Richtlinie zur Aufbewahrung von Kundendaten

Einleitung

1. Rootz Ltd. (im Folgenden das „Unternehmen“) verpflichtet sich, seine Geschäfte in Übereinstimmung mit allen geltenden Datenschutzgesetzen, -vorschriften und ethischen Verhaltensstandards zu führen.
2. Diese Richtlinie legt den erwarteten Ansatz in Bezug auf die Aufbewahrung und Löschung von personenbezogenen Daten fest, die den Kunden des Unternehmens (d. h. betroffenen Personen) gehören.
3. Das Unternehmen ist als Datenverantwortlicher dafür verantwortlich, die Einhaltung der in dieser Richtlinie dargelegten Regeln sicherzustellen.

Bereich

1. Der Zweck dieser Richtlinie besteht darin, die Regeln für die Aufbewahrung personenbezogener Daten in Bezug auf die verschiedenen Arten von Verarbeitungsaktivitäten des Unternehmens festzulegen.
2. Diese Richtlinie gilt für alle Formen der Verarbeitung personenbezogener Daten, sei es in elektronischer Form oder in manuellen Dateien, die den Zugriff auf Informationen über Kunden ermöglichen.
3. Während die Notwendigkeit, bestimmte Informationen aufzubewahren, gesetzlich vorgeschrieben sein kann, muss eine solche Datenaufbewahrung dennoch der Datenschutz-Grundverordnung (DSGVO) entsprechen.
4. Die Aufbewahrung personenbezogener Daten der Mitarbeiter des Unternehmens fällt nicht in den Geltungsbereich dieser Richtlinie. Dies ist in der „Richtlinie zur Aufbewahrung von Mitarbeiterdaten“ des Unternehmens geregelt.
5. Sofern im folgenden Definitionsabschnitt keine speziellen Definitionen aufgeführt sind, gelten die in der Datenschutzerklärung festgelegten Definitionen auch für diese Richtlinie zur Aufbewahrung von Kundendaten.

