EU-Datenschutzgesetze (DSGVO) und Casinos

Casinos verarbeiten einige der sensibelsten Daten: Zahlungen, KYC-Dokumente, Spielverlauf, Verhaltensanalysen, Anfragen zu Responsible Gaming (RG). In der EU und im EWR unterliegt diese Verarbeitung der DSGVO (Datenschutz-Grundverordnung). Für den Betreiber sind dies klare Pflichten und Strafrisiken; für den Spieler - eine starke Reihe von Rechten und Transparenz.

Who is Who: Rollen und Verantwortung

Controller: Meist ein B2C-Casino-Betreiber. Er bestimmt die Zwecke und Mittel der Verarbeitung, trägt die Hauptverantwortung.

Prozessor (Prozessor): KYC-Anbieter, PSP, Cloud-Hosting, Betrugsbekämpfung, E-Mail-Service - handeln im Auftrag des Auftragsverarbeiters im Rahmen des Verarbeitungsvertrags (DPA).

Gemeinsame Kontrolleure: sind mit gemeinsamen Zielen möglich (z.B. gemeinsame Aktion mit einem Partner) - eine transparente Rollenverteilung und Information der Spieler ist erforderlich.

Rechtsgrundlage der Verarbeitung (Art. 6 GDPR)

1. Vertrag (Vertrag): Erstellen eines Kontos, Durchführung von Wetten/Auszahlungen, Unterstützung.

2. Gesetzliche Verpflichtung: KYC/AML, Buchhaltung, RG-Anforderungen, Steuervorschriften.

3. Legitimes Interesse (Legitime Interessen): grundlegende Anti-Fraud-Analyse, Sicherheit, Missbrauchsbekämpfung - in der obligatorischen Beurteilung der Interessen (LIA) und Rechte der Spieler.

4. Zustimmung (Consent): E-Mail/SMS-Marketing, optionale Cookies, einige Arten von personalisierter Werbung und Verhaltensprofilen.

5. Vitale Interessen/öffentliche Aufgabe - selten angewendet.

💡 Wichtig: Die Einwilligung muss frei, spezifisch, informiert und eindeutig sein, mit einer einfachen Widerrufsmöglichkeit. Die „Standardeinwilligung“ ist unzulässig.

Spezielle Kategorien und sensible Kontexte

Besondere Kategorien (Art. 9): Gesundheit, Biometrie usw. - in der Regel nicht erforderlich. Wenn Biometrie für „Gelassenheit“ verwendet wird, muss sie minimal und nach strengen Grundlagen/Verfahren verarbeitet werden.

Daten von Minderjährigen: strenge Alterskontrolle; Die Vermarktung an Kinder ist verboten.

RG/affordability: Die Verarbeitung von Problemspielsignalen erfordert Minimierung, Transparenz und DPIA.

Rechte des Spielers (betroffene Person)

Zugang (Art. 15): Kopie der Daten und Beschreibung der Verarbeitung.

Korrektur (Art. 16) und Löschung (Art. 17), soweit möglich und nicht im Widerspruch zu AML/buchhalterischen Aufbewahrungsfristen.

Einschränkung (Art. 18) und Einspruch (Art. 21) - zum Beispiel gegen die Vermarktung auf „legitimes Interesse“.

Übertragbarkeit (Art. 20): Profildaten in maschinenlesbarer Form.

Nicht Gegenstand einer Entscheidung sein, die nur auf einer automatisierten Verarbeitung beruht (Art. 22): Wenn es ein Profiling mit rechtlichen Konsequenzen gibt - Erklärungen und das Recht auf menschliches Eingreifen sind erforderlich.

Der Betreiber ist verpflichtet, einen einfachen DSAR-Anforderungskanal bereitzustellen und ohne unangemessene Verzögerung (in der Regel bis zu 1 Monat) zu antworten.

Cookies, Tracking und Marketing

Unbedingt notwendige Cookies: ohne Einwilligung.

Analytics/Werbung/Personalisierung: durch Einwilligung (Banner/Präferenzbedienfeld; „ein/aus“ nach Kategorie).

