Datenschutz von Casino-Apps: Diese Berechtigungen sind zu viel

Mobile Geräte prägen den Markt für virtuelles Glücksspiel in Deutschland. Über 70 Prozent aller Einsätze bei lizenzierten Anbietern erfolgen mittlerweile über Smartphones und Tablets. Mit dieser Verlagerung auf mobile Endgeräte geht eine deutliche Verschiebung der Datenschutzdynamik einher. Während klassische Browser-Sitzungen durch Sandboxing und streng modulierte Cookie-Richtlinien geschützt sind, fordern native Applikationen direkten Zugriff auf Hardwarekomponenten. Nutzer stehen vor der Herausforderung, funktionale Anforderungen von unzulässigen Datenerhebungen zu unterscheiden. Die EU-Datenschutz-Grundverordnung (DSGVO) etabliert in Artikel 5 den Grundsatz der Datenminimierung. Trotzdem verlangen zahlreiche App-Betreiber Zugriffsrechte, die weit über das betrieblich Notwendige hinausgehen.

Ein Smartphone speichert hochsensible Informationen. Dazu gehören Kontaktdaten, Bewegungsprofile, biometrische Merkmale, Fotos und Zahlungsverläufe. Wer einer Mobile-App unbedacht Zugriff gewährt, öffnet Anbietern und eingebundenen Drittanbietern ein Fenster zum eigenen Privatleben. Die Betriebssysteme Android und iOS verfügen zwar über differenzierte Rechteverwaltungssysteme. Die Praxis zeigt jedoch, dass viele Spieler Berechtigungsanfragen ohne genaue Prüfung bestätigen. Um Risiken wie Identitätsdiebstahl, ungewolltes Profiling oder unbefugte Datenweitergabe zu vermeiden, ist eine detaillierte Analyse der geforderten Schnittstellen unerlässlich.

Rechtliche Grundlagen: GlüStV 2021 und DSGVO im Spannungsfeld

Seit dem 1. Juli 2021 regelt der Glücksspielstaatsvertrag (GlüStV 2021) das Online-Glücksspiel in Deutschland auf einer einheitlichen bundesweiten Rechtsgrundlage. Aufsichtsbehörde ist die Gemeinsame Glücksspielbehörde der Länder (GGL) mit Sitz in Halle (Saale). Der Gesetzgeber verfolgt mit dem Vertrag strenge Kanalisierungs- und Spielerschutzziele. Daraus ergeben sich konkrete rechtliche Pflichten für Betreiber virtueller Automatenspiele und Online-Casinos. Gemäß § 4 Abs. 5 GlüStV 2021 ist die Ausrichtung von Glücksspielen an Personen verboten, die sich außerhalb Deutschlands aufhalten. Daraus leitet sich die Notwendigkeit einer präzisen Standortverifizierung ab.

Gleichzeitig verlangt Artikel 5 Abs. 1 lit. c DSGVO, dass personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein müssen. Glücksspielanbieter bewegen sich in einem regulatorischen Korridor zwischen gesetzlicher Verpflichtung und Datenschutz. Die Übermittlung von Spielerdaten an staatliche Aufsichtssysteme wie die zentrale LUGAS-Limitdatei nach § 6a GlüStV 2021 oder das OASIS-Sperrsystem nach § 6b GlüStV 2021 erfolgt serverseitig über verschlüsselte Schnittstellen. Hierfür benötigt die mobile Applikation auf dem Endgerät keinerlei erweiterte Systemrechte außer einer stabilen Datenverbindung.

Notwendige Berechtigungen: Was eine legale Casino-App wirklich braucht

Der ungestörte Betrieb einer Casino-App erfordert ein Minimum an technischen Zugriffen. An erster Stelle steht die Berechtigung zur Nutzung der Netzwerkschnittstelle. Ohne Internetverbindung kann keine Verbindung zu den Spielservern hergestellt werden. Datenpakete müssen über gesicherte TLS-1.3-Verbindungen übertragen werden. Der Netzwerkzugriff erlaubt dem System auch, den aktuellen Authentifizierungsstatus des Spielers kontinuierlich zu überprüfen. Dies ist zwingend erforderlich, um Mehrfachanmeldungen zu verhindern und den gesetzlich vorgeschriebenen Abgleich mit den zentralen Kontrolldateien der GGL durchzuführen.