Dokumentenversion

Definitionen

1. AML Transaktionsüberwachung sind alle Daten, die im Rahmen der gemäß dem deutschen Geldwäschegesetz (Geldwäschegesetz – „GwG“) durchgeführten AML- und Betrugspräventionsüberwachung erhoben werden, insbesondere alle von uns generierten Frühwarnungen, automatisiertes Betrugspräventions-Überwachungssystem für verdächtige Transaktionen, interne AML- und Betrugspräventionsuntersuchungen, interne Berichte über verdächtige Aktivitäten („SARs“) oder Berichte über verdächtige Transaktionen („STRs“) sowie eingereichte Berichte über verdächtige Transaktionen von unserem Geldwäschebeauftragten („MLRO“) an die zuständige Meldestelle für Geldwäschere („FIU“) für bestimmte Transaktionen.
2. Anonyme Daten – Daten, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen.
3. Datenverantwortlicher – Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
4. Betroffene Person – Identifizierte oder identifizierbare natürliche Person, auf die sich die Daten beziehen.
5. Datenverarbeitung im Auftrag ist eine Datenverarbeitung durch einen Auftragsverarbeiter, der personenbezogene Daten im Auftrag eines Datenverantwortlichen im Sinne von Art. 28 DSGVO.
6. KYC-Daten sind alle personenbezogenen Daten, die während des Registrierungsprozesses, des Identitätsüberprüfungsprozesses und zusätzlicher „Know-Your-Customer-Verfahren“, insbesondere auch erweiterter Verfahren zur Wahrung der Sorgfaltspflichten gegenüber Kunden, einschließlich der Geldquelle, erhalten werden. Schecks, Auskunfteien und andere Bonitätsprüfungen, Sozial- und Negativmedienprüfungen und dabei erlangte Dokumentationen (z. B. Kopien von Reisepässen/Personalausweisen und SCHUFA-Auskünften usw.).
7. Spielteilnahmedaten sind alle Daten zu deinen Spielteilnahmen, also deine Benutzer-ID, das Datum und die Uhrzeit deiner Spielteilnahmen, der Name der Spiele, an denen du teilgenommen hast, die Spiel-ID, der Spielanbieter, die eingesetzten Einsätze, das Guthaben vor der Spielteilnahme und das Guthaben danach, von dir erzielte Gewinne und erlittene Verluste.
8. Identifizierbare natürliche Person - Jede Person, die direkt oder indirekt identifiziert werden kann, vorwiegend durch Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren spezifischen Merkmalen, die physische, physiologische, genetische, geistige, wirtschaftliche, kulturelle oder soziale Identität dieser natürlichen Person.
9. Personenbezogene Daten – Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
10. Personenstammdaten – sind alle im Rahmen des Registrierungsprozesses erhobenen personenbezogenen Daten: vollständiger Name, ggf. Geburtsname, vollständige Postanschrift (Straße, Hausnummer, PLZ, Ort, Bundesland, Wohnsitzland), die E-Mail-Adresse, die Telefonnummer, das Geburtsdatum und den Geburtsort, die Staatsangehörigkeit und das Geschlecht, ggf. die Personalausweis- bzw. Reisepassnummer und die ausstellende Behörde sowie der vom Spieler gewählte Benutzername.
11. Spielerausschlussdaten sind alle zum Spielerausschluss erhobenen Daten, die von der Gesellschaft für einen bestimmten Spieler in OASIS eingegeben werden – also alle erforderlichen Daten zu 24-Stunden-Spielpausen nach der Verwendung des Panikknopfs und von (selbst oder von Dritten beantragten) Langzeitspielsperren (Nachname, Vorname, Geburtsname, Aliasnamen, verwendete falsche Namen, Geburtsdaten und -ort, Adresse, Fotos, Grund des Spielerausschlusses, z. B. Nutzung des Panikknopfs, Selbstausschluss oder Spielsucht; sowie Datum und Uhrzeit der Nutzung des Panikknopfes, bei einem dauerhaften Ausschluss die Dauer und das einreichende Unternehmen).
12. Verarbeiten, verarbeitet, verarbeiten - Jede Operation oder Reihe von Operationen, die mit personenbezogenen Daten oder mit Gruppen personenbezogener Daten durchgeführt werden, unabhängig davon, ob sie automatisiert sind oder nicht. Die durchgeführten Vorgänge können das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Abrufen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder anderweitiges Bereitstellen, Abgleichen oder Kombinieren, Einschränken, Löschen oder Vernichten umfassen.
13. Daten zur sozialen Verantwortung sind alle Daten zu Limits, Limitänderungen, versuchten Limitüberschreitungen, automatisierten Überwachungsergebnissen, Interaktionen mit dem Beauftragten für soziale Verantwortung oder vom Unternehmen durchgeführten Maßnahmen zur sozialen Verantwortung.
14. Transaktionsdaten sind alle Daten zu Einzahlungen und Auszahlungen (die Benutzer-ID, Datum und Uhrzeit der Einzahlungen und Auszahlungen, die Beträge, der Währungscode, die Transaktionsart (Einzahlung oder Auszahlung), der Status der Transaktion (erfolgreich/abgelehnt/fehlgeschlagen/ausstehend/widerrufen), die verwendeten Zahlungsmethoden, der PSP, die Bank-/Zahlungskontodaten bzw. die verwendeten Zahlungskartendaten, der Konto-/Karteninhaber und die Zahlungs-ID).

1. Datenaufbewahrung

1. Das Unternehmen hat diese Richtlinie eingeführt, um zu erklären, wie es eines der Hauptprinzipien gemäß Artikel 5 der DSGVO umsetzt, d. h. Speicherbeschränkungen.
2. Gemäß dem Grundsatz der „Speicherbegrenzung“ sollte das Unternehmen personenbezogene Daten nicht länger aufbewahren, als es zur Erfüllung der Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist.
3. Dementsprechend wird das Unternehmen nach Beendigung der Geschäftsbeziehung mit dem Kunden personenbezogene Daten des Kunden nur in Übereinstimmung mit den unten aufgeführten Regeln aufbewahren, die auf geltendem deutschen Recht basieren.