E-Mail/SMS-Marketing: Einwilligung (Opt-in) + Möglichkeit der Abmeldung in jeder Nachricht.

Retargeting und Look-Alike-Publikum: erfordern eine ausdrückliche Mitteilung und in der Regel - Zustimmung.

Selbstausschluss/RG: Keine Promo für deaktivierte und selbstexkludierte Konten.

Aufbewahrungsfristen (retention)

Speichern Sie „nicht länger als nötig“ für die Zwecke:

KYC/AML: Jahre (gesetzlich, je nach Gerichtsbarkeit).
Spielprotokolle und Transaktionen: nach Lizenzregeln und Audits.
Marketingprofile: bis zum Widerruf der Zustimmung oder bis zum Ablauf der Aktivität; im Falle eines Widerrufs die Verarbeitung einzustellen und zu löschen/zu anonymisieren.

Wir benötigen Retentionsrichtlinien, automatische Lösch-/Anonymisierungsaufgaben und ein Transaktionsregister (RoPA).

Internationaler Datentransfer

Wenn die Daten außerhalb des EWR liegen:

SCCs (Standardvertragsklauseln) werden verwendet und das Transfer Impact Assessment (TIA) wird durchgeführt; die Gesetze des Empfängerlandes und die technischen Maßnahmen (Verschlüsselung, Pseudonymisierung) überprüft werden.
Alternativen: Angemessenheit des Empfängerlandes, Binding Corporate Rules etc.
Der Betreiber ist verpflichtet, den Spieler transparent zu informieren, wer die Daten erhält und auf welcher Grundlage.

Sicherheit der Verarbeitung (Art. 32)

TLS/HTTPS überall, Verschlüsselung „auf Festplatte“ (bei Rest), Tokenisierung von Zahlungen, Trennung von Zugriffen, Protokolle (Audit Trail), DLP.

Incident Management: Überwachung, Reaktionspläne, regelmäßige Tests.

Impact Assessment (DPIA): für risikoreiche Szenarien (z.B. große Verhaltensanalysen, neue biometrische Prüfungen).

Datenschutzbeauftragter (DSB): erforderlich, wenn der Umfang/die Art der Verarbeitung dies erfordert (häufig ja für den lizenzierten Betreiber).

Verstöße und Hinweise (breach)

Im Falle eines Lecks oder Sicherheitsvorfalls muss der Bediener:

1. bewertet das Risiko für die Rechte und Freiheiten, 2. benachrichtigt die Aufsichtsbehörde innerhalb von 72 Stunden, 3. bei hohem Risiko - informiert die Spieler in verständlicher Sprache, 4. dokumentiert alles und setzt Remediationsmaßnahmen um.

Praktische Beispiele

KYC и AML:

Gründe: gesetzliche Verpflichtung + allgemeine Aufgabe der AML/CFT.
Minimierung: CVV nicht speichern; Dokumente - nur in einem sicheren Speicher, Zugriff auf Rollen.
Fristen: nach dem Gesetz; nach deren Ablauf - Löschung/Anonymisierung.

Anti-fraud и RG:

Grundlage: berechtigtes Interesse und/oder gesetzliche Verpflichtung; LIA + DPIA im erweiterten Profiling.
Transparenz: Beschreiben Sie die Arten von Signalen (Velocity, Device, Leadrücknahme), die Logik der Eingriffe und die Rechte des Spielers.

Marketing:

Nur auf Zustimmung; ein detailliertes Präferenzzentrum; sofortige Abmeldung; Ausschluss von Selbstausschluss/VIP mit Einschränkungen.

Typische Bedienerfehler

Rechtsgrundlagen werden vermischt (z.B. Marketing unter dem Deckmantel des „legitimen Interesses“ ohne LIA).

Halten Sie die Daten „für immer“, es gibt keine Retention-Richtlinie.

„Taubes“ Cookie-Banner ohne echten Fehler.

Keine RoPAs, DPIAs, DPOs oder sie sind „for the tick“.

Übertragungen außerhalb des EWR ohne TIA und technische Maßnahmen.

