DSGVO und Datenweitergabe in Online Casinos: Rechte, Risiken und OASIS

DSGVO und Datenweitergabe in Online Casinos unterliegen strengen Regeln, da Anbieter personenbezogene Daten nur mit Rechtsgrundlage verarbeiten dürfen. Spieler haben gemäß Art. 15 DSGVO einen Auskunftsanspruch über gespeicherte Daten. Die Weitergabe an OASIS oder Zahlungsdienstleister ist gesetzlich vorgeschrieben, während Marketing-Datenweitergaben ohne Einwilligung unzulässig sind. Bei Verstößen drohen Bußgelder und Rückzahlungsansprüche.

Rechtliche Grundlagen: Das Spannungsfeld zwischen GlüStV 2021 und DSGVO

Der Glücksspielstaatsvertrag 2021 und die DSGVO verfolgen unterschiedliche Ziele: Während der GlüStV maximale Transparenz zur Suchtprävention fordert, begrenzt die DSGVO die Datenverarbeitung auf das notwendige Maß. Diese divergierenden Anforderungen stellen Betreiber vor komplexe Compliance-Herausforderungen, da sie beide Rechtsrahmen parallel einhalten müssen.

Konflikt zwischen Meldepflichten und Datenminimierung

Der Glücksspielstaatsvertrag 2021 verpflichtet Anbieter zur Meldung von Spielerdaten an zentrale Register wie OASIS, um Spielsucht und Betrug zu bekämpfen. Diese umfangreiche Datenerhebung kollidiert direkt mit dem Prinzip der Datenminimierung aus der Datenschutz-Grundverordnung, das eine Beschränkung der Verarbeitung auf das notwendige Maß fordert. Kritiker argumentieren, dass die anlasslose Vorratsspeicherung von Daten aller Spieler, auch solcher ohne Suchtmerkmale, datenschutzrechtlich fragwürdig ist. Das Bundesdatenschutzgesetz ergänzt hierbei die europäische Verordnung als nationale Spezialregelung, muss sich jedoch der Vorrangigkeit der DSGVO unterordnen, wenn es um grundlegende Verarbeitungsprinzipien geht. Die Herausforderung liegt darin, die gesetzlichen Meldepflichten des GlüStV 2021 mit den hohen Schutzstandards der DSGVO in Einklang zu bringen, ohne die Privatsphäre der Nutzer unverhältnismäßig einzuschränken.

Rolle der Gemeinsamen Glücksspielbehörde der Länder

Die Gemeinsame Glücksspielbehörde der Länder (GGL) fungiert als zentrale Aufsichtsinstanz für den legalen Glücksspielmarkt in Deutschland. Sie überwacht die Einhaltung der Vorgaben des Glücksspielstaatsvertrag 2021, einschließlich der technischen Anbindung an die Sperrsysteme. Obwohl die GGL primär glücksspielrechtliche Compliance prüft, hat ihre Aufsichtsfunktion direkte Auswirkungen auf den Datenschutz, da sie die korrekte Datenübermittlung an die Limitdatei und Sperrdatei kontrolliert. Ein Versagen der Gemeinsame Glücksspielbehörde der Länder bei der Durchsetzung dieser Standards könnte zu unrechtmäßigen Datenflüssen führen. Parallel dazu zeigt die Entscheidung des maltesischen Datenschutzbeauftragten vom Juli 2024, dass auch ausländische Behörden Verstöße gegen die Datenschutz-Grundverordnung ahnden, was die Position deutscher Spieler stärkt.

Privacy by Design und technische Compliance

Technische Systeme müssen gemäß dem Prinzip "Privacy by Design" konzipiert sein, um DSGVO-Konformität von Anfang an zu gewährleisten. Dies bedeutet, dass Daten nur dann erhoben werden, wenn sie für einen spezifischen, legitimen Zweck erforderlich sind. Das Bundesdatenschutzgesetz fordert hier eine strenge Zweckbindung, die durch technische Vorkehrungen in der Casino-Software implementiert werden muss. Anbieter sollten Datenautomatisierung nutzen, um manuelle Fehler zu minimieren und die Datenminimierung technisch durchzusetzen. Nur so lässt sich sicherstellen, dass die Anforderungen der Datenschutz-Grundverordnung und des Glücksspielstaatsvertrag 2021 parallel erfüllt werden, ohne dass Spielerdaten unnötig exponiert werden.

