Anwendungsbereich und Grundsätze der Datenverarbeitung

Diese Privacy Policy regelt die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Website deferegger-machlkammer.at sowie damit verbundenen Online Funktionen. Maßgeblich sind die Datenschutz Grundverordnung (DSGVO), das Datenschutzgesetz (DSG) in der in Österreich geltenden Fassung sowie einschlägige Bestimmungen des Telekommunikationsgesetzes. Die Verarbeitung erfolgt nach den Grundsätzen der Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität samt Vertraulichkeit. Soweit im Rahmen des Betriebs Auftragsverarbeiter herangezogen werden, erfolgt dies ausschließlich auf Basis geeigneter vertraglicher Garantien. Diese Privacy Policy beschreibt außerdem, in welchen Fällen Informationen an Dritte übermittelt werden und welche Rechte betroffene Personen geltend machen können.

Verantwortlicher und organisatorische Einordnung

Verantwortlicher im Sinn der DSGVO ist der Betreiber der Website, der die Zwecke und Mittel der Verarbeitung festlegt und die Einhaltung der datenschutzrechtlichen Anforderungen sicherstellt. Für bestimmte Verarbeitungsvorgänge können organisatorische Einheiten oder Dienstleister eingebunden sein, wobei die datenschutzrechtliche Verantwortlichkeit klar zugeordnet bleibt. Soweit eine gemeinsame Verantwortlichkeit in Betracht kommt, wird diese durch eine Vereinbarung nach Art 26 DSGVO abgebildet und in den wesentlichen Inhalten zugänglich gemacht. Ein Datenschutzbeauftragter wird nur benannt, sofern hierfür nach Art 37 DSGVO eine Pflicht besteht oder eine freiwillige Benennung aus Governance Gründen erfolgt. Lucky Ones Casino wird in diesem Zusammenhang ausschließlich als Markenbezeichnung geführt, ohne dass daraus zwingend auf eine bestimmte Gesellschaftsstruktur geschlossen werden kann.

Kategorien personenbezogener Daten

Personenbezogene Daten umfassen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, einschließlich Online Kennungen. Verarbeitet werden können insbesondere Identifikationsdaten wie Name, Benutzerkennung oder vergleichbare Account Angaben, soweit solche Funktionen angeboten werden. Weiters können Kontaktdaten wie E Mail Adresse oder Telefonnummer sowie Inhaltsdaten aus Nachrichten verarbeitet werden, wenn Anfragen übermittelt werden. Technische Daten wie IP Adresse, Geräteinformationen, Browsertyp, Spracheinstellungen und Zeitstempel fallen typischerweise bei der Nutzung der Website an. Je nach konkreter Nutzung können auch Protokolldaten über Interaktionen, Fehlermeldungen oder Sicherheitsereignisse verarbeitet werden.

Besondere Kategorien und Minderjährigenschutz

Besondere Kategorien personenbezogener Daten im Sinn des Art 9 DSGVO werden grundsätzlich nicht gezielt erhoben oder verarbeitet. Sollte eine betroffene Person solche Daten in Freitextfeldern übermitteln, werden diese nur insoweit verarbeitet, als dies zur Bearbeitung der Anfrage unerlässlich ist und eine einschlägige Rechtsgrundlage vorliegt. Für Angebote, die sich an Erwachsene richten, werden angemessene Maßnahmen gesetzt, um eine Verarbeitung von Daten Minderjähriger zu vermeiden. Eine bewusste Profilbildung anhand sensibler Merkmale findet nicht statt. Bei Hinweisen auf eine unzulässige Verarbeitung sensibler Daten erfolgt eine unverzügliche Prüfung und, soweit geboten, Löschung oder Einschränkung.

