Wer eine Casino-App auf Android installiert und sich registriert, übergibt früher oder später ein Foto seines Personalausweises. Das ist bei seriösen Anbietern Standard, weil die Geldwäschegesetze eine Identitätsprüfung verlangen. Die spannende Frage ist nicht, ob das Dokument hochgeladen wird, sondern was danach damit passiert. Bei vielen Anbietern, darunter auch Casinoly, fehlt in der Datenschutzerklärung eine konkrete Löschfrist für Ausweiskopien. Die DSGVO fordert aber genau das: Löschung, sobald der Zweck erfüllt ist. Dieser Deep-Dive zeigt, wo die Lücke liegt, warum sie rechtlich heikel ist und worauf Android-Nutzer achten sollten.
Die Datenschutz-Grundverordnung ist bei Löschfristen erstaunlich klar, auch wenn viele Datenschutzerklärungen das Gegenteil suggerieren. Artikel 5 Absatz 1 lit. e verlangt Speicherbegrenzung: personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für den jeweiligen Zweck nötig ist. Für eine Ausweiskopie heißt das, sie dient der einmaligen Identitätsfeststellung. Ist die Verifizierung abgeschlossen und gibt es keine gesetzliche Aufbewahrungspflicht, muss das Dokument weg.
Das Problem: Geldwäscherecht und DSGVO ziehen in unterschiedliche Richtungen. Paragraf 8 des Geldwäschegesetzes verpflichtet Verpflichtete, Aufzeichnungen und Unterlagen fünf Jahre aufzubewahren. Viele Casinos leiten daraus ab, auch die Ausweiskopie fünf Jahre lang speichern zu dürfen. Datenschutzrechtlich ist das umstritten. Aufbewahrungspflichten betreffen in der Regel die Identifizierungsdaten, nicht zwingend das komplette Bilddokument mit Lichtbild, Unterschrift und maschinenlesbarer Zone. Genau hier beginnt die Grauzone, in der sich Anbieter gern breit machen.
Ein zweiter Punkt wird oft übersehen: Die DSGVO verlangt nicht nur die Löschung an sich, sondern Transparenz darüber. Artikel 13 und 14 verpflichten den Verantwortlichen, die Speicherdauer oder zumindest die Kriterien für ihre Festlegung mitzuteilen. Eine Formulierung wie “wir speichern Ihre Daten so lange wie gesetzlich erforderlich” erfüllt das nicht. Wer eine Ausweiskopie hochlädt, hat ein Recht zu erfahren, ob sie nach 30 Tagen, nach sechs Monaten oder nach fünf Jahren gelöscht wird. Fehlt diese Angabe, ist die Datenschutzerklärung an dieser Stelle unvollständig.
Technisch gibt es zwei Wege, wie eine Android-Casino-App mit dem Ausweis umgeht. Entweder die App öffnet die Kamera, der Nutzer fotografiert das Dokument, und das Bild wird direkt an einen Server des Betreibers oder eines KYC-Dienstleisters geschickt. Oder die App speichert das Foto zunächst lokal im App-Cache und lädt es später hoch. Beide Varianten haben datenschutzrechtliche Konsequenzen, aber unterschiedliche.
Bei der lokalen Zwischenspeicherung stellt sich die Frage, ob die Datei nach dem Upload zuverlässig gelöscht wird. Android-Apps können Caches anlegen, die auch nach dem Schließen der App bestehen bleiben. Ohne explizite Löschroutine liegt das Dokument dann länger auf dem Gerät als nötig. Bei der Cloud-Variante verlagert sich das Problem zum Server: Wer hostet die Daten, in welcher Jurisdiktion, und wie lange? Gerade Offshore-Anbieter arbeiten häufig mit externen KYC-Dienstleistern, die ihren Sitz außerhalb der EU haben. Das macht die Nachverfolgung der Löschfristen nicht unmöglich, aber deutlich schwieriger.
Casinoly ist ein gutes Beispiel, um die strukturelle Lücke zu zeigen. Der Anbieter operiert unter einer Offshore-Lizenz aus Anjouan, einer Inselgruppe der Union der Komoren. Eine lokale EU-Lizenz hat Casinoly nicht, und auf der Whitelist der Gemeinsamen Glücksspielbehörde der Länder (GGL) steht das Casino ebenfalls nicht. Für deutsche Spieler bedeutet das: Die Aufsicht, die bei einem staatlich lizenzierten Anbieter greifen würde, fehlt an dieser Stelle.
