Datenschutzerklärung von Vulkan Vegas (DE/EU)

Diese Datenschutzerklärung erklärt, wie Vulkan Vegas personenbezogene Daten in Deutschland und der EU im Jahr 2026 verarbeitet. Wir erläutern die DSGVO‑Rechtsgrundlagen, die Datenverarbeitung für Registrierung, KYC und Auszahlungen sowie Aufbewahrung, Empfänger und Ihre Rechte. Informationen zu Selbstausschluss, Cookies und Ihren Wahlmöglichkeiten sind ebenfalls enthalten.

Wer ist verantwortlich und auf welcher Rechtsgrundlage verarbeiten wir Daten?

Vulkan Vegas verarbeitet personenbezogene Daten als Verantwortlicher im Sinne der DSGVO, um Konten bereitzustellen, Zahlungen (einschließlich Auszahlungen per Banküberweisung) abzuwickeln, gesetzliche Pflichten zu erfüllen (z. B. KYC/AML) und einen sicheren, fairen Casino‑Betrieb in Deutschland und der EU zu gewährleisten. Nachstehend erläutern wir die Datenkategorien, die einschlägigen Rechtsgrundlagen sowie Kontaktwege für Datenschutzanfragen.

Welche Datenkategorien verarbeiten wir (Konto, Gerät, Zahlungen)?

Wir verarbeiten nur die Daten, die für Registrierung, Spielbetrieb, Verifizierung, Auszahlungen, Sicherheit, Support und gesetzliche Nachweise erforderlich sind. Beispiele:

• Kontodaten und Stammdaten: Name, Benutzername, verschlüsseltes Passwort, Kontaktangaben (z. B. E‑Mail), Wohnsitzland, bevorzugte Sprache, Einwilligungs- und Präferenzstatus.
• Identitäts- und KYC‑Daten (Know Your Customer): Geburtsdatum (Altersprüfung), Anschrift, Ausweis-/Reisedokumentdaten (z. B. Nummer, Ausstellende Behörde, Gültigkeit), ggf. Adress‑ oder Zahlungsnachweise (z. B. Kontoauszug mit geschwärzten Positionen), Abgleiche gegen Sanktions‑/PEP‑Listen (Trefferprotokolle, Ergebnisstatus).
• Zahlungs- und Auszahlungsdaten: Einzahlungs- und Auszahlungshistorie, Währung, Betrag, Zeitpunkt, Status; bei Banküberweisung insbesondere IBAN/BIC und Kontoinhaber; bei Karten/Wallets tokenisierte Zahlungskennungen des Zahlungsdienstleisters; Prüfvermerke zur Auszahlung (z. B. Risiko- oder Compliance‑Freigabe, Zeitstempel zur Auszahlungsdauer).
• Spiel- und Nutzungsdaten: Spielverlauf, Einsätze, Gewinne/Verluste, Bonusnutzung, Turnierteilnahmen, Sitzungsdauer, Abbruch- und Fehlerraten.
• Daten zum verantwortungsvollen Spielen: Selbstlimitierungen (Einzahlungs‑, Verlust‑, Einsatz‑ und Sitzungslimits), Reality‑Checks, Selbstausschluss/Sperrstatus (Beginn/Ende, Begründungskategorie), Anfragen an den Spielerschutz.
• Geräte‑ und technische Daten: IP‑Adresse, Geräte‑/Browser‑Informationen (User‑Agent), Betriebssystem, Sprache/Zeitzone, grobe Geolokationshinweise aus IP‑Zuordnung, Geräte‑/Sitzungs‑IDs, Sicherheits‑ und Fehlermeldungen.
• Sicherheits‑, Betrugs- und Compliance‑Daten: Login‑Protokolle, fehlgeschlagene Anmeldeversuche, Anomalie‑Signale (z. B. plötzliche Gerätewechsel), Prüfpfade für AML/KYC, Dokumentationsvermerke für interne/behördliche Audits.
• Kommunikationsdaten: Anfragen an den Support (z. B. zum Thema „Auszahlung Erfahrung“ oder „Auszahlung Dauer“), Beschwerden, Verifizierungs‑Rückfragen, Aufzeichnungen des Kommunikationsverlaufs.
• Cookie‑/Tracking‑Daten (je nach Einwilligung): Cookie‑IDs, Consent‑Historie, Analytik‑Ereignisse, Marketing‑Zuordnungen.

Hinweis: Wir verarbeiten grundsätzlich keine besonderen Kategorien personenbezogener Daten i. S. d. Art. 9 DSGVO (z. B. Gesundheitsdaten). Bitte teilen Sie solche Informationen nicht über Support‑Kanäle mit.

Welche DSGVO‑Rechtsgrundlagen gelten in unserem Casino?

Je nach Zweck stützen wir die Verarbeitung auf unterschiedliche Rechtsgrundlagen der DSGVO und – beim Auslesen/Speichern von Informationen auf Endgeräten – zusätzlich auf die ePrivacy‑Regeln (in Deutschland: TTDSG). Ein Überblick:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontoerstellung, Kontoverwaltung, Spielbetrieb, Ein- und Auszahlungen, Kundendienst.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Altersprüfung, KYC/AML‑Pflichten, Sanktionslisten‑Screenings, buchhalterische Nachweise und Aufbewahrung.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing‑Kommunikation, nicht notwendige Cookies/Tracking, optionale Umfragen. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Betrugs‑ und Missbrauchsverhinderung, IT‑Sicherheit, Service‑Optimierung, Durchsetzung vertraglicher Ansprüche; stets mit Interessenabwägung und Widerspruchsmöglichkeit, soweit anwendbar.
• Rechtsverteidigung/Behördenanfragen: Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO; bei besonderen Daten Art. 9 Abs. 2 lit. f DSGVO – typischerweise nicht einschlägig).

