Datenschutzerklärung

1. Was tun wir?

Die Secret Mission Eventline DKS OG (Sapphogasse 20/3, 1100 Wien, Österreich) produziert unter der Marke SECRET MISSION GLOBAL maßgeschneiderte, interaktive Erlebnisse in ganz Europa und auf Anfrage weltweit. Dafür betreibt sie die Website secretmission.global, über die Sie solche Erlebnisse anfragen und unseren Newsletter abonnieren können (nachfolgend „wir“).

Der Schutz Ihrer personenbezogenen Daten ist uns ein großes Anliegen. Wir informieren Sie in dieser Datenschutzerklärung transparent und verständlich darüber, welche Daten wir erheben und wie wir damit umgehen.

2. Worüber informieren wir?

• wer für die Datenverarbeitung verantwortlich ist;
• welche Daten erhoben werden;
• zu welchem Zweck diese Daten erhoben werden;
• auf welcher Rechtsgrundlage wir diese Daten erheben;
• an wen wir diese Daten weitergeben und ob sie in ein Drittland gelangen;
• wie lange wir die Daten aufbewahren;
• wie Sie einer Datenverarbeitung widersprechen können;
• welche Rechte Sie haben und wie Sie diese geltend machen können.

3. Begriffsdefinitionen

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören beispielsweise Name, Adresse, Geburtsdatum, E-Mail-Adresse oder Telefonnummer sowie die IP-Adresse. Auch Daten über persönliche Vorlieben wie Freizeitbeschäftigungen oder Mitgliedschaften zählen zu den personenbezogenen Daten.

Was sind besondere Kategorien personenbezogener Daten?

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind:

• Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen;
• genetische und biometrische Daten zur eindeutigen Identifizierung einer Person;
• Gesundheitsdaten sowie Daten zum Sexualleben und zur sexuellen Orientierung.

Soweit erforderlich und Sie uns diese Daten selbst preisgeben – etwa gesundheitliche Einschränkungen vor einem Event –, können wir solche Daten verarbeiten. In diesem Fall unterliegt deren Verarbeitung strengerer Vertraulichkeit und erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Was ist das Verarbeiten von personenbezogenen Daten?

Verarbeiten ist jeder Umgang mit personenbezogenen Daten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von personenbezogenen Daten.

Was ist das Bekanntgeben von personenbezogenen Daten?

Dies ist das Übermitteln oder Zugänglichmachen von personenbezogenen Daten, etwa die Veröffentlichung oder die Offenbarung an einen Dritten.

4. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Secret Mission Eventline DKS OG
Sapphogasse 20/3, 1100 Wien, Österreich
Firmenbuch: FN 67176 3m, Handelsgericht Wien · UID: ATU83282127
Vertretungsbefugt: Alexander Datzer, Clemens Kaufmann, Michael Schabereiter
Telefon: +43 670 1984 234
E-Mail allgemein: office@secretmission.at
E-Mail Datenschutz: datenschutz@secretmission.at

Datenschutzbeauftragter

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten nach Art. 37 DSGVO zu bestellen, und haben keinen bestellt. Ansprechpartner für alle Datenschutzanliegen ist Michael Schabereiter, erreichbar unter datenschutz@secretmission.at oder unter der oben genannten Anschrift.

5. Datensicherheit

Wir bewahren Ihre Daten sicher auf und ergreifen alle angemessenen technischen und organisatorischen Maßnahmen, um Ihre Daten vor Verlust, unbefugtem Zugriff, Missbrauch oder Änderung zu schützen.

Unsere Vertragspartner und Mitarbeitenden, die Zugang zu Ihren Daten haben, sind zur Einhaltung der datenschutzrechtlichen Bestimmungen verpflichtet. In manchen Fällen ist es im Rahmen der Auftragsverarbeitung erforderlich, dass wir Ihre Anfragen an mit uns verbundene Unternehmen weiterreichen. Auch in diesen Fällen werden Ihre Daten vertraulich behandelt.

Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt durchgehend verschlüsselt über TLS (HTTPS) in der jeweils höchsten von Ihrem Browser unterstützten Verschlüsselungsstufe. Der Zugang zu unseren Verwaltungssystemen ist auf einen festgelegten Personenkreis beschränkt und durch Mehr-Faktor-Authentifizierung sowie ein Rollen- und Rechtekonzept abgesichert.

6. Ihre Rechte

Auskunftsrecht (Art. 15 DSGVO)

Sie können jederzeit Auskunft über die von uns über Sie gespeicherten Daten verlangen. Wir bitten Sie, Ihr Auskunftsgesuch zusammen mit einem glaubhaften Identitätsnachweis an datenschutz@secretmission.at zu senden.

