Lizenz von Italien

1) Übersicht und Positionierung

ADM — Agenzia delle Dogane e dei Monopoli (бывш. AAMS) regelt das Fernspiel (GAD - Gioco a Distanza). Das Modell ist eine Konzession mit hohen Anforderungen an Due Diligence, RG/AML, Datenschutz und strikte technische Integration in das zentrale System. Der Markt ist ausgereift, das Zahlungsökosystem ist entwickelt, aber es gibt ein striktes Verbot öffentlicher Werbung und Sponsoring - der Betreiber setzt auf Bio, SEO, eigene Kanäle und strenge CRM-Compliance.

• Marken, die einen nachhaltigen EU-Footprint anstreben, bereit für die Disziplin „evidence-first“ sind und ohne klassisches Perf-Marketing arbeiten.
• Plattformen/B2B, die ein Portfolio von Integrationen mit italienischen Lizenznehmern aufbauen und bereit sind, nach ADM-Anforderungen zertifiziert zu werden.

2) Genehmigungsarten und Umfang

B2C GAD-Konzession (Betreiber): Front/Back Office, Kasse/Auszahlung, KYC/AML, RG, Support, Reporting, Integration in das zentrale ADM-System. Verticals: Casino/Slots, Wetten, Poker, Bingo, etc.
B2B/Anbieter (Plattformen, Inhalte, Live-Studios): Zertifizierung von Software/Integrationen, vertragliche SLAs/OLAs mit Lizenznehmern, Telemetrie-Export.
Persönliche Rollen: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Plattform/SRE/Sicherheit/Zahlungen).

3) Responsible Gaming

RUA - Registro Unico delle Autoesclusioni: obligatorische Online-Überprüfung des Selbstausschlusses, bevor der Zugang zum Spiel gewährt wird.
Spielerwerkzeuge: Einzahlungs-/Verlust-/Zeitlimits, Timeouts, Selbstausschluss, Reality-Checks, Aktivitätsverlauf.
Verhaltenssignale und Interventionen: Früherkennung von Risiken, Soft/Hard-Interventionsprotokolle, Kontakt- und Outcome-Log.
Kommunikation: sorgfältige Szenarien, Verbot, schutzbedürftige Nutzer und Minderjährige zu fördern.

4) AML/KYC (risk-based)

KYC: Identitäts-/Altersnachweis nach Dokument und Codice Fiscale; Adresse/Wohnsitz - nach sekundären Quellen. Bis zum Abschluss von KYC ist der Zugriff eingeschränkt.
AML/CTF: Kunden-/Methodenprofile, PER/Sanktionen, EDD-Trigger, STR/SAR-Verfahren, Entscheidungs- und Eskalationsprotokoll.
Transaktionsüberwachung: Velocity/Anomalien, Geldquelle bei Verdacht, Fallmanagement.
Crypto/On-Chain (falls zutreffend): Wallet-Richtlinien, Traceability, Limits/Blocklisten der Anbieter.

5) Werbung, Affiliates und CRM

Decreto Dignità: verbietet öffentliche Werbung und Sponsoring von Glücksspielen. Jede Kommunikation steht unter dem Mikroskop.
Affiliates: Arbeit ist nur in einem strengen Rahmen der Information möglich (ohne Werbedruck); vertragliche Verpflichtungen nach RG/AML/Daten, White-Listen der Kanäle, Materialaudit, Stop-Verfahren.
CRM/Briefe/SMS/Push: Informationsdienstkommunikation und streng konforme Szenarien sind erlaubt; aggressives Retarget/Bonus-Spam - inakzeptabel.
UX und Schaufenster: transparentes T&C, keine „leichten Gewinnversprechen“, Jugendschutz.

6) Daten und Privatsphäre

DSGVO und Garante Privacy: Legalität und Minimierung, DPIA für risikoreiche Vorgänge, Zugangskontrolle und Protokollierung.
DSR-Verfahren: Zugriff/Korrektur/Löschung/Portabilität - innerhalb der gesetzlichen Fristen.
Standort/Datenströme: kontrollierte grenzüberschreitende Übertragungen, DPAs mit Prozessoren, Retention nach Datenklassen.