Wie erreichen Sie den Verantwortlichen und den Datenschutzbeauftragten?

Sie können Datenschutzanliegen (z. B. Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit) über die offiziellen Kontaktwege des Anbieters einreichen. Nutzen Sie vorzugsweise die in der Datenschutzerklärung/den AGB des Dienstes ausgewiesenen Kanäle und geben Sie Ihre Konto‑ID an, damit wir Ihr Anliegen eindeutig zuordnen können.

• Offizielle Website: Navigieren Sie zum Bereich „Datenschutz“/„Kontakt“ auf der offiziellen Website und nutzen Sie das bereitgestellte Formular bzw. die dort genannten Adressen.
• Kundenkonto/Support: Stellen Sie im eingeloggten Bereich eine „Datenschutzanfrage“ oder kontaktieren Sie den Support (Live‑Chat/Ticket), wenn verfügbar. Bitten Sie um Weiterleitung an das Datenschutz‑Team.
• Identitätsprüfung: Für die Bearbeitung bestimmter Rechte (z. B. Auskunft) kann eine Identifizierung erforderlich sein (z. B. Abgleich mit Kontodaten). Senden Sie keine Originale; reichen Sie nur notwendige, geschwärzte Nachweise ein.
• Datenschutzbeauftragter (sofern benannt): Die Kontaktdaten des/der Datenschutzbeauftragten finden Sie in der Datenschutzerklärung des Dienstes; richten Sie Anfragen mit dem Betreff „An den Datenschutzbeauftragten“.
• Aufsichtsbehörde: Sie haben das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen, z. B. bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit: www.datenschutz-berlin.de.

Bitte formulieren Sie Ihr Anliegen präzise (welches Recht, welche Daten, betroffene Zeiträume) und geben Sie eine erreichbare Rückkontaktmöglichkeit an. Wir beantworten Datenschutzanfragen innerhalb der gesetzlichen Fristen der DSGVO.

Konto, Verifizierung (KYC) und Auszahlungen: Welche Daten werden benötigt?

Für die Einrichtung eines Spielerkontos, die gesetzlich vorgeschriebene Verifizierung (KYC) und die Abwicklung von Auszahlungen verarbeiten wir nur die hierfür erforderlichen personenbezogenen Daten. Dies umfasst u. a. Identitäts‑ und Adressnachweise, zahlungsbezogene Angaben (z. B. IBAN oder E‑Wallet‑Kennung) sowie Prüf‑ und Protokolldaten zur Erfüllung von Sorgfalts‑, Buchführungs‑ und Sicherheitsanforderungen. Wir wenden das Prinzip der Datenminimierung an und speichern Nachweise nur so lange, wie es rechtlich oder für die Vertragserfüllung notwendig ist.

Warum ist KYC erforderlich und welche Nachweise akzeptieren wir?

KYC („Know Your Customer“) ist erforderlich, um Minderjährige zu schützen, Betrug und Geldwäsche zu verhindern, Sanktions‑/PEP‑Vorgaben einzuhalten und Auszahlungen rechtssicher zu leisten. Rechtsgrundlagen sind u. a. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtungen aus Geldwäschevorschriften (Art. 6 Abs. 1 lit. c DSGVO; EU‑Richtlinien zur Geldwäschebekämpfung und deren nationale Umsetzungen). Folgende Nachweise werden typischerweise anerkannt (konkrete Anforderungen können je nach Rechtsraum, Risikobewertung und Zahlungsweg variieren):

Identitätsnachweis (amtliches, gültiges Dokument, Vorder‑/Rückseite falls vorhanden):

• Reisepass oder Personalausweis (bevorzugt, mit gut lesbarem Foto und maschinenlesbarer Zone/Datenseite).
• Führerschein (sofern zulässig nach internen/aufsichtsrechtlichen Richtlinien).
• Optional: Selfie/Liveness‑Check zur Bindung von Ausweis und natürliche Person.

Adressnachweis (aktuelles Dokument, i. d. R. nicht älter als 3 Monate):

• Versorgerrechnung (Strom, Gas, Wasser) oder Festnetz/Internet‑Rechnung mit Name und Adresse.
• Bank‑/Kontoauszug oder Kreditkartenabrechnung (Beträge können geschwärzt sein; Name, IBAN und Adresse sichtbar).
• Amtliche Meldebescheinigung, Steuer‑/Gebührenbescheid oder Schreiben einer Behörde.

Nachweis des Zahlungsmittel‑Eigentums (zur Auszahlung auf dasselbe/das verifizierte Mittel):

• Banküberweisung: Kontoauszug oder Banking‑Screenshot mit Name und IBAN; ggf. Bestätigung der Bankverbindung.
• E‑Wallet: Screenshot aus dem Wallet‑Konto mit registriertem Namen/E‑Mail und Wallet‑ID.
• Karte (falls genutzt): Maskierte Kartenvorderseite (nur letzte 4 Ziffern sichtbar), kein CVV.

