Datenschutzerklärung

Stand: 2026-08-26

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Website besuchen oder unsere browserbasierte Quest-App "Urban Quest Adventures" nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung bei Urban Quest Adventures

Verantwortlicher für die Datenverarbeitung:
Urban Quest Adventures
Max Köhler
Pöllatstr. 10
81539 München
E-Mail: dsgvo@urban-quest-adventures.eu

Welche Daten erfassen wir?

• Kontaktdaten (E-Mail-Adresse für Kauf und Zugang)
• Zahlungsinformationen (über Stripe verarbeitet)
• Quest-Fortschritt und Quest-Daten
• Standortdaten (nur zur Orientierung auf der Karte während des Spiels — nie gespeichert)
• Fotos, die Sie freiwillig teilen (Gruppen-Selfies, mit Ihrer Einwilligung)
• Geräteinformationen und Nutzungsdaten
• Cookie-Daten auf der Website

Wofür nutzen wir Ihre Daten?

• Bereitstellung unserer Quest-Dienste
• Synchronisation des Quest-Fortschritts zwischen Teilnehmern
• Zahlungsabwicklung
• Verbesserung unserer Quests basierend auf pseudonymisierten Nutzungsdaten
• Öffentliches Zeigen geteilter Fotos als Referenz und in der Abschluss-E-Mail (nur mit Ihrer Einwilligung)
• Kundensupport
• Marketing (nur mit Ihrer Einwilligung)

2. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung ist:
Urban Quest Adventures
Max Köhler
Pöllatstr. 10
81539 München
E-Mail: dsgvo@urban-quest-adventures.eu

Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur solange, wie dies für die Erfüllung der Zwecke erforderlich ist, für die sie erhoben wurden, oder wie dies gesetzlich vorgeschrieben ist. Steuerrelevante Daten werden gemäß den gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre) gespeichert.

Ihre Rechte

Sie haben folgende Rechte:

• Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten ("Recht auf Vergessenwerden") (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

3. Datenerfassung bei Urban Quest Adventures

3.1 Kauf und Quest-Zugang

Beim Kauf einer Quest erfassen wir:

• E-Mail-Adresse (für Bestellbestätigung und Quest-Zugang)

Wir erstellen keine herkömmlichen Benutzerkonten. Der Quest-Zugang erfolgt über einen sicheren Link, der an Ihre E-Mail-Adresse gesendet wird. Es werden kein Passwort und kein Benutzername gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.2 Standortdaten

Während des Spiels kann die Quest-App Ihre Position auf der Karte anzeigen, damit Sie sich zwischen den Punkten der Geschichte orientieren können. Dies geschieht nur, wenn Sie den Standortzugriff in Ihrem Browser erlauben, dient ausschließlich der Orientierung auf der Karte und wird live auf Ihrem Gerät verarbeitet — wir speichern, protokollieren oder übertragen Ihren Standort nicht an unsere Server. Ihre Position wird niemals verwendet, um Teile des Abenteuers zu sperren oder freizuschalten; die Geschichte und ihre Herausforderungen sind digitale Inhalte, die Sie unabhängig von Ihrem Aufenthaltsort erreichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

3.3 Quest-Fortschritt und Analyse

Wir erfassen folgende Informationen:

• Quest-Fortschritt zur Synchronisation zwischen Teilnehmern
• Pseudonymisierte Ereignisdaten (z.B. "Challenge XYZ, 2 Hinweise genutzt")
• Diese Daten enthalten keine personenbezogenen Informationen
• Dienen ausschließlich der Verbesserung unserer Quests

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

3.4 Zahlungsdaten

Die Zahlungsabwicklung erfolgt ausschließlich über Stripe. Wir speichern keine Kreditkartendaten. Wir erhalten von Stripe:

• Transaktions-ID
• Kaufdatum und -betrag
• Die letzten 4 Ziffern der Kreditkarte (zu Identifikationszwecken)

Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: https://stripe.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.5 Mehrspieler-Expeditionen

Buchen Sie eine Quest als Gruppe, kann der Käufer weitere Abenteurer einladen, die Quest gemeinsam zu erleben. Der Raum, in dem sich diese Gruppe koordiniert — wir nennen ihn Expedition — erfasst dafür einige zusätzliche Daten, damit alle beitreten, einander sehen und gemeinsam spielen können.

