Aufbewahrungsfrist Casino-Daten: Wie lange gespeichert wird

Das deutsche Glücksspielrecht unterliegt seit dem Jahr 2021 strengen Regelungen zur Dokumentation. Anbieter mit einer Lizenz der Gemeinsamen Glücksspielbehörde der Länder müssen detaillierte Protokolle führen. Jede Anmeldung erfordert die Erfassung persönlicher Identifikationsmerkmale. Name, Vorname, Geburtsdatum und der Wohnsitz fließen in die Datenbanken ein. Dies dient primär dem Abgleich mit dem Sperrsystem OASIS. Der Gesetzgeber schreibt vor, dass diese Datensätze nicht sofort nach einer Kontoschließung gelöscht werden dürfen. Rechtliche Verpflichtungen aus dem Geldwäschegesetz überwiegen hier oft den Wunsch nach sofortiger Datenlöschung. Spieler fragen sich häufig nach dem Sinn dieser langen Speicherung. Die Prävention von Spielsucht bildet einen Kernaspekt der gesetzlichen Vorgaben. Casinos müssen auffälliges Spielverhalten identifizieren können. Dafür sind historische Daten über Setzbeträge und Spielzeiten über längere Zeiträume notwendig. Die Transparenz gegenüber der Aufsichtsbehörde steht dabei an erster Stelle. Jeder Euro, den ein Kunde einzahlt oder auszahlt, muss nachvollziehbar dokumentiert sein. Die Behörden können diese Daten für Kontrollzwecke anfordern. Betreiber riskieren bei Nichteinhaltung ihre Konzession. Die IT-Systeme müssen daher hohe Sicherheitsstandards erfüllen, um den Datenschutz zu gewährleisten. Verschlüsselungsmethoden nach aktuellem Stand der Technik sind vorgeschrieben. Dennoch bleibt die Pflicht zur Vorhaltung der Daten für einen Zeitraum von fünf Jahren bestehen. Das entspricht den Anforderungen des Paragrafen 8 im Geldwäschegesetz. Dieser Zeitraum beginnt erst mit dem Ende des Kalenderjahres, in dem die Geschäftsbeziehung beendet wurde. Somit kann der reale Speicherzeitraum fast sechs Jahre betragen.

Gesetzliche Grundlagen der Datenerfassung nach dem GlüStV 2021

Der Glücksspielstaatsvertrag 2021 bildet das Fundament für die Datennutzung in Deutschland. Paragraf 6g regelt die Pflichten der Veranstalter zur Datenerhebung. Es geht dabei um weit mehr als nur den Namen. Die Betreiber müssen die Spielteilnahme jedes Nutzers einzeln erfassen. Dazu gehören der Zeitpunkt des Spielbeginns und das Ende jeder Sitzung. Auch die Höhe der Einsätze sowie die erzielten Gewinne werden gespeichert. Diese Informationen fließen in eine spezielle Analysedatei zur Früherkennung von Spielsucht. Die GGL überwacht die Einhaltung dieser Spielerschutzmaßnahmen kontinuierlich. Werden Grenzwerte bei den Einzahlungen überschritten, schlägt das System Alarm. Das monatliche Einzahlungslimit von 1000 Euro wird über das LUGAS-System zentral gesteuert. Hier findet ein datentechnischer Austausch zwischen dem Casino und einer zentralen Behördendatei statt. Diese Vernetzung stellt sicher, dass das Limit anbieterübergreifend eingehalten wird. Die erhobenen Daten dienen zudem der Verhinderung von Mehrfachkonten. Ein Spieler darf bei einem Anbieter nur ein einziges Konto führen. Die Identitätsprüfung erfolgt meist über das Video-Ident-Verfahren oder die Schufa-Identitätsprüfung. Diese sensiblen Verifikationsdokumente bleiben ebenfalls Teil der digitalen Akte. Der Gesetzgeber verlangt eine lückenlose Dokumentation der Identitätsprüfung. Nur so kann der Jugendschutz effektiv durchgesetzt werden. Personen unter 18 Jahren bleibt der Zugang konsequent verwehrt. Sollte ein Anbieter diese Prüfpflichten verletzen, drohen Bußgelder in Millionenhöhe. Die Speicherfrist für Identitätsnachweise orientiert sich an den allgemeinen Archivierungspflichten für Geschäftsunterlagen. Für steuerrelevante Daten sieht die Abgabenordnung sogar Fristen von bis zu zehn Jahren vor. Das betrifft vor allem Abrechnungsbelege und Zahlungsnachweise. Spieler sollten sich bewusst sein, dass eine Löschungsanfrage nach der DSGVO nicht sofort alle Daten entfernt. Gesetzliche Aufbewahrungspflichten stechen in diesem Fall das Recht auf Vergessenwerden aus.