Erhöhte Sorgfalt („Source of Funds/Wealth“) bei Auffälligkeiten oder hohen Summen:

• Gehaltsabrechnungen, Steuerbescheide, Kontoauszüge (relevante Geldeingänge), Verkaufs‑/Erbschaftsnachweise.

Wir prüfen Dokumente ausschließlich zum genannten Zweck, erfassen Prüfvermerke (z. B. Ergebnis, Datum, Prüfer/Provider) und schützen Kopien durch Zugriffskontrollen und Verschlüsselung. Bitte reichen Sie nur notwendige, gut lesbare Unterlagen ein und schwärzen Sie nicht benötigte Detailpositionen.

Banküberweisung vs. E‑Wallet: Welche Auszahlungsdaten fallen an?

Die für eine Auszahlung verarbeiteten Daten hängen von der gewählten Methode ab. Grundsatz: Auszahlungen erfolgen, soweit möglich, auf das verifizierte Ursprungszahlungsmittel. Benötigt werden Identifikatoren, um den Zahlungsempfänger eindeutig zuzuordnen, Transaktionen zu referenzieren und regulatorische Nachweise zu führen. Die folgende Tabelle gibt einen kompakten Überblick:

Unabhängig von der Methode speichern wir gesetzlich erforderliche Buchungs‑ und Prüfprotokolle. Sensible Zahlungsdaten werden, wo möglich, nur tokenisiert verarbeitet; vollständige Kartendaten werden nicht gespeichert. Auszahlungen an Dritte (abweichender Name) sind aus Sicherheits‑ und AML‑Gründen unzulässig.

Wie lange dauert eine Auszahlung und wovon hängt die Dauer ab?

Die Gesamtdauer setzt sich aus interner Bearbeitung und externer Netzlaufzeit des Zahlungswegs zusammen. Verifizierte Konten mit abgeschlossener Bonus‑/Umsatzprüfung werden in der Regel schneller ausgezahlt. Einflussfaktoren im Überblick:

• Verifizierungsstatus: Vollständig KYC‑verifizierte Konten ermöglichen zügige Freigaben; fehlende/abgelaufene Dokumente verlängern die Bearbeitung.
• Compliance‑ und Risikoprüfungen: Auffällige Muster, hohe Beträge, neue Geräte/IPs oder Namensabweichungen können manuelle Prüfungen auslösen.
• Bedingungen/Bonus: Offene Umsatzanforderungen, aktive Boni oder Kontosperren (z. B. Selbstausschluss) verhindern oder verzögern Auszahlungen bis zur Klärung.
• Zeitpunkt und Aufkommen: Anträge außerhalb von Geschäftszeiten, am Wochenende/Feiertag oder Spitzenlast können die interne Bearbeitungszeit erhöhen.
• Zahlungsmethode/Netzwerk: Nach Freigabe gelten die oben genannten Netzlaufzeiten (SCT D+1, SCT Inst in Echtzeit, E‑Wallet meist in Minuten/Stunden).
• Bank‑/Provider‑Spezifika: Zusätzliche Sicherheitsprüfungen, Limits, Währungsumrechnung oder Intermediärbanken (außerhalb SEPA) können weitere Zeit erfordern.

Praxis‑Tipp: Hinterlegen und verifizieren Sie bevorzugte Auszahlungsmethoden frühzeitig und halten Sie Adress‑/Namensdaten konsistent mit Ihren Zahlungsaccounts. Für größere Auszahlungsbeträge kann eine gestaffelte Auszahlung sinnvoll sein, sofern dies mit den AGB vereinbar ist.

Aufbewahrung, Empfänger und Datenübermittlungen

Wir speichern personenbezogene Daten nur so lange, wie es für die Vertragserfüllung, die Erfüllung gesetzlicher Pflichten und berechtigter Interessen erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Die folgenden Abschnitte erläutern typische Aufbewahrungsfristen, Kategorien von Empfängern (z. B. Zahlungsdienste, KYC‑Provider, Spielestudios) sowie die Bedingungen für Datenübermittlungen außerhalb der EU/des EWR mitsamt Schutzmechanismen.

Wie lange speichern wir welche Daten (Aufbewahrungsfristen)?

Aufbewahrungsfristen richten sich nach anwendbarem Recht (u. a. DSGVO, Geldwäschevorschriften, Handels‑/Steuerrecht) sowie nach Verjährungsfristen für Rechtsansprüche. Nach Fristablauf werden Daten gelöscht oder anonymisiert, sofern keine weitergehenden Pflichten bestehen. Die nachstehende Tabelle fasst wesentliche Kategorien zusammen; Rechtsquellen sind verlinkt.

Nach Ablauf verbindlicher Fristen werden Daten gelöscht oder – wo möglich – irreversibel anonymisiert. Bestehen konkurrierende Fristen, gilt die längste zwingende Frist. Gesetzliche Aufbewahrungspflichten gehen Löschersuchen vor; wir informieren Sie über die jeweilige Rechtslage.

An wen übermitteln wir Daten (Zahlungsdienste, KYC‑Provider, Studios)?