Erhebungswege und technische Erfassung

Die Erhebung personenbezogener Daten erfolgt entweder durch aktive Übermittlung durch die betroffene Person oder durch automatische Erfassung im Zuge der technischen Bereitstellung. Bei aktiver Übermittlung werden Daten etwa über Kontaktformulare, Support Kommunikation oder sonstige Eingabemasken bereitgestellt. Automatisch erfasst werden Daten insbesondere durch Server Logfiles, die zur Stabilität, Fehleranalyse und Abwehr von Angriffen erforderlich sind. In diesem Rahmen können Zeitpunkte, aufgerufene Seiten, Referrer URL, Statuscodes und Datenmengen protokolliert werden. Die technische Erfassung dient dem ordnungsgemäßen Betrieb und der nachvollziehbaren Dokumentation sicherheitsrelevanter Ereignisse.

Kontaktaufnahme und Support Kommunikation

Bei einer Kontaktaufnahme werden die übermittelten Angaben einschließlich Metadaten der Kommunikation verarbeitet, um das Anliegen zu prüfen und zu beantworten. Je nach Art der Anfrage kann eine Identifikation erforderlich sein, um Rückfragen zu klären oder Missbrauch zu verhindern. Die Verarbeitung beschränkt sich auf jene Informationen, die für die Bearbeitung erforderlich sind, und erfolgt nach Maßgabe interner Zuständigkeitsregelungen. Lucky Ones Casino kann im Rahmen der Support Abwicklung als Bezugspunkt der Kommunikation genannt werden, sofern dies zur Zuordnung des Anliegens notwendig ist. Eine Weiterverwendung der Inhalte zu anderen Zwecken erfolgt nur bei Vorliegen einer Rechtsgrundlage oder einer entsprechenden Einwilligung.

Zwecke der Verarbeitung und Funktionsbetrieb

Die Verarbeitung erfolgt zur Bereitstellung der Website, zur Sicherstellung von Stabilität und Performance sowie zur Wahrung der Systemsicherheit. Weitere Zwecke können die Beantwortung von Anfragen, die Abwicklung von Vertrags oder vorvertraglichen Maßnahmen und die Erfüllung gesetzlicher Pflichten sein. Soweit Nutzerkonten oder vergleichbare Funktionen bestehen, werden Daten zur Authentifizierung, zur Verwaltung von Zugriffsrechten und zur Nachvollziehbarkeit von Änderungen verarbeitet. Zur Missbrauchsvermeidung können risikobasierte Prüfungen durchgeführt werden, etwa zur Erkennung ungewöhnlicher Zugriffe oder wiederholter Fehlversuche. Eine Verarbeitung zu Zwecken der Direktwerbung erfolgt nur, wenn die einschlägigen rechtlichen Voraussetzungen erfüllt sind und erforderliche Einwilligungen vorliegen.

Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Basis von Art 6 Abs 1 lit a DSGVO, sofern eine Einwilligung erteilt wurde, und auf Basis von Art 6 Abs 1 lit b DSGVO, soweit die Verarbeitung zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Für den Betrieb, die Sicherheit und die Optimierung der Website kann Art 6 Abs 1 lit f DSGVO herangezogen werden, sofern berechtigte Interessen überwiegen und eine Interessenabwägung dokumentiert wurde. Gesetzliche Verpflichtungen, etwa aus steuer oder handelsrechtlichen Vorgaben, können eine Verarbeitung nach Art 6 Abs 1 lit c DSGVO erforderlich machen. Die Interessenabwägung berücksichtigt insbesondere die Erwartbarkeit der Verarbeitung, den Umfang der Datenerhebung und die Implementierung von Schutzmaßnahmen. Soweit für bestimmte Cookies oder Tracking Vorgänge eine Einwilligung erforderlich ist, wird diese vor Aktivierung eingeholt.

