Een Nederlandse speler die zich inschrijft bij een casino met een Anjouan-licentie levert meer persoonsgegevens in dan hij doorheeft, en houdt daar minder controle over dan onder een KSA-vergunning. De kern van het probleem zit niet in het spel zelf, maar in de bewaartermijn: waar de Kansspelautoriteit een wettelijk plafond van vijf jaar oplegt voor identificatiegegevens, bestaat dat plafond onder een buitenlandse jurisdictie niet. Bij LuckyGem, beheerd door Innovex Tech Holdings Ltd en opererend onder licentie van Anjouan, betekent dat concreet dat gegevens langer kunnen blijven staan zonder dat je via de Autoriteit Persoonsgegevens inzage of verwijdering kunt afdwingen.
De wettelijke basis onder KSA versus Anjouan
Onder de Nederlandse vergunning systematiek ligt de bewaartermijn vast. De Kansspelautoriteit schrijft voor dat een vergunninghouder identificatiegegevens van spelers maximaal vijf jaar mag bewaren, gerekend vanaf het moment dat de speler zijn account sluit of het casino hem verwijdert. Die termijn is gekoppeld aan de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) en aan de controle op kruisbestuiving met Cruks. Zodra de vijf jaar om zijn, moet het casino de gegevens wissen of anonimiseren, tenzij er een lopend strafrechtelijk onderzoek is dat een langere bewaring rechtvaardigt. Dat is een harde grens, geen richtlijn.
Bij een Anjouan-licentie ontbreekt die grens. De Comoren, waar Anjouan onderdeel van is, kennen een registratiesysteem voor online kansspelen dat vooral gericht is op het innen van licentiegelden en het stellen van minimale operationele eisen. Er is geen equivalent van de Wwft-bewaartermijn, geen toezichthouder die actief controles uitvoert op gegevensverwerking, en geen wettelijke verplichting om na een vaste periode te wissen. Innovex Tech Holdings Ltd bepaalt in zijn eigen privacybeleid hoe lang gegevens blijven staan. Dat beleid is een contractvoorwaarde, geen wettelijke waarborg, en het casino kan het eenzijdig aanpassen.
Dat verschil is niet theoretisch. Een speler die na vijf jaar een verzoek tot verwijdering indient bij een KSA-vergunninghouder, kan zich beroepen op een concrete wettelijke norm. Een speler die hetzelfde doet bij LuckyGem, krijgt te horen dat het casino een legitiem belang heeft bij bewaring, bijvoorbeeld voor fraudepreventie of geschillenbeslechting. Zonder toezichthouder die de termijn handhaaft, is dat antwoord moeilijk aan te vechten.
Wat je in de praktijk overkomt bij LuckyGem
LuckyGem positioneert zich als een breed casino met 3757 casinospellen en 77 live tafels, een minimale storting van 20 euro en een welkomstbonus met een inzetvereiste van 35x. De bonusvoorwaarden zijn expliciet, de VIP-cashback tot 20% per week en rakeback tot 15% zijn aantrekkelijk geprijsd, en de PWA-applicatie werkt soepel op mobiel. Wat minder expliciet is, is wat er met je gegevens gebeurt zodra je een account aanmaakt en je KYC-verificatie doorloopt. Je levert een kopie van je paspoort, een bewijs van adres, mogelijk een selfie en een bankafschrift. Die documenten worden opgeslagen op servers waarvan de locatie niet in de algemene voorwaarden staat.
De geldstromen lopen via Novaflow Processing LTD, dat vanuit Cyprus de betalingen beheert. Dat is op zichzelf niet ongewoon; veel casino’s met een buitenlandse licentie werken met een aparte betaalentiteit. Maar het betekent wel dat je gegevens bij twee juridische entiteiten terechtkomen: Innovex Tech Holdings Ltd als exploitant en Novaflow Processing LTD als verwerker van transacties. Beide vallen onder Cypriotische of Comorese privacyregels, niet onder de Nederlandse. De Autoriteit Persoonsgegevens kan geen handhavingsbesluit nemen tegen een entiteit die niet in Nederland is gevestigd en geen vestiging in de EU heeft die als verwerkingsverantwoordelijke optreedt.
