Sensibilisierung der Mitarbeiter für Compliance

1) Ziel und Einzugsgebiet

Eine nachhaltige Compliance-Kultur zu gestalten, in der jeder Mitarbeiter versteht, „was geht/nicht geht“, Risiken zu erkennen weiß und weiß, wie es weitergeht (Eskalationen, Hilfekanäle). Reichweite: alle Funktionen (Operations, Payments, RG/AML/KYC/KYB, Marketing/Affiliates, Game Ops, Data/Engineering, CS, Finance, Legal/DPO, IB), Auftragnehmer und Zeitarbeiter.

2) Grundsätze des Programms

Ton von oben: Öffentliche Unterstützung durch CEO/Exec.
Einfachheit und Anwendbarkeit: „Was morgen beim Wechsel zu tun ist“.
Mikroformat: kurze Module 5-10 min, Regelmäßigkeit.
Lokalisierung: Marktsprache, lokale Fälle/Regeln.
Nachweis: Durchlaufprotokoll, Artefakte, Zertifizierung.
Kontinuität: Der Zyklus „Lernen → Anwenden → Messen → Verbessern“.

3) Rollen und RACI

Owner: Head of Compliance/Compliance Awareness Lead - Strategie, Inhalt, Kalender. (A)

L & D/Ausbildungsleitung: LMS, Stundenplan, Anwesenheitskontrolle. (R)

Process Owners (KYC/AML/RG/Payments/Marketing/Game Ops/Data/Legal/InfoSec): Expertise und Fallstudien. (R)

DPO/Legal: Korrektheit der Formulierung, Datenschutz, Lokalisierung. (C)

Internes Audit: unabhängige Überprüfung der Vollständigkeit/Aufzeichnungen. (C)

HR: Onboarding/Offboarding, Disziplin der Passagen. (R)

Comms/Brand: visuelle Gestaltung, Kampagnen. (R)

Exec Sponsor: Öffentliche Kommunikation, Ressourcen, Eskalationen. (I/A)

4) Content Framework (Awareness Module)

1. Verhaltenskodex und Hilfskanäle (whistleblowing, repressionsfrei).
2. KYC/KYB und Schutz gefährdeter Spieler (jedermanns Rolle).
3. AML/Sanktionen/PEP (Signale, Tipping-off-Verbot, Eskalationen).
4. RG - Verantwortungsvolles Spielen (Limits, Selbstausschluss, korrekte Skripte).
5. DSGVO/PII (Minimierung, DSAR, „nicht das Überflüssige teilen“).
6. PCI/Zahlungen (Pan-Daten, Tokenisierung, Chat/Ticket-Verbote).
7. Marketing/Affiliates/Werbung (Altersfilter, verbotene Kreative).
8. Vorfälle und Benachrichtigungen (wann und was zu melden, erste Schritte).
9. Anti-Phishing/IB-Hygiene (Passwörter, MFAs, Phishing-Simulationen).
10. Interessenkonflikte/Geschenke/Ethik.

Jedes Modul: 5-7 Folien + Mini-Case 2-3 Fragen + „was morgen zu tun ist“ (Checkliste pro Schicht).

5) Formate und Frequenzen

Onboarding (T + 14 Tage): Basispaket (Module 1-7), Kurztest ≥ 85%.
Vierteljährliche Kampagnen: thematisch (DSGVO-Woche, AML-Woche...).
Monatliche Mikro-Lektionen: 5-10 min mit 1 Fall und 3 Fragen.
Table-top/role-play (Quartal): End-to-End-Szenario nach Funktion.
Phishing-Simulationen (2-4 mal/Jahr): mit Post-Click-Training.
Plakate/Intranet/Bot: „3-Schritte-Regel“, „Was nicht ins Ticket geschrieben werden darf“.
Vendor Workshops: KYC/PSP/Spieleanbieter - 1-2 mal/Jahr.

