Anwendungsbereich und Begriffsbestimmungen

Diese Datenschutzerklärung ist die Datenschutzrichtlinie für National Casino unter der Domain deinetante.at und beschreibt Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten. Sie gilt für die Nutzung der Website, der damit verbundenen Funktionen sowie für Kommunikationswege, die im Zusammenhang mit dem Betrieb der Plattform stehen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei insbesondere Online Kennungen und Nutzungsdaten umfasst sein können. Verantwortlicher im Sinn der Datenschutz Grundverordnung ist jene Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, sofern nicht ausdrücklich etwas Abweichendes bekanntgegeben wird. Diese Regelungen werden nach Maßgabe der in Österreich anwendbaren datenschutzrechtlichen Bestimmungen umgesetzt, insbesondere nach der DSGVO und dem Datenschutzgesetz.

Regulatorischer Rahmen und Grundsätze der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt nach den Grundsätzen der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz. Weiters werden Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet. Es gilt der Grundsatz der Datenminimierung, wonach nur jene Daten verarbeitet werden, die für die jeweiligen Zwecke erforderlich sind. National Casino richtet die internen Prozesse an der Integrität und Vertraulichkeit aus und stellt durch technische und organisatorische Maßnahmen eine angemessene Sicherheit sicher. Die Verantwortlichkeit wird durch dokumentierte Verfahren, regelmäßige Kontrollen und nachvollziehbare Entscheidungen gestützt, wobei Prüfintervalle von 12 Monaten für die Überprüfung wesentlicher Prozesse vorgesehen sein können.

Kategorien personenbezogener Daten

Unter personenbezogenen Daten werden insbesondere Stammdaten wie Name, Kontaktangaben und Kontodaten verstanden, sofern diese im Rahmen von Anfragen oder Registrierungsprozessen bereitgestellt werden. Zusätzlich können Kommunikationsdaten anfallen, etwa Inhalte von Nachrichten, Zeitpunkt der Kontaktaufnahme und zugehörige Metadaten. Bei der Nutzung digitaler Angebote fallen regelmäßig technische Nutzungsdaten an, darunter IP Adresse, Geräteinformationen, Browserdaten, Spracheinstellungen sowie Zeitstempel von Zugriffen. Ferner können Sicherheitsdaten verarbeitet werden, etwa Protokolle zu fehlgeschlagenen Anmeldeversuchen oder zur Betrugsprävention. Soweit gesetzlich erforderlich, können Nachweisdaten zur Erfüllung von Identitäts und Altersprüfungen verarbeitet werden, wobei der Umfang auf das notwendige Maß begrenzt bleibt.

Erhebungswege und Quellen der Daten

Die Erhebung erfolgt operativ entweder durch Eingaben der betroffenen Person, durch automatisierte Systeme bei der Nutzung der Website oder durch zulässige Übermittlungen Dritter. Werden Formulare verwendet, werden die dort angegebenen Daten inklusive Datum und Uhrzeit der Übermittlung verarbeitet, um Anfragen nachvollziehbar zu bearbeiten. Bei automatisierter Erfassung entstehen Log Daten, die zur Gewährleistung von Stabilität, Fehleranalyse und Missbrauchserkennung herangezogen werden. National Casino kann außerdem Daten aus vertraglichen Beziehungen oder aus behördlich anerkannten Quellen erhalten, soweit dies zur Erfüllung rechtlicher Pflichten erforderlich ist. Eine Verarbeitung aus öffentlich zugänglichen Quellen erfolgt nur dann, wenn ein konkreter Zweck besteht und die rechtliche Grundlage dafür nachweisbar ist.

Rechtsgrundlagen der Verarbeitung

Die Datenschutzrichtlinie unterscheidet die rechtlichen Grundlagen je nach Verarbeitungsvorgang und jeweiligem Zweck. Eine Verarbeitung kann zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sein, etwa zur Bearbeitung von Konto oder Serviceanliegen. Darüber hinaus kann eine Verarbeitung zur Erfüllung rechtlicher Verpflichtungen erfolgen, insbesondere im Bereich aufsichtsrechtlicher Vorgaben und gesetzlicher Aufbewahrungsfristen nach österreichischem Recht. Eine Verarbeitung kann auf berechtigten Interessen beruhen, etwa zur IT Sicherheit, zur Abwehr von Angriffen oder zur Durchsetzung von Rechtsansprüchen, sofern die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen. Soweit eine Einwilligung eingeholt wird, etwa für bestimmte nicht essentielle Cookies, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass dadurch die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zwecke der Datenverarbeitung