Die Auskunft erfolgt in schriftlicher oder auch in anderer Form, gegebenenfalls auch elektronisch. Sofern Sie dies verlangen, können wir Ihnen die Auskunft auch mündlich erteilen, sofern Sie Ihre Identität in anderer Form nachweisen. Stellen Sie den Auskunftsantrag elektronisch, stellen wir die Auskünfte in einem gängigen elektronischen Format zur Verfügung, sofern Sie nichts anderes angeben.

Die Auskunft ist im Regelfall unentgeltlich. Werden darüber hinaus Kopien angefordert, kann ein angemessenes Entgelt verlangt werden. Das Recht, eine Kopie über die verarbeiteten Daten zu erhalten, darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Im Falle von offensichtlich unbegründeten oder exzessiven Anträgen behalten wir uns vor, die Auskunft im Rahmen der gesetzlichen Schranken zu verweigern oder ein angemessenes Entgelt dafür zu verlangen.

Die Bearbeitung Ihres Gesuchs unterliegt der gesetzlichen Frist von einem Monat. Diese Frist dürfen wir aufgrund der Komplexität und der hohen Anzahl von Anfragen um zwei weitere Monate verlängern, soweit dies erforderlich ist. Sie werden über die Fristverlängerung innerhalb eines Monats nach Stellen des Auskunftsgesuchs informiert. Zugleich werden Ihnen die Gründe für die Verlängerung genannt.

Löschung und Berichtigung (Art. 16, 17 DSGVO)

Sie haben jederzeit die Möglichkeit, die Löschung oder Berichtigung beziehungsweise Vervollständigung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder ein gesetzlicher Erlaubnistatbestand entgegenstehen.

Bitte beachten Sie, dass die Ausübung Ihrer Rechte unter Umständen im Konflikt mit vertraglichen Vereinbarungen stehen und entsprechende Auswirkungen auf die Vertragsdurchführung haben kann (z. B. vorzeitige Vertragsauflösung oder Kostenfolgen).

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben außerdem das Recht, eine Einschränkung der Verarbeitung zu verlangen, wenn Sie die Richtigkeit dieser Daten bestreiten, die Verarbeitung unrechtmäßig ist, die Daten nicht länger benötigt werden oder Sie Widerspruch gegen die Verarbeitung erhoben haben.

Wird die Verarbeitung der Daten eingeschränkt, dürfen diese nur noch gespeichert werden. Eine weitergehende Verarbeitung darf nur mit Ihrer Einwilligung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte einer anderen Person oder aus Gründen eines wichtigen öffentlichen Interesses erfolgen. Im Falle einer Aufhebung der Einschränkung werden Sie benachrichtigt.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln, sofern die Verarbeitung auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO oder auf einem Vertrag gemäß Art. 6 Abs. 1 lit. b DSGVO beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt. Sie haben ferner das Recht, zu verlangen, dass die personenbezogenen Daten direkt von uns einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) erfolgt. Wir verarbeiten Ihre personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen. Nach einem solchen Widerspruch verwenden wir Ihre Daten nicht mehr für Direktwerbung.

Für Ihren Widerspruch genügt eine formlose Nachricht an datenschutz@secretmission.at.

Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Falls Sie eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerderecht (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
Telefon: +43 1 52 152-0 · E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

7. Allgemeine Grundsätze

Welche Daten verarbeiten wir und woher stammen sie?

In erster Linie verarbeiten wir personenbezogene Daten, die Sie uns übermitteln oder die wir beim Betrieb unserer Website erheben. Unter Umständen erhalten wir personenbezogene Daten über Sie auch von Dritten.

Das können folgende Kategorien sein:

• Personenstammdaten (Name);
• Kontaktdaten (Telefonnummer, E-Mail-Adresse);
• Anfragedaten (gewünschtes Erlebnis oder Format, Wunschtermin, Ort, Anzahl der Gäste, Anlass, Ihre Nachricht);
• Vertragsdaten (beauftragtes Erlebnis, Termin, Ort, Teilnehmende);
• Finanz- und Zahlungsdaten (Rechnungsadresse, Zahlungsart, Zahlungsstatus);
• Gesundheitsangaben, nur wenn Sie sie uns für Ihre Sicherheit selbst geben (siehe 8.9);
• Bild- und Tonaufnahmen bei unseren Produktionen (siehe 8.10);
• Onlinekennungen (IP-Adresse, Geräte- und Browserdaten, die zufällige Kennung Ihrer Antwort im Einwilligungsbanner);
• Kommunikationsdaten (E-Mails und Nachrichten an uns).

Diese Daten können aus den folgenden Quellen stammen:

• Ihre eigenen Angaben in unseren Formularen, per E-Mail, Telefon oder WhatsApp;
• Angaben über Sie, die uns andere Personen geben – etwa wenn jemand ein Erlebnis als Geschenk für Sie anfragt, ein Reiseberater in Ihrem Auftrag oder wenn Sie an einer Produktion teilnehmen, die jemand anderes beauftragt hat;
• Daten im Zusammenhang mit der Nutzung der Website.

