Verträge und rechtliche Verpflichtungen

1) Vertragskarte in iGaming

B2C: Nutzungsvereinbarung, Datenschutzrichtlinie, Bonusregeln, Auszahlungsrichtlinie/CUS, RG-Richtlinie.
B2B: Lizenzvereinbarungen mit Spielestudios, PSP/KYC-Anbietern, Betrugsbekämpfungsdiensten, Datenhostern.
White-Label/Co-Brand: IP/Datenverteilung, Brand-Hyde, Content-Rechte und Marketing.
Affiliates/Medien: Werbestandards (18 +/RG/kurze Termine), Pre-Clearance, Reporting und Auszahlungen.
API/SDK: Nutzungsbedingungen, Ratenlimits, Version/Deprection, Rechte an abgeleiteten Daten.
Partnerschaften/Sponsoring: IP/Bildrechte, „morals clause“, zoning 18 +, make-good.
Infrastruktur/Outsider: SLA für Aptime/Support, Sicherheit (ISO/SOC), Audit.

2) Obligatorische Abschnitte eines Berufsvertrages

1. Gegenstand und Umfang: klare Beschreibung der Dienste/Lizenzen, Geos und Kanäle.
2. Zeitraum und Phasen: Phasen, Kontrollpunkte, Akzeptanzkriterien, Übergang zur Begleitung.
3. Verantwortlichkeiten der Parteien: deliverables, verantwortliche Rollen, Reaktionszeiten.
4. Zahlung: Modell (fix/rev sher/CPA/CPI), Zeitplan, Einbehaltung, Aufrechnungsrecht.
5. SLA: Aptame, RTO/RPO, P1-P3, Wartungsfenster, Reporting.
6. Geistiges Eigentum: Wem gehören die Ergebnisse, Lizenzen, Einschränkungen (White-Label/OSS).
7. Daten und Datenschutz: Rollen (Controller/Prozessor), DPA/DSA, Sicherheit, grenzüberschreitende Übertragungen, Rechte der Akteure.
8. Werbung/RG-Vorgaben: 18 +/21 +, kurze Termine, Mislead-Verbote, Pre-Clearance.
9. Compliance/Sanktionen/Export: Screening von Kontrahenten, Verbot der Verwendung in begrenzten Gerichtsbarkeiten.
10. Garantien/Zusicherungen und Indemniti: keine Verstöße gegen IP/Sanktionen, Korrekturen und Schadensdeckung.
11. Haftungsgrenze: cap (z.B., 12 × Mittelmaß. Zahlung), carve-outs (Absicht, IP, Vertraulichkeit).
12. Prüfung und Überwachung: Kontrollrecht, Log-/Beweisformat, Aufbewahrungsfristen.
13. Unterauftrag/Abtretung: Flow-down-Verpflichtungen, Verbot der Weitergabe ohne Zustimmung.
14. Exklusivität/Wettbewerbsbeschränkungen (falls zutreffend).
15. Änderungen/Change Control: Verfahren, SOW/Change Order, Pricing.
16. Höhere Gewalt und regulatorische Ereignisse: Pause/Anpassung bei Gesetzesänderung.
17. Kündigung: aus Gründen/ohne Grund, Kündigungsfrist, Übergangsverpflichtungen.
18. Streitbeilegung: Anspruch → ADR/Ombudsmann/Mediation → Schiedsverfahren/Gericht; anwendbares Recht.
19. Vertraulichkeit und NDA: Begriff „Überleben“, Rückkehr/Zerstörung.
20. Sicherheitsbedingungen: Verschlüsselung, Geheimhaltung, Schwachstellen (SLA-Patches), Incident-Reporting.

3) Spezifität nach Art der Verträge

3. 1 White-label / Co-brand

Abgrenzung: Marke/TM, UI-Thema, Inhalt, Code, Daten.
Verbot der Registrierung ähnlicher TM durch den Partner; Domains/Handles aushandeln.
RG/Disclaimer in Vorlagenlayouts, Pre-Clearance.

