Wer bei Stonevegas einzahlt, hinterlässt Daten: Ausweiskopien, Adressen, Zahlungsströme, teils sogar Selfies für die KYC-Prüfung. Die verbreitete Annahme, ein EU-reguliertes Portal sei automatisch datenschutzkonform, hält einer Prüfung selten stand. Bei einem Anbieter mit Anjouan-Lizenz lohnt der genaue Blick auf vier konkrete Punkte, an denen sich zeigt, ob die DSGVO überhaupt greift oder nur als Marketingfloskel dient.
Punkt eins: Der EU-Vertreter als erste Bewährungsprobe
Nach Artikel 27 DSGVO muss ein Verantwortlicher ohne Niederlassung in der EU einen schriftlich benannten Vertreter in einem Mitgliedstaat stellen. Für Stonevegas, betrieben von NovaForge Ltd und reguliert durch das Anjouan Gaming Board, ist das der entscheidende Lackmustest. Fehlt ein solcher Vertreter in der Datenschutzerklärung oder im Impressum, ist die Verantwortlichkeit für Betroffene praktisch nicht durchsetzbar. Aufsichtsbehörden wie die Berliner oder Hamburger DPA haben genau deshalb schon Bußgelder gegen Offshore-Glücksspielanbieter verhängt.
Die Prüfung ist einfach: Datenschutzerklärung öffnen, nach „Vertreter in der Union” oder einer konkreten EU-Adresse suchen. Wer nur eine Postfachadresse auf den Anjouan-Inseln findet, hat die Antwort. In der Praxis fehlt dieser Punkt bei Anjouan-Lizenzen fast immer, weil die Lizenzbehörde ihn schlicht nicht verlangt.
Punkt zwei und drei: Auftragsverarbeitung und Löschfristen
Was der AVV mit Zahlungsdienstleistern verrät
Jede Einzahlung per Skrill, Neteller oder Revolut durchläuft mindestens einen Auftragsverarbeiter. Artikel 28 DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag (AVV), der Zweck, Dauer, Weisungsbindung und Löschpflichten regelt. Der Betreiber muss in seiner Datenschutzerklärung offenlegen, mit welchen Dienstleistern solche Verträge bestehen. Wer stattdessen nur schreibt „Wir arbeiten mit Zahlungsanbietern zusammen”, verdeckt die eigentliche Datenkette.
Der Reporter-Trick: Bei Krypto-Einzahlungen in Bitcoin oder Ethereum existiert oft gar kein klassischer Zahlungsdienstleister, dafür aber ein Blockchain-Analyseanbieter, der Wallet-Adressen mit Identitäten verknüpft. Auch der braucht einen AVV. Fehlt die Offenlegung, ist unklar, ob eine Auftragsverarbeitung überhaupt vertraglich abgesichert ist.
Bei den Löschfristen wird es konkreter. KYC-Dokumente unterliegen geldwäscherechtlichen Aufbewahrungspflichten, üblicherweise fünf Jahre ab Ende der Geschäftsbeziehung. Eine saubere Datenschutzerklärung nennt diese Frist explizit und trennt sie von anderen Datenkategorien wie Marketingprofilen oder Spielverlauf. https://stonevegas-bonus.de/ offers additional context worth reviewing. Wer pauschal „wir speichern Daten so lange wie nötig” schreibt, hat keine Frist definiert, sondern eine Ausrede. Prüfbar ist das an der Frage: Steht dort eine konkrete Jahreszahl und ein Bezugspunkt für den Fristbeginn?
Punkt vier: Die Rechtsgrundlage für den Drittlandtransfer
Der eigentliche Knackpunkt bei einem Online Casino ohne OASIS ist die Datenübermittlung. NovaForge Ltd sitzt außerhalb der EU, der Serverstandort ist oft unklar, und selbst wenn die Anjouan Gaming Board ihren Sitz auf den Komoren hat, fließen Daten an Partner weltweit. Artikel 44 bis 49 DSGVO verlangen für jeden Drittlandtransfer eine Rechtsgrundlage: Angemessenheitsbeschluss, Standardvertragsklauseln (SCC) oder eine ausdrückliche Einwilligung nach Artikel 49.
Die meisten Offshore-Anbieter berufen sich auf Einwilligung, weil das der bequemste Weg ist. Das ist rechtlich zulässig, aber nur für gelegentliche Übermittlungen, nicht für das Kerngeschäft eines Casinos mit über 11.000 Spielen und Sportwetten. Wer als Nutzer bei Stonevegas ein Konto eröffnet, muss wissen: Ein Widerruf der Einwilligung würde den Betrieb des Kontos faktisch unmöglich machen, was den Freiwilligkeitscharakter der Einwilligung infrage stellt.
Ein weiterer Mythos: Die OASIS-Sperrdatei und das LUGAS-Einzahlungslimit seien reine Spielerschutzinstrumente ohne Datenschutzrelevanz. Tatsächlich verarbeitet OASIS personenbezogene Daten zur Sperrung, und die 5-Sekunden-Regel sowie der Panikknopf setzen eine Echtzeitanbindung an die Landesbehörden voraus. Stonevegas ist an OASIS und LUGAS nicht angeschlossen und arbeitet ohne deutsche GGL-Zulassung. Das entlastet den Anbieter datenschutzrechtlich nicht, denn die Verarbeitung findet trotzdem statt, nur ohne die Kontrollmechanismen, die eine GGL-Lizenz mitbringt.
Wer die vier Punkte durchgeht, merkt schnell: Bei einer Anjouan-Lizenz fehlen sie meist alle. EU-Vertreter, AVV-Offenlegung, konkrete Löschfristen und belastbare Transfergrundlage sind bei Stonevegas nicht dokumentiert. Das heißt nicht automatisch, dass Daten missbraucht werden, aber es heißt, dass Betroffene ihre Rechte kaum durchsetzen können.
Praktisch bleibt drei Schritte: Erstens die Datenschutzerklärung nach den vier Stichworten durchsuchen und Screenshots machen. Zweitens bei fehlendem EU-Vertreter eine Auskunftsanfrage nach Artikel 15 DSGVO an die im Impressum genannte Adresse schicken und die Reaktion dokumentieren. Drittens bei ernsthaften Bedenken die Einzahlung über E-Wallets wie Skrill oder Neteller gering halten und auf Krypto verzichten, weil die Blockchain-Verknüpfung die Datenkette verlängert. Wer den Bonus von 100% bis 500 € plus 200 Freispiele oder den 15% wöchentlichen Cashback nutzt, sollte wissen, dass er dafür Daten preisgibt, deren Verbleib bei einem Anbieter ohne OASIS- und LUGAS-Anbindung nur schwer nachvollziehbar ist. Der Kundendienst per Live-Chat und E-Mail ist 24/7 erreichbar, aber eine DSGVO-Beschwerde gehört nicht dorthin, sondern zur zuständigen Aufsichtsbehörde.