Datenschutzerklärung

1. Was tun wir?

Die Secret Mission Eventline DKS OG (Sapphogasse 20/3, 1100 Wien, Österreich) veranstaltet immersive Live-Erlebnisse in Wien und betreibt dafür die Website secretmission.at samt der zugehörigen Buchungs-, Konto- und Assistenzdienste (nachfolgend „wir“).

Der Schutz Ihrer personenbezogenen Daten ist uns ein großes Anliegen. Wir informieren Sie in dieser Datenschutzerklärung transparent und verständlich darüber, welche Daten wir erheben und wie wir damit umgehen.

2. Worüber informieren wir?

• wer für die Datenverarbeitung verantwortlich ist;
• welche Daten erhoben werden;
• zu welchem Zweck diese Daten erhoben werden;
• auf welcher Rechtsgrundlage wir diese Daten erheben;
• an wen wir diese Daten weitergeben und ob sie in ein Drittland gelangen;
• wie lange wir die Daten aufbewahren;
• wie Sie einer Datenverarbeitung widersprechen können;
• welche Rechte Sie haben und wie Sie diese geltend machen können.

3. Begriffsdefinitionen

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören beispielsweise Name, Adresse, Geburtsdatum, E-Mail-Adresse oder Telefonnummer sowie die IP-Adresse. Auch Daten über persönliche Vorlieben wie Freizeitbeschäftigungen oder Mitgliedschaften zählen zu den personenbezogenen Daten.

Was sind besondere Kategorien personenbezogener Daten?

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind:

• Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen;
• genetische und biometrische Daten zur eindeutigen Identifizierung einer Person;
• Gesundheitsdaten sowie Daten zum Sexualleben und zur sexuellen Orientierung.

Soweit erforderlich und Sie uns diese Daten selbst preisgeben – etwa gesundheitliche Einschränkungen vor einem Event –, können wir solche Daten verarbeiten. In diesem Fall unterliegt deren Verarbeitung strengerer Vertraulichkeit und erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Was ist das Verarbeiten von personenbezogenen Daten?

Verarbeiten ist jeder Umgang mit personenbezogenen Daten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von personenbezogenen Daten.

Was ist das Bekanntgeben von personenbezogenen Daten?

Dies ist das Übermitteln oder Zugänglichmachen von personenbezogenen Daten, etwa die Veröffentlichung oder die Offenbarung an einen Dritten.

4. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Secret Mission Eventline DKS OG
Sapphogasse 20/3, 1100 Wien, Österreich
Firmenbuch: FN 67176 3m, Handelsgericht Wien · UID: ATU83282127
Vertretungsbefugt: Alexander Datzer, Clemens Kaufmann, Michael Schabereiter
Telefon: +43 670 1984 234
E-Mail allgemein: office@secretmission.at
E-Mail Datenschutz: datenschutz@secretmission.at

Datenschutzbeauftragter

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten nach Art. 37 DSGVO zu bestellen, und haben keinen bestellt. Ansprechpartner für alle Datenschutzanliegen ist Michael Schabereiter, erreichbar unter datenschutz@secretmission.at oder unter der oben genannten Anschrift.

5. Datensicherheit

Wir bewahren Ihre Daten sicher auf und ergreifen alle angemessenen technischen und organisatorischen Maßnahmen, um Ihre Daten vor Verlust, unbefugtem Zugriff, Missbrauch oder Änderung zu schützen.

Unsere Vertragspartner und Mitarbeitenden, die Zugang zu Ihren Daten haben, sind zur Einhaltung der datenschutzrechtlichen Bestimmungen verpflichtet. In manchen Fällen ist es im Rahmen der Auftragsverarbeitung erforderlich, dass wir Ihre Anfragen an mit uns verbundene Unternehmen weiterreichen. Auch in diesen Fällen werden Ihre Daten vertraulich behandelt.

Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt durchgehend verschlüsselt über TLS (HTTPS) in der jeweils höchsten von Ihrem Browser unterstützten Verschlüsselungsstufe. Der Zugang zu unseren Verwaltungssystemen ist auf einen festgelegten Personenkreis beschränkt und durch Mehr-Faktor-Authentifizierung sowie ein Rollen- und Rechtekonzept abgesichert.

6. Ihre Rechte

Auskunftsrecht (Art. 15 DSGVO)

Sie können jederzeit Auskunft über die von uns über Sie gespeicherten Daten verlangen. Wir bitten Sie, Ihr Auskunftsgesuch zusammen mit einem glaubhaften Identitätsnachweis an datenschutz@secretmission.at zu senden.

Die Auskunft erfolgt in schriftlicher oder auch in anderer Form, gegebenenfalls auch elektronisch. Sofern Sie dies verlangen, können wir Ihnen die Auskunft auch mündlich erteilen, sofern Sie Ihre Identität in anderer Form nachweisen. Stellen Sie den Auskunftsantrag elektronisch, stellen wir die Auskünfte in einem gängigen elektronischen Format zur Verfügung, sofern Sie nichts anderes angeben.

Die Auskunft ist im Regelfall unentgeltlich. Werden darüber hinaus Kopien angefordert, kann ein angemessenes Entgelt verlangt werden. Das Recht, eine Kopie über die verarbeiteten Daten zu erhalten, darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Im Falle von offensichtlich unbegründeten oder exzessiven Anträgen behalten wir uns vor, die Auskunft im Rahmen der gesetzlichen Schranken zu verweigern oder ein angemessenes Entgelt dafür zu verlangen.

Die Bearbeitung Ihres Gesuchs unterliegt der gesetzlichen Frist von einem Monat. Diese Frist dürfen wir aufgrund der Komplexität und der hohen Anzahl von Anfragen um zwei weitere Monate verlängern, soweit dies erforderlich ist. Sie werden über die Fristverlängerung innerhalb eines Monats nach Stellen des Auskunftsgesuchs informiert. Zugleich werden Ihnen die Gründe für die Verlängerung genannt.

Löschung und Berichtigung (Art. 16, 17 DSGVO)

Sie haben jederzeit die Möglichkeit, die Löschung oder Berichtigung beziehungsweise Vervollständigung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder ein gesetzlicher Erlaubnistatbestand entgegenstehen.

Bitte beachten Sie, dass die Ausübung Ihrer Rechte unter Umständen im Konflikt mit vertraglichen Vereinbarungen stehen und entsprechende Auswirkungen auf die Vertragsdurchführung haben kann (z. B. vorzeitige Vertragsauflösung oder Kostenfolgen).