Beim Versenden einer Einladung gibt der Käufer die E-Mail-Adresse jedes Abenteurers ein, den er einladen möchte. Wenn Sie einen Einladungslink öffnen, geben Sie Ihren eigenen Namen ein. Möchten Sie über einen geteilten Link einer Gruppe beitreten, geben Sie Ihren Namen und Ihre E-Mail-Adresse selbst ein.

Während der Expedition zeichnen wir Anwesenheits­ereignisse (Beitritte, Verlassen, versendete Einladungen, abgelaufene Einladungen) sowie Quest-Interaktionsereignisse (genutzte Hinweise, gelöste Herausforderungen, erreichte Kapitel) zusammen mit Ihrer Abenteurer-Kennung und einem Zeitstempel auf. Diese Ereignisse versorgen die anderen Abenteurer derselben Gruppe in Echtzeit mit den nötigen Aktualisierungen. Der Inhalt Ihrer Antworten und Ihre privaten Notizen werden nie gespeichert. Standortdaten erheben wir auf dieser Oberfläche nicht — Standortdaten kommen ausschließlich während des aktiven Quest-Spiels zum Einsatz, wie in Abschnitt 3.2 beschrieben.

Den Datensatz der Expedition behalten wir auch nach Abschluss der Quest, damit der Käufer das Ergebnis später noch einmal mit Freunden ansehen kann. Sie können die Löschung Ihrer Daten aus einer Expedition jederzeit per E-Mail an dsgvo@urban-quest-adventures.eu anfordern; wir entfernen dann Ihren Namen, Ihre E-Mail-Adresse und Ihren Ereignisverlauf aus der Expedition.

Auf der Willkommens­seite einer Expedition finden Sie ein eigenes, optionales Häkchen für gelegentliche Briefe vom Chronisten. Dies ist eine gesonderte, ausdrückliche Einwilligung, unabhängig von einer beim Kauf erteilten Einwilligung; das allgemeine Einwilligungs- und Widerrufsmodell für Marketing-Nachrichten ist in Abschnitt 6 beschrieben. Sie können es jederzeit über den Abmeldelink in jedem Brief widerrufen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Koordination der Gruppe, für die Sie die Quest gebucht haben); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Anwesenheits­ereignisse, die das Mehrspieler-Erlebnis in Echtzeit erst möglich machen); Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — das optionale Häkchen für Briefe vom Chronisten).

3.6 Fotos und Gruppen-Selfies

Am Ende einer Quest kann Ihre Gruppe freiwillig ein Gruppenfoto aufnehmen oder hochladen, um den Moment festzuhalten. Das Teilen eines Fotos ist vollständig freiwillig und niemals Voraussetzung dafür, zu spielen oder eine Quest abzuschließen.

Was wir speichern. Wenn Sie ein Foto teilen, speichern wir es bei Google Cloud (siehe Abschnitt 5.3). Zusammen mit dem Foto legen wir einen Datensatz an, der Folgendes enthält: eine interne Foto-Kennung; die Expedition und Quest, zu der das Foto gehört; die Stadt und die Sprache; die Kennung des Abenteurers, der es hochgeladen hat; den Speicherort der Foto-Datei; den Zeitpunkt des Hochladens; sowie die Angaben zu Ihrer Einwilligung (dass eine Einwilligung erteilt wurde, wann und auf welcher Seite sie erteilt wurde, und welche Version des Einwilligungstextes Sie akzeptiert haben). Ihre E-Mail-Adresse verknüpfen wir nicht mit dem Foto-Datensatz.

Wer das Foto erreichen kann. Zu jeder Foto-Datei gehört eine eigene Internetadresse mit einer zufällig erzeugten Kennung. Diese Adresse veröffentlichen wir nicht, und wir bieten keine Möglichkeit an, die gespeicherten Fotos zu durchsuchen oder aufzulisten. Durch eine Anmeldung ist die Adresse jedoch nicht geschützt: Wer die Adresse kennt, kann das Foto öffnen, und die Adresse läuft nicht ab.

Wofür wir es verwenden. Mit Ihrer Einwilligung können wir Ihr Foto öffentlich zeigen: in einer Foto-Galerie auf unserer Website und in unserem Newsletter. An anderer Stelle zeigen wir es nicht. Wir holen die Einwilligung von Anfang an für diesen gesamten Zweck ein; später fragen wir Sie deshalb nicht erneut. Wir verkaufen Ihr Foto nicht und setzen es nicht für Werbung Dritter ein.

