AVG en doorgifte van gegevens in online casino's: rechten, risico's en OASIS

De AVG en de doorgifte van gegevens in online casino's zijn onderworpen aan strenge regels, omdat aanbieders persoonsgegevens alleen mogen verwerken op basis van een wettelijke grondslag. Spelers hebben krachtens artikel 15 van de AVG recht op inlichtingen over opgeslagen gegevens. De doorgifte aan OASIS of betalingsdienstaanbieders is wettelijk verplicht, terwijl doorgifte van marketinggegevens zonder toestemming niet is toegestaan. Bij overtredingen dreigen boetes en terugbetalingsaanspraken.

Juridische grondslagen: de spanning tussen de GlüStV 2021 en de AVG

De Staatsverdrag over kansspelen 2021 (GlüStV 2021) en de AVG hebben verschillende doelen: terwijl de GlüStV 2021 maximale transparantie eist voor verslavingspreventie, beperkt de AVG de gegevensverwerking tot het noodzakelijke minimum. Deze uiteenlopende eisen stellen exploitanten voor complexe compliance-uitdagingen, omdat ze beide juridische kaders parallel moeten naleven.

Conflict tussen meldplichten en gegevensminimalisatie

De Staatsverdrag over kansspelen 2021 verplicht aanbieders om spelergegevens te melden bij centrale registers zoals OASIS, om gokverslaving en fraude te bestrijden. Deze uitgebreide gegevensverzameling botst direct met het principe van gegevensminimalisatie uit de Algemene Verordening Gegevensbescherming, dat beperking van de verwerking tot het noodzakelijke minimum eist. Kritieken betogen dat de aanleidingsloze voorraadsopslag van gegevens van alle spelers, ook van hen zonder kenmerken van verslaving, vanuit het oogpunt van gegevensbescherming twijfelachtig is. De Duitse Wet op de bescherming van persoonsgegevens (BDSG) vult hierbij de Europese verordening aan als nationale speciale regelgeving, maar moet zich onderwerpen aan de voorrang van de AVG wanneer het gaat om fundamentele verwerkingsprincipes. De uitdaging ligt erin de wettelijke meldplichten van de GlüStV 2021 in overeenstemming te brengen met de hoge beschermingsnormen van de AVG, zonder de privacy van gebruikers onevenredig in te perken.

Rol van de Gezamenlijke Kansspelautoriteit van de deelstaten

De Gezamenlijke Kansspelautoriteit van de deelstaten (GGL) fungeert als centraal toezichthoudend orgaan voor de legale markt voor kansspelen in Duitsland. Zij houdt toezicht op de naleving van de voorschriften van de Staatsverdrag over kansspelen 2021, inclusief de technische aansluiting op de blokkadesystemen. Hoewel de GGL primair de naleving van de kansspelwetgeving controleert, heeft haar toezichtsfunctie directe gevolgen voor de gegevensbescherming, omdat zij de correcte doorzending van gegevens naar de limietbestand en het blokkadebestand controleert. Een tekortkoming van de Gezamenlijke Kansspelautoriteit van de deelstaten bij de handhaving van deze normen kan leiden tot onrechtmatige gegevensstromen. Parallel hieraan toont de beschikking van de Maltese toezichthouder voor gegevensbescherming van juli 2024 aan dat ook buitenlandse autoriteiten overtredingen van de Algemene Verordening Gegevensbescherming kunnen straffen, wat de positie van Duitse spelers versterkt.

Privacy by design en technische compliance

Technische systemen moeten volgens het principe "privacy by design" zijn ontworpen om AVG-conformiteit vanaf het begin te waarborgen. Dit betekent dat gegevens alleen worden verzameld wanneer ze vereist zijn voor een specifiek, legitiem doel. De Duitse Wet op de bescherming van persoonsgegevens eist hierbij een strikte doeleindenbinding, die door technische voorzieningen in de casino-software moet worden geïmplementeerd. Aanbieders zouden gegevensautomatisering moeten gebruiken om handmatige fouten te minimaliseren en gegevensminimalisatie technisch af te dwingen. Alleen op deze manier kan worden gegarandeerd dat de eisen van de Algemene Verordening Gegevensbescherming en de Staatsverdrag over kansspelen 2021 parallel worden voldaan, zonder dat spelergegevens onnodig worden blootgesteld.