Datenübermittlungen erfolgen ausschließlich zweckgebunden, nach dem Need‑to‑know‑Prinzip und auf Grundlage geeigneter Rechtsgrundlagen (Art. 6 DSGVO) sowie vertraglicher Vereinbarungen zur Auftragsverarbeitung bzw. gemeinsamen Verantwortung (Art. 28/26 DSGVO). Typische Empfängerkategorien:

• Zahlungsdienstleister und Banken: Abwicklung von Ein‑/Auszahlungen (SEPA‑Überweisungen, Karten, E‑Wallets), Buchungsreferenzen, Betrugsprävention, Rückabwicklungen.
• Identitäts‑/KYC‑ und AML‑Dienstleister: Dokumenten‑/Biometrie‑Prüfungen, Sanktions‑/PEP‑Screenings, Adressverifikation, laufende Sorgfaltsprüfungen.
• Spielestudios und Aggregatoren: Technische Bereitstellung von Spielen (RNG/Live), Sitzungs‑ und Ergebnisdaten, notwendige Betrugs‑/Fairnesssignale.
• IT‑ und Sicherheitsdienstleister: Hosting, Content‑Delivery, DDoS‑Schutz, Bedrohungs‑ und Betrugserkennung, Protokollanalyse.
• Kundensupport‑/Kommunikationsanbieter: Ticketing, Live‑Chat, E‑Mail‑Zustellung, Qualitätssicherung.
• Compliance‑/RegTech‑Anbieter: Sanktionslisten‑Updates, Transaktionsmonitoring, Reporting.
• Wirtschaftsprüfer/Steuerberater/Behörden: Erfüllung gesetzlicher Nachweis‑, Prüf‑ und Meldepflichten, Rechtsdurchsetzung.

Vor jeder Einbindung prüfen wir technische und organisatorische Maßnahmen (Art. 32 DSGVO), schließen erforderliche Verträge und dokumentieren Datenflüsse. Eine Weitergabe zu Marketingzwecken erfolgt nur mit gültiger Einwilligung.

Werden Daten außerhalb der EU/des EWR übertragen und mit welchen Garantien?

Eine Drittlandsübermittlung (Art. 44 ff. DSGVO) findet nur statt, wenn dies erforderlich ist und geeignete Garantien bestehen. Dabei wenden wir – je nach Zielland und Empfänger – folgende Mechanismen an:

• Angemessenheitsbeschlüsse (Art. 45 DSGVO): Übermittlungen in Länder mit von der EU‑Kommission bestätigtem angemessenem Datenschutzniveau (Übersicht: EU‑Kommission – Angemessenheitsbeschlüsse).
• Standardvertragsklauseln (SCCs, Art. 46 DSGVO): Abschluss der aktuellen EU‑SCCs inkl. technischer und organisatorischer Ergänzungen (Information: EU‑SCCs), plus Transfer Impact Assessment (TIA) gemäß „Schrems II“.
• Binding Corporate Rules (Art. 47 DSGVO): Bei konzerninternen Übermittlungen an entsprechend genehmigte Gesellschaften.
• EU‑US Data Privacy Framework: Für berechtigte US‑Empfänger mit Zertifizierung (Hintergrund: EU‑US‑DPF); ergänzende Maßnahmen je nach Datenkategorie.

Zusätzliche Schutzmaßnahmen umfassen u. a. Ende‑zu‑Ende‑Transportverschlüsselung, starke Ruheverschlüsselung mit Schlüsselverwaltung im EWR, Datenminimierung/Pseudonymisierung, rollenbasierte Zugriffe und Rechtemanagement. Betroffene werden – soweit rechtlich erforderlich – über maßgebliche Drittlandempfänger informiert; Kopien relevanter Garantien (z. B. SCCs) stellen wir auf Anfrage zur Verfügung.

Ihre Rechte, Sicherheit und verantwortungsvolles Spielen

Als betroffene Person nach DSGVO haben Sie umfassende Rechte in Bezug auf Ihre personenbezogenen Daten. Wir stellen transparente Verfahren zur Verfügung, um Auskunfts-, Berichtigungs-, Löschungs- und Datenübertragbarkeitsanfragen effizient zu bearbeiten, setzen technische und organisatorische Schutzmaßnahmen ein und verarbeiten für Spielerschutzfunktionen wie Selbstausschluss nur die hierfür notwendigen Informationen. Nachstehend finden Sie die Details zu Rechten, Prozessen, Datenkategorien und Sicherheitsmaßnahmen.

Wie üben Sie Auskunft, Berichtigung, Löschung und Datenübertragbarkeit aus?