Die Spieler finden nicht, wohin sie DSAR senden sollen, die Antworten verzögern sich.

Was ist für den Spieler wichtig zu wissen (Rechte in der Praxis)

Sie können eine Kopie Ihrer Daten und den Verarbeitungsverlauf anfordern.

Sie können der Vermarktung widersprechen und Einwilligungen widerrufen - die Promo ist zum Stopp verpflichtet.

Sie können Ungenauigkeiten korrigieren, Löschung verlangen (sofern keine gesetzliche Aufbewahrungspflicht besteht).

Bei einem Leck mit hohem Risiko sollten Sie auf verständliche Weise benachrichtigt werden.

Suchen Sie auf der Website: Datenschutzrichtlinie, DPO-Kontakte, Cookie-Einstellungszentrum.

Checkliste des Betreibers (kurz)

Rechtliches und Dokumentation

RoPA (Register of Operations), LIA, DPIA, DPA mit Prozessoren.
Zum DSB ernannt; DSAR-Kanäle werden betrieben und dokumentiert (SLA).
Transparente Datenschutzrichtlinie, separate RG/AML-Begründungsseite.

Prozesstechnik und Sicherheit

TLS 1. 2/1. 3, Verschlüsselung bei Rest, PAN-Tokenisierung, Rollenzugriff, Protokolle.
Retention-Richtlinien und automatische Löschung/Anonymisierung.
Störfallpläne, Tests, 72-Stunden-Benachrichtigung.

Cookies/Marketing

Dieses CMP: Zustimmung/Ablehnung nach Kategorien, „Opt-out“ -Logik wird ausgeführt.
Opt-in per E-Mail/SMS, sofortige Abmeldung; Ausschluss von Selbstausschluss.

Internationale Übertragungen

SCC + TIA, technische Maßnahmen; Register von Drittländern und Verarbeitern.

Spieler-Checkliste

Ich habe die Datenschutzrichtlinie gelesen; Ich verstehe, welche Daten, warum und wie viel gespeichert werden.
Konfigurierte Cookie-Präferenzen, Abmeldung von unnötigem Marketing.
Weiß, wie man DSAR einreicht und den DSO kontaktiert.
Enthalten 2FA/Passkeys und Benachrichtigungen über Anmeldungen/Änderungen (Kontoschutz - auch Datenschutz).
Ich verwende nur https ://auf der offiziellen Domain; KYC-Dokumente lade ich über das integrierte Portal hoch.

FAQ (kurz)

Kann der Betreiber die Löschung der Daten verweigern?

Ja, wenn eine gesetzliche Aufbewahrungspflicht besteht (z.B. AML/Buchhaltung). Nach Ablauf der Fristen ist die Löschung/Anonymisierung verpflichtend.

Benötigen Sie einen separaten Consent für die Anti-Fraud-Analyse?

Normalerweise nicht (legitimes Sicherheitsinteresse/Pflicht), aber LIA, Transparenz und Widerspruchsmöglichkeit sind erforderlich, es sei denn, dies untergräbt die Sicherheit.

E-Mail-Marketing ohne Einwilligung - geht das?

In der EU benötigen Sie in der Regel ein Opt-in (es gibt Nuancen eines „weichen“ Opt-ins für Kunden - handeln Sie nach lokalem Recht und verhältnismäßiger Praxis).

Wo kann man sich beschweren, wenn Rechte verletzt werden?

Zur Unterstützung/zum DSB, dann zur nationalen Datenschutzaufsichtsbehörde (DPA).

Die DSGVO beim Glücksspiel ist keine Papierformalität. Es geht um Minimierung, Transparenz, Sicherheit, Aufbewahrungsfristen und Spielerrechte. Der Betreiber, der die rechtlichen Grundlagen kompetent gestaltet, die Prozesse (DPIA, DPO, DSAR, TIA) aufgebaut und die Daten technisch geschützt hat, erhält eine stabile Lizenz und das Vertrauen der Zahlungspartner. Der Spieler - kontrolliert seine Daten und erhält eine vorhersehbare, sichere Erfahrung.