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben außerdem das Recht, eine Einschränkung der Verarbeitung zu verlangen, wenn Sie die Richtigkeit dieser Daten bestreiten, die Verarbeitung unrechtmäßig ist, die Daten nicht länger benötigt werden oder Sie Widerspruch gegen die Verarbeitung erhoben haben.

Wird die Verarbeitung der Daten eingeschränkt, dürfen diese nur noch gespeichert werden. Eine weitergehende Verarbeitung darf nur mit Ihrer Einwilligung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte einer anderen Person oder aus Gründen eines wichtigen öffentlichen Interesses erfolgen. Im Falle einer Aufhebung der Einschränkung werden Sie benachrichtigt.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln, sofern die Verarbeitung auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO oder auf einem Vertrag gemäß Art. 6 Abs. 1 lit. b DSGVO beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt. Sie haben ferner das Recht, zu verlangen, dass die personenbezogenen Daten direkt von uns einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) erfolgt. Wir verarbeiten Ihre personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen. Nach einem solchen Widerspruch verwenden wir Ihre Daten nicht mehr für Direktwerbung.

Für Ihren Widerspruch genügt eine formlose Nachricht an datenschutz@secretmission.at.

Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Falls Sie eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerderecht (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
Telefon: +43 1 52 152-0 · E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

7. Allgemeine Grundsätze

Welche Daten verarbeiten wir und woher stammen sie?

In erster Linie verarbeiten wir personenbezogene Daten, die Sie uns übermitteln oder die wir beim Betrieb unserer Website erheben. Unter Umständen erhalten wir personenbezogene Daten über Sie auch von Dritten.

Das können folgende Kategorien sein:

• Personenstammdaten (Name, Adresse, Geburtsdatum);
• Kontaktdaten (Telefonnummer, E-Mail-Adresse);
• Vertrags- und Buchungsdaten (Mission, Termin, Teilnehmerzahl, Gutscheincodes);
• Finanz- und Zahlungsdaten (Rechnungsadresse, Zahlungsart, Zahlungsstatus);
• Onlinekennungen (Cookie-Kennung, IP-Adresse, Geräte- und Browserdaten);
• Kommunikationsdaten (Nachrichten an unseren Support, Chatverläufe mit unserem Assistenten).

Diese Daten können aus den folgenden Quellen stammen:

• Angaben aus öffentlich zugänglichen Quellen (z. B. Medien, Internet);
• Angaben aus öffentlichen Registern (z. B. Firmenbuch, Grundbuch, Ediktsdatei);
• Angaben im Zusammenhang mit behördlichen oder gerichtlichen Verfahren;
• Angaben betreffend Ihre beruflichen Funktionen und Aktivitäten (z. B. berufliche Netzwerke);
• Angaben über Sie in Korrespondenz und Besprechungen mit Dritten;
• Bonitätsauskünfte (soweit wir mit Ihnen persönliche Geschäfte abwickeln);
• Angaben über Sie, die uns Personen aus Ihrem Umfeld geben – etwa wenn eine Buchung für eine Gruppe erfolgt oder ein Gutschein für Sie erworben wird;
• Daten im Zusammenhang mit der Nutzung der Website.

Unter welchen Voraussetzungen verarbeiten wir Ihre Daten?

Wir verarbeiten Ihre Daten im Einklang mit den geltenden Datenschutzgesetzen, insbesondere der DSGVO und dem österreichischen Datenschutzgesetz (DSG). Die Verarbeitung erfolgt jeweils zu den in dieser Datenschutzerklärung festgelegten Zwecken. Wir achten dabei auf Transparenz und Verhältnismäßigkeit.

Die Verarbeitung Ihrer Daten ist rechtmäßig, sofern ein Erlaubnistatbestand der DSGVO erfüllt ist. Als Erlaubnistatbestände kommen namentlich in Frage:

• Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO);
• die Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO);
• die Erfüllung rechtlicher Verpflichtungen, denen wir unterliegen (Art. 6 Abs. 1 lit. c DSGVO);
• der Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person (Art. 6 Abs. 1 lit. d DSGVO);
• unsere berechtigten Interessen, sofern Ihre Interessen nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO).

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 165 Abs. 3 TKG 2021: Nicht technisch notwendige Cookies und vergleichbare Technologien setzen wir nur mit Ihrer Einwilligung ein.

Unter Umständen ist es erforderlich, dass Sie uns gewisse personenbezogene Daten bekanntgeben, damit vertragliche Pflichten erfüllt werden können. Ohne solche Daten sind wir normalerweise nicht in der Lage, einen Vertrag abzuwickeln. Die Website kann im Normalfall ebenfalls nicht genutzt werden, wenn gewisse Angaben zur Sicherstellung des Datenverkehrs, wie Ihre IP-Adresse, nicht offengelegt werden.

In welchen Fällen geben wir Ihre Daten an Dritte weiter?

a) Grundsatz

Wir sind unter Umständen darauf angewiesen, die Dienste Dritter oder von verbundenen Unternehmen in Anspruch zu nehmen und diese mit der Verarbeitung Ihrer Daten zu beauftragen (sogenannte Auftragsverarbeiter). Kategorien der Empfänger sind namentlich:

• Buchhaltung, Treuhand und Steuerberatung;
• Beratungsunternehmen (Rechtsberatung, Steuern);
• IT-Dienstleister (Webhosting, Support, Clouddienste, Websitegestaltung);
• Buchungs- und Zahlungsdienstleister;
• Anbieter von Tracking-, Conversion- und Werbedienstleistungen;
• Versicherungen (bei Schadensfällen).

Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen. Wir stellen sicher, dass diese Dritten die Voraussetzungen des Datenschutzes einhalten und Ihre personenbezogenen Daten vertraulich behandeln. Unter Umständen sind wir auch verpflichtet, Ihre personenbezogenen Daten an Behörden bekanntzugeben.

b) Weitergabe an Partner und Kooperationsunternehmen

Wir arbeiten teils mit unterschiedlichen Unternehmen und Partnern zusammen, die ihre Angebote auf unserer Website aufschalten. Es ist für Sie erkennbar, dass es sich um ein Drittangebot (als „Werbung“ gekennzeichnet) handelt. Wenn Sie ein solches Angebot in Anspruch nehmen, übermitteln wir Ihre personenbezogenen Daten an den entsprechenden Partner (z. B. Name, Funktion, Kommunikation). Diese Partner sind eigenständig für die empfangenen personenbezogenen Daten verantwortlich. Nach der Übermittlung der Daten gelten die Datenschutzbestimmungen des jeweiligen Partners.

c) Weitergabe ins Ausland

Im Rahmen der Auftragsverarbeitung kann es zur Übermittlung Ihrer personenbezogenen Daten an Unternehmen außerhalb des Europäischen Wirtschaftsraums (EWR) kommen – insbesondere in die Vereinigten Staaten. Diese Unternehmen sind im gleichen Umfang zum Datenschutz verpflichtet wie wir selbst.