Interessenabwägung und Widerspruchsrelevanz

Bei Verarbeitungen auf Grundlage berechtigter Interessen wird geprüft, ob der Zweck mit geringeren Eingriffen erreichbar wäre. Dabei werden die Art der Daten, die Eingriffsintensität sowie potenzielle Folgen für betroffene Personen bewertet. Technische Sicherheitsverarbeitungen, etwa zur Abwehr von Angriffen, werden regelmäßig als vorrangiges berechtigtes Interesse eingestuft, sofern der Umfang verhältnismäßig bleibt. In solchen Fällen können IP Adressen kurzfristig gespeichert werden, um Angriffsmuster zu erkennen und zu blockieren. Betroffene Personen haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, Widerspruch einzulegen, sofern die Voraussetzungen des Art 21 DSGVO vorliegen.

Privacy Policy zu Cookies und Tracking Technologien

Diese Privacy Policy beschreibt auch den Einsatz von Cookies, ähnlichen Speichertechnologien und vergleichbaren Identifikatoren, soweit diese für den Website Betrieb verwendet werden. Technisch erforderliche Cookies können eingesetzt werden, um grundlegende Funktionen bereitzustellen, etwa Sitzungsverwaltung, Sicherheitsmechanismen oder Spracheinstellungen. Für nicht erforderliche Cookies oder Tracking Mechanismen wird, sofern gesetzlich verlangt, eine Einwilligung über ein Consent Banner eingeholt. Je nach Konfiguration können Speicherdauern variieren und beispielsweise 24 Stunden, 30 Tage oder 12 Monate betragen, wobei die konkrete Dauer vom jeweiligen Zweck abhängt. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Protokollierung von Einwilligungen

Zur Nachweisbarkeit kann die Erteilung oder Ablehnung einer Einwilligung protokolliert werden, wobei ein Zeitstempel, die gewählte Einstellung und eine pseudonyme Kennung verarbeitet werden können. Diese Protokollierung dient der Erfüllung von Rechenschaftspflichten nach Art 5 Abs 2 DSGVO und wird nicht für werbliche Zwecke verwendet. Soweit technisch möglich, wird eine Datenminimierung umgesetzt, sodass keine Inhalte der Kommunikation erfasst werden. Änderungen der Cookie Einstellungen werden nachvollziehbar dokumentiert, um Konfliktfälle klären zu können. Eine systematische Verknüpfung der Einwilligungsprotokolle mit identifizierenden Stammdaten erfolgt nur, wenn dies aus rechtlichen Gründen erforderlich ist.

Empfänger, Auftragsverarbeitung und Offenlegung

Personenbezogene Daten können an Empfänger übermittelt werden, soweit dies für den Betrieb der Website oder zur Erfüllung von Pflichten erforderlich ist. Typische Empfänger sind Hosting Anbieter, IT Wartungsdienstleister, Anbieter von Sicherheitsdiensten sowie Kommunikationsdienstleister, die im Auftrag tätig werden. Solche Empfänger werden als Auftragsverarbeiter nach Art 28 DSGVO eingesetzt, wobei vertraglich insbesondere Vertraulichkeit, technische und organisatorische Maßnahmen sowie Kontrollrechte geregelt werden. Eine Offenlegung an Behörden oder Gerichte erfolgt nur auf Basis einer gesetzlichen Verpflichtung oder eines vollstreckbaren behördlichen Ersuchens. Lucky Ones Casino kann als interne Referenz in Ticket Systemen oder Protokollen erscheinen, ohne dass dadurch eine eigenständige Empfängerrolle begründet wird.

Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art 44 ff DSGVO eingehalten sind. Dies kann durch einen Angemessenheitsbeschluss der Europäischen Kommission oder durch geeignete Garantien wie Standardvertragsklauseln erfolgen. Zusätzlich können ergänzende Maßnahmen implementiert werden, etwa Verschlüsselung im Ruhezustand und bei der Übertragung oder eine strikte Zugriffsbeschränkung nach dem Need to know Prinzip. Soweit US basierte Dienstleister eingesetzt werden, wird geprüft, ob ein anwendbares Transfer Instrument und ein angemessenes Schutzniveau vorliegen. Betroffene Personen können eine Kopie der relevanten Garantien anfordern, soweit dadurch keine Geschäftsgeheimnisse oder Sicherheitsinteressen beeinträchtigt werden.

