Geltungsbereich und Begriffsbestimmungen

Diese Datenschutzrichtlinie regelt die Bearbeitung von Personendaten im Zusammenhang mit dem Abruf und der Nutzung der Website esportbusinessforum.ch sowie der darüber angebotenen Funktionen. Personendaten sind alle Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei auch Online Kennungen und Gerätekennzeichen erfasst sein können. Verantwortliche Stelle im datenschutzrechtlichen Sinn ist Princess Casino, soweit in dieser Erklärung keine abweichende Zuständigkeit ausgewiesen wird. Die Regelung orientiert sich am Bundesgesetz über den Datenschutz der Schweiz sowie, soweit anwendbar, an den Grundsätzen der DSGVO wie Rechtmässigkeit, Transparenz, Zweckbindung und Datenminimierung. Diese Erklärung gilt für Zugriffe aus der Schweiz und kann ergänzend für Sachverhalte herangezogen werden, bei denen ein Bezug zu ausländischen Rechtsordnungen besteht.

Kategorien von Personendaten

Die Bearbeitung kann Identifikationsdaten wie Name, Benutzerkennung sowie verifizierungsrelevante Angaben umfassen, soweit diese über Formulare oder Kontofunktionen übermittelt werden. Zusätzlich können Kommunikationsdaten wie E Mail Adresse, Inhaltsdaten aus Anfragen sowie Protokolldaten zu Zeitpunkten und Bearbeitungsständen anfallen. Bei technischen Zugriffen fallen regelmässig Nutzungs und Gerätedaten an, darunter IP Adresse, Browsertyp, Betriebssystem, Referrer URL, Zeitstempel und Log Informationen. Zahlungs und Transaktionsdaten können betroffen sein, sofern entsprechende Prozesse auf der Website bereitgestellt oder über angebundene Dienste ausgelöst werden. Sensible Personendaten werden nur bearbeitet, falls dies im Einzelfall erforderlich, ausdrücklich offengelegt und nach den anwendbaren Vorgaben abgesichert ist.

Erhebung und Herkunft der Daten

Die Datenerhebung erfolgt operativ über Eingaben in Kontaktmasken, Registrierungsstrecken, Support Kanäle sowie über Dokumente, die zur Prüfung oder Erfüllung rechtlicher Pflichten übermittelt werden. Daneben werden technische Daten automatisiert beim Seitenaufruf erhoben, um die Auslieferung der Inhalte zu ermöglichen und Systeme zu schützen. Daten können ferner von Dritten stammen, wenn dies zur Identitätsprüfung, Betrugsprävention oder zur Abwicklung vertraglicher Prozesse notwendig ist und eine entsprechende Rechtsgrundlage besteht. Soweit externe Quellen genutzt werden, werden deren Kategorien im Einzelfall dokumentiert und auf das erforderliche Minimum beschränkt. Die Verarbeitung folgt dem Grundsatz der Verhältnismässigkeit und berücksichtigt die Zweckbindung gemäss schweizerischem Datenschutzrecht.

Zwecke der Bearbeitung

Unter dem Zweckbindungsprinzip werden Personendaten zur Bereitstellung der Website, zur Gewährleistung der Funktionsfähigkeit sowie zur Bearbeitung von Anfragen und Störungsmeldungen eingesetzt. Weiter können Daten zur Anbahnung, Durchführung und Verwaltung von Vertragsbeziehungen bearbeitet werden, einschliesslich Identitäts und Altersprüfungen, sofern solche Prozesse angeboten werden. Sicherheitsbezogene Zwecke umfassen die Erkennung und Abwehr von Missbrauch, die Sicherstellung der Integrität von Systemen sowie die Nachvollziehbarkeit von sicherheitsrelevanten Ereignissen. Darüber hinaus können Daten für Compliance Zwecke verwendet werden, namentlich zur Erfüllung gesetzlicher Aufbewahrungs, Dokumentations und Meldepflichten. Eine Verwendung zu nicht kompatiblen Zwecken erfolgt nur, wenn eine gesetzliche Grundlage dies zulässt oder eine gültige Einwilligung vorliegt.

