungen zwei der folgenden drei Authentifizierungskategorien gefordert (sog. Zwei-Faktor-Authentisierung):

• WISSEN (Kennen eines Passworts oder Pins),
• BESITZ (z.B. Kreditkarte) und
• INHÄRENZ (Merkmal des Gastes, z.B. Fingerabdruck).

Erfolgt die Bestätigung der Angaben durch einen kartengebundenen Zahlungsvorgang, ist die zweckgebundene Zuordnungsnummer (sog. Token) des eingesetzten Zahlungsmittels mit den Meldedaten zu speichern.

Authentifizierung Variante 2

Der Elektronische Identitätsnachweis erfolgt durch Übermittlung von Daten aus dem elektronischen Speicher- und Verarbeitungsmedium des Personalausweises bzw. des Aufenthaltstitels oder aus dem Chip der eID-Karte. Die Daten werden nur übermittelt wenn

1. der Diensteanbieter (Beherbergungsstätte) ein gültiges Berechtigungszertifikat an den Personalausweisinhaber übermittelt,
2. der Diensteanbieter (Beherbergungsstätte) dem Ausweisinhaber (Gast) Gelegenheit bietet, folgende Daten einzusehen: Name, Anschrift, E-Mail-Adresse des Diensteanbieters, Kategorien der zu übermittelnden Daten, Hinweis auf die für den Diensteanbieter zuständige Stelle, die die Einhaltung der Vorschriften zum Datenschutz kontrollieren, letzter Tag der Gültigkeit des Berechtigungszertifikats,
3. der Personalausweisinhaber sodann seine Geheimnummer eingibt.

Für den elektronischen Identitätsnachweis wird folgendes benötigt:

Zum einen muss der Gast ein geeignetes Kartenlesegerät, welches per NFC-Kommunikation den Chip des elektronischen Personalausweises kontaktlos auslesen kann, oder ein NFC-fähiges Smartphone mit entsprechende Client-Software (z.B. die AusweisApp2) besitzen sowie 

• bei deutschen Gästen: einen Personalausweis mit aktivierter Funktion zum elektronischen Identitätsnachweis (Regelfall, § 10 PAuswG);
• bei nichtdeutschen Gästen, die EU-Bürger oder Staatsangehörige eines Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum sind: eine eID-Karte, die nur auf ausdrücklichen Antrag ausgestellt wird (§ 1 eIDKG);
• bei sonstigen Ausländern: einen Aufenthaltstitel (Aufenthaltserlaubnis, Blaue Karte EU, (Mobile) ICT-Karte, Niederlassungserlaubnis, Erlaubnis zum Daueraufenthalt EU) mit elektronischem Speicher- und Verarbeitungsmedium (Regelfall, Ausnahme: bei Aufenthaltstiteln nach Freizügigkeitsabkommen EG/Schweiz).

Zum anderen muss die Beherbergungsstätte eine auf maximal drei Jahre befristete Berechtigung bei der Vergabestelle für Berechtigungszertifikate (VfB) im Bundesverwaltungsamt beantragen. Dabei müssen folgende Voraussetzungen beachtet werden:

1. Bei der Beantragung der Berechtigung muss festgelegt werden, welche Datenfelder aus dem Personalausweis für den elektronischen Identitätsnachweis benötigt werden – also die erforderlichen Meldedaten.
2. Neben seinen Daten (Name, Anschrift, E-Mail-Adresse) muss die Beherbergungsstätte ihre Identität nachweisen, ihre Interessen an der Nutzung darlegen sowie die Einhaltung des betrieblichen Datenschutzes versichern. Schließlich dürfen keine Anhaltspunkte für eine missbräuchliche Verwendung der Daten gegeben sein.
3. Nach der positiven Rückmeldung der Vergabestelle für Berechtigungszertfikate hat die Beherbergungsstätte den Anbieter, der die Anbindung an den eID-Server bzw. eID-Service-Provider unterstützt, für das technische Berechtigungszertifikat auszuwählen und mit diesem einen Vertrag abzuschließen.
4. Schließlich ist die Anbindung des Dienstes zum eID-server zu implementieren. Dabei kann für die Kommunikation zwischen dem Dienst und dem eID-Server die eID-Schnittstelle oder die SAML-Anbindung genutzt werden. Technisch unterstützen kann dabei der eID-Service-Provider.

