Datenschutz-Grundverordnung (DSGVO) im Online-Glücksspiel
Die Datenschutz-Grundverordnung (DSGVO) ist die EU-Verordnung 2016/679, die seit 2018 in allen Mitgliedstaaten unmittelbar regelt, wie Unternehmen personenbezogene Daten – also alle Angaben, die sich einer bestimmten Person zuordnen lassen – erheben, speichern und weitergeben dürfen.
Für Sie als Spielerin oder Spieler betrifft das jedes Casino-Konto, von der Ausweiskopie aus der KYC-Prüfung bis zu Zahlungsdaten, Spielverlauf und Limits. Die Verordnung gilt auch für Anbieter mit Sitz außerhalb der EU, sobald diese Daten von Personen in der EU verarbeiten.
Was die DSGVO für Ihr Spielerkonto regelt
Sobald Sie sich registrieren, wird der Anbieter zum Verantwortlichen im Sinn der DSGVO – das ist die Stelle, die über Zweck und Mittel der Verarbeitung entscheidet und für Fehler einstehen muss.
Jede Verarbeitung braucht eine Rechtsgrundlage. Beim Casino-Konto sind das meist der Vertrag selbst, gesetzliche Pflichten wie die Geldwäscheprüfung und Ihre Einwilligung, etwa für Werbe-E-Mails oder Bonusangebote per SMS.
Eine Einwilligung können Sie jederzeit widerrufen, ohne dafür Ihr Konto zu schließen.
Ihre Rechte als betroffene Person
Nach Art. 15 können Sie Auskunft darüber verlangen, welche Daten der Anbieter über Sie gespeichert hat, samt einer Kopie. Art. 16 gibt Ihnen das Recht auf Berichtigung, Art. 17 das Recht auf Löschung und Art. 20 das Recht, Ihre Daten in einem maschinenlesbaren Format zu bekommen.
Die Frist steht in Art. 12 Abs. 3: Der Anbieter muss innerhalb eines Monats nach Eingang Ihres Antrags reagieren. Bei komplexen oder zahlreichen Anfragen darf er um zwei weitere Monate verlängern, muss Sie darüber aber noch im ersten Monat informieren und die Gründe nennen. Insgesamt sind damit höchstens drei Monate ab Eingang erlaubt, und wenn er an Ihrer Identität zweifelt, darf er vorher zusätzliche Angaben verlangen.
Wo das Recht auf Löschung an Grenzen stößt
Hier liegt das häufigste Missverständnis: Ein Löschantrag nach Art. 17 heißt nicht, dass am nächsten Tag alles verschwunden ist.
Art. 17 Abs. 3 nimmt Daten aus, die der Anbieter zur Erfüllung einer rechtlichen Verpflichtung braucht. Im Glücksspiel ist das vor allem die Geldwäscheprävention, denn die EU-Richtlinie 2015/849 verlangt, dass KYC-Unterlagen und Transaktionsbelege fünf Jahre nach Ende der Geschäftsbeziehung aufbewahrt werden. Nationale Regeln können diese Frist unter bestimmten Bedingungen verlängern, und welche Frist ein Anbieter tatsächlich anwendet, hängt von seiner Lizenz und seinem Sitz ab.
Gelöscht werden muss dagegen, was keinem solchen Zweck mehr dient, etwa Marketingprofile oder Newsletter-Daten.
Am öftesten wird die Löschung mit der Spielsperre verwechselt. Wer sich sperren lässt, will nicht mehr spielen; wer löschen lässt, will, dass der Anbieter möglichst wenig über ihn weiß. Beides gleichzeitig zu verlangen, kann sich widersprechen, weil eine Sperre nur greift, solange der Anbieter Sie wiedererkennt.
Löschantrag und Spielsperre im Vergleich
Die Gegenüberstellung zeigt, was die beiden Werkzeuge leisten und wo sie jeweils versagen. Die Angaben zur Löschung stammen aus dem Verordnungstext, bei der Sperre unterscheiden sich die Bedingungen von Anbieter zu Anbieter.
DSGVO-Löschantrag (Art. 17) | Spielsperre beim Anbieter |
|---|---|
| Entfernt Werbe- und Profildaten ohne weiteren Zweck | Lässt gespeicherte Daten unberührt |
| Verhindert kein neues Konto, wenn Ihre Daten fehlen | Blockiert Ihr Konto für die gewählte Dauer |
| Antwort binnen eines Monats, verlängerbar um zwei | Keine einheitliche Frist, Umsetzung laut AGB |
| KYC- und Zahlungsbelege bleiben wegen Geldwäschepflichten gespeichert | Identitätsdaten bleiben gespeichert, damit die Sperre greift |
| Beschwerde bei der Datenschutzbehörde möglich | Beschwerdeweg hängt von der Lizenz ab |
Beschwerde bei der Datenschutzbehörde einbringen
Antwortet ein Anbieter nicht fristgerecht oder lehnt er Ihren Antrag ohne nachvollziehbare Begründung ab, können Sie sich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren. Mit Wohnsitz in Österreich ist das die Österreichische Datenschutzbehörde, auch wenn der Anbieter in einem anderen EU-Staat sitzt.
Die Behörde erreichen Sie unter der Adresse Barichgasse 40–42, 1030 Wien, telefonisch unter +43 1 52 152-0 und per E-Mail an [email protected].
Was ich in Beschwerdefällen zuerst prüfe, ist, ob der ursprüngliche Antrag schriftlich und mit Datum belegt ist. Schicken Sie Anträge deshalb per E-Mail an die Datenschutzadresse aus der Datenschutzerklärung des Anbieters und heben Sie jede Antwort auf, denn die Monatsfrist läuft ab Eingang.
Gegen Unternehmen kann die Behörde Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Ihr eigenes Geld bekommen Sie dadurch nicht zurück, denn Schadenersatz nach Art. 82 müssen Sie gesondert vor Gericht geltend machen. Eine Grenze gehört ebenfalls dazu: Sitzt der Anbieter außerhalb der EU, gilt die DSGVO zwar formal für ihn, durchsetzen lässt sie sich aber deutlich schwerer.