Das Foto in Ihrer Abschluss-E-Mail. Nach dem Abschluss Ihrer Expedition senden wir jedem Abenteurer, der dieser Expedition beigetreten ist, eine E-Mail mit einer Zusammenfassung des Abenteuers. Hat Ihre Gruppe ein Foto geteilt, zeigen wir es auch in dieser E-Mail und damit in unserem Newsletter, den die Einwilligung bereits umfasst. Diese E-Mail gehört zu dem Abenteuer, an dem Sie teilgenommen haben, und ist nicht der Newsletter, den Abschnitt 6 beschreibt. Diesen Newsletter erhalten Sie nur, wenn Sie ihn abonniert haben. Für das Foto in dieser E-Mail holen wir keine gesonderte Einwilligung ein. Mit einem Widerruf endet auch diese Verwendung.

Gruppenfotos. Auf einem geteilten Foto sind meist mehrere Personen zu erkennen. Wenn Sie es teilen, bestätigen Sie zweierlei: dass Sie jeder abgebildeten Person gesagt haben, wozu das Foto dient und wo es erscheinen wird, und dass alle zugestimmt haben. Eine einzige Einwilligung deckt das gesamte Foto und alle darauf abgebildeten Personen ab. Liegt Ihnen nicht von jeder abgebildeten Person die Zustimmung vor, teilen Sie es nicht.

Wie Sie einwilligen. Den vollständigen Einwilligungstext zeigen wir Ihnen vorab. Die Einwilligung erfolgt dann durch eine unmissverständliche, bewusste Handlung: Sie setzen ein Häkchen in ein nie vorausgewähltes Kontrollkästchen, und Sie tippen anschließend auf die Schaltfläche, mit der Sie das Foto hochladen. Damit willigen Sie in die Veröffentlichung ein, die im Absatz „Wofür wir es verwenden“ beschrieben ist. Solange dieses Häkchen fehlt, wird das Foto nicht hochgeladen. Zu jedem Foto-Datensatz speichern wir die Version des Einwilligungstextes, den Sie akzeptiert haben; diese Version wechselt, sobald sich der Wortlaut ändert.

Fotos von Kindern. Kinder nehmen gemeinsam mit Erwachsenen an Quests teil; ein Gruppenfoto kann daher auch Kinder zeigen. Ist ein Kind darauf zu sehen, bestätigen Sie beim Teilen entweder, dass Sie selbst zu den Eltern oder gesetzlichen Vertretern dieses Kindes gehören, oder dass Ihnen deren Einwilligung vorliegt (Art. 8 DSGVO). Können Sie das nicht für jedes abgebildete Kind bestätigen, teilen Sie das Foto nicht.

Widerruf. Jede abgebildete Person kann jederzeit widerrufen, unabhängig davon, ob sie das Foto hochgeladen hat und ob sie selbst jemals bei uns gekauft hat. Ein Widerruf erreicht uns per E-Mail an dsgvo@urban-quest-adventures.eu; darin nennen Sie uns Stadt und Quest, damit wir das Foto finden können. Nach dem Widerruf löschen wir das Foto und entfernen es von unserer Website und aus unserem Newsletter. Kopien, die bereits versendet wurden oder die andere weitergegeben haben, können wir nicht zurückholen; ist das geschehen, wirken wir mit angemessenen Maßnahmen auf ihre Entfernung hin (Art. 17 Abs. 2 DSGVO).

Speicherdauer. Wir bewahren geteilte Fotos nicht für einen festen Zeitraum auf. Ein Foto bleibt nur so lange gespeichert, wie die Einwilligung besteht: Wir behalten es, bis die Einwilligung widerrufen wird oder bis eine abgebildete Person uns per E-Mail an dsgvo@urban-quest-adventures.eu um Löschung bittet. Sobald das geschieht, löschen wir es. Ein Foto wird nie länger gespeichert, als die Einwilligung reicht, die die Speicherung rechtfertigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für Fotos, die Kinder zeigen, zusätzlich Art. 8 DSGVO (Einwilligung des Trägers der elterlichen Verantwortung). Veröffentlichen wir ein Foto, tritt das Recht am eigenen Bild hinzu (§ 22 KUG): Alle Abgebildeten müssen der Veröffentlichung zugestimmt haben. Dass diese Zustimmung vorliegt, entnehmen wir der Bestätigung, die im Absatz „Gruppenfotos“ beschrieben ist.