Een centraal aspect hierbij is het register van verwerkingsactiviteiten krachtens artikel 30 van de AVG. Elk online casino moet dit register bijhouden om lokaal te documenteren welke gegevens voor welk doel worden verwerkt, wie toegang heeft en hoe lang de opslag duurt. Ontbreekt dit register of is het onvolledig, dan geldt dit al als een ernstige overtreding van de transparantieplichten. Bovendien moet een duidelijk verwijderingsbeleid bestaan dat definieert wanneer gegevens na afloop van de wettelijke bewaartermijnen of na intrekking van een toestemming automatisch en veilig worden verwijderd. Zonder een dergelijk beleid lopen aanbieders het risico dat gegevens langer worden opgeslagen dan wettelijk is toegestaan, wat het gevaar van datalekken vergroot.

Centrale registers: OASIS, limietbestand en blokkadebestand

De AVG en de doorgifte van gegevens in online casino's zijn onderworpen aan strenge voorschriften van de Staatsverdrag over kansspelen 2021. Aanbieders moeten spelergegevens in realtime doorgeven aan de centrale registers van de Gezamenlijke Kansspelautoriteit van de deelstaten (GGL). Dit omvat het limietbestand voor de controle van stortingslimieten, het activiteitsbestand voor het voorkomen van parallel spel en het blokkadebestand in het spelersblokkadesysteem OASIS. Deze gegevensverwerking is geen vrijwillige maatregel, maar een wettelijke verplichting om te voldoen aan wettelijke verplichtingen krachtens artikel 6, lid 1, onder c, van de AVG.

Werkingswijze van het limietregister en het activiteitsregister

Voorafgaand aan elke storting zijn online kansspeloperators verplicht om identificatiegegevens en de geplande stortingshoogte aan het limietregister te doorgeven. De verwerkte persoonsgegevens omvatten voornaam en achternaam, geboortedatum, adres, het operator-overschrijdende stortingslimiet en de geschiedenis van verrichte transacties. Deze doorlevering dient aan de handhaving van de wettelijke maximumgrenzen en vormt een rechtvaardigingsbehoevende gegevensverwerking.

Parallel hieraan voert de Hessese Kansspelautoriteit het activiteitsregister bij om gelijktijdig online spelen te voorkomen. Hierin worden naam, geboortedata en de huidige activiteitsstatus opgeslagen. Overeenkomstig het principe van dataminimalisatie moeten deze gegevens worden verwijderd zodra de afstemming is voltooid. Een aanleidingloze voorraadsopslag is niet toegestaan. Spelers hebben hierbij een duidelijk recht op inlichtingen over de verwerking van hun gegevens, dat niet mag worden ingeperkt door louter veronderstellingen over het gebruik van de gegevens in rechtsstrijd.

Blokkeerregister en OASIS-integratie

Het spelersblokkeersysteem OASIS is het landelijke instrument voor verslavingspreventie en bevat het blokkeerregister met alle geblokkeerde spelers. De Staatsverdrag over kansspelen 2021 (GlüStV 2021) verplicht tot de inrichting van dit systeem om deelnemers aan publieke kansspelen uit te sluiten. Operators moeten voorafgaand aan deelname aan een spel een realtime-query uitvoeren tegen het blokkeerregister.

