Wer die Daten verarbeitet
Rolling Slots Casino wird von einem in Curaçao lizenzierten Betreiber geführt. Die Datenverarbeitung erfolgt nach der Landsverordening bescherming persoonsgegevens von Curaçao sowie den Auflagen der Curaçao Gaming Control Board (GCB). Zusätzlich anwendbar ist das revidierte Schweizer Datenschutzgesetz (nDSG), sobald die Plattform Personen mit Wohnsitz in der Schweiz anspricht.
Das ist keine Formalität. Zwei Rechtsordnungen laufen parallel, auch wenn Server und Sitz des Betreibers ausserhalb der Schweiz liegen. Beide Regelwerke gelten gleichzeitig.
Zum Kontext: die Curaçao-eGaming-Lizenz deckt den Betrieb nicht in jedem Land ab. Die Schweiz verlangt für inländische Online-Casinos eine Konzession der Eidgenössischen Spielbankenkommission (ESBK). Rolling Slots verfügt über keine solche Konzession. Der Zugang aus der Schweiz erfolgt auf eigene Verantwortung des Spielers.
Welche Daten erhoben werden
Bei der Registrierung: Vor- und Nachname, Wohnadresse, Geburtsdatum, E-Mail-Adresse, Telefonnummer und gewählte Kontowährung. Ohne diese Angaben lässt sich kein Konto eröffnen.
Zum Kontext: bei der ersten Auszahlungsanfrage verlangt die KYC-Abteilung zusätzlich eine farbige Ausweiskopie, ein Kartenfoto mit maskierten mittleren Ziffern und CVV, einen Kontoauszug mit IBAN und BIC sowie eine Versorgerrechnung, die nicht älter als 90 Tage ist. Bei Auffälligkeiten kommt ein Selfie mit Ausweis in der Hand dazu.
Beim Spielen fallen weitere Daten an: Einzahlungen, Auszahlungen, Wetteinsätze, Bonushistorie, Sitzungsdauer, IP-Adresse, Gerätekennung, Browsertyp und Standortdaten. Diese Angaben gehen an die Risiko- und Betrugsabteilung. Sie sind Pflicht, nicht Option.
Rechtsgrundlage der Verarbeitung
Vertragserfüllung deckt Kontoführung, Ein- und Auszahlungen sowie Spielabwicklung. Gesetzliche Pflicht deckt Geldwäschekontrolle nach der Curaçao National Ordinance on the Prevention of Money Laundering sowie Spielerschutzmassnahmen. Berechtigtes Interesse deckt Betrugsprävention und Netzwerksicherheit. Einwilligung deckt Marketing-Kommunikation und optionale Cookies.
Das ist keine Formalität. Ohne konkrete Rechtsgrundlage darf kein einziger Datensatz verarbeitet werden. Jede Kategorie hat eine eigene Grundlage.
Weitergabe an Dritte
Empfänger sind Zahlungsdienstleister, KYC-Anbieter, Spielsoftware-Provider (unter anderem NetEnt, Pragmatic Play, Evolution Gaming), Hosting-Anbieter, Anti-Fraud-Systeme sowie Aufsichtsbehörden. Ohne diese Weitergabe funktioniert der Dienst nicht.
Zum Kontext: die Curaçao Gaming Control Board erhält auf Anfrage Konto- und Transaktionsdaten. Bei einer Meldung nach dem Geldwäschegesetz landen die Angaben bei der Financial Intelligence Unit von Curaçao. Ein Verkauf an Werbenetzwerke findet nicht statt.
Datentransfer ausserhalb der Schweiz
Die Server stehen ausserhalb der Schweiz und ausserhalb der EU. Curaçao gilt nach Schweizer Recht nicht als Land mit angemessenem Datenschutzniveau.
Das ist der wichtigste Punkt in diesem Abschnitt. Der Transfer erfolgt auf Basis der Einwilligung, die der Spieler bei der Registrierung erteilt. Standardvertragsklauseln zwischen Curaçao und Schweizer Behörden existieren nicht. Wer diese Rechtslage nicht akzeptiert, sollte sich nicht registrieren.
Speicherdauer
Kontodaten und Transaktionshistorie: zehn Jahre nach Kontoschliessung, Grundlage sind geldwäscherechtliche Aufbewahrungspflichten. KYC-Dokumente ebenfalls zehn Jahre. Marketing-Präferenzen bis zum Widerruf. Server-Logs 90 Tage.
Zum Kontext: nach sechs Monaten ohne Echtgeldeinsatz gilt ein Konto als ruhend. Ab dem Folgemonat werden 10 EUR Verwaltungsgebühr pro Monat vom Guthaben abgezogen, jeweils am 1. um 00:00 UTC. Nach zwölf Monaten Inaktivität darf der Betreiber das Konto löschen, ein Restguthaben verfällt.
Rechte des Spielers
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen Marketing sind jederzeit möglich. Nach nDSG steht Spielerinnen und Spielern in der Schweiz zusätzlich die Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) offen.
Das Recht auf Löschung greift nicht während laufender Aufbewahrungsfristen. Konkret: solange die zehnjährige AML-Frist läuft, können Konto- und Transaktionsdaten nicht gelöscht werden, sondern nur eingeschränkt. Anfragen werden innerhalb von 30 Tagen beantwortet.
Sicherheit und Datenschutzverletzungen
Verschlüsselung erfolgt per TLS 1.3, Passwörter werden gehasht (bcrypt oder gleichwertig). Zahlungsdaten laufen ausschliesslich über PCI-DSS-zertifizierte Anbieter, das Casino selbst speichert weder CVV noch vollständige Kartennummern.
Bei einer Datenschutzverletzung mit hohem Risiko wird der Betroffene direkt informiert. Aufsichtsbehörde und GCB erhalten die Meldung innerhalb der gesetzlichen Fristen. Das ist gesetzliche Pflicht, kein Goodwill.
Kontakt
Anfragen zum Datenschutz gehen an [email protected]. Bearbeitung innerhalb von 30 Tagen. Anonyme Anfragen werden nicht bearbeitet, weil ohne Identifikation kein Datensatz zugeordnet werden kann.