AVG en het delen van gegevens in online casino's: rechten, risico's en OASIS

De AVG en het delen van gegevens in online casino's zijn onderworpen aan strenge regels, aangezien aanbieders persoonsgegevens alleen op basis van een wettelijke grondslag mogen verwerken. Spelers hebben op grond van art. 15 AVG recht op inzage in hun opgeslagen gegevens. Het doorgeven van gegevens aan OASIS of betalingsdienstaanbieders is wettelijk verplicht, terwijl het delen van marketinggegevens zonder toestemming niet is toegestaan. Bij overtredingen dreigen boetes en terugvorderingsclaims.

Juridische grondslagen: het spanningsveld tussen GlüStV 2021 und de AVG

Het Duitse gokverdrag (GlüStV 2021) en de AVG streven verschillende doelen na: waar het GlüStV maximale transparantie eist voor verslavingspreventie, beperkt de AVG de gegevensverwerking tot het noodzakelijke minimum. Deze uiteenlopende eisen stellen exploitanten voor complexe compliance-uitdagingen, aangezien zij aan beide wettelijke kaders tegelijkertijd moeten voldoen.

Conflict tussen meldingsplichten en minimale gegevensverwerking

Het GlüStV 2021 verplicht aanbieders om spelergegevens te melden aan centrale registers zoals OASIS om gokverslaving en fraude te bestrijden. Deze omvangrijke gegevensverzameling botst rechtstreeks met het principe van minimale gegevensverwerking uit de Algemene Verordening Gegevensbescherming (AVG), dat eist dat de verwerking tot het noodzakelijke minimum wordt beperkt. Critici argumenteren dat het zonder aanleiding opslaan van gegevens van alle spelers, inclusief degenen zonder symptomen van verslaving, privacyrechtelijk twijfelachtig is. De Duitse federale wet op de gegevensbescherming (BDSG) vult hierbei de Europese verordening aan als nationale specifieke regeling, maar moet onderdoen voor de prioriteit van de AVG als het gaat om fundamentele verwerkingsbeginselen. De uitdaging ligt in het in overeenstemming brengen van de wettelijke meldingsplichten van het GlüStV 2021 met de hoge beschermingsnormen van de AVG, zonder de privacy van gebruikers onevenredig te beperken.

Rol van de Gemeinsame Glücksspielbehörde der Länder

De Gemeinsame Glücksspielbehörde der Länder (GGL) fungeert als centrale toezichthoudende instantie voor de legale gokmarkt in Duitsland. Zij controleert de naleving van de voorschriften van het Glücksspielstaatsvertrag 2021, inclusief de technische koppeling met de uitsluitingssystemen. Hoewel de GGL primair compliance met de gokwetgeving controleert, heeft haar toezichthoudende functie directe gevolgen voor de gegevensbescherming, aangezien zij de correcte gegevensoverdracht naar het limietbestand en het uitsluitingsbestand controleert. Een falen van de Gemeinsame Glücksspielbehörde der Länder bij de handhaving van deze normen zou kunnen leiden tot onrechtmatige gegevensstromen. Tegelijkertijd laat de beslissing van de Maltese privacytoezichthouder van juli 2024 zien dat ook buitenlandse autoriteiten schendingen van de Algemene Verordening Gegevensbescherming bestraffen, wat de positie van Duitse spelers versterkt.

Privacy by design en technische compliance

Technische systemen moeten volgens dem principe van "privacy by design" zijn ontworpen om vanaf het begin AVG-conformiteit te garanderen. Dit betekent dat gegevens alleen worden verzameld als ze nodig zijn voor een specifiek, legitiem doel. De Duitse wet op de gegevensbescherming vereist hier een strikte doelbinding, die via technische maatregelen in de casinosoftware moet worden geïmplementeerd. Aanbieders zouden gegevensautomatisering moeten gebruiken om handmatige fouten te minimieren en de minimale gegevensverwerking technisch af te dwingen. Alleen zo kan worden gegarandeerd dat aan de vereisten van de Algemene Verordening Gegevensbescherming en het Glücksspielstaatsvertrag 2021 tegelijkertijd wordt voldaan, zonder dat spelergegevens onnodig worden blootgesteld.

Een centraal aspect hierbij is het register van verwerkingsactiviteiten conform art. 30 AVG. Elk online casino moet dit register bijhouden om volledig te documenteren welke gegevens voor welk doel worden verwerkt, wie toegang heeft en hoe lang de opslag duurt. Als dit register ontbreekt of onvolledig is, wordt dit al beschouwd als een ernstige schending van de transparantieverplichtingen. Daarnaast moet er een duidelijk verwijderingsconcept bestaan dat definieert wanneer gegevens na het verstrijken van de wettelijke bewaartermijnen of na het intrekken van toestemming automatisch en veilig worden verwijderd. Zonder een dergelijk concept riskeren aanbieders dat gegevens langer worden bewaard dan wettelijk is toegestaan, wat het risico op datalekken vergroot.

