Datenschutzerklärung

Stand: 17. Oktober 2026

Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir beim Besuch unserer Website, bei der Buchung und beim Besuch unserer Escape Rooms verarbeiten, auf welcher Rechtsgrundlage dies geschieht, wie lange wir die Daten speichern und welche Rechte Sie haben.

1. Verantwortlicher

Flying Cat GmbH
Sudetenstraße 15
85456 Wartenberg
vertreten durch den Geschäftsführer Christian Korn
Telefon: 01579 2309240
E-Mail: info@escape-room-dorfen.de

Ansprechpartner für den Datenschutz ist der Geschäftsführer unter den genannten Kontaktdaten. Ein Datenschutzbeauftragter ist für unser Unternehmen gesetzlich nicht erforderlich.

2. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über Ihre bei uns gespeicherten Daten und deren Verarbeitung (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung Ihrer Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO, siehe Abschnitt 14).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzes wenden.

3. Hosting und Server-Protokolle

Unsere Website und unsere Buchungs- und Rechnungssysteme laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, mit der wir einen Vertrag zur Auftragsverarbeitung geschlossen haben. Bei jedem Aufruf speichert der Webserver in Protokolldateien die IP-Adresse des aufrufenden Geräts, Datum und Uhrzeit, die aufgerufene Seite, die übertragene Datenmenge, den Browsertyp und die zuvor besuchte Seite (Referrer). Diese Daten dienen dem sicheren und störungsfreien Betrieb der Website und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 7 Tagen gelöscht.

Die Übertragung zwischen Ihrem Browser und unserer Website ist durchgehend TLS-verschlüsselt (HTTPS).

4. Cookies

Cookies sind kleine Textdateien, die Ihr Browser speichert. Wir setzen folgende technisch notwendige Cookies ein, für die nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich ist:

• ein Sitzungs-Cookie für Warenkorb und Buchungsablauf (gültig für die Dauer des Besuchs, längstens 30 Minuten nach der letzten Aktion),
• ein Cookie zum Schutz der Formulare vor missbräuchlichen Aufrufen (Dauer des Besuchs),
• ein Cookie, das Ihre Auswahl in den Cookie-Einstellungen speichert (365 Tage).

Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Durchführung Ihrer Buchung (Art. 6 Abs. 1 lit. b DSGVO). Nicht notwendige Cookies (Abschnitt 11) setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über den Link „Cookie-Einstellungen“ am Seitenende jederzeit erteilen oder widerrufen können. Ihre Auswahl protokollieren wir mit Zeitpunkt, IP-Adresse und Browsertyp, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO).

5. Buchung und Gutscheinkauf

Wenn Sie einen Spieltermin buchen oder einen Gutschein kaufen, verarbeiten wir die Angaben, die Sie im Bestellvorgang machen: Name, E-Mail-Adresse, Telefonnummer, optional Firma und Rechnungsanschrift, Ihre Mitteilung an uns (Kommentarfeld), die gewählten Spiele, Termine und Teilnehmerzahlen, bestellte und eingelöste Gutscheine, die gewählte Zahlungsart und den Zahlungsstatus. Wir benötigen diese Daten, um den Vertrag zu schließen und durchzuführen: für Bestellbestätigung, Tickets und Gutscheine per E-Mail, die Rechnung, die Vorbereitung des Spiels durch unsere Spielleiter (Tagesplan mit Name, Termin, Raum und Teilnehmerzahl) und die Erinnerung am Tag vor dem Spiel (Art. 6 Abs. 1 lit. b DSGVO).

Die Telefonnummer verwenden wir nur, um Sie bei kurzfristigen Problemen mit Ihrem Termin zu erreichen. Buchungs- und Rechnungsdaten bewahren wir nach den handels- und steuerrechtlichen Vorschriften (§ 147 AO, § 257 HGB) zehn Jahre auf; danach werden sie gelöscht.

Im Bestellvorgang können Sie freiwillig angeben, wie Sie auf uns aufmerksam geworden sind (Auswahlliste, z. B. „Empfehlung“ oder „Google-Suche“). Außerdem speichern wir zur Bestellung, über welchen Weg der Besuch begonnen hat, in dem gebucht wurde (z. B. die verweisende Website, Kampagnenparameter in der aufgerufenen Adresse oder „direkt“) und welche Seite zuerst aufgerufen wurde. Wir nutzen diese Angaben nur in zusammengefasster Form, um zu beurteilen, welche Werbung und welche Inhalte zu Buchungen führen. Rechtsgrundlage ist unser berechtigtes Interesse an der Steuerung unseres Marketings (Art. 6 Abs. 1 lit. f DSGVO); es werden dafür keine Cookies gesetzt und keine Daten an Dritte übermittelt.