Entspricht das Datenschutzniveau nicht demjenigen des EWR-Raums, so nehmen wir eine vorgängige Risikoeinschätzung vor und stellen vertraglich sicher, dass der gleiche Schutz wie im EWR-Raum garantiert wird – in der Regel mittels der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) samt ergänzender Maßnahmen. Sofern ein Empfänger unter den EU-US Data Privacy Framework fällt, stützen wir die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Sollte unsere Risikoeinschätzung negativ ausfallen, ergreifen wir zusätzliche technische Maßnahmen zum Schutz Ihrer Daten. Eine Kopie der jeweiligen Garantien können Sie unter datenschutz@secretmission.at anfordern.

d) Wie lange bewahren wir Ihre Daten auf?

Wir speichern personenbezogene Daten nur so lange, wie dies zur Erfüllung der jeweiligen Zwecke erforderlich ist. Vertragsdaten speichern wir länger, da wir dazu durch gesetzliche Vorschriften verpflichtet sind: Nach § 132 BAO und § 212 UGB müssen wir geschäftliche Korrespondenz, geschlossene Verträge und Buchungsbelege sieben Jahre aufbewahren; bei anhängigen Verfahren entsprechend länger. Soweit wir solche Daten nicht mehr zur Durchführung der Dienstleistungen benötigen, wird die weitere Verarbeitung eingeschränkt und wir verwenden sie nur noch für Zwecke der Rechnungslegung und für Steuerzwecke. Eine Übersicht der konkreten Fristen finden Sie in Abschnitt 10.

8. Einzelne Datenverarbeitungen

8.1 Bereitstellen der Website und Erstellung von Logfiles

Wenn Sie unsere Website lediglich besuchen, sich also nicht registrieren oder anderweitige Informationen preisgeben, werden nur die Daten erhoben, die Ihr Browser automatisiert an unseren Server übermittelt. Die Daten sind für den Betrieb der Website technisch erforderlich.

Verarbeitet werden insbesondere: Name des Internetserviceproviders, IP-Adresse, technische Informationen wie Browser, Betriebssystem oder Bildschirmauflösung, Datum und Uhrzeit des Zugriffs, abgerufene Datei sowie die Referrer-URL. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

8.2 Cookies und ähnliche Technologien

Cookies sind kleine Textdateien, die mit Hilfe des Browsers auf Ihrem Endgerät abgelegt werden. Sie richten keinen Schaden an. Daneben verwenden wir den lokalen Speicher Ihres Browsers ( localStorage und sessionStorage). Technisch notwendige beziehungsweise von Ihnen selbst ausgelöste Speicherungen setzen wir ohne gesonderte Zustimmung ein; darüber hinaus setzen wir nach Ihrer Einwilligung Cookies zur Reichweitenmessung ein (Microsoft Clarity und Google Analytics 4, siehe 8.14) sowie zu Marketingzwecken den Meta-Pixel, das TikTok-Pixel, das Snapchat-Pixel und das Spotify-Pixel (siehe 8.14).

Sie können Ihren Browser so einrichten, dass er Sie über das Setzen von Cookies informiert und Sie dies nur im Einzelfall erlauben, oder dass Cookies generell abgelehnt und beim Schließen des Browsers gelöscht werden. Bei der Deaktivierung von Cookies kann die Funktionalität unserer Website eingeschränkt sein.

8.3 Kontaktaufnahme und Support-Anfragen

Über unsere Kontakt- und Anfrageformulare, per E-Mail, Telefon oder WhatsApp können Sie mit uns in Verbindung treten. Anfragen aus den Formularen werden in unserem eigenen Verwaltungssystem („SMOC“, betrieben auf unserer Infrastruktur in der EU) als Ticket angelegt und dort bearbeitet.

Verarbeitet werden die von Ihnen angegebenen Daten – in der Regel Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, Firmenname sowie der Inhalt Ihrer Nachricht – nebst Zeitpunkt der Übermittlung.

Für die Kommunikation über WhatsApp ist die WhatsApp Ireland Ltd. gemeinsam mit uns beteiligt. Beachten Sie, dass Metadaten Ihrer Nachricht dabei an den Betreiber übermittelt werden. Nutzen Sie E-Mail oder Telefon, wenn Sie das vermeiden möchten.

8.4 Buchung und Vertragsabwicklung

Bei einer Buchung erheben wir: Nachname und Vorname, E-Mail-Adresse und Telefonnummer, Rechnungsadresse, Buchungsdetails (Termin, Mission, Teilnehmerzahl) sowie Zahlungsinformationen.

Bokun (Buchungsplattform)

Wir verwenden Bokun, eine Buchungsplattform der Bokun ehf., Borgartún 27, 105 Reykjavík, Island (ein Unternehmen der Tripadvisor-Gruppe), zur Verwaltung und Abwicklung von Online-Buchungen. Seit August 2026 ist auf unserer Website kein Buchungsfenster von Bokun mehr eingebettet: Terminwahl und Kasse laufen vollständig auf secretmission.at. Bokun arbeitet dahinter als Buchungssystem – der Austausch findet zwischen unseren Servern und Bokun statt, nicht in Ihrem Browser. Es wird deshalb kein Skript von widgets.bokun.io mehr geladen, Ihre IP-Adresse wird beim Besuch unserer Seiten nicht mehr an Bokun übermittelt und Bokun setzt keine Cookies mehr in Ihrem Browser. Die Daten Ihrer Buchung übermitteln wir weiterhin an Bokun, damit Termin, Platzkontingent und Buchungsbestätigung dort verwaltet werden.

Verarbeitet werden Nachname, Vorname, Adresse und Kontaktdaten, Buchungsdetails (gewähltes Erlebnis, Datum, Uhrzeit, Teilnehmerzahl), Zahlungsinformationen (direkt vom integrierten Zahlungsdienstleister) sowie Kommunikationsdaten (Buchungsbestätigungen, Erinnerungen, Stornierungen).

8.5 Zahlungsabwicklung

Zahlungen werden über die im Buchungsvorgang angebotenen Zahlungsarten abgewickelt – unter anderem Kredit- und Debitkarte, eps-Überweisung, Klarna, Apple Pay und Google Pay. Die Zahlungsdaten (insbesondere Kartennummer) geben Sie unmittelbar beim jeweiligen Zahlungsdienstleister ein; vollständige Kartendaten werden von uns weder erhoben noch gespeichert. Wir erhalten lediglich die Information, ob und in welcher Höhe eine Zahlung erfolgreich war, sowie die für die Rechnungslegung nötigen Angaben.