Das ist kein automatisches Ausschlusskriterium, aber es verschiebt die Beweislast. Wer bei einem Anbieter mit GGL-Lizenz ein Problem mit der Datenverarbeitung hat, kann sich an die Aufsichtsbehörde wenden. Bei einem Offshore-Casino bleibt im Zweifel nur der Weg über den Datenschutzbeauftragten des Betreibers oder eine Beschwerde bei einer europäischen Aufsichtsbehörde, die dann auf Amtshilfe angewiesen ist. In der Praxis dauert das lange und führt selten zu schnellen Ergebnissen.
Casinoly ist seit 2021 aktiv und bietet ein breites Portfolio: Casino, Live Casino, Sportwetten und Pferderennen. Der Willkommensbonus liegt bei 100 Prozent bis 500 Euro plus 200 Freispiele, das VIP-Programm umfasst fünf Stufen. Ein Auszahlungslimit von 500 Euro pro Tag ist im Marktvergleich eher niedrig, und Spieler berichten über teils langsame Auszahlungen und langwierige Verifizierung. Ein Punkt, der in diesem Zusammenhang häufig übersehen wird: Gerade weil die Verifizierung bei manchen Anbietern mehrere Anläufe braucht, bleiben Ausweisdokumente länger im System als bei einem reibungslosen Prozess. Jede Nachforderung ist ein weiterer Grund, die Kopie nicht zu löschen.
Die Datenschutzerklärung auf casinoly.com nennt Kategorien personenbezogener Daten, Rechtsgrundlagen und Empfänger. Was fehlt, ist eine konkrete Frist für die Löschung von KYC-Dokumenten. Es bleibt bei allgemeinen Formulierungen zur Aufbewahrung gesetzlich vorgeschriebener Unterlagen. Für den Nutzer ist damit nicht nachvollziehbar, ob sein Personalausweis nach Abschluss der Verifizierung gelöscht wird oder bis zum Ende der geldwäscherechtlichen Frist im System bleibt; auch der Hinweis auf https://casinoly-online.eu/de/erfahrungen/ ändert daran nichts. Genau diese Intransparenz ist der Punkt, an dem die DSGVO ansetzt.
Hinzu kommt die Frage nach der Rechtsgrundlage. Die Verarbeitung einer Ausweiskopie stützt sich in der Regel auf Artikel 6 Absatz 1 lit. c DSGVO, also die Erfüllung einer rechtlichen Verpflichtung. Diese Verpflichtung ergibt sich aus dem Geldwäschegesetz, das für Casinos mit EU-Bezug gilt. Ob ein Anbieter mit Anjouan-Lizenz dieselben Pflichten im gleichen Umfang trifft, ist rechtlich nicht abschließend geklärt. Das führt zu einem paradoxen Ergebnis: Das Casino beruft sich auf eine Aufbewahrungspflicht, deren genauer Umfang für seinen Lizenzsitz fraglich ist, und nutzt sie gleichzeitig als Rechtfertigung für eine längere Speicherung.
Wer glaubt, eine Ausweiskopie in einem Casino-System sei harmlos, unterschätzt die Konsequenzen eines Datenlecks. Ein Personalausweis enthält Name, Geburtsdatum, Adresse, Lichtbild, Unterschrift und die maschinenlesbare Zone. Mit diesen Daten lässt sich Identitätsdiebstahl betreiben, ein Konto eröffnen oder eine SIM-Karte bestellen. Je länger solche Dokumente gespeichert werden, desto größer ist das Zeitfenster für einen Angriff.
Die DSGVO verlangt deshalb nicht nur die Löschung, sondern auch die Sicherheit der Verarbeitung nach Artikel 32. Dazu gehören Verschlüsselung, Zugriffsbeschränkungen und regelmäßige Überprüfungen. Ob ein Offshore-Anbieter diese Standards einhält, lässt sich von außen kaum prüfen. Ein Zertifikat nach ISO 27001 oder eine regelmäßige Prüfung durch eine unabhängige Stelle wäre ein Indiz. Fehlt beides und fehlt zusätzlich eine klare Löschfrist, bleibt dem Nutzer nur Vertrauen. Vertrauen ist aber keine Datenschutzgarantie.
