Datenschutzerklärung der Website

1) Zweck und Anwendungsbereich

• welche personenbezogenen Daten Sie erheben,
• für welche Zwecke und auf welcher Rechtsgrundlage sie verarbeitet werden,
• an wen und wie Sie die Daten übermitteln (Verarbeiter, Partner, Anbieter),
• wie lange Sie speichern, wie Sie sich schützen und wie Sie die Rechte der betroffenen Personen wahrnehmen.

Wer braucht: jede Website/App, insbesondere iGaming und Fintech-Dienste mit KYC/AML, Zahlungsverkehr, Betrugsbekämpfung, Analyse und Marketing.

2) Schlüsseldefinitionen

Personenbezogene Daten (PD): alle Informationen, die eine Identifizierung des Benutzers ermöglichen (Name, E-Mail, IP, Gerätekennungen, Zahlungsdetails usw.).
Verarbeitung: alle Vorgänge mit PD (Sammeln, Speichern, Ändern, Übertragen, Löschen).
Verantwortlicher/Betreiber: Unternehmen, das die Zwecke und Mittel der Verarbeitung festlegt.
Auftragsverarbeiter: die Person/Organisation, die die PD im Auftrag des Verantwortlichen verarbeitet.
Cookies und Pixel: Technologien zum Speichern und Lesen von Kennungen für das Funktionieren der Website, Analysen und Marketing.
Besondere Datenkategorien: Biometrie/Medizin etc. (bei iGaming in der Regel nicht verarbeitet; Ausnahme - KYC-Biometrie bei Dritten mit gesonderter Einwilligung/Grundlage).

3) Welche Daten sammeln Sie normalerweise auf der iGaming-Plattform?

1. Identifizierung: Name, Geburtsdatum, Staatsangehörigkeit, Adresse, Dokument (Reisepass/ID), Selfie/Videoverifikation (wenn KYC bei einem autorisierten Anbieter ist).
2. Kontakt: E-Mail, Telefon, Messenger.
3. Konten: Logins, Passwort-Hashes, Kontoeinstellungen, Sprach-/Währungspräferenzen.
4. Zahlung und Transaktion: tokenisierte Karten, Wallet-Details, Zahlungshistorie, Schlussfolgerungen, Chargeback/Dispute.
5. Technisch: IP, User-Agent, Geräte-IDs, Log-Einträge, Session-Events, Cookie-ID.
6. Marketing/Analytik: Traffic-Quellen, UTM, Conversions, Segmente, Ergebnisse von A/B-Tests.
7. Anti-Fraud/AML: Verhaltensmuster, Risiko-Scoring, Geo/Proxy-Signale, Ergebnis von Sanktions- und PEP-Screenings (über lizenzierte Anbieter).

4) Rechtsgrundlage der Verarbeitung (Beispielliste)

Vertragserfüllung (Registrierung, Kontoführung, Wett-/Auszahlungsabwicklung).
Gesetzliche Verpflichtung (KYC/AML, Steuer-/Finanzberichterstattung, Sicherheitsprotokolle).
Berechtigtes Interesse (Betrugsprävention, Sicherheit, Serviceverbesserung), mit Interessenabwägungstest.
Einwilligung (Marketing-Mailings, optionale Cookies, KYC-Biometrie bei einzelnen Anbietern, sofern nach lokalem Recht erforderlich).
Schutz von Rechten und Recht und Ordnung (Streitbeilegung, Abwehr von Ansprüchen).

5) Verarbeitungszwecke (Standardformulierungen)

Erstellen und Verwalten eines Kontos, Ermöglichen des Zugriffs auf Spiele/Dienste.
Durchführung von Zahlungen und Schlüssen, Retouren, Net Deposits Berechnung, Finanzberichte.
KYC/AML/Sanktions-/PEP-Prüfungen, Verhinderung von Betrug und Bonusmissbrauch.
Kundenbetreuung und Erfüllung von PD-Anfragen.
Analyse und Verbesserung von Produkten (Conversions, UX, Performance).
Marketing (E-Mail, Push, Retargeting) bei Vorliegen einer Rechtsgrundlage.
Einhaltung der Anforderungen der Aufsichtsbehörden und Bereitstellung von Daten für ihre legitimen Anfragen.

