Datenschutzerklärung

Stand: Oktober 2026

Kurz gesagt

Für den Kauf brauchen wir eine E-Mail-Adresse und sonst nichts. Wer spielt, braucht kein Konto und bekommt von uns kein Cookie. Analyse- und Marketing-Cookies setzen wir erst, wenn Sie im Cookie-Banner zugestimmt haben. Ohne Zustimmung erhält Google nur einfache Messsignale ohne Cookies. Der Anbieter einer Quest sieht Zahlen, keine Adressen. Verkauft oder vermietet werden Ihre Daten nicht — an niemanden.

Verantwortlicher

Verantwortlich im Sinne der DSGVO ist
localquest.de, Dr. Martin Weser, Heußweg 25, 20255 Hamburg, Deutschland
E-Mail: hallo@localquest.de

Die Anbieterkennzeichnung steht im Impressum. Für jedes Anliegen aus dieser Erklärung genügt eine Nachricht über das Kontaktformular.

Wenn Sie nur die Seite ansehen

Der Server protokolliert jeden Aufruf mit Zeitpunkt, angefragter Adresse, Statuscode, übertragener Datenmenge, Browserkennung und IP-Adresse. Das ist technisch notwendig, um die Seite auszuliefern, und wir brauchen es, um Störungen und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle löschen wir nach spätestens 30 Tagen.

Die Plattform läuft auf gemieteten Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in einem Rechenzentrum in Deutschland; Ihre Daten verlassen dafür die EU nicht. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Cookies und Ihre Einwilligung

Technisch notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 TDDDG). Das sind im Regelfall vier, und keines davon enthält eine Werbe- oder Trackingkennung:

• die Anmeldung an einem Konto — nur für Anbieter und für registrierte Spieler, nicht für den Kauf;
• ein Schutz vor Cross-Site-Request-Forgery auf jeder Seite mit einem Formular;
• eine kurzlebige Statusmeldung („Gespeichert“), die nach dem nächsten Seitenaufruf verschwindet;
• Ihre Cookie-Entscheidung selbst (lq_einwilligung_v1, 180 Tage) — ohne sie müssten wir bei jedem Besuch neu fragen.

Statistik- und Marketing-Cookies setzen wir ausschließlich nach Ihrer Einwilligung über das Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Bis dahin wird kein solches Cookie gesetzt oder gelesen. Was Google ohne Ihre Einwilligung erhält, steht unter „Web-Analyse und Marketing“. Sie können Ihre Auswahl jederzeit über die Schaltfläche „Cookie-Einstellungen“ am Seitenrand und im Seitenfuß ändern oder widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Wer spielt, bekommt kein Cookie. Der Zugang zu einem Spiel hängt allein am Spiel-Link und an keiner Kennung im Browser. Auch der Verkäufer-Code aus einem Flyer wird nicht gespeichert — er steht in der Adresse und nirgends sonst.

Während der Bezahlung setzt Stripe auf seinen eigenen Adressen (checkout.stripe.com) Cookies zur Betrugsabwehr. Diese liegen außerhalb unseres Einflusses; Näheres in der Datenschutzerklärung von Stripe.

Web-Analyse und Marketing (Google)

Auf unseren öffentlichen Seiten setzen wir Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Konzernmutter ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

• Google Tag Manager: lädt mit jeder öffentlichen Seite, also auch vor Ihrer Entscheidung, und bindet die nachfolgenden Dienste ein. Er setzt selbst keine Cookies. Beim Laden erfährt Google Ihre IP-Adresse und die aufgerufene Seite.
• Google Analytics 4 (Kategorie „Statistik“): pseudonyme Nutzungsstatistiken, damit wir sehen, welche Seiten gelesen werden und wo Besucher abbrechen. Die IP-Adresse wird vor jeder Speicherung gekürzt.
• Google Ads (Kategorie „Marketing“): Messung, welche Anzeige zu einem Kauf geführt hat, und Wiederansprache.

