Gewinnspiele und Geolokalisierung: gezielte Ansprache nach Region ohne DSGVO-Verstoß

Wie kann man ein Gewinnspiel geografisch einschränken, ohne gegen die DSGVO zu verstoßen?

Regionale Unternehmen, Franchise-Nehmer oder Unternehmen, die rechtlichen Beschränkungen unterliegen (Alkohol, Glücksspiel, Arzneimittel), müssen Teilnehmer nach geografischer Zone ansprechen. Die Echtzeit-Geolokalisierung stellt jedoch eine Erhebung von Standortdaten dar, die nach der DSGVO als sensible Daten eingestuft werden. Um konform zu bleiben, müssen Sie eine ausdrückliche und spezifische Einwilligung vor jeder Erhebung einholen, Ihre Rechtsgrundlage dokumentieren (berechtigtes Interesse oder rechtliche Verpflichtung) und die Menge der erhobenen Daten minimieren, indem Sie leichte Lösungen bevorzugen, die eine Zone identifizieren, ohne den Nutzer kontinuierlich zu tracken.

Was sind Standortdaten nach der DSGVO?

Standortdaten sind nach der DSGVO alle Informationen, mit denen die physische Position einer Person bestimmt werden kann. Sie sind in Artikel 4 der Verordnung definiert, der sie zu einem Schlüsselelement des Schutzes personenbezogener Daten macht. Entgegen verbreiteter Mythen wird die Geolokalisierung nicht ausdrücklich als „sensible Daten" im gleichen Sinne wie Biometrie oder ethnische Herkunft eingestuft. Sie kann jedoch indirekt sensible Daten offenlegen: Ein Standort bei einem Arzt, einer Moschee, einer Bar oder einem Casino gibt Informationen über Gesundheit, religiöse Überzeugungen oder Gewohnheiten preis. Deshalb empfehlen die Datenschutzbehörden (darunter die französische CNIL) eine erhöhte Wachsamkeit.

Im Kontext eines Gewinnspiels erheben Sie also personenbezogene Daten, die eine sorgfältige rechtliche Behandlung verdienen: vorherige Einwilligung, vollständige Transparenz in der Datenschutzerklärung, Auskunfts- und Löschrecht für den Nutzer.

Techniken zur Zonenprüfung ohne kontinuierliches Tracking

Statt eine aktive GPS-Geolokalisierung oder eine kontinuierliche Positionsverfolgung (sehr invasiv) zu nutzen, erlauben mehrere legitime Methoden zu überprüfen, ob sich ein Nutzer in einer zulässigen Zone befindet:

Prüfung über die IP-Adresse (schrittweises Vorgehen)

Die IP-Adresse des Nutzers kann zur Schätzung seiner Region verwendet werden, ohne spezifische DSGVO-Einwilligung, wenn sie bereits als Protokolldaten (Server-Log) erhoben wird. Datenbanken wie MaxMind GeoIP2 oder ähnliche ordnen IP-Bereiche geografischen Zonen mit einer Genauigkeit von 50 bis 100 km je nach ISP zu. Vorteil: kein zusätzliches Einwilligungs-Pop-up, da die IP ein technisches Standardelement ist. Grenze: unzureichende Genauigkeit für ein Quartier oder ein bestimmtes Geschäftslokal und nicht robust gegenüber VPNs.

HTML5-Geolokalisierung (mit ausdrücklicher Einwilligung)

Wenn Sie die Geolocation-API des Browsers (W3C) verwenden, erfordert diese ein natives Einwilligungs-Pop-up vor der ersten Nutzung. Der Nutzer sieht „Diese Website fordert Zugriff auf Ihren Standort an" und kann ablehnen. Technisch ist diese Einwilligung nicht an die DSGVO-Cookie-Einwilligung gebunden, sondern an die Berechtigung der Plattform (Betriebssystem oder Browser). Die CNIL empfiehlt jedoch, diese Einwilligung mit Ihrer DSGVO-Anfrage zu verknüpfen: Geben Sie in Ihrem Cookie-/Einwilligungsbanner ausdrücklich an, dass Sie die Browser-Geolokalisierung zur Prüfung der Gewinnspielberechtigung nutzen werden.

