Interview mit einem Vertreter der Curacao Gaming Authority

Curacao hat eine tiefgreifende Reform der Regulierung von Online-Glücksspielen durchgeführt: Anstelle des historischen Schemas von „Master-Lizenzen“ und Unterlizenzen wurde eine einzige Regulierungsbehörde CGA (Curacao Gaming Authority) und ein direktes Lizenzierungsregime für Betreiber und kritische Anbieter geschaffen. Wir haben mit einem Vertreter der CGA darüber gesprochen, was es braucht, um den Bewerbungspfad erfolgreich zu durchlaufen, wie man im neuen Compliance-Modus lebt und was die Branche in den kommenden Jahren erwartet.

Interview (Q&A)

1) Für wen ist die Curacao-Lizenz heute geeignet?

F: Für welche Unternehmen ist die Curacao-Lizenz relevant?

Antwort (CGA): Für Betreiber und B2B-Anbieter, die bereit sind, in einem transparenten Rahmen zu arbeiten und AML/CFT, KYC, Responsible Gaming, Sicherheit und GGR-Berichterstattung einzuhalten. Wir sehen Interesse von internationalen Marken mit Multi-Geographie und Hybrid-Zahlungskorb (lokale Methoden + digitale Assets, wo erlaubt). Eine echte Risikokontrolle und eine ausgereifte Infrastruktur sind wichtig.

2) Welche Arten von Berechtigungen gibt es?

Frage: Wie sind die Lizenzen jetzt aufgebaut?

A: Es gibt B2C-Lizenzen für Betreiber (Casinos, Wetten, Lotterien usw.) und B2B-Berechtigungen für kritische Anbieter (Spielinhalte, Aggregatoren, Hosting kritischer Infrastrukturen, RNGs, Anbieter von Zahlungs-/Identifikationslogik). Wir heben auch die Schlüsselfunktionen innerhalb der Organisation hervor (Compliance, AML, Sicherheit, RG), für die wir Inspektionen durchführen.

3) Übergang von „Unterlizenzen“ zur direkten Lizenzierung

Frage: Was ist wichtig, um bestehende Marken auf Unterlizenzen des letzten Regimes zu kennen?

Antwort: Es gibt eine Übergangszeit: Sie müssen eine direkte Lizenz beantragen, die Vertragsbeziehungen und -prozesse in Übereinstimmung mit den neuen Regeln bringen, die Kontinuität der Dienste und der Berichterstattung gewährleisten. Wir haben speziell „Bridge“ -Anforderungen für Protokolle, Berichte und SLAs veröffentlicht, um sicherzustellen, dass der Übergang ohne Schaden für die Spieler verläuft.

4) Schritte zur Erlangung der Lizenz

Frage: Aus welchen Blöcken besteht der Prozess?

Antwort: Fünf wichtige Schritte:

1. Fit & Proper - Begünstigte, Direktoren, Schlüsselfunktionen; Geldquellen, Reputation, Erfahrung.

2. Geschäftsplan und Finanzstabilität - Cashflows, Reserven, Versicherungen, ein Plan zur Reaktion auf Stressszenarien.

3. Richtlinien und Verfahren - AML/CFT, KYC/SoF/SoW, RG, Incident Management, Outsourcing, Sicherheit, Datenschutz.

4. Technische Architektur - Segmentierung von Umgebungen, Überwachung, Speicherung und Integrität von Protokollen, Fehlertoleranz, Integration mit Anbietern, Kontrolle von Releases und Zugriffen.

5. Readiness Check - systemisches und technisches Audit vor „go-live“; dann geplante Inspektionen, insbesondere im ersten Jahr.

5) Dokumente und Artefakte: Was ist obligatorisch

Frage: Was bringen Bewerber am häufigsten nicht?

A: Aktuelle, nicht formelhafte Richtlinien, Architekturdiagramme mit Rollen und Vertrauenszonen, Anbieterregister mit SLA und Auditrechten, Incident-Management- und BCP/DRP-Verfahren, Affiliate-Register mit Werbekontrolle, Personalschulungsplan (einschließlich Frontline) sowie Berichterstattung über RG-Indikatoren.

6) AML/KYC und Finmonitoring

Frage: Was steht bei AML/CFT-Kontrollen im Fokus?

A: Risikoschichtung von Kunden, korrektes Onboarding-KYC-Verfahren, Geldquelle für Hochrisikosegmente, Sanktions- und PEP-Screening, Verhaltensüberwachung von Transaktionen (Velocity, Jurisdiktionen, Methoden), Qualität von Eskalationen und Entscheidungsprotokoll. Es ist wichtig, dass das Front Office die Kriterien versteht und die Logik jedes Falles festhält.

7) Responsible Gaming (RG)

Frage: Was sind die Mindesterwartungen an RG?

Antwort: Einzahlungs-/Verlust-/Zeitlimits, Auszeiten und Selbstausschluss, „Reality-Checks“, frühzeitige Eingriffe in Verhaltensrisikomuster, verständliche Texte im Interface. Marketing sollte nicht mit RG-Signalen kollidieren; obligatorische Neubewertung nach Interventionen - ein Plus.

8) Technisches Audit und Sicherheit

Frage: Worauf schaut das Techaudit?

Antwort: Protokolle und ihre Integrität, korrekte Abrechnung und Bilanzen, RNG/Provider-Integrationen, Schutz von APIs und Schlüsseln, Trennung von Umgebungen, Kontrolle des Zugriffs auf die Produktion, Überwachung und Alerts, Verschlüsselung von Daten „auf Festplatte“ und „auf Draht“, Minimierung von PII und Einhaltung lokaler Speicherregeln.