Einwilligungsmodus: Wir nutzen den Google Consent Mode in seiner erweiterten Form. Solange Sie nicht zugestimmt haben, setzt und liest Google keine Analyse- oder Marketing-Cookies. Die Tags senden dann nur Messsignale ohne Cookies an Google: die aufgerufene und die zuvor besuchte Seite, den Zeitpunkt, die Art des Ereignisses (etwa Seitenaufruf oder Kauf), Browser, Bildschirmgröße, Spracheinstellung, Ihre Cookie-Entscheidung und, technisch bedingt, Ihre IP-Adresse. Eine Kennung, die Sie über mehrere Seitenaufrufe hinweg wiedererkennt, ist nicht dabei. Google wertet diese Signale nur zusammengefasst aus und schätzt daraus, wie viele Besuche und Käufe ohne Einwilligung stattgefunden haben. Das gilt auch, wenn Sie „Nur notwendige“ wählen.

Rechtsgrundlage: Für Cookies und alles, was erst mit ihnen möglich wird, ist es Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für das Laden des Tag Managers und die Messsignale ohne Cookies ist es unser berechtigtes Interesse, die Reichweite unserer Seiten und den Erfolg unserer Anzeigen zu messen, ohne Sie wiederzuerkennen (Art. 6 Abs. 1 lit. f DSGVO). Dagegen können Sie jederzeit Widerspruch einlegen (siehe „Ihre Rechte“). Drittlandtransfer: Dabei können Daten an die Google LLC in den USA gelangen. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10.07.2023, Art. 45 DSGVO); ergänzend bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Weitere Angaben unter policies.google.com/privacy.

Diese Seiten tragen keine anderen Zähler. Kein Facebook-Pixel, kein zweites Analysewerkzeug, keine eingebetteten Videos, keine Schaltflächen sozialer Netzwerke.

Karten und Schriften

Die Kartenkacheln lädt Ihr Browser direkt von OpenStreetMap. Dabei erfährt der Kartenserver Ihre IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse daran, zu zeigen, wo es Quests gibt (Art. 6 Abs. 1 lit. f DSGVO). Die Kartensoftware selbst (Leaflet) liegt auf unserem Server, ebenso alle Schriftarten — Google Fonts werden nicht geladen.

Im Anbieter-Bereich, also hinter der Anmeldung, lässt sich die Karte beim Bearbeiten einer Quest auf ein Luftbild umschalten. Diese Kacheln kommen von Esri (Environmental Systems Research Institute, Inc., USA); dabei erfährt deren Server die IP-Adresse des Anbieters. Rechtsgrundlage ist unser berechtigtes Interesse daran, dass ein Ort auch abseits von Straßen genau gesetzt werden kann (Art. 6 Abs. 1 lit. f DSGVO). Auf den öffentlichen Seiten und im Spiel gibt es diese Umschaltung nicht.

Kontaktformular

Wir verarbeiten Namen, E-Mail-Adresse und Text Ihrer Nachricht, um sie zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Die Nachricht geht als E-Mail an uns; gelöscht wird sie, sobald das Anliegen erledigt ist und keine Aufbewahrungspflicht entgegensteht.

Bewerbungen

Wenn Sie sich auf eine Stelle bewerben, verarbeiten wir die Angaben aus Ihrer Nachricht und die Unterlagen, die Sie mitschicken, um über die Einstellung zu entscheiden (Art. 6 Abs. 1 lit. b DSGVO). Kommt kein Arbeitsverhältnis zustande, löschen wir alles sechs Monate nach der Absage. Länger bewahren wir Ihre Bewerbung nur auf, wenn Sie ausdrücklich zustimmen, dass wir Sie für spätere Stellen vormerken (Art. 6 Abs. 1 lit. a DSGVO).

Wenn Sie eine Quest freischalten

Für die Freischaltung brauchen wir Ihre E-Mail-Adresse. An sie geht der Link, mit dem Sie spielen. Wir speichern die Adresse, den Kauf, das daraus entstandene Spiel und den Durchlauf, den Sie damit spielen (Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags). Ein Konto und ein Passwort brauchen Sie dafür nicht.

Festgehalten wird außerdem der Zeitpunkt, zu dem Sie dem Kästchen im Checkout zugestimmt haben. Die Zustimmung zum sofortigen Beginn der Leistung ist der Nachweis, dass die Freischaltung mit Ihrem ausdrücklichen Verlangen erfolgte (Art. 6 Abs. 1 lit. c DSGVO).

Markieren Sie den Kauf als Geschenk, speichern wir die Namen, die Sie in die Felder „Für“ und „Von“ tippen, und drucken sie auf den Gutschein (Art. 6 Abs. 1 lit. b DSGVO). Beide Felder sind freiwillig.

