Felix Schleife im Interview
Seit dem 01. Juli 2021 gilt der neue Glücksspielstaatsvertrag 2021 (GlüStV 2021). Er sieht mehrere technische Aufsichtssysteme vor, welche zukünftig durch die Gemeinsame Glücksspielbehörde der Länder betrieben werden. Die datenschutzrechtlichen Belange dieser Aufsichtsdateien wurden bei Ausarbeitung des Staatsvertrages umfassend geprüft und sind im Staatsvertrag detailliert geregelt.
Wir sprachen mit Felix Schleife, Referent für die Zentraldateien und das Auswertesystem der Safe-Server im Landesverwaltungsamt Sachsen-Anhalt, über dieses Thema. Im Gespräch erläutert er Fakten und Hintergründe zu den Aufsichtssystemen, um für mehr Transparenz bei diesem sensiblen Thema zu sorgen.
Felix Schleife hat an der Martin-Luther-Universität Halle-Wittenberg Jura und Wirtschaftsrecht studiert und sein Referendariat beim Landgericht Halle absolviert. Seit Ende Juni 2021 ist er Referent für die Zentraldateien und das Auswertesystem der Safe-Server im Landesverwaltungsamt Sachsen-Anhalt. Foto: BzGw/privat
BzGw: Welche der technischen Aufsichtssysteme liegen aktuell in der Verantwortung des Landesverwaltungsamtes Sachsen-Anhalt (LVwA ST)?
Schleife: Bis zur Übernahme der Aufgabe durch die Gemeinsame Glücksspielbehörde der Länder (GGL) zum 01. Januar 2023 führt das LVwA ST die Limitdatei nach § 6c GlüStV 2021 und die Datei zur Verhinderung des parallelen Spiels bei mehreren Anbietern im Internet – kurz: Aktivitätsdatei – nach § 6h GlüStV 2021. Da die Möglichkeit der technischen Umsetzung als eine Datenbank nach § 6h Abs. 6 GlüStV 2021 wahrgenommen wurde, benutzen wir auch den Begriff „Zentraldateien“, wenn wir von beiden Dateisystemen sprechen. Hinzu kommt das Auswertesystem für die Safe-Server, welche bestimmte Anbieter nach § 6i Abs. 2 GlüStV 2021 der zuständigen Aufsichtsbehörde zur Verfügung stellen müssen.
Alle diese Punkte wurden in einem Projekt mit dem Namen „LUGAS“ (Länderuebergreifendes Glücksspielaufsichtssystem) realisiert.
BzGw: Wer hat die Systeme entwickelt und programmiert?
Schleife: Unter Führung einer Projektgruppe im Ministerium für Inneres und Sport des Landes Sachsen-Anhalt wurde das Projekt im Sommer 2020 zusammen mit Dataport (Anstalt des öffentlichen Rechts) als IT-Dienstleister gestartet. Nach einer Vorprojektphase wurden die Grundlagen bis Anfang 2021 in mehreren Konzeptphasen erarbeitet, so dass die eigentliche Softwareentwicklung 2021 beginnen konnte. Das System konnte rechtzeitig zum 30. Juni 2021 in Betrieb genommen werden.
BzGw: Sind die Systeme vollständig fertiggestellt?
Schleife: Die Zentraldateien liegen seit dem 01. Juli 2021 in ihrer vollen, vom Staatsvertrag vorgesehenen Funktionalität vor.
Bei solch einem Projekt werden jedoch auch immer Entwicklungsarbeiten notwendig sein. Allein die Performance und die Sicherheit des Systems unterliegen einer ständigen Überwachung. Daher werden zumindest die Pflege und Wartung des Systems immer kleinere Anpassungen erfordern. Aktuell wird vor allem die Praxis zeigen, welche Funktionen für die tägliche Arbeit der dafür befugten Behördenmitarbeiter noch benötigt werden.
BzGw: Insbesondere von Seiten der Sportwettanbieter und der dazugehörigen Interessen-verbände bestehen immer noch Zweifel an der Einsatzfähigkeit der Systeme. Sind die Zweifel berechtigt?
Schleife: Es ist nachvollziehbar, dass Akteure außerhalb der ausführenden Verwaltung unsicher sind, was die technische Umsetzung der neuen gesetzlichen Regelungen in der Praxis angeht. Der Staatsvertrag, seine Erläuterungen und die technischen Richtlinien der Systeme sind seit über einem halben Jahr veröffentlicht. Als Behörde haben wir proaktiv durch Merkblätter und Rundschreiben Aufklärungsarbeit betrieben. Vor allem im individuellen Austausch mit Anbietern, externen Entwicklern und der Wissenschaft konnten Fragen geklärt und Missverständnisse ausgeräumt werden. Unabhängig von unserer Pflicht als fachlicher Ansprechpartner profitiert die Behörde von dieser Interaktion. Viele Ansatzpunkte für Verbesserungen und Fehlerkorrekturen konnten in diesem konstruktiven Austausch gefunden und umgesetzt werden. Das System LUGAS ist einsatzfähig. Dass trotz dieser Angebote einige Akteure medial Zweifel sähen, ist schade. Aber ich bin optimistisch, dass in den nächsten Monaten viele Zweifel beseitigt werden können.