2. Allgemeine Regeln

2.1 Gesetzliche Verpflichtungen

(a) Abschn. 6 g § 1 ISTG 2021 Deutschland

• Sek. 6 g § 1 ISTG 2021 verlangt von Online Glücksspielanbietern, alle personenbezogenen Stammdaten, alle Transaktionsdaten, alle Spielteilnahmedaten, alle Daten zur sozialen Verantwortung und Spielerausschlussdaten sowie die gesamte Kommunikation mit den Spielern (Minuten von Telefongesprächen, Chats, E-Mails und Postsendungen) für einen Zeitraum von fünf Jahren ab Schließung des Spielerkontos.

(b) Abschn. § 8 GwG

• Sek. 8 § 4 GwG sieht eine Aufbewahrungsfrist von fünf Jahren vor. Für die KYC-Daten beginnt diese Fünfjahresfrist mit dem Ende des Jahres, in dem das Vertragsverhältnis beendet wird. Für Transaktions- und AML Transaktionsüberwachung beginnt diese Fünfjahresfrist mit dem Ende des Jahres, in dem die Daten erhoben wurden. Die Aufzeichnungen und sonstigen Belege sind jedoch spätestens nach Ablauf von zehn Jahren zu vernichten.

(c) Abschn. § 257 HGB

• Sek. § 257 HGB verlangt je nach Art der (buchführungsrelevanten) Daten eine Aufbewahrung von sechs oder zehn Jahren.

(d) Abschn. § 147 Abgabenordnung (AO)

• Sek. Auch § 147 AO sieht je nach Art der (steuerlich relevanten) Daten eine Aufbewahrung von sechs oder zehn Jahren vor.

2.2 Berechtigtes Interesse

(a) Abschn. 195 ff. des Bürgerlichen Gesetzbuches („BGB“)

• Gemäß Ziff. § 195 BGB beträgt die allgemeine gesetzliche Verjährungsfrist drei Jahre. Diese dreijährige Verjährungsfrist beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Anspruchsberechtigte von den Anspruch begründenden Umständen und dem Schuldner Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.
• Eine Ausnahme gilt für Schadensersatzansprüche aus unerlaubter Handlung wegen einer vorsätzlichen Verletzung des Lebens, des Körpers, der Gesundheit, der Freiheit oder der sexuellen Selbstbestimmung, die spätestens in dreißig Jahren beginnend mit der Begehung der unerlaubten Handlung verjähren, also das Datum, an dem die vorsätzliche schädigende Handlung stattgefunden hat, vgl. 197 und 199 BGB. Schadensersatzansprüche wegen fahrlässiger Verletzung des Lebens, des Körpers, der Gesundheit, der Freiheit oder der sexuellen Selbstbestimmung verjähren nach § 199 Abs. 3 BGB ohne Berücksichtigung der Kenntnis oder grob fahrlässigen Unkenntnis in zehn Jahren ab Schadenseintritt (Nr. 1) und ohne Berücksichtigung des Schadenseintritts und der Kenntnis oder grob fahrlässigen Unkenntnis in 30 Jahren ab Begehung der fahrlässigen Handlung die Fahrlässigkeit, Pflichtverletzung oder das sonstige den Schaden fahrlässig verursachende Ereignis; (Nr. 2). Somit verjähren Spieleransprüche auf Schadensersatz, weil sie durch die Nutzung der Glücksspielangebote von Rootz spielsüchtig geworden sind, spätestens nach dreißig Jahren.
• Allerdings tragen in diesem Fall die Spieler die Beweislast dafür, dass ihre Spielsucht ursächlich durch die Nutzung der Glücksspielangebote von Rootz und nicht durch die Nutzung anderer Glücksspielangebote entstanden ist.
• Es ist möglich, dass der Ablauf der Verjährung gehemmt oder unterbrochen wird gem. 203 ff. BGB, z.B. bei Gericht anhängige Ansprüche hemmen den Ablauf der Verjährung.
• Die Verjährungsfrist für die Durchsetzung rechtskräftig festgestellter Ansprüche (also für gerichtliche Urteile) beträgt dreißig Jahre. Nach Ablauf dieser dreißigjährigen Verjährungsfrist, die mit der Zustellung der Entscheidung an die Parteien beginnt, ist die Geltendmachung der in der gerichtlichen Entscheidung festgestellten Ansprüche verjährt.
• Das berechtigte Interesse des Unternehmens umfasst eine Aufbewahrung aller Unterlagen und Daten für die Dauer der Verjährungsfrist zur Geltendmachung von Ansprüchen gegen das Unternehmen oder zur Geltendmachung von Ansprüchen durch das Unternehmen bzw. zur Vollstreckung von Urteilen gegen oder zugunsten der Gesellschaft.

