EU-Datenschutzgesetze (DSGVO) und Datenschutz für Kunden

1) Kurz über das Wesentliche

Die DSGVO ist ein EU-Grundgesetz zum Schutz personenbezogener Daten. Sie gilt für alle, die:

verarbeitet Daten von Personen aus der EU/dem EWR, auch wenn sich der Betreiber außerhalb der EU befindet;
bietet ihnen Dienstleistungen an (einschließlich Online-Casinos) oder verfolgt ihr Verhalten.

Für die Verletzung - eine Geldstrafe von bis zu 20 Millionen Euro oder 4% des weltweiten Umsatzes (was mehr ist), plus Verarbeitungsverbote und Reputationsverluste.

2) Wesentliche Grundsätze (Art. 5 DSGVO)

1. Rechtmäßigkeit, Fairness, Transparenz. Klare Richtlinien, ehrliche Benachrichtigungen.

2. Beschränkung der Ziele. Verwenden Sie die Daten nur für die angegebenen Aufgaben (KYC/AML, Responsible Gambling, Auszahlungen, Support, Analysen usw.).

3. Minimierung. Sammeln Sie nur, was Sie brauchen (z. B. kein „Selfie mit Karte“ speichern, wenn 3-DS und Kontoauszug ausreichen).

4. Präzision. Adresse/Dokumente aktualisieren, Duplikate vermeiden.

5. Speicherbeschränkung. Klare Retentionsfristen (in der Regel 5-7 Jahre für Finanzdokumente; kurz: Telemetrie).

6. Integrität und Vertraulichkeit. Verschlüsselung, Zugangskontrolle, Protokollierung.

7. Rechenschaftspflicht. Nachweis der Konformität (Richtlinien, DPIA, Behandlungsaufzeichnungen).

3) Rechtsgrundlage der Verarbeitung (Art. 6) - Was ist für das Casino geeignet

Gesetzliche Verpflichtung: KYC/AML/Sanktionsscreening, Steuerberichterstattung, Führung von Auszahlungsprotokollen.

Vertrag: Erstellung und Pflege eines Spielkontos, Einzahlung/Auszahlung, Sapport.

Berechtigtes Interesse: Betrugsbekämpfung, Sicherheit, grundlegende Produktanalyse, Responsible Gambling-Signale (sofern nicht im Widerspruch zu lokalen Vorschriften).

Zustimmung: E-Mail/SMS-Marketing, Cookies für Werbung, Nicht-Standard-Profiling.

Vitale Interessen/öffentliche Aufgabe: selten, punktuell.

💡 Spezielle Kategorien (Gesundheit, Religion usw.) sind in iGaming fast unnötig - vermeiden Sie es, sie zu sammeln. Biometrie für Lebendigkeit → Verwenden Sie ausschließlich als Identifikation mit DPIA und Minimierung.

4) Rollen und Grenzen der Verantwortung

Controller: Der Casinobetreiber bestimmt die Ziele/Mittel.

Handler (Prozessor): KYC-Anbieter, PSPs, Clouds, Anti-Fraud, Onchain Analytics, Marketing-Plattformen.

Wir brauchen DPAs (Processing Contracts) mit klaren Anweisungen, Subprozessoren, Sicherheitsmaßnahmen, Audit-Rechten und Meldungen von Verstößen.

5) DPIA, DPO und Behandlungsaufzeichnungen

DPIA (Data Protection Impact Assessment) ist bei hohem Risiko obligatorisch: KUS/Biometrie, Verhaltensmonitoring RG, große Profilierung, grenzüberschreitende Übertragungen.

Weisen Sie einen DSB (Datenschutzbeauftragten) zu, wenn der Umfang der Verarbeitung groß ist oder eine systematische Überwachung vorliegt.

Führen Sie ein Register der Verarbeitungsvorgänge (RoPA): Datenkategorien, Zwecke, Rechtsgrundlagen, Aufbewahrungsfristen, Empfänger, Sicherheitsmaßnahmen.

