Gästeregistrierung auf Mallorca – die wichtigsten Fragen zu SES.Hospedajes

SES.Hospedajes ist das zentrale Meldesystem des spanischen Innenministeriums für Gästedaten. Grundlage ist das Real Decreto 933/2021 (veröffentlicht im BOE am 26. Oktober 2021, Referenz BOE-A-2021-17461). Verpflichtend ist die Nutzung seit dem 2. Dezember 2024. Die früheren Verfahren – Papier-Meldeschein sowie die Systeme Webpol und Hospederías – sind damit abgelöst.

Alle Beherbergungsbetriebe in Spanien, ausdrücklich einschließlich privater Ferienvermieter. Das gilt für Ferienwohnungen und -häuser ebenso wie für Hotels, Hostales, Pensionen, Campingplätze, Landhäuser und Herbergen. Auch Autovermietungen fallen unter dieselbe Vorschrift.

Ja. Die Pflicht hängt nicht vom Umfang der Vermietung ab. Auch wer seine Immobilie nur gelegentlich an Feriengäste überlässt, muss registriert sein und jeden Aufenthalt melden.

Ja – aber Sie brauchen nicht für jede Immobilie ein eigenes Konto. Das System ist zweistufig aufgebaut: Zuerst wird der Vermieter als verantwortliche Person oder Gesellschaft angelegt, darunter jede einzelne Unterkunft mit eigenem Code und eigenen Zugangsdaten für die Übermittlung. Wer mehrere Objekte betreut, verwaltet sie also unter einem Zugang. Verwalten Sie Objekte verschiedener Eigentümer, ist jeder Eigentümer ein eigener Vermieter im System – denn der Vermieter haftet rechtlich für die Meldung.

Ja. Der Zugang zur elektronischen Behördenplattform erfolgt über ein digitales Zertifikat, den elektronischen Personalausweis (DNIe) oder Cl@ve. Die Registrierung selbst ist kostenlos.

Planen Sie Vorlauf ein: Ein digitales Zertifikat wird nicht sofort ausgestellt, und Cl@ve erfordert unter Umständen eine persönliche Identifizierung in einer Behörde. Ohne einen dieser Zugänge ist keine Registrierung möglich – das ist erfahrungsgemäß die erste Hürde für Eigentümer, die nicht in Spanien leben.

Ja. Als ausländische Privatperson benötigen Sie Ihre NIE, bei Vermietung über eine spanische Gesellschaft deren NIF. Zusätzlich hinterlegen Sie die vollständige Adresse der Unterkunft, ihre Kategorie, die Autonome Gemeinschaft und – sofern vorhanden – die Nummer Ihrer touristischen Lizenz.

Ja. Registrierung, Online-Check-in, Datenübermittlung und Dokumentation lassen sich vollständig aus der Ferne organisieren. Ein Ansprechpartner vor Ort bleibt dennoch wertvoll – etwa wenn sich Angaben zur Unterkunft ändern, eine Übermittlung abgelehnt wird oder Behördenpost eingeht.

Das Real Decreto 933/2021 listet die Pflichtfelder in Anhang I. Dazu gehören unter anderem:

Zur Person des Gastes: vollständiger Name, Ausweisnummer (DNI, NIE oder Reisepass), Geburtsdatum, Nationalität und Geschlecht.

Zum Aufenthalt: Anreisedatum, geplantes Abreisedatum und die genaue Adresse der Unterkunft.

Zur Buchung: unter anderem die Zahlungsweise. Diese Angabe überrascht die meisten Vermieter – sie ist aber Teil der Meldung. Zur Kartennummer hat die spanische Datenschutzbehörde klargestellt, dass in der Regel die letzten vier Ziffern genügen.

Die Vorschrift verlangt eine unverzügliche Meldung und duldet höchstens 24 Stunden. Die 24 Stunden sind also die Obergrenze, nicht die normale Frist.

Wichtig: Es gibt zwei getrennte Meldungen mit zwei unterschiedlichen Startpunkten.

1. Die Buchungsmeldung – ausgelöst durch Buchung, Vertragsabschluss oder eine Stornierung.
2. Die Gästemeldung (parte de viajeros) – ausgelöst durch den Beginn des Aufenthalts, also den Check-in.