De integratie van OASIS waarborgt dat een blokkade spelvorm- en operator-overschrijdend werkt. De doorlevering van gegevens naar dit systeem is verplicht ter vervulling van de wettelijke verplichting uit artikel 6c, lid 4, GlüStV 2021. Wie in het blokkeerregister is opgenomen, kan bij geen enkele gelicentieerde operator in Duitsland spelen, wat de technische koppeling van OASIS met de individuele platformen vereist.

Rechtsgrondslag voor de identiteitscontrole

De uitgebreide identiteitscontrole (KYC) lijkt in conflict te staan met de AVG, maar is voor de inschrijving in OASIS en het limietregister onmisbaar. Zonder exacte identificatiegegevens zoals geboorteplaats en adres is een betrouwbare afstemming met het blokkeerregister of het limietregister technisch onmogelijk.

De Hessese Kansspelautoriteit gebruikt deze gegevens om de integriteit van de registers te waarborgen. De verwerking is gedekt door artikel 6, lid 1, onder c, van de AVG, aangezien deze dient ter vervulling van een wettelijke verplichting. Spelers dienen er rekening mee te houden dat het weigeren van deze gegevens leidt tot het blokkeren van de account, omdat operators anders in strijd zouden handelen met de Staatsverdrag over kansspelen 2021. De gegevenssoevereiniteit blijft hierbij bij de Duitse autoriteiten, niet bij de exploitanten.

Spelersrechten: inlichtingen, verwijdering en handhaving

De handhaving van de AVG en de doorlevering van gegevens in online casino's vereist een strategische aanpak, aangezien veel operators verzoeken om inlichtingen uitstellen. Spelers hebben een wettelijk recht op inlichtingen krachtens artikel 15 AVG, dat niet mag worden ingeperkt door algemene verwijzingen naar lopende rechtszaken. Deze rechten van betrokkenen vormen de basis om transparantie over opgeslagen gegevens af te dwingen en mogelijke schendingen van de Staatsverdrag over kansspelen 2021 aan het licht te brengen.

Handhaving van het recht op inlichtingen krachtens artikel 15

Het recht op inlichtingen is een centraal instrument van de rechten van betrokkenen, dat spelers in staat stelt inzicht te krijgen in de verwerking van hun persoonsgegevens. Krachtens artikel 15 AVG moeten operators gedetailleerd openbaren welke gegevens worden opgeslagen en voor welk doel ze worden gebruikt. Operators weigeren de inlichtingen vaak onder verwijzing naar lopende civielrechtelijke procedures, wat de Maltese toezichthouder op gegevensbescherming echter als onaanvaardbaar heeft gekwalificeerd. Deze redenering is juridisch onhoudbaar, aangezien de AVG geen algemene blokkade van de inlichtingsplicht voorziet, slechts omdat een speler mogelijk terugbetalingen vordert. De correcte toepassing van artikel 15 AVG zorgt ervoor dat transparantie niet wordt ondermijnd door strategische uitstelacties.

Beslissing van de Maltese toezichthouder op gegevensbescherming

Een richtende verduidelijking werd geleverd door de Maltese toezichthouder op gegevensbescherming, die in een concrete beslissing de weigering van inlichtingen door een in Malta gevestigde operator verbood. Aangezien talloze online casino's hun zetel in Malta hebben, heeft de Maltese toezichthouder op gegevensbescherming een aanzienlijke precedentwerking voor Duitse spelers. De autoriteit stelde duidelijk dat de vrees van de operator dat de speler de gegevens voor claims zou kunnen gebruiken, geen legitieme grondslag vormt voor een beperking krachtens artikel 23 AVG. Deze beslissing van de Maltese toezichthouder op gegevensbescherming signaleert dat ook in het buitenland gevestigde licentiehouders de EU-Verordening gegevensbescherming moeten naleven en niet willekeurig inlichtingen mogen weigeren.