Sie können Ihre Rechte jederzeit geltend machen. Wir prüfen Anträge sorgfältig, verifizieren die Identität zum Schutz vor Missbrauch und beantworten fristgerecht nach DSGVO. Nutzen Sie vorzugsweise das Datenschutz-/Kontaktformular im Kundenkonto bzw. auf der offiziellen Website. Hinweise zu Fristen, Identitätsprüfung und Formaten:

• Identitätsprüfung: Zum Schutz vor unbefugten Auskünften gleichen wir Angaben mit Kontodaten ab und können geeignete Nachweise anfordern (nur minimal erforderliche Informationen einreichen).
• Fristen: Antwort grundsätzlich innerhalb von einem Monat; Verlängerung um bis zu zwei weitere Monate bei komplexen/zahlreichen Anträgen mit Begründung.
• Kosten: Anträge sind kostenfrei; bei offenkundig unbegründeten oder exzessiven Anträgen kann ein angemessenes Entgelt erhoben oder der Antrag abgelehnt werden (mit Begründung).
• Formate: Datenauszüge werden in einem gängigen, strukturierten, maschinenlesbaren Format bereitgestellt (z. B. CSV/JSON) – soweit technisch möglich.
• Beschwerderecht: Sie können sich jederzeit an eine Aufsichtsbehörde wenden, z. B. an die Berliner Beauftragte für Datenschutz und Informationsfreiheit: www.datenschutz-berlin.de.
• Rechtsgrundlagen und Ausnahmen: Löschung kann eingeschränkt sein, wenn gesetzliche Aufbewahrungspflichten oder Rechtsansprüche entgegenstehen (z. B. Buchführung, Geldwäscheprävention).

Rechtsgrundlagen und ausführliche Erläuterungen zu Ihren Rechten finden Sie in der DSGVO (amtliche Fassung der EU): EUR-Lex – Verordnung (EU) 2016/679. Bitte reichen Sie Anträge präzise ein (betroffene Datenkategorien/Zeiträume) und halten Sie Ihre Kontaktdaten aktuell, damit wir zeitnah Rückfragen klären können.

Selbstausschluss und Sperren: Welche Daten werden dafür verarbeitet?

Zum Schutz vor problematischem Spielverhalten verarbeiten wir für Selbstausschlüsse und Sperren ausschließlich die dafür notwendigen Daten. Diese dienen der wirksamen technischen Durchsetzung (z. B. Login‑/Einzahlungsverhinderung) und der Nachweisführung gegenüber Aufsichtsbehörden, soweit anwendbar.

• Identitäts- und Kontodaten: Name, Geburtsdatum, Konto‑/Kunden‑ID, verifizierter Status (zur eindeutigen Zuordnung und Verhinderung von Umgehungsversuchen).
• Sperrparameter: Art (freiwilliger Selbstausschluss, temporäre Pause, permanente Sperre), Start‑/Endzeitpunkt, gewünschte/gesetzliche Mindestdauer.
• Spielerschutz‑Einstellungen: Einzahlungs‑/Einsatz‑/Verlust‑/Sitzungslimits, Reality‑Check‑Intervalle, Historie der Anpassungen.
• Durchsetzungsdaten: Protokolle verhinderter Logins/Transaktionen, Versuche zur Limitänderung während Sperrphase, Geräte‑/Sitzungskennungen (nur soweit erforderlich).
• Kommunikations- und Nachweisführung: Anträge/Bestätigungen zum Selbstausschluss, Support‑Korrespondenz, Zeitstempel.

Die Verarbeitung erfolgt auf Basis gesetzlicher Vorgaben zum Spielerschutz und/oder zur Vertragserfüllung. Daten werden mindestens für die Dauer der Sperre gespeichert und danach gemäß gesetzlichen Aufbewahrungspflichten bzw. internen Löschkonzepten gelöscht oder anonymisiert. Anträge auf vorzeitige Aufhebung werden – sofern rechtlich zulässig – unter Einhaltung etwaiger Karenzzeiten und dokumentierter Risikoprüfungen behandelt.

Welche Sicherheitsmaßnahmen setzen wir ein (Verschlüsselung, Zugriffskontrolle)?

Wir schützen personenbezogene Daten durch ein Bündel technischer und organisatorischer Maßnahmen nach dem Stand der Technik (Art. 32 DSGVO). Sicherheitskontrollen werden risikobasiert angewendet, regelmäßig überprüft und weiterentwickelt.

• Verschlüsselung: Branchenübliche Transportverschlüsselung (TLS) für Datenübertragungen und Verschlüsselung gespeicherter Daten, einschließlich strikter Schlüsselverwaltung.
• Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Least Privilege), Mehr‑Faktor‑Authentifizierung für Administrationszugriffe, Protokollierung und regelmäßige Re‑Zertifizierungen von Rechten.
• Datenminimierung & Pseudonymisierung: Erhebung nur notwendiger Daten; wo möglich Pseudonymisierung/Tokenisierung zur Reduktion personenbezogener Bezüge.
• System- und Anwendungssicherheit: Sichere Softwareentwicklungsprozesse (z. B. Code‑Reviews, Schwachstellen‑Scans), Patch‑/Vulnerability‑Management, Härtung von Systemen.
• Netzwerkschutz: Segmentierung, Firewall‑/WAF‑Kontrollen, DDoS‑Abwehr, Intrusion‑Detection/Monitoring.
• Betrugs- und Missbrauchsprävention: Risiko‑Modelle, Anomalieerkennung, Limit‑ und Regelwerke, manuelle Reviews mit Vier‑Augen‑Prinzip.
• Datensicherung & Wiederherstellung: Verschlüsselte Backups, regelmäßige Wiederherstellungstests, Notfallpläne.
• Lieferantenmanagement: Datenschutz‑/Sicherheitsprüfungen, vertragliche TOMs und Auftragsverarbeitungsverträge, regelmäßige Audits.
• Awareness & Prozesse: Schulungen, Vertraulichkeitsverpflichtungen, Incident‑Response‑Prozesse einschließlich Meldewegen.
• Datenschutzvorfälle: Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden, soweit gesetzlich erforderlich; Benachrichtigung betroffener Personen nach Art. 34 DSGVO, wenn geboten.