Rechtsgrundlagen der Bearbeitung

Diese Datenschutzrichtlinie berücksichtigt, dass in der Schweiz die Bearbeitung von Personendaten zulässig ist, wenn sie rechtmässig erfolgt und keine überwiegenden Interessen betroffener Personen entgegenstehen. Soweit eine Einwilligung erforderlich ist, wird diese in geeigneter Form eingeholt und kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass dadurch die Rechtmässigkeit der bisherigen Bearbeitung berührt wird. Vertragliche Notwendigkeit kann eine Bearbeitung rechtfertigen, wenn Daten zur Erfüllung oder Vorbereitung eines Vertragsverhältnisses erforderlich sind. Gesetzliche Verpflichtungen können eine Bearbeitung auslösen, etwa im Kontext von steuerrechtlichen, handelsrechtlichen oder sicherheitsbezogenen Vorgaben, wobei die jeweils einschlägigen Fristen und Dokumentationspflichten beachtet werden. Soweit die DSGVO anwendbar ist, stützt sich die Bearbeitung insbesondere auf Art. 6 Abs. 1 lit. b, c und f DSGVO, jeweils im Rahmen der konkreten Verarbeitungssituation.

Cookies und vergleichbare Tracking Technologien

Für den Betrieb der Website können Cookies und ähnliche Technologien eingesetzt werden, um Sitzungen zu verwalten, Präferenzen zu speichern und sicherheitsrelevante Funktionen bereitzustellen. Technisch notwendige Cookies dienen der Stabilität und dem Schutz der Systeme und werden grundsätzlich ohne separate Zustimmung gesetzt, soweit dies nach den anwendbaren Regeln zulässig ist. Nicht zwingend erforderliche Technologien, etwa zur Reichweitenmessung oder zur Verbesserung der Nutzerführung, werden nur verwendet, wenn eine entsprechende Rechtsgrundlage besteht und ein Opt in Mechanismus zur Verfügung steht. Die Speicherdauer von Cookies kann je nach Zweck variieren und beispielsweise 24 Stunden für Sitzungsfunktionen oder bis zu 12 Monate für bestimmte Präferenzeinstellungen betragen, sofern dies transparent ausgewiesen wird. Protokolldaten im Zusammenhang mit Cookies und ähnlichen Identifikatoren werden in der Regel nur so lange vorgehalten, wie dies zur Erreichung der jeweiligen Zwecke erforderlich ist.

Aufbewahrung und Löschung

Die Datenschutzrichtlinie legt fest, dass Personendaten nur so lange gespeichert werden, wie es für die definierten Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungspflichten verlangen. Kommunikations und Supportdaten werden grundsätzlich für eine Dauer von 180 Tagen aufbewahrt, sofern keine weitergehende Dokumentationspflicht besteht oder ein Sachverhalt noch nicht abgeschlossen ist. Vertrags und abrechnungsbezogene Unterlagen können aus gesetzlichen Gründen länger gespeichert werden, beispielsweise 10 Jahre, soweit handels oder steuerrechtliche Anforderungen dies vorsehen. Sicherheitsprotokolle und Server Logs werden typischerweise kurzzeitig gespeichert, etwa 30 Tage, sofern keine konkreten Hinweise auf Missbrauch eine längere Aufbewahrung zur Aufklärung erfordern. Nach Ablauf der Aufbewahrungsfristen werden Daten gelöscht oder irreversibel anonymisiert, soweit keine vorrangige gesetzliche oder behördliche Anordnung entgegensteht.

