DSGVO für iGaming: Kartendaten, Zweck und Verantwortung

Welche Verarbeitungstätigkeiten sollen abgebildet werden?

Als Kernprinzipien nennt der EDSA Rechtmäßigkeit, Zweckbindung, Datenminimierung und Rechenschaftspflicht. In den Leitlinien zur Rechtsgrundlage werden je nach Verarbeitungskontext unterschiedliche mögliche Grundlagen genannt.

Erstellen Sie eine Verarbeitungskarte, die Kontoerstellung, Verifizierung, Transaktionen, Risikoüberwachung, Support, Marketing und Berichterstattung umfasst. Erfassen Sie Daten, Zweck, Rechtsgrundlage, Empfänger und Aufbewahrungsregel. Wenn es sich um vertrauliche Informationen handelt, prüfen Sie die zusätzlichen Bedingungen, anstatt davon auszugehen, dass die gewöhnliche Grundlage ausreicht.

Warum ist Einwilligung keine universelle Lösung?

Unterschiedliche Aktivitäten können sich auf unterschiedliche Rechtsgrundlagen stützen. Einem Kunden kann nicht sinnvoll mitgeteilt werden, dass jede Verarbeitungsaktivität optional ist, wenn eine davon zur Erfüllung einer gesetzlichen Verpflichtung erforderlich ist.

Erläutern Sie die tatsächlichen Zwecke der Datenschutzerklärung und der Betriebsabläufe. Halten Sie Marketinggenehmigungen getrennt von Informationen, die für den Betrieb oder die Erfüllung von Verpflichtungen erforderlich sind. Die Klassifizierung muss die Fakten und das geltende Recht widerspiegeln, nicht das Kontrollkästchen, das am einfachsten zu implementieren ist.

Wie sollten Lieferantenrollen bewertet werden?

Stellen Sie fest, ob jede Partei als Verantwortlicher, Auftragsverarbeiter oder in einer anderen relevanten Vereinbarung für die spezifische Verarbeitung fungiert. Die Bezeichnung eines Vertrags sollte mit den tatsächlichen Entscheidungen und Aktivitäten übereinstimmen.

• Listen Sie Plattform-, Verifizierungs-, Zahlungs-, Support- und Analyseanbieter auf.
• Identifizieren Sie, welche Daten jeder erhält und wo auf sie zugegriffen wird.
• Dokumentieren Sie Anweisungen, Sicherheits- und Assistenzpflichten.
• Bewerten Sie Unterauftragsverarbeiter und internationale Übertragungen.
• Definieren Sie Rückgabe-, Lösch- und Zugriffsvereinbarungen bei Beendigung.

Wie sollen Kundenrechte operativ funktionieren?

Geben Sie den Anfragen einen klaren Aufnahmeweg, einen Identitätsprüfungsprozess und einen verantwortlichen Eigentümer. Das Team muss relevante Datensätze systemübergreifend finden und gleichzeitig die Daten anderer Personen schützen und geltende Ausnahmen respektieren.

Beispielsweise kann es bei einem Löschverlangen zu Überschneidungen mit gesetzlichen Aufbewahrungspflichten kommen. Die Antwort erfordert eine Prüfung der einzelnen Aufzeichnungen und Pflichten, nicht eine automatische Löschung aller Daten oder eine pauschale Ablehnung. Notieren Sie die Begründung und erläutern Sie das Ergebnis angemessen.

Was soll getestet werden?

Üben Sie eine Rechteanfrage, einen Lieferantenwechsel und einen Vorfall mit unbefugtem Zugriff. Diese Übungen zeigen, ob die Datenkarte nutzbar ist und ob das Unternehmen weiß, wo sich Informationen befinden.

Sorgen Sie dafür, dass der Datenschutz bei Produktänderungen berücksichtigt wird. Ein neues Spielerrisikomodell oder eine neue Datenfreigabevereinbarung kann die Bewertung ändern. Überprüfen Sie den Zweck, die Notwendigkeit, die Sicherheitsmaßnahmen und etwaige Folgenabschätzungsanforderungen, bevor Sie die Änderung als routinemäßige Softwareversion behandeln.