Wenn Sie Fragen zur Datensicherheit oder zum Spielerschutz haben oder Ihre Rechte ausüben möchten, verwenden Sie die offiziellen Kontaktmöglichkeiten auf der Website. Informationen zur zuständigen Datenschutzaufsicht und zur DSGVO finden Sie u. a. hier: Berliner Beauftragte für Datenschutz und Informationsfreiheit und EUR‑Lex – DSGVO.

Cookies, Tracking und Einwilligungen: Welche Wahlmöglichkeiten haben Sie?

Wir setzen Cookies und ähnliche Technologien ein, um den sicheren Betrieb der Website zu ermöglichen, Funktionen bereitzustellen, die Nutzung zu messen und – nur mit Ihrer Einwilligung – Marketing zu betreiben. Endgerätezugriffe, die nicht zwingend technisch erforderlich sind, erfolgen erst nach Ihrer Zustimmung über das Consent‑Banner. Die konkrete, tagesaktuelle Liste aller Dienste, Zwecke und Speicherdauern finden Sie jederzeit im Consent‑Manager („Cookie‑Einstellungen“), den Sie über den Fußbereich der Website aufrufen können.

Welche Cookies und Tracking‑Technologien verwenden wir?

Wir unterscheiden zwischen essenziellen (technisch notwendigen) und einwilligungsbedürftigen Kategorien. Neben klassischen HTTP‑Cookies können – je nach Bereich – auch Local/Session Storage oder Pixel verwendet werden. Probabilistisches Fingerprinting oder ähnliche Verfahren, die nicht zwingend erforderlich sind, setzen wir ohne Einwilligung nicht ein. Nachfolgend typische Kategorien und Datenpunkte:

Hinweis: Konkrete Dienste und genaue Laufzeiten können variieren. Maßgeblich sind die Angaben im Consent‑Manager. Ohne Einwilligung setzen wir keine nicht notwendigen Cookies/Tracker und beschränken uns auf essenzielle Funktionen.

Wie widerrufen Sie Einwilligungen oder legen Widerspruch ein?

Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen und der Verarbeitung auf Grundlage berechtigter Interessen widersprechen. So gehen Sie vor:

• Consent‑Manager: Öffnen Sie „Cookie‑Einstellungen“ (Footer). Deaktivieren Sie Kategorien oder einzelne Dienste. Ihre Auswahl wird sofort gespeichert.
• Browser/Endgerät: Löschen/Blockieren Sie Cookies und Website‑Daten oder verwenden Sie den privaten Modus. Dies kann Funktionen beeinträchtigen.
• Marketing‑Kommunikation: Abmelden über den Abmelde‑Link in E‑Mails oder im Konto. Transaktions‑/Service‑E‑Mails bleiben unberührt.
• Widerspruch (Art. 21 DSGVO): Legen Sie im Konto oder über die ausgewiesenen Kontaktkanäle Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen ein (z. B. bestimmte Analysen ohne Einwilligung, soweit vorhanden).
• Globale Signale: Wir prüfen global gesendete Opt‑out‑Signale (z. B. „Global Privacy Control“), berücksichtigen sie – soweit technisch erkennbar – und setzen sie im Rahmen der rechtlichen Vorgaben um.

Ein Widerruf/Widerspruch berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Löschen Sie zusätzlich Browserdaten, wenn Sie möchten, dass bestehende Identifikatoren entfernt werden.

Advocatus Diaboli: Ist Datensparsamkeit mit KYC und Geldwäscheprävention vereinbar?

Auf den ersten Blick kollidiert Datensparsamkeit mit KYC/AML‑Pflichten: KYC verlangt Identitäts‑, Adress‑ und Zahlungsnachweise, während die DSGVO möglichst wenige Daten fordert. Beides ist vereinbar, wenn strikt zweckgebunden, minimal und sicher verarbeitet wird:

• Zweckbindung und Minimalprinzip: Erhebung nur der gesetzlich/vertraglich erforderlichen Felder (z. B. Name, Geburtsdatum, Adresse, Dokumentenmerkmale) – keine Übersammlungen.
• Dokumenten‑Reduktion: Geschwärzte Nachweise (nur notwendige Felder sichtbar), keine Speicherung sensibler Zusatzinformationen.
• Datenentkopplung: Trennung von KYC‑Ablage und Spiel‑/Marketingdaten, Zugriff nur nach Need‑to‑know.
• Pseudonymisierung/Tokenisierung: Speicherung von Zahlungsreferenzen als Token; keine Vollspeicherung von Kartendaten/CVV.
• Strenge Aufbewahrung und Löschung: Bindung an gesetzliche Mindestfristen; automatische Lösch‑/Anonymisierungsjobs nach Fristende.
• Risikobasierter Ansatz: Erweiterte Nachweise (Source of Funds) nur bei gesetzlich oder risikoseitig gebotenen Fällen.
• Transparenz und Kontrolle: Klarer Consent‑Flow für nicht notwendige Verarbeitung; Widerspruchswege für Art. 6 Abs. 1 lit. f‑Verarbeitungen.
• Sicherheit: Verschlüsselung, Zugriffskontrollen, Vier‑Augen‑Prinzip bei Prüfungen, regelmäßige Audits.