Selbsterklärte Daten (Self-Service des Nutzers)

Einige Gewinnspiele bitten den Nutzer einfach, bei der Anmeldung seine Postleitzahl oder Stadt anzugeben, ohne automatische Erhebung. Dies bleibt ein personenbezogenes Datum, ist aber weniger invasiv, da freiwillig und klar. Der Nutzer weiß genau, was erhoben wird, und kann ablehnen oder falsche Angaben machen. Dies ist ein guter DSGVO/UX-Kompromiss für unkritische Gewinnspiele. Für streng regulierte Aktivitäten (Casinos, PMU) verstärkt eine spätere Adressprüfung (etwa bei der Gewinnauszahlung) die Zuverlässigkeit.

Kombination aus IP + erklärter Adresse

Ein gesunder hybrider Ansatz: die IP erheben (technisch, wenig invasiv) und den Nutzer dann bitten, seine Postleitzahl zu bestätigen. Vergleichen Sie beides: Wenn die IP die Region Île-de-France anzeigt und der Nutzer 75001 angibt, ist das stimmig. Wenn die IP die Schweiz anzeigt und die Postleitzahl 75001 ist, besteht ein Zweifel (VPN oder Falschangabe), und Sie können vor der Gewinnausschüttung eine zusätzliche Prüfung verlangen.

Umgang mit falsch-positiven Fällen: VPN, Roaming und Tourismus

Warum verfälschen VPNs geografische Beschränkungen?

Ein Nutzer kann seinen tatsächlichen Standort mit einem VPN (virtuelles privates Netzwerk) verschleiern, wodurch die IP als die eines Servers in einer anderen Region oder einem anderen Land erscheint. Bei einem auf Frankreich beschränkten Gewinnspiel kann sich eine Person in Belgien über ein französisches VPN verbinden und die Beschränkung umgehen. Ihr System muss diesen Fall antizipieren, ohne die DSGVO zu verletzen oder legitime reisende Nutzer zu blockieren.

Erkennungsstrategien ohne DSGVO-Überlastung

Methode 1: Zeitzone des Browsers + IP Wenn die IP Frankreich anzeigt (GMT+1), aber die Zeitzone des Browsers auf UTC-5 (Nordamerika) eingestellt ist, ist das ein Hinweis auf VPN oder Reise. Sie können eine Warnung ausgeben, aber nicht automatisch blockieren (der Nutzer kann legitim reisen).

Methode 2: Verzögerte Prüfung per SMS oder E-Mail Zum Zeitpunkt der Gewinnvalidierung senden Sie eine Bestätigungs-SMS oder -E-Mail an die angegebene Adresse. Wenn die bei der Anmeldung verwendete IP-Adresse stark vom tatsächlichen Standort abweicht (bestimmt durch spätere Geschäftsdaten), können Sie vor der Zahlung einen Dokumentnachweis (Kontoauszug, EDF-Rechnung) verlangen.

Methode 3: Kein kontinuierliches Tracking, Snapshot bei der Anmeldung Beschränken Sie die Erhebung auf einen einzigen Zeitpunkt: beim Klick auf „Teilnehmen". Nach diesem Snapshot aktualisieren Sie den Standort nicht. So wird ein Nutzer, der sich einmal über das VPN verbindet und den Preis gewinnt, nicht kontinuierlich verfolgt. Dies reduziert die DSGVO-Invasivität drastisch.

Methode 4: Vertrauens-Bonus/Malus für Grenzfälle Wenn eine IP einem bekannten kommerziellen VPN entspricht (was über öffentliche VPN-Datenbanken erkannt werden kann), können Sie diesen Nutzer in die Kategorie „Zu prüfen" einordnen und die Identitätsprüfung vor der Zahlung verstärken, ohne ihn sofort zu blockieren.

