Datenschutzerklärung
Kissinger Cold Cases

Gültig für spiel.escapetourbadkissingen.de · Stand: 1. Oktober 2026

1. Verantwortlicher

Escape Tour Bad Kissingen GbR
Jonathan Maier und Markus Renninger
Ottostr. 3
97688 Bad Kissingen
E-Mail: info@escapetourbadkissingen.de
Telefon: 0157 81777908

Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz erreichen Sie uns unter den genannten Kontaktdaten.

2. Das Wichtigste in Kürze

• Wir setzen keine Cookies. Ein einziges Werbe-Messwerkzeug (Meta-Pixel) laden wir nur, wenn Sie es im Hinweisfeld ausdrücklich erlauben – ohne Ihre Zustimmung wird nichts an Meta übermittelt (siehe Abschnitt 9).
• Schriften und Skripte liefern wir von unserem eigenen Server aus; beim Seitenaufruf werden ohne Ihre Einwilligung keine Inhalte von Drittservern geladen.
• Nach dem Kauf können Sie sich freiwillig für unseren Newsletter eintragen – das Häkchen ist nie vorausgewählt (siehe Abschnitt 5).
• Nach dem Spiel können Sie freiwillig und ohne Namensangabe einen Feedback-Fragebogen ausfüllen (siehe Abschnitt 10).
• Der Dialog mit Varnhagen läuft über ein KI-Sprachmodell des Anbieters Anthropic. Ihre Eingaben werden dorthin übermittelt, um Varnhagens Antworten zu erzeugen (siehe Abschnitt 6).
• Der Spielverlauf wird nur für die Dauer der Spielsitzung im Arbeitsspeicher unseres Servers gehalten und nicht dauerhaft gespeichert.
• Beim Kauf speichern wir Ihre E-Mail-Adresse und Ihren Zugangscode; die Zahlung wickelt Stripe ab.
• Sie müssen im Spiel keine echten Namen verwenden – ein „Inkognito" genügt.

3. Hosting und Server-Protokolle

Der Spielserver und unsere Datenbank werden bei Railway Corp., San Francisco, USA, betrieben; die Server selbst stehen in Amsterdam (Niederlande). Bei jedem Aufruf der Seite verarbeitet der Server technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Typ und -Version, Betriebssystem sowie den Status der Anfrage.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Protokolldaten werden nach 7 Tagen automatisch gelöscht. Mit Railway besteht ein Auftragsverarbeitungsvertrag; soweit Railway als US-Unternehmen Zugriff auf Daten hat, geschieht dies auf Grundlage der EU-Standardvertragsklauseln (Beschluss 2021/914 der EU-Kommission).

4. Kauf eines Zugangscodes (Stripe)

Zugangscodes werden über den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, verkauft. Ihre Zahlungsdaten (Kartennummer, Bankverbindung) geben Sie direkt bei Stripe ein; sie erreichen unseren Server nicht. Stripe übermittelt uns nach erfolgreicher Zahlung Ihre E-Mail-Adresse, das gekaufte Produkt und eine Transaktionskennung.

Wir speichern dazu in unserer Datenbank: den erzeugten Zugangscode, die zugehörige Akte, Ihre E-Mail-Adresse, die Stripe-Transaktionskennung, den Zeitpunkt des Kaufs sowie den Zeitpunkt der ersten Code-Eingabe (ab dann läuft die 24-stündige Gültigkeit).

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Kaufbelege bewahren wir nach den handels- und steuerrechtlichen Fristen von bis zu zehn Jahren auf (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO). Stripe kann Daten auch in die USA übermitteln; Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Näheres in der Datenschutzerklärung von Stripe.

5. Versand des Zugangscodes (Brevo)

Ihren Zugangscode erhalten Sie per E-Mail. Den Versand übernimmt Brevo (Sendinblue GmbH, Köhlstraße 27, 50827 Köln). Dabei werden Ihre E-Mail-Adresse und der Inhalt der Bestätigungsmail an Brevo übermittelt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); mit Brevo besteht ein Auftragsverarbeitungsvertrag. Brevo verarbeitet Daten in Rechenzentren innerhalb der EU. Für den Codeversand nutzen wir Brevo ausschließlich als Transaktionsdienst.