Speicherbegrenzung und Löschkonzept

Diese Privacy Policy legt fest, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Server Logdaten werden regelmäßig für einen Zeitraum von 7 Tagen gespeichert, sofern keine sicherheitsrelevante Notwendigkeit für eine längere Aufbewahrung besteht. Support Anfragen und zugehörige Kommunikation können bis zu 6 Monate aufbewahrt werden, um Anschlussfragen zu bearbeiten und die Qualität der Bearbeitung nachzuweisen. Vertrags und abrechnungsrelevante Unterlagen können aufgrund gesetzlicher Pflichten bis zu 7 Jahre gespeichert werden, wobei die Verarbeitung auf das notwendige Maß beschränkt bleibt. Nach Ablauf der Aufbewahrungsfristen werden Daten gelöscht oder anonymisiert, sofern keine rechtliche Verpflichtung zur weiteren Speicherung besteht.

Sperrung statt Löschung

Wenn einer Löschung gesetzliche Aufbewahrungspflichten entgegenstehen, wird eine Einschränkung der Verarbeitung vorgenommen, sodass Daten nur noch für die gesetzlich vorgesehenen Zwecke verarbeitet werden. In solchen Fällen werden Zugriffe technisch begrenzt und organisatorisch dokumentiert. Eine Nutzung zu Analyse oder Marketingzwecken ist in dieser Phase ausgeschlossen. Die Wirksamkeit der Sperrmaßnahmen wird in angemessenen Intervallen überprüft. Nach Wegfall der Gründe für die Einschränkung erfolgt die endgültige Löschung im Rahmen der regulären Löschläufe.

Technische und organisatorische Maßnahmen

Die Verarbeitung erfolgt unter Anwendung angemessener technischer und organisatorischer Maßnahmen im Sinn des Art 32 DSGVO. Dazu zählen Zugriffskontrollen, Rollen und Berechtigungskonzepte, Protokollierung sicherheitsrelevanter Ereignisse sowie Transportverschlüsselung mittels TLS. Datensicherungen werden nach einem festgelegten Verfahren erstellt und gegen unbefugten Zugriff geschützt, wobei Wiederherstellungstests in definierten Abständen stattfinden. Im Rahmen des Sicherheitsmanagements werden Risiken bewertet, Maßnahmen dokumentiert und Sicherheitsvorfälle nach einem Incident Prozess behandelt. Als Zielwert kann eine Verfügbarkeit von 99,5 Prozent für Kernsysteme angestrebt werden, ohne dass daraus eine Garantie oder eine rechtliche Zusage abgeleitet wird.

Datenschutz durch Technikgestaltung und Voreinstellungen

Datenschutzfreundliche Voreinstellungen werden nach Möglichkeit implementiert, um nur jene Daten zu verarbeiten, die für den Betrieb erforderlich sind. Standardmäßig werden Eingabefelder und Tracking Optionen so gestaltet, dass eine Datenminimierung unterstützt wird. Pseudonymisierung oder Aggregation kann angewandt werden, wenn dadurch die Zwecke erreichbar bleiben. Zugriffe auf Produktionssysteme werden auf einen begrenzten Personenkreis beschränkt und regelmäßig überprüft. Änderungen an sicherheitsrelevanten Komponenten unterliegen einem Change Prozess, der Dokumentation und Freigaben vorsieht.