Weitergabe an Empfänger und Offenlegung

Eine Offenlegung von Personendaten erfolgt nur, wenn dies zur Erfüllung der Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder eine wirksame Einwilligung vorliegt. Empfänger können technische Dienstleister für Hosting, Wartung, Support und Sicherheitsmonitoring sein, die als Auftragsbearbeiter tätig werden und vertraglich zur Vertraulichkeit sowie zu angemessenen Schutzmassnahmen verpflichtet sind. Ebenfalls können Zahlungsdienstleister oder Identitätsprüfungsstellen eingebunden werden, sofern entsprechende Funktionen genutzt werden und die jeweiligen Prozesse dies erfordern. Behörden und Gerichte können Daten erhalten, wenn eine rechtsverbindliche Anfrage vorliegt oder eine gesetzliche Mitwirkungspflicht besteht, wobei die Offenlegung auf den erforderlichen Umfang begrenzt wird. Eine Weitergabe zu eigenständigen Zwecken von Dritten erfolgt nur bei klarer Rollenabgrenzung und transparenter Information.

Bekanntgabe ins Ausland

Soweit eine Datenbekanntgabe ins Ausland stattfindet, erfolgt diese nur unter Beachtung der Vorgaben des schweizerischen Datenschutzrechts zu grenzüberschreitenden Datenübermittlungen. Princess Casino stellt sicher, dass Empfängerstaaten entweder über ein angemessenes Datenschutzniveau verfügen oder geeignete Garantien implementiert werden, beispielsweise mittels vertraglicher Datenschutzklauseln und überprüfbarer technischer Massnahmen. Die Auswahl von Dienstleistern berücksichtigt Standort, Subunternehmerketten sowie die Zugriffsmöglichkeiten aus Drittstaaten, um Risiken für betroffene Personen zu minimieren. Bei besonderen Kategorien von Empfängern oder erhöhtem Risiko kann eine ergänzende Risikobeurteilung durchgeführt und dokumentiert werden. Eine Übermittlung erfolgt nur, soweit sie für die Leistungserbringung erforderlich ist oder eine rechtliche Verpflichtung dies gebietet.

Technische und organisatorische Sicherheitsmassnahmen

Die Bearbeitung von Personendaten erfolgt unter Einsatz angemessener technischer und organisatorischer Massnahmen, welche Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherstellen sollen. Dazu gehören Zugriffsbeschränkungen nach dem Need to know Prinzip, Protokollierung sicherheitsrelevanter Ereignisse sowie Verschlüsselung bei der Übertragung, soweit dies dem Stand der Technik entspricht. Für besonders schützenswerte Prozesse werden zusätzlich mehrstufige Kontrollen, getrennte Berechtigungsmodelle und regelmässige Überprüfungen der Systemkonfigurationen vorgesehen. Interne Richtlinien zur Informationssicherheit, Schulungen sowie ein geregeltes Incident Management werden eingesetzt, um Sicherheitsvorfälle innert 72 Stunden zu bewerten und, sofern erforderlich, den zuständigen Stellen zu melden. Im Rahmen der Sicherheitsstrategie wird eine Verfügbarkeit von 99.5 Prozent als Zielwert angestrebt, wobei die tatsächliche Verfügbarkeit von Wartungsfenstern und externen Faktoren abhängig sein kann.

Betroffenenrechte und Ausübung der Rechte

Aus einer rechtsbasierten Perspektive stehen betroffenen Personen Ansprüche auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung sowie, soweit anwendbar, Datenherausgabe oder Datenübertragung zu. Diese Datenschutzrichtlinie sieht vor, dass Anfragen in geeigneter Weise verifiziert werden, um unbefugte Offenlegungen zu verhindern, wobei die verlangten Nachweise auf das erforderliche Minimum beschränkt werden. Die Bearbeitung von Gesuchen erfolgt grundsätzlich innerhalb von 30 Tagen, soweit keine komplexen Sachverhalte oder gesetzlichen Ausnahmegründe eine Fristverlängerung rechtfertigen. Soweit eine Einwilligung Grundlage der Bearbeitung ist, kann diese jederzeit widerrufen werden, ohne dass dadurch andere Rechtsgrundlagen für parallel bestehende Bearbeitungen ausgeschlossen werden. Betroffene Personen können zudem, soweit rechtlich vorgesehen, eine Beschwerde bei der zuständigen Aufsichtsbehörde einreichen, insbesondere beim Eidgenössischen Datenschutz und Öffentlichkeitsbeauftragten.