Unter welchen Voraussetzungen verarbeiten wir Ihre Daten?

Wir verarbeiten Ihre Daten im Einklang mit den geltenden Datenschutzgesetzen, insbesondere der DSGVO und dem österreichischen Datenschutzgesetz (DSG). Die Verarbeitung erfolgt jeweils zu den in dieser Datenschutzerklärung festgelegten Zwecken. Wir achten dabei auf Transparenz und Verhältnismäßigkeit.

Die Verarbeitung Ihrer Daten ist rechtmäßig, sofern ein Erlaubnistatbestand der DSGVO erfüllt ist. Als Erlaubnistatbestände kommen namentlich in Frage:

• Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO);
• die Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO);
• die Erfüllung rechtlicher Verpflichtungen, denen wir unterliegen (Art. 6 Abs. 1 lit. c DSGVO);
• der Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person (Art. 6 Abs. 1 lit. d DSGVO);
• unsere berechtigten Interessen, sofern Ihre Interessen nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO).

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 165 Abs. 3 TKG 2021: Nicht technisch notwendige Cookies und vergleichbare Technologien setzen wir nur mit Ihrer Einwilligung ein.

Unter Umständen ist es erforderlich, dass Sie uns gewisse personenbezogene Daten bekanntgeben, damit vertragliche Pflichten erfüllt werden können. Ohne solche Daten sind wir normalerweise nicht in der Lage, einen Vertrag abzuwickeln. Die Website kann im Normalfall ebenfalls nicht genutzt werden, wenn gewisse Angaben zur Sicherstellung des Datenverkehrs, wie Ihre IP-Adresse, nicht offengelegt werden.

In welchen Fällen geben wir Ihre Daten an Dritte weiter?

a) Grundsatz

Wir sind unter Umständen darauf angewiesen, die Dienste Dritter oder von verbundenen Unternehmen in Anspruch zu nehmen und diese mit der Verarbeitung Ihrer Daten zu beauftragen (sogenannte Auftragsverarbeiter). Kategorien der Empfänger sind namentlich:

• Buchhaltung, Treuhand und Steuerberatung;
• Beratungsunternehmen (Rechtsberatung, Steuern);
• IT-Dienstleister (Webhosting, Support, Clouddienste, Websitegestaltung);
• Zahlungsdienstleister;
• Versicherungen (bei Schadensfällen).

Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen. Wir stellen sicher, dass diese Dritten die Voraussetzungen des Datenschutzes einhalten und Ihre personenbezogenen Daten vertraulich behandeln. Unter Umständen sind wir auch verpflichtet, Ihre personenbezogenen Daten an Behörden bekanntzugeben.

b) Weitergabe an Partner vor Ort

Für die Durchführung beauftragter Produktionen arbeiten wir mit Partnern am jeweiligen Ort zusammen – etwa mit Locations, Hotels sowie Transport- und Fahrdiensten. An sie übermitteln wir die Angaben, die sie dafür brauchen (siehe 8.9). Soweit diese Partner die Daten für ihre eigene Leistung verarbeiten – etwa ein Hotel für Ihren Aufenthalt –, sind sie dafür eigenständig verantwortlich, und es gelten die Datenschutzbestimmungen des jeweiligen Partners. Arbeiten sie ausschließlich in unserem Auftrag, gilt Buchstabe a.

c) Weitergabe ins Ausland

Im Rahmen der Auftragsverarbeitung kann es zur Übermittlung Ihrer personenbezogenen Daten an Unternehmen außerhalb des Europäischen Wirtschaftsraums (EWR) kommen – insbesondere in die Vereinigten Staaten. Diese Unternehmen sind im gleichen Umfang zum Datenschutz verpflichtet wie wir selbst.

Entspricht das Datenschutzniveau nicht demjenigen des EWR-Raums, so nehmen wir eine vorgängige Risikoeinschätzung vor und stellen vertraglich sicher, dass der gleiche Schutz wie im EWR-Raum garantiert wird – in der Regel mittels der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) samt ergänzender Maßnahmen. Sofern ein Empfänger unter den EU-US Data Privacy Framework fällt, stützen wir die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Sollte unsere Risikoeinschätzung negativ ausfallen, ergreifen wir zusätzliche technische Maßnahmen zum Schutz Ihrer Daten. Eine Kopie der jeweiligen Garantien können Sie unter datenschutz@secretmission.at anfordern.

Unsere Produktionen finden in ganz Europa und auf Anfrage weltweit statt. Findet ein beauftragtes Erlebnis außerhalb des EWR statt, übermitteln wir den Partnern vor Ort (siehe b) nur die Angaben, die für seine Durchführung erforderlich sind. Grundlage ist ein Angemessenheitsbeschluss der EU-Kommission, soweit es für das Land einen gibt, oder Standardvertragsklauseln, soweit wir sie mit dem Partner vereinbart haben; im Übrigen ist die Übermittlung zur Erfüllung des Vertrags über das beauftragte Erlebnis erforderlich (Art. 49 Abs. 1 lit. b DSGVO, für Teilnehmende, die das Erlebnis nicht selbst beauftragt haben, Art. 49 Abs. 1 lit. c DSGVO).

d) Wie lange bewahren wir Ihre Daten auf?

