DSGVO-Anhang zur Auftragsverarbeitung Ludik Évasion

Version 1.0 - gültig ab dem 1. Dezember 2026.

Hinweis zur maßgeblichen Sprache: Diese deutsche Übersetzung dient ausschließlich der Verständlichkeit. Bei Abweichungen, Widersprüchen oder unterschiedlichen Auslegungen ist die französische Fassung maßgeblich.

Dieser Anhang ergänzt die Allgemeinen Betreiberbedingungen von Ludik Évasion (nachfolgend „Allgemeine Bedingungen“), wenn Ludik Evasion (nachfolgend „Herausgeber“) personenbezogene Daten im Auftrag eines Betreibers im Rahmen der Plattform Ludik Évasion (nachfolgend „Plattform“) verarbeitet.

Er bildet den in Artikel 28 der Verordnung (EU) 2016/679 vom 27. April 2016 (nachfolgend „DSGVO“) vorgesehenen Auftragsverarbeitungsvertrag für diese Verarbeitungen. Begriffe, die mit einem Großbuchstaben beginnen und in diesem Anhang nicht definiert werden, haben die ihnen in den Allgemeinen Bedingungen zugewiesene Bedeutung.

1. Parteien und Rollen

1.1 Der Betreiber handelt als Verantwortlicher für personenbezogene Daten der Teilnehmer, die im Rahmen seiner Quests und des Verkaufs seiner Anmeldungen verarbeitet werden. Er bestimmt insbesondere die von ihm betriebenen Quests, deren Orte und Termine, die aktivierten Funktionen, die angeforderten Teilnehmerdaten und die Teilnahmebedingungen.

1.2 Der Herausgeber handelt bei diesen Verarbeitungen als Auftragsverarbeiter des Betreibers.

1.3 Der Herausgeber bleibt eigenständiger Verantwortlicher für die zum Betrieb der Plattform erforderlichen Verarbeitungen, insbesondere Kontoverwaltung, Authentifizierung, Sicherheit, Katalog, Betriebslizenzen, Berechnung, Erhebung und Kontrolle der Provision, statistische Kennzahlen zu seinen Szenarien, Support, technische Diagnose, Bearbeitung von Meldungen, Erfüllung gesetzlicher Pflichten und Verteidigung seiner Rechte. Diese Verarbeitungen werden in der Datenschutzerklärung der Plattform beschrieben. Für statistische Kennzahlen zu seinen Szenarien und die Kontrolle der Provision verwendet der Herausgeber nur die erforderlichen Daten aus den Quests des Betreibers auf Grundlage seines berechtigten Interesses an der Verfolgung und Verbesserung seiner Szenarien und der Kontrolle der Erfüllung der Betriebslizenzen; er verwendet sie niemals, um Teilnehmer anzusprechen.

2. Gegenstand, Art, Zwecke und Dauer der Verarbeitungen

2.1 Gegenstand der übertragenen Verarbeitungen ist die technische Bereitstellung der Plattform für den Betreiber zum Betrieb seiner Quests. Sie umfassen Erhebung, Aufzeichnung, Aufbewahrung, Einsichtnahme, Bereitstellung, Übermittlung, Synchronisierung, Sicherung, Export, Anonymisierung und Löschung der Daten.

2.2 Sie umfassen insbesondere:

• Zugang der Teilnehmer und Teams zu Quests über QR-Code, Einladungslink, Anmeldung oder Katalog
• Spielablauf, Fortschritt, Antworten, Hinweise, Punktzahlen, Ranglisten und Ergebnisse
• funktionale Geolokalisierung und, sofern aktiviert und akzeptiert, Wegverlauf und Live-Verfolgung
• Fotos, Medien und Quest-Alben sowie Nachweise der Veröffentlichungsentscheidungen
• Erhebung der vom Betreiber angeforderten Teilnehmerdaten und Nachweis der entsprechenden Einwilligung
• Feedback am Spielende und E-Mail-Benachrichtigung der benannten Empfänger
• Erfassung kostenpflichtiger Anmeldungen und Versand ihrer Bestätigung
• Support, Wartung, Sicherheit und Backups

2.3 Die übertragenen Verarbeitungen dauern während der gesamten Beziehung zwischen Herausgeber und Betreiber und anschließend während der in Artikel 13 vorgesehenen Vorgänge zum Ende der Beziehung.