Rechte betroffener Personen und Privacy Policy Rahmen

Betroffene Personen haben nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch, jeweils nach Maßgabe der gesetzlichen Voraussetzungen. Diese Privacy Policy erläutert, dass ein Widerruf von Einwilligungen jederzeit möglich ist und die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt lässt. Bei automatisierten Entscheidungen einschließlich Profiling bestehen die Rechte nach Art 22 DSGVO, sofern die gesetzlichen Voraussetzungen erfüllt sind und ein solcher Vorgang überhaupt eingesetzt wird. Zur Wahrung der Rechte kann eine Identitätsprüfung erforderlich sein, um unbefugte Auskünfte zu verhindern. Anträge werden grundsätzlich innerhalb von 30 Tagen beantwortet, wobei diese Frist bei komplexen Anfragen nach Art 12 Abs 3 DSGVO verlängert werden kann.

Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen haben das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzubringen, wenn sie der Ansicht sind, dass die Verarbeitung gegen die DSGVO verstößt. In Österreich ist dies regelmäßig die Datenschutzbehörde, wobei auch eine Beschwerde bei einer anderen zuständigen EU Behörde möglich sein kann, sofern ein grenzüberschreitender Sachverhalt vorliegt. Eine vorherige Kontaktaufnahme mit dem Verantwortlichen wird empfohlen, um Sachverhalte rasch aufklären zu können, stellt jedoch keine Voraussetzung für die Beschwerde dar. Im Rahmen der internen Bearbeitung werden Eingaben nachvollziehbar dokumentiert, um die Rechenschaftspflichten zu erfüllen. Eine Benachteiligung aufgrund der Geltendmachung von Rechten ist ausgeschlossen.

Verfahren für Anfragen, Kontakt und Identitätsprüfung

Anfragen zur Datenverarbeitung, zur Ausübung von Betroffenenrechten oder zu dieser Privacy Policy können über die im Impressum angeführten Kontaktwege eingebracht werden. Zur sachgerechten Bearbeitung kann die Angabe von Kontextinformationen erforderlich sein, etwa betroffene Seitenbereiche, Zeiträume oder verwendete Kontaktadressen. Sofern ein erhebliches Risiko unberechtigter Offenlegung besteht, kann eine Identitätsprüfung verlangt werden, etwa durch eine Bestätigung über den verwendeten Kommunikationskanal. Eingehende Anfragen werden nach einem standardisierten Prozess registriert, bewertet und einer zuständigen Stelle zugewiesen. Die Bearbeitung erfolgt grundsätzlich gebührenfrei, es sei denn, Anträge sind offenkundig unbegründet oder exzessiv, in welchem Fall ein angemessenes Entgelt im Sinn des Art 12 Abs 5 DSGVO vorbehalten bleibt.

Änderungen, Versionierung und abschließende Erklärung zur Privacy Policy

Diese Privacy Policy wird bei Bedarf angepasst, insbesondere bei Änderungen der Rechtslage, bei der Einführung neuer Verarbeitungsvorgänge oder bei der Einbindung zusätzlicher Dienstleister. Maßgeblich ist die jeweils auf deferegger-machlkammer.at/privacy-policy veröffentlichte Fassung, wobei frühere Versionen intern für Nachweiszwecke dokumentiert werden können. Bei wesentlichen Änderungen, die voraussichtlich ein erhöhtes Risiko für Rechte und Freiheiten betroffener Personen bewirken, wird eine angemessene Information bereitgestellt, etwa durch einen Hinweis auf der Website oder durch eine Mitteilung im Rahmen verfügbarer Kommunikationskanäle. Soweit eine Einwilligung betroffen ist, wird diese gegebenenfalls erneut eingeholt, bevor die geänderte Verarbeitung aufgenommen wird. Lucky Ones Casino verpflichtet sich, die datenschutzrechtlichen Grundsätze fortlaufend zu berücksichtigen, interne Kontrollen durchzuführen und geeignete Sicherheitsmaßnahmen entsprechend dem Stand der Technik weiterzuentwickeln. Diese Privacy Policy stellt keine vertragliche Zusage über eine unveränderliche Systemgestaltung dar, sondern bildet den dokumentierten Status der Datenverarbeitung ab, der im Rahmen der Rechenschaftspflicht laufend überprüft und erforderlichenfalls aktualisiert wird.