Kommen Sie über eine Anzeige bei Google zu uns, steht in der Adresse eine Kennung dieses Anzeigenklicks. Wir speichern sie am Kauf, um unsere Werbekosten den Käufen zuzuordnen (Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, die Wirkung unserer Werbung zu kennen). Wer Sie sind, verrät uns die Kennung nicht.

Wichtig: Die E-Mail-Adresse ist der Zugangsschlüssel zu Ihrer Quest. Wer sie kennt, kann sich einen neuen Spiel-Link schicken lassen. Wenn Sie an der Rezeption eine Sammeladresse angeben, teilen Sie den Zugang mit allen anderen, die dieselbe Adresse nutzen.

Kaufen Sie einen Wertgutschein, speichern wir Ihre E-Mail-Adresse, den Betrag, den Code und die Einlösungen, um ihn zu verschicken, einzulösen und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO). Wer beschenkt wird, erfahren wir nicht: die Namen stehen nur auf dem Papier.

Wenn Sie bezahlen

Die Zahlung wickelt Stripe Payments Europe, Ltd. (The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland) für uns ab. Sie geben Ihre Zahlungsdaten dort ein, nicht bei uns: der Bezahlvorgang läuft auf einer Seite von Stripe, und Kartennummern oder PayPal-Zugangsdaten erreichen uns zu keinem Zeitpunkt. Wir übermitteln an Stripe die E-Mail-Adresse, den Betrag und die Bezeichnung der Quest; zurück bekommen wir, ob bezahlt wurde, und die Kennung des Vorgangs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Stripe stellt Ihnen Zahlungsbeleg und Rechnung zu und speichert die Zahlungsdaten so lange, wie es das Handels- und Steuerrecht verlangt. Drittlandtransfer: Stripe verarbeitet primär in der EU, kann Daten aber an die US-Konzernmutter Stripe Payments, Inc. übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist; ergänzend bestehen Standardvertragsklauseln. Mit Stripe besteht ein Auftragsverarbeitungsvertrag. Näheres in der Datenschutzerklärung von Stripe.

E-Mail-Versand

Den Spiel-Link, den Gutschein und die Nachrichten von Identity (Bestätigung der Adresse, Passwort zurücksetzen) verschicken wir über mailbox.org, einen Dienst der Heinlein Hosting GmbH, Schwedter Straße 8/9A, 10119 Berlin, Deutschland. Der Versand läuft über Server in Deutschland, und mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Newsletter oder Werbemails verschicken wir nicht.

Während Sie spielen

Wir speichern, welche Etappe Sie erreicht haben, wie oft und was Sie geantwortet haben, wie lange Sie an einer Etappe waren, die Namen Ihrer Gruppe und die Kennung Ihres Browsers. Die Spielzeit rechnet der Server aus einem regelmäßigen Lebenszeichen der offenen Seite aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — ohne diese Daten gibt es keinen Spielstand und keine Auswertung am Ende.

Dieselben Daten braucht der Anbieter, um zu erkennen, ob ein Rätsel kaputt ist — etwa weil ein Gebäude umgebaut wurde und die Antwort nicht mehr stimmt. Der Anbieter sieht dabei keine E-Mail-Adressen, sondern zusammengefasste Zahlen.

Bei Etappen vom Typ „Ankunft an einem Ort“ fragt Ihr Browser Sie nach Ihrem Standort. Die Freigabe erfolgt ausschließlich durch Sie, und zwar einmal je Knopfdruck. Gespeichert werden die übermittelte Position, ihre Genauigkeit und der Abstand zum Ziel, um die Etappe zu bewerten. Ohne Freigabe können Sie die Etappe überspringen.

Die Anwendung kann zum Zwecke der Qualitätssicherung in regelmäßigen Abständen den Standort erfassen. Unsere Mitarbeitenden sehen Standort-Daten zusammengefasst und niemals in Verbindung mit E-Mail Adressen.

Bei Etappen vom Typ „Foto“ wird das Foto, das Sie hochladen, auf unserem Server gespeichert und dem Anbieter im Rahmen der Auswertung zugänglich gemacht. Es wird nicht veröffentlicht und nicht weitergegeben.

