Operations und Compliance → KYB-Verifizierung von Partnern

KYB-Verifizierung von Partnern

1) Warum KYB in iGaming

Die Partner beeinflussen direkt das Risikoprofil der Plattform: die Qualität des Verkehrs und des Marketings, die Sicherheit der Zahlungen und die Integrität der Spiele, die Einhaltung der lokalen Normen. Ein korrektes KYB reduziert regulatorische und finanzielle Verluste (Strafen, Sperren, Chargeback), beschleunigt die Anbindung neuer Märkte und erhöht die Nachhaltigkeit der Lieferkette.

• Identifizieren Sie das Unternehmen, die Begünstigten (UBOs) und kontrollieren Sie die Sanktionsrisiken.
• Bestätigen Sie das Recht, Dienstleistungen (Lizenzen, Zertifizierungen, Domain-Rechte) anzubieten.
• Fixieren Sie vertragliche Guard Rails (RG/Ads/Privacy/Security/SLA).
• Implementieren Sie eine kontinuierliche Überwachung und rechtzeitige Reaktion auf Verstöße.

2) Taxonomie der Partner (wer durchläuft KYB)

Affiliates/Publisher/Influencer (Traffic, Creatives, Trichter).
Payment Provider/Processors/Aquayers (KYC/AML, Retouren, Reporting).
Spieleanbieter/Aggregatoren/Studios (Lizenzen, RNG/Zertifizierung, RGS).
Plattform-/Infrastrukturanbieter (Hosting, KMS/Vault, Überwachung).
Medien- und Performance-Agenturen (Werbung, Branding, Traffic-Beschaffung).
Outsider-Sapport/kYC/AML-Bureaus (PDn-Verarbeitung, Subprozessoren).

3) KYB Prinzipien

1. Risikobasiert: Die Verifizierungstiefe hängt von der Art des Partners, der Gerichtsbarkeit, dem Verkehrsaufkommen/den Transaktionen ab.
2. Evidence-by-Design: Alle Schlussfolgerungen werden durch Dokumente/Screenshots/Protokolle unterstützt.
3. Eine Quelle der Wahrheit: ein einziges Register von Partnern mit Versionen und Audits.
4. Least Surprise: Der Vertrag kodiert Erwartungen im Voraus (SLA, RG/Ads, Privacy, Security).
5. Kontinuierliche Überwachung: Neubewertung nach Ereignis (UBO-Wechsel, Chargeback-Spitzen, Beschwerden).

4) Datenmodell: Partnerregister (YAML)

yaml partner_id: AFF-2025-0197 type: affiliate     # affiliate    payment    game_provider    aggregator    infra    agency    outsourced_ops legal_name: "Acme Media Ltd."
registration:
country: MT number: C123456 registry_link: <ref>
ubo:
owners: [{name: "John Doe", share: 60%}, {name: "Jane Roe", share: 40%}]
sanctions_screened: true licenses:
- kind: marketing_agency
- jurisdiction: EU contact_points:
compliance: compliance@acme finance: billing@acme risk:
inherent: medium geo_scope: [EU, LATAM]
products: [casino, betting]
agreements:
sla: {kpi: ["lead_quality","complaints_rate"], remedies: ["traffic_pause","fee_adjustment"]}
ads_policy_ack: true data_processing_addendum: true monitoring:
kpis: {chargeback_rate: 0.3, complaint_rate: 0.2}
last_review: 2025-09-30 status: approved     # pending    approved    suspended    terminated review_sla_days: 180 owner: partner_compliance_team

5) Richtlinien und Kontrollen (as Code)

Politik der Risk-Tiering-Partner

yaml policy_id: KYB-TIERING-001 tiers:
- name: low criteria: [type==infra AND handles_pii==false]
requirements: [registry_extract, tax_id, sanctions_ubo]
- name: medium criteria: [type in {affiliate,agency,game_provider}]
requirements: [registry_extract, tax_id, sanctions_ubo, domain_ownership, bank_details, references]
- name: high criteria: [type==payment OR handles_funds==true OR high_risk_geo==true]
requirements: [all_medium, pci_or_equal, aml_program, license_copy, financials, security_controls, incident_sla]
overrides:
- when: country in {UK,ES,IT,NL}
add: [local_license_proof, ads_local_rules_ack]

Sanktionskontrolle/negative Medien für UBOs/Direktoren

yaml control_id: KYB-SANCTIONS-UBO-01 scope: partner.onboard trigger: on_create OR ubo_changed==true actions:
- screen: sanctions_pep_adverse_media
- require: manual_review_if_score>threshold evidence:
fields: [sources, match_score, analyst_decision]