National Casino verarbeitet Daten zur Bereitstellung der Website und zur Gewährleistung der Funktionsfähigkeit einschließlich Fehlerbehebung und Wartung. Zusätzlich dienen Verarbeitungen der Bearbeitung von Kontaktanfragen, der Dokumentation von Kommunikation sowie der Beantwortung von Auskunfts und sonstigen Datenschutzbegehren. Sicherheitsrelevante Zwecke umfassen die Erkennung und Abwehr unbefugter Zugriffe, die Sicherstellung der Systemintegrität sowie die Nachvollziehbarkeit von Ereignissen im Rahmen der IT Compliance. Soweit gesetzlich vorgesehen, werden Daten auch zur Erfüllung von Nachweis und Dokumentationspflichten verarbeitet, einschließlich der Aufbewahrung von Geschäftsunterlagen. Eine Weiterverarbeitung für neue Zwecke erfolgt nur, wenn eine neue Rechtsgrundlage besteht oder eine Prüfung der Zweckvereinbarkeit dies zulässt und entsprechend dokumentiert wird.

Cookies, Tracking und vergleichbare Technologien

Als definitorische Abgrenzung gelten Cookies als kleine Textdateien, die im Browser gespeichert werden und unterschiedliche Zwecke erfüllen können. Die Datenschutzrichtlinie sieht vor, dass technisch erforderliche Cookies eingesetzt werden dürfen, soweit diese für die Bereitstellung der Website, die Sicherheit oder die Sitzungssteuerung notwendig sind. Für nicht notwendige Technologien, die etwa statistische Auswertungen oder Komfortfunktionen betreffen, wird eine Einwilligung nach Maßgabe der geltenden Vorgaben eingeholt, sofern keine andere Rechtsgrundlage greift. Protokollierungen können in aggregierter Form erfolgen, um Reichweiten oder Fehlerraten zu ermitteln, wobei die Parameter so gewählt werden, dass eine direkte Identifizierung nach Möglichkeit vermieden wird. Einstellungen zu Einwilligungen können über das jeweilige Consent Werkzeug angepasst werden, wobei ein Widerruf grundsätzlich ebenso einfach gestaltet wird wie die Erteilung.

Technisch erforderliche Cookies

Technisch erforderliche Cookies unterstützen insbesondere Sicherheitsfunktionen, Lastverteilung und die Aufrechterhaltung von Sitzungen. Ohne diese Elemente kann es zu Fehlfunktionen kommen, etwa bei Formularübermittlungen oder bei der Wiedererkennung einer Session. Die Speicherdauer solcher Cookies ist regelmäßig auf die Dauer der Sitzung begrenzt oder wird auf ein angemessenes Minimum reduziert. Eine Auswertung erfolgt nur in dem Umfang, der für Betrieb und Schutz erforderlich ist, und wird nicht zu Werbezwecken genutzt. Soweit Token oder vergleichbare Kennungen verwendet werden, werden diese nach Ende der Sitzung oder nach einem definierten Ablauf automatisch ungültig gemacht.

Analyse und Präferenz Technologien

Soweit Analyse oder Präferenz Cookies eingesetzt werden, erfolgt dies nur nach einem dokumentierten Prüfprozess der Erforderlichkeit und der jeweiligen Anbieterrollen. Dabei kann es zu einer Verarbeitung von Online Kennungen und Nutzungsereignissen kommen, etwa Seitenaufrufen, Verweildauer oder Fehlercodes. National Casino achtet darauf, dass datenschutzfreundliche Einstellungen gewählt werden, etwa Kürzung von IP Adressen, sofern dies technisch möglich und rechtlich geboten ist. Die Speicherdauer der Einwilligungsentscheidung kann aus Nachweisgründen bis zu 13 Monate betragen, sofern dies für die Dokumentation der Zustimmung erforderlich ist. Eine erneute Abfrage der Einwilligung wird nach Ablauf der Frist oder bei wesentlichen Änderungen des Setups vorgesehen.

Weitergabe, Offenlegung und Empfängerkategorien

Eine Offenlegung personenbezogener Daten erfolgt nur, soweit dies zur Vertragserfüllung, zur Einhaltung gesetzlicher Pflichten oder auf Grundlage berechtigter Interessen erforderlich ist. Empfänger können IT Dienstleister, Hosting Anbieter, Support Dienstleister oder Sicherheitsdienstleister sein, die jeweils als Auftragsverarbeiter tätig werden und an Weisungen gebunden sind. National Casino stellt in solchen Fällen durch Auftragsverarbeitungsverträge sicher, dass geeignete Garantien, Kontrollrechte und Vertraulichkeitspflichten vereinbart sind. Eine Übermittlung an Behörden kann erfolgen, wenn eine gesetzliche Verpflichtung besteht oder eine rechtmäßige behördliche Anordnung vorliegt. Darüber hinaus kann eine Offenlegung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein, etwa in Streitfällen oder zur Abwehr von Missbrauch.

