Rechtmäßigkeit der Datenspeicherung durch den GlüStV juristisch angezweifelt

Der richtige Umgang mit personenbezogenen Informationen ist eine überaus sensible Angelegenheit für alle möglichen Unternehmen, die im Web aktiv sind. Gerade in Online Spielotheken mit deutscher Lizenz werden heute sehr viele Daten erhoben. Das geschieht zu großen Teilen aus Gründen des Spielerschutzes. Aber ist das Vorgehen eigentlich rechtlich einwandfrei? Ein juristischer Fachbeitrag hat sich jüngst mit dieser spannenden Thematik befasst.

Wir alle sind in den vergangenen Jahren immer häufiger mit Datenschutzverletzungen und regelrechten Datenskandalen im Internet konfrontiert worden. Nicht wenige waren selbst betroffen. Die meisten aufmerksamen Menschen haben jedoch zumindest vom Facebook-Datenleck zu Ostern 2021, vom unzureichenden Schutz von Covid-Testergebnissen, von der öffentlichen Einsehbarkeit von Nutzerdaten bei bestimmten Lieferdienst-Apps oder ähnlichen Vorfällen gelesen bzw. gehört. Der Online-Datenschutz und die Einhaltung entsprechender Sicherheitsvorkehrungen scheinen relevanter zu sein als je zuvor – Tendenz weiter steigend.

Das betrifft selbstverständlich auch Online Spielotheken und damit schließlich die deutschen Behörden, die das dortige Zocken unter anderem durch die Verwendung verschiedener persönlicher Informationen der Spieler regulieren.

Ein aktueller Fachbeitrag bei Dr. Datenschutz vom Juristen und Datenschutzberater der intersoft consulting services AG Marc Ruiz García sieht einen eindeutigen Konflikt zwischen dem derzeitigen Vorgehen bzw. den Bestimmungen des Glücksspielstaatsvertrags (GlüStV) von 2021 und der Europäischen Datenschutz-Grundverordnung (DSGVO). Darüber hinaus wird dort Kritik an möglichem Financial- oder Payment-Blocking geübt, welches zum Einsatz kommen könnte und immer häufiger real kommt, um insbesondere Transaktionen an illegale Glücksspielanbieter zu unterbinden.

An welchen kritischen Stellen werden gemäß GlüStV 2021 Spielerdaten verarbeitet?

Der neue GlüStV setzt für die Vergabe der deutschen Lizenz an Online Spielotheken und letztlich für die Spieler einige Bestimmungen voraus, deren Einhaltung durch die Abfrage von personenbezogenen Daten durchgesetzt werden.

Vor allem müssen Kunden solcher Spielstätten ausreichend gegen mögliche Spielprobleme abgesichert sein. Die Hauptziele liegen in einer effektiven Bekämpfung von Spielsucht, aber auch in der Gewährleistung von betrugs- und kriminalitätsfreien Angeboten. Dafür führen die Behörden drei Zentraldateien, über deren Datensammlungen spezifische Schutzmechanismen gesteuert werden.

Nun aber zu den Zentraldateien:

• Limitdatei: Durch diese Datei wird anbieterübergreifend sichergestellt, dass Kunden das geltende Einzahlungslimit von 1.000 Euro pro Monat einhalten. Die personenbezogenen Informationen der Registrierung in jedem genutzten Casino werden bei allen Einzahlungsvorgängen abgeglichen und in der Limitdatei mit den dazugehörigen Summen aktualisiert

• Sperrdatei: Mithilfe der Sperrdatei (OASIS) bekommen Spieler die Chance, sich selbst von allen deutschen Glücksspielanbietern auszuschließen. Darüber hinaus sind in bestimmten Fällen auch Fremdsperren möglich. Dafür werden personenbezogene Informationen benötigt. Die Betreiber können über die spezifischen Daten klar erkennen, ob ein Spieler gesperrt ist oder eben nicht. Dieser Vorgang verläuft online durch einen automatischen Abgleich.

• Aktivitätsdatei: In dieser Datei werden personenbezogene Daten sozusagen live verarbeitet, um zu erkennen, ob ein Spieler wirklich nur bei einem Glücksspielanbieter aktiv ist. Beispielsweise ist eine parallele Anmeldung in zwei Online Casinos oder bei einer Online Spielothek und einem Wettanbieter nach den derzeitigen Vorgaben untersagt.

Auch für das Payment-Blocking werden verschiedene Daten benötigt

Marc Ruiz García geht in seinem Beitrag auch auf das Payment- oder Financial-Blocking ein. Entsprechende Methoden werden vor allem dazu genutzt, um Einzahlungen oder Auszahlungen bei illegalen, also nicht in Deutschland lizenzierten, Glücksspielanbietern von deutschen Spielern zu unterbinden.

Das erfolgt laut dem Autor hauptsächlich durch schwarze Listen, auf denen Betreiber ohne Lizenz zusammengefasst werden und deren Daten dann von Finanzdienstleistern abzugleichen sowie auszuschließen sind. Allerdings sind Bankkonten von Spielern mitunter ebenfalls betroffen. Diese werden dann mittels spezifischer Informationen gesperrt.

Der Autor kommt zu einem klaren Urteil

Der Autor des Fachbeitrags, Marc Ruiz García, bezweifelt, dass die „umfangreiche Speicherung auf Vorrat“ wirklich verhältnismäßig ist. Der genaue Schluss lautet wie folgt:

„Gemäß dem Prinzip der Datenminimierung müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Eine anlasslose Vorratsspeicherung von personenbezogenen Daten ist unzulässig. In diesem Zusammenhang erscheint es fraglich, ob die Führung von drei umfangreichen Zentraldateien mit Informationen zu allen Spielern (auch zu denjenigen, die keine Spielsucht gezeigt haben) mit den Anforderungen des Datenschutzes vereinbar ist.“

Zum Financial Blocking sagt García, dass die dafür genutzten Daten normalerweise anderen Zwecken zuzuordnen seien. Sie seien natürlich zur Erstellung eines Bankkontos, eines E-Wallet-Accounts etc. und den damit zusammenhängenden Pflichten zur Vermeidung von Geldwäsche oder ähnlichen kriminellen Aktivitäten wichtig. Die Zweckänderung sei schwierig, so der Tonus.

Als klar „unverhältnismäßig“ beschreibt er die hier angesetzte „ständige und prophylaktische Überwachung sämtlicher Kunden durch die Finanzdienstleister im Hinblick auf die Teilnahme an illegalen Glücksspielen“. „Eine solche Datenverarbeitung kann auch nicht auf Grundlage eines berechtigten Interesses im Sinne der DSGVO erfolgen, weil die Grundrechte und Grundfreiheiten der Betroffenen angesichts der Intensität des Eingriffes vorliegend überwiegen“, so García wortwörtlich.

Fazit

Quelle des Bildes: https://pixabay.com/de/illustrations/lupe-menschen-kopf-gesichter-1607208/