Datenschutzgesetz (DSG) im Geldspiel
Das Datenschutzgesetz (DSG, SR 235.1) ist das Bundesgesetz vom 25. September 2020, das regelt, wie private Unternehmen und Bundesorgane Personendaten natürlicher Personen bearbeiten dürfen. Die totalrevidierte Fassung ist seit dem 1. September 2023 in Kraft, zusammen mit der Datenschutzverordnung (DSV). Für Spielerinnen und Spieler bildet das DSG den Rahmen hinter Registrierung, KYC und Spielsperre. Wer bei einem Casino ein Konto eröffnet, gibt dort Ausweisdaten, Bankverbindung und laufend Angaben zum eigenen Spielverhalten preis.
Was das DSG von Casinos verlangt
Das DSG verbietet die Bearbeitung von Personendaten nicht grundsätzlich, sondern bindet sie an die Grundsätze von Art. 6 DSG, etwa Verhältnismässigkeit und Zweckbindung. Für ein Casino heisst das, dass Daten aus der Identifizierung nicht ohne Weiteres für beliebige andere Zwecke verwendet werden dürfen.
Nach Art. 19 DSG muss der Anbieter bei der Beschaffung mitteilen, wer verantwortlich ist, zu welchem Zweck bearbeitet wird und an wen Daten gehen. Werden Daten ins Ausland bekannt gegeben, gehört auch der betreffende Staat in diese Information.
Im Geldspiel sind manche Daten heikler als im gewöhnlichen Onlinehandel.
Art. 5 lit. c DSG zählt Gesundheitsdaten zu den besonders schützenswerten Personendaten. Die Botschaft des Bundesrates zum Geldspielgesetz nennt ausdrücklich Daten zur Gesundheit, etwa das Vorliegen einer Spielsucht, und zu den finanziellen Verhältnissen der Kundschaft. Das Geldspielgesetz (BGS, SR 935.51) erlaubt Spielbanken und Veranstalterinnen von Grossspielen deshalb eigens, solche Daten zum Schutz vor exzessivem Geldspiel und zur Bekämpfung der Geldwäscherei zu bearbeiten. Wo das BGS eine besondere Regel enthält, geht sie nach dem üblichen Verhältnis von Spezial- und Grunderlass vor, während das DSG alles abdeckt, was das BGS offenlässt.
Verletzungen der Datensicherheit
Führt ein Datenleck voraussichtlich zu einem hohen Risiko für die Betroffenen, muss der Anbieter dies nach Art. 24 DSG so rasch wie möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden.
Wo Spielende dem DSG begegnen
Sichtbar wird das DSG vor allem in der Datenschutzerklärung, mit der Anbieter ihre Informationspflicht nach Art. 19 DSG in der Praxis erfüllen.
Das wichtigste Werkzeug der Spielenden ist das Auskunftsrecht nach Art. 25 DSG. Jede Person kann erfahren, ob und welche Daten über sie bearbeitet werden. Die Auskunft ist kostenlos und muss nach Art. 18 Abs. 1 DSV innert 30 Tagen seit Eingang des Begehrens erteilt werden. Nur bei unverhältnismässigem Aufwand darf der Verantwortliche nach Art. 19 DSV eine vorgängig angekündigte Kostenbeteiligung von höchstens CHF 300 verlangen.
Bei der Spielsperre treffen DSG und BGS direkt aufeinander. Art. 80 BGS verpflichtet Spielbanken und Veranstalterinnen von Grossspielen, die Sperren verhängen, ein Register der gesperrten Personen zu führen und die Daten untereinander auszutauschen. Die Geldspielverordnung (VGS, SR 935.511) legt fest, was eingetragen wird: Name, Vorname, Geburtsdatum und Staatsangehörigkeit sowie Art, Datum und Grund der Sperre. Sobald eine Sperre aufgehoben ist, dürfen diese Daten den anderen Anbietern nicht mehr zugänglich sein, und gesperrte Personen können einen Eintrag beim Anbieter bestreiten.
Eine Löschung lässt sich dagegen nicht in jedem Fall durchsetzen.
Spielbanken unterstehen dem Geldwäschereigesetz (GwG, SR 955.0), das in Art. 7 Abs. 3 eine Aufbewahrung der Belege während zehn Jahren verlangt. Was wir in einer Datenschutzerklärung deshalb zuerst prüfen, ist, ob sie konkrete Aufbewahrungsfristen nennt oder nur pauschal auf «gesetzliche Pflichten» verweist.
Abgrenzung zu DSGVO und altem Recht
Das DSG wird oft mit der Datenschutz-Grundverordnung der EU (DSGVO) gleichgesetzt, obwohl es ein eigenständiges Schweizer Gesetz ist.
Inhaltlich liegen beide Erlasse nahe beieinander, der Ansatz unterscheidet sich jedoch. Die DSGVO verbietet eine Bearbeitung, solange keine Rechtsgrundlage vorliegt, während das DSG sie grundsätzlich zulässt, solange die Bearbeitungsgrundsätze eingehalten sind.
Auch die Sanktionen funktionieren anders. Die DSGVO kennt Verwaltungsbussen gegen Unternehmen, das DSG dagegen Strafbussen bis CHF 250’000 gegen die verantwortliche natürliche Person, und zwar nur bei Vorsatz und nur für die Tatbestände der Art. 60 bis 63 DSG. Der EDÖB selbst kann keine Bussen aussprechen. Kommt höchstens eine Busse von CHF 50’000 in Betracht und wäre die Ermittlung der handelnden Person unverhältnismässig aufwendig, kann nach Art. 64 DSG stattdessen der Geschäftsbetrieb verurteilt werden.
Bei Anbietern mit Lizenz aus dem Ausland erfasst das DSG nach Art. 3 Abs. 1 auch Sachverhalte, die im Ausland veranlasst werden, sich aber in der Schweiz auswirken. Eine Vertretung in der Schweiz verlangt Art. 14 DSG allerdings nur unter mehreren kumulativen Voraussetzungen, darunter eine umfangreiche und regelmässige Bearbeitung mit hohem Risiko für die Betroffenen. Ob ein solches Angebot in der Schweiz überhaupt zulässig ist, beantwortet nicht das DSG, sondern das BGS.
Schliesslich ist «DSG» kein eindeutiges Kürzel, denn auch Österreich und Liechtenstein haben ein Datenschutzgesetz mit derselben Abkürzung, und ältere Texte zitieren noch das Schweizer DSG von 1992.