Kontrolle von Marketingverstößen (Affiliates)

yaml control_id: ADS-COMPLIANCE-02 scope: affiliate_creatives trigger:
expr: scan(creative.text    landing) contains banned_claims OR audience_targeting includes minors OR missing_disclaimers==true actions:
- pause: traffic
- notify: marketing_compliance
- issue: corrective_action_plan

Kontrolle des Zahlungsrisikos (Anbieter)

yaml control_id: PSP-RISK-01 scope: payments trigger:
expr: chargeback_rate_30d > agreed_threshold OR downtime>sla_minutes actions:
- reduce: routing_weight 20%
- notify: vendor_risk
- open: incident_with_provider

6) Dokumente und Bestätigungen (nach Typ)

• Auszug aus dem Register/Satzung/Direktor und UBO, Steuernummer.
• Bankverbindung (bestätigt), Adresse, Ansprechpartner.
• Sicherheits-/Datenschutzrichtlinien, DPA/Data Processor Agreement.

• Domain/Accounts (Ownership/Admin-Access), Site-Portfolio, Traffic-Quellen.
• Unterschrift Ads/Brand-haydlines; schwarze Liste der Formulierungen; UTM-Register.

• Lizenz/Registrierung, PCI DSS/gleichwertig, Auditbericht.
• Merchant/Aquiring-Verträge, Chargeback/Retourenregelungen, Berichterstattung.

• B2B-Lizenzen/RNG-Zertifikate/Prüfstände; Liste der Spiele/Mathematiker.
• Aptime/RGS SLA, Release-/Versionsprozess, Änderungsprotokoll.

• Zertifikate (ISO 27001/SOC2), DPIA (bei PD), Liste der Unterprozessoren.
• Verfahren für Vorfälle und Meldungen.

7) KYB-Prozess: vom Antrag bis zur Überwachung

1. Intake: Bewerbung/Fragebogen, Unterlagen sammeln, Partnerkarte erstellen.

2. Screening: UBO/Direktoren - Sanktionen/RER/Advers-Medien, Registerprüfung.

3. Risikobewertung: Typ, Geo, Volumen, Produkte, Zugang zu PDs/Finanzen.

4. Vertrag: Einbeziehung von Harvard Rails (SLA, Anzeigen, RG, Sicherheit, Datenschutz, Prüfungsrechte).

5. Tech/Content Onboarding: Integrationstests, Whitelists von Domains/Creatives.

6. Monitoring: KPIs und Alerts (Anzeigen-Gewalt, Chargeback, Downtime, Reklamationen).

7. Revue/Re-Vera: durch SLA oder Ereignis (UBO-Wechsel, Risikospitzen, regulatorische Beschwerde).

8. Sanktionen/Kündigung: plan→pause→terminate→report (bei schwerwiegenden Verstößen).

8) RACI

9) KPI/OKR

Coverage: Der Anteil der Partner mit einem vollständigen KYB-Paket ≥ 98%.
SLA Review: rechtzeitige Verlängerung/Revue ≥ 95%.

Ads Violations Rate (Affiliates): QoQ- ↓; Time-to-Pause bei Verletzung ≤ 24 Stunden

Chargeback Contribution by PSP: innerhalb der vertraglich vereinbarten Schwellenwerte.
Downtime/Incident MTTR (Anbieter): innerhalb des SLA.
Evidence Completeness: ≥ 98% der Karten mit korrekten Artefakten.
Audit Findings TTR: ≤ 90 Tage.

10) Checklisten

• Register/Satzung, UBO, Direktoren, Steuernummer.
• Sanctions/RER/advers-media: clear/triage/exceptions.
• Lizenzen/Zertifikate/Recht zur Erbringung von Dienstleistungen.
• Vertrag + DPA + Prüfungsrechte + SLA/Remedies.
• Ads/RG/Privacy/Security-Richtlinien sind unterzeichnet.
• Bankverbindung bestätigt.
• Tech-Checks: Domains/UTMs/Creatives/Endpoints/Logging.
• Die Karte im Register ist ausgefüllt, die Risikostufe zugeordnet.

• Ads-Scanner: keine verbotenen Creatives/Targeting.
• Traffic/Quality/Reklamation KPIs in den Korridoren.
• PSP: Charjbeki/Downtime/Bugs innerhalb des SLA.
• Spiele/Inhalte: Versionen zertifiziert, Releases zugesagt.
• Revue auf SLA, dokumentarische Updates erhalten.

