Ein Bonus ohne Einzahlung klingt zunächst unkompliziert: Für die Teilnahme ist kein eigener Geldeinsatz erforderlich. Dennoch kann die Registrierung eine Reihe personenbezogener Daten auslösen. Entscheidend ist deshalb nicht nur die Höhe oder Art eines Bonus, sondern auch, welche Informationen ein Anbieter verlangt, warum er sie benötigt und wie lange er sie speichert.
Welche Daten bei der Registrierung üblich sind
Typischerweise werden zunächst Basisangaben wie Name, Geburtsdatum, Wohnsitz und E-Mail-Adresse erfasst. Häufig kommt eine Mobilfunknummer hinzu, etwa zur Zwei-Faktor-Authentifizierung oder für sicherheitsrelevante Benachrichtigungen. Zugangsdaten werden in der Regel nicht im Klartext gespeichert, sondern durch technische Verfahren geschützt.
Darüber hinaus können technische Informationen anfallen. Dazu gehören die IP-Adresse, Angaben zum verwendeten Gerät, Browserdaten, Zeitpunkte von Anmeldungen und gegebenenfalls Cookies. Diese Daten helfen bei der Absicherung eines Kontos, der Erkennung ungewöhnlicher Aktivitäten und der Fehleranalyse. Für Werbezwecke dürfen sie jedoch nicht automatisch ohne passende Rechtsgrundlage verwendet werden.
Wer einen bonus ohne einzahlung in Anspruch nehmen möchte, sollte daher vor der Registrierung die Datenschutzerklärung und die Bonusbedingungen getrennt voneinander prüfen. Daraus sollte hervorgehen, welche Angaben verpflichtend sind, welche freiwillig erfolgen und ob Daten an Dienstleister weitergegeben werden.
Warum eine Identitätsprüfung verlangt werden kann
Bei einer späteren Auszahlung reicht die ursprüngliche Registrierung häufig nicht aus. Anbieter können eine Identitäts- und Altersprüfung verlangen, um gesetzliche Vorgaben zur Geldwäscheprävention, zum Jugendschutz und zur Betrugsbekämpfung einzuhalten. Dafür werden mitunter eine Ausweiskopie, ein Nachweis des Wohnsitzes oder zusätzliche Angaben zur Herkunft von Geldern angefordert.
Die Verarbeitung solcher Dokumente ist besonders sensibel. Ein seriöses Verfahren sollte erläutern, welche Dokumente akzeptiert werden, ob bestimmte Bereiche geschwärzt werden dürfen und wer Zugriff auf die Unterlagen erhält. Eine Ausweiskopie sollte nicht unaufgefordert an beliebige E-Mail-Adressen gesendet werden. Sicherer sind verschlüsselte Upload-Portale mit nachvollziehbaren Zugriffs- und Löschregeln.
Daten bei Auszahlung und Zahlungsabwicklung
Für eine Auszahlung werden meist Kontoinformationen oder Daten eines Zahlungsdienstleisters benötigt. Je nach Methode können IBAN, Kontoinhaber, Wallet-Adresse oder Transaktionskennungen verarbeitet werden. Bei Kreditkarten werden normalerweise nicht sämtliche Kartendaten gespeichert; vielfach genügt eine verkürzte Kartennummer oder eine interne Zahlungsreferenz.
Zusätzliche Prüfungen können erforderlich werden, wenn der Name des Zahlungsempfängers nicht mit den Kontodaten übereinstimmt, mehrere Zahlungsmethoden genutzt werden oder ungewöhnliche Transaktionen auffallen. Der Anbieter sollte transparent erklären, ob Zahlungsdaten selbst verarbeitet oder an Banken und spezialisierte Dienstleister übermittelt werden. Auch internationale Übermittlungen benötigen eine nachvollziehbare rechtliche Grundlage.
Rechtsgrundlagen, Speicherfristen und Betroffenenrechte
Nach der Datenschutz-Grundverordnung kann die Verarbeitung auf einem Vertrag, einer rechtlichen Verpflichtung, einem berechtigten Interesse oder einer Einwilligung beruhen. Welche Grundlage gilt, hängt vom jeweiligen Zweck ab. Eine gesetzlich erforderliche Identitätsprüfung ist anders zu bewerten als die freiwillige Anmeldung zu einem Newsletter.
Daten dürfen grundsätzlich nicht länger gespeichert werden, als es für den jeweiligen Zweck notwendig ist. Gesetzliche Aufbewahrungspflichten können eine längere Speicherung von Abrechnungs- oder Prüfunterlagen rechtfertigen. Nach Ablauf dieser Fristen sollten Informationen gelöscht oder dauerhaft anonymisiert werden. Die Datenschutzerklärung sollte deshalb konkrete oder zumindest nachvollziehbar begründete Fristen nennen.
Betroffene haben unter bestimmten Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen Direktwerbung kann jederzeit Widerspruch eingelegt werden. Bleibt eine Anfrage unbeantwortet oder erscheint die Verarbeitung unverhältnismäßig, kann die zuständige Datenschutzaufsichtsbehörde eingeschaltet werden.
Worauf Nutzer vor der Teilnahme achten sollten
Vor der Anmeldung empfiehlt sich ein Blick auf Anbietername, verantwortliche Stelle, Kontaktmöglichkeiten und Datenschutzerklärung. Ungewöhnlich umfangreiche Datenerhebungen, unklare Empfänger oder fehlende Angaben zu Löschfristen sind Warnsignale. Ebenso sollte niemand mehr Dokumente übermitteln, als für Registrierung, Auszahlung oder gesetzliche Prüfung tatsächlich erforderlich sind.
Datenschutz und Bonusangebote schließen einander nicht aus. Transparente Informationen, angemessene Sicherheitsmaßnahmen und eine begrenzte Datenerhebung schaffen jedoch die Grundlage dafür, dass eine Teilnahme nicht mit unnötigen Risiken für die Privatsphäre verbunden ist.