3. Kategorien betroffener Personen

Die übertragenen Verarbeitungen betreffen:

• Teilnehmer, Spieler und Teammitglieder der Quests des Betreibers, einschließlich Minderjähriger, wenn der Betreiber sie zulässt
• Käufer von Anmeldungen
• Personen, die auf während einer Quest übermittelten Fotos oder Videos erscheinen
• Mitglieder des Betreibers und von ihm benannte Empfänger der Feedback-E-Mails

4. Datenkategorien

4.1 Die im Auftrag des Betreibers verarbeiteten Datenkategorien sind:

• Teilnahmedaten: Team, Teamname und -avatar, Zeiten, Fortschritt, Antworten, Hinweise, Punktzahlen, aggregierte Entfernung, Ranglisten
• Teilnehmerdaten aus den vom Betreiber ausgewählten Feldern: Vorname, Nachname, E-Mail-Adresse, Geburtsdatum, Postleitzahl, Telefonnummer
• Wegverlauf, wenn vom Betreiber aktiviert und vom Teilnehmer akzeptiert: Breitengrad, Längengrad, Genauigkeit, Höhe, Richtung, Geschwindigkeit, Zeitstempel und letzte Position
• während der Quest übermittelte Fotos, Videos, Tonaufnahmen und Avatare mit ihren Dateimetadaten
• Nachweise der Entscheidungen der Teilnehmer: Art der Auswahl, Entscheidung, angezeigter Text und dessen Fingerabdruck, Sprache, Kontext, technische Sitzungs- und Gerätekennungen, Fingerabdrücke der IP-Adresse und des Browsers
• Feedback am Spielende
• Daten kostenpflichtiger Anmeldungen: E-Mail-Adresse und Sprache des Käufers, Teilnehmerdaten und zugehörige Entscheidungen, Zahlungskennungen und -status, Betrag, Bestätigungs-E-Mail
• für den Betrieb und die Sicherheit der übertragenen Verarbeitungen erforderliche technische Daten

4.2 Die Plattform ist weder für die Verarbeitung besonderer Datenkategorien gemäß Artikel 9 DSGVO noch von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO ausgelegt. Der Betreiber darf solche Daten nicht über die Plattform erheben, insbesondere nicht in den Fragen seiner Quests. Fotos unterliegen keiner biometrischen Verarbeitung.

5. Dokumentierte Weisungen

5.1 Die dokumentierten Weisungen des Betreibers ergeben sich aus den Allgemeinen Bedingungen, diesem Anhang, den vom Betreiber auf der Plattform konfigurierten Einstellungen und seinen vom Herausgeber akzeptierten schriftlichen Anfragen. Der Herausgeber verarbeitet anvertraute Daten ausschließlich auf diese Weisungen, auch hinsichtlich Übermittlungen außerhalb der Europäischen Union, sofern er nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats, dem er unterliegt, dazu verpflichtet ist; in diesem Fall informiert er den Betreiber vor der Verarbeitung über diese rechtliche Pflicht, sofern dieses Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

5.2 Der Herausgeber informiert den Betreiber unverzüglich, wenn er eine Weisung für einen Verstoß gegen die DSGVO oder eine andere Datenschutzbestimmung hält.

5.3 Sofern keine abweichende dokumentierte, vom Herausgeber akzeptierte Weisung des Betreibers vorliegt, gelten folgende Aufbewahrungs- und Löschregeln:

6. Vertraulichkeit

Der Herausgeber gewährleistet, dass die zur Verarbeitung anvertrauter Daten befugten Personen, einschließlich des Personals seiner weiteren Auftragsverarbeiter, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im für ihre Aufgaben erforderlichen Umfang auf Daten zugreifen.

7. Sicherheit

7.1 Der Herausgeber ergreift alle nach Artikel 32 DSGVO erforderlichen Maßnahmen. Gemeinsam mit seinen weiteren Auftragsverarbeitern setzt er geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau sicherzustellen, unter Berücksichtigung des Stands der Technik, der Umsetzungskosten, der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitungen sowie der Risiken für die Rechte und Freiheiten der Personen.

7.2 Diese Maßnahmen umfassen insbesondere:

• Verschlüsselung der Kommunikation zwischen Anwendungen und Servern
• Speicherung von Passwörtern und Einladungsgeheimnissen in gehashter Form
• Zugangskontrolle zu Daten entsprechend Organisationsmitgliedschaft und Rechten jeder Rolle
• nach Prüfung der Rechte auf eine (1) Stunde begrenzte Medienzugangslinks
• Entfernung von Standort- und Gerätemetadaten aus Fotos bei deren Verarbeitung
• personenbezogene Betriebskonten ohne gemeinsam genutztes Konto, mit Mehrfaktor-Authentifizierung, sofern der Anbieter sie ermöglicht, und Entzug nicht mehr erforderlicher Zugriffe
• regelmäßige Datenbank-Backups
• technische Protokollierung, die Geheimnisse, rohe Geolokalisierungskoordinaten und Zahlungskennungen ausschließt

7.3 Unbeschadet Artikel 7.1 werden erweiterte Sicherheitsprüfungen, Zertifizierungen, gesonderte Penetrationstests, erhöhte Servicelevels oder spezifische Verschlüsselungen nur bereitgestellt, wenn sie in einer gesonderten schriftlichen Vereinbarung vorgesehen sind.