Um das Ganze nicht selbst durchführen zu müssen, kann ein Identifizierungsdiensteanbieter (AusweisIDent der Bundesdruckerei, AUTHADA ident von AUTHADA, identity eID der identity Trust Management AG, POSTIDENT der Deutschen Post AG) beauftragt werden. Teilweise kann der Identifizierungsdienst in das Online-Angebot, z.B. einer Subdomain der Beherbergungsstätte, integriert werden. Bei anderen Anbietern könnte eine Weiterleitung zu dem Dienst erfolgen. Jedenfalls wird keine eigene eID-Infrastruktur für das Online-Ausweisen benötigt.

Authentifizierung Variante 3

Für die Identifikation mittels Vor-Ort-Auslesen des Personalausweises, der eID-Karte oder eines Aufenthaltstitels benötigen die Gäste nur diese Dokumente mit elektronischem Speicher- und Verarbeitungsmedium (vgl. Var. 2). Die Identifizierung der Gäste erfolgt am Tag der Ankunft per Lichtbildabgleich. Bei Verwendung einer eID-Karte muss der Gast zusätzlich einen gültigen Pass oder amtlichen Ausweis zum Zwecke des Lichtbildabgleichs vorlegen.

Ihre PIN müssen die Gäste nicht kennen, da zum Auslesen der Ausweisdaten die Zugangsnummer des Ausweises (sog. Card Access Number (CAN)) erfasst wird. Diese steht auf der Vorderseite des Personalausweises neben dem Gültigkeitsdatum. Der Beherbergungsbetrieb darf die CAN nur mit Einverständnis des Gastes auslesen. Die Daten werden nur freigegeben, wenn die CAN zusammen mit einem gültigen Vor-Ort-Zertifikat an das Speicher- und Verarbeitungsmedium des Personalausweises/Aufenthaltstitels bzw. den Chip der eID-Karte übermittelt wird.

Der Beherbergungsbetrieb benötigt jedoch auch hier eine Berechtigung der Vergabestelle für Berechtigungszertifikate im Bundesverwaltungsamt und ein technisches Berechtigungszertifikat. Zudem erfordert Var. 3 eine geeignete Software für die Datenübernahme (z. B. das integrierbare Software Development Kit (SDK) für die AusweisApp2 oder AUTHADA onsite), ein eID-Server oder ein eID-Service und ein Kartenlesegerät für den Personalausweis oder ein NFC-fähiges Mobilgerät (Android, iOS).

6. Können alle Gäste mit den neuen Verfahren authentifiziert werden? Oder bestehen Einschränkungen?

Es können nicht alle Gäste, für die ein besonderer Meldeschein bereitgehalten werden muss, mit den neuen Verfahren authentifiziert werden. Bei der Beurteilung kommt es auf die jeweilige Authentifizierungsvariante gem. § 29 Abs. 5 Nr. 1 -3 BMG (vgl. Frage 3) an:

Bei der Authentifizierungsvariante 1 bestätigt der Gast die Richtigkeit und Vollständigkeit der elektronisch erhobenen Meldedaten, indem er am Tag der Ankunft einen kartengebundenen Zahlungsvorgang mit einer starken Kundenauthentifizierung auslöst, bei dem die zweckgebundene Zuordnungsnummer des eingesetzten Zahlungsmittels erhoben wird. Daher eignet sich die Variante des § 29 Ab. 5 Nr. 1 BMG beispielsweise nicht in folgenden Situationen:

• Generell bei Zahlungen, die bereits im Voraus geleistet wurden,
• Reisen, die von Dritten und nicht von der tatsächlich beherbergten Person bezahlt werden – da in diesem Fall der Gast am Tag der Ankunft keinen kartengebundenen Zahlungsvorgang tätigt,
• Barzahlungen des Reisepreises,
• Zahlungen per Rechnung im Nachgang des Aufenthalts,
• Gruppenreisen von mehr als zehn Personen, bei denen nicht der Reiseleiter am Tag der Ankunft mittels kartengebundenem Zahlungsvorgang den Reisepreis zahlt,
• Gruppenreisen unter zehn Personen, bei denen nicht jeder Reisender vor Ort den Reisepreis mittels kartengebundenem Zahlungsvorgang bezahlt,
• Kostenübernahmeerklärungen durch Unternehmen, Reiseveranstalter etc., da der Gast hier selbst am Tag der Ankunft keinen kartengebundenen Zahlungsvorgang nutzt.