Wir speichern personenbezogene Daten nur so lange, wie dies zur Erfüllung der jeweiligen Zwecke erforderlich ist. Vertragsdaten speichern wir länger, da wir dazu durch gesetzliche Vorschriften verpflichtet sind: Nach § 132 BAO und § 212 UGB müssen wir geschäftliche Korrespondenz, geschlossene Verträge und Buchungsbelege sieben Jahre aufbewahren; bei anhängigen Verfahren entsprechend länger. Soweit wir solche Daten nicht mehr zur Durchführung der Dienstleistungen benötigen, wird die weitere Verarbeitung eingeschränkt und wir verwenden sie nur noch für Zwecke der Rechnungslegung und für Steuerzwecke. Eine Übersicht der konkreten Fristen finden Sie in Abschnitt 10.

8. Einzelne Datenverarbeitungen

8.1 Bereitstellen der Website und Erstellung von Logfiles

Wenn Sie unsere Website lediglich besuchen, sich also nicht registrieren oder anderweitige Informationen preisgeben, werden nur die Daten erhoben, die Ihr Browser automatisiert an unseren Server übermittelt. Die Daten sind für den Betrieb der Website technisch erforderlich.

Verarbeitet werden insbesondere: Name des Internetserviceproviders, IP-Adresse, technische Informationen wie Browser, Betriebssystem oder Bildschirmauflösung, Datum und Uhrzeit des Zugriffs, abgerufene Datei sowie die Referrer-URL. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Zweck — Funktionsfähigkeit der Website, Fehleranalyse und Sicherheit unserer informationstechnischen Systeme, Abwehr von Angriffen.

Rechtsgrundlage — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am sicheren und stabilen Betrieb.

Speicherdauer — Zugriffsprotokolle werden nach spätestens 14 Tagen automatisch gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

Widerspruch — Die Speicherung der Logfiles ist für den Betrieb zwingend notwendig; ein Widerspruch ist insoweit nicht möglich.

8.2 Hosting und Namensauflösung (DNS)

Unsere Website und unser Verwaltungssystem betreiben wir auf angemieteten Servern innerhalb der Europäischen Union.

Für die Namensauflösung (DNS) der Domain secretmission.global nutzen wir Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, bzw. Cloudflare Germany GmbH). Dabei werden die technischen Angaben der Namensabfrage verarbeitet. Der Datenverkehr der Website selbst – Seiten, Bilder, Schriften und Formulare – läuft nicht über Cloudflare, sondern direkt zwischen Ihrem Browser und unserem Server. Ausgenommen sind Fragen an unseren KI-Berater (siehe 8.11).

Rechtsgrundlage — berechtigtes Interesse an einem sicheren, schnellen und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Drittland — Es kann zu Übermittlungen in die USA kommen; diese sind über Standardvertragsklauseln und – soweit der Anbieter zertifiziert ist – über den EU-US Data Privacy Framework abgesichert.

8.3 Cookies und lokaler Speicher

Cookies sind kleine Textdateien, die mit Hilfe des Browsers auf Ihrem Endgerät abgelegt werden. Sie richten keinen Schaden an. Daneben verwenden wir den lokalen Speicher Ihres Browsers (localStorage und sessionStorage). Wir setzen auf dieser Website ausschließlich technisch notwendige beziehungsweise von Ihnen selbst ausgelöste Speicherungen ein; Cookies zur Reichweitenmessung oder zu Marketingzwecken setzen wir nicht ein (siehe 8.8).

Das Einwilligungsbanner betreiben wir selbst, ohne externen Dienstleister. Ihre Antwort speichern wir im Cookie sm_einwilligung; ändern oder widerrufen können Sie sie jederzeit unter „Cookie settings“ ganz unten auf jeder Seite. Das Banner fragt auch nach den Kategorien „Preferences“ (Vorlieben), „Statistics“ (Statistik) und „Marketing“, damit wir solche Dienste nur mit Ihrer Zustimmung einsetzen könnten. Derzeit lädt die Website in keiner dieser Kategorien einen Dienst – auch nicht nach Ihrer Zustimmung.

Damit wir eine Einwilligung nachweisen können, schickt Ihr Browser jede neue oder geänderte Antwort zusätzlich an unser eigenes Verwaltungssystem („SMOC“, siehe 8.4). Dort halten wir fest: die zufällige Kennung aus dem Cookie, die gewählten Kategorien, die Fassung des Banners, die Sprache, die Website, ob es Ihre erste oder eine geänderte Antwort ist, und den Zeitpunkt – keine IP-Adresse und keine Angaben, die Sie unmittelbar identifizieren. Diese Einträge löschen wir nach drei Jahren. Rechtsgrundlage dafür ist unsere Pflicht, eine Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO).