8.6 Kundenkonto „Agentenakte“

Sie können auf unserer Website ein persönliches Kundenkonto anlegen. Darin sehen Sie Ihre Buchungen, Gutscheine, Geleitbriefe und Ihren Rang. Für die Anmeldung verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen sowie ein Passwort in verschlüsselter Form (Hash) – oder, wenn Sie sich über einen Anmeldedienst anmelden, die von diesem übermittelte Kennung.

Zur Anmeldung bieten wir zusätzlich Google Sign-In (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) und Apple Sign-In (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland) an. Nutzen Sie diese Möglichkeit, erhalten wir von dem jeweiligen Anbieter Ihre E-Mail-Adresse, Ihren Namen und eine eindeutige Nutzerkennung. Der Anmeldedienst erfährt dabei, dass Sie sich bei uns angemeldet haben. Die Nutzung eines solchen Dienstes ist freiwillig – Sie können sich ebenso mit E-Mail-Adresse und Passwort registrieren.

8.7 KI-Assistent „Agent Harlan“

Auf unserer Website steht Ihnen ein textbasierter Assistent zur Verfügung, der Fragen zu Missionen, Preisen, Terminen und Gutscheinen beantwortet. Der Assistent öffnet sich erst, wenn Sie ihn anklicken; ohne Ihre Eingabe werden keine Inhalte übermittelt.

Wenn Sie eine Frage abschicken, wird der Text Ihrer Nachricht zusammen mit dem bisherigen Gesprächsverlauf und der gewählten Sprache an unseren Dienst unter assistent.secretmission.at übermittelt. Dieser läuft auf der Infrastruktur der Cloudflare, Inc. und leitet die Anfrage zur Beantwortung an ein Sprachmodell der Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA weiter. Zur Begrenzung von Missbrauch verarbeiten wir dabei zusätzlich eine gekürzte Form Ihrer IP-Adresse.

Bitte geben Sie im Chat keine sensiblen Daten ein – insbesondere keine Gesundheitsdaten, Zahlungsdaten, Passwörter oder Angaben über Dritte. Für persönliche Anliegen erreichen Sie uns telefonisch oder per WhatsApp von Montag bis Freitag, 9:00 bis 17:30 Uhr; der Weg zu einem Menschen steht in jedem Antwortfenster zur Verfügung.

8.8 Newsletter

Sie haben die Möglichkeit, über unsere Website unseren Newsletter zu abonnieren. Hierfür benötigen wir Ihre E-Mail-Adresse und Ihre Erklärung, dass Sie mit dem Bezug des Newsletters einverstanden sind.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Zum Nachweis der Anmeldung protokollieren wir Anmelde- und Bestätigungszeitpunkt sowie die dabei verwendete IP-Adresse.

Eine Abmeldung ist jederzeit möglich – über den Abmeldelink am Ende jeder Newsletter-E-Mail oder formlos an datenschutz@secretmission.at. Ihre Daten im Zusammenhang mit dem Newsletter-Versand werden im Falle einer Abmeldung umgehend gelöscht; die Anmeldeprotokolle bewahren wir zum Nachweis noch bis zu drei Jahre auf. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

8.9 Push-Mitteilungen

Sofern Sie es in Ihrem Browser ausdrücklich erlauben, senden wir Ihnen Mitteilungen zu Ihren Buchungen (etwa Terminerinnerungen). Dafür wird eine anonyme Geräte- beziehungsweise Browserkennung gespeichert. Sie können die Erlaubnis jederzeit in den Einstellungen Ihres Browsers oder Ihres Kontos zurückziehen; die Kennung wird dann gelöscht.

8.10 Videoinhalte (YouTube)

Auf einzelnen Seiten binden wir Videos ein. Diese laden wir im Zwei-Klick-Verfahren: Zunächst sehen Sie nur ein von uns selbst ausgeliefertes Standbild. Erst wenn Sie es anklicken, wird eine Verbindung zu youtube-nocookie.com (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) aufgebaut und Ihre IP-Adresse sowie Angaben zu Browser und Gerät an Google übermittelt. Solange Sie kein Video starten, findet keine Übertragung an Google statt.

Trailer und Eigenproduktionen liefern wir – soweit möglich – direkt von unseren eigenen Servern aus. In diesen Fällen entsteht keine Verbindung zu Dritten. Auch unsere Schriften laden wir von unserem eigenen Server; eine Verbindung zu Google Fonts findet nicht statt.

8.11 Teilnahme am Event

Bei der Teilnahme an einem Event können zusätzlich folgende Daten anfallen:

• Unterschriften unter Haftungsausschluss- und Einverständniserklärungen;
• gesundheitsrelevante Angaben (Allergien, gesundheitliche Einschränkungen) – ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und nur, soweit dies für Ihre Sicherheit während des Erlebnisses erforderlich ist;
• Altersnachweise bei Minderjährigen samt Einverständniserklärung der Erziehungsberechtigten;
• im Ausnahmefall Angaben zu einem Vorfall vor Ort (Unfall, Sachschaden) zur Abwicklung mit unserer Versicherung.

Standort während des Spiels. Bei Spielen, die Sie auf Ihrem eigenen Handy spielen (etwa NOVEX-3), fragt die Spiel-App in Ihrem Browser, ob sie den Standort Ihres Handys verwenden darf. Stimmen Sie zu, übermittelt die App während des laufenden Spiels etwa einmal pro Sekunde den Standort Ihres Handys (Koordinaten und Messgenauigkeit) zusammen mit Ihrem Decknamen im Spiel an uns. Unsere Spielleitung sieht damit auf einer Karte, wo sich die Gruppe gerade befindet, um bei Rückfragen, Verzögerungen oder im Notfall rasch helfen zu können. Vor dem Start und nach dem Ende des Spiels wird kein Standort übermittelt. Die Freigabe ist freiwillig: Das Spiel funktioniert auch ohne sie, und Sie können sie jederzeit in den Einstellungen Ihres Browsers zurücknehmen; Ihren gespeicherten Standort löschen wir dann sofort. Wir werten Ihr Bewegungsverhalten nicht aus, geben Standortdaten nicht an Dritte weiter und nutzen sie nicht zu Werbezwecken.