Bei der Authentifizierungsvariante 2 bestätigt der Gast die Richtigkeit und Vollständigkeit der elektronisch erhobenen Meldedaten, indem er am Tag der Ankunft den elektronischen Identitätsnachweis erbringt. Daher eignet sich die Variante des § 29 Ab. 5 Nr. 2 BMG beispielsweise nicht, wenn der Gast nicht über die entsprechende App oder ein Kartenlesegerät verfügt. Eine Authentifizierung im Vorfeld der Anreise ist insbesondere nicht möglich.

Bei der Authentifizierungsvariante 3 bestätigt der Gast die Richtigkeit und Vollständigkeit der elektronisch erhobenen Meldedaten, indem er am Tag der Ankunft den Personalausweis / die eID-Karte / den Aufenthaltstitel zum Vor-Ort-Auslesen verwendet. Daher eignet sich die Variante des § 29 Ab. 5 Nr. 3 BMG beispielsweise nicht in folgenden Situationen:

• Personalausweise, die nicht im Scheckkarten-Format vorhanden sind.
• Ausländische Reisende, die weder über eine eID-Karte noch einen Aufenthaltstitel (inkl. elektronischer Identitätsnachweisfunktion) verfügen. Da die eID-Karte nur auf Antrag ausgestellt wird, dürfte dies nicht der Regelfall sein.
• Bei Reisegesellschaften von mehr als zehn Personen muss der Reiseleiter gemäß § 29 Abs. 2 S. 3 BMG zusätzlich die Anzahl der Mitreisenden und ihre Staatsangehörigkeit angeben. Das ist jedoch nicht im Personalausweis / eID-Karte / Aufenthaltstitel des Reiseleiters vermerkt.

In solchen Fällen bleibt nur der Rückgriff auf den Papiermeldeschein.

8. Ist die Neuregelung das Ende des Papiermeldescheins?

Die hohen Anforderungen an das Authentifizierungsverfahren stellen gerade kleinere Beherbergungsstätten bei der Umsetzung vor Probleme. Das Ende des Papiermeldescheins ist deshalb noch nicht absehbar. Er bleibt ausdrücklich auch weiterhin zulässig. Einen Zwang zur Nutzung der neuen Verfahren gibt es nicht.

9. Kann ein Gast die Authentifizierung verweigern; z.B. die Herausgabe seiner Kreditkarte oder seines (elektronischen) Ausweises?

Die Nutzung des elektronischen Meldescheins inkl. der hierfür erforderlichen Authentifizierungsverfahren ist gem. § 29 Abs. 5 BMG von der Zustimmung des Gastes abhängig. Auch § 18a PAuswG fordert das Einverständnis des Gastes. Der Gast kann daher zum Auslesen seines Ausweisdokuments oder Überreichen seiner Kreditkarte zum Zweck der Authentifizierung nicht gezwungen werden. Deshalb muss auch weiterhin der Papiermeldeschein bereitgehalten werden.

Verweigert der Gast auch die handschriftliche Unterschrift auf dem Papiermeldeschein, ist dies lediglich für den Gast bußgeldbewehrt (§ 54 Abs. 2 Nr. 8 BMG). Die Geldbuße kann bis zu EUR 1.000 geahndet werden. Die Beherbergungsstätte hat hingegen mit dem Bereithalten des Meldescheins ihre Pflicht nach § 30 Abs. 1 S. 1 BMG erfüllt.

10. Wie lange müssen die Daten gespeichert werden?

Das Bundesmeldegesetz regelt in § 30 Abs. 4 BMG eine Aufbewahrungs- und Löschfrist. Die Beherbergungsstätten haben die ausgefüllten Meldescheine vom Tag der Abreise der beherbergten Person an ein Jahr aufzubewahren und innerhalb von drei Monaten nach Ablauf der Aufbewahrungsfrist zu vernichten. Wird die Meldepflicht elektronisch erfüllt, gilt für die Speicherung und Löschung der erhobenen Daten im Wege der Authentifizierung ebenfalls die zuvor genannte Frist.

11. Ist geklärt, welche Gastdaten wie gespeichert werden dürfen/müssen? Und ist geklärt, wie die zugehörigen Authentifizierungs-Daten gespeichert werden müssen?

