Open Banking i iGaming: Compliance-fælden bag hurtige betalinger

Verdenen for online gambling i Europa gennemgår i øjeblikket en massiv transformation inden for betalingsbehandling. Open Banking er tidens modeord. Det lover hurtigere indbetalinger for spillere, øjeblikkelige udbetalinger og betydeligt lavere behandlingsgebyrer for operatører sammenlignet med traditionelle kreditkort. Men bag den skinnende facade af effektivitet ligger en jungle af juridiske spørgsmål, som mange compliance-teams knap nok har kortlagt. Det handler om meget mere end blot at flytte penge fra A til B. Det involverer adgang til yderst følsomme kontodata og spørgsmålet om, hvem der rent faktisk er ansvarlig for at overholde reglerne mod hvidvaskning af penge.

Eksperten Miguel Luis advarer om, at det rent kommercielle syn på Open Banking er for snævert. Selvom fordele som nul chargebacks og bedre verificering af midlernes oprindelse ved onboarding er åbenlyse, mangler der ofte dybdegående analyser i skæringspunktet mellem betalingstjenestelovgivning, gamblinglovgivning og databeskyttelse (GDPR). To mekanismer opererer på dette felt: Payment Initiation Services (PIS), som igangsætter overførsler direkte, og Account Information Services (AIS), som giver adgang til transaktionshistorik og saldi. Sidstnævnte er afgørende for vurderinger af betalingsevne, men indebærer betydelige risici.

Tal og fakta

Tingene blev for nylig særligt konkrete i Holland. Den lokale tilsynsmyndighed, KSA (Kansspelautoriteit), udstedte et krav med virkning fra 8. oktober 2026, som skaber røre. Indbetalinger er kun tilladt fra konti, hvor det registrerede navn matcher alle fornavne og efternavnet på spillerens ID-dokument. Det lyder simpelt, men er teknisk set en herkulesopgave. Banker forkorter ofte fornavne eller udelader mellemnavne, hvilket fører til øjeblikkelige fejl i automatiseret matching. En anden vigtig dato er april 2026, hvor Rådet offentliggjorde de endelige kompromistekster for PSD3 og Payment Services Regulation (PSR).

Disse nye EU-regler indeholder eksplosivt potentiale for driften: I fremtiden vil spillere kunne tilbagekalde deres Open Banking-autorisation direkte i deres bank-app uden at informere gambling-operatøren. Hvis en operatør baserer sig på AIS-datastream for at overvåge betalingsevne og midlernes oprindelse, stopper informationsflowet pludseligt. Uden en infrastruktur til øjeblikkeligt at detektere sådanne tilbagekaldelser befinder operatørerne sig på tynd juridisk is.

Baggrund

Ansvarligheden for compliance er delt. Den tredjepartsudbyder (TPP), der leverer den tekniske grænseflade, har en betalingstjenestelicens. Gambling-operatøren har casinolicensen. Begge er underlagt direktivet om bekæmpelse af hvidvask (AMLD), men den ene part stoler ofte blindt på den anden. Miguel Luis understreger et centralt problem vedrørende ansvarlighed:

"Risikoen er ikke, at AML-forpligtelserne er fraværende. Det er, at begge parter antager, at den anden bærer den primære forpligtelse, med det resultat at ingen af dem anvender den fulde standard, som de hver især uafhængigt er forpligtet til at opfylde." - Miguel Luis, ekspert i iGaming-compliance

Desuden bliver den nye AMLR (Anti-Money Laundering Regulation) direkte gældende i juli 2027. Den præciserer, at en spiludbyders forpligtelser ikke bortfalder som følge af betalingsudbyderens compliance. De er additive. Enhver, der tror, at en verificeret bankkonto er tilstrækkeligt bevis for midlernes oprindelse, tager fejl. Et kontoudtog viser løn, men ikke nødvendigvis det fulde billede af formue, såsom arv eller investeringer.

Hvorfor det betyder noget for tyske spillere

For tyske spillere er Open Banking særligt relevant, fordi Statstraktaten om pengespil 2021 (GlüStV 2021) allerede stiller meget strenge gennemsigtighedskrav. Kasinoer med licens i Tyskland, som optræder på GGL-hvidlisten, skal overvåge indbetalingsgrænser på 1.000 euro om måneden via LUGAS-systemet. Indsatser på spillemaskiner er også begrænset til 1 euro pr. spin. Open Banking kan her være et tveægget sværd. På den ene side letter det identitetsverifikation (KYC); på den anden side giver det myndigheder og udbydere en endnu dybere indsigt i den økonomiske adfærd.

Enhver, der spiller hos en GGL-licenseret udbyder, kan være sikker på, at databeskyttelsesstandarderne i GDPR skal overholdes. Diskussionen omkring PSD3 viser dog, at datasuveræniteten skal forblive hos spilleren. Tilbagekaldelse af dataadgang i en bank-app kan i Tyskland føre til en øjeblikkelig suspension af kontoen, fordi udbyderen ikke længere kan opfylde sine due diligence-pligter til at kontrollere økonomisk egnethed. Tyske spillere bør derfor være meget opmærksomme på, hvilke samtykker de giver, når de bruger pay-by-bank-tjenester.

Hvad det betyder for GGL-licenserede kasinoer

For tyske onlinekasinoer med en GGL-licens betyder udviklingen inden for Open Banking primært en forpligtelse til tekniske opgraderinger. Strenge AML-regler kræver, at midlernes oprindelse er klart fastlagt. Brug af AIS-data kan hjælpe med at erstatte den ofte kedelige manuelle indsendelse af lønsedler eller kontoudtog. Operatører skal dog sikre sig, at de ikke blot modtager betalingsudbyderens bekræftelse, men selv er i stand til at analysere rådata vedrørende spilspecifikke risikofaktorer. Det forventes, at GGL vil anvende lignende standarder som den hollandske KSA vedrørende nøjagtigheden af navne-matching.