Fazit: KYC/AML verlangt bestimmte Daten – Datensparsamkeit steuert, dass darüber hinaus nichts erhoben, alles klar getrennt, kurz aufbewahrt und technisch bestmöglich geschützt wird. So bleibt der Spielerschutz wirksam, ohne unnötige Privatsphäre‑Risiken zu schaffen.

Häufig gestellte Fragen

Trifft Vulkan Vegas automatisierte Entscheidungen nach Art. 22 DSGVO (z. B. automatische Auszahlungssperren)?

Nein, Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung werden nicht ausschließlich automatisiert getroffen; Risikosignale führen zu einem dokumentierten menschlichen Review. Sie können nach Art. 15 und 22 Abs. 3 DSGVO eine Erläuterung der maßgeblichen Faktoren und der eingebundenen Logik anfordern. Praktisch bedeutet das: Betrugs- und AML-Modelle markieren Vorgänge zunächst, ein geschulter Mitarbeiter prüft Datenquellen, Treffer und Kontext, protokolliert Zeitstempel und Ergebnis, und teilt Ihnen die tragenden Gründe auf Anfrage mit.

Welche meiner Daten sieht ein externes Spielestudio tatsächlich?

Spielestudios erhalten pseudonyme Sitzungs- und Rundendaten wie Session‑Token, Spielrunden‑IDs, Einsatz, Ergebnis und technische Statuswerte, jedoch keine Namen, E‑Mail‑Adressen oder Ausweiskopien. Identitäts- und KYC‑Informationen verbleiben beim Anbieter bzw. dessen KYC‑Dienstleistern; Studios erhalten nur die zur Spielabwicklung und Fairnessprüfung erforderlichen Signale, Audit‑Zugriffe auf personenbezogene Daten erfolgen – falls rechtlich notwendig – ausschließlich über den Anbieter.

Wie formuliere ich einen DSGVO‑Auskunftsantrag, der wirklich alle relevanten Daten umfasst?

Nennen Sie Ihre Konto‑ID, den gewünschten Zeitraum (z. B. 01.01.2024–31.12.2025), konkrete Datenkategorien (z. B. Spielrunden, Ein‑/Auszahlungen, KYC‑Prüfvermerke, Logins) und das Format (CSV/JSON); die Antwortfrist beträgt regelmäßig 1 Monat. Beispieltext: „Ich beantrage nach Art. 15 DSGVO einen Datenauszug zu meinem Konto [Konto‑ID], Zeitraum [von/bis], inklusive Spielhistorie mit Zeitstempeln, Transaktionsjournal mit Beträgen/Währungen/Referenzen, KYC‑Ergebnisprotokollen und Login‑Protokollen, bereitgestellt als CSV/JSON.“ Übermitteln Sie den Antrag über die offiziell ausgewiesenen Datenschutz‑Kanäle und halten Sie einen geeigneten Identitätsnachweis bereit.

Kann ich die Löschung meiner KYC‑Uploads verlangen, ohne mein Konto zu schließen?

Ja, Sie können die Löschung beantragen; solange Aufbewahrungspflichten aus AML/Steuerrecht greifen, werden Kopien jedoch gesperrt weiter vorgehalten und erst nach Fristablauf entfernt oder anonymisiert. Praktisch möglich sind sofortige Maßnahmen wie Schwärzung nicht erforderlicher Bildbereiche in Kopien, strikte Zugriffsbeschränkung und Protokollierung; nach Ablauf der gesetzlichen Mindestfristen werden Dokumente turnusmäßig gelöscht und nur noch prüfrelevante Metadaten ohne Bildinhalte behalten, sofern rechtlich zulässig.

Wie fordere ich die Standardvertragsklauseln (SCCs) für Drittlandübermittlungen an?

Stellen Sie eine Datenschutzanfrage mit dem Betreff „Kopie der SCCs nach Beschluss 2021/914/EU“ und benennen Sie – falls bekannt – die betroffenen Empfänger; die Bereitstellung erfolgt innerhalb der DSGVO‑Frist von 1 Monat, mit zulässigen Schwärzungen. Geben Sie Ihre Konto‑ID an, fordern Sie die konkret einschlägigen Module (Controller‑to‑Processor oder Processor‑to‑Processor) an und vermerken Sie, dass Sie auch eine Zusammenfassung des Transfer Impact Assessment (TIA) wünschen, soweit herausgabefähig.

Was steht in einer Benachrichtigung bei einer Datenschutzverletzung und wann kommt sie?

Bei hohem Risiko für Ihre Rechte werden Sie ohne unangemessene Verzögerung informiert; die Aufsichtsbehörde erhält in der Regel binnen 72 Stunden eine Meldung. Die Nutzerbenachrichtigung erläutert Art der Verletzung, betroffene Datenkategorien und – soweit sinnvoll – ungefähre Stückzahlen, wahrscheinliche Folgen, getroffene oder vorgeschlagene Abhilfemaßnahmen sowie Kontaktpunkte für Rückfragen, typischerweise die Datenschutzstelle oder den Datenschutzbeauftragten.

