Rechtliches · Sandbox VR Wien

Datenschutzerklärung

Stand: Oktober 2026. Diese Datenschutzerklärung gilt für die Website nxtl.at, den Buchungskalender, das Anfrageformular sowie für die Datenverarbeitung im Zusammenhang mit Ihrem Besuch bei Sandbox VR Wien.

1. Verantwortlicher

NLVR Spiele & Erlebnisse GmbH, Columbusplatz 7/8, 1100 Wien, Österreich. Telefon +43 1 4420745, E-Mail vienna@sandboxvr.com. Firmenbuchnummer FN [AUSFÜLLEN], Geschäftsführung [AUSFÜLLEN].

Datenschutzanfragen richten Sie bitte an vienna@sandboxvr.com [oder: datenschutz@…]. [Falls bestellt: Unsere Datenschutzbeauftragte / unser Datenschutzbeauftragter ist … erreichbar unter …]

2. Datenschutz auf einen Blick

Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Wir verarbeiten sie nur, wenn eine Rechtsgrundlage nach Art. 6 DSGVO besteht: zur Erfüllung eines Vertrags mit Ihnen (Buchung, Gutschein, Anfrage), zur Erfüllung rechtlicher Pflichten (z. B. Aufbewahrung nach § 132 BAO und § 212 UGB), aufgrund Ihrer Einwilligung (z. B. Cookies, Newsletter, Marketingaufnahmen) oder aufgrund unseres berechtigten Interesses (z. B. sicherer Betrieb der Website, Reichweitenmessung in Grenzen).

Ihre Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie jederzeitiger Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Sie haben das Recht, sich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, zu beschweren.

3. Hosting und Server-Logfiles

Die Website nxtl.at wird auf Servern der [Host Europe GmbH, Hansestraße 111, 51149 Köln, Deutschland – prüfen] betrieben, die wir gemeinsam mit der Next Level Erlebnisse GmbH (Ludwigsplatz 1, 36304 Alsfeld, Deutschland) nutzen. Beim Aufruf der Website werden automatisch Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und -version, Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Logfiles werden nach [14] Tagen gelöscht, sofern sie nicht zur Aufklärung von Störungen oder Angriffen benötigt werden. Mit den beteiligten Dienstleistern bestehen Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Cookies und Einwilligungsverwaltung (Cookiebot)

Wir setzen technisch notwendige Cookies ein (z. B. für die Formularrückmeldung und die Buchungssitzung). Alle übrigen Cookies und vergleichbaren Technologien (Analyse, Marketing) setzen wir nur mit Ihrer Einwilligung nach § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung holen wir über die Consent-Management-Plattform Cookiebot ein. Anbieter ist die Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark. Cookiebot speichert Ihre Entscheidung (Zustimmungsstatus, anonymisierte IP, Zeitpunkt, Browser) für 12 Monate in einem Cookie. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen.

Google Consent Mode: Bis zu Ihrer Entscheidung werden Google-Dienste nur im eingeschränkten Modus ohne Cookies betrieben; nach Ablehnung werden keine Analyse- oder Werbe-Cookies gesetzt.

5. Buchungskalender, Online-Buchung und Zahlung

Buchungen erfolgen über den Buchungskalender, der technisch von der Next Level Erlebnisse GmbH, Ludwigsplatz 1, 36304 Alsfeld, Deutschland, auf der Domain nxtl.de betrieben wird. [Vertragliche Grundlage: Vereinbarung über Auftragsverarbeitung bzw. gemeinsame Verantwortlichkeit nach Art. 26 DSGVO – abschließen und hier benennen.] Verarbeitet werden: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Rechnungsanschrift (soweit angegeben), Geburtsdatum (soweit zur Altersprüfung nötig), Buchungsdaten (Datum, Uhrzeit, Erlebnis, Teilnehmerzahl, Buchungsnummer, Spielername), Gutscheincodes sowie Zusatzangaben, die Sie freiwillig machen (z. B. Anlass, Namen der Mitspielenden).

Die Verwaltung der Buchungen erfolgt im Buchungssystem Checkfront (Checkfront Inc., 1-1414 Hillside Ave, Victoria BC V8T 2B7, Kanada; für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission). Zahlungen werden über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, abgewickelt; Stripe erhält die für die Zahlung erforderlichen Daten (Name, E-Mail, Zahlungsmittel, Betrag); vollständige Kartendaten erhalten wir nicht.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Aufbewahrung, § 132 BAO, § 212 UGB – sieben Jahre). Buchungsbestätigungen, Erinnerungen und der Zugangs-QR-Code für den Standort außerhalb der Center-Öffnungszeiten werden per E-Mail versandt (Art. 6 Abs. 1 lit. b DSGVO).