Sie können Ihren Browser so einrichten, dass er Sie über das Setzen von Cookies informiert und Sie dies nur im Einzelfall erlauben, oder dass Cookies generell abgelehnt und beim Schließen des Browsers gelöscht werden. Bei der Deaktivierung von Cookies kann die Funktionalität unserer Website eingeschränkt sein.

Rechtsgrundlage — für technisch notwendige Speicherungen § 165 Abs. 3 TKG 2021 in Verbindung mit unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO).

8.4 Anfrageformulare

Über die Anfrageformulare unserer Website können Sie ein Erlebnis bei uns anfragen – für sich selbst oder als Reiseprofi für Ihre Kundschaft. Beim Absenden schickt Ihr Browser Ihre Angaben direkt an unsere Kundenverwaltung bei HubSpot (siehe 8.7); dort werden ein Kontakt und eine Anfrage angelegt, und unser Team wird per E-Mail benachrichtigt. Aus HubSpot übernimmt unser eigenes Verwaltungssystem („SMOC“, betrieben auf unserer Infrastruktur in der EU) die Anfrage; dort bearbeiten wir sie.

Verarbeitet werden die von Ihnen angegebenen Daten nebst Zeitpunkt der Übermittlung:

• im allgemeinen Anfrageformular: Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und bevorzugte Kontaktart, das gewünschte Erlebnis, für wen es gedacht ist (bei einem Geschenk, ob es eine Überraschung bleiben soll; bei Anfragen im Auftrag Ihrer Kundschaft Agentur, Rolle und ob Sie unsere Partnerkonditionen erhalten möchten; bei einer Firma deren Name), Wunschort, Zeitraum, Anzahl der Gäste, Dauer, Anlass, Wohnsitzland, die gewünschte Sprache der Beratung und der Inhalt Ihrer Nachricht;
• im Anfrageformular zu unseren Formaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, das gewählte Format, Ihr Wunschdatum, der Inhalt Ihrer Nachricht und die Währung, in der Sie die Preise gesehen haben;
• im Anfrageformular für Reiseprofis: Ihr Unternehmen und dessen Art (etwa Reiseberatung, DMC oder Concierge), Ihr Anliegen, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, das gewünschte Format, der Inhalt Ihrer Nachricht und die Währung, in der Sie die Preise gesehen haben.

An HubSpot gehen dabei jeweils Vor- und Nachname, E-Mail-Adresse, Telefonnummer, eine Sprachangabe und eine Nachricht, in der alle übrigen Angaben zusammengefasst sind – dazu die Adresse und die Sprache der Seite, von der Sie die Anfrage abgeschickt haben, und der Wortlaut des Hinweises oder der Zustimmung am Formular, damit nachvollziehbar bleibt, was Sie beim Absenden gelesen haben. Weil Ihr Browser die Angaben direkt an HubSpot schickt, erhält HubSpot dabei – wie bei jedem Abruf im Netz – auch Ihre IP-Adresse.

Zweck — Bearbeitung und Beantwortung Ihrer Anfrage, Nachweis des Anfrageverlaufs.

Rechtsgrundlage — Vertrag beziehungsweise vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), sonst berechtigtes Interesse an der Kommunikation mit Interessenten (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer — bis zur abschließenden Bearbeitung; danach gelöscht, soweit keine handels- oder steuerrechtlichen Aufbewahrungspflichten bestehen. Reine Interessentenanfragen ohne Vertragsschluss löschen wir spätestens nach 24 Monaten.

KI-Unterstützung bei der Bearbeitung

Anfragen, aus denen ein Angebot werden soll, führen wir in unserem System als eigenen Vorgang. Dazu kann sich unser Team auf Klick eine Zusammenfassung des Bearbeitungsstands und Entwürfe für Antwort-E-Mails von einem Sprachmodell der Anthropic PBC (548 Market St, San Francisco, CA 94104, USA) erstellen lassen. Dafür übermitteln wir die Angaben zur Anfrage – Wunschtermin, Personenzahl, Anlass, gewünschtes Erlebnis, Sprache, Budget, Ort und Sonderwünsche –, den Firmennamen sowie die Texte aus unseren Notizen und aus dem E-Mail-Verlauf zu Ihrer Anfrage. Namen, E-Mail-Adressen und Telefonnummern ersetzen wir vorher durch Platzhalter, auch dort, wo sie im Text einer Nachricht stehen.

Die KI entscheidet nichts und versendet nichts. Zusammenfassung und Entwürfe sind Vorschläge für unser Team; jede E-Mail an Sie prüft und versendet ein Mensch.

Zweck — schnellere und vollständige Bearbeitung Ihrer Anfrage.