Wie kann ich meine erteilten Einwilligungen und deren Historie exportieren?

Fordern Sie über den Consent‑Manager oder per Datenschutzanfrage einen Export der Consent‑Logs mit Zeitstempel, Geräte‑/Browser‑Kontext, Version der Hinweise und gewählten Kategorien an; als Nachweis werden diese typischerweise mindestens für die Dauer der regelmäßigen Verjährung von 3 Jahren dokumentiert. Der Export erfolgt in einem maschinenlesbaren Format wie CSV/JSON und kann die Entwicklung Ihrer Präferenzen über die Zeit inklusive Widerrufszeitpunkte ausweisen.

Werden bei Selfie‑/Liveness‑Checks biometrische Daten dauerhaft gespeichert?

Biometrische Merkmale werden für die Verifikation durch beauftragte KYC‑Provider verarbeitet; Vulkan Vegas speichert in der Regel das Prüfergebnis und erforderliche Metadaten, nicht aber dauerhaft verwertbare Vorlagen. Ob und wie lange der Provider technische Templates vorhält, richtet sich nach vertraglicher Bindung und Zweckbindung; vertraglich werden strenge Löschfristen, Verschlüsselung und Zweckbeschränkung gefordert, und Sie können beim Anbieter eine Bestätigung der Löschung beim Auftragsverarbeiter anfordern.

Gibt Vulkan Vegas Daten an Wirtschaftsauskunfteien oder Scoring‑Dienste weiter?

Es erfolgt keine routinemäßige Übermittlung an allgemeine Auskunfteien zu Kredit‑Scoring‑Zwecken. Eine Weitergabe kann ausnahmsweise auf gesetzlicher Grundlage stattfinden, etwa im Rahmen von Betrugsfällen, Forderungsdurchsetzung oder Rücklastschriften, und wird dabei zweckgebunden, dokumentiert und auf das erforderliche Minimum beschränkt.

Wie detailliert ist der Audit‑Trail bei Auszahlungen, damit Entscheidungen überprüfbar sind?

Der Audit‑Trail umfasst eine lückenlose Kette aus Antrag, Freigabe und Auszahlung inklusive Zeitstempeln, beteiligten Rollen und Ergebnisstatus. Protokolliert werden methodenabhängige Identifikatoren wie Transaktions‑ und Referenz‑IDs, maskierte oder gehashte Zahlungskennungen, Ergebnis und Gründe von Risiko‑/Compliance‑Prüfungen sowie der verantwortliche Prüfer; die Nachweise werden entsprechend der Buchführungs‑ und AML‑Vorgaben aufbewahrt.

Erhalte ich bei Datenübertragbarkeit auch meine Spielhistorie als Rohdaten?

Ja, soweit es sich um von Ihnen bereitgestellte oder beobachtete Daten handelt, können Spiel‑ und Nutzungshistorien in einem gängigen, maschinenlesbaren Format wie CSV/JSON bereitgestellt werden. Der Export enthält üblicherweise Sitzungs‑ und Rundendaten mit Zeitstempeln, Einsatz‑ und Ergebniswerten und technische Kontextfelder; ein direkter System‑zu‑System‑Transfer zu anderen Anbietern ist meist mangels Standards nicht möglich, ein Dateiexport hingegen schon.

Kann ich der Verarbeitung für Betrugsprävention widersprechen?

Sie können Verarbeitungen auf Basis berechtigter Interessen nach Art. 21 DSGVO widersprechen; rechtliche Pflichten, insbesondere AML‑ und IT‑Sicherheit, bleiben davon unberührt. In der Praxis kann ein stattgegebener Widerspruch analytische Komfortfunktionen betreffen, nicht jedoch Sicherheits‑, Sanktionslisten‑ oder Geldwäscheprüfungen, die auf Gesetz oder Vertrag beruhen; Ihr Widerspruch wird dokumentiert und Sie erhalten eine begründete Entscheidung.

Was passiert mit Daten in Backups, wenn ich Löschung verlange?

In Live‑Systemen wird nach erfolgreicher Prüfung zielgerichtet gelöscht oder gesperrt; unveränderliche Backups werden nicht nachträglich editiert, sondern planmäßig rotiert, und ein Wiederherstellen zu Zugriffs‑ oder Produktionszwecken ist streng kontrolliert. Damit bleibt die Löschung wirksam: Die Daten sind operativ nicht mehr nutzbar, werden in Backups nur bis zum Ende des turnusmäßigen Lebenszyklus vorgehalten und bei einer Ausnahme‑Wiederherstellung erneut dem Löschstatus unterworfen.

Wie wird mit Daten Minderjähriger verfahren, wenn ein Konto nachträglich als unter 18 erkannt wird?

Das Konto wird gesperrt und die Verarbeitung auf die Erfüllung gesetzlicher Pflichten und Beweissicherung beschränkt; Identitäts‑ und Transaktionsnachweise bleiben nur so lange gespeichert, wie es rechtlich erforderlich ist. Etwaige Zahlungsvorgänge und Guthaben werden anhand der geltenden Vorgaben und Vertragsbedingungen geprüft, Umgehungsversuche werden dokumentiert und technische Sperren gegen Neuregistrierung mit denselben Identifikatoren eingerichtet.