Samenhang tussen AVG-overtredingen en terugbetalingen

Advocaten zoals István Cocron van CLLB Rechtsanwälte maken gebruik van systematische AVG-overtredingen om terugbetalingsaanspraken af te dwingen. István Cocron benadrukt dat de weigering om inlichtingen te verstrekken vaak deel uitmaakt van een strategie om het indienen van een klacht te bemoeilijken. CLLB Rechtsanwälte helpt betrokkenen om deze hindernissen te overwinnen door te wijzen op de bindende rechtspositie. Wanneer aanbieders inbreuk maken op artikel 15 AVG, verzwakt dit hun positie in burgerlijke procedures aanzienlijk. István Cocron ziet in het consequent vervolgen van deze privacyovertredingen een hefboom om niet alleen transparantie, maar ook financiële compensatie voor illegaal aangeboden spellen te bewerkstelligen.

Financiële transacties en derden: Financial Blocking

De verwerking van betalingsgegevens in online casino's is onderworpen aan strenge voorschriften. De AVG en de doorgeef van gegevens in online casino's zijn een kritische controlepunt voor de rechtmatigheid van de exploitatie. Terwijl betalingsdienstaanbieders zoals PayPal, Klarna of Trustly transacties afhandelen, moeten zij persoonsgegevens verzamelen, wat vaak botsing heeft met het principe van gegevensminimalisatie. Vooral het Financial Blocking voor het blokkeren van illegale aanbieders staat in spanning met privacybeginselen, omdat het een uitgebreide monitoring van de financiële stromen vereist. Spelers moeten altijd controleren of hun gegevens veilig aan derden worden doorgegeven en of het recht op inlichtingen gewaarborgd blijft.

Financial Blocking en privacyconflicten

Financial Blocking is een maatregel die kredietinstellingen en betalingsdienstaanbieders verplicht om transacties met illegale gokspeelaanbieders te voorkomen. Om deze blokkades te implementeren, moeten financiële dienstverleners echter intensief persoonsgegevens verwerken om verdachte betalingsstromen te identificeren. Dit staat in direct conflict met de AVG, omdat de daarvoor benodigde gegevensverwerking vaak geen voldoende rechtsgrondslag heeft. Het verzamelen van aanvullende gegevens voor de implementatie van Financial Blocking vormt een doeleindeverandering die moet voldoen aan de strenge eisen van artikel 6, lid 4 AVG, wat in de praktijk vaak faalt.

Rechtsexperts betogen dat een privacyconforme uitvoering van Financial Blocking nauwelijks mogelijk is, omdat de grondrechten van de betrokkenen gezien de ingrijpendheid prevaleren. Kredietinstellingen verkeren aldus in een dilemma: enerzijds moeten zij wettelijke blokkeervereisten naleven, anderzijds mogen zij geen gegevens onbevoegd verwerken. Deze onverenigbaarheid leidt ertoe dat veel banken aarzelen om rekeningen globaal te blokkeren zonder concrete individuele vermoedens die een verwerking zouden rechtvaardigen.

Gegevensdoorgeef aan PayPal, Klarna en Trustly

Bij het gebruik van e-wallets en directe overschrijvingen zoals PayPal, Klarna of Trustly worden spelersgegevens onvermijdelijk aan deze derden doorgegeven. PayPal, een wereldwijde betalingsdienstaanbieder, evenals Klarna en Trustly, die vaak als interface naar de bankrekening dienen, hebben naam, adres en transactiedetails nodig voor de afhandeling. Deze doorgeef is noodzakelijk voor de uitvoering van de overeenkomst, maar moet transparant verlopen. Spelers hebben krachtens artikel 15 AVG het recht om te vernemen welke gegevens precies naar deze betalingsdienstaanbieders stromen.

De gegevenssoevereiniteit van de spelers wordt door de integratie van externe dienstverleners verder gefragmenteerd. Het is cruciaal dat casino's deze gegevensstromen openbaren, aangezien een niet-transparante doorgeef aan kredietinformatiebureaus of andere derden een inbreuk op de transparantieplichten kan vormen.