11) SOP (Fragmente)

SOP: Reaktion auf Affiliate-Verletzung

1. Autoscan → Verstoß (Claim/Targeting/Disclaimer).
2. Sofort 'Pausenverkehr' + Benachrichtigung des Partners mit dem Template CAP (Corrective Action Plan).
3. Korrekturfrist ≤ 48 Stunden; erneut scannen.
4. Wiederholter Verstoß → Preissenkung/Kündigung; evidence im Register.

SOP: Eskalation durch PSP

1. Trigger 'chargeback _ rate _ 30d> threshold' oder Downtime> SLA.
2. Gewichtsreduzierung der Route, Vorfall mit dem Anbieter, Postmortem.
3. Fin-Einfluss/Vertragsentschädigung; Bericht an den Risikoausschuss.

SOP: Re-vera beim UBO/Director-Wechsel

1. Holen Sie sich aktualisierte Dokumente, starten Sie das Sank-Screening neu.
2. Berechnen Sie das Risiko neu, wenn nötig - Einschränkungen/Pause.
3. Aktualisieren Sie die Karte, benachrichtigen Sie die beteiligten Teams.

12) UX und Automatisierung

Partnerportal: Dokumente hochladen, Status, Revue-Erinnerungen.
Auto-Scans der Werbung: Text/Banner/Landings auf verbotene Sprache, Alter Markierungen, Zeit zeigt.
Anbieter-Telemetrie: Uptime, Bugs, SDK/RGS-Versionen, Release-Annotationen.
Alertas: Ausbrüche von Chargebacks, Beschwerden, CTR-Anomalien, Sank-Updates.
AI-Zusammenfassungen: Clustering von Verstößen nach Partner/Geo, CAP-Hinweise.

13) Sicherheit und Privatsphäre

RBAC/ABAC: Zugriffe nach Rolle, Wasserzeichen für Dokumente.
Verschlüsselung: bei Rest/in Transit, Geheimnisse im Tresor, temporäre Links.
Retention: Aufbewahrung nach Gesetz/Vertrag, Auto-Löschung nach Frist.
Logging: Alle Änderungen an Karten/Dokumenten/Entscheidungen - im Audit-Log.

14) Anti-Muster

KYB „for a tick“: kein UBO oder Check nur am Start, keine Überwachung.
Fehlende DPA/Audit-Rechte - Unfähigkeit, Vorfälle zu überprüfen.
Fuzzy Remedies im Vertrag → endlose „Glücksbriefe“.
Universelle Prüftiefe ohne Risiko/Geo/Service-Typen.
Verstreute Tabellen ohne SSOT und Versionen.
Verkehrsanbindung vor Unterzeichnung von Ads/Brand-Haydlines.

15) 30/60/90 - Umsetzungsplan

• Genehmigen Sie die KYB-Richtlinie und das Risiko-Tiering nach Partnertyp.
• Führen Sie das Partnerregister (SSOT) und Dokument-/Fragebogenvorlagen aus.
• Aktivieren Sie UBO/Director Sank Screening und Basic Ads Scanner.
• Standardisieren Sie vertragliche Guard Rails (SLA/Remedies, DPA, Prüfungsrechte).

• Verbinden Sie KPI-Überwachung (Anzeigen-Gewalt, Chargeback, Downtime).
• Re-Vertrauen auf Ereignisse automatisieren (UBO-Wechsel, Risikospitzen).
• Erweiterung des Ads-Scanners (Sprachen, Formate), Telemetrie der Anbieter, Reporting.

• Coverage KYB ≥ 98%, Review SLA ≥ 95%, Evidence ≥ 98%.
• Reduzierung von Ads Violations Rate und Chargeback Contribution auf Zielkorridore.
• Durchführung eines internen Audits der KYB-Prozesse; OKR für das nächste Quartal zu fixieren.

16) FAQ

Q: Muss ich die Subunternehmer des Partners überprüfen?
A: Ja, wenn sie Ihren Datenverkehr/PDn/Finanzen verarbeiten - fordern Sie die Offenlegung von Unterauftragsverarbeitern und das Recht auf Prüfung.

F: Wie reagiere ich schnell auf Werbeverstöße?
A: Im Vertrag zu verankern „Pause in ≤24h“, CAP ≤48h und Re-Audit. Autoscan + Alert in # marketing-compliance.

F: Was tun bei umstrittenen Sanka-Zufällen?
A: Manuelle Triage mit Quellen/Scoring, Eskalation im Head of Compliance; in der Kritik - eine vorübergehende Pause der Zusammenarbeit.

F: Wann sollte das Risiko des Partners überprüft werden?
A: Durch SLA (180 Tage) oder Upon-Event: UBO-Wechsel, Ausbrüche von Beschwerden/Chargebacks, Präzedenzfälle bei Aufsichtsbehörden.