8. Weitere Auftragsverarbeiter

8.1 Der Betreiber gestattet dem Herausgeber, folgende weitere Auftragsverarbeiter einzusetzen:

8.2 Der Herausgeber legt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Anhang, insbesondere ausreichende Garantien für geeignete technische und organisatorische Maßnahmen. Erfüllt ein weiterer Auftragsverarbeiter seine Datenschutzpflichten nicht, bleibt der Herausgeber gegenüber dem Betreiber für die Erfüllung dieser Pflichten durch diesen weiteren Auftragsverarbeiter vollständig verantwortlich.

8.3 Der Herausgeber informiert den Betreiber vorab, mindestens fünfzehn (15) Tage vor Wirksamwerden, per E-Mail an dessen Kontaktpersonen über jede Hinzunahme oder Ersetzung eines weiteren Auftragsverarbeiters unter Angabe seiner Identität, der übertragenen Leistung und des Datenstandorts und veröffentlicht eine neue Version dieses Anhangs. Der Betreiber kann während dieser Frist Einwände erheben. Bei einem Einwand suchen die Parteien nach Treu und Glauben eine Lösung. Andernfalls kann der Betreiber die von dieser Änderung betroffenen Dienste ohne Vertragsstrafe beenden, gegebenenfalls einschließlich der durch die Allgemeinen Bedingungen geregelten Beziehung.

8.4 Anmeldungszahlungen werden von Stripe auf dem verbundenen Konto des Betreibers auf Grundlage des direkt zwischen dem Betreiber und Stripe geschlossenen Vertrags verarbeitet. Stripe, Apple, Google und Kartenanbieter handeln nach ihren eigenen Bedingungen und sind keine weiteren Auftragsverarbeiter des Herausgebers.

9. Übermittlungen außerhalb der Europäischen Union

Wenn ein weiterer Auftragsverarbeiter Daten aus einem Land außerhalb der Europäischen Union verarbeitet oder darauf zugreifen kann, stellt der Herausgeber sicher, dass die Übermittlung durch einen Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des Datenschutzrahmens zwischen der Europäischen Union und den Vereinigten Staaten für zertifizierte Unternehmen, oder durch von der Europäischen Kommission erlassene Standardvertragsklauseln abgesichert ist. Der Herausgeber übermittelt dem Betreiber auf Anfrage Informationen über diese Garantien.

10. Unterstützung bei Betroffenenrechten

10.1 Teilnehmer mit einem Konto können in der mobilen Anwendung einen Export ihrer Daten erhalten, ihr Profil ändern, ihr Konto löschen, ihre Einwilligung zum Wegverlauf widerrufen, den Wegverlauf ihres Teams löschen, der Albumveröffentlichung widersprechen und ein Foto ihres Teams löschen. Sie können ihr Konto auch in den Kontoeinstellungen auf der Website löschen.

10.2 Erhält der Herausgeber direkt eine Anfrage zur Ausübung von Rechten bezüglich der übertragenen Verarbeitungen, leitet er sie ohne ungerechtfertigte Verzögerung an den Betreiber weiter, sofern die Anfrage nicht durch die in Artikel 10.1 beschriebenen Plattformfunktionen erfüllt werden kann.

10.3 Der Herausgeber unterstützt den Betreiber durch geeignete technische und organisatorische Maßnahmen und soweit möglich bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, insbesondere durch Extraktion oder Löschung von Daten, die über die Plattform nicht zugänglich sind.

11. Verletzungen des Schutzes personenbezogener Daten

11.1 Der Herausgeber benachrichtigt den Betreiber so schnell wie möglich nach Kenntniserlangung über jede Datenschutzverletzung, die die übertragenen Verarbeitungen betrifft, per E-Mail an dessen Kontaktpersonen.

11.2 Die Benachrichtigung umfasst, soweit verfügbar:

• Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze
• Name und Kontaktdaten der Kontaktstelle des Herausgebers
• wahrscheinliche Folgen der Verletzung
• ergriffene oder geplante Maßnahmen zur Behebung und Minderung ihrer Auswirkungen

11.3 Können diese Informationen nicht gleichzeitig bereitgestellt werden, erfolgt dies schrittweise. Als Verantwortlicher hat der Betreiber die Verletzung der Aufsichtsbehörde und gegebenenfalls den betroffenen Personen zu melden.