Rechtsgrundlage — vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), sonst berechtigtes Interesse an einer zügigen Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Drittland — USA. Die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission abgesichert. Der Anbieter verwendet die Inhalte vertraglich nicht zum Training seiner Modelle.

Speicherdauer — Die Zusammenfassung bleibt bei Ihrer Anfrage in unserem System und wird mit ihr gelöscht (siehe oben). Beim Anbieter werden Anfragen zur Missbrauchskontrolle für maximal 30 Tage vorgehalten.

8.5 Kontakt per E-Mail, Telefon und WhatsApp

Sie können uns auch per E-Mail an office@secretmission.at oder enquiries@secretmission.at, telefonisch oder über WhatsApp unter +43 670 1984 234 erreichen. Verarbeitet werden die von Ihnen angegebenen Daten – in der Regel Name, E-Mail-Adresse oder Telefonnummer sowie der Inhalt Ihrer Nachricht – nebst Zeitpunkt. E-Mails an uns gehen in unser Postfach bei Google Workspace (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland), aus dem wir auch antworten.

Für Zweck, Rechtsgrundlage und Speicherdauer gilt dasselbe wie bei den Anfrageformularen (8.4).

Für die Kommunikation über WhatsApp ist die WhatsApp Ireland Ltd. gemeinsam mit uns beteiligt. Beachten Sie, dass Metadaten Ihrer Nachricht dabei an den Betreiber übermittelt werden. Nutzen Sie E-Mail oder Telefon, wenn Sie das vermeiden möchten.

Drittland — Bei Google und WhatsApp kann es zu Übermittlungen in die USA kommen; diese sind über Standardvertragsklauseln und – soweit der Anbieter zertifiziert ist – über den EU-US Data Privacy Framework abgesichert.

8.6 Newsletter

Sie haben die Möglichkeit, über unsere Website den Newsletter von SECRET MISSION GLOBAL zu abonnieren. Hierfür benötigen wir Ihre E-Mail-Adresse und Ihre Erklärung, dass Sie mit dem Bezug des Newsletters einverstanden sind; Ihren Vornamen können Sie freiwillig angeben. Dieser Newsletter ist eine eigene Liste, getrennt von anderen Newslettern von Secret Mission. Anmeldung, Bestätigungs-E-Mail und Abonnement verwalten wir in HubSpot (siehe 8.7); Ihr Browser schickt Ihre Anmeldung direkt dorthin.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Zum Nachweis der Anmeldung protokollieren wir Anmelde- und Bestätigungszeitpunkt, die dabei verwendete IP-Adresse und den Wortlaut Ihrer Einwilligung.

Eine Abmeldung ist jederzeit möglich – über den Abmeldelink am Ende jeder Newsletter-E-Mail oder formlos an datenschutz@secretmission.at. Ihre Daten im Zusammenhang mit dem Newsletter-Versand werden im Falle einer Abmeldung umgehend gelöscht; die Anmeldeprotokolle bewahren wir zum Nachweis noch bis zu drei Jahre auf. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Rechtsgrundlage — Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); für die Protokollierung berechtigtes Interesse am Nachweis (Art. 6 Abs. 1 lit. f DSGVO).

Erfolgsmessung — Wir werten aus, ob eine E-Mail geöffnet und welche Links angeklickt wurden, um unsere Inhalte zu verbessern. Sie können dies verhindern, indem Sie in Ihrem E-Mail-Programm das Nachladen externer Bilder deaktivieren.

8.7 Kundenverwaltung (CRM)

Zur Pflege von Kunden- und Interessentenbeziehungen setzen wir HubSpot (HubSpot Ireland Ltd., 1 Sir John Rogerson’s Quay, Dublin 2, Irland) gemeinsam mit unserem eigenen Verwaltungssystem („SMOC“) ein. Dort werden Kontaktdaten, Anfrageverlauf und Kommunikationshistorie gespeichert, um Anfragen zuzuordnen und zu beantworten; Kontakte, Firmen und Anfragen aus HubSpot spiegelt SMOC regelmäßig.

Den Tracking-Code von HubSpot setzen wir auf dieser Website nicht ein: HubSpot erhält von der Website nur, was Sie in ein Formular eingeben und absenden.

Rechtsgrundlage — vorvertragliche Maßnahmen und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigtes Interesse an geordneter Kundenverwaltung (Art. 6 Abs. 1 lit. f DSGVO).

Drittland — HubSpot speichert die Daten unseres Kontos in der EU-Region; Übermittlungen in die USA, etwa im Rahmen des Supports, sind über Standardvertragsklauseln abgesichert.

8.8 Keine Dienste Dritter beim Seitenaufruf

Schriften, Bilder, Videos und Tonaufnahmen liefern wir von unserem eigenen Server aus; beim Aufruf unserer Seiten werden dafür keine Inhalte von Dritten nachgeladen.