Alternativen zur Echtzeit-Geolokalisierung

Lokale Partner und Aktionscodes

Statt Standortdaten zu erheben, stellen Sie lokal verteilte Aktionscodes bereit: ein einzigartiger Code, der nur für physische Verkaufsstellen (Geschäfte, Restaurants) gilt oder in gezielten E-Mails an in einer Zone registrierte Kunden geteilt wird. Dies schafft eine Zugangsbarriere, die kein Tracking erfordert.

Bestehende Kundendatenbank (CRM)

Wenn Sie ein Franchise oder eine Kette sind, verfügen Sie bereits über eine Kundendatenbank mit bekannter Adresse. Beschränken Sie das Gewinnspiel auf die in Ihrem CRM registrierten Kunden, statt es auf das gesamte Web auszudehnen. Diese Methode setzt eine vorherige Einwilligung für das CRM voraus (bereits beim Kauf eingeholt) und minimiert die Erhebung neuer Daten.

Beschränkung über Mobilgerät oder App

Wenn Sie eine mobile App besitzen, kann das Gewinnspiel nur über die App zugänglich sein, wo die Zugriffsrechte auf Berechtigungen strenger sind und vom Nutzer besser verstanden werden. Eine App ermöglicht auch die Prüfung des Abonnements, des Standorts des letzten Kaufs usw. über bereits in Ihrem Besitz befindliche Geschäftsdaten.

Beschränkungen über Sprache, E-Mail-Domain oder Zahlung

Ein Gewinnspiel, das den Einwohnern der Schweiz vorbehalten ist, kann beschränkt werden auf:

• E-Mail-Domains .ch oder Adressen von Schweizer Banken
• Zahlung ausschließlich über Schweizer Bankkarten (prüfbar über den BIC-Code)
• Ein Formular mit obligatorischer Kantonsauswahl (Selbsterklärung)

Diese Methoden umgehen die technische Geolokalisierung, indem sie den Nutzer über andere, weniger invasive Signale identifizieren.

Rechtlicher Rahmen: Rechtsgrundlagen und Einwilligung

Rechtsgrundlage: berechtigtes Interesse vs. Einwilligung

Nach Artikel 6 der DSGVO erfordert die Datenerhebung eine Rechtsgrundlage. Für ein Gewinnspiel mit geografischer Beschränkung sind folgende Grundlagen möglich:

Einwilligung (Artikel 6.1.a): Der Nutzer stimmt ausdrücklich zu, dass Sie seinen Standort zur Prüfung seiner Berechtigung erheben. Dies ist die am einfachsten zu begründende Grundlage und wird von der CNIL für Gewinnspiele empfohlen. Die Einwilligung muss vor der Erhebung erfolgen, über eine ausdrückliche Wahl (Ankreuzkästchen), nicht über ein vorangekreuztes Kästchen.

Berechtigtes Interesse (Artikel 6.1.f): Sie können argumentieren, dass die geografische Beschränkung erforderlich ist, um eine rechtliche Verpflichtung zu erfüllen (zum Beispiel Glücksspiel, das in bestimmten Zonen unter 18 Jahren verboten ist) oder um Ihre Rechte zu schützen. Dies muss jedoch durch eine CNIL-Folgenabschätzung abgewogen werden. Ein isoliertes berechtigtes Interesse („unsere Marke schützen") reicht für die Geolokalisierung selten aus.

Rechtliche Verpflichtung (Artikel 6.1.c): Wenn Sie gesetzlich zu einer Beschränkung verpflichtet sind (Beispiel: PMU darf legal nur in bestimmten Departements tätig sein), schützt Sie diese Grundlage rechtlich. Dokumentieren Sie diese Verpflichtung in Ihrer Datenschutzerklärung.

Für die meisten kommerziellen Gewinnspiele ist die Einwilligung die sicherste Wahl.

Formulierung einer geospezifischen Einwilligungsklausel

Hier ein Muster einer konformen Klausel:

„Geolokalisierung für die Gewinnspielberechtigung

Um an diesem Gewinnspiel teilzunehmen, erheben wir Ihren Standort (über die IP-Adresse Ihrer Verbindung und/oder Ihre angegebene Postleitzahl), um zu prüfen, ob Sie in [ZULÄSSIGE ZONE: Festlandfrankreich / Île-de-France / Schweiz / usw.] wohnen.