Ein weiterer Aspekt betrifft die KYC-Verifizierung selbst. Viele Casinos arbeiten mit Dienstleistern, die Ausweisdokumente automatisiert prüfen. Diese Dienstleister erhalten Kopien, speichern sie möglicherweise in eigenen Systemen und unterliegen eigenen Löschfristen. In der Datenschutzerklärung des Casinos tauchen sie als Empfänger auf, oft ohne dass klar wird, welche Fristen dort gelten. Wer als Spieler wissen will, wo sein Ausweis landet, muss mehrere Datenschutzerklärungen lesen. Transparent ist das nicht.
Die Liste der Punkte, die eine Datenschutzerklärung in diesem Bereich abdecken sollte, ist überschaubar:
Wer diese Punkte in einer Datenschutzerklärung findet, hat einen Anbieter gefunden, der das Thema ernst nimmt. Wer sie nicht findet, sollte zumindest skeptisch sein. Die DSGVO gibt dem Nutzer ein Auskunftsrecht nach Artikel 15. Eine Anfrage beim Datenschutzbeauftragten des Casinos kostet nichts und liefert oft erhellende Antworten.
Bevor man eine Casino-App installiert und seinen Ausweis hochlädt, lohnt ein Blick in die Datenschutzerklärung. Nicht auf die Überschriften achten, sondern auf die Abschnitte zu KYC, Verifizierung und Aufbewahrung. Wer dort keine konkrete Frist findet, sollte weitersuchen. Ein seriöser Anbieter nennt entweder eine Zahl oder verweist auf eine spezifische gesetzliche Grundlage mit Paragrafenangabe.
Auch die App-Berechtigungen sind ein Indiz. Eine Casino-App braucht Kamera-Zugriff für den Ausweis-Scan, aber keinen Zugriff auf Kontakte, SMS oder den allgemeinen Dateispeicher. Wer bei der Installation großzügig alle Berechtigungen erteilt, öffnet zusätzliche Türen. Android bietet seit Version 11 die Möglichkeit, Berechtigungen nur einmalig zu erteilen. Das ist bei KYC-Apps eine sinnvolle Einstellung, weil der Zugriff nach dem Scan nicht mehr benötigt wird.
Ein oft übersehener Punkt betrifft die Verifizierung selbst. Wer den Ausweis hochlädt, sollte darauf achten, dass die App eine Bestätigung anzeigt, dass das Dokument nach der Prüfung gelöscht wird. Fehlt diese Bestätigung, lohnt eine Nachfrage beim Support. Die Antwort ist nicht bindend, aber sie zeigt, ob der Anbieter das Thema überhaupt auf dem Schirm hat. Spielerbewertungen liefern zusätzliche Hinweise: Wer über langwierige Verifizierungen berichtet, hat oft auch Erfahrungen mit mehrfachen Uploads und damit mit längerer Speicherung.
Der Vergleich mit regulierten Märkten hilft bei der Einordnung. Die UK Gambling Commission verlangt von lizenzierten Anbietern klare Vorgaben zur Datenaufbewahrung und zur Löschung nach Zweckerfüllung. In Deutschland arbeitet die GGL mit ähnlichen Auflagen. Ein Casino ohne diese Lizenz unterliegt diesen konkreten Vorgaben nicht. Das heißt nicht, dass die DSGVO dort nicht gilt. Es heißt nur, dass die Durchsetzung schwieriger ist und die Aufsicht fehlt, die im Ernstfall eingreifen könnte.
Am Ende bleibt eine ernüchternde Bilanz. Casino-Apps mit KYC-Verifizierung speichern Ausweisdokumente, oft lokal oder in einer Cloud, und die DSGVO verlangt deren Löschung nach Zweckerfüllung. In der Datenschutzerklärung von Casinoly und vielen vergleichbaren Anbietern ist diese Löschfrist nicht transparent dokumentiert. Wer seine Daten schützen will, sollte vor der Registrierung prüfen, ob der Anbieter konkrete Angaben macht, die App-Berechtigungen restriktiv halten und bei fehlenden Informationen den Datenschutzbeauftragten kontaktieren. Ein Casino-Test, der nur Bonus und Spieleauswahl bewertet, greift zu kurz. Die Frage nach dem Umgang mit dem Personalausweis gehört in jede Bewertung, und Anbieter, die hier keine klaren Antworten liefern, sollten das in ihrer Bewertung spüren.