Centrale registers: OASIS, limietbestand en uitsluitingsbestand

De AVG en de doorgifte van gegevens in online casino's zijn onderworpen aan strenge regels van het Glücksspielstaatsvertrag 2021. Aanbieders moeten spelergegevens in realtime doorsturen naar de centrale registers van de Gemeinsame Glücksspielbehörde der Länder (GGL). Dit omvat het limietbestand ter controle van stortingslimieten, het activiteitsbestand om gelijktijdig spelen te voorkomen en het uitsluitingsbestand in het speleruitsluitingssysteem OASIS. Deze gegevensverwerking is geen vrijwillige maatregel, maar een wettelijke plicht ter nakoming van wettelijke verplichtingen conform art. 6 lid 1 sub c AVG.

Werking van het limietbestand en het activiteitsbestand

Voorafgaand aan elke storting zijn aanbieders van online kansspelen verplicht om identificatiegegevens en het geplande stortingsbedrag naar het limietbestand te sturen. Tot de verwerkte persoonsgegevens behoren voor- en achternaam, geboortedatum, adres, evenals de aanbiederoverstijgende stortingslimiet en de geschiedenis van uitgevoerde transacties. Deze overdracht dient voor de handhaving van de wettelijke bovengrenzen en vormt een gegevensverwerking die rechtvaardiging behoeft.

Tegelijkertijd beheert de gokautoriteit van Hessen (Hessische Glücksspielbehörde) het activiteitsbestand om gelijktijdig spelen op internet te voorkomen. Hierin worden naam, geboortedatum en de huidige activiteitsstatus opgeslagen. Volgens het principe van minimale gegevensverwerking moeten deze gegevens worden verwijderd zodra de vergelijking is voltooid. Het zonder aanleiding opslaan van gegevens is niet toegestaan. Spelers hebben hierbij een duidelijk recht op inzage in de verwerking van hun gegevens, dat niet mag worden beperkt door louter vermoedens over het gebruik van de gegevens in juridische geschillen.

Uitsluitingsbestand en OASIS-integratie

Het speleruitsluitingssysteem OASIS is het landelijke instrument voor verslavingspreventie en bevat het uitsluitingsbestand met alle uitgesloten spelers. Het Glücksspielstaatsvertrag 2021 verplicht de oprichting van dit systeem om deelnemers uit te sluiten van openbare kansspelen. Aanbieders moeten voorafgaand aan de deelname aan het spel een realtime controle uitvoeren in het uitsluitingsbestand.

De integratie van OASIS garandeert dat een uitsluiting geldt voor alle spelvormen en aanbieders. De doorgifte van gegevens aan dit systeem is verplicht ter nakoming van de wettelijke verplichting uit art. 6c lid 4 GlüStV 2021. Wie in het uitsluitingsbestand staat, kan bij geen enkele gelicentieerde aanbieder in Duitsland spelen, wat de technische koppeling tussen OASIS en de afzonderlijke platforms vereist.

Wettelijke basis voor de identiteitscontrole

De uitgebreide identiteitscontrole (KYC) lijkt in strijd te zijn met de AVG, maar is absoluut noodzakelijk voor de registratie in OASIS en het limietbestand. Zonder nauwkeurige identificatiegegevens zoals geboorteplaats en adres is een betrouwbare vergelijking met het uitsluitingsbestand of het limietbestand technisch onmogelijk.

De gokautoriteit van Hessen gebruikt deze gegevens om de integriteit van de registers te waarborgen. De verwerking wordt gedekt door art. 6 lid 1 sub c AVG, omdat deze dient ter nakoming van een wettelijke verplichting. Spelers moeten er rekening mee houden dat het weigeren van deze gegevens leidt tot accountblokkering, omdat aanbieders anders het Glücksspielstaatsvertrag 2021 zouden schenden. De zeggenschap over de gegevens blijft hierbij bij de Duitse autoriteiten, niet bij de exploitanten.

Spelersrechten: inzage, verwijdering en handhaving

De handhaving van de AVG en de doorgifte van gegevens in online casino's vereist een strategische aanpak, aangezien veel aanbieders verzoeken om inzage vertragen. Spelers hebben een wettelijk recht op inzage conform art. 15 AVG, dat niet mag worden beperkt door algemene verwijzingen naar lopende rechtszaken. Deze rechten van betrokkenen vormen de basis om transparantie over opgeslagen gegevens af te dwingen en mogelijke schendingen van het Glücksspielstaatsvertrag 2021 op te sporen.