Die Beherbergungsmeldedatenverordnung (kurz: BeherbMeldV) regelt Einzelheiten der elektronischen Speicherung und Bereitstellung der Daten, die mittels des elektronischen Meldescheins erfasst wurden. Allerdings trifft sie keine Regelung zu dem konkreten Speicherort.

Wie die elektronische Speicherung zu gestalten ist, regelt § 2 BeherbMeldV dahingegen schon. Der Datensatz ist vollständig am Tag der Ankunft im Dateiformat der Extensible Markup Language (kurz XML) zu speichern. Die Daten sind im UNICODE-Zeichensatz UTF 8 zu codieren.

Die Dateien sind nach einem bestimmten Muster zu benennen: JJJJMMTT_BeherbMeldeschein_Zaehler.xml. „JJJJ“ steht dabei für das Jahr, „MM“ für den Monat, „TT“ für den Kalendertag des ersten Beherbergungstages und „ZZ“ für die fortlaufende Nummerierung der Datensätze eines Tages beginnend mit der Zahl 1 (§ 2 Abs. 3 BeherbMeldV).

Auch die Ordnerstruktur wird in Absatz 3 vorgegeben: Die Datensätze sind in Ordnern, die nach Jahren und Monaten strukturiert sind, zu speichern. Der genaue Datensatz ist der Verordnung und hier auch als Anhang beigefügt.

Die Übertragung soll mittels Datenträger oder Speichersystem erfolgen (§ 3 BeherbMeldV). Demnach würde es sich anbieten, die Speicherung direkt auf entsprechender Hard- oder Software vorzunehmen.

12. Gibt es Dienstleister, die bereits rechtskonforme Software-Lösungen für den elektronischen Meldeschein anbieten?

Mit der Einführung des digitalen Meldescheins sollen digitale Innovationen angeregt werden. Noch ist keine Software-Lösung bekannt, die die gesetzlichen Voraussetzungen erfüllt. Bei der Einführung rechtskonformer Systeme und Verfahren muss insbesondere berücksichtigt werden, dass die Authentifizierungsmaßnahmen mit einem entsprechenden kartengebundenen Zahlungsvorgang verbunden sein müssen, sofern auf die Variante des § 29 Abs. 5 Nr. 1 BMG zurückgegriffen wird.

Die beherbergte Person muss dabei einen kartengebundenen Zahlungsvorgang mit einer starken Kundenauthentifizierung im Sinne des § 1 Absatz 24 des Zahlungsdiensteaufsichtsgesetzes auslösen. Ein z.B. während des Pre-Check-Ins auf dem Mobiltelefon eingesetzter Fingerprint-Scan genügt diesen Anforderungen nicht und auch sonst keiner der gesetzlich vorgesehenen Varianten zur Verifikation des Gastes.

Da nach § 29 Abs. 5 BMG die beherbergte Person im Zuge des elektronischen Meldescheins beispielsweise durch einen kartengebundenen Zahlungsvorgang mit einer starken Kundenauthentifizierung, die Richtigkeit und Vollständigkeit der elektronisch erhobenen Meldedaten am Tag der Ankunft bestätigen muss, ist die Anknüpfung an eine Zahlung im Vorfeld ebenso wenig möglich. Insbesondere ist eine Selbstauthentifizierung nicht möglich.

Zu beachten ist außerdem: Die Leiter der Beherbergungsstätten haben bei dem elektronischen Meldeverfahren geeignete technische und organisatorische Maßnahmen entsprechend datenschutzrechtlicher Anforderungen zu treffen. Es sollte daher stets der Datenschutzbeauftragte bei der Umstellung auf das elektronische Meldeverfahren involviert werden.

13. Viele Kursatzungen verweisen auf das Meldegesetz, wodurch Destinationen und DMO die Daten für die Kurtaxenabrechnung und Erstellung von Gastkarten nutzen. Muss die Kursatzung abgeändert werden, we

Das kommt auf die Ausgestaltung der Kursatzung an. § 30 Abs. 3 BMG eröffnet es den Landesgesetzgebern zu bestimmen, dass für die Erhebung von Fremdenverkehrs- und Kurbeiträgen weitere Daten auf dem Meldeschein erhoben werden dürfen. Davon unabhängig ist die Möglichkeit, die Meldedaten nun auch digital zu erheben und elektronisch zu übermitteln. Allerdings enthalten einige Satzungen keine Ermächtigungen zur Weiterleitung des Meldescheines auf elektronischen Wegen. Diese müssten demnach angepasst werden.