6) Kampagnen und Botschaften (Beispiele)

GDPR-Woche: „Wir speichern nicht - wir verlieren nicht“ → Checkliste: Senden Sie keine PII in der Post, Maskenscreens, DSAR ≤ 30 Tage.
AML-Woche: „Struktur erkennen - Lizenz retten“ → Checkliste: Velocity/Structuring Signale, wohin man eskalieren soll.
RG-Woche: „Spielen Sie verantwortungsvoll, unterstützen Sie die Spieler“ → korrekte CS-Antworten, Vorgehensweise bei Limits.
PCI-Woche: „PCI beginnt mit dir“ → verbotene Felder im Chat/Tickets, sicherer Ersatz.
Anzeigen/Affiliates-Woche: „Werbung ohne Strafen“ → verbotene Kreative, Altersfilter, Beschwerde über „giftigen“ Verkehr.

7) Werkzeuge

LMS: Kurse, Tests, Zertifikate, Coverage/On-Time-Berichte.
Kommunikationsbot (Slack/Teams): Quiz 1-2 Fragen pro Woche, Erinnerungen.
Intranet-Hub: „1-Seiten“ zu Themen, FAQ, Nachrichtenvorlagen.
Poster/Bildschirmschoner: kurze Regeln, QR zum Hub.
Phishing-Plattform: Simulationen, persönliche Hinweise.
Formular „Compliance fragen“: schnelle Antwort/Eskalation.

8) Leistungskennzahlen (KPI/KRI)

Coverage:% der Mitarbeiter mit aktuellem Kurs (Ziel ≥ 98%).
On-Time Completion:%, die rechtzeitig abgeschlossen haben (Ziel ≥ 95%).
Recall: Anteil der richtigen Antworten nach 30 Tagen (> 80%).
Verhaltensänderung: Reduzierung von Tipping-Off-Vorfällen, Anteil korrekter CS-Skripte.
Phishing resilience: CTR ↓, Berichte über Imitationen von ↑.
Escalation quality: Vollständigkeit der Artefakte in Eskalationen (Template, ID, Logs).
Whistleblowing: Appelle ≠ Null Reaktions- und Schließzeit.

9) Checklisten

9. 1 Vor dem Programmstart

• Genehmigt „Ton von der Spitze“ (Brief/Video vom CEO).
• Kampagnenkalender für das Jahr; Themebesitzer werden zugewiesen.
• Der Inhalt ist lokalisiert; Beispiele für Märkte und Funktionen.
• Das LMS ist mit HRIS (Onboarding/Offboarding) verbunden.
• Coverage/on-time/pass rate Berichte konfiguriert.
• Plakate, 1-seitige Seiten, Quotenbots liegen bereit.

9. 2 Während der Kampagne

• Erinnerungen über Kanäle (Chat/Mail/Boards).
• Q & A-Sitzung mit Experten (30 Min.).
• Kurze Umfrage „Verstehen Sie die Essenz“ (3 Fragen).
• Sammlung von Fidback und Fragen „im Feld“.

9. 3 Nach der Kampagne

• Bericht: coverage/recall/behavior.
• CAPA durch Leerzeichen (Skripte, Makros, Prozesse).
• Aktualisierung der FAQ und 1-Seiten.

10) Skripte (Rollenspiel) - schnelle Einfügungen

• Der Spieler hat das Verlustlimit überschritten.
• Richtig: "Wir sehen, dass das von Ihnen gesetzte Limit erreicht ist. Nach den Regeln des verantwortungsvollen Spielens werden wir den Zugang vorübergehend einschränken, um Sie zu schützen. Hier ist, wie Sie die Grenzen anpassen können.."