Ein zentraler Aspekt ist hierbei das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO. Jedes Online Casino muss dieses Verzeichnis führen, um lückenlos zu dokumentieren, welche Daten zu welchem Zweck verarbeitet werden, wer Zugriff hat und wie lange die Speicherung dauert. Fehlt dieses Verzeichnis oder ist es unvollständig, gilt dies bereits als schwerwiegender Verstoß gegen die Transparenzpflichten. Zudem muss ein klares Löschkonzept existieren, das definiert, wann Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen oder nach Widerruf einer Einwilligung automatisch und sicher gelöscht werden. Ohne ein solches Konzept riskieren Anbieter, dass Daten länger gespeichert werden als rechtlich zulässig, was die Gefahr von Datenlecks erhöht.

Zentrale Register: OASIS, Limitdatei und Sperrdatei

Die DSGVO und Datenweitergabe in Online Casinos unterliegen strengen Vorgaben des Glücksspielstaatsvertrags 2021. Anbieter müssen Spielerdaten in Echtzeit an die zentralen Register der Gemeinsamen Glücksspielbehörde der Länder (GGL) übermitteln. Dies umfasst die Limitdatei zur Kontrolle von Einzahlungsgrenzen, die Aktivitätsdatei zur Verhinderung von Parallelspiel und die Sperrdatei im Spielersperrsystem OASIS. Diese Datenverarbeitung ist keine freiwillige Maßnahme, sondern eine gesetzliche Pflicht zur Erfüllung rechtlicher Verpflichtungen gemäß Art. 6 Abs. 1 lit. c DSGVO.

Funktionsweise der Limitdatei und Aktivitätsdatei

Vor jeder Einzahlung sind Online-Glücksspielanbieter verpflichtet, Identifikationsdaten und die geplante Einzahlungshöhe an die Limitdatei zu senden. Zu den verarbeiteten personenbezogenen Daten zählen Vor- und Nachname, Geburtsdatum, Anschrift sowie das anbieterübergreifende Einzahlungslimit und die Historie getätigter Transaktionen. Diese übermittlung dient der Durchsetzung der gesetzlichen Obergrenzen und stellt eine rechtfertigungsbedürftige Datenverarbeitung dar.

Parallel führt die Hessische Glücksspielbehörde die Aktivitätsdatei, um paralleles Spielen im Internet zu unterbinden. Hier werden Name, Geburtsdaten und der aktuelle Aktivitätsstatus gespeichert. Gemäß dem Prinzip der Datenminimierung müssen diese Daten gelöscht werden, sobald der Abgleich abgeschlossen ist. eine anlasslose Vorratsspeicherung ist unzulässig. Spieler haben hierbei einen klaren Auskunftsanspruch über die Verarbeitung ihrer Daten, der nicht durch bloße Vermutungen über die Nutzung der Daten in Rechtsstreitigkeiten eingeschränkt werden darf.

Sperrdatei und OASIS-Integration

Das Spielersperrsystem OASIS ist das bundesweite Instrument zur Suchtprävention und enthält die Sperrdatei mit allen gesperrten Spielern. Der Glücksspielstaatsvertrag 2021 mandatiert die Schaffung dieses Systems, um Teilnehmer von öffentlichen Glücksspielen auszuschließen. Anbieter müssen vor der Spielteilnahme eine Echtzeit-Abfrage gegen die Sperrdatei durchführen.

Die Integration von OASIS gewährleistet, dass eine Sperre spielform- und anbieterübergreifend wirkt. Die Datenweitergabe in dieses System erfolgt zwingend zur Erfüllung der gesetzlichen Verpflichtung aus Art. 6c Abs. 4 GlüStV 2021. Wer in der Sperrdatei geführt wird, kann bei keinem lizenzierten Anbieter in Deutschland spielen, was die technische Kopplung von OASIS und den einzelnen Plattformen erfordert.