Die Standortabfrage bildet eine weitere funktionale Grundvoraussetzung. Das Glücksspielrecht verlangt Geofencing, um sicherzustellen, dass sich der Nutzer physisch innerhalb der Bundesrepublik Deutschland befindet. Unter Android und iOS wird hierfür der Standortzugriff angefragt. Rechtlich zulässig ist diese Abfrage während der aktiven App-Nutzung. Die Betriebssysteme unterscheiden zwischen genauer und ungefährer Standortbestimmung. Für die Erfüllung der Vorgaben nach § 4 Abs. 5 GlüStV 2021 reicht in der Regel eine stadtteilgenaue oder koordinatenbasierte Prüfung beim Start der App oder beim Platzieren eines Einsatzes aus.

Die Biometrie-Schnittstelle dient der Nutzerfreundlichkeit und der Account-Sicherheit. Apple Face ID, Touch ID oder der Android BiometricPrompt ermöglichen das schnelle Entsperren des Spielkontos. Wichtig aus Datenschutzperspektive: Die App erhält niemals Zugriff auf die eigentlichen Biometriedaten wie Fingerabdrücke oder Gesichts-Scans. Die Verarbeitung verbleibt vollständig in der isolierten Hardwareumgebung des Smartphones, etwa dem Secure Enclave Chip. Die App erhält lediglich ein kryptografisches Bestätigungssignal. Diese Berechtigung ist datenschutzrechtlich unbedenklich und erhöht den Schutz vor unbefugtem Zugriff durch Dritte.

Exzessive Berechtigungen: Unzulässige Zugriffe identifizieren

Zahlreiche Casino-Apps verlangen Zugriff auf das lokale Adressbuch des Smartphones. Diese Berechtigung ist für den eigentlichen Spielbetrieb vollkommen irrelevant. Betreiber nutzen Kontaktzugriffe häufig für aggressive Marketingmaßnahmen, Einladungs-Systeme oder das Erstellen von Beziehungsnetzwerken für Risikobewertungen. Aus DSGVO-Sicht ist das Auslesen von Kontaktdaten ohne explizite Einwilligung aller betroffenen Kontaktpersonen rechtswidrig. Wenn eine Glücksspiel-App Zugriff auf Ihre Kontakte fordert, sollten Sie diese Anfrage verweigern. Erfordert die App den Zugriff zwingend, deutet dies auf unseriöse Geschäftspraktiken hin.

Das Mikrofon des Smartphones hat in einer legalen Casino-App keine berechtigte Funktion. Es gibt keine Spielmechanik im regulierten deutschen Markt, die Sprachsteuerung erfordert. Ein gewährter Mikrofonzugriff birgt das Risiko verdeckter Hintergrundaufnahmen zu Profilierungszwecken. Der Zugriff auf die Kamera ist hingegen in einem eng begrenzten Kontext legitim: Während des Identitätsprüfungsverfahrens (KYC) zur Erfüllung des Geldwäschegesetzes (GwG) kann die Kamera für die Aufnahme von Ausweisdokumenten erforderlich sein. Nach Abschluss der Verifizierung muss dieser Zugriff widerrufen werden oder auf die aktive Kameranutzung beschränkt bleiben.

Der Zugriff auf den externen Speicher, Fotos oder Mediadateien stellt ein weiteres Erheblichkeitsrisiko dar. Veraltete Android-Apps forderten diese Berechtigung, um Spieldaten lokal abzuspeichern. Moderne Betriebssysteme bieten dafür isolierte App-Speicherbereiche (Scoped Storage), die ohne allgemeine Speicherrechte auskommen. Gewähren Sie einer App Lese- und Schreibrechte auf den gesamten Dateispeicher, kann diese persönliche Fotos, Dokumente und Downloads auslesen. Für das Abspeichern von Spielprotokollen oder Quittungen reichen systeminterne Ordner vollständig aus.

Drittanbieter-SDKs und verdecktes Tracking in Mobil-Apps

Das größte Datenschutzrisiko geht oft nicht vom Spieleanbieter selbst aus, sondern von integrierten Software Development Kits (SDKs) Dritter. Analyse-Tools wie AppsFlyer, Adjust, Google Firebase oder das Meta-SDK sammeln umfangreiche Telemetriedaten. Sie erfassen Geräte-IDs wie die Identifier for Advertisers (IDFA auf iOS) oder die Google Advertising ID (GAID auf Android). Diese Daten ermöglichen es Werbenetzwerken, Nutzer über verschiedene Applikationen hinweg zu verfolgen und detaillierte Verhaltensprofile zu erstellen.

Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) bedarf das Speichern von Informationen auf dem Endgerät oder der Zugriff auf bereits gespeicherte Informationen der ausdrücklichen, aktiven Einwilligung des Nutzers. Ein wirksames Consent Management Platform (CMP) Banner muss vor der Initialisierung solcher SDKs eingeblendet werden. Fehlt ein solches Zustimmungsmenü oder werden Tracking-Daten bereits vor der Entscheidung des Nutzers übertragen, liegt ein schwerwiegender Verstoß gegen deutsches und europäisches Datenschutzrecht vor.

Risikoreich sind auch sogenannte Fingerprinting-Techniken. Hierbei kombinieren SDKs Systemparameter wie Akkustand, Schriftarten, Bildschirmauflösung und Netzwerkverbindungen zu einem eindeutigen digitalen Fingerabdruck. Fingerprinting wird eingesetzt, um Werbeblocker und Datenschutzeinstellungen des Betriebssystems zu umgehen. Lizenzierte deutsche Anbieter sind durch die Vorschriften der GGL dazu angehalten, datenschutzkonforme Lösungen einzusetzen. Unregulierte Plattformen nutzen Fingerprinting hingegen exzessiv zur Monetarisierung von Nutzerdaten.

Unterschiede zwischen GGL-Anbietern und Offshore-Casinos

Die Rechtsform und Regulierung eines Anbieters hat direkten Einfluss auf die Datensicherheit. Auf der offiziellen Whitelist der GGL geführte Betreiber unterliegen ständigen Kontrollen deutscher Datenschutzbehörden. Datenverarbeitungen im Rahmen der LUGAS-Limitdatei (§ 6a GlüStV) dienen dem gesetzlichen Auftrag zur Vermeidung von Glücksspielsucht. Die Daten werden pseudonymisiert und ausschließlich für den festgelegten Zweck verwendet. Eine kommerzielle Verwertung oder Weitergabe an Werbepartner ist gesetzlich strikt untersagt.

Im Gegensatz dazu operieren Offshore-Casinos mit Lizenzen aus Curaçao, Anjouan oder der Malta Gaming Authority (MGA) außerhalb des deutschen Rechtsrahmens. Viele dieser Anbieter stellen ihre Apps nicht über die offiziellen Stores von Google oder Apple bereit, sondern verlangen den Download sogenannter APK-Dateien von externen Websites. Dieser Vorgang wird als Sideloading bezeichnet. Beim Sideloading hebelt der Nutzer wichtige Schutzmechanismen des Betriebssystems aus. Android-Geräte warnen ausdrücklich vor der Installation aus unbekannten Quellen.

Die Installation unüberprüfter APK-Dateien birgt erhebliche Gefahren. Bösartige Entwickler können den Quellcode manipuliert haben, um Trojaner, Keylogger oder Screen-Parser zu integrieren. Solche Schadsoftware ist in der Lage, Zugangsdaten zum Online-Banking abzufangen, SMS-TANs mitzulesen oder unbefugte Transaktionen durchzuführen. Sicherheitsbewusste Spieler sollten ausnahmslos auf die Nutzung von Sideloading-APKs verzichten und ausschließlich native Apps aus dem offiziellen Google Play Store oder Apple App Store installieren.

Praktische Anleitung: Berechtigungen auf Android prüfen

Android bietet ab Version 12 eine transparente Berechtigungsverwaltung über das sogenannte Datenschutz-Dashboard. Um die Rechte einer installierten Casino-App zu überprüfen, öffnen Sie die Systemeinstellungen Ihres Smartphones. Navigieren Sie zum Menüpunkt 'Apps' und wählen Sie die entsprechende App aus der Liste aus. Tippen Sie auf den Unterpunkt 'Berechtigungen'. Hier sehen Sie eine Aufschlüsselung in die Kategorien 'Zugelassen' und 'Nicht zugelassen'.