3. Ausnahmen von den allgemeinen Regeln

3.1 Erweiterung, die für die Verhinderung, Aufdeckung, Analyse und Untersuchung von Geldwäsche oder Finanzierung terroristischer Aktivitäten erforderlich ist

• Gemäß Artikel 13(2)(d) der Nebengesetzgebung 373.01 kann die Aufbewahrungsfrist auf bis zu zehn (10) Jahre ab dem Datum der Schließung des Kundenkontos verlängert werden.
• Eine solche Verlängerung erfolgt, wenn dies von der Meldestelle für Geldwäscherei, den zuständigen Aufsichtsbehörden oder Strafverfolgungsbehörden für die Zwecke der Prävention, Aufdeckung, Analyse und Untersuchung von Geldwäsche oder Terrorismusfinanzierung als notwendig erachtet wird.
• Daher gilt diese Erweiterung für alle personenbezogenen Daten aller Kunden, die Gegenstand laufender diesbezüglicher Ermittlungen sind.

3.2 Laufende Rechtsstreitigkeiten mit Kunden

• Im Falle eines laufenden Rechtsstreits mit einem Kunden hat das Unternehmen ein berechtigtes Interesse daran, die personenbezogenen Daten des Kunden aufzubewahren, um den Streit angemessen zu verwalten.
• Dementsprechend bewahrt das Unternehmen alle personenbezogenen Daten des Kunden auf, bis der Streit mit dem Kunden beigelegt ist – und, wenn in diesem Fall ein Urteil gefällt wird, die Aufbewahrung aller relevanten Dokumente und Daten für die Dauer der Verjährungsfrist für die Durchsetzung des Urteils (siehe oben).

4. Datenlöschung

• Das Löschen von Daten ist ein wichtiger Bestandteil dieser Richtlinie. Die Datenlöschung stellt sicher, dass das Unternehmen Daten effizient nutzt, wodurch die Datenverwaltung und der Datenabruf kostengünstiger werden und gleichzeitig die DSGVO-Konformität gewährleistet ist.
• Nach Ablauf der in dieser Richtlinie festgelegten Aufbewahrungsfristen löscht das Unternehmen die relevanten personenbezogenen Daten. Anonyme Daten stehen dabei gelöschten Daten gleich.
• Wenn ein Benutzer der Meinung ist, dass bestimmte Daten nicht gelöscht/anonymisiert werden sollten, sollte er die relevanten Daten seinem Vorgesetzten mitteilen, der unverzüglich den Datenschutzbeauftragten konsultieren sollte, damit eine Ausnahme von dieser Richtlinie in Betracht gezogen werden kann. Da solche Entscheidungen langfristige rechtliche Auswirkungen haben, werden Ausnahmen von dieser Richtlinie nur vom Datenschutzbeauftragten genehmigt.
• Das Unternehmen weist die Benutzer ausdrücklich an, keine personenbezogenen Daten zu löschen, die gegen diese Richtlinie verstoßen.

Appendix