6) Rechte der betroffenen Person und SLA Antworten

Der Spieler hat das Recht auf: Zugang, Berichtigung, Löschung („Recht, vergessen zu werden“), Einschränkung, Portabilität, Widerspruch sowie auf Erklärung bei automatisierten Entscheidungen/Profiling (z.B. Anti-Fraud-Block).

Die Antwortzeit beträgt in der Regel bis zu 1 Monat (Sie können bei Komplexität um weitere 2 verlängern).

Sie benötigen Prozesse im Sapport/CRM, die Überprüfung der Identität des Anforderers und WORM-Entscheidungsprotokolle.

7) Cookies, ePrivacy und Online-Marketing

Einwilligungsbanner: explizites Opt-in für Analytics/Werbung, separate Schalter, „gleich wichtig“ -Buttons (akzeptieren/ablehnen).

Unbedingt notwendige Cookies - ohne Zustimmung, aber mit Beschreibung in der Richtlinie.

E-Mail/SMS-Marketing: nur mit Einwilligung (oder „soft opt-in“ für Bestandskunden in einigen Ländern) + leichtes Opt-out.

Remarketing und Look-Alike - nur mit gültiger Zustimmung; Listen selbstausschließender und gefährdeter Gruppen ausschließen.

8) Internationale Datenübertragung (Kap. V)

Eine Übertragung außerhalb des EEZ ist möglich bei:

Adequacy (Land als angemessen anerkannt) oder
SCCs (Standardvertragsklauseln) + TIA (Transfer Impact Assessment) oder
Binding Corporate Rules für Unternehmensgruppen.
Überprüfen Sie Clouds, Anti-Fraud, On-Chain-Analysen, Helpdesk - wo Daten physisch gespeichert und verarbeitet werden.

9) Sicherheit (Art. 32) und Vorfälle (Art. 33/34)

Minimum „Stahlbeton“:

Verschlüsselung „in Ruhe“ und „im Transit“, Schlüsselverwaltung.
RBAC/ABAC, MFA für Admins, null Kontoauflösung.
Segregation von Umgebungen, Aktivitätsprotokoll (Admin/Support), Überwachung von Anomalien.
Tokenisierung/Pseudonymisierung für Telemetrie und Analytik.
Incident Response Plan, Übungen, Bugbounty.

Sicherheitsverletzung: Benachrichtigen Sie die Aufsichtsbehörde innerhalb von 72 Stunden und die Probanden, wenn ein hohes Schadensrisiko besteht. Führen Sie ein Register der Vorfälle.

10) Dünne iGaming-Orte und wie man sie schließt

1. Biometrie und Lebendigkeit. DPIA, lokale Speicherung von Vorlagen (oder deren Fehlen nach Verifizierung), transparente Löschfristen.

2. Onchain-Daten. Eine Krypto-Adresse kann zu persönlichen Daten werden, wenn wir sie mit einer Person verbinden - eine TIA durchführen, die Adressen des Spielers nicht veröffentlichen, Berichte mit Minimierung speichern.

3. Responsible Gambling und Profiling. Erklärbare Modelle (XAI), „Human-in-the-Loop“ für harte Maßnahmen, Recht auf Anfechtung.

4. VIP и SoF/SoW. Nur Notwendiges einsammeln, fristgerecht löschen, Kontoauszüge schützen.

5. Affiliates und Pixel. Gemeinsames Controlling? In Verträgen verankern, synchronisiertes Verbot von Selbstausschluss, rechtmäßige Sammlung von Einwilligungen gewährleisten.

6. Anfragen von Regulierungsbehörden/LEA. Dokumentierte Offenlegungsverfahren, Minimierung, rechtlicher Rahmen (Art. 6 Abs. 1 Buchst. c/e).

11) Retention: Wie man „Smart“ Timing setzt

CUS/Finanzdokumente: 5-7 Jahre (nationale Finnorme).

Protokolle der Sitzungen/Geräte: 12-24 Monate (ohne ID - länger).