Newsletter (freiwillig)

Auf der Seite nach dem Kauf können Sie ein Häkchen setzen, wenn Sie per E-Mail über neue Akten der Kissinger Cold Cases und Neuigkeiten von Escape Tour Bad Kissingen informiert werden möchten. Das Häkchen ist nie vorausgewählt. Erst wenn Sie es setzen und auf „Eintragen" klicken, übermitteln wir Ihre E-Mail-Adresse (und, sofern bei der Zahlung angegeben, Ihren Vornamen) an Brevo und tragen Sie in unsere Empfängerliste ein. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); den Zeitpunkt der Einwilligung speichern wir zu Ihrer Buchung als Nachweis. Sie können die Einwilligung jederzeit widerrufen – am einfachsten über den Abmeldelink in jeder Newsletter-Mail oder per Nachricht an uns. Ohne Häkchen erhalten Sie ausschließlich die Codemail.

Für den Newsletter können Sie sich außerdem im Feedback-Fragebogen (Abschnitt 10) und über das Anmeldeformular auf unserer Hauptseite escapetourbadkissingen.de eintragen. In allen Fällen erhalten Sie zunächst eine E-Mail mit einem Bestätigungslink (Double-Opt-in); erst mit dem Klick darauf ist die Anmeldung wirksam und Ihre Adresse wird in die Empfängerliste aufgenommen. Die Anmeldung nimmt technisch unser Spielserver entgegen; dabei verarbeiten wir Ihre IP-Adresse kurzzeitig zur Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

6. Das Spiel und der KI-Erzähler Varnhagen

Was Sie wissen sollten

Die Figur Karl August Varnhagen von Ense wird in diesem Spiel von einer künstlichen Intelligenz gesprochen. Alle Antworten Varnhagens entstehen live durch ein KI-Sprachmodell („Claude") des Anbieters Anthropic auf Grundlage eines von uns geschriebenen Drehbuchs. Das Modell ist klug, aber nicht unfehlbar; seine Antworten sind Teil eines Spiels und keine historischen oder sonstigen Tatsachenauskünfte. Eine automatisierte Entscheidung mit rechtlicher Wirkung für Sie (Art. 22 DSGVO) findet nicht statt.

Welche Daten dabei verarbeitet werden

• eine zufällig erzeugte Sitzungskennung, die Ihr Browser nach der Code-Eingabe erhält,
• die Namen oder Inkognitos, die Sie in Varnhagens Kurliste bzw. Notizbuch eintragen,
• alle Texte, die Sie im Spiel an Varnhagen schreiben, und seine Antworten.

Um eine Antwort zu erzeugen, übermittelt unser Server den bisherigen Spielverlauf (Ihre Eingaben, die eingetragenen Namen und Varnhagens frühere Antworten) an die Schnittstelle von Anthropic. Sitzungskennung, Zugangscode oder E-Mail-Adresse werden dabei nicht mitgesendet.

Anbieter, Rechtsgrundlage, Speicherdauer

Vertragspartner ist Anthropic Ireland, Limited, Dublin, Irland. Die Verarbeitung ist für die Erbringung des Spiels erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Mit Anthropic besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). Nach den für unsere Nutzung geltenden Vertragsbedingungen verwendet Anthropic die über die Schnittstelle übermittelten Inhalte nicht zum Training seiner Modelle. Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework. Anthropic bewahrt übermittelte Eingaben und Ausgaben für 30 Tage auf und kann sie in diesem Zeitraum zur Missbrauchsprüfung einsehen; danach werden sie gelöscht. Näheres in der Datenschutzerklärung von Anthropic.

Auf unserem Server wird der Spielverlauf ausschließlich im Arbeitsspeicher gehalten, solange die Spielsitzung läuft. Er wird nicht in unsere Datenbank geschrieben und spätestens 24 Stunden nach Spielbeginn gelöscht. Wir lesen Spielverläufe nicht mit und werten sie nicht aus.

7. Beweisstücke, Urkunde und PDF

Die Beweisbilder werden nur mit gültiger Sitzungskennung ausgeliefert; dabei werden keine weiteren personenbezogenen Daten verarbeitet. Die Abschluss-Urkunde mit den eingetragenen Namen und der Spieldauer entsteht vollständig in Ihrem Browser. Wenn Sie sie als PDF erzeugen, geschieht auch das lokal auf Ihrem Gerät – die Urkunde wird weder an unseren Server noch an Dritte übertragen.