Rechtsgrundlage für die Identitätsprüfung

Die umfangreiche Identitätsprüfung (KYC) steht scheinbar im Konflikt mit der DSGVO, ist jedoch für die Eintragung in OASIS und die Limitdatei zwingend notwendig. Ohne exakte Identifikationsdaten wie Geburtsort und Anschrift ist ein zuverlässiger Abgleich mit der Sperrdatei oder der Limitdatei technisch unmöglich.

Die Hessische Glücksspielbehörde nutzt diese Daten, um die Integrität der Register zu wahren. Die Verarbeitung ist durch Art. 6 Abs. 1 lit. c DSGVO gedeckt, da sie der Erfüllung einer rechtlichen Verpflichtung dient. Spieler sollten beachten, dass die Verweigerung dieser Daten zur Kontosperrung führt, da Anbieter sonst gegen den Glücksspielstaatsvertrag 2021 verstoßen würden. Die Datenhoheit bleibt dabei bei den deutschen Behörden, nicht bei den Operatoren.

Spielerrechte: Auskunft, Löschung und Durchsetzung

Die Durchsetzung von DSGVO und Datenweitergabe in Online Casinos erfordert strategisches Vorgehen, da viele Anbieter Auskunftsbegehren verzögern. Spieler besitzen einen gesetzlichen Auskunftsanspruch nach Art. 15 DSGVO, der nicht durch pauschale Verweise auf laufende Rechtsstreitigkeiten eingeschränkt werden darf. Diese Betroffenenrechte bilden die Basis, um Transparenz über gespeicherte Daten zu erzwingen und potenzielle Verstöße gegen den Glücksspielstaatsvertrag 2021 aufzudecken.

Durchsetzung des Auskunftsanspruchs nach Art. 15

Der Auskunftsanspruch ist ein zentrales Instrument der Betroffenenrechte, das Spielern erlaubt, Einblick in die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Gemäß Art. 15 DSGVO müssen Anbieter detailliert offenlegen, welche Daten gespeichert sind und zu welchem Zweck sie genutzt werden. Anbieter verweigern die Auskunft oft mit dem Verweis auf laufende Zivilverfahren, was der Maltesische Datenschutzbeauftragte jedoch als unzulässig einstufte. Diese Argumentation ist rechtlich unhaltbar, da die DSGVO keine generelle Sperre der Auskunftspflicht vorsieht, nur weil ein Spieler möglicherweise Rückzahlungen einklagt. Die korrekte Anwendung von Art. 15 DSGVO stellt sicher, dass Transparenz nicht durch strategische Verzögerungstaktiken untergraben wird.

Entscheidung des Maltesischen Datenschutzbeauftragten

Eine wegweisende Klärung lieferte der Maltesischer Datenschutzbeauftragter, der in einer konkreten Entscheidung die Auskunftsverweigerung eines in Malta ansässigen Anbieters untersagte. Da zahlreiche Online-Casinos ihren Sitz in Malta haben, hat der Maltesischer Datenschutzbeauftragter eine erhebliche Präzedenzwirkung für deutsche Spieler. Die Behörde stellte klar, dass die Befürchtung des Anbieters, der Spieler könne die Daten für Klagen nutzen, keine legitime Grundlage für eine Einschränkung nach Art. 23 DSGVO darstellt. Diese Entscheidung des Maltesischer Datenschutzbeauftragter signalisiert, dass auch im Ausland ansässige Lizenznehmer die EU-Datenschutzgrundverordnung einhalten müssen und nicht willkürlich Auskünfte verweigern dürfen.