Geldwäscheprävention und die Fünfjahresfrist

Das Geldwäschegesetz gibt klare Zeiträume für die Archivierung vor. Gemäß Paragraf 8 GwG müssen Aufzeichnungen fünf Jahre lang aufbewahrt werden. Diese Frist ist für alle Glücksspielanbieter mit deutscher Lizenz bindend. Sie dient der Bekämpfung von Finanzkriminalität und Terrorismusfinanzierung. Verdächtige Transaktionsmuster müssen gemeldet werden. Die Financial Intelligence Unit erhält Zugriff auf relevante Datensätze bei Verdachtsfällen. Einzahlungen über 2000 Euro lösen oft verstärkte Sorgfaltspflichten aus. Hier müssen Anbieter sogar die Herkunft der Mittel prüfen. Entsprechende Nachweise wie Gehaltsabrechnungen oder Kontoauszüge landen im Archiv des Casinos. Diese Dokumente unterliegen strengster Vertraulichkeit. Sie dürfen ausschließlich für die gesetzlich definierten Zwecke verwendet werden. Marketingabteilungen haben in der Regel keinen Zugriff auf diese sensiblen Unterlagen. Nach Ablauf der fünf Jahre müssen die Daten gelöscht oder anonymisiert werden. Eine Anonymisierung muss so gründlich erfolgen, dass kein Personenbezug mehr herstellbar ist. In der Praxis entscheiden sich die meisten Unternehmen für die vollständige Löschung aus den produktiven Systemen. Lediglich in Backup-Systemen können Reste noch kurzzeitig verbleiben. Spieler können nach Beendigung ihrer Mitgliedschaft Auskunft über die gespeicherten Daten verlangen. Das Recht auf Auskunft nach Artikel 15 DSGVO bleibt unberührt. Der Anbieter muss dann auflisten, welche Kategorien von Daten er zu welchem Zweck vorhält. Ein Widerspruch gegen die Speicherung ist möglich, führt aber bei gesetzlicher Pflicht nicht zur Löschung. Stattdessen erfolgt eine Sperrung der Daten für andere Zwecke als die gesetzliche Dokumentation. So wird verhindert, dass der Spieler weiterhin Werbemails erhält. Werden Daten in Drittstaaten außerhalb der EU übermittelt, gelten zusätzliche Schutzvorschriften. Viele deutsche Anbieter nutzen jedoch Rechenzentren innerhalb der Europäischen Union. Dies erhöht die Datensicherheit und erleichtert die rechtliche Kontrolle. Verstöße gegen Speicherfristen können durch die Datenschutzbeauftragten der Länder sanktioniert werden. Die Bußgeldbescheide erreichen oft empfindliche Höhen, um Abschreckungswirkung zu erzielen.