6) Cookies, Tracking und Pixel

• Unbedingt notwendig: Sitzungen, Sicherheit, Kontofunktionalität.
• Funktional: Sprache, Währung, Schnittstelleneinstellungen.
• Analytisch: Anwesenheitsmessung, Trichter, UX-Metriken.
• Marketing: Traffic-Attribution, Retargeting, Look-Alike-Segmente.

Praxis: separates Banner/Consent Management Panel (CMP), die Möglichkeit, die Auswahl jederzeit zu ändern. Lebensdauer, Ziele und Anbieter angeben.

7) Grenzüberschreitende Übertragungen und Lokalisierung

Beschreiben Sie die Geographie der Lagerung und Verarbeitung (EU/EWR, Vereinigtes Königreich, Kanada, Brasilien, USA usw.).
Mechanismen angeben: Standardvertragsklauseln (SCC), gleichwertige Instrumente, lokale Speicherung/Spiegel, DPIA, falls erforderlich.
Für besonders sensible Strömungen (KYC-Biometrie) - Einzelmaßnahmen und Minimierung.

8) Empfänger der Daten (Kategorien)

Anbieter von KYC/AML, Sanktions- und PEP-Kontrollen.
Zahlungsanbieter, Emittenten, Banken, Verarbeitungsgateways.
Anbieter von Anti-Fraud/Risiko-Scoring, Hosting/Cloud, CDN, E-Mail/SMS-Dienste.
Analytik/Crashreporting, Marketingplattformen (nach Einwilligung).
Wirtschaftsprüfer, Rechtsanwälte, Aufsichtsbehörden und andere Behörden - legal.

9) Aufbewahrungsfristen (Minimierungsprinzip)

Konto- und Betriebsdaten - solange der Vertrag und die regulatorischen Fristen in Kraft sind (oft 5-10 Jahre für Finanzdokumente/AML-Protokolle).
Marketingprofile - entsprechend den mit CMP vereinbarten Fristen und bis zum Widerruf der Einwilligung.
Sicherheitsprotokolle - ein Vielfaches der Ziele (z. B. 12-24 Monate), sofern das Gesetz nichts anderes vorschreibt.
Am Ende der Fristen - sichere Löschung/Anonymisierung.

10) Sicherheit und organisatorische Maßnahmen

Verschlüsselung im Ruhezustand und während der Übertragung, strenge Netzwerkrichtlinien, WAF/Firewalls.
Zugangskontrolle (RBAC/ABAC), Protokollierung, regelmäßige Audits und Pen-Tests.
Segmentierung von Systemen, Prinzip der geringsten Rechte, Geheimmanagement.
Kontinuierliche Überwachung, Anti-Fraud-Regeln, Prüfung von Incident-Response-Plänen.
Risikobewertungen und DPIAs für Hochrisikobehandlungen.

11) Rechte der Nutzer (betroffene Personen)

Zugriff auf Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung.
Portabilität (maschinenlesbares Format).
Widerspruch gegen die Verarbeitung (inkl. Marketing).
Widerruf der Einwilligung ohne Beeinträchtigung der Pflichtfunktionen.
Beschwerde an die zuständige Behörde (geben Sie die Kontakte der Regulierungsbehörde für die Zuständigkeit an).

12) Kinder und Altersbeschränkungen

iGaming-Dienste sind nur für Erwachsene gemäß den lokalen Gesetzen bestimmt. Beschreiben Sie die Mechanismen der Altersüberprüfung und das Verfahren zur Löschung von Daten von Minderjährigen bei fehlerhafter Registrierung.

13) Automatisierte Entscheidungen und Profiling

Kurz beschreiben Profiling für Anti-Fraud/Risiko-Scoring/Marketing.
Angabe, ob das Ergebnis rechtsrelevante Entscheidungen beeinflusst (Freeze, KYC Request).
In strittigen Fällen das Recht auf „menschliche Revision“ vorsehen.

14) Kontakte und DSB

Geben Sie E-Mail/Kontaktformular für Anfragen von Themen, Postanschrift des Unternehmens. Wenn ein DSB zugewiesen ist - Name/Kontakte. Antwortzeiten (z. B. bis zu 30 Tage, mit möglicher Verlängerung, wenn gesetzlich zulässig).