12. Folgenabschätzung und vorherige Konsultation

Der Herausgeber unterstützt den Betreiber bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitungen und der verfügbaren Informationen. Er stellt insbesondere die Informationen und Unterlagen bereit, die für eine Datenschutz-Folgenabschätzung und gegebenenfalls vorherige Konsultation der Aufsichtsbehörde erforderlich sind, insbesondere wenn die Quests des Betreibers die Teilnahme Minderjähriger, den Wegverlauf oder die Veröffentlichung von Fotos kombinieren.

13. Ende der Beziehung

13.1 Vor Schließung seines Betreiberkontos kann der Betreiber den Herausgeber um Export der verfügbaren Daten zu seinen Quests bitten.

13.2 Nach der Schließung und nach der Rückgabe der in Artikel 13.1 vorgesehenen Daten, sofern der Betreiber sie angefordert hat, löscht oder anonymisiert der Herausgeber die im Auftrag des Betreibers verarbeiteten personenbezogenen Daten innerhalb einer angemessenen Frist, die dem Betreiber bei Schließung mitgeteilt wird. Er behält keine Kopie, auch nicht zu Nachweiszwecken, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die Aufbewahrung verlangt, insbesondere für Buchhaltungsbelege zu Anmeldungszahlungen; diese Daten werden dann nur für die vorgeschriebene Dauer aufbewahrt und bleiben gemäß diesem Anhang geschützt. Daten in Backups werden am Ende ihres Rotationszyklus gelöscht.

13.3 Auf schriftliche Anfrage bestätigt der Herausgeber dem Betreiber die Durchführung dieser Vorgänge.

14. Information und Prüfung

14.1 Der Herausgeber stellt dem Betreiber die zur Darlegung der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlichen Informationen bereit, insbesondere die aktuelle Liste der weiteren Auftragsverarbeiter und die Beschreibung der Sicherheitsmaßnahmen.

14.2 Der Herausgeber ermöglicht und unterstützt Prüfungen einschließlich Vor-Ort-Inspektionen durch den Betreiber oder einen von ihm beauftragten unabhängigen Prüfer. Der Betreiber informiert den Herausgeber schriftlich mindestens dreißig (30) Tage im Voraus. Der Prüfer unterliegt einer Vertraulichkeitspflicht. Außer bei einer Datenschutzverletzung, die die übertragenen Verarbeitungen betrifft, darf eine Prüfung höchstens ein (1) Mal pro Jahr erfolgen. Die Prüfung erfolgt auf Kosten des Betreibers unter Bedingungen, die Sicherheit und Vertraulichkeit der Daten anderer Betreiber und Teilnehmer schützen. Zunächst kann eine Dokumentenprüfung oder ein Fragebogen angeboten werden.

15. Pflichten des Betreibers

Der Betreiber verpflichtet sich insbesondere:

• dem Herausgeber rechtmäßige und dokumentierte Weisungen zu erteilen
• die Rechtsgrundlagen seiner Verarbeitungen festzulegen und Teilnehmer zu informieren, auch über Wegverlauf, Live-Verfolgung, Fotoveröffentlichung und öffentlichen Ranglistenzugang, wenn er diese Funktionen aktiviert
• erforderliche Einwilligungen und Genehmigungen einzuholen, insbesondere für die Abbildung von Personen und bei Minderjährigen von deren gesetzlichen Vertretern; bei unter fünfzehn (15) Jahren muss, wenn die Verarbeitung auf Einwilligung beruht, die gemeinsame Einwilligung des Minderjährigen und des oder der Sorgeberechtigten eingeholt werden
• nur für seine Zwecke erforderliche Teilnehmerdaten anzufordern
• erforderlichenfalls eine Folgenabschätzung zu seinen Verarbeitungen durchzuführen
• Anfragen zur Ausübung von Rechten bezüglich seiner Verarbeitungen zu beantworten

16. Haftung, Dauer und Änderungen

16.1 Die Haftung jeder Partei nach diesem Anhang richtet sich nach den Allgemeinen Bedingungen und der DSGVO.

16.2 Dieser Anhang gilt während der gesamten Dauer der übertragenen Verarbeitungen. Seine Bestimmungen zu Vertraulichkeit, Löschung und Information gelten so lange fort, wie es für ihre Erfüllung erforderlich ist.

16.3 Der Herausgeber kann diesen Anhang ändern, um rechtliche, technische oder operative Entwicklungen unter den in den Allgemeinen Bedingungen vorgesehenen Änderungsbedingungen widerzuspiegeln.