Beide unterliegen jeweils der 24-Stunden-Grenze. Wer nur an den Check-in denkt, übersieht die erste.

Der Meldeschein ist von allen Personen ab 14 Jahren zu unterzeichnen. Für Kinder unter 14 Jahren werden die Daten von der begleitenden volljährigen Person angegeben; hier ist auch das Verwandtschaftsverhältnis anzugeben. Kinder verschwinden also nicht aus der Meldung, sondern werden anders erfasst.

Ja, und das ist der praktikabelste Weg. Über einen digitalen Online-Check-in geben Ihre Gäste ihre Daten selbst ein, bevor sie anreisen. Das System prüft die Angaben auf Vollständigkeit, und die Übermittlung erfolgt fristgerecht, ohne dass jemand Daten manuell abtippt.

Ja. Über eine Schnittstelle lassen sich Online-Check-in, Datenerfassung und Übermittlung an SES.Hospedajes verbinden. Die Zugangsdaten werden einmal hinterlegt, danach läuft die Meldung je Aufenthalt automatisch.

Jede Änderung bereits übermittelter Angaben löst eine neue Meldepflicht aus. Eine Stornierung ist ebenfalls meldepflichtig – und zwar innerhalb derselben 24-Stunden-Frist.

Es gibt keine Bearbeiten-Funktion. Ein fehlerhafter Meldesatz wird nicht durch einen neuen überschrieben, sondern muss storniert und anschließend korrekt neu übermittelt werden.

Abgelehnte Übermittlungen werden mit einem Fehlercode zurückgemeldet. Die Frist läuft in dieser Zeit weiter – deshalb sollten Übermittlungen am selben Tag kontrolliert werden, nicht erst am Wochenende. Ein häufiger Grund für Ablehnungen sind fehlende Pflichtfelder, etwa das Verwandtschaftsverhältnis bei Minderjährigen.

Die Meldepflicht trifft Sie als Vermieter, nicht den Gast – ohne die Daten können Sie sie nicht erfüllen. In der Praxis lösen Sie das über die Buchungsbedingungen: Der Online-Check-in mit Datenübermittlung ist Voraussetzung für die Schlüsselübergabe. Je früher das kommuniziert wird, desto seltener entstehen Diskussionen bei der Anreise.

Drei Jahre, gerechnet ab dem Ende des gebuchten Aufenthalts. Die aufbewahrten Daten müssen mit dem Gemeldeten übereinstimmen und den Behörden auf Anfrage zur Verfügung stehen.

Nein. Die spanische Datenschutzbehörde AEPD hat am 17. Juni 2025 eine Informationsnotiz veröffentlicht, die genau diese Frage klärt – vorab abgestimmt mit dem Innenministerium und dem Branchenverband. Das Ergebnis: Die Pflicht zur Datenerhebung nach RD 933/2021 berechtigt nicht dazu, eine Kopie des Ausweisdokuments anzufordern. Das gilt für die Fotokopie ebenso wie für Scan oder Handyfoto.

Die Begründung der Behörde umfasst drei Punkte:

1. Zu viele Daten. Ein DNI enthält Informationen, die die Vorschrift nicht verlangt – Lichtbild, Ablaufdatum, CAN-Nummer, Namen der Eltern. Deren Verarbeitung erhöht das Risiko von Identitätsmissbrauch und verstößt gegen den Grundsatz der Datenminimierung (Art. 5.1.c DSGVO).
2. Zu wenige Daten. Umgekehrt enthält der Ausweis nicht alle in RD 933/2021 geforderten Angaben. Er reicht für sich genommen also gar nicht aus, um die Meldepflicht zu erfüllen.
3. Kein Identitätsnachweis. Die Übersendung einer Dokumentenkopie erlaubt keine sichere Feststellung, wer sie tatsächlich abgeschickt hat.

Die AEPD beschreibt den zulässigen Weg konkret: Der Gast stellt die geforderten Daten bereit, erhoben über ein Formular – vor Ort oder online.

Bei persönlicher Anreise genügt eine visuelle Prüfung des Dokuments. Es wird gezeigt, nicht kopiert und nicht archiviert.