Buchungen tragen wir mit Name, Buchungsnummer und Termin in unseren Buchungskalender bei Google Calendar ein (Abschnitt 8). Rechnungen erstellen wir mit der von uns auf unserem eigenen Server betriebenen Software Dolibarr; dort werden Name, Anschrift und Rechnungspositionen gespeichert.

6. Zahlungsdienstleister

Bei Zahlung mit PayPal (einschließlich der von PayPal angebotenen Zahlung als Gast mit Karte oder Bankkonto) werden Sie auf die Seiten von PayPal weitergeleitet. Wir übermitteln an PayPal den Zahlbetrag und unsere Bestellnummer; Ihre Zahlungsdaten geben Sie direkt bei PayPal ein. Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Es gelten die Datenschutzhinweise von PayPal.

Bei Kreditkartenzahlung online geben Sie Ihre Kartendaten auf einer von SumUp bereitgestellten Zahlungsseite ein; wir selbst erhalten keine Kartendaten, sondern nur die Bestätigung der Zahlung. Anbieter ist die SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland. Es gelten die Datenschutzhinweise von SumUp.

Kartenzahlungen vor Ort wickeln wir über Kartenterminals von SumUp (siehe oben) und myPOS (myPOS Payments Ltd., Sofia, Bulgarien; www.mypos.com) ab. Die Kartendaten werden ausschließlich vom Terminal an den jeweiligen Zahlungsdienstleister übertragen; wir erhalten nur die Zahlungsbestätigung.

Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlungsdienstleister sind eigenständig Verantwortliche für die Verarbeitung Ihrer Zahlungsdaten.

7. E-Mails zu Ihrer Bestellung

Zur Abwicklung Ihrer Bestellung senden wir Ihnen die Bestellbestätigung mit Tickets, Gutscheinen, Rechnung und Vertragsunterlagen sowie am Tag vor dem Spiel eine Erinnerung an Ihren Termin (Art. 6 Abs. 1 lit. b DSGVO). Diese E-Mails sind keine Werbung und können nicht abbestellt werden.

8. Google Workspace (E-Mail-Versand und Buchungskalender)

Unsere E-Mails versenden wir über Gmail, und unseren Buchungskalender führen wir in Google Calendar – beides Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, im Rahmen von Google Workspace. Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Google kann Daten auch auf Servern in den USA verarbeiten; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die EU-Standardvertragsklauseln. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer zuverlässigen Kommunikations- und Kalenderinfrastruktur (Art. 6 Abs. 1 lit. f DSGVO).

9. Bewertungsbitte und Informationen zu Neuigkeiten (mit Einwilligung)

Wenn Sie bei der Buchung eingewilligt haben, senden wir Ihnen am Tag nach Ihrem Spiel eine E-Mail mit der Bitte um eine Bewertung bei Google und gelegentlich Informationen zu Neuigkeiten und Aktionen des Escape Room Dorfen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Sie können die Einwilligung jederzeit widerrufen – über den Abmeldelink in jeder dieser E-Mails oder formlos per E-Mail an uns. Wir speichern zu Ihrer E-Mail-Adresse, ob eine Einwilligung vorliegt, bis Sie sie widerrufen.

10. Kontakt, Gruppen- und Firmenanfragen

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für Anschlussfragen (Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO). Anfragen, aus denen kein Vertrag entsteht, löschen wir spätestens sechs Monate nach Abschluss der Korrespondenz; kommt ein Vertrag zustande, gelten die Aufbewahrungsfristen aus Abschnitt 5.