Handhaving van het recht op inzage conform art. 15

Het recht op inzage is een centraal instrument van de rechten van betrokkenen, dat spelers in staat stelt inzicht te krijgen in de verwerking van hun persoonsgegevens. Conform art. 15 AVG moeten aanbieders gedetailleerd openbaar maken welke gegevens zijn opgeslagen en voor welk doel ze worden gebruikt. Aanbieders weigeren vaak inzage te verlenen met een verwijzing naar lopende civiele procedures, wat de Maltese privacytoezichthouder echter als ontoelaatbaar heeft bestempeld. Deze argumentatie is juridisch onhoudbaar, omdat de AVG niet voorziet in een algemene opschorting van de informatieplicht louter omdat een speler mogelijk terugbetalingen eist. De juiste toepassing van art. 15 AVG zorgt ervoor dat transparantie not wordt ondermijnd door strategische vertragingstactieken.

Beslissing van de Maltese privacytoezichthouder

Een baanbrekende verduidelijking werd geleverd door de Maltese privacytoezichthouder, die in een specifieke beslissing de weigering van inzage door een in Malta gevestigde aanbieder verbood. Omdat talrijke online casino's in Malta zijn gevestigd, heeft deze beslissing van de Maltese privacytoezichthouder een aanzienlijke precedentwerking voor Duitse spelers. De autoriteit stelde duidelijk dat de vrees van de aanbieder dat de speler de gegevens zou kunnen gebruiken voor rechtszaken, geen legitieme grondslag vormt voor een beperking op grond van art. 23 AVG. Deze beslissing van de Maltese privacytoezichthouder geeft aan dat ook in het buitenland gevestigde licentiehouders zich moeten houden aan de Europese Algemene Verordening Gegevensbescherming en niet willekeurig inzage mogen weigeren.

Verband tussen AVG-schendingen en terugbetalingen

Advocaten zoals István Cocron van CLLB Rechtsanwälte maken systematisch gebruik van AVG-schendingen om aanspraken op terugbetaling door te zetten. István Cocron benadrukt dat de weigering om inzage te verlenen vaak deel uitmaakt van een strategie om het indienen van een rechtszaak te bemoeilijken. CLLB Rechtsanwälte ondersteunt betrokkenen bij het overwinnen van deze obstakels door te hameren op de bindende juridische situatie. Als aanbieders art. 15 AVG schenden, verzwakt dit hun positie in civiele procedures aanzienlijk. István Cocron ziet in de consequente verolging van deze inbreuken op de gegevensbescherming een hefboom om niet alleen transparantie, maar ook financiële compensatie voor illegaal aangeboden spellen af te dwingen.

Financiële transacties en externe aanbieders: Financial Blocking

De verwerking van betalingsgegevens in online casino's is onderworpen aan strenge regels. De AVG en de doorgifte van gegevens in online casino's is een kritiek controlepunt voor de rechtmatigheid van de exploitatie. Hoewel betalingsdienstaanbieders zoals PayPal, Klarna of Trustly transacties afwikkelen, moeten zij persoonsgegevens verzamelen, wat vaak botst met het principe van minimale gegevensverwerking. Vooral financial blocking om illegale aanbieders te blokkeren staat op gespannen voet met privacyrechtelijke beginselen, omdat dit een uitgebreide monitoring van financiële stromen vereist. Spelers moeten altijd controleren of hun gegevens veilig aan derden worden doorgegeven en of hun recht op inzage wordt gewaarborgd.

Financial blocking en privacyconflicten

Financial blocking is een maatregel die kredietinstellingen en betalingsdienstaanbieders verplicht om transacties naar illegale gokaanbieders te blokkeren. Om deze blokkades te implementeren, moeten financiële dienstverleners echter intensief persoonsgegevens verwerken om verdachte geldstromen te identificeren. Dit staat in direct conflict met de AVG, omdat de daarvoor noodzakelijke gegevensverwerking vaak geen voldoende wettelijke grondslag heeft. Het verzamelen van aanvullende gegevens voor de implementatie van financial blocking vormt een wijziging van het verwerkingsdoel die moet voldoen aan de strenge eisen van art. 6 lid 4 AVG, wat in de praktijk vaak mislukt.

Juridische experts stellen dat een privacyvriendelijke implementatie van financial blocking nauwelijks mogelijk is, omdat de grondrechten van de betrokkenen zwaarder wegen gezien de diepte van de inbreuk. Kredietinstellingen raken hierdoor in een dilemma: enerzijds moeten ze voldoen aan wettelijke blokkeringsvoorschriften, anderzijds mogen ze niet onbevoegd gegevens verwerken. Deze onverenigbaarheid leidt ertoe dat veel banken aarzelen om rekeningen categorisch te blokkeren zonder concrete, individuele vermoedens die verwerking zouden rechtvaardigen.