• Ausgabe im Check.
• Richtig: "Die Zahlung besteht die Standard-Sicherheitsüberprüfung. Wir werden benachrichtigen, sobald es abgeschlossen ist"

• Der Kunde schickte eine PAN in den Chat.
• Richtig: "Schicken Sie aus Sicherheitsgründen keine Kartennummer. Bitte verwenden Sie ein sicheres Zahlungsformular"

• Partner bietet aggressive Kreativität für 18-.
• Richtig: "Wir brauchen Altersfilter und korrekte Disclaimer. Sonst eine Absage"

• Antrag eines Kollegen auf vollständigen PII-Export „zur Analyse“.
• Richtig: "Wir brauchen Gründe und Minimierungen. Wir stellen Aggregate/Aliasnamen auf Anfrage über den DSB zur Verfügung"

11) Kommunikation und „Ton“

Vierteljährliches Video von Exec: „Warum Compliance Teil der Strategie ist“.
Erfolgsgeschichten: „Mitarbeiter N bemerkte das Risiko rechtzeitig - entging einem Bußgeld“.
Abzeichen/Gamification: Punkte für Quizze, „Compliance Champion“ des Monats.
Sichere Umgebung: Fehler werden als Training behandelt, nicht als Strafe (außer Böswilligkeit).

12) Artefakte und Retention

Durchgangsprotokolle (LMS), Testergebnisse, Zertifikate.
Kampagnenmaterial (Folien, Aufnahmen), Q&A, Poster/1-Seiten.
KPI/KRI-Berichte, CAPA-Pläne und deren Ausführungsstatus.
Die Aufbewahrungsfrist richtet sich nach der Schulungs-/Auditrichtlinie (in der Regel 5-7 Jahre).

13) Verwaltung von Inhaltsänderungen

Versionierung (vMAJOR. MINOR. PATCH), changelog.
Auslöser der Aktualisierung: neue Regeln/Vorfälle/Audit-Findings.
Prozess: Entwurf → Legal/DPO Revue → Pilot → Release → Dimension.

14) Risiken und Prävention

„Kick-Training“ → Fügen Sie Fälle und beobachtete Verhaltensmetriken hinzu.
Überbeanspruchung des Inhalts → Mikro-Lektionen, 1-Seiten, Wiederholung des Schlüssels.
Fehlende Lokalisierung → lokale Beispiele/Sprache/Zahlungsrealitäten.
Null Anrufe bei der Hotline → denken Sie daran: Das ist das Risiko des Schweigens. Fördern Sie Vertrauen und anonyme Kanäle.

15) Schnellstart (30 Tage)

Woche 1

1. Weisen Sie den Eigentümer zu, genehmigen Sie die KPI-Ziele (Coverage ≥ 98%, On-Time ≥ 95%).
2. Erstellen Sie einen jährlichen Kampagnen- und Rollenkalender.
3. Bereiten Sie „Ton von oben“ (Brief/Video) vor.

Woche 2

4. Bereitstellen von Hub (Intranet) und LMS; HRIS/SSO anschließen.
5. Grundkurs (Module 1-6) + Test zusammenstellen; Poster/1-Seiten erstellen.
6. Richten Sie Bot-Quoten und Phishing-Simulation # 1 ein.

Woche 3

7. Pilot auf 2-3 Teams (CS, Zahlungen, Marketing).
8. Fidback sammeln; Skripte und Fälle anpassen.
9. Starten Sie wöchentliche Micro-Lektionen (für eine Frage).

Woche 4

10. Massenstart; Coverage/On-Time-Überwachung täglich.
11. Bericht im Management: Erste KPIs/Incidents-Verhaltensänderungen.
12. Plan v1. 1: Hinzufügen von RG/Ads-Fällen und Lokalisierungen.

• AML-Schulungen und Mitarbeiterschulungen
• Incident Playbooks und Szenarien
• Meldungen von Unregelmäßigkeiten und Meldefristen
• Compliance Dashboards und Monitoring
• Regulatorische Berichte und Datenformate
• Interne Revision und externe Revision
• Audit Checklisten und Revue
• Lizenzverlängerung und Inspektion
• Änderungen der Vorschriften nach Regionen