14. Müssen die Kurverwaltungen und Kommunen für die Beherbergungsstätten die Voraussetzungen zur Anwendung der neuen Verfahren anbieten (z.B. Schnittstellen etc.)?

Nach § 30 Abs. 4 ist den Behörden auf Verlangen der elektronisch erhobene Meldeschein maschinenlesbar zur Verfügung zu stellen – dabei handelt es sich vorrangig um eine Verpflichtung des Leiters der Beherbergungsstätte. Wie die Kurverwaltung und die Kommunen den Empfang der Meldedaten in XML-Format konkret ausgestalten, bleibt ihnen überlassen. Grundsätzlich müssen sie den Empfang und damit die Nutzung des elektronischen Meldescheines ermöglichen. Schließlich werden die Verfahren ausdrücklich durch das Bundesmeldegesetz ermöglicht.

15. Welche Vorteile bietet der elektronische Meldeschein?

Seit Jahren fordert die Tourismusbranche, zumindest optional einen vollständig digitalen Meldeschein zu erlauben. Bis zur Reform beharrte die Bundesregierung lange Zeit auf eine eigenhändige Unterschrift des Gastes auf einem Papiermeldeschein. Der digitale Meldeschein für Beherbergungsbetriebe kann bei konsequenter Umsetzung Papier sowie Kosten und unnötige Bürokratie bei der Aufbewahrung und Entsorgung der Meldescheine sparen.

Der digitale Meldeschein ebnet darüber hinaus den Weg für neue innovative technische Lösungen beim Check-In. Allerdings wird die Umsetzung noch einige Zeit in Anspruch nehmen. Darüber hinaus muss geprüft werden, ob und in welchem Umfang weitere Erleichterungen möglich sind.

16. Was geschieht, wenn eine Beherbergungsstätte keine ordnungsgemäße Authentifizierung eines Gastes durchführt?

Egal ob digital oder analog: Ein Verstoß gegen § 30 Abs. 1 BMG, sei er vorsätzlich oder fahrlässig begangen, begründet eine Ordnungswidrigkeit und ist bußgeldbewährt (vgl. § 54 Abs. 2 Nr. 9 BMG). Das gilt insbesondere, wenn bei ausschließlicher Verwendung des elektronischen Meldescheins keine ordnungsgemäße Authentifizierung des Gastes erfolgt. Diese Ordnungswidrigkeit kann gem. § 54 Abs. 3 BMG mit einer Geldbuße bis zu 1.000 Euro geahndet werden.

Darüber hinaus besteht die Gefahr einer wettbewerbsrechtlichen Abmahnung nach § 3 UWG sowie der Verlust der gewerblichen Zuverlässigkeit und mithin einer Gewerbeuntersagung nach § 35 GewO, da sich der Betreiber der Beherbergungsstätte durch fehlende Einhaltung der Vorschriften des BMG als unzuverlässig erweisen kann.

Die Verfasser der FAQ

AVS GmbH: „Die AVS mit Hauptsitz in Bayreuth ist ein Technologiedienstleister und bietet unter anderem webbasierte Gästekarten,- Meldeschein- und Gastbeitragssysteme. Sie betreut 300 Tourismusorte und DMO´s. Die AVS leistet keine Rechtsberatung, wird aber stetig in aktuelle Fragestellungen zu Digitalisierung und Organisation einbezogen.“

Spirit Legal Rechtsanwälte: „Die Rechtsanwaltssozietät Spirit Legal aus Leipzig berät Reiseunternehmen, Hotels, Destinationen und Travel-Technology-Anbieter sowohl national als auch international. Als Experten in den Bereichen Travel Industry Law, E-Commerce, Medien, IT- und Datenschutzrecht arbeiten die Rechtsanwälte an der Schnittstelle von Wirtschaft, Technologie und Regulierung.“

Deutscher Tourismusverband: Seit 1902 setzt sich der Deutsche Tourismusverband e.V. (DTV) für eine erfolgreiche touristische Entwicklung in Deutschland ein. Als Dachverband kommunaler, regionaler und landesweiter Tourismusorganisationen vertritt der DTV die Interessen seiner rund 100 Mitglieder gegenüber Politik und Behörden, setzt Impulse, vernetzt Akteure miteinander und fördert einen zukunftsweisenden Qualitätstourismus im Reiseland Deutschland.