Das Zusammenspiel von LUGAS und OASIS

LUGAS steht für das länderübergreifende Glücksspielaufsichtssystem. Es speichert Daten zur Einhaltung des Einzahlungslimits und zur Verhinderung von Parallelspiel. Wenn ein Spieler sich bei einem Casino einloggt, wird dieser Status an LUGAS gemeldet. Solange diese Sitzung aktiv ist, kann er sich bei keinem anderen deutschen Anbieter anmelden. Die Speicherung dieser Daten erfolgt in Echtzeit. Die Löschung des Aktivitätsstatus erfolgt normalerweise sofort nach dem Logout. Allerdings werden die summierten Einzahlungsbeträge für den laufenden Kalendermonat gespeichert. Am Ersten eines jeden Monats wird der Zähler für das 1000-Euro-Limit zurückgesetzt. Die historischen Daten der Zahlungen verbleiben jedoch in den Systemen der Anbieter. OASIS hingegen ist die bundesweite Sperrdatei. Hier werden Daten von Spielern gespeichert, die sich selbst gesperrt haben oder fremdgesperrt wurden. Eine Selbstsperre dauert mindestens drei Monate. Eine Fremdsperre hat eine Regellaufzeit von einem Jahr, sofern nichts anderes festgelegt wurde. Die Daten in OASIS umfassen Name, Geburtsname, Vorname, Geburtsdatum, Geburtsort und Anschrift. Auch Lichtbilder können hinterlegt werden. Diese Daten bleiben so lange gespeichert, wie die Sperre aktiv ist. Nach Ablauf der Sperre kann ein Antrag auf Aufhebung gestellt werden. Erst nach der erfolgreichen Aufhebung werden die Daten nach einer gewissen Frist aus der aktiven Datei entfernt. Die Protokollierung der Sperre selbst bleibt jedoch für die Aufsichtsbehörden nachvollziehbar. Dies dient der Rechtssicherheit für Anbieter und Spieler gleichermaßen. Bei Streitigkeiten über den Zugang zum Spiel fungieren diese Protokolle als Beweismittel. Die Vernetzung dieser Systeme zeigt die Komplexität der modernen Glücksspielregulierung. Datenschutzrechtlich stellt dies eine große Herausforderung dar. Nur durch strikte Zweckbindung der Daten kann das Vertrauen der Nutzer erhalten bleiben. Die GGL achtet peinlich genau darauf, dass keine unnötigen Datenberge angehäuft werden. Jeder Datensatz muss einen klaren gesetzlichen Zweck erfüllen.

Unterschiede zu Anbietern ohne deutsche Lizenz

Anbieter aus Regionen wie Curaçao oder oft auch aus Malta unterliegen anderen Regeln. Zwar gilt innerhalb der EU die DSGVO, doch die Durchsetzung in Malta gestaltet sich oft schwierig. Casinos aus Übersee ignorieren europäische Datenschutzstandards häufig komplett. Dort werden Daten teilweise unbegrenzt gespeichert oder an Dritte verkauft. Spieler haben bei diesen Anbietern kaum rechtliche Handhabe. Werden Gewinne nicht ausgezahlt, fehlen oft dokumentierte Belege in greifbarer Form. Deutsche Behörden können bei unlizenzierten Anbietern keinen Schutz bieten. Die GGL warnt daher ausdrücklich vor der Nutzung solcher Plattformen. Die Speicherung der Daten erfolgt dort oft auf Servern in instabilen Rechtsräumen. Ein Zugriff durch Hacker ist bei mangelhaften Sicherheitsvorkehrungen ein reales Risiko. Zudem nutzen illegale Anbieter die Daten oft für aggressives Marketing über SMS oder Telefonanrufe. Im Gegensatz dazu bieten deutsche Lizenznehmer eine garantierte Löschung nach Ablauf der Fristen. Die Überwachung durch die GGL stellt eine hohe Hürde für Datenmissbrauch dar. Wer Wert auf seine Privatsphäre legt, sollte daher ausschließlich bei legalen Anbietern spielen. Die Transparenzberichte der legalen Casinos geben Auskunft über den Umgang mit Nutzerinformationen. Diese Dokumente sind auf den Webseiten meist im Fußbereich unter Datenschutzhinweise verlinkt. Es empfiehlt sich, diese vor der Registrierung gründlich zu lesen. Dort finden sich oft auch die Kontaktdaten der betrieblichen Datenschutzbeauftragten. Anfragen zur Datenlöschung sollten immer schriftlich, idealerweise per E-Mail, gestellt werden. So lässt sich der Zeitpunkt der Anfrage im Streitfall belegen. Seriöse Anbieter bestätigen den Eingang und informieren über die nächsten Schritte. Sollte eine Löschung aufgrund gesetzlicher Fristen abgelehnt werden, muss der Anbieter dies begründen. Eine pauschale Ablehnung ohne Nennung der Rechtsgrundlage ist nicht zulässig.