Wir setzen auf dieser Website keine Dienste zur Reichweitenmessung, keine Werbe- oder Remarketing-Pixel und keine eingebetteten Inhalte sozialer Netzwerke, Karten- oder Videoplattformen ein. Daten an Dritte fließen nur in den in dieser Erklärung genannten Fällen – vor allem, wenn Sie selbst ein Formular absenden (8.4, 8.6), uns schreiben (8.5) oder dem KI-Berater eine Frage stellen (8.11).

8.9 Durchführung beauftragter Produktionen

Wird aus Ihrer Anfrage ein Auftrag, verarbeiten wir die Angaben, die wir für Vorbereitung, Durchführung und Abrechnung des Erlebnisses brauchen: Name, E-Mail-Adresse und Telefonnummer, Rechnungsadresse, die vereinbarten Eckdaten (Erlebnis, Termin, Ort, Anzahl der Teilnehmenden) sowie Zahlungsinformationen – und die Angaben zu den Teilnehmenden, die Sie oder die Teilnehmenden selbst uns für die Produktion mitteilen.

Bei der Teilnahme an einem Erlebnis können zusätzlich folgende Daten anfallen:

• Unterschriften unter Haftungsausschluss- und Einverständniserklärungen;
• gesundheitsrelevante Angaben (Allergien, gesundheitliche Einschränkungen) – ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und nur, soweit dies für Ihre Sicherheit während des Erlebnisses erforderlich ist;
• im Ausnahmefall Angaben zu einem Vorfall vor Ort (Unfall, Sachschaden) zur Abwicklung mit unserer Versicherung.

Für die Durchführung geben wir die dafür nötigen Angaben an die beteiligten Partner am Ort der Produktion weiter – etwa an Locations, Hotels sowie Transport- und Fahrdienste (zum Beispiel Namen, Termin, Ort und Ablauf). Mehr dazu in Abschnitt 7 b) und c).

Zweck — Vorbereitung, Durchführung und Abrechnung des beauftragten Erlebnisses, Ihre Sicherheit während des Erlebnisses, Abwicklung von Schadensfällen.

Rechtsgrundlage — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Gesundheitsangaben ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); für die Schadensabwicklung berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); für die Aufbewahrung der Belege rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Drittland — bei Produktionen außerhalb des EWR siehe Abschnitt 7 c).

Speicherdauer — Vertrags- und Rechnungsdaten sieben Jahre ab Ende des Kalenderjahres der Leistungserbringung (§ 132 BAO, § 212 UGB). Gesundheitsangaben löschen wir spätestens 30 Tage nach dem Erlebnis. Haftungserklärungen bewahren wir bis zum Ablauf der Gewährleistungs- und Verjährungsfristen auf (in der Regel drei Jahre).

8.10 Foto- und Videoaufnahmen bei unseren Produktionen

Wir filmen und fotografieren bei unseren Produktionen selbst; Teilnehmende sind dabei erkennbar.

a) Aufnahmen während des Erlebnisses

Verarbeitet werden Bild- und Tonaufnahmen Ihrer Person im Rahmen des beauftragten Erlebnisses.

Zweck — Dokumentation des Ablaufs, Qualitätssicherung unserer Inszenierung, Schulung unserer Darstellerinnen und Darsteller sowie Nachvollziehbarkeit im Fall eines Vorkommnisses.

Rechtsgrundlage — berechtigtes Interesse an der Dokumentation und Weiterentwicklung unserer Produktion (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer — Rohmaterial ohne Verwendungszweck löschen wir spätestens nach 24 Monaten.

b) Veröffentlichung für Werbezwecke

Aufnahmen, auf denen Sie erkennbar sind, verwenden wir auch für unseren Online-Auftritt und unsere Werbung – insbesondere auf unserer Website, in unseren Profilen bei Instagram, Facebook, TikTok, LinkedIn und YouTube, in Newslettern sowie in Presse- und Werbematerial. Eine Veröffentlichung erfolgt ausschließlich auf Grundlage Ihrer vorherigen, gesonderten und jederzeit widerruflichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 78 UrhG, Recht am eigenen Bild). Diese Einwilligung holen wir vor Beginn des Erlebnisses schriftlich ein; sie ist freiwillig und keine Bedingung für Ihre Teilnahme.

Erteilen Sie die Einwilligung nicht, nehmen Sie ganz normal teil – wir veröffentlichen dann keine Aufnahmen, auf denen Sie erkennbar sind. Beauftragen Sie ein Erlebnis für mehrere Personen, benötigen wir die Einwilligung jeder teilnehmenden Person einzeln; eine Zustimmung der auftraggebenden Person genügt dafür nicht.

Empfänger — die Betreiber der genannten Plattformen sowie beauftragte Agenturen und Redaktionen. Mit der Veröffentlichung auf einer Plattform sind die Aufnahmen weltweit abrufbar und können durch den Plattformbetreiber auch außerhalb des EWR verarbeitet werden.