Gegevensoverdracht aan PayPal, Klarna en Trustly

Bij het gebruik van e-wallets und directe overschrijvingen zoals PayPal, Klarna of Trustly worden spelergegevens onvermijdelijk aan deze externe aanbieders doorgegeven. PayPal, een wereldwijde betalingsdienstaanbieder, evenals Klarna und Trustly, die vaak als interface naar de bankrekening dienen, hebben naam, adres en transactiegegevens nodig voor de afwikkeling. Deze doorgifte is noodzakelijk voor de uitvoering van de overeenkomst, maar moet transparant gebeuren. Spelers hebben conform art. 15 AVG het recht om te weten welke gegevens precies naar deze betalingsdienstaanbieders stromen.

De zeggenschap van spelers over hun gegevens raakt door de inschakeling van externe dienstverleners verder gefragmenteerd. Het is cruciaal dat casino's deze gegevensstromen openbaar maken, aangezien een niet-transparante doorgifte aan kredietbeoordelaars of andere derden een schending van de transparantieverplichtingen kan inhouden.

Internationale gegevensoverdracht en Schrems II

De doorgifte van gegevens aan aanbieders buiten de EU, met name naar landen zoals Curaçao, brengt aanzienlijke risico's met zich mee onder het Schrems II-arrest. Bij het ontbreken van adequaatheidsbesluiten is de overdracht van persoonsgegevens juridisch onzeker. In tegenstelling hiermee biedt Malta als EU-lidstaat een duidelijker kader, waarbij de Maltese privacytoezichthouder onlangs in een baanbrekende beslissing de rechten van spelers heeft versterkt. Een casino had een verzoek om inzage afgewezen, wat de toezichthouder als ontoelaatbaar bestempelde.

Diese beslissing van de Maltese privacytoezichthouder is een belangrijk precedent, aangezien veel aanbieders in Malta zijn gevestigd. Het toont aan dat verzoeken om inzage niet mogen worden geweigerd met een verwijzing naar lopende juridische geschillen. Advocatenkantoren zoals CLLB Rechtsanwälte maken in toenemende mate gebruik van dergelijke schendingen om spelers te helpen bij het afdwingen van hun rechten. Voor Duitse spelers betekent dit: bij aanbieders zonder EU-vestiging is het risico op datamisbruik groter, omdat AVG-klachten daar nauwelijks afdwingbaar zijn.

Over dit artikel - Redactie & Verantwoording

Auteur: Sarah Weber - Casino-tester & bonusanalist

Vakinhoudelijk gecontroleerd door: Dr. Markus Hoffmann - Senior iGaming-compliance-analist

Laatste update: 2026-07-29.

Dit artikel over "AVG en het delen van gegevens in online casino's" is geschreven door Sarah Weber en vakinhoudelijk gecontroleerd door Dr. Markus Hoffmann. Beiden werken de inhoud regelmatig bij met het oog op wijzigingen in de regelgeving, beschikbaarheid van licenties en bonusvoorwaarden. Alle verklaringen over licenties, autoriteiten en wettelijke kaders verwijzen naar openbaar toegankelijke bronnen (GGL (Gemeinsame Glücksspielbehörde der Länder), Glücksspielstaatsvertrag 2021 (GlüStV 2021)).

Over de auteur

8+ jaar casino-recensies, 200+ persoonlijk geteste platforms in de EU en internationaal. Voormalig lid van het eCOGRA Player Advocacy Program (2018-2022). Specialisatie: rondspeelvoorwaarden, uitbetalingsworkflows, beoordeling van klantenservice.

Over de reviewer

12+ jaar in de iGaming-sector, waarvan 5 jaar als compliance-adviseur voor gelicentieerde exploitanten onder het Glücksspielstaatsvertrag 2021. PhD in economische wiskunde. Onderzoeksgebieden: bonuswiskunde, rondspeelanalyse, spelersbeschermingssystemen (OASIS).

Verantwoord spelen

Gokken kan verslavend zijn. Als u het gevoel heeft dat u de controle over uw speelgedrag verliest, neem dan contact op met de BzgA Spielsuchthilfe, Check-dein-Spiel.de of maak gebruik van het centrale uitsluitingssysteem (OASIS (centraal speleruitsluitingssysteem)). Stel persoonlijke stortings- en verlieslimieten in voordat u met echt geld gaat spelen. Pauzes en cooldown-functies van aanbieders zijn geen teken van zwakte, maar een hulpmiddel voor langdurig spelplezier.

Juridische disclaimer

De informatie in dit artikel is uitsluitend bedoeld voor redactionele en vergelijkingsdoeleinden. Het vormt geen juridisch advies. De juridische beoordeling van online gokken zonder Duitse licentie is een grijs gebied en is onderhevig aan voortdurende aanpassingen door de GGL (Gemeinsame Glücksspielbehörde der Länder). Spelers zijn zelf verantwoordelijk voor de naleving van lokale voorschriften.