6. Anfrageformular, E-Mail und Telefon

Wenn Sie uns über das Anfrageformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail, Telefonnummer, Unternehmen, Wunschdatum, Personenzahl, Nachricht) zur Bearbeitung Ihrer Anfrage. Die Anfragen werden im zentralen Anfragesystem (NXTL Hub) gespeichert, das die Next Level Erlebnisse GmbH für uns betreibt [Auftragsverarbeitung]. Zusätzlich speichern wir zur Spam-Abwehr und Zuordnung die IP-Adresse, den Browser, die Herkunftsseite und – mit Ihrer Einwilligung in Analyse-Cookies – Kampagnenparameter (UTM) und eine anonyme Google-Analytics-Client-ID.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung). Anfragen löschen wir nach [24 Monaten], sofern keine Buchung zustande kommt und keine gesetzlichen Aufbewahrungspflichten bestehen. Die Übermittlung der Anfrage-Mails erfolgt über [SMTP-Dienst / Brevo – ergänzen].

7. Webanalyse und Online-Werbung (nur mit Einwilligung)

Die folgenden Dienste setzen wir ausschließlich ein, wenn Sie in Cookiebot der Kategorie „Statistik“ bzw. „Marketing“ zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Ein Widerruf ist jederzeit über „Cookie-Einstellungen“ möglich.

Google Tag Manager und serverseitiges Tagging (Stape)

Zur Verwaltung der Dienste nutzen wir den Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Die Tags werden über einen serverseitigen Container ausgespielt, der bei Stape (Stape Inc., [Adresse ergänzen]; Hosting-Region [EU – prüfen]) unter unserer eigenen Subdomain [sgtm.nxtl.at] betrieben wird. Dadurch werden Daten zunächst an unseren Server übermittelt, dort gefiltert (z. B. Kürzung der IP-Adresse) und erst dann an die nachfolgenden Dienste weitergegeben.

Google Analytics 4

Google Analytics 4 (Google Ireland Limited) misst die Nutzung unserer Website (Seitenaufrufe, Klicks auf Buchungs- und Kontakt-Buttons, Formularabsendungen, Scrolltiefe, Buchungsschritte). IP-Adressen werden nicht gespeichert. Die Daten können in die USA übermittelt werden; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Speicherdauer der Nutzer- und Ereignisdaten: 14 Monate.

Google Ads Conversion-Tracking und Remarketing

Mit Google Ads messen wir, ob Besucher nach dem Klick auf eine Anzeige buchen oder anfragen, und zeigen Besuchern unserer Website interessenbezogene Anzeigen. Bei Zustimmung übermitteln wir bei einer Anfrage eine verschlüsselte (SHA-256) E-Mail-Adresse für erweiterte Conversions.

Meta-Pixel und Meta Conversions API

Zur Erfolgsmessung und Zielgruppenbildung für Anzeigen auf Facebook und Instagram setzen wir das Meta-Pixel und die serverseitige Conversions API ein (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland). Übermittelt werden Ereignisdaten (z. B. Seitenaufruf, Buchungsstart, Anfrage), technische Daten und – verschlüsselt – Kontaktdaten. Für die Datenverarbeitung in der gemeinsamen Verantwortlichkeit gilt die Vereinbarung nach Art. 26 DSGVO von Meta.

[Nur aufnehmen, falls aktiv: TikTok Pixel (TikTok Technology Limited, Dublin), LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Dublin), Microsoft Advertising.]

8. Eingebundene Inhalte Dritter

YouTube-Videos

Trailer und Videos binden wir im erweiterten Datenschutzmodus über youtube-nocookie.com ein (Google Ireland Limited). Das Video wird erst geladen, wenn Sie auf „Video abspielen“ klicken; erst dann wird eine Verbindung zu YouTube hergestellt und YouTube kann Cookies setzen und Nutzungsdaten erheben. Rechtsgrundlage: Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO).

Google Maps

Für die Anfahrt verlinken wir auf Google Maps. Es wird keine Karte eingebettet; erst mit Klick auf den Link verlassen Sie unsere Website.

Schriften und Buchungsskripte

Schriften werden lokal von unserem Server geladen. Der Buchungskalender lädt Skripte von nxtl.de (siehe Punkt 5).

9. Newsletter und Werbung per E-Mail

Mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 Abs. 3 TKG 2021) senden wir Ihnen Neuigkeiten und Angebote von Sandbox VR Wien per E-Mail. Die Anmeldung erfolgt im Double-Opt-in-Verfahren; wir protokollieren Anmeldung, Bestätigung und IP-Adresse. Für den Versand nutzen wir Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland); Brevo wertet Öffnungen und Klicks aus. Sie können sich jederzeit über den Link in jeder E-Mail oder per Nachricht an vienna@sandboxvr.com abmelden.