Überprüfen Sie jede einzelne Berechtigung kritisch. Der Standortzugriff sollte idealerweise auf die Option 'Nur beim Verwenden der App' eingestellt sein. Verweigern Sie den Zugriff auf Kontakte, Fotos, Medien, Mikrofon und Anruflisten vollständig. Sollte die App nach dem Entzug dieser Rechte die Ausführung verweigern, ist dies ein deutliches Warnsignal. Eine funktionale Casino-App muss auch ohne Zugriff auf private Mediendateien oder Telefonfunktionen ordnungsgemäß arbeiten.

Praktische Anleitung: Berechtigungen auf iOS prüfen

Apple integriert unter iOS strengere Datenschutzvorgaben für App-Entwickler. Öffnen Sie die App 'Einstellungen' auf Ihrem iPhone oder iPad und scrollen Sie nach unten, bis Sie den Namen der Casino-App finden. Nach dem Antippen sehen Sie alle aktuell gewährten Freigaben. Dazu gehören der Standort, Mitteilungen, Hintergrundaktualisierung und mobile Daten. Schalten Sie den Schalter bei 'Präziser Standort' ab, sofern die Geofencing-Prüfung des Anbieters auch mit dem ungefähren Standort funktioniert.

Nutzen Sie unter iOS 15 und neuer die Funktion 'App-Datenschutzbericht'. Rufen Sie dazu 'Einstellungen' > 'Datenschutz & Sicherheit' > 'App-Datenschutzbericht' auf. Aktivieren Sie die Funktion, falls noch nicht geschehen. Das System protokolliert nun über sieben Tage hinweg genau, wie oft die Casino-App auf Standort, Kamera, Mikrofon oder Kontakte zugegriffen hat. Zudem zeigt der Bericht auf, mit welchen externen Domains und Servern die App im Hintergrund Daten ausgetauscht hat.

Betroffenenrechte nach der DSGVO wirksam durchsetzen

Als Nutzer haben Sie gegenüber jedem in der EU agierenden Casino-Betreiber umfassende Rechte. Artikel 15 DSGVO gewährt Ihnen das Recht auf Auskunft über alle zu Ihrer Person gespeicherten Daten. Sie können vom Anbieter eine kostenlose Kopie verlangen, die sämtliche verarbeiteten Profildaten, Login-Protokolle, IP-Adressen und erstellten Verhaltensanalysen enthält. Der Betreiber ist verpflichtet, dieser Anfrage innerhalb eines Monats nachzukommen.

Das Recht auf Löschung nach Artikel 17 DSGVO erlaubt es Ihnen, die Löschung Ihrer personenbezogenen Daten zu verlangen. Beachten Sie jedoch gesetzliche Aufbewahrungsfristen. Aufzeichnungspflichten aus § 147 Abgabenordnung (AO) und § 257 Handelsgesetzbuch (HGB) zwingen Betreiber dazu, steuer- und handelsrelevante Daten sowie Verifizierungsdokumente für bis zu zehn Jahre aufzubewahren. Reine Marketingprofile und Tracking-Daten müssen hingegen unverzüglich gelöscht werden, wenn Sie Ihre Einwilligung widerrufen.

Sicherheitsregeln und Spielerschutz im mobilen Bereich

Datenschutz bei mobilen Glücksspiel-Apps erfordert ein hohes Maß an Eigenverantwortung. Beschränken Sie App-Rechte auf das absolut notwendige Minimum. Nutzen Sie im Zweifel die mobile Website im Browser anstelle einer nativen App, da Browser-Sandboxing zusätzlichen Schutz vor unerlaubten Hardwarezugriffen bietet. Vermeiden Sie Angebote unlizenzierter Anbieter ohne GGL-Konzession. Der Schutz persönlicher Daten steht in direktem Zusammenhang mit finanziellem Spielerschutz und persönlicher Sicherheit.

Glücksspiel birgt Risiken und kann zu finanziellem Verlust sowie Spielsucht führen. Spielen Sie verantwortungsbewusst und setzen Sie sich persönliche Limits. Wenn Sie bei sich oder Angehörigen Anzeichen von problematischem Spielverhalten bemerken, nehmen Sie umgehend professionelle Hilfe in Anspruch. Die Bundeszentrale für gesundheitliche Aufklärung (BZgA) bietet kostenlose und anonyme Beratung an. Sie erreichen die BZgA-Hotline unter der Telefonnummer 0800 1 372 700.