Handhabung von Protokolldaten und Serverlogs

Neben den Stammdaten fallen technische Protokolldaten an. Diese IP-Adressen und Browser-Informationen dienen der Betrugserkennung. Multi-Accounting und Bonusmissbrauch werden so aufgespürt. Die Speicherfrist für solche rein technischen Logs ist meist deutlich kürzer. Oft werden diese Daten nach 30 bis 90 Tagen gelöscht oder anonymisiert. Sie enthalten keine direkten Klardaten, können aber unter Umständen Personen zugeordnet werden. Die DSGVO stuft auch IP-Adressen als personenbezogene Daten ein. Daher müssen auch hierfür klare Löschkonzepte existieren. Sicherheitsrelevante Logs, die Angriffe auf die IT-Struktur dokumentieren, dürfen länger aufbewahrt werden. Dies liegt im berechtigten Interesse des Casino-Betreibers zur Abwehr von Gefahren. Die Verhältnismäßigkeit muss dabei stets gewahrt bleiben. Wenn ein Konto wegen Verdacht auf Betrug gesperrt wird, verlängern sich alle Fristen. In solchen Fällen dienen die Daten der Vorbereitung gerichtlicher Auseinandersetzungen. Solche Beweissicherungsspeicherungen sind rechtlich zulässig. Sie enden, sobald der Vorgang final abgeschlossen ist oder Verjährung eintritt. Zivilrechtliche Ansprüche verjähren in Deutschland meist nach drei Jahren zum Jahresende. Bis zu diesem Zeitpunkt behalten viele Casinos relevante Korrespondenz zurück. Das schützt den Anbieter vor unberechtigten Rückforderungen oder Klagen. Für den Spieler bedeutet dies, dass Kommunikation mit dem Support ebenfalls archiviert wird. Chats und E-Mails sind Teil der Kundenhistorie. Werden dort spielsuchtrelevante Aussagen getroffen, muss das Casino reagieren. Ein Hinweis auf mangelnde Kontrolle über das Spielverhalten führt zur sofortigen Sperrprüfung. Die Dokumentation solcher Vorfälle ist für den Spielerschutz essenziell. Es zeigt, dass das Casino seiner Sorgfaltspflicht nachkommt. Die Archivierung dient hier also direkt dem Schutz des Individuums.

Datenschutzrechte der Spieler in der Praxis

Jeder Nutzer hat das Recht auf Portabilität seiner Daten. Das bedeutet, man kann verlangen, die eigenen Daten in einem gängigen Format zu erhalten. Dies ist in Artikel 20 DSGVO verankert. In der Casino-Branche wird dieses Recht selten genutzt, ist aber vorhanden. Wichtiger ist das Recht auf Berichtigung falscher Daten. Sollte sich die Adresse ändern, muss dies zeitnah im System aktualisiert werden. Veraltete Daten können bei einer Gewinnauszahlung zu erheblichen Verzögerungen führen. Die Verifizierung muss immer mit den aktuellen Meldedaten übereinstimmen. Casinos sind verpflichtet, die Datenqualität hochzuhalten. Regelmäßige Abgleiche mit Meldebehörden finden zwar nicht statt, aber bei jeder Auszahlung erfolgt eine Prüfung. Spieler sollten von sich aus Änderungen mitteilen. Ein proaktives Datenmanagement verhindert Missverständnisse. Wenn ein Konto inaktiv ist, wird es nach einer gewissen Zeit automatisch deaktiviert. Die Speicherung läuft ab diesem Moment als Archivierung weiter. Ein Zugriff auf die Spielehistorie ist für den Nutzer dann meist nicht mehr möglich. Er muss sich an den Kundensupport wenden, um Auskunft zu erhalten. Die Kosten für solche Auskünfte darf das Casino dem Spieler nicht in Rechnung stellen. Die DSGVO sieht vor, dass die erste Kopie der Daten kostenlos bereitgestellt wird. Erst bei exzessiven Anfragen dürfen Gebühren erhoben werden. Dies ist im regulierten deutschen Markt jedoch unüblich. Die Transparenz gegenüber dem Kunden wird als Qualitätsmerkmal angesehen. Nutzer sollten darauf achten, dass die Datenschutzrichtlinie des Casinos leicht auffindbar ist. Dort müssen alle Empfänger der Daten genannt werden. Dazu gehören auch Zahlungsdienstleister wie PayPal oder Sofortüberweisung. Diese Partner haben eigene Speicherfristen, die unabhängig vom Casino gelten. Banken unterliegen ebenfalls dem Geldwäschegesetz und bewahren Transaktionsdaten mindestens fünf Jahre auf. Das Geflecht aus verschiedenen Dienstleistern macht die Datenlöschung komplex.