3. 2 Affiliate

Short terms near CTA, 18 +/RG, Liste der verbotenen Seiten/Themen, Stop-Wörter.
Attribution, Quellentransparenz, Verbot von Sub-Affiliates ohne Zustimmung.
Sanktionen mit Abstufung (S0-S4), Einbehaltung von Zahlungen bei Verstößen.

3. 3 API/SDK

Authentifizierung (OAuth2/HMAC/mTLS), Ratenlimits, Quoten.
Versionierung (SemVer), EOL-Fenster ≥ 9-12 Monate, Migrationshyde.
Rechte an Service-Generated und Derived Data, Cache TTL.
Verbot von Reverse Development/Benchmarking ohne Zustimmung.

3. 4 Zahlung/Daten/KUS

AML/Sanktionskonformität, Recht, verdächtige Transaktionen zu stoppen.
DPA/DSA, DPIA für High-Risk, Datenspeicherung und Pseudonymisierung.
Incident-Reporting ≤ 72 Stunden, Audits und Zertifizierungen (ISO/SOC).

4) Garantien, Zusicherungen und Indemniti

Garantien: die Befugnis zur Unterzeichnung, die Einhaltung der Gesetze, das Fehlen von Verletzungen des geistigen Eigentums, das Fehlen von Sanktionen.
Zusicherungen: Richtigkeit der Angaben (Finanzen, Lizenzen, IP-Rechte).
Indemniti: Deckung von Schutz-/Vertraulichkeits-/Sanktionsansprüchen, Schutzanordnung (Kontrolle der Verteidigung), Ausnahmen bei Verletzung der anderen Partei.

5) Limits, Strafen und KPIs

Haftungsgrenze (Cap): differenziert (nach Schadensart) mit Carve-outs.
Service Credits: für das Nicht-Erreichen von SLA (APTAME/MTTR).
KPI: Aptime, Time-to-Wallet, RG-Incidents, Anteil der konformen Creatives/Partner, Pre-Clearance-Zeit, Time-to-Takedown.

6) Prüfung, Nachweis und Aufbewahrung

Recht auf Audit per Benachrichtigung (z.B. 10-15 Werktage).
Evidenzbasis: API-Protokolle, Screenshots von Creatives, CMP-Zustimmungsprotokolle, Versionen von Offices, SLA-Berichte.
Aufbewahrungsfristen: laut Gesetz/Vertrag (z.B. 2-7 Jahre), Schutz und Verfügbarkeit auf Anfrage.

7) Recht, Sanktionen, Export und Geobeschränkungen

Klauseln über Sanktionsscreening und Arbeitsverbot mit sanktionierten Personen/Geo.
Exportkontrolle (Kryptographie/Techdaten).
Geo-Display/Service-Einschränkungen, Länder/Regionen-Flusslisten.

8) Änderungsprozedur (Change Control)

1. Der Initiator erstellt einen Change Request mit einer Beschreibung des Effekts auf Kosten/Termine/SLA.
2. Die Parteien vereinbaren eine Änderungsreihenfolge (aktualisierte SOW/Anhang).
3. Roadmap, Testpläne und Akzeptanzkriterien werden aktualisiert.

9) Kündigung und Rücktritt

Zur Begründung: erheblicher Verstoß, nicht behebbare RG/Sanktionen, Sicherheitsmängel.
Für convenience: mit Benachrichtigung (z.B. 30-90 Tage).
Übergangsfrist: Datenexport, Migrationshilfe, Abschlussberichte, Berechnungen.