Beim Online-Check-in empfiehlt die Behörde digitale Zertifikate, den Abgleich mit den zum Zahlungsmittel gehörenden Daten oder eine Authentifizierung über Codes, die an Telefon oder E-Mail des Gastes gesendet werden.

Ja – unter klar definierten Bedingungen. Die Juni-Notiz der AEPD ließ diese Frage zunächst offen; eine nachfolgende Resolution der Behörde hat sie beantwortet.

Zulässig ist der Einsatz optischer Zeichenerkennung, wenn das System von vornherein so gebaut ist, dass es ausschließlich die gesetzlich geforderten Felder extrahiert und weder vollständige Bilder noch überflüssige Informationen speichert. Wird zum Auslesen ein Bild erfasst, muss es nur vorübergehend verarbeitet und unmittelbar danach verworfen werden. Das Dokument darf außerdem nicht als Verifizierungsnachweis aufbewahrt werden.

Der Unterschied zwischen zulässig und sanktionsbewehrt liegt also nicht im Scan selbst, sondern darin, was anschließend mit dem Bild geschieht.

Nein. Die AEPD verlangt ausdrücklich mehr als eine Behauptung: Der Verantwortliche muss nachweisen können, was das System konkret tut – welche Daten das OCR erfasst, wie lange sie verarbeitet werden, zu welchem Zweck und unter welchen Garantien. Das folgt aus der Rechenschaftspflicht.

Praktisch bedeutet das: Löschroutinen, Speicherorte und Aufbewahrungsfristen je Datenart gehören dokumentiert, nicht nur behauptet. Fragen Sie Ihren Anbieter deshalb gezielt, wie die Löschung technisch umgesetzt und dokumentiert ist. Und wie die Behörde betont: Operative Bequemlichkeit darf sich niemals über die Rechte und Freiheiten der betroffenen Person stellen.

Verbreitung ist kein Beleg für Zulässigkeit – im Gegenteil. Die AEPD hat gerade wegen der weiten Verbreitung reagiert und sanktioniert weiterhin: In einem Fall wurde ein Hotel mit 9.000 Euro belegt, weil es Ausweise seiner Gäste gescannt hat; zusätzlich musste es die gespeicherten Dokumente löschen und sein Erfassungssystem umstellen. Die Behörde weist darauf hin, dass Sanktionen in einzelnen Fällen über 100.000 Euro liegen können.

Nein – und das ist der Punkt, der die meisten überrascht. Aufbewahrungspflichtig sind die Daten und die Übermittlungsbestätigungen, drei Jahre ab Ende des Aufenthalts. Das Ausweisbild war nie Teil der Meldung und ist für eine behördliche Rückfrage ohne Belang.

Hinzu kommt: Als Beweismittel taugt es ohnehin nicht, da eine Kopie nach Einschätzung der AEPD keine sichere Identitätsfeststellung erlaubt. Wer sie „für alle Fälle“ aufbewahrt, hält ein Dokument vor, das die Frage gar nicht beantworten könnte – und geht dafür ein erhebliches Risiko ein.

Für den internen Nachweis der erfolgten Prüfung genügt ein Vermerk: Ausweis wurde vorgelegt und geprüft, mit Datum und Bearbeiter.

Die Größenordnungen sind hier sehr unterschiedlich. Eine verspätete oder fehlerhafte Meldung nach RD 933/2021 bewegt sich im Bereich von 100 bis 600 Euro. Ein Datenschutzverstoß fällt dagegen unter den Sanktionsrahmen der DSGVO, der bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes reicht – je nachdem, welcher Betrag höher ist.

Anders gesagt: Die Speicherung, die Sicherheit schaffen soll, erzeugt das größere Risiko.

Ihre Gäste scannen ihr Ausweisdokument beim Online-Check-in bequem mit der Handykamera – kein manuelles Abtippen. Unser System liest daraus ausschließlich die gesetzlich geforderten Felder aus, die Ihre Gäste anschließend selbst prüfen und bestätigen.

Das Bild des Dokuments wird nach dem Auslesen verworfen und nicht gespeichert. Aufbewahrt werden nur die Meldedaten und die Übermittlungsbestätigungen – für die gesetzlich vorgeschriebenen drei Jahre, danach gelöscht.