Übermittlungen in Drittländer

Soweit Dienstleister oder technische Infrastrukturen eingesetzt werden, kann eine Verarbeitung auch außerhalb des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Die Datenschutzrichtlinie verlangt für solche Fälle eine rechtliche Absicherung durch einen Angemessenheitsbeschluss der Europäischen Kommission oder durch geeignete Garantien wie Standardvertragsklauseln. Zusätzlich werden risikoorientierte Maßnahmen geprüft, um ein dem EU Niveau entsprechendes Schutzniveau zu erreichen, etwa Verschlüsselung oder Zugriffsbeschränkungen. National Casino bewertet bei Bedarf, ob ergänzende Maßnahmen erforderlich sind, und dokumentiert die wesentlichen Ergebnisse der Prüfung. Eine Übermittlung erfolgt nur, wenn der jeweilige Zweck ohne internationale Verarbeitung nicht in vergleichbarer Weise erreicht werden kann oder wenn dies für den Betrieb zwingend notwendig ist.

Aufbewahrung und Löschung

Die Speicherdauer richtet sich nach dem Zweck der Verarbeitung, den gesetzlichen Aufbewahrungspflichten sowie nach der Notwendigkeit zur Beweissicherung. Die Datenschutzrichtlinie sieht vor, dass Daten gelöscht oder anonymisiert werden, sobald sie für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind. Gesetzliche Aufbewahrungspflichten können eine Speicherung für 7 Jahre erfordern, etwa für bestimmte Unterlagen nach abgabenrechtlichen Vorgaben, wobei der konkrete Umfang fallbezogen zu bestimmen ist. Protokolldaten zur IT Sicherheit können in der Regel für 30 Tage gespeichert werden, sofern eine längere Aufbewahrung zur Aufklärung konkreter Sicherheitsvorfälle erforderlich ist. Im Anlassfall kann eine verlängerte Speicherung bis zu 180 Tagen zulässig sein, wenn dies zur Untersuchung, Dokumentation und Abwehr von Angriffen erforderlich und verhältnismäßig ist.

Technische und organisatorische Schutzmaßnahmen

National Casino implementiert Schutzmaßnahmen nach dem Stand der Technik unter Berücksichtigung von Implementierungskosten, Art, Umfang und Zweck der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken. Dazu zählen Zugriffskontrollen, Rollen und Berechtigungskonzepte, Protokollierung, Netzwerkschutz sowie Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit. Datenübertragungen werden, soweit technisch möglich, mittels aktueller Verschlüsselungsstandards abgesichert, um Vertraulichkeit und Integrität zu wahren. Interne Prozesse sehen das Vier Augen Prinzip für besonders kritische Administrationshandlungen vor, sofern dies organisatorisch umsetzbar ist. Für ausgewählte Systeme kann eine Zielvorgabe gelten, dass mindestens 95 % der sicherheitsrelevanten Updates innerhalb eines angemessenen Wartungsfensters eingespielt werden, wobei Abweichungen risikobasiert zu begründen sind.

Umgang mit Datenschutzverletzungen

Eine Datenschutzverletzung liegt vor, wenn es zu einer Verletzung der Sicherheit kommt, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung führt. National Casino hält Verfahren zur Erkennung, Bewertung und Eindämmung von Vorfällen vor und dokumentiert diese nachvollziehbar. Soweit eine Meldung an die zuständige Aufsichtsbehörde erforderlich ist, erfolgt diese nach Maßgabe von Art 33 DSGVO binnen 72 Stunden nach Bekanntwerden, sofern die Voraussetzungen vorliegen. Wird ein hohes Risiko für Rechte und Freiheiten natürlicher Personen festgestellt, erfolgt eine Benachrichtigung der betroffenen Personen nach Art 34 DSGVO, sofern keine gesetzliche Ausnahme eingreift. Nach Abschluss eines Vorfalls werden Korrekturmaßnahmen definiert und deren Wirksamkeit überprüft.