Melden Sie über den Melden-Knopf ein Problem, speichern wir Ihren Text zusammen mit der Etappe, dem Durchlauf und Ihrer Spielerkennung, damit wir zurückfragen können (Art. 6 Abs. 1 lit. b und f DSGVO).

Namen und Adressen von Mitspielern

Zu Beginn einer Quest tragen Sie ein, wer mitspielt. Ein Vorname genügt; er steht später in Ihrer Auswertung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — ohne einen Namen gibt es keine Auswertung.

Zu jedem Namen können Sie freiwillig eine E-Mail-Adresse dazuschreiben. An diese Adresse geht dann genau eine Nachricht, in der steht, wer die Person eingetragen hat und worum es geht. Diese Nachricht ist keine Werbung: sie erfüllt unsere Informationspflicht nach Art. 14 DSGVO, weil wir die Adresse nicht von der betroffenen Person selbst erhalten haben. Rechtsgrundlage der Speicherung ist unser berechtigtes Interesse an einer gemeinsamen Auswertung für alle Mitspieler (Art. 6 Abs. 1 lit. f DSGVO).

Die Nachricht enthält zwei Links. Mit „Ja, ich bin dabei“ willigt die Person in die Speicherung ein (Art. 6 Abs. 1 lit. a DSGVO) und sieht danach das Ergebnis. Mit „Nein, das bin nicht ich“ tragen wir sie wieder aus; das geht jederzeit und auch später noch. Weitere Nachrichten verschicken wir nicht, auch keine Erinnerung.

Tragen Sie fremde Adressen nur mit dem Einverständnis der Betroffenen ein. Der Link aus der Nachricht führt nur auf eine Seite mit dem Ergebnis Ihrer Quest. Er enthält nicht Ihren Spiel-Link, und niemand kann darüber in Ihr Spiel eingreifen.

Der Anbieter der Quest sieht keine Namen und keine Adressen Ihrer Mitspieler, sondern nur, wie viele Personen gespielt haben.

Wenn Sie eine Quest bewerten

Nach dem Spiel können Sie 1 bis 5 Sterne vergeben und dazu zwei Texte schreiben. Beides ist freiwillig. Gespeichert wird es zusammen mit dem Durchlauf, aus dem heraus Sie bewertet haben — so ist sichergestellt, dass jede Bewertung von jemandem stammt, der die Quest wirklich gespielt hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an Rückmeldungen zu unserem Angebot.

Der öffentliche Kommentar wird nach einer Prüfung durch uns auf der Seite der Quest veröffentlicht, zusammen mit dem Namen, den Sie im Feld „Unterschrieben mit“ stehen lassen. Dieses Feld ist mit dem ersten Namen Ihrer Gruppe vorbelegt, und Sie können es ändern oder leeren — dann steht der Kommentar ohne Namen da. Ihre E-Mail-Adresse wird nie veröffentlicht.

Der Hinweis an uns ist nicht öffentlich und wird dem Anbieter der Quest nicht angezeigt. Enthält er etwas, das der Anbieter wissen muss — ein fehlendes Schild, eine Aufgabe, die nicht mehr aufgeht —, geben wir diesen Punkt in eigenen Worten als Meldung an ihn weiter, ohne Ihren Namen und ohne Ihre Adresse.

Über Ihren Spiel-Link können Sie eine abgegebene Bewertung jederzeit ändern; ein geänderter Kommentar wird erneut geprüft, bevor er wieder erscheint. Möchten Sie eine Bewertung ganz entfernt haben, genügt eine Nachricht an uns.

Wenn Sie ein Konto anlegen

Für ein Konto speichern wir E-Mail-Adresse, Passwort (nur als Hash) und die Angaben, die Sie im Profil machen, dazu den Zeitpunkt der letzten Anmeldung. Als Anbieter kommen Firmenname, Anschrift und Telefonnummer hinzu — die brauchen wir für die Abrechnung Ihrer Beteiligungen (Art. 6 Abs. 1 lit. b DSGVO) und für die handels- und steuerrechtliche Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO).

Zwei Angaben im Profil sind freiwillig und stehen dort für einen einzigen Zweck:

• Ihre Bankverbindung (Kontoinhaber und IBAN), allein dafür, dass wir Ihre abgerechneten Beteiligungen überweisen können. Wir geben sie an keinen Dritten weiter und benutzen sie für nichts anderes; ohne sie ruht die Auszahlung, Ihr Anspruch bleibt bestehen.
• eine abweichende Versandadresse, nur dafür, dass gedruckte Werbemittel an der richtigen Stelle ankommen. Lassen Sie die Felder leer, geht eine Sendung an Ihre Anschrift, und wir speichern nichts Zusätzliches.