11. Google Ads Conversion-Tracking (nur mit Einwilligung)

Nur wenn Sie in den Cookie-Einstellungen die Kategorie „Marketing“ aktiviert haben, laden wir das Conversion-Tracking von Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Ohne diese Einwilligung wird kein Code von Google geladen und es werden keine Daten an Google übermittelt (Google Consent Mode, Grundeinstellung „abgelehnt“). Mit Ihrer Einwilligung setzt und liest Google Cookies (Gültigkeit in der Regel 90 Tage), um zu erkennen, ob Sie zuvor auf eine unserer Anzeigen geklickt haben, und erhält beim Abschluss einer Bestellung die Bestellnummer, den Bestellwert sowie Ihre E-Mail-Adresse in einer im Browser mit SHA-256 verschlüsselten, für uns und Google nicht rücklesbaren Form („erweiterte Conversions“). Damit kann Google eine Buchung auch dann einem Anzeigenklick zuordnen, wenn Sie den Klick an einem anderen Gerät oder einige Tage zuvor ausgeführt haben. Wir erhalten von Google nur zusammengefasste Statistiken, keine Angaben, mit denen wir einzelne Personen identifizieren könnten.

Google verarbeitet die Daten auch in den USA; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über „Cookie-Einstellungen“ am Seitenende jederzeit mit Wirkung für die Zukunft widerrufen können. Weitere Informationen: Datenschutzerklärung von Google, Google-Anzeigeneinstellungen, Google Business Data Responsibility.

12. Reichweitenmessung ohne Cookies

Um zu erfahren, welche Seiten gelesen werden und an welcher Stelle des Buchungsablaufs Besucher abspringen, nutzen wir die Open-Source-Software Plausible Analytics, die wir selbst auf unserem Server betreiben. Plausible setzt keine Cookies und verfolgt Besucher nicht über mehrere Websites hinweg. Seitenaufrufe und Bestellabschlüsse (Art der Bestellung, Zahlungsart, Bestellwert – ohne Namen oder Bestellnummer) werden nur in zusammengefasster Form gespeichert; die IP-Adresse wird dazu lediglich kurzzeitig im Arbeitsspeicher zu einem täglich wechselnden, nicht rückrechenbaren Kennwert verarbeitet und nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO); es werden keine Daten an Dritte weitergegeben.

13. Vor Ort: Kamera- und Tonübertragung in den Spielräumen

Während des Spiels werden Bild und Ton aus den Spielräumen live an den Spielleiter übertragen. Nur so kann er den Spielfortschritt verfolgen, Hinweise geben und bei Problemen sofort eingreifen; die Übertragung dient damit der Durchführung des Spiels und der Sicherheit der Teilnehmer (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Es findet keine Aufzeichnung statt. Auf die Übertragung weisen wir am Eingang hin. Ein Teamfoto nach dem Spiel machen wir nur auf Ihren Wunsch; die Veröffentlichung eines Fotos erfolgt ausschließlich mit Einwilligung der abgebildeten Personen.

Unsere Spielleiter informieren wir über die Spiele des Tages per E-Mail und SMS; die SMS enthalten keine Kundendaten. Für den Versand nutzen wir die sipgate GmbH, Gladbacher Str. 74, 40219 Düsseldorf (Auftragsverarbeitung).

14. Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Richten Sie den Widerspruch formlos an die in Abschnitt 1 genannten Kontaktdaten.

15. Online-Widerruf von Verträgen

Über die Seite „Vertrag widerrufen“ können Sie einen online geschlossenen Vertrag widerrufen. Dabei verarbeiten wir Ihren Namen, Ihre Angaben zum widerrufenen Vertrag, die angegebene E-Mail-Adresse, eine optionale Mitteilung sowie Datum und Uhrzeit des Eingangs; zur Abwehr von Missbrauch zusätzlich IP-Adresse und Browsertyp. An die angegebene E-Mail-Adresse senden wir die gesetzlich vorgeschriebene Eingangsbestätigung. Rechtsgrundlagen sind § 356a BGB (Art. 6 Abs. 1 lit. c DSGVO), die Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Widerrufserklärungen gehören zu den Vertragsunterlagen und werden entsprechend aufbewahrt; IP-Adresse und Browsertyp löschen wir spätestens sechs Monate nach Bearbeitung.

16. Links zu sozialen Netzwerken

Unsere Seiten enthalten einfache Links zu unseren Profilen bei Facebook, Instagram und Tripadvisor. Es werden keine Plugins dieser Anbieter eingebunden; Daten fließen erst, wenn Sie einen Link anklicken, und dann allein an den jeweiligen Anbieter nach dessen Datenschutzbestimmungen.

17. Pflicht zur Bereitstellung

Für eine Buchung oder einen Gutscheinkauf benötigen wir Name, E-Mail-Adresse und Telefonnummer; ohne diese Angaben können wir die Bestellung nicht ausführen. Alle übrigen Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt jeweils die hier veröffentlichte Fassung.