Rechte betroffener Personen und Durchsetzung

Aus einer rechtsbasierten Perspektive stehen betroffenen Personen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen zu. Die Datenschutzrichtlinie stellt klar, dass ein Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen im Einzelfall zu prüfen ist und bei überwiegenden schutzwürdigen Gründen fortgeführt werden kann. Wird eine Einwilligung als Rechtsgrundlage verwendet, besteht das Recht auf Widerruf mit Wirkung für die Zukunft, ohne dass die bis dahin erfolgte Verarbeitung unrechtmäßig wird. Anträge werden grundsätzlich innerhalb von 30 Tagen beantwortet, wobei eine Verlängerung um weitere 60 Tage zulässig sein kann, wenn dies aufgrund von Komplexität oder Anzahl der Anträge erforderlich ist. Identitätsnachweise können verlangt werden, wenn begründete Zweifel an der Identität bestehen, wobei nur jene Informationen angefordert werden, die für die Verifikation erforderlich sind.

Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen haben das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzubringen, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen geltendes Recht verstößt. In Österreich ist hierfür insbesondere die Datenschutzbehörde zuständig, deren Zuständigkeit und Verfahren sich aus den anwendbaren gesetzlichen Grundlagen ergeben. National Casino empfiehlt eine vorherige Kontaktaufnahme zur Klärung, soweit dies zweckmäßig ist, ohne dass dadurch Rechte eingeschränkt werden. Eine Benachteiligung aufgrund der Geltendmachung von Betroffenenrechten ist ausgeschlossen, soweit dem keine zwingenden rechtlichen Gründe entgegenstehen. Die Bearbeitung von Beschwerden und die interne Nachverfolgung werden dokumentiert, um Rechenschaftspflichten zu erfüllen.

Kontakt, Anfragen und Verfahren zur Datenanforderung

Für datenschutzbezogene Anliegen stellt National Casino geeignete Kontaktkanäle zur Verfügung, über die Anfragen schriftlich eingebracht werden können. Bei Anfragen werden jene Daten verarbeitet, die zur Bearbeitung erforderlich sind, insbesondere Name, Kontaktweg, Anliegen und gegebenenfalls Nachweise zur Identitätsprüfung. Die Datenschutzrichtlinie sieht vor, dass Anfragen in einem internen System erfasst werden, um Fristen, Zuständigkeiten und Antwortinhalte nachvollziehbar zu steuern. Eine Weiterleitung an Dienstleister erfolgt nur, soweit dies zur Bearbeitung notwendig ist und entsprechende vertragliche Schutzmechanismen bestehen. Wird eine Anfrage aufgrund rechtlicher Gründe abgelehnt oder eingeschränkt, erfolgt eine Begründung unter Bezugnahme auf die anwendbaren Normen.

Änderungen dieser Datenschutzrichtlinie und Compliance Erklärung

Diese Datenschutzrichtlinie wird in jenen Fällen angepasst, in denen sich die Rechtslage, die eingesetzten Technologien, die Verarbeitungstätigkeiten oder die organisatorischen Abläufe wesentlich ändern. National Casino führt dafür ein Änderungsverfahren, das eine interne Prüfung der Rechtmäßigkeit, eine Bewertung der Auswirkungen auf Betroffenenrechte sowie eine Freigabe durch zuständige Stellen vorsieht. Maßgebliche Änderungen werden auf deinetante.at veröffentlicht, wobei die jeweils aktuelle Fassung durch das Datum der letzten Aktualisierung erkennbar gemacht wird und ältere Fassungen aus Nachweisgründen für einen angemessenen Zeitraum archiviert werden können. Soweit Änderungen eine neue Einwilligung erfordern, wird diese vor der weiteren Verarbeitung eingeholt, und bisherige Einstellungen werden nicht ohne rechtliche Grundlage überschrieben. National Casino bestätigt die Ausrichtung an den Grundsätzen der DSGVO, an österreichischen Datenschutzvorgaben sowie an anerkannten Sicherheitsstandards, wobei Kontrollen und Dokumentationen die Einhaltung belegbar machen sollen. Im Rahmen der laufenden Überprüfung werden Risiken bewertet, Maßnahmen nachgeschärft und Verantwortlichkeiten aktualisiert, damit der Schutz personenbezogener Daten dauerhaft gewährleistet bleibt und die Rechenschaftspflicht erfüllt wird. Die Datenschutzrichtlinie gilt ab Veröffentlichung und bleibt verbindlich, bis eine neue Fassung in Kraft tritt, wobei die Fortentwicklung in einem nachvollziehbaren Compliance Prozess erfolgt.