4. Cookies und Tracking

4.1 Cookies und lokaler Speicher

Auf unserer Website und in unserer Quest-App verwenden wir Cookies und vergleichbare Speichertechnologien Ihres Browsers (lokaler Speicher und Sitzungsspeicher). Das Speichern von Informationen auf Ihrem Endgerät sowie der Zugriff darauf richten sich nach § 25 TDDDG. Die folgenden, unbedingt erforderlichen Einträge halten unsere Oberflächen funktionsfähig und bedürfen keiner Einwilligung:

• Website: cookie-consent (lokaler Speicher) merkt sich Ihre Einwilligungsauswahl, und NEXT_LOCALE (Cookie) merkt sich Ihre gewählte Sprache.
• Quest-App: adv_token (Cookie) hält Sie in Ihrer Expedition angemeldet; urban-quest-adventurer-id / urban-quest-expedition-id, compass-tutorial-seen, urban-quest-statistics sowie Kapitel- und Wiedereinstiegsmarker (z. B. chapter-intro-seen, mp_initial_caught_up) ermöglichen es Ihnen, dort fortzufahren, wo Sie aufgehört haben.

Für die Analyse der Website nutzen wir zusätzlich Google Analytics (_ga, _gid), das nur gesetzt wird, nachdem Sie im Cookie-Banner zugestimmt haben (siehe Abschnitt 4.2). Eine vollständige Liste aller Einträge mit Zweck und Speicherdauer finden Sie in unserer separaten Cookie- und Speicher-Richtlinie. Sie können Ihren Browser zudem so einstellen, dass Sie über Cookies informiert werden oder diese blockieren und gespeicherte Daten löschen.

4.2 Google Analytics

Wir nutzen Google Analytics zur Analyse der Websitenutzung. Die erfassten Daten umfassen:

• Anonymisierte IP-Adressen
• Besuchte Seiten und Verweildauer
• Geräte- und Browserinformationen
• Herkunft der Besucher

Sie können die Erfassung durch Google Analytics verhindern, indem Sie ein Opt-Out-Cookie setzen oder das Browser-Add-on zur Deaktivierung von Google Analytics installieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 TDDDG

4.3 Attribution und Reichweitenmessung

Um zu verstehen, über welche Kanäle Besucher zu uns finden, halten wir die Marketing-Parameter und die Einstiegsseite Ihres Besuchs fest. Diese Angaben bleiben im Arbeitsspeicher Ihres Browsers, solange Sie surfen, und werden erst dann im Speicher abgelegt, wenn Sie der Analyse über das Cookie-Banner zugestimmt haben; lehnen Sie ab, wird nichts gespeichert. Nach Ihrer Zustimmung behalten wir zwei Erstanbieter-Einträge:

• uqa_attribution_session (Session-Speicher) — enthält die Marketing-Parameter und die Einstiegsseite Ihres aktuellen Besuchs; er wird gelöscht, sobald Sie den Browser-Tab schließen.
• uqa_attribution_first_touch (lokaler Speicher) — hält dieselben Angaben Ihres ersten Besuchs fest, damit eine spätere Anmeldung dem Kanal zugeordnet werden kann, der Sie zuerst zu uns gebracht hat.

Diese Einträge sind reine Erstanbieter-Einträge, werden niemals an Dritte weitergegeben und enthalten keine direkt identifizierenden Angaben wie Ihren Namen oder Ihre E-Mail-Adresse. Sie werden erst gesetzt, nachdem Sie der Analyse über das Cookie-Banner zugestimmt haben; bis dahin bleiben die Angaben im Arbeitsspeicher und werden verworfen, wenn Sie ablehnen. Gespeicherte Einträge können Sie jederzeit entfernen, indem Sie die Website-Daten in Ihrem Browser löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 TDDDG

5. Drittanbieter-Dienste

5.1 Vercel (Hosting)

Unsere Website wird bei Vercel gehostet. Dabei können folgende Daten verarbeitet werden:

• IP-Adresse
• Zugriffsdaten (Datum, Uhrzeit, aufgerufene Seite)