Bestandskunden, die bei uns gebucht haben, informieren wir im Rahmen des § 174 Abs. 4 TKG 2021 über ähnliche Angebote; Sie können dem bei der Buchung und in jeder Nachricht widersprechen.

10. Datenverarbeitung am Standort Sandbox VR Wien

Check-in und Anzeigen

Zur Abwicklung des Check-ins zeigen Check-in-Tablets und Info-Displays den Vornamen der buchenden Person sowie Uhrzeit und Teilnehmerzahl der Buchung an; Nachnamen werden nicht prominent angezeigt. Spielernamen (Nicknames) und Highscores können auf Bildschirmen im Store erscheinen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Gesundheits-Selbstauskunft und Haftungserklärung

Vor der Teilnahme bestätigen Sie, dass keine Ausschlussgründe (z. B. Schwangerschaft, Epilepsie, Alkohol- oder Drogeneinfluss) vorliegen, und unterzeichnen eine Einwilligungs- und Haftungserklärung, bei Minderjährigen durch die Erziehungsberechtigten. Diese Angaben sind Gesundheitsdaten nach Art. 9 DSGVO; wir verarbeiten sie auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) ausschließlich zur Prüfung der Teilnahmevoraussetzungen und zu Nachweiszwecken. Zur elektronischen Signatur speichern wir Zeitstempel, Dokumentversion, gesetzte Checkboxen und die Signatur. Aufbewahrung: bis zu [10 Jahre] im Hinblick auf die Verjährung von Schadenersatzansprüchen (§ 1489 ABGB); danach löschen wir die Unterlagen.

Highlight-Videos, Fotos und Spielaufnahmen

Während der Session erstellen unsere Systeme automatisch Spielzusammenfassungen, Highlight-Videos und Fotos, die wir Ihnen im Anschluss zur persönlichen Nutzung bereitstellen (Art. 6 Abs. 1 lit. b DSGVO). Diese Inhalte werden nach spätestens [90 Tagen] gelöscht. Für Marketingzwecke (Website, Social Media, Print) verwenden wir Aufnahmen nur mit Ihrer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 78 UrhG), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Zutrittssystem außerhalb der Center-Öffnungszeiten

Für den Zugang über Stiege 2 erhalten Gäste mit Buchung am Vortag einen persönlichen QR-Code. Beim Einlass werden Buchungsnummer und Zeitpunkt protokolliert (Art. 6 Abs. 1 lit. b und f DSGVO, Sicherheit der Räumlichkeiten); die Protokolle werden nach [30 Tagen] gelöscht.

Videoüberwachung

[Falls vorhanden: Teile des Standorts (Eingang, Kassa, Lounge) sind videoüberwacht. Zweck ist der Schutz von Personen und Eigentum (Art. 6 Abs. 1 lit. f DSGVO, §§ 12, 13 DSG). Aufnahmen werden nach 72 Stunden gelöscht, sofern sie nicht zur Verfolgung eines Vorfalls benötigt werden. Die Überwachung ist durch Hinweisschilder gekennzeichnet.]

11. Empfänger und Drittlandübermittlung

Wir geben personenbezogene Daten nur weiter, soweit dies zur Vertragserfüllung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Empfänger können sein: die Next Level Erlebnisse GmbH als Betreiberin von Buchungssystem, Kundenbereich und Hub [Auftragsverarbeitung / gemeinsame Verantwortlichkeit]; Checkfront Inc. (Buchungen); Stripe Payments Europe Ltd. (Zahlungen); Brevo (E-Mail-Versand); Usercentrics A/S (Consent); Google, Meta und Stape (Analyse und Werbung, nur mit Einwilligung); Sandbox VR, Inc. als Franchisegeberin, soweit für den Spielbetrieb erforderlich (Spielername, Session-Daten) [prüfen]; Steuerberatung und Behörden im gesetzlichen Rahmen.

Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (Kanada, EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln (Art. 44 ff. DSGVO).

12. Speicherdauer, Minderjährige, Ihre Rechte

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (Buchungs- und Rechnungsdaten sieben Jahre nach § 132 BAO und § 212 UGB). Einwilligungsbasierte Verarbeitungen enden mit Ihrem Widerruf.

Minderjährige: Für Kinder unter 14 Jahren geben die Erziehungsberechtigten die erforderlichen Einwilligungen ab (§ 4 Abs. 4 DSG). Wir richten keine Werbung an Minderjährige.

Zur Ausübung Ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf) genügt eine formlose Nachricht an vienna@sandboxvr.com. Widerspruch gegen Direktwerbung ist jederzeit und ohne Angabe von Gründen möglich (Art. 21 Abs. 2 DSGVO). Beschwerden richten Sie an die Österreichische Datenschutzbehörde (dsb@dsb.gv.at).

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage oder unsere Dienste ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.