No estoy seguro de por qué cree que eso eliminará todo en la tabla, ya que estoy bastante seguro de que ni siquiera se ejecutará. DELETE no requiere ninguna columna o * para ser especificado Debería ser DELETE FROM hotels WHERE [etc, etc] .
Además, debería considerar seriamente leer este artículo:Cómo:Protegerse de Inyección SQL en ASP.NET . Especialmente "Paso 3. Usar parámetros con SQL dinámico", que detalla cómo podría cambiar su código para evitar la inyección de SQL.