7) Technische Standards und Integrationen

Zentrales ADM-System: Der Betreiber ist verpflichtet, Transaktionsdaten/Reporting über zertifizierte Schnittstellen zu übermitteln; Kontinuität und Präzision sind entscheidend.
SDLC/Releases: Staging-Pipelines, Änderungskontrolle, Artefakt-Signaturen und SBOMs, Rollback-Policy, "no humans in prod', nachweisbares Releaseprotokoll.
Observability: Logs (ohne PAN/extra PII), Metriken und Traces (z.B. OTel), SLO/SLI (latency p95/p99, error-rate), synthetische Checks „deposit/CUS/output“, gesteuert durch Retention Logs.
Sicherheit: mTLS/Segmentierung, WAF/Bot-Management, SSO/MFA/PAM, Schwachstellen (SAST/SCA/DAST) in CI/CD, regelmäßiger Pentest, keine überfälligen Critical/High.
DR/BCP: regelmäßige RTO/RPO-bestätigte Restore-Tests, Übungshandlungen; graceful-degradation-Szenarien.
Anti-Missbrauch: Schutz vor Bonus-Missbrauch und Betrug, Device-Signale, Velocity-Regeln, Behavioral Scoring.

8) Zahlungen und der „Weg ins Portemonnaie“

Methoden: Karten, bonifico (Banküberweisung), PostePay, A2A/Open Banking (PSD2), lokale Instant Rails/Wallets, Auszahlungen auf Bankdaten.
Integrationen: Idempotenz, HMAC-Signaturen von Webhooks, DLQ/Event-Replikationen, Time-to-Wallet-Überwachung und Berechtigungs-/Erfolgsanteile, Retouren-/Chargeback-Reporting.
Sanktionen/PER und Velocity: Kontrolle der eingehenden/ausgehenden Ströme, Limits, manuelle Überprüfungen auf Auslöser.

9) Berichterstattung, Steuern und Verlängerung (High-Level)

Regulatorisches Reporting: GGR für Verticals, RG-Metriken, Reklamationen/Incidents, Strukturänderungen/Keu Persons, Berichte zu zentralen Systemschnittstellen.
Fiskalischer Teil: gebaut um Spieleinnahmen mit Anpassungen (Boni/Jackpots); Abgleiche mit Spielprotokollen/Auszahlungen und PSP/Bankdaten sind obligatorisch.
Verlängerung/Audit: regelmäßige Überprüfung von Richtlinien, technischen Kontrollen, RG/AML und Einhaltung von Werbebeschränkungen; „evidence-first“ -Pakete (Releases/SBOMs, Schwachstellen, DR-Acts, RG-Telemetrie).

10) Lizenzprozess: Phasen und Zeitvorgaben

1. Pre-fit & Gap (1-8 Wochen): Verticals/Channels, Anbieterkarte (Content/PSP/KYC), IT Readiness Audit, Remediationsplan, Gestaltung der CRM-Kommunikation unter Berücksichtigung des Werbeverbots.
2. Dokumentenpaket (4-12 Wochen): Corporate/Finance/SoF/SoW, Key Persons, AML/RG Policies/Data/Incidents/DR, Verträge, IT Architektur und Integrationen mit zentralem System.
3. Technische Kontrollen/Zertifizierungen (4-16 Wochen): SDLC/Beobachtbarkeit/Sicherheit/DR, Schwachstellen/Pentest, Wiederherstellungstestakte, Anforderungen an ADM-Schnittstellen.
4. Prüfung und Q&A: Fragen zu Begünstigten/Politik/IT/Daten/Werbung; Interview mit Schlüsselpersonen; Demonstration von Zeitschriften/Dashboards und RG/AML/Zahlungsszenarien.
5. Ausgabe/Eingabe (2-6 Wochen): Reporting ermöglichen, On-Boarding PSP/Content, Test mit Zentralsystem, Dry-Run RG/AML/Zahlungen.
6. Nachaufgaben: regelmäßige Berichte/Audits, Verlängerungen, Variationen (Begünstigte/Vertikale/Standorte).