Dieses Datum:

• Wird ausschließlich zum Zeitpunkt Ihrer Anmeldung erhoben
• Wird für [DAUER: 6 Monate / bis zur Gewinnauszahlung] aufbewahrt
• Wird gemäß unserer [LINK Datenschutzerklärung] verarbeitet
• Kann auf Anfrage über [E-MAIL/FORMULAR] gelöscht werden
• Wird nicht an kommerzielle Dritte weitergegeben

[ANKREUZKÄSTCHEN] Ich stimme der Erhebung meines Standorts zur Prüfung meiner Berechtigung zu."

Diese Klausel muss vor dem Button „Teilnehmen" erscheinen, und der Nutzer kann nicht fortfahren, ohne sie angekreuzt zu haben. Sie muss auch in der vollständigen Datenschutzerklärung wiederholt werden.

Branchenspezifische Anwendungsfälle

PMU und Glücksspiel

Online-Glücksspielbetreiber (PMU, FDJ, Casinos) unterliegen strengen Regelungen: Minderjährige sind ausgeschlossen, die Betriebszonen sind lizenzbeschränkt. Ein PMU-Gewinnspiel muss prüfen, dass kein Minderjähriger teilnimmt und dass der Nutzer in einer legalen Betriebszone wohnt.

Empfohlener Ansatz:

1. Erhebung des Alters (über angegebenes Geburtsdatum) – Rechtsgrundlage: rechtliche Verpflichtung
2. IP-Beschränkung + Postleitzahl – Rechtsgrundlage: rechtliche Verpflichtung + Einwilligung für den Standort
3. Verstärkte KYC-Prüfung (Know Your Customer) vor der Gewinnauszahlung (Identität, Adresse, Ausweisdokument) – Rechtsgrundlage: rechtliche Verpflichtung

Die CNIL und die ARJEL (Regulierungsbehörde für Online-Glücksspiele) akzeptieren diesen mehrschichtigen Ansatz, da er Jugendschutz und DSGVO-Konformität vereint.

Alkohol- und Tabakmarken

Wie beim Glücksspiel sind diese Branchen reguliert: Altersbeschränkung, geografische Beschränkung in bestimmten Ländern (Beispiel: Tabak in Australien). Ein Gewinnspiel einer Rummarke muss das Alter UND die Zone prüfen.

Ansatz:

• Obligatorische Altersabfrage (elterliche Einwilligung für Minderjährige je nach Kontext möglich)
• Beschränkung nach Zone, falls zutreffend (manchmal nur bestimmte Länder, nicht Regionen)
• Kein kontinuierliches Tracking nach der Anmeldung, da Alter und Zone sich nicht ändern

Regionale Marken und Franchises

Eine Franchise-Bäckerei im Großraum Lyon, die ein regionales Gewinnspiel startet, muss sicherstellen, dass die Teilnehmer in der Lieferzone sind. Eine Apotheke im Elsass bietet dem Gewinner einen Einkaufsgutschein an, der nur in ihrem Departement gültig ist.

Ansatz:

• Einfache Erhebung: Postleitzahl + erklärte Adresse
• Rechtsgrundlage: berechtigtes Interesse (Gewährleistung der Machbarkeit des Preises) + Einwilligung
• Spätere Prüfung: vor dem Versand des Preises die Adresse per E-Mail/SMS bestätigen

Diese Fälle sind weniger reguliert als Alkohol/Glücksspiel, daher reicht eine klare Einwilligung aus.

E-Commerce mit eingeschränktem Versand

Ein Online-Verkaufsportal organisiert ein Gewinnspiel in Frankreich, liefert aber nur in das Festland und nach Korsika. Es beschränkt die Teilnehmer auf diese Zonen.