BzGw: Können auch die komplizierten Anforderungen an die Limitdatei bereits umgesetzt werden?
Schleife: Die Systematik der Regelung für den Übergangszeitraum bis zum 31. Dezember 2022 ist eindeutig, aber zugegebenermaßen nicht so einfach zu verstehen. § 6c Abs. 1 S. 1 GlüStV 2021 normiert das individuelle monatliche, anbieterübergreifende Limit eines Spielers im Rahmen der Registrierung bei einem Anbieter. Gemäß Satz 2 darf dieses Limit 1.000 Euro nicht übersteigen. Im folgenden dritten Satz wird die Möglichkeit eröffnet, dass einzelne Anbieter durch Erlaubnis einen abweichenden Betrag mit anbieterübergreifender Wirkung festsetzen dürfen. Gemäß § 27p Abs. 10 S. 1 GlüStV 2021 besteht diese Möglichkeit erst nach dem Übergangszeitraum, mithin ab dem 01. Januar 2023. In der Zwischenzeit gelten aber die bereits erteilten Erlaubnisse der Sportwettanbieter fort. Die erlaubten erhöhten Einsatzlimits nach altem Recht gelten nun als Ausnahme von der Rechtsfolge des § 6c Abs. 1 S. 8 GlüStV 2021 nach § 27p Abs. 10 S. 3 GlüStV 2021. Die angesprochene Rechtsfolge sieht vor, dass ein Anbieter den Einzahlungsversuch eines Spielers nicht annehmen darf, wenn die Einzahlung das aktuell geltende Limit des Spielers überschreiten würde. Durch die geltende Ausnahme darf der Anbieter nun doch weitere Einzahlungen annehmen. Die Limitierung dieser Ausnahme wird durch die zahlenmäßige Höhe der Einzahlungslimits verkörpert. Mit diesen Anforderungen kann die Limitdatei seit der Inbetriebnahme vollumfänglich umgehen.
BzGw: Sobald es um die Verarbeitung personenbezogener Daten geht, steht der Datenschutz im Fokus. Es wurden Zweifel an der datenschutzrechtlichen Konformität der Zentraldateien geäußert, z.B. Zweifel daran, dass keine Rückschlüsse auf das Spielverhalten von Spielern gezogen werden können.
Schleife: Was bei der Lektüre zahlreicher Fachartikel, Positionspapiere aus der Industrie und leider sogar Stellungnahmen staatlicher Vertreter irritiert: Unabhängig von den rechtlichen Bewertungen sind die tatsächlichen Annahmen über die Zentraldateien meist fehlerhaft. Ohne diese Kenntnisse ist eine valide Einschätzung der datenschutzrechtlichen Konformität von vornherein zum Scheitern verurteilt.
BzGw: Was sind die größten Missverständnisse?
Schleife: Zunächst werden den Dateien Funktionen zugeschrieben, die rechtlich nicht vorgesehen sind und sie auch tatsächlich nicht besitzen. Im Hinblick auf die im Staatsvertrag abschließend genannten personenbezogenen Daten (§§ 6c Abs. 4, 6h Abs. 2 GlüStV 2021) und damit verbundenen Löschfristen (§ 6h Abs. 6 GlüStV 2021) ist das nicht nachvollziehbar. Die Limitdatei ist keine „Kontotransaktions“-Datei. Man kann für einen Monat die Höhe der Einzahlungen, das Datum der Einzahlungen und die Gesamtsumme sehen. Was man nicht sehen kann, ist WELCHE Einsätze WANN für WELCHES Spiel verwendet werden und welche Gewinne daraus resultieren. Aus den Daten ist auch nicht ersichtlich, wieviel vom eingezahlten Geld aus den vorherigen Monaten übriggeblieben ist, oder ob sich der Kontostand durch Gewinne erhöht hat. Vergleichbares gilt für die Aktivitätsdatei. Wer hier die Erkennbarkeit eines Verlaufs oder die Möglichkeit des Profilings unterstellt, verkennt, dass ein Status nach Eintragung des folgenden Status gelöscht wird.
Zudem herrscht ein falsches Bild der allgemeinen Einsehbarkeit der Daten. Es ist mitnichten so, dass jeder Behördenmitarbeiter alle Daten zu jedem Spieler einfach einsehen kann. Die Daten können nur durch eine kleine Anzahl ausgewählter Behördenmitarbeiter eingesehen werden. Und selbst diese Mitarbeiter dürfen die Einsicht nur auf Veranlassung eines Spielers nach erfolgreicher Verifizierung vornehmen. Sie können dies technisch auch nur in dieser Konstellation vornehmen, da die zum Abruf erforderlichen Daten nur der Spieler kennt.