Speicherdauer — bis zum Widerruf Ihrer Einwilligung.

c) Widerruf

Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen – formlos per E-Mail an datenschutz@secretmission.at. Die Rechtmäßigkeit der bis dahin erfolgten Veröffentlichung bleibt unberührt.

Nach einem Widerruf entfernen wir die betroffenen Aufnahmen unverzüglich von allen Kanälen, die wir selbst betreiben. Bitte beachten Sie: Auf bereits gedrucktes Material, auf Kopien, die Dritte angefertigt haben, sowie auf Zwischenspeicher von Suchmaschinen und sozialen Netzwerken haben wir keinen Zugriff – eine vollständige Entfernung aus dem Internet können wir daher nicht zusichern.

8.11 KI-Berater „Valentin“ (Client Advisor)

Auf unserer Website steht ein textbasierter KI-Berater („Valentin“, unser Client Advisor) zur Verfügung, der Fragen zu unseren Formaten, Experiences, dem Ablauf und den Destinations beantwortet. Er öffnet sich nur, wenn Sie ihn anklicken; ohne Ihre Eingabe wird nichts übermittelt.

Wenn Sie eine Frage senden, werden der Text Ihrer Nachricht, der bisherige Gesprächsverlauf und die Sprache der Seite an unseren Dienst unter assistent.secretmission.at übermittelt. Dieser Dienst läuft auf der Infrastruktur der Cloudflare, Inc. und leitet die Anfrage zur Beantwortung an ein Sprachmodell der Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA, weiter. Zur Begrenzung von Missbrauch verarbeiten wir zusätzlich Ihre IP-Adresse.

Bitte geben Sie im Gespräch keine sensiblen Daten ein – insbesondere keine Gesundheits- oder Zahlungsdaten, Passwörter oder Angaben über Dritte. Für persönliche Anliegen erreicht Sie unser Team rund um die Uhr telefonisch oder über WhatsApp unter +43 670 1984 234; der Weg dorthin steht in jedem Fenster des Beraters.

Zweck — automatisierte Beantwortung von Fragen zu unserem Angebot.

Rechtsgrundlage — berechtigtes Interesse an einer schnellen Auskunft (Art. 6 Abs. 1 lit. f DSGVO); mit dem Absenden Ihrer Nachricht willigen Sie zudem in die Übermittlung des Nachrichtentextes ein (Art. 6 Abs. 1 lit. a DSGVO).

Drittland — USA. Die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission abgesichert. Der Anbieter verwendet die Inhalte vertraglich nicht zum Training seiner Modelle.

Speicherdauer — Der Gesprächsverlauf liegt im Speicher Ihres Browsers und wird gelöscht, sobald Sie ein neues Gespräch beginnen oder den Browserspeicher leeren. Beim Anbieter werden Anfragen zur Missbrauchskontrolle für maximal 30 Tage vorgehalten.

Widerspruch — Nutzen Sie den Berater nicht; alle Auskünfte erhalten Sie ebenso telefonisch, per E-Mail oder auf unserer Seite mit häufigen Fragen.

9. Empfänger im Überblick

Die folgende Übersicht fasst zusammen, an welche externen Stellen Daten fließen können.

10. Speicherdauer im Überblick

11. Keine automatisierte Entscheidungsfindung

Wir verwenden Ihre personenbezogenen Daten nicht für eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Ein Profiling zur Bewertung persönlicher Aspekte findet nicht statt. Der KI-Berater „Valentin“ gibt nur Auskunft und entscheidet nichts über Aufträge, Preise oder Ansprüche.

12. Videoüberwachung in Locations

Wir betreiben keine eigene Videoüberwachung.

Soweit in von uns genutzten Locations eine Videoüberwachung aus Sicherheitsgründen eingesetzt wird, wird diese vom jeweiligen Location-Betreiber betrieben. Dieser ist dafür allein verantwortlich; Kennzeichnung und Datenschutzinformationen richten sich nach den Vorgaben am jeweiligen Ort (in Österreich §§ 12 f. DSG). Auf Art, Umfang und Speicherdauer dieser Aufzeichnungen haben wir keinen Einfluss und keinen Zugriff.

Von der Videoüberwachung zu unterscheiden sind die Foto- und Videoaufnahmen, die wir während unserer Erlebnisse selbst anfertigen. Dazu informieren wir Sie in Abschnitt 8.10.

13. Bleibt unsere Datenschutzerklärung immer gleich?

Wir können diese Datenschutzerklärung jederzeit ändern, etwa wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare Fassung. Die jeweils aktuelle Version wird unter secretmission.global/de/privacy/ veröffentlicht. Eine gesonderte Benachrichtigung erfolgt nicht; bei wesentlichen Änderungen, die eine Einwilligung berühren, holen wir diese neu ein.