Não sei por que você acha que isso excluirá tudo na tabela, pois tenho certeza de que nem será executado. DELETE não requer nenhuma coluna ou * a definir. Deve ser apenas DELETE FROM hotels WHERE [etc, etc] .

Além disso, você deve considerar seriamente a leitura deste artigo:How To:Protect From Injeção de SQL no ASP.NET . Especialmente "Passo 3. Use Parâmetros com SQL Dinâmico", que detalha como você pode alterar seu código para evitar injeção de SQL.