E-Mails nach dem Spiel. Geben Sie im Haftungsausschluss Ihre E-Mail-Adresse an, schicken wir Ihnen am Tag nach Ihrem Spiel eine Dankes-E-Mail von office@secretmission.at. Darin bitten wir Sie um eine Bewertung auf Google, laden Sie ein, uns per Antwort Verbesserungsvorschläge zu schicken, und schenken Ihnen einen Rabattcode für Ihre nächste Buchung. Dafür verwenden wir Ihren Vornamen, Ihre E-Mail-Adresse, das Spieldatum und die Sprache Ihrer Buchung. Auf diese E-Mail weisen wir Sie schon beim Ausfüllen des Haftungsausschlusses hin. Sie können ihr jederzeit kostenlos widersprechen – über den Abmeldelink in jeder dieser E-Mails oder formlos an datenschutz@secretmission.at. Danach schicken wir Ihnen keine solche E-Mail mehr, auch nicht nach späteren Besuchen; dafür vermerken wir Ihre E-Mail-Adresse auf einer Sperrliste. Haben Sie im Haftungsausschluss zusätzlich angekreuzt, dass Sie Ihr Ergebnis per E-Mail erhalten möchten, schicken wir Ihnen außerdem Ihren Einsatzbericht (Teamname, Punkte, Zeit und Platz).

8.12 Foto- und Videoaufnahmen bei unseren Erlebnissen

Wir filmen und fotografieren bei unseren Missionen selbst. Unser Team hält den Ablauf regelmäßig fest – das gehört zur Produktion dazu und ist keine Ausnahme. Teilnehmende sind dabei erkennbar. Ihnen selbst ist das Filmen und Fotografieren während des Erlebnisses aus dramaturgischen Gründen nicht gestattet (siehe Teilnahmebedingungen); die Aufnahmen entstehen ausschließlich durch uns.

a) Aufnahmen während des Erlebnisses

Verarbeitet werden Bild- und Tonaufnahmen Ihrer Person im Rahmen des gebuchten Erlebnisses.

b) Veröffentlichung für Werbezwecke

Aufnahmen, auf denen Sie erkennbar sind, verwenden wir auch für unseren Online-Auftritt und unsere Werbung – insbesondere auf unserer Website, in unseren Profilen bei Instagram, Facebook, TikTok, LinkedIn und YouTube, in Newslettern sowie in Presse- und Werbematerial. Eine Veröffentlichung erfolgt ausschließlich auf Grundlage Ihrer vorherigen, gesonderten und jederzeit widerruflichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 78 UrhG, Recht am eigenen Bild). Diese Einwilligung holen wir vor Beginn des Erlebnisses schriftlich gemeinsam mit dem Haftungsausschluss ein; sie ist freiwillig und keine Bedingung für Ihre Teilnahme.

Erteilen Sie die Einwilligung nicht, nehmen Sie ganz normal teil – wir veröffentlichen dann keine Aufnahmen, auf denen Sie erkennbar sind. Buchen Sie als Gruppe, benötigen wir die Einwilligung jeder teilnehmenden Person einzeln; eine Zustimmung der buchenden Person genügt dafür nicht.

c) Widerruf

Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen – formlos per E-Mail an datenschutz@secretmission.at. Die Rechtmäßigkeit der bis dahin erfolgten Veröffentlichung bleibt unberührt.

Nach einem Widerruf entfernen wir die betroffenen Aufnahmen unverzüglich von allen Kanälen, die wir selbst betreiben. Bitte beachten Sie: Auf bereits gedrucktes Material, auf Kopien, die Dritte angefertigt haben, sowie auf Zwischenspeicher von Suchmaschinen und sozialen Netzwerken haben wir keinen Zugriff – eine vollständige Entfernung aus dem Internet können wir daher nicht zusichern.

8.13 Unsere Social-Media-Profile

Wir unterhalten öffentlich zugängliche Profile bei Instagram und Facebook (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland), TikTok (TikTok Technology Ltd., Dublin, Irland), LinkedIn (LinkedIn Ireland Unlimited Company, Dublin, Irland) und YouTube (Google Ireland Ltd.). Auf unserer Website verlinken wir diese Profile lediglich – es werden keine Inhalte der Netzwerke eingebettet und beim bloßen Besuch unserer Website keine Daten an sie übertragen.

Wenn Sie eines unserer Profile besuchen oder mit uns dort interagieren, verarbeitet der jeweilige Betreiber Ihre Daten in eigener Verantwortung; auf Art und Umfang haben wir keinen Einfluss. Wir sehen die von Ihnen dort veröffentlichten Inhalte (Kommentare, Nachrichten, Reaktionen) sowie zusammengefasste, nicht personenbezogene Statistiken zur Reichweite. Für die Verarbeitung im Rahmen dieser Seiten-Statistiken sind wir gemeinsam mit dem jeweiligen Betreiber verantwortlich (Art. 26 DSGVO); Sie können Ihre Rechte gegenüber beiden geltend machen.

8.14 Reichweitenmessung und Werbung

Wir schalten Werbung über Google Ads (Google Ireland Ltd.), Meta (Meta Platforms Ireland Ltd.), TikTok, Snapchat und Spotify, um auf unsere Erlebnisse aufmerksam zu machen. Um zu messen, wie unsere Website genutzt wird und welche Werbung zu einer Buchung führt, setzen wir – ausschließlich nach Ihrer vorherigen Einwilligung über das Einwilligungsbanner – Google Analytics 4 und den Meta-Pixel ein, dazu Microsoft Clarity zur Verbesserung unserer Website sowie das TikTok-Pixel, das Snapchat-Pixel und das Spotify-Pixel zur Messung des Erfolgs unserer Werbung in diesen drei Netzwerken. Ausgeliefert werden diese Dienste über den Google Tag Manager.

Google Tag Manager

Der Google Tag Manager ist ein Werkzeug der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), mit dem wir die oben genannten Messdienste verwalten. Der Tag Manager ist selbst kein Messdienst: Er setzt keine Cookies, speichert keine Kennungen und wertet Ihr Verhalten nicht aus. Er entscheidet allein, welcher Messdienst geladen werden darf – und genau das ist der Grund, warum er auf jeder Seite läuft.

Bevor Sie im Einwilligungsbanner geantwortet haben, steht im Tag Manager der Google Consent Mode v2 auf „abgelehnt“. In diesem Zustand wird kein Messdienst geladen, es wird kein Cookie gesetzt und es fließen keine Daten an Google, Meta, TikTok, Snapchat oder Spotify. Erst Ihre Zustimmung schaltet die Kategorie frei, der Sie zugestimmt haben; widerrufen Sie, gilt wieder „abgelehnt“. Beim Abruf des Tag Managers selbst wird – wie bei jedem Abruf einer Datei aus dem Netz – Ihre IP-Adresse an Google übermittelt.