15) Aktualisierungen der Richtlinie

Datum des Inkrafttretens und der Revision festlegen.
Wesentliche Änderungen transparent mitteilen (Banner/Brief/interne Benachrichtigung).

16) Zuständigkeitshinweise (Beispielmatrix)

EU/EWR (GDPR): Grundlagen, DPIA, DPA mit Prozessoren, SCC für grenzüberschreitende Übertragungen, Interessenregistrierung, Verarbeitungsregister.
UK (UK GDPR): ähnlich, unter Berücksichtigung der lokalen Behörden.
Brasilien (LGPD): Rechtsgrundlage, LGPD Ombudsmann, lokale Fristen.
Kalifornien (CCPA/CPRA): Recht auf Ablehnung des „Verkaufs/Teilens“ von Daten, „Nicht verkaufen oder teilen“, Kategorien personenbezogener Daten.
Kanada (PIPEDA/Provinzen): Einwilligung und Zweckbindung.
Australien (Privacy Act): APPs, grenzüberschreitende Offenlegungen.
Fügen Sie lokale Abschnitte unter den Ländern hinzu, in denen Sie arbeiten.

17) Praktische Checkliste vor der Veröffentlichung

• Datenkarte (was, wo, warum, wie lange, wer hat Zugriff).
• Behandlungsregister und DPAs mit Schlüsselprozessoren.
• CMP und Cookie-Tabelle mit Fristen und Zielen.
• Verfahren zur Beantwortung von Anfragen von Probanden (SLAs, Briefvorlagen).
• Verfahren zur Meldung von Vorfällen (an wen, wann, wie).
• Richtlinienversion und Änderungsprotokoll.

18) Fertige Richtlinienvorlage (kopieren und anpassen)

Datenschutzerklärung

Inkrafttreten: [Datum] Fassung: [vX. Y]

1. Wer wir sind

[Vollständiger Firmenname], [Geschäftssitz], [Registrierungsdaten].

Kontakt: [support @ domain], [Postanschrift].

2. Anwendbarkeit

Diese Richtlinie gilt für die Website (s) und Anwendungen: [Domains/Anwendungen] sowie zugehörige Supportdienste.

3. Daten, die wir verarbeiten

Identifikation und Kontakt (Name, Geburtsdatum, E-Mail, Telefon, Adresse).
Konten (Login, Passwort-Hash, Einstellungen).
Zahlung/Transaktion (Karten-Token, Transaktionshistorie).
Technisch (IP, Geräte, Protokolle, Cookie-ID).
Anti-Fraud/AML (Verhaltenssignale, Inspektionsergebnisse bei Anbietern).
Marketing/Analytik (UTM, Conversions) - bei Zustimmung, falls erforderlich.

4. Ziele und Rechtsgrundlage

Wir verarbeiten Daten für: Erbringung von Dienstleistungen, Zahlungen und Schlussfolgerungen, KYC/AML, Sicherheit und Betrugsbekämpfung, Unterstützung, Analyse, Marketing (mit Zustimmung), Einhaltung des Gesetzes. Gründe: Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse, Einwilligung.

5. Cookies und ähnliche Technologien

• unbedingt erforderlich (Sitzungen, Sicherheit),
• funktional (Einstellungen),
• analytisch,
• Marketing.
• Die Steuerung ist über [Consent Panel/SMR-Link] möglich. Zur Cookie-Tabelle siehe Anhang A.

6. Mit wem wir Daten teilen

Kategorien von Empfängern: KYC/AML-Anbieter, Zahlungsorganisationen, Hosting/CDN, Betrugsbekämpfung und Analytik, Support (E-Mail/SMS), Wirtschaftsprüfer, Aufsichtsbehörden nach dem Gesetz. Übertragung - auf der Grundlage von Verträgen und Sicherheitsmaßnahmen.

7. Internationale Übertragungen

Die Daten können außerhalb Ihres Landes verarbeitet werden. Wir wenden rechtliche Mechanismen (z.B. Standardvertragsklauseln) und technische/organisatorische Maßnahmen zum Schutz an.