Archivierung und steuerliche Aspekte

Gewinne aus Glücksspiel sind für Spieler in Deutschland in der Regel steuerfrei. Dennoch muss das Casino seine Umsätze gegenüber dem Finanzamt nachweisen. Die Rennwett- und Lotteriegesetzgebung sieht spezifische Dokumentationspflichten vor. Hier greift die Abgabenordnung mit einer Frist von zehn Jahren für Buchungsbelege. Da jede Wette eines Spielers einen Geschäftsvorfall darstellt, sind diese Daten betroffen. Allerdings reicht dem Finanzamt oft eine anonymisierte Form der Abrechnung. Dennoch speichern viele Buchhaltungssysteme den Bezug zur Transaktionsnummer. Über diese Nummer lässt sich wiederum der Spieler identifizieren. Die Trennung zwischen operativen Daten und Buchhaltungsdaten ist daher entscheidend. Während die Marketingdaten nach dem Ende der Geschäftsbeziehung schnell gelöscht werden müssen, bleiben die Finanzdaten im Archiv. Diese Backups sind für den normalen Casinobetrieb nicht mehr zugänglich. Nur befugte Personen aus der Finanzabteilung oder Prüfer des Finanzamts haben Zugriff. Nach Ablauf der zehn Jahre erfolgt die endgültige Vernichtung der Datenträger oder die unwiderrufliche Löschung der Datenbankeinträge. Für Spieler ist es beruhigend zu wissen, dass diese Daten nicht für Profiling genutzt werden dürfen. Ein Profiling zu Werbezwecken erfordert eine separate Einwilligung nach Artikel 6 DSGVO. Diese Einwilligung kann jederzeit widerrufen werden. Der Widerruf der Werbe-Einwilligung hat keinen Einfluss auf die rechtlich vorgeschriebene Speicherung. Wer also nicht mehr kontaktiert werden möchte, kann dies einfach im Profil einstellen. Die Daten bleiben im Hintergrund dennoch gespeichert, bis die gesetzlichen Fristen verstrichen sind. Dies ist kein böser Wille der Anbieter, sondern strikte Gesetzestreue. Die GGL kontrolliert regelmäßig, ob Anbieter diese Grenzen einhalten. Bei Überprüfung der IT-Systeme wird auch das Löschkonzept auditiert. Ein fehlendes oder mangelhaftes Löschkonzept gilt als schwerwiegender Verstoß.

Zusammenfassung und Empfehlungen zum Datenumgang

Nutzer sollten sich bewusst sein, dass im regulierten Glücksspiel Anonymität nicht vorgesehen ist. Die Sicherheit des legalen Marktes erkauft man sich mit der Preisgabe von persönlichen Daten. Dies dient jedoch dem Schutz vor Betrug und Spielsucht. Ein verantwortungsvolles Umfeld benötigt valide Daten zur Überwachung. Wer seine Daten löschen lassen möchte, sollte dies direkt nach der Kontoschließung formell beantragen. Auch wenn die fünfjährige Frist eine sofortige Löschung verhindert, wird durch den Antrag die Zweckbindung eingeschränkt. Die Daten dürfen dann nur noch zur Erfüllung gesetzlicher Pflichten genutzt werden. Eine weitere Verwendung für Analysen oder Marketing ist dann ausgeschlossen. Das gibt dem Spieler die Kontrolle über seine Informationen zurück. Achten Sie bei der Wahl des Casinos immer auf das Siegel der GGL. Nur dort sind die strengen deutschen Datenschutzstandards garantiert. Anbieter ohne Lizenz stellen ein erhebliches Risiko für die Datensicherheit dar. Wenn Sie das Gefühl haben, die Kontrolle über Ihr Spielverhalten zu verlieren, suchen Sie Hilfe. Informationen und Unterstützung bietet die BZgA anonym und kostenfrei unter der Nummer 0800 1 372 700 an. Der Schutz Ihrer Gesundheit ist wichtiger als jeder Datensatz. Transparenz im Umgang mit Daten ist ein Zeichen für Seriosität. Nutzen Sie Ihre Rechte als Spieler und fordern Sie bei Bedarf Auskunft ein. So bleiben Sie stets informiert, welche Spuren Sie im digitalen Casino hinterlassen haben. Ein sauberer Abschluss einer Spielbeziehung beinhaltet immer auch die Klärung der Datenfrage. Verlangen Sie eine Bestätigung über die Wirksamkeit Ihrer Löschungsanfrage für die Zukunft. Seriöse Betreiber kommen dieser Bitte gerne nach. Die rechtsichere Speicherung ist letztlich ein Grundpfeiler des fairen Glücksspiels in Deutschland.