9) Serverstandort und Anbieter

Frage: Gibt es eine strenge Anforderung, „auf der Insel zu hosten“?

Antwort: Wir betrachten die Kontrollierbarkeit und Auditierbarkeit. Es ist wichtig, dass die Regulierungsbehörde und die Auditoren unabhängig von der Cloud/dem Rechenzentrum Zugang zu den erforderlichen Telemetrie-, Protokoll- und Umgebungsdaten haben. Kritische Lieferanten sollten Ihre Risikobewertung durchlaufen und regelmäßig rezertifiziert werden.

10) Zahlungen, Stablecoins und Web3

Frage: Wie stehen Sie zu Krypto-Zahlungen?

Antwort: Möglich im Rahmen des Gesetzes und des AML-Rahmens: gezieltes Risiko-Scoring, Sanktionslisten, Überwachung „frischer“ Adressen, verständliche Partner. Der Spieler muss die Provisionen und die ETA sehen; RG-Richtlinien gelten auch für das Krypto-Segment. Jede Innovation ist durch das Prisma der Transparenz und Kontrollierbarkeit.

11) White-Label und Outsourcing

Frage: Ist es möglich, ein Unternehmen auf einem White-Label aufzubauen?

Antwort: Ja, aber der Lizenznehmer ist dafür verantwortlich. Wir brauchen Verträge mit klaren SLAs, Auditorenrechte, einen Reaktionsplan für Vorfälle, Rollengrenzen und eine regelmäßige Neubewertung des Anbieters. Für kritische Services gelten erhöhte Transparenzanforderungen.

12) Affiliates und Marketing

Frage: Wie kontrolliere ich Partner?

Antwort: Geben Sie das Affiliate-Register, Regeln für Werbung (Alter, Geo, ehrliche Offer), Traffic-Verifizierungsmechanismen, Stop-List und regelmäßige Creative-Checks ein. Der Betreiber ist für die Zusagen der Affiliates verantwortlich und muss schnell auf Verstöße reagieren.

13) Termine und Planung

Frage: Wie kann ich die Passage beschleunigen?

A: Kommen Sie mit vorgefertigten Richtlinien und Diagrammen, einer vertraglichen Basis, bestimmten Schlüsselfunktionen und einer Pilotinfrastruktur mit Protokollen und Überwachung. Die häufigsten Verzögerungen sind die Beseitigung von AML/RG-Kommentaren und die „Mitführung“ der technischen Architektur zum Audit.

14) Typische Fehler der Antragsteller

Frage: Was führt am häufigsten zu Ausfällen oder langwierigen Nachbesserungen?

Die Antwort lautet:

„Kopipastische“ Politiker ohne Verbindung zu realen Prozessen.
Unklare Rollen und Zugänge, keine Segregationen der Pflichten.
Schwache Cashflow-Tracing und SoF/SoW.
Es gibt keine RG-Metriken und keine frühen Interventionsszenarien.
Ungeformte Beziehungen zu Anbietern/Affiliates und keine Prüfungsrechte.
Ein instabiles Protokoll von Vorfällen und Veröffentlichungen.

15) Wie „ausgereifte“ Compliance nach dem Launch aussieht

Frage: Was zeichnet einen guten Lizenznehmer aus?

A: Kontinuierliche Compliance-Kultur: geplante interne Audits, Metriken und Alerts für AML/RG/Sicherheit, Richtlinienaktualisierung, Mitarbeiterschulung, Infrastrukturänderungsprotokoll, regelmäßige Rezertifizierung von Lieferanten, rechtzeitige Berichterstattung über GGR und wichtige Vorfälle.

Praxis: Checklisten und Roadmaps

Checkliste zur Antragsvorbereitung

transparente Eigentums- und Begünstigtenstruktur; Profile der Schlüsselfunktionen.
Vollständige Policy-Suite: AML/CFT, KYC/SoF/SoW, RG, Incidents, Outsourcing, IB, Risk Management.
Architekturdiagramme, Abgrenzung von Zugriffen, Freigabeprozesse, Monitoring und Logs.
Verträge mit kritischen Lieferanten: SLAs, Auditrechte, Incident Plan.
Register: Affiliates, Vorfälle, Beschwerden, Freigaben; Schulungsplan für das Personal.
Fin-Plan: Reserven, Versicherungen, Stressszenarien.
Metriken Vitrinen: AML-Alerts und Ergebnisse, RG-Indikatoren, SLO kritische Flows.

90-Tage-Fahrplan für den neuen Bewerber

Wochen 1-3: Gap-Analyse, Zuweisung von Schlüsselfunktionen, Richtlinienentwürfe, primäre Architektur- und Protokollierungsschemata.

Woche 4-6: AML/KYC/RG Finalisierung, Verträge mit Anbietern, Pilotüberwachung und Ereignisprotokoll.

Woche 7-9: „dry audit“ (intern/extern), Fixierung von SoF/SoW-Prozessen, Stresstest BCP/DRP.

Wochen 10-12: Einreichung des Antrags, Fertigstellung durch Bemerkungen, Vorbereitung auf das technische Audit und Betriebsprüfungen.

Das neue Curacao-Regime ist eine direkte, transparente und überschaubare Lizenzierung. Erfolgreich sind diejenigen, die mit realen Prozessen, ausgereifter Architektur, Berichtsdisziplin und Respekt vor RG/AML-Anforderungen kommen. Die CGA strebt nach Ausgewogenheit: Sie gibt der Branche Innovation und Flexibilität, während sie gleichzeitig Risikokontrolle und Spielerschutz bietet.