8. Aufbewahrungsfristen

Wir speichern so lange, wie es für die Zwecke und innerhalb der gesetzlich festgelegten Fristen erforderlich ist (z. B. finanzielle/AML-Aufzeichnungen - mindestens [X] Jahre). Nach Ablauf - Löschung/Anonymisierung.

9. Sicherheit

Verschlüsselung, Zugriffskontrolle, Überwachung, Segmentierung, Audit, Pen-Tests. Trotz der Maßnahmen ist eine absolute Sicherheit nicht gewährleistet; Wir handeln gemäß den geltenden Vorschriften für die Meldung von Vorfällen.

10. Ihre Rechte

Sie können den Zugang, die Berichtigung, die Löschung, die Einschränkung, die Portabilität, den Widerspruch sowie den Widerruf der Einwilligung (zur Verarbeitung auf Einwilligung) verlangen. Kontakt für Anfragen: [privacy @ domain]. Sie haben auch das Recht, eine Beschwerde bei [Name der Aufsichtsbehörde/Gerichtsbarkeit] einzureichen.

11. Automatisierte Entscheidungen und Profiling

Wir verwenden automatisierte Systeme zur Betrugsbekämpfung und Risikobewertung. Im Falle einer sinnvollen Entscheidung können Sie eine Überprüfung mit menschlicher Beteiligung beantragen.

12. Kinder

Der Service richtet sich an Personen [18 +] oder älter nach lokalem Recht. Wenn das Konto eines Minderjährigen entdeckt wird - Sperrung und Löschung von Daten.

13. Ansprechpartner DPO/Verantwortlicher

[DSB Name/Position], E-Mail: [dpo @ domain], Adresse: [Anschrift].

14. Aktualisierungen dieser Richtlinie

Wir aktualisieren die Richtlinie regelmäßig. Wesentliche Änderungen werden über die Website/Mitteilung mitgeteilt. Die aktuelle Version ist immer abrufbar unter: [link].

Anhang A. Cookie-Tabelle (Beispiel)

Anhang B. Gegenparteien (Kategorien)

KYC/AML-Anbieter: [Name/Zuständigkeit/Rolle].
Zahlungsabwickler/Banken: [Kategorien].
Hosting/Cloud/CDN: [Kategorien].
Marketing/Mailings/Analysen: [Kategorien].
Support (Tickets/SMS/E-Mail): [Kategorien].

(Die genauen Namen können im DPA/Behandlungsregister und die Kategorien in der Richtlinie offengelegt werden.)

Anhang C. Zuständigkeitsbestimmungen (Muster)

EU/EWR (DSGVO): Rechte, Übertragungsmechanismen, Kontakte der Aufsichtsbehörde: [Link/Titel].
Kalifornien (CCPA/CPRA): Link „Do Not Sell or Share My Personal Information“, Beschreibung der Kategorien und Rechte der Verbraucher.
Brasilien (LGPD): Kontakt verantwortlich, Rechte titulares.
Vereinigtes Königreich: UK DSGVO und ICO.
Kanada/Australien: lokale Rechte und Kontakte der Regulierungsbehörden.

19) Tipps, um relevant zu bleiben

Überprüfen Sie einmal im Quartal die Richtlinie mit dem realen Datenfluss und der DPIA.
Wenn Sie einen neuen Anbieter/SDK hinzufügen, aktualisieren Sie das Behandlungsregister und das CMP.
Protokollieren und dokumentieren Sie Antworten auf Anfragen von Probanden (SLAs, Templates, Metriken).
Führen Sie ein Versionslog mit einem kurzen Changelog.

So verwenden Sie diesen Artikel

1. Gehen Sie die Checkliste durch und sammeln Sie Fakten über Ihre Daten und Streams.
2. Kopieren Sie die Vorlage und fügen Sie Ihre Details/Fristen/Gerichtsbarkeiten ein.
3. Stimmen Sie mit dem Anwalt und dem DSB ab, veröffentlichen Sie dann auf der Website und verbinden Sie das CMP.
4. Richten Sie den Prozess der Annahme von Anfragen betroffener Personen ein und aktualisieren Sie die Richtlinie bei Änderungen.