Ansatz:

• Abfrage der Postleitzahl oder der vollständigen Lieferadresse
• Rechtsgrundlage: berechtigtes Interesse (Gültigkeit der Lieferung) + optionale Einwilligung
• Keine aktive Geolokalisierung erforderlich; die erklärte Adresse reicht aus

Praktische Umsetzung der Konformität: Checkliste

1. Prüfen Sie Ihre Rechtsgrundlage: rechtliche Verpflichtung, berechtigtes Interesse oder Einwilligung? Dokumentieren Sie sie.
2. Wählen Sie die minimale Technologie: IP + erklärte Postleitzahl reicht oft aus. Vermeiden Sie kontinuierliches GPS/Bluetooth.
3. Formulieren Sie eine klare Klausel: Erklären Sie vor dem Button „Teilnehmen", warum und wie Sie den Standort erheben.
4. Integrieren Sie sie in die Cookie-Einwilligung: Geben Sie die Geolokalisierung in Ihrem ursprünglichen Cookie-Banner oder in einer separaten Einwilligung an.
5. Dokumentieren Sie die Aufbewahrung: Geben Sie die Dauer an (z. B. 6 Monate oder bis zur Gewinnauszahlung).
6. Bereiten Sie die Auskunftsrechte vor: Der Nutzer muss seine Daten anfordern und löschen lassen können.
7. Behandeln Sie falsch-positive Fälle: Antizipieren Sie VPNs und Reisen und blockieren Sie nicht automatisch; verlangen Sie stattdessen eine zusätzliche Prüfung.
8. Testen Sie Ihr Formular: Stellen Sie sicher, dass die Einwilligung tatsächlich abgefragt und gespeichert wird.
9. Schulen Sie Ihr Team: Kundenservice, Moderation und Zahlungsabteilung müssen geografische Ablehnungen begründen können.
10. Ziehen Sie bei Bedarf einen DPO hinzu: Für regulierte Branchen (Alkohol, Glücksspiel, Pharma) stärkt eine interne oder externe Stellungnahme die Legitimität.

Fehler, die man vermeiden sollte

Die IP erheben, ohne es zu sagen: Auch wenn die IP ein technisches Log ist, ist ihre Angabe in der Datenschutzerklärung im Kontext eines Gewinnspiels transparent.

Dauerhafte Geolokalisierung: Aktualisieren Sie nach der Anmeldung nicht den Standort des Nutzers. Ein Snapshot reicht aus.

VPN-Bann: Das systematische Blockieren von VPNs verfälscht die Ergebnisse (legitime Nutzer auf Reisen) und führt zu Beschwerden. Tolerieren Sie sie und prüfen Sie dann vor der Zahlung.

Nicht offengelegte Weitergabe: Wenn Sie Standortdaten mit einem Partner (externer API-Server) teilen, erklären Sie dies ausdrücklich in der Einwilligung.

Fehlende Datenschutzerklärung: Ein Gewinnspiel ohne Datenschutzerklärung verstößt gegen die DSGVO, unabhängig von der Technologie.

Vorangekreuzte Einwilligung: Ein bereits angekreuztes Kästchen ist nach der CNIL keine gültige Einwilligung.

Fazit: ein Gleichgewicht zwischen Targeting und Respekt

Die Geolokalisierung ist durch die DSGVO nicht verboten, erfordert aber eine strenge Rahmung. Für ein geografisch beschränktes Gewinnspiel kombinieren Sie eine klare Rechtsgrundlage (Einwilligung oder rechtliche Verpflichtung), eine minimale Technologie (IP + Postleitzahl > kontinuierliches GPS) und eine vollständige Transparenz (ausdrückliche Einwilligungsklausel). Dieser Ansatz ermöglicht es Ihnen, Teilnehmer effizient anzusprechen und gleichzeitig die Privatsphäre und die Konformität zu respektieren. Für regulierte Branchen (Alkohol, Glücksspiel, Pharma) verstärken Sie die Prüfung zum Zeitpunkt der Gewinnauszahlung. Dokumentieren Sie alles, um Ihre Konformität bei einer CNIL-Kontrolle zu rechtfertigen.