Google Analytics 4

Google Analytics 4 ist ein Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Wir verwenden ihn, um zu verstehen, wie unsere Website genutzt wird: welche Seiten aufgerufen werden, wie Besucher zu uns gefunden haben, wie lange sie bleiben und an welcher Stelle der Buchungsstrecke sie abbrechen.

Erfasst werden dabei die aufgerufenen Seiten und die Reihenfolge des Aufrufs, die Herkunftsseite und gegebenenfalls die Kennung der Anzeige, über die Sie zu uns gekommen sind, Angaben zu Browser, Betriebssystem und Gerät, der ungefähre Standort auf Basis der IP-Adresse sowie eine zufällig vergebene Kennung, die in einem Cookie gespeichert wird. Die IP-Adresse wird von Google gekürzt, bevor sie gespeichert wird, und nicht mit anderen Daten zusammengeführt.

Schließen Sie eine Buchung ab, übermitteln wir zusätzlich den Vorgang selbst: eine Vorgangsnummer, den Betrag, die Währung und das gebuchte Erlebnis. Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer und Ihre Adresse übermitteln wir nicht an Google. Der Vorgangsnummer ist ohne unsere eigenen Systeme keine Person zuzuordnen; sie dient dazu, denselben Kauf nicht doppelt zu zählen.

Meta-Pixel

Der Meta-Pixel ist ein Werbe- und Analysewerkzeug der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irland). Mit ihm messen wir, wie viele Menschen nach dem Kontakt mit einer Anzeige auf Facebook oder Instagram unsere Website besuchen und dort buchen. Für die Verarbeitung im Rahmen dieser Werbefunktionen sind Meta und wir gemeinsam Verantwortliche nach Art. 26 DSGVO; die Aufteilung der Pflichten regelt die von Meta bereitgestellte Vereinbarung über gemeinsame Verantwortlichkeit. Für die weitere Verarbeitung durch Meta, insbesondere zur Bildung von Zielgruppen und zur Ausspielung von Werbung, ist Meta allein verantwortlich.

Erfasst werden der Aufruf unserer Seiten, die aufgerufene Adresse und die Herkunftsseite, Angaben zu Browser, Betriebssystem und Gerät, Ihre IP-Adresse sowie eine im Cookie gespeicherte Kennung. Kommen Sie über eine Meta-Anzeige, wird zusätzlich deren Kennung (fbclid) verarbeitet. Bei einer abgeschlossenen Buchung übermitteln wir zusätzlich Betrag, Währung und eine Vorgangsnummer. Namen, Adressen, E-Mail-Adressen, Telefonnummern und Ihre Eingaben in unseren Formularen übermitteln wir nicht an Meta; ein Abgleich mit Meta-Konten kann durch Meta selbst erfolgen, sofern Sie dort angemeldet sind.

Der Pixel wird erst geladen, nachdem Sie im Einwilligungsbanner der Kategorie „Marketing“ zugestimmt haben. Ohne Ihre Einwilligung wird kein Skript von Meta angefordert und kein Cookie gesetzt. In der Kasse unter /checkout/ ist der Pixel nicht aktiv; dort messen wir ausschließlich den Weg bis zum Abschluss, nicht die Reichweite.

Microsoft Clarity

Microsoft Clarity ist ein Webanalysedienst der Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland). Clarity hilft uns zu verstehen, wie unsere Website genutzt wird: Aufgezeichnet werden Seitenaufrufe und deren Reihenfolge, Klicks, Mausbewegungen und Scrollverhalten, Bildschirmgröße, Gerätetyp, Browser und Betriebssystem, der ungefähre Standort auf Basis der gekürzten IP-Adresse sowie die Herkunftsseite. Daraus entstehen zusammengefasste Auswertungen – etwa Heatmaps, die zeigen, welche Bereiche einer Seite angeklickt werden – und Wiedergaben einzelner Sitzungen.

Ihre Eingaben in Formularfelder zeichnet Clarity dabei nicht im Klartext auf: Texteingaben werden bereits im Browser unkenntlich gemacht. Weder Ihre Angaben in Kontakt- und Buchungsformularen noch Zahlungsdaten oder Zugangsdaten sind für uns in den Aufzeichnungen sichtbar.

Clarity wird erst geladen, nachdem Sie im Einwilligungsbanner der Kategorie „Statistik“ zugestimmt haben. Ohne Ihre Einwilligung wird kein Skript von Microsoft angefordert und kein Cookie gesetzt. Auf der Buchungs- und der Wissensplattform setzen wir Clarity nicht ein.

TikTok-Pixel

Das TikTok-Pixel ist ein Werbe- und Analysewerkzeug der TikTok Technology Limited (10 Earlsfort Terrace, Dublin 2, D02 T380, Irland) und der TikTok Information Technologies UK Limited (Kaleidoscope, 4 Lindsey Street, London, EC1A 9HP, Vereinigtes Königreich). Für die Verarbeitung im Rahmen dieser Werbefunktionen sind TikTok und wir gemeinsam Verantwortliche nach Art. 26 DSGVO; die Aufteilung der Pflichten regeln die TikTok Business Products (Data) Terms. Für die weitere Verarbeitung der Daten durch TikTok, insbesondere zur Bildung von Zielgruppen und zur Ausspielung von Werbung, ist TikTok allein verantwortlich.

Erfasst werden dabei der Aufruf unserer Seiten, die aufgerufene Adresse und die Herkunftsseite, Angaben zu Browser, Betriebssystem und Gerät, Ihre gekürzte IP-Adresse sowie eine im Cookie gespeicherte Kennung. Kommen Sie über eine TikTok-Anzeige, wird zusätzlich deren Kennung (ttclid) verarbeitet. Damit messen wir, wie viele Menschen nach dem Sehen einer Anzeige auf unserer Website landen. Namen, Adressen, E-Mail-Adressen, Telefonnummern und Ihre Eingaben in unseren Formularen übermitteln wir nicht an TikTok; ein Abgleich mit TikTok-Konten kann durch TikTok selbst erfolgen, sofern Sie dort angemeldet sind.

Das Pixel wird erst geladen, nachdem Sie im Einwilligungsbanner der Kategorie „Marketing“ zugestimmt haben. Ohne Ihre Einwilligung wird kein Skript von TikTok angefordert und kein Cookie gesetzt. Das gilt für alle Seiten von secretmission.at, die Buchungsstrecke unter /buchung/ eingeschlossen: Sie lag bis August 2026 auf einer eigenen Unteradresse ohne eigenes Einwilligungsbanner und ist genau deshalb auf die Hauptadresse gezogen — eine Einwilligung gilt seither für alles. Auf der Wissensplattform setzen wir das Pixel nicht ein.