So verbinden wir den bequemen Weg für Ihre Gäste mit den Anforderungen, die die spanische Datenschutzbehörde an solche Systeme stellt.

Eine berechtigte Frage – Datenlecks bei Beherbergungsbetrieben sind real. Achten Sie bei jeder Lösung darauf, wo die Daten gehostet werden, wer Zugriff hat, wie lange gespeichert wird und ob ein Verfahren für Betroffenenrechte (Auskunft, Berichtigung) existiert. Bei einer Datenschutzverletzung gilt eine Meldefrist von 72 Stunden gegenüber der AEPD.

Nein. Die touristische Vermietungslizenz wird von der Autonomen Gemeinschaft – auf Mallorca also von den Balearen – erteilt und bestätigt, dass Ihre Immobilie die Standards für die touristische Vermietung erfüllt. Ohne Lizenz ist die Vermietung nicht zulässig, unabhängig davon, ob Sie ordnungsgemäß melden.

Nein. Die Meldung an SES.Hospedajes erfüllt die sicherheitsrechtliche Meldepflicht. Die touristische Abgabe wird davon unabhängig erhoben und abgeführt.

Verlassen sollten Sie sich darauf nicht. Nach den Angaben des Innenministeriums übermittelt jeder Beteiligte die Daten, über die er verfügt – sind mehrere Vermittler eingebunden, trifft die Pflicht in erster Linie denjenigen, der die unmittelbare vertragliche Endbeziehung zum Kunden unterhält. Die Gästemeldung selbst bleibt Sache der Unterkunft.

Die Sanktionen richten sich nach dem Organgesetz 4/2015 über die öffentliche Sicherheit; die konkrete Einstufung nimmt die Behörde vor.

Leichte Verstöße – 100 bis 600 Euro: Nach Angaben des Innenministeriums fallen darunter die Übermittlung falscher Daten, Fehler in den Gästedaten, das teilweise Auslassen von Informationen und die verspätete Meldung.

Schwere Verstöße – deutlich höher: Das Nichtführen des vorgeschriebenen Registers und das Unterlassen der Meldung gelten als schwerwiegend nach Artikel 36.20 des Organgesetzes 4/2015.

Kurz gesagt: Eine verspätete Meldung ist unangenehm. Gar nicht zu melden oder nicht registriert zu sein, ist die deutlich teurere Variante.

Die rechtliche Verantwortung für die Meldung bleibt beim Vermieter, also beim Inhaber der Vermietungstätigkeit. Ein Dienstleister kann die Abwicklung vollständig übernehmen, entbindet Sie aber nicht von der Verantwortung. Umso wichtiger ist, dass klar dokumentiert ist, welche Meldungen wann in wessen Namen übermittelt wurden – und dass Sie diese Nachweise jederzeit einsehen können.

Sie müssen nachweisen können, dass die Daten gemeldet wurden und dass Ihre eigenen Aufzeichnungen mit dem Gemeldeten übereinstimmen. Bewahren Sie daher die Übermittlungsbestätigungen über die gesamten drei Jahre auf – nicht nur die Gästedaten selbst.

Die eigentliche Registrierung ist kostenlos und in überschaubaren Schritten machbar. Zeitaufwendig sind die Vorbereitungen: digitales Zertifikat oder Cl@ve beschaffen, NIE oder NIF bereithalten, jede Unterkunft korrekt anlegen, Zugangsdaten für die Übermittlung erzeugen und in die eingesetzte Software eintragen. Für Eigentümer ohne Erfahrung mit spanischen Behördenportalen ist das der Punkt, an dem die meisten Unterstützung suchen.

Software erledigt den wiederkehrenden Teil zuverlässig: Check-in, Validierung, fristgerechte Übermittlung. Sie hilft jedoch nicht weiter, wenn ein Zertifikat abläuft, sich die Angaben zu einer Unterkunft ändern, eine Übermittlung mit unklarem Fehlercode abgelehnt wird oder ein Einzelfall auftritt, den kein Formular vorsieht. Für viele Eigentümer ist deshalb die Kombination entscheidend: automatisierte Abläufe plus ein Ansprechpartner, der die Behördenseite kennt.