Datenschutzerklärung: https://vercel.com/legal/privacy-policy

5.2 Resend (E-Mail-Dienst)

Für den E-Mail-Versand nutzen wir Resend. Verarbeitet werden:

• E-Mail-Adressen
• Namen (falls angegeben)
• E-Mail-Interaktionen (Öffnungen, Klicks bei Marketing-E-Mails)
• Die Internetadresse eines geteilten Fotos, sofern wir es in eine E-Mail an Ihre Gruppe einbinden

Datenschutzerklärung: https://resend.com/legal/privacy-policy

5.3 Google Cloud (Datenbank)

Wir nutzen Google Cloud zur Speicherung von Quest-Daten, -Fortschritt und geteilten Fotos. Verarbeitet werden können:

• E-Mail-Adresse (als Kaufidentifikator)
• Quest-Fortschritt und Abschlussstatus
• Pseudonymisierte Nutzungsdaten
• Geteilte Fotos und deren Metadaten (mit Einwilligung)

Datenschutzerklärung: https://cloud.google.com/terms/cloud-privacy-notice

5.4 Stripe (Zahlungsabwicklung)

Die Zahlungsabwicklung erfolgt über Stripe. Stripe kann folgende Daten verarbeiten:

• Zahlungsdaten (werden direkt von Stripe verarbeitet; wir speichern keine Kartennummern)
• Transaktionsbetrag und -datum
• Rechnungsdaten wie beim Kauf angegeben

Datenschutzerklärung: https://stripe.com/privacy

6. Marketing und Newsletter

Marketing-E-Mails, unseren Newsletter und gelegentliche Updates versenden wir nur mit Ihrer ausdrücklichen, aktiven Einwilligung. Überall dort, wo wir eine Anmeldung anbieten, wird die Einwilligung über ein deutlich beschriftetes, nie vorausgewähltes Kontrollkästchen eingeholt — Schweigen oder Untätigkeit werten wir niemals als Zustimmung. Für unseren Newsletter gilt zusätzlich ein Double-Opt-In: Sie bestätigen Ihre E-Mail-Adresse, bevor wir etwas versenden. Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an dsgvo@urban-quest-adventures.eu widerrufen.

Darüber hinaus nutzen wir Retargeting über das Meta-Pixel (Facebook / Instagram), mit dem wir Besuchern unserer Website passende Erinnerungen an unsere Abenteuer zeigen. Es wird ausschließlich nach Ihrer Zustimmung über das Cookie-Banner aktiv und bleibt bei Ablehnung deaktiviert. Einzelheiten finden Sie in unserer separaten Cookie- und Speicher-Richtlinie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

7. Minderjährigenschutz

Für den Kauf einer Quest und den Abschluss des Vertrags muss der Käufer mindestens 18 Jahre alt sein oder, falls jünger, mit Zustimmung seiner gesetzlichen Vertreter handeln. Für die Teilnahme an einer gekauften Quest gibt es kein Mindestalter: Kinder nehmen gemeinsam mit einer begleitenden erwachsenen Person und unter deren Aufsicht teil.

Wenn Kinder teilnehmen, verarbeiten wir personenbezogene Daten eines Kindes — insbesondere ein geteiltes Foto (siehe Abschnitt 3.6) — nur mit Einwilligung der Eltern oder gesetzlichen Vertreter des Kindes (Art. 8 DSGVO). Teilt jemand ein Foto, auf dem ein Kind zu sehen ist, so bestätigt uns diese Person entweder, dass sie selbst zu den Eltern oder gesetzlichen Vertretern des Kindes gehört, oder dass ihr deren Einwilligung vorliegt. Dieser Bestätigung entnehmen wir, dass die Einwilligung besteht.

8. Datenübertragung in Drittländer

Einige unserer Dienstleister (Google, Stripe, Vercel, Resend) haben ihren Sitz in den USA. Die Datenübertragung erfolgt auf Grundlage von Standardvertragsklauseln oder anderen geeigneten Garantien gemäß Art. 46 DSGVO.

9. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die neue Datenschutzerklärung gilt dann für alle ab dem Zeitpunkt der Veröffentlichung erhobenen Daten.

10. Kontakt für Datenschutzfragen

Bei Fragen zum Datenschutz kontaktieren Sie uns bitte unter:

E-Mail: dsgvo@urban-quest-adventures.eu