Gedruckte Werbemittel. Bestellt Ihr Vertrieb oder wir für Sie gedrucktes Material, geben wir Firma, Ansprechpartner, Lieferanschrift und Telefonnummer an die Druckerei flyeralarm GmbH (Würzburg) weiter, die direkt an Sie liefert (Art. 6 Abs. 1 lit. b DSGVO). Die Lieferanschrift und was geliefert wurde, bewahren wir mit dem Auftrag auf, weil er Ihrem Konto belastet wird.

Wenn Sie ein Konto mit einer Adresse anlegen, mit der zuvor anonym gespielt wurde, ordnen wir diese Durchläufe Ihrem Konto zu — aber erst, nachdem Sie die Adresse bestätigt haben.

Für Anbieter: Inhalte und Vorlese-Aufnahmen

Was ein Anbieter an Texten und Bildern einstellt, speichern wir, um seine Rally zu veröffentlichen. Lässt er einen Vorlesetext als Aufnahme erzeugen, übermitteln wir diesen Text an ElevenLabs, Inc. (USA), das die Sprachdatei für uns erzeugt (Art. 28 DSGVO, Standardvertragsklauseln nach Art. 46 DSGVO). Übermittelt wird der Text der Rally — keine Daten von Spielern und keine Kontodaten.

Wer Ihre Daten zu sehen bekommt

• der Anbieter der Quest, die Sie gespielt haben — in der oben beschriebenen, zusammengefassten Form. Nicht zu sehen bekommt er Ihren Hinweis aus der Bewertung;
• Stripe für die Bezahlung;
• flyeralarm für gedruckte Werbemittel: nur Lieferanschrift, Ansprechpartner und Telefonnummer eines Anbieters;
• Hetzner als Betreiber unserer Server und mailbox.org für den Versand unserer E-Mails, beide als Auftragsverarbeiter in Deutschland;
• Google für Analyse und Marketing: Cookies nur mit Ihrer Einwilligung, ohne sie nur Messsignale ohne Cookies;
• ElevenLabs für Vorlese-Aufnahmen — nur Texte von Anbietern;
• Behörden, soweit wir gesetzlich dazu verpflichtet sind.

Eine darüber hinausgehende Weitergabe findet nicht statt.

Wie lange wir speichern

• Server-Protokolle: höchstens 30 Tage.
• Kauf, Spiel und Durchlauf: solange der Spiel-Link gültig ist — und der läuft nicht ab. Auf Verlangen löschen wir vorher (siehe unten).
• Fotos aus einem Spiel: bis zur Löschung des Durchlaufs oder auf Verlangen.
• Bewertungen: solange die Quest angeboten wird, oder bis Sie die Löschung verlangen.
• Konto: solange es besteht.
• Bewerbungen: sechs Monate nach einer Absage.
• Rechnungen, Zahlungsbelege, Abrechnung von Beteiligungen: nach § 147 AO und § 257 HGB bis zu zehn Jahre. Diese Frist geht einem Löschverlangen vor.
• Cookie-Entscheidung: 180 Tage.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit widerrufen.

Wenn Sie die Löschung verlangen, anonymisieren wir Ihre Spielerkennung: E-Mail-Adresse und Zugangslinks werden entfernt, Ihre hochgeladenen Fotos gelöscht. Die Auswertungsdaten der Durchläufe bleiben ohne Personenbezug erhalten — sie sind die Statistik des Anbieters und lassen sich danach keiner Person mehr zuordnen.

Für alle Anliegen genügt eine Nachricht über das Kontaktformular.

Beschwerde bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für unseren Sitz zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidung im Einzelfall und kein Profiling nach Art. 22 DSGVO statt. Ob ein Rätsel richtig beantwortet ist, entscheidet ein Textvergleich — keine Person und keine Bewertung eines Menschen hängt daran.

Änderungen dieser Erklärung

Wenn wir Funktionen ergänzen oder einen Dienstleister wechseln, aktualisieren wir diese Erklärung. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben sagt, welche das ist.