Automatisierte Entscheidungen und Profiling

Automatisierte Entscheidungen mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung werden nur eingesetzt, wenn dies gesetzlich zulässig ist und angemessene Garantien vorgesehen sind. Soweit Profiling zur Betrugsprävention oder Systemsicherheit verwendet wird, erfolgt dies mit dem Ziel, missbräuchliche Muster zu erkennen und Risiken zu reduzieren. Die zugrunde liegenden Kriterien werden so gestaltet, dass sie verhältnismässig sind und keine sachlich nicht gerechtfertigten Diskriminierungen bewirken. Betroffene Personen können, sofern die Voraussetzungen erfüllt sind, eine Überprüfung durch eine natürliche Person verlangen und ihren Standpunkt darlegen. Eine weitergehende Verwendung für nicht sicherheitsrelevante Zwecke erfolgt nur bei klarer Rechtsgrundlage.

Kontaktstelle und Verfahren für Datenschutzanfragen

Die Datenschutzrichtlinie verlangt, dass Datenschutzanfragen nachvollziehbar dokumentiert und über definierte Kanäle entgegengenommen werden, um Vertraulichkeit und Fristenkontrolle sicherzustellen. Anfragen sind über die auf esportbusinessforum.ch veröffentlichten Kontaktinformationen an Princess Casino zu richten, wobei der Gegenstand des Begehrens hinreichend konkret zu bezeichnen ist. Zur Bearbeitung können Rückfragen gestellt werden, etwa zur Identifikation oder zur Präzisierung der betroffenen Verarbeitung, wobei die angeforderten Angaben auf das Notwendige begrenzt werden. Falls eine Vertretung geltend gemacht wird, ist eine geeignete Vollmacht vorzulegen, um Missbrauch zu verhindern. Die interne Bearbeitung orientiert sich an einem abgestuften Verfahren, das Eingang, Prüfung, Entscheidung und Rückmeldung umfasst, wobei relevante Akten je nach Kontext für 365 Tage zur Revisionssicherheit aufbewahrt werden können.

Änderungen dieser Datenschutzrichtlinie und Compliance Zusicherung

Diese Datenschutzrichtlinie kann angepasst werden, wenn sich die rechtlichen Anforderungen, die behördliche Praxis oder die angebotenen Funktionen von esportbusinessforum.ch ändern. Princess Casino stellt sicher, dass jede Änderung in einer nachvollziehbaren Fassung publiziert wird und der Zeitpunkt des Inkrafttretens ersichtlich ist, damit die Transparenzpflichten eingehalten bleiben. Wesentliche Änderungen, welche die Zwecke, Kategorien oder Empfänger der Bearbeitung erheblich betreffen, werden in angemessener Weise kommuniziert, soweit dies nach den Umständen erforderlich und praktikabel ist. Die fortgesetzte Nutzung der Website nach Inkrafttreten einer Anpassung kann als Kenntnisnahme der aktualisierten Fassung gelten, wobei bestehende Rechte und allfällige Einwilligungsmechanismen unberührt bleiben. Princess Casino verpflichtet sich zur fortlaufenden Überprüfung der organisatorischen Abläufe, zur Umsetzung geeigneter Schutzmassnahmen und zur datenschutzkonformen Gestaltung neuer Prozesse, insbesondere nach den Grundsätzen Privacy by Design und Privacy by Default. Im Rahmen dieser Compliance Ausrichtung wird die Einhaltung der schweizerischen Datenschutzanforderungen sowie, wo anwendbar, der DSGVO Grundsätze regelmässig evaluiert und dokumentiert, um Rechenschaftspflichten zu erfüllen und Risiken für betroffene Personen zu reduzieren.