Internationale gegevensdoorgeef en Schrems II

De doorgeef van gegevens aan aanbieders buiten de EU, met name in landen zoals Curaçao, brengt aanzienlijke risico's met zich mee onder het Schrems II-arrest. Bij afwezigheid van adequaatheidsbesluiten is de doorgeef van persoonsgegevens juridisch onzeker. Daarentegen biedt Malta als EU-lidstaat een duidelijker kader, waarbij de Maltese privacyautoriteit onlangs in een baanbrekende beslissing de rechten van de spelers heeft versterkt. Een casino had een verzoek om inlichtingen afgewezen, wat de autoriteit als ontoelaaflijk heeft gekwalificeerd.

Deze beslissing van de Maltese privacyautoriteit is een belangrijke precedent, aangezien veel aanbieders in Malta zijn gevestigd. Het toont aan dat verzoeken om inlichtingen niet mogen worden geweigerd met het verwijt naar lopende juridische geschillen. Advocatenkantoren zoals CLLB Rechtsanwälte maken steeds vaker gebruik van dergelijke overtredingen om spelers te ondersteunen bij het afdwingen van hun rechten. Voor Duitse spelers betekent dit: bij aanbieders zonder EU-zitplaats is het risico op gegevensmisbruik hoger, aangezien AVG-klachten daar nauwelijks afdwingbaar zijn.

Over dit artikel - Redactie & Verantwoordelijkheid

Auteur: Sarah Weber - Casino-tester & Bonus-analist Inhoudelijk gecontroleerd door: Dr. Markus Hoffmann - Senior iGaming-compliance-analist Laatste update: 2026-07-26.

Dit artikel over „AVG en gegevensdoorgeef in online casino's" is geschreven door Sarah Weber en inhoudelijk gecontroleerd door Dr. Markus Hoffmann. Beiden actualiseren de inhoud regelmatig met betrekking tot regelgevingswijzigingen, licentiebeschikbaarheid en bonusvoorwaarden. Alle uitspraken over licenties, autoriteiten en wettelijke kaders verwijzen naar openbaar toegankelijke bronnen (GGL (Gemeenschappelijke gokspelautoriteit van de deelstaten), Gokspelstaatsverdrag 2021 (GlüStV 2021)).

Over de auteur

8+ jaar casino-recensies, 200+ persoonlijk geteste platforms in de EU en internationaal. Voormalig lid van het eCOGRA Player Advocacy Program (2018-2022). Specialisatie: omzetvoorwaarden, uitbetalingsworkflows, beoordeling van klantenservice.

Over de reviewer

12+ jaar in de iGaming-industrie, waarvan 5 jaar als compliance-adviseur voor gelicentieerde operators onder de GGL (Gemeinsame Glücksspielbehörde der Länder). PhD economische wiskunde. Onderzoeksschwerpunten: bonuswiskunde, wager-analyse, spelersbeschermingssystemen (OASIS).

Verantwoordelijk spelen

Gokken kan verslavend zijn. Als u het gevoel heeft de controle over uw speelgedrag te verliezen, neem dan contact op met BzgA Spielsuchthilfe, Check-dein-Spiel.de of gebruik het centrale blokkadesysteem (OASIS (zentrales Spielersperrsystem)). Stel persoonlijke stortings- en verlieslimieten in voordat u met echt geld speelt. Pauzes en cooldown-functies van de aanbieders zijn geen teken van zwakte – ze zijn een hulpmiddel voor duurzame speelplezier.

Juridische opmerking

De informatie in dit artikel dient uitsluitend voor redactionele en vergelijkingsdoeleinden. Het vormt geen juridisch advies. De juridische beoordeling van online gokken zonder Duitse licentie is een grijze zone en onderhevig aan voortdurende aanpassingen door de GGL (Gemeinsame Glücksspielbehörde der Länder). Spelers zijn zelf verantwoordelijk voor de naleving van lokale voorschriften.