Oft werden auch die Gestaltungsmöglichkeiten des Staatsvertrages übersehen. Die Dateien sehen aus datenschutzrechtlichen Gründen sowohl die Möglichkeit der Verarbeitung eines Pseudonyms sowie die einer anbieterbezogenen Kennung anstelle personenbezogener Daten eines Spielers (wie z.B. Familienname, Vorname, Geburtsdatum etc.) vor. Von beiden Optionen wird Gebrauch gemacht.
Eine Berücksichtigung dieser Umstände würde zu einer Versachlichung der Debatte beitragen.
BzGw: Wie funktioniert diese Pseudonymisierung im Detail?
Schleife: Der Prozess findet nach der Übermittlung der personenbezogenen Daten eines Spielers durch einen Anbieter statt. Aus den übermittelten Daten erstellt das System automatisch eine abstrakte Zeichenkette. Dieses Pseudonym wird für den Spieler im System hinterlegt. Es knüpft an die personenbezogenen Daten des Spielers an. Ein Rückschluss auf die Person bzw. deren Daten ist für die Behörde aber nicht möglich. Auch in dem sehr kurzen Zeitraum zwischen Übermittlung der Daten und Erstellung des Pseudonyms sind die personenbezogenen Daten für die Behörde nicht einsehbar. Das Pseudonym ist der interne Anknüpfungspunkt für alle Interaktionen eines Anbieters für einen Spieler. Jeder Anbieter ist selbst im System zudem mit einer Kennung hinterlegt. Möchte ein Anbieter einen Spieler nun beispielsweise in der Aktivitätsdatei aktiv schalten, übermittelt er die nach der Technischen Richtlinie erforderliche Abfrage an die Datei. Hierbei werden nicht die bei der Registrierung erforderlichen Daten übermittelt, sondern lediglich eine anbieterbezogene Kennung des Spielers, welche der Anbieter intern vergeben und zugleich bei der Registrierung übermittelt hat. In der Datei sind zu jedem Pseudonym die anbieterbezogene Kennung eines Spielers in Kombination mit den jeweiligen Kennungen der Anbieter gespeichert. Die Datei erkennt nun anhand dieser Kombination bei der Übermittlung von Abfragen, welchem Pseudonym die Abfrage zuzuordnen ist. Im Ergebnis wissen nur der Spieler und der Anbieter, welche Spieler in den Zentraldateien registriert sind und welche Eintragungen für sie erfolgen.
Allein durch die Übermittlung des Pseudonyms oder die anbieterbezogene Kennung eines Spielers können die Zentraldateien die Abfragen eindeutig zuordnen.
BzGw: Zum Abschluss ein Blick in die Praxis: Wie haben sich die Systeme bisher bewährt?
Schleife: Leider konnten die Systeme in der Praxis bei weitem noch nicht präsentieren, wozu sie tatsächlich in der Lage sind. Wie bereits Medienberichten entnommen werden konnte, erfolgt der Anschluss an die Zentraldateien seitens der Anbieter bisher leider sehr schleppend, obwohl aus unserer Sicht weder technische noch rechtliche Aspekte im Wege stehen. Ein Blick auf die White List offenbart, dass unter Heranziehung des Staatsvertrages ca. 50 Anbieter seit dem 01. Juli 2021 angeschlossen sein müssten. Auch wenn man im Moment von dieser Zahl weit entfernt ist, so bin ich optimistisch, dass sich dieser Zustand in den nächsten Monaten deutlich verbessern wird. Viele Anbieter finalisieren gerade die Implementierung ihrer Schnittstellen zu den Zentraldateien und bereiten in Rücksprache mit uns den Anschluss an das Live-System vor. Quantitativ ist hier also noch Luft nach oben. Bei den wenigen Anbietern, welche die Zentraldateien auch tatsächlich nutzen, sehen wir aber, dass die Systeme qualitativ im Detail funktionieren. Für ein Bestehen bei größerer Auslastung ist durch die Expertinnen und Experten bei Dataport gesorgt.
Das Auswertesystem der Safe-Server konnte sich aus anderen Gründen noch nicht beweisen. Ein Safe-Server muss schließlich nur für die zuständige Aufsichtsbehörde zur Verfügung gestellt werden. Die Zuständigkeit des Landesverwaltungsamtes Sachsen-Anhalt besteht nur für virtuelle Automatenspiele und Online-Poker. Mit den ersten Erlaubnissen wird sich dies dann ändern. Mit dem Übergang der Aufgabe auf die GGL werden ab 01. Januar 2023 zudem die Sportwettanbieter verpflichtet sein, einen entsprechenden Safe-Server für das Auswertesystem LUGAS zur Verfügung zu stellen. Unter Umständen werden auch einige Bundesländer von der Möglichkeit Gebrauch machen und ihre nach Landesrecht erlaubten Anbieter von Online-Casinospielen an unser System anschließen.