Zusammenhang zwischen DSGVO-Verstößen und Rückzahlungen

Rechtsanwälte wie István Cocron von CLLB Rechtsanwälte nutzen systematische DSGVO-Verstöße, um Rückzahlungsansprüche durchzusetzen. István Cocron betont, dass die Weigerung, Auskunft zu erteilen, oft Teil einer Strategie ist, um die Klageerhebung zu erschweren. CLLB Rechtsanwälte unterstützt Betroffene dabei, diese Hürden zu überwinden, indem sie auf die verbindliche Rechtslage pochen. Wenn Anbieter gegen Art. 15 DSGVO verstoßen, schwächt dies ihre Position in Zivilverfahren erheblich. István Cocron sieht in der konsequenten Verfolgung dieser Datenschutzverletzungen einen Hebel, um nicht nur Transparenz, sondern auch finanzielle Kompensation für illegal angebotene Spiele zu erwirken.

Finanztransaktionen und Drittanbieter: Financial Blocking

Die Verarbeitung von Zahlungsdaten in Online Casinos unterliegt strengen Vorgaben. Die DSGVO und Datenweitergabe in Online Casinos ist ein kritischer Prüfpunkt für die Rechtmäßigkeit des Betriebs. Während Zahlungsdienstleister wie PayPal, Klarna oder Trustly Transaktionen abwickeln, müssen sie personenbezogene Daten erheben, was oft mit dem Prinzip der Datenminimierung kollidiert. Besonders das Financial Blocking zur Sperrung illegaler Anbieter steht im Spannungsfeld mit datenschutzrechtlichen Grundsätzen, da es eine umfangreiche überwachung der Finanzströme erfordert. Spieler sollten stets prüfen, ob ihre Daten sicher an Dritte übermittelt werden und ob Auskunftsansprüche gewahrt bleiben.

Financial Blocking und Datenschutzkonflikte

Das Financial Blocking ist eine Maßnahme, die Kreditinstitute und Zahlungsdienstleister verpflichtet, Transaktionen zu illegalen Glücksspielanbietern zu unterbinden. Zur Umsetzung dieser Sperren müssen Finanzdienstleister jedoch intensiv personenbezogene Daten verarbeiten, um verdächtige Zahlungsströme zu identifizieren. Dies steht in direktem Konflikt mit der DSGVO, da die dafür notwendige Datenverarbeitung oft keine ausreichende Rechtsgrundlage besitzt. Die Erhebung zusätzlicher Daten zur Implementierung des Financial Blocking stellt eine Zweckänderung dar, die den strengen Anforderungen des Art. 6 Abs. 4 DSGVO genügen muss, was in der Praxis häufig scheitert.

Rechtsexperten argumentieren, dass eine datenschutzkonforme Umsetzung des Financial Blocking kaum möglich ist, da die Grundrechte der Betroffenen angesichts der Eingriffstiefe überwiegen. Kreditinstitute geraten somit in ein Dilemma: Sie müssen einerseits gesetzliche Sperrvorgaben einhalten, dürfen andererseits aber nicht unbefugt Daten verarbeiten. Diese Unvereinbarkeit führt dazu, dass viele Banken zögern, Konten pauschal zu sperren, ohne konkrete individuelle Verdachtsmomente, die eine Verarbeitung rechtfertigen würden.

Datenweitergabe an PayPal, Klarna und Trustly

Bei der Nutzung von E-Wallets und Sofortüberweisungen wie PayPal, Klarna oder Trustly werden zwangsläufig Spielerdaten an diese Drittanbieter übermittelt. PayPal, ein globaler Zahlungsdienstleister, sowie Klarna und Trustly, die oft als Schnittstelle zum Bankkonto dienen, benötigen Name, Adresse und Transaktionsdetails zur Abwicklung. Diese Weitergabe ist für die Vertragserfüllung notwendig, muss aber transparent erfolgen. Spieler haben gemäß Art. 15 DSGVO das Recht zu erfahren, welche Daten genau an diese Zahlungsdienstleister fließen.

Die Datenhoheit der Spieler wird durch die Einbindung externer Dienstleister weiter fragmentiert. Es ist entscheidend, dass Casinos diese Datenflüsse offenlegen, da eine intransparente Weitergabe an Auskunfteien oder andere Dritte einen Verstoß gegen die Transparenzpflichten darstellen kann.