10) Risikomatrix (RAG)

Zone	R (kritisch)	A (Änderungen erforderlich)	G (Kontrolle)
IP/Ergebnisse	Keine Übertragung/Lizenz	Teilweise, keine Änderungen	Zuordnung/Lizenz + hyde
Daten/DPA	Keine DPA/Rollen	Unvollständige DPA/TTL	Vollständige DPA, Rollen, DPIA
RG/Werbung	Keine kurzen Termine/18 +	Unlesbar/nicht überall	Vollständige Abdeckung und Pre-Clearance
Sanktionen/Exporte	Keine Klauseln/Screening	Einmaliges Screening	Politik + periodisches Rescrining
SLA/Kredite	Ohne SLA	SLA ohne Metriken	SLA + Credits + Reporting
Audit/Nachweis	Keine Rechte/Logs	Teilweise	Prüfungsrecht + Register

11) Checklisten

Vor der Unterzeichnung

Thema/Umfang/Geo/Kanäle vereinbart.
IP-Rechte (Assignment/Lizenz), Branding und Einschränkungen sind definiert.
DPA/DSA, Datenrollen, grenzüberschreitende Übertragungen vorbereitet.
RG/Förderbedarf enthalten (18 +, kurze Termine, Pre-Clearance).
Sanktionen/Export und Auditrecht hinzugefügt.
SLAs, Service-Credits, Incident-Procedures sind vorgeschrieben.
Haftungslimit und Carve-outs festgelegt.
Änderungs- und Kündigungsverfahren.

Während der Ausführung

Regelmäßige SLA/KPI-Berichte.
Aktualisierung der Register (Versionen von Offices, Logs, CMP, Creatives).
Schwachstellenmanagementplan (SLA Patches).

Beim Schließen

Export/Löschung von Daten, Widerruf von Zugriffen.
Abnahmeprotokoll, fin. Berechnung, Beweisarchiv.
Post-Risikoanalyse und Aktualisierung der Vorlagen.

12) Muster von Vertragsklauseln (Fragmente)

A. IP und Arbeitsergebnisse

💡 Alle Ergebnisse (Code, Design, Texte, Videos, Dokumentationen) werden auf Work-for-Hire-Basis erstellt oder dem Kunden per Assignment mit dem Recht auf Änderung und Unterlizenzierung übergeben. Der Auftragnehmer stellt sicher, dass die Ergebnisse keine Rechte Dritter verletzen und keine OSS mit Konfliktlizenzen enthalten.

B. Daten und Datenschutz (DPA-Link)

💡 Die Parteien vereinbaren die Verarbeitungsrollen (Controller/Prozessor). Die Verarbeitung erfolgt über DPA/DSA, einschließlich Sicherheit, Sub-Prozessoren, grenzüberschreitende Übertragungen und Aufbewahrungsfristen. Die Rechte der betroffenen Personen werden nach geltendem Recht gewahrt.

C. RG/Werbeanforderungen

💡 Alle Materialien müssen 18 +/21 +, „Spielen Sie verantwortungsvoll“ und kurze Angebotsbedingungen (Lieferung, Höchsteinsatz, Laufzeit, Beiträge/Ausnahmen) in einem lesbaren Format neben dem CTA enthalten. Vorherige Zustimmung (Pre-Clearance) ist erforderlich.

D. Sanktionen und Exporte

💡 Jede Partei bestätigt die Abwesenheit in den Sanktionslisten und verpflichtet sich, das Screening der Gegenparteien durchzuführen. Technologie- und Kryptotransfer - im Einklang mit der Exportkontrolle.

E. SLAs und Servicekredite

💡 Die Verfügbarkeit des Dienstes beträgt mindestens 99. 9%. P1: Antwort ≤ 15 Minuten, MTTR ≤ 2 Stunden. Bei Nichterfüllung - Servicekredite gemäß Anhang Nr. __.

F. Haftungsbegrenzung und Carve-outs

💡 Die Gesamthaftung ist auf die Höhe der Zahlungen in den 12 Monaten vor dem Ereignis beschränkt, mit Ausnahme von Verletzungen der Vertraulichkeit, des geistigen Eigentums, Vorsatz oder grober Fahrlässigkeit.

G. Prüfungen und Nachweise

💡 Der Kunde ist berechtigt, die Einhaltung des Vertrages mit einer Frist von 10 Werktagen zu prüfen. Der Auftragnehmer speichert Protokolle, CMP-Protokolle und Versionen von Materialien für mindestens [X] Jahre und stellt auf Anfrage zur Verfügung.