RG-Signale und -Fälle: Solange die Begrenzung + Prüffrist gilt.

Marketingdaten: bis zum Widerruf der Zustimmung oder 24 Monate ohne Aktivität.

Biometrie: sofort nach der Überprüfung löschen, sofern gesetzlich nicht anders vorgeschrieben.

12) Praktische Compliance Checkliste (kurz)

Rechtsgrundlagen und Dokumentation

Datenschutzrichtlinie und Cookies, in einfacher Sprache.
Behandlungsregister (RoPA), DPIA auf KYC/Biometrie/RG/Onchain.
DSB zugewiesen/Außenseiter, Kontakt veröffentlicht.
DPA mit allen Prozessoren, Liste der Subprozessoren.

Rechte der Akteure

Verfahren und SLA (≤1 Monate), Antwortmuster, Identitätsüberprüfung.
Einfache Opt-Out/Delete/Fix-Mechanismen.

Technologie und Sicherheit

Verschlüsselung, MFA, Segregation, WORM-Protokolle.
Pseudonymisierung von Analysen, Minimierung von Exporten in BI.
Plan der Vorfälle, „72 Stunden“, Übungen.

Marketing/ePrivacy

Einwilligungsbanner mit einzelnen Kippschaltern; Zeitschrift consents.
Getrennte Marketing-Datenbanken und Benutzer in Selbstausschluss.

Datenübertragung

SCCs/BCR/TIA für alle grenzüberschreitenden Ströme.
Datenkarte nach Anbieter (KYC, PSP, Clouds, Fraud).

13) Häufige Fehler und wie man sie vermeidet

Sammeln Sie „in Reserve“. Zusätzliche Dokumente/Screenshots → das Risiko eines Lecks. Lösung: Minimierung + Whitelist zulässiger Artefakte.

Cookie-Banner mit „dunklen Mustern“. Machen Sie gleichwertige „Akzeptieren/Ablehnen“ -Schaltflächen.

Keine DPIA und DPA. Ohne sie ist es schwierig, das Profiling und die Übertragung von Daten an Partner zu rechtfertigen.

Single Access „Superadmin“. Rollen teilen, JIT-Zugriff verbinden.

Keine TIAs zu Cloud/Analytics. Bewerten Sie den Standort der Server und die Anwendbarkeit des Rechts von Drittländern.

14) Mini-FAQ

Wir sind nicht in der EU. Unterliegen wir der DSGVO?

Ja, wenn Sie Dienstleistungen für Personen aus der EU/dem EWR anbieten oder deren Verhalten verfolgen (Cookies/Analysen).

Ist immer eine Einwilligung für Anti-Fraud und RG notwendig?

Nicht immer: in der Regel berechtigtes Interesse/gesetzliche Verpflichtung. DPIA und Transparenz + ggf. Widerspruchsmöglichkeit sind aber erforderlich.

Kann ich KYC-Dokumente unbegrenzt aufbewahren?

Nein. Erfassen Sie angemessene Fristen und löschen/anonymisieren Sie diese nach deren Ablauf.

Ist die automatische Ausgabeeinheit eine „automatische Entscheidungsfindung“?

Ja, potenziell. Geben Sie „human-in-the-loop“, Erklärung und Recht auf Überarbeitung.

Wallet-Adresse - persönliche Daten?

Kann es werden, wenn es mit einer identifizierten Person verbunden ist. Behandeln Sie als PII beim Onboarding.

15) Das Ergebnis

Die DSGVO verlangt kein „Zettelchen“, sondern ein Datenmanagementsystem: klare Ziele und Rechtsgrundlagen, Minimierung, sichere Architektur, Kontrolle der Anbieter und Achtung der Spielerrechte. Ein Betreiber, der Privacy-by-Design aufbaut und rechenschaftspflichtig ist (RoPA, DPIA, DPA, DPO, Incident-Plan), reduziert Rechts- und Zahlungsrisiken, beschleunigt Audits und erhöht das Vertrauen der Kunden - und gewinnt damit in die lange Zeit.