Snapchat-Pixel

Das Snapchat-Pixel ist ein Werbe- und Analysewerkzeug der Snap B.V. (Keizersgracht 165, 1016 DP Amsterdam, Niederlande), die für Nutzerinnen und Nutzer aus dem Europäischen Wirtschaftsraum verantwortlich ist, und der Snap Group Limited (77 Shaftesbury Avenue, London W1D 5DU, Vereinigtes Königreich). Für die Verarbeitung im Rahmen dieser Werbefunktionen sind Snap und wir gemeinsam Verantwortliche nach Art. 26 DSGVO; die Aufteilung der Pflichten regeln die Snap Business Tools Terms. Für die weitere Verarbeitung der Daten durch Snap, insbesondere zur Bildung von Zielgruppen und zur Ausspielung von Werbung, ist Snap allein verantwortlich.

Erfasst werden dabei der Aufruf unserer Seiten, die aufgerufene Adresse und die Herkunftsseite, Angaben zu Browser, Betriebssystem und Gerät, Ihre gekürzte IP-Adresse sowie eine im Cookie gespeicherte Kennung. Kommen Sie über eine Snapchat-Anzeige, wird zusätzlich deren Kennung (ScCid) verarbeitet. Damit messen wir, wie viele Menschen nach dem Sehen einer Anzeige auf unserer Website landen. Namen, Adressen, E-Mail-Adressen, Telefonnummern und Ihre Eingaben in unseren Formularen übermitteln wir nicht an Snap; ein Abgleich mit Snapchat-Konten kann durch Snap selbst erfolgen, sofern Sie dort angemeldet sind.

Das Pixel wird erst geladen, nachdem Sie im Einwilligungsbanner der Kategorie „Marketing“ zugestimmt haben. Ohne Ihre Einwilligung wird kein Skript von Snap angefordert und kein Cookie gesetzt. Das gilt für alle Seiten von secretmission.at, die Buchungsstrecke unter /buchung/ eingeschlossen – dort hängt es an derselben Einwilligung wie überall sonst. Auf der Wissensplattform setzen wir das Pixel nicht ein.

Spotify-Pixel

Das Spotify-Pixel ist ein Messwerkzeug von Spotify Ad Analytics, einem Dienst der Spotify AB (Regeringsgatan 19, 111 53 Stockholm, Schweden). Wir schalten Werbung auf Spotify und messen mit dem Pixel, welche Anzeige – etwa ein Audio-Spot in einem Podcast – zu einem Besuch unserer Website und zu einer Buchung geführt hat. Dazu gleicht Spotify die Angaben aus dem Pixel, vor allem die IP-Adresse, mit eigenen Daten über die Ausspielung der Anzeigen ab. Für die Einbindung des Pixels und die Übermittlung der Daten an Spotify sind wir verantwortlich; die empfangenen Daten verarbeitet Spotify nach seinen Vertragsbedingungen in eigener Verantwortung und nicht in unserem Auftrag. Dafür gilt die Datenschutzerklärung von Spotify Ad Analytics. Nach den Vertragsbedingungen von Spotify erhalten wir selbst nur zusammengefasste Auswertungen und andere Daten ohne Personenbezug; Spotify kann IP-Adressen außerdem an Dienstleister weitergeben, die sie mit eigenen Zielgruppendaten abgleichen, um zusammengefasste Auswertungen über das erreichte Publikum zu erstellen.

Erfasst werden bei jedem Seitenaufruf die aufgerufene Adresse und die Herkunftsseite, Fenstergröße und Zeitzone Ihres Browsers, Angaben zu Browser und Gerät (User-Agent), Ihre IP-Adresse sowie eine zufällige Kennung, die das Pixel in einem Cookie ablegt. Kommen Sie über eine Spotify-Anzeige, wird zusätzlich deren Kennung (spclid) aus der Adresse verarbeitet. Schließen Sie eine Buchung oder einen Gutscheinkauf ab, übermitteln wir auf unserer Bestätigungsseite zusätzlich den Betrag, die Währung, unsere Vorgangsnummer und die Stückzahl sowie je Posten dessen Kennung, Bezeichnung, Menge und Preis; fehlende Produktangaben (etwa Art und Anbieter des Produkts) ergänzt das Pixel selbst aus den Angaben auf der Seite. Die Vorgangsnummer dient nur dazu, denselben Kauf nicht doppelt zu zählen. Namen, Adressen, E-Mail-Adressen, Telefonnummern, Zahlungsdaten, Aktionscodes und Ihre Eingaben in unseren Formularen übermitteln wir nicht an Spotify; den von Spotify angebotenen automatischen Abgleich gehashter Kontaktdaten haben wir nicht eingeschaltet.

Das Pixel wird erst geladen, nachdem Sie im Einwilligungsbanner der Kategorie „Marketing“ zugestimmt haben. Ohne Ihre Einwilligung wird kein Skript von Spotify angefordert und nichts in Ihrem Browser gespeichert. Das gilt für alle Seiten von secretmission.at, die Buchungsstrecke unter /buchung/ eingeschlossen.

Zählpixel

Zählpixel – auch Web-Beacons genannt – sind kleine, üblicherweise nicht sichtbare Bilder, die beim Besuch einer Website oder beim Öffnen einer E-Mail automatisch abgerufen werden. Mit ihnen können die gleichen Angaben wie in Logfiles erfasst werden. Wir verwenden Zählpixel derzeit nur zur Erfolgsmessung unseres Newsletters (siehe 8.8). Um die Verarbeitung mittels Zählpixeln generell zu verhindern, können Sie geeignete Browsererweiterungen installieren und in Ihrem E-Mail-Programm externe Grafiken blockieren.

8.15 Hosting, Content Delivery und Versand

Unsere Websites und unser Verwaltungssystem betreiben wir auf angemieteten Servern innerhalb der Europäischen Union. Vorgelagert nutzen wir Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, bzw. Cloudflare Germany GmbH) als Content Delivery Network, DNS-Anbieter und Schutz gegen Angriffe. Dabei werden Verbindungsdaten einschließlich Ihrer IP-Adresse verarbeitet, um Inhalte schnell auszuliefern und Überlastungsangriffe (DDoS) abzuwehren.

Für den Versand von System- und Buchungs-E-Mails sowie für die Ablage von Dateien setzen wir Dienste der Amazon Web Services (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, 1855 Luxemburg) ein, insbesondere Amazon Simple Email Service und Amazon S3.

E-Mails aus unserem Postfach office@secretmission.at – darunter die Dankes-E-Mail nach dem Spiel (siehe 8.11) – versenden wir über Google Workspace (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland).