H. Kündigung und Übergangsfrist

💡 Bei der Kündigung leistet der Auftragnehmer angemessene Migrationshilfe, übermittelt die Daten in einem maschinenlesbaren Format und löscht die Kopien, indem er dies schriftlich bestätigt.

13) Empfohlene Register (YAML)

13. 1 Vertragsregister

yaml contract_id: "CTR-2025-072"
counterparty: "GameProviderX Ltd"
type: "SDK/License"
geo: ["UA","MT","CA-ON"]
term: "2025-11-01 — 2027-10-31"
sla:
uptime: "99. 9%"
p1_response_min: 15 mttr_p1_hours: 2 ip:
ownership: "license"
oss_policy: "permissive_only"
privacy:
dpa_signed: true roles: "processor"
retention_days: 365 compliance:
rg_required: true sanctions_screening: "quarterly"
change_control: true audit_rights: true owner: "Legal/Ops"
status: "active"

13. 2 Versionsregister von Offizieren/Kreativen

yaml offer_id: "OFF-2025-118"
version: "v2. 1"
short_terms: "18+      WR 30x      MaxBet 5      7d      slots 100%, jackpots 0%"
preclearance_ticket: "#PL-4412"
evidence:
screenshots: ["off_118_v21_mobile. png","off_118_v21_tvframe. png"]
cmp_consent_log: "link:consentlog/2025-11"

14) Playbooks (Betriebsszenarien)

P-CON-01: Nichterfüllung der SLA (Aptime)

Überwachung → Benachrichtigung der Gegenpartei → Berechnung des Servicekredits → Remediationsplan → Abschlusskontrolle → Bericht.

P-CON-02: Verstoß gegen RG/Affiliate-Werbung

Scrins/Fixierung → sofortiges Zurückziehen → Zurückhalten von Zahlungen → Anpassung/Schulung → Eintragung in das Register → bei Wiederholung Kündigung.

P-CON-03: Datenvorfall

Isolation/Forensic → Benachrichtigungen ≤ 72 h → Fix/Patch → DPA Update/Politik → Post-Sea.

P-CON-04: Sanktionsflagge

Autoblock → Rescrining → Jura-Bewertung → Aussetzung/Kündigung → Dokumentation für die Regulierungsbehörde.

P-CON-05: IP-Streit

Case & Desist → Verhandlungen/Co-Existence → gegebenenfalls Schiedsverfahren/Gericht → Aktualisierung von Haid-/IP-Prozessen.

15) KPIs und Reporting

SLA Compliance%, Service Credits (Bargeldäquivalent/Monat).
Time-to-Takedown durch Werbung/Affiliates.
DPA Coverage%, Datenvorfälle/Quartal.
Sanctions Screening Coverage %.
Anteil der Verträge mit aktuellen Anwendungen (Brand-Hyde, RG-Standards).
Durchschnittliche Änderungsreihenzeit vom Antrag bis zur Unterzeichnung.

16) Mini-FAQ

Brauche ich eine eigene DPA? Ja, wenn personenbezogene Daten verarbeitet werden.
Ist es möglich, die Haftung auf „Null“ zu begrenzen? Im B2B ist es selten akzeptabel; normalerweise vernünftige Kappe mit carve-outs.
Wie viel halten Sie das API-Deprection-Fenster? Empfohlen 9-12 Monate.
Wem gehören die Derived Data? Laut Vertrag: häufiger Plattformbesitzer bei Anonymisierung.

17) Fazit

Der Vertrag ist das „Betriebssystem“ der Zusammenarbeit. Erfassen Sie eindeutig das Thema, die Datenrollen, IP, RG/Werbung, Sanktionen und SLAs; Führen von Registern, Protokollen und Nachweisen; Verwenden Sie standardisierte Playbooks. So reduzieren Sie rechtliche Risiken, beschleunigen das Onboarding von Partnern und stellen die Vorhersehbarkeit der Ausführung sicher.