In de praktijk merk je dat pas als je een verwijderingsverzoek indient. LuckyGem heeft geen vergunning van de Kansspelautoriteit en is niet aangesloten bij Cruks. Dat laatste betekent dat een speler die zich via Cruks heeft laten uitsluiten, zich toch kan inschrijven bij LuckyGem. Voor de gegevensverwerking betekent het iets anders: er is geen Nederlands toezicht dat meekijkt of het casino zich aan enige bewaartermijn houdt, zoals ook blijkt uit https://luckygem-casino-bonus.com/review/. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens, maar die legt de klacht doorgaans naast zich neer omdat de verwerkingsverantwoordelijke buiten de EU zit en de AP geen rechtsmacht heeft. Je kunt naar de Cypriotische toezichthouder stappen, maar dat vereist dat je de Cypriotische procedure kent en dat je kunt aantonen dat Novaflow Processing LTD daadwerkelijk de verwerkingsverantwoordelijke is. In de meeste gevallen loopt dat dood.
De rol van KYC-verificatie en wat er daarna gebeurt
KYC-verificatie is het moment waarop de meeste gegevens worden verzameld. LuckyGem vraagt om een identiteitsbewijs, een adresbewijs en soms om een bron van inkomsten. Die gegevens worden gebruikt om te controleren of je meerderjarig bent en of je niet op een sanctielijst staat. Onder een KSA-vergunning moet het casino die gegevens na vijf jaar wissen. Onder een Anjouan-licentie mag het casino ze langer bewaren, bijvoorbeeld om te kunnen aantonen dat het aan zijn zorgplicht heeft voldaan als een speler later een klacht indient. Dat klinkt redelijk, maar het betekent ook dat een speler die tien jaar geleden een account had, nog steeds in de database staat. En die database wordt niet automatisch opgeschoond.
Er is nog een complicatie: de winstlimiet op gratis spins. LuckyGem maximeert winst uit gratis spins op honderd euro. Dat is een bonusvoorwaarde, geen gegevenskwestie, maar het zegt iets over hoe het casino met spelers omgaat. De voorwaarden zijn streng en de marges zijn krap. Als je vervolgens een geschil krijgt over een uitbetaling, heb je toegang nodig tot je speelgeschiedenis. Die geschiedenis staat opgeslagen bij het casino, en het casino bepaalt hoe lang je er toegang toe hebt. Onder een KSA-vergunning heb je recht op inzage in je eigen gegevens. Onder een Anjouan-licentie is dat recht afhankelijk van wat het casino in zijn privacybeleid heeft vastgelegd.
Wat je zelf kunt doen om je gegevens te beschermen
De eerste stap is simpel: lees het privacybeleid voordat je een account aanmaakt. Bij LuckyGem staat daarin welke gegevens worden verzameld, met wie ze worden gedeeld en hoe lang ze worden bewaard. Als daar geen concrete termijn staat, is dat een signaal. Een casino dat zeker is van zijn zaak, noemt een termijn. Een casino dat zich alle ruimte wil houden, zegt iets als “zo lang als nodig is voor de doeleinden waarvoor ze zijn verzameld”. Dat is geen termijn, dat is een open einde.
De tweede stap is beperken wat je deelt. Stuur geen kopie van je volledige bankafschrift als een uittreksel van een paar maanden volstaat. Gebruik een apart e-mailadres voor je casino-account. En als je een account sluit, vraag dan expliciet om verwijdering van je gegevens en bewaar het antwoord. Dat antwoord is je enige bewijs dat je het hebt geprobeerd. Als het casino weigert, kun je dat laten zien aan een toezichthouder, ook al is de kans klein dat die iets doet.
De derde stap is nadenken over de vraag of je überhaupt bij een casino zonder KSA-vergunning wilt spelen. LuckyGem heeft een SSL-versleuteling en een werkende PWA-applicatie, en de spellen zijn van gerenommeerde providers. Maar de bescherming van je gegevens is niet geregeld op de manier waarop je dat in Nederland gewend bent. Er is geen Cruks-registratie, geen Nederlandse toezichthouder die meekijkt en geen wettelijke bewaartermijn die je kunt afdwingen. Voor sommige spelers is dat een acceptabele ruil voor de bonus en het spelaanbod. Voor anderen is het een reden om weg te blijven.
Wie toch bij LuckyGem speelt, doet er goed aan om de algemene voorwaarden en het privacybeleid op te slaan op het moment van inschrijving. Als het casino later zijn beleid aanpast, heb je in ieder geval een kopie van wat er gold toen je je aanmeldde. En wie zich zorgen maakt over de bewaartermijn, kan het beste periodiek een verzoek tot inzage indienen. Dat dwingt het casino om te reageren, en het maakt duidelijk of je gegevens nog steeds in het systeem staan. Veel spelers doen dat nooit, en dat is precies waarom casino’s met een buitenlandse licentie de ruimte krijgen om gegevens langer te bewaren dan nodig is.