Kritischer Pfad: Schlüsselpersonen → „Live“ -Richtlinien → SDLC/Beobachtbarkeit/DR (Evidence) → Schnittstellen des zentralen Systems → Q & A/Demo.

11) Vor- und Nachteile von ADM

Plusse

Hohes Vertrauen von Banken/PSPs und Content-Partnern.
Ein vorhersehbares Technikmodell mit zentralem System und ausgereiften Standards.
Plus zur Kapitalisierung und Nachhaltigkeit des Portfolios in der EU.

Minus

Vollständiges Verbot öffentlicher Werbung: Die Rolle von Bio, Produkt- und CRM-Compliance nimmt zu.
Hohe Compliance OPEX und harte Nachweisbarkeit der Prozesse.
Anspruchsvolle Integration und Reporting in ein zentrales System.

12) Checklisten der Bereitschaft

12. 1 Definition of Ready (vor der Einreichung)

• Umfang (Vertikale/Kanäle/Zahlungsmethoden) ist definiert; Zahlungsrealität bestätigt.
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); SoF/SoW und Referenzen gesammelt.
• AML/RG/Daten/Vorfälle/DR-Richtlinien genehmigt; Es gibt Schulungen und ein Revisionsprotokoll.
• SDLC: Signaturen + SBOM, Release Log, „no humans in prod“, Rollback-Richtlinie.
• Observability: SLO/SLI-Dashboards, synthetische Checks „Deposit/CUS/Output“, Retention Logs.
• Sicherheit: Pentest/Scans ohne überfällige Critical/High; Remediationsplan.
• Content/PSP/KYC/Labor-/Hosting-Verträge; Anforderungen an ADM-Schnittstellen vereinbart.
• Modell ohne öffentliche Werbung: Weiße Listen von Kanälen, Vorlagen für Informationen-Kommunikation, Stop-Verfahren.

12. 2 Definition of Done (nach Ausstellung)

• Regulatorische/steuerliche Berichterstattung enthalten; KPI-Besitzer werden zugewiesen.
• Zentrale Systemschnittstellen arbeiten stabil; SLA-Überwachung.
• PSP/Onborden-Inhalt; Webhooks mit HMAC, Idempotenz und DLQ in der Produktion.
• RG-Tools sind aktiv; Telemetrie der Interventionen/Selbstausschlüsse (RUA) wird durchgeführt.
• DR/BCP: Wiederherstellungstests durchgeführt und Urkunden ausgestellt; RTO/RPO erreicht.
• CRM/Affiliates: nur zulässige Info-Kanäle; Prüfung von Materialien; Protokoll von Verstößen und Maßnahmen.

13) RACI (Beispiel)

14) Risiken und Abschwächung

15) Fahrplan 90-180 Tage (Beispiel)

Monat 1-2: Gap-Analyse, Zuweisung von Schlüsselpersonen, SDLC/Observability/Security Remediation Plan, ADM Schnittstellen aushandeln.
Monat 2-3: Sammlung von Unternehmenspaket/Richtlinien, Pentest/Scans, DR-Acts, Verträge mit PSP/KYC/Inhalten.
Monat 3-4: Einreichung, Vorbereitung für Q & A/Interviews, Dry-Run-Demonstrationen (Dashboards, Zeitschriften, RG/AML/Zahlungen/ADM-Schnittstellen).
Monat 4-6: Q & A/Variationen, abschließende Verbesserungen, On-Boarding von Zahlungen/Inhalten, Einbeziehung der Berichterstattung und stabile Integration in das zentrale System.

Kurzes Fazit

Die italienische ADM-Lizenz ist ein strenger, aber vorhersehbarer Modus mit einer einzigartigen Verbindung: Konzession + Verbot öffentlicher Werbung + zentrales Meldesystem. Der Erfolg beruht hier auf einer evidence-first Kultur (SDLC/Beobachtbarkeit/Sicherheit/DR), der Disziplin RG/AML/RUA, einem kompetenten KYC nach Codice Fiscale und einem ordentlichen Betrieb ohne aggressives Marketing. Mit diesem Ansatz wird Italien zu einer nachhaltigen Säule des europäischen Portfolios und erhöht die Kapitalisierung der Marke.