Datenschutzerklärung im Online-Casino
Eine Datenschutzerklärung ist der Text, mit dem ein Anbieter offenlegt, welche Personendaten er beschafft, wofür er sie bearbeitet und an wen er sie weitergibt. In der Schweiz stützt sich diese Pflicht auf Art. 19 des Datenschutzgesetzes (DSG, SR 235.1). Bei Online-Casinos betrifft sie besonders heikle Angaben: Ausweiskopien aus dem KYC, Zahlungsdaten und Einträge zur Spielsperre. Bei der Kontoeröffnung bestätigt man in der Regel, den Text zusammen mit den AGB zur Kenntnis genommen zu haben.
Was Art. 19 DSG vorschreibt
Nach Art. 19 Abs. 2 DSG muss die Erklärung mindestens die Identität und die Kontaktdaten des Verantwortlichen nennen. Hinzu kommen der Bearbeitungszweck und, falls Daten weitergegeben werden, die Empfänger oder die Kategorien von Empfängern.
Gehen Daten ins Ausland, verlangt Art. 19 Abs. 4 DSG zusätzlich die Angabe des Staates und gegebenenfalls der Garantien, auf die sich die Bekanntgabe stützt.
Für Spielbanken mit Schweizer Konzession ist dieser Punkt keine Theorie. Aufgrund eines Abkommens zwischen der Schweiz und Liechtenstein werden Daten gesperrter Spielerinnen und Spieler grenzüberschreitend ausgetauscht. Übermittelt werden dabei Name, Vorname, Geburtsdatum, Staatsangehörigkeit und das Datum der Sperre. Wer die Informationspflicht vorsätzlich verletzt, riskiert nach Art. 60 Abs. 1 DSG eine Busse bis CHF 250’000, verfolgt wird nur auf Antrag.
Abgrenzung zu AGB, Einwilligung und DSGVO
Die Datenschutzerklärung ist keine Einwilligung. Sie informiert über die Bearbeitung, holt aber keine Zustimmung ein; bei Casinos ergibt sich die Grundlage oft aus gesetzlichen Pflichten wie der Identifizierung oder der Spielsperre nach Art. 80 BGS.
Auch die AGB regeln etwas anderes, nämlich Einsätze, Bonusbedingungen und Auszahlungen. Ein Cookie-Banner deckt nur einen Ausschnitt ab, das Tracking auf der Website.
Anbieter mit einer Lizenz aus dem EU-Raum verweisen häufig auf die DSGVO statt auf das DSG. Das ist für sich genommen kein Mangel, weil sich die Pflichtangaben weitgehend decken. Was wir zuerst prüfen, ist dennoch, ob ein Verantwortlicher mit Adresse genannt wird und in welche Staaten die Daten fliessen. Fehlen diese beiden Angaben, bleibt offen, wer bei einem Auskunftsbegehren nach Art. 25 DSG überhaupt zuständig ist.
Eine Website ohne auffindbare Datenschutzerklärung verlangt Ausweis- und Zahlungsdaten, ohne zu sagen, was damit geschieht.