Internationale Datenübermittlung und Schrems II

Die Datenübermittlung an Anbieter außerhalb der EU, insbesondere in Länder wie Curacao, birgt erhebliche Risiken unter dem Schrems-II-Urteil. Fehlen Angemessenheitsbeschlüsse, ist die übermittlung personenbezogener Daten rechtlich unsicher. Im Gegensatz dazu bietet Malta als EU-Mitgliedstaat einen klareren Rahmen, wobei der Maltesischer Datenschutzbeauftragte kürzlich in einer wegweisenden Entscheidung die Rechte der Spieler gestärkt hat. Ein Casino hatte einen Auskunftsantrag abgelehnt, was der Beauftragte als unzulässig einstufte.

Diese Entscheidung des Maltesischer Datenschutzbeauftragten ist ein wichtiger Präzedenzfall, da viele Anbieter in Malta sitzen. Sie zeigt, dass Auskunftsansprüche nicht mit dem Verweis auf laufende Rechtsstreitigkeiten verweigert werden dürfen. Anwaltskanzleien wie CLLB Rechtsanwälte nutzen solche Verstöße zunehmend, um Spieler bei der Durchsetzung ihrer Rechte zu unterstützen. Für deutsche Spieler bedeutet dies: Bei Anbietern ohne EU-Sitz ist das Risiko eines Datenmissbrauchs höher, da DSGVO-Beschwerden dort kaum durchsetzbar sind.

Über diesen Artikel - Redaktion & Verantwortung

Autorin: Sarah Weber - Casino-Testerin & Bonus-Analystin

Fachlich geprüft von: Dr. Markus Hoffmann - Senior iGaming-Compliance-Analyst

Letzte Aktualisierung: 2026-07-29.

Dieser Beitrag zu „DSGVO und Datenweitergabe in Online Casinos" wurde von Sarah Weber verfasst und von Dr. Markus Hoffmann fachlich geprüft. Beide aktualisieren die Inhalte regelmäßig hinsichtlich regulatorischer änderungen, Lizenz­verfügbarkeit und Bonus­bedingungen. Alle Aussagen zu Lizenzen, Behörden und gesetzlichen Rahmen­bedingungen verweisen auf öffentlich zugängliche Quellen (GGL (Gemeinsame Glücksspielbehörde der Länder), Glücksspielstaatsvertrag 2021 (GlüStV 2021)).

Über die Autorin

8+ Jahre Casino-Reviews, 200+ persönlich getestete Plattformen in EU und International. Ehemaliges Mitglied im eCOGRA Player Advocacy Program (2018-2022). Spezialisierung: Umsatzbedingungen, Auszahlungs-Workflows, Kundensupport-Bewertung.

Über den Reviewer

12+ Jahre in der iGaming-Branche, davon 5 Jahre als Compliance-Berater für lizenzierte Operatoren unter dem Glücksspielstaatsvertrag 2021. PhD Wirtschaftsmathematik. Forschungsschwerpunkte: Bonus-Mathematik, Wager-Analyse, Spielerschutz-Systeme (OASIS).

Verantwortungsvolles Spielen

Glücksspiel kann süchtig machen. Wenn Sie das Gefühl haben, die Kontrolle über Ihr Spielverhalten zu verlieren, wenden Sie sich bitte an BzgA Spielsuchthilfe, Check-dein-Spiel.de oder nutzen Sie das zentrale Sperrsystem (OASIS (zentrales Spielersperrsystem)). Setzen Sie persönliche Einzahlungs- und Verlustlimits, bevor Sie mit echtem Geld spielen. Pausen und Cooldown-Funktionen der Anbieter sind kein Zeichen von Schwäche - sie sind ein Werkzeug für nachhaltigen Spaß am Spiel.

Rechtlicher Hinweis

Die Informationen in diesem Artikel dienen ausschließlich redaktionellen und Vergleichszwecken. Sie stellen keine Rechtsberatung dar. Die rechtliche Bewertung von Online-Glücksspiel ohne deutsche Lizenz ist eine Grauzone und unterliegt fortlaufenden Anpassungen durch die GGL (Gemeinsame Glücksspielbehörde der Länder). Spieler sind selbst verantwortlich für die Einhaltung lokaler Vorschriften.