8.16 Kundenverwaltung (CRM)

Zur Pflege von Kunden- und Interessentenbeziehungen setzen wir neben unserem eigenen System teilweise HubSpot (HubSpot Ireland Ltd., 1 Sir John Rogerson's Quay, Dublin 2, Irland) ein. Dort werden Kontaktdaten, Anfrageverlauf und Kommunikationshistorie gespeichert, um Anfragen zuzuordnen und zu beantworten.

8.17 Freunde empfehlen

Unsere Gäste können Secret Mission mit einem persönlichen Link weiterempfehlen, etwa secretmission.at/e/MX7K4QR. Wer über einen solchen Link bucht, bekommt einen Freunde-Rabatt von 5 % auf die Tickets; die empfehlende Person erhält dafür eine Provision. Wenn Sie einen Empfehlungslink nutzen, geschieht mit Ihren Daten Folgendes:

• Klick auf den Link. Wir zählen nur, wie oft ein Link an einem Tag geöffnet wurde. Ihre IP-Adresse merken wir uns dabei nur eine Minute lang, um Missbrauch zu bremsen; Angaben zu Browser oder Gerät speichern wir nicht. Danach leiten wir Sie auf unsere Website weiter.
• Der Code steht in der Adresse. Auf unserer Website steht der Code in der Adresszeile (?empf=…) und wird von Seite zu Seite bis zur Kasse mitgenommen. In Ihrem Browser speichern wir ihn nicht – kein Cookie, kein lokaler Speicher. Rufen Sie unsere Seite später ohne den Code in der Adresse auf, ist er nicht mehr da; Sie können ihn dann an der Kasse eingeben. Damit wir Ihnen den Rabatt anzeigen können, fragt Ihr Browser bei unserem Server nach, ob der Code gilt; die Antwort enthält den Vornamen der empfehlenden Person.
• Einlösen an der Kasse. Der Freunde-Rabatt wird an der Kasse automatisch abgezogen. Sie können ihn dort entfernen – dann entsteht keine Provision, und die empfehlende Person erfährt nichts von Ihrer Buchung.
• Herkunft. Reservieren Sie oder kaufen Sie einen Gutschein, während der Code in der Adresse steht, vermerken wir ihn als Herkunft an der Reservierung bzw. am Gutscheinkauf – auch wenn Sie den Rabatt entfernen. Daraus entsteht keine Provision; wir zählen damit nur, wie viele Käufe über Empfehlungen zustande kommen.
• Zuordnung Ihrer Buchung. Buchen Sie mit Freunde-Rabatt, speichern wir den Code zu Ihrer Buchung und ordnen sie der empfehlenden Person zu, damit wir ihre Provision berechnen können. Damit niemand für die eigene Buchung Provision erhält, vergleichen wir E-Mail-Adresse und Telefonnummer Ihrer Buchung mit denen der empfehlenden Person.
• Was die empfehlende Person sieht. In ihrer Übersicht sieht sie zu Ihrer Buchung nur den Monat und den Betrag ihrer Provision samt deren Stand – keinen Namen, keine Kontaktdaten, keinen Termin. Weil sich die Provision nach dem Ticketpreis richtet, kann der Betrag Rückschlüsse auf die Größe Ihrer Gruppe zulassen.

Haben Sie Statistik- oder Marketing-Diensten zugestimmt (siehe 8.14), können diese die Adresse samt Code sehen; der Code bezeichnet die empfehlende Person, nicht Sie. HubSpot erhält statt des Codes nur das Wort „EMPFEHLUNG“, und eine Buchung mit Freunde-Rabatt melden wir an Messdienste nur als „Empfehlung“, ohne den Code.

9. Empfänger im Überblick

Die folgende Übersicht fasst zusammen, an welche externen Stellen Daten fließen können.

SCC = Standardvertragsklauseln der EU-Kommission · DPF = EU-US Data Privacy Framework

10. Speicherdauer im Überblick

11. Keine automatisierte Entscheidungsfindung

Wir verwenden Ihre personenbezogenen Daten nicht für eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Ein Profiling zur Bewertung persönlicher Aspekte findet nicht statt.

Der KI-Assistent „Agent Harlan“ erteilt ausschließlich Auskünfte und trifft keine Entscheidungen über Buchungen, Preise oder Ansprüche. Führt eine Zahlungsart eine automatisierte Bonitätsprüfung durch, erfolgt diese in alleiniger Verantwortung des jeweiligen Zahlungsdienstleisters; die entsprechenden Informationen erhalten Sie im Zahlungsvorgang.

12. Besondere Hinweise zu Minderjährigen

Unsere Angebote richten sich grundsätzlich an Erwachsene. Bei Teilnehmerinnen und Teilnehmern unter 16 Jahren ist die Einwilligung der Erziehungsberechtigten erforderlich; dies gilt auch für Einwilligungen zur Datenverarbeitung nach § 4 Abs. 4 DSG. Wir verarbeiten Daten von Minderjährigen nur im für die Vertragsdurchführung notwendigen Umfang. Sollten wir Kenntnis davon erlangen, dass uns Daten Minderjähriger ohne die erforderliche Zustimmung übermittelt wurden, löschen wir diese unverzüglich.

13. Videoüberwachung in Locations

Wir betreiben keine eigene Videoüberwachung.

Soweit in von uns genutzten Locations eine Videoüberwachung aus Sicherheitsgründen eingesetzt wird, wird diese vom jeweiligen Location-Betreiber betrieben. Dieser ist dafür allein verantwortlich; die Anlagen sind nach Maßgabe der gesetzlichen Vorgaben (§§ 12 f. DSG) vor Ort gekennzeichnet, und die zugehörigen Datenschutzinformationen erhalten Sie ebenfalls dort. Auf Art, Umfang und Speicherdauer dieser Aufzeichnungen haben wir keinen Einfluss und keinen Zugriff.

Von der Videoüberwachung zu unterscheiden sind die Foto- und Videoaufnahmen, die wir während unserer Erlebnisse selbst anfertigen. Dazu informieren wir Sie in Abschnitt 8.12.

14. Bleibt unsere Datenschutzerklärung immer gleich?

Wir können diese Datenschutzerklärung jederzeit ändern, etwa wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare Fassung. Die jeweils aktuelle Version wird unter secretmission.at/datenschutz veröffentlicht. Eine gesonderte Benachrichtigung erfolgt nicht; bei wesentlichen Änderungen, die eine Einwilligung berühren, holen wir diese neu ein.

Secret Mission Eventline DKS OG · Sapphogasse 20/3, 1100 Wien, Österreich · FN 67176 3m (Handelsgericht Wien) · UID ATU83282127
Fragen zum Datenschutz: datenschutz@secretmission.at · Fassung vom 7. Oktober 2026