8. Cookies und lokale Speicherung

Diese Seite setzt keine Cookies. Die Sitzungskennung des Spiels wird nur im Arbeitsspeicher der geöffneten Seite gehalten; beim Schließen des Tabs ist sie weg. Dauerhaft im Browser (localStorage) speichern wir nur Ihre Entscheidung zum Meta-Pixel („erlaubt" oder „abgelehnt"), damit wir Sie nicht bei jedem Aufruf erneut fragen müssen. Diese Speicherung ist für den Betrieb der Abfrage erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und enthält keine personenbezogenen Daten.

9. Meta-Pixel (nur mit Ihrer Einwilligung)

Wir bewerben die Kissinger Cold Cases auf Facebook und Instagram. Um zu erkennen, ob diese Anzeigen zu Käufen führen, nutzen wir den Meta-Pixel der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland). Der Pixel wird ausschließlich geladen, wenn Sie im Hinweisfeld auf „Erlauben" klicken (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Lehnen Sie ab oder treffen keine Entscheidung, wird keine Verbindung zu Meta hergestellt und das Spiel funktioniert uneingeschränkt.

Nach Ihrer Einwilligung übermittelt der Pixel an Meta: den Seitenaufruf, technische Daten Ihres Browsers und Geräts (u. a. IP-Adresse, User-Agent), Meta-eigene Kennungen aus Ihrem Browser sowie nach einem Kauf das Ereignis „Kauf" mit Betrag und gekaufter Akte – nicht jedoch Ihre E-Mail-Adresse, Ihren Zugangscode oder Inhalte des Spiels. Meta verwendet diese Daten auch für eigene Zwecke, unter anderem zur Anzeigenausspielung; dabei kann eine Übermittlung in die USA stattfinden. Meta Platforms, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln. Für die Erhebung über den Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu finden Sie unter facebook.com/legal/controller_addendum, Metas Datenschutzhinweise unter facebook.com/privacy/policy.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft zurücknehmen – hier klicken, dann erscheint die Abfrage beim nächsten Seitenaufruf erneut und Sie können „Ablehnen" wählen.

10. Feedback-Fragebogen („Protokoll der Mitwisser")

Unter /feedback können Sie nach dem Spiel freiwillig einen Fragebogen zu der gespielten Akte ausfüllen. Ihre Antworten speichern wir zusammen mit dem Eingangszeitpunkt in unserer Datenbank bei Railway (Rechenzentrum Amsterdam, siehe Abschnitt 3), um das Spiel zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Name, E-Mail-Adresse oder Zugangscode werden dabei nicht abgefragt und nicht mit den Antworten gespeichert; die Antworten sind Ihrer Person nur zuordenbar, wenn Sie freiwillig einen Namen oder persönliche Angaben in die Freitextfelder eintragen.

Geben Sie am Ende des Fragebogens einen Vor- oder Gruppennamen an und erlauben ausdrücklich die Verwendung als Zitat, nutzen wir Ihre Antworten mit diesem Namen auf unserer Website und in sozialen Medien (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung können Sie jederzeit per E-Mail an info@escapetourbadkissingen.de widerrufen; bereits veröffentlichte Beiträge entfernen wir dann, soweit uns das möglich ist.

Der Fragebogen enthält außerdem eine vom Feedback unabhängige Möglichkeit, sich für unseren Newsletter anzumelden. Die Anmeldung ist keine Voraussetzung für das Absenden des Fragebogens; Ihre E-Mail-Adresse wird nicht zusammen mit Ihren Antworten gespeichert, sondern ausschließlich an Brevo übermittelt – es gilt das in Abschnitt 5 beschriebene Verfahren mit Bestätigungslink.

Die Antworten löschen wir spätestens zwölf Monate nach Eingang, Zitate mit Einwilligung bis zu deren Widerruf.

11. Kontaktaufnahme

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO) und löschen sie, sobald die Anfrage abschließend erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

13. Änderungen

Wir passen diese Erklärung an, wenn sich das Spiel, unsere Dienstleister oder die Rechtslage ändern. Es gilt jeweils die hier veröffentlichte Fassung.