Datenschutzerklärung | Virtual Zone

Die Website virtualzonevr.com (im Folgenden „VirtualZone“) ist Eigentum der Virtual Zone Nexus, S.L. (im Folgenden „VZ“), Steuernummer (CIF) B42692533, mit Sitz in Plaza de los Luceros, 17, Planta 1, 03004, Alicante, Spanien. E-Mail: info@virtualzone.es. Eingetragen im Handelsregister (Registro Mercantil) von Alicante, Band 4280, Blatt 32, Registerblatt A-168908, Eintragung 1.

Diese Datenschutzerklärung regelt die Verarbeitung der personenbezogenen Daten der Nutzer (im Folgenden die „Nutzer“) durch VZ im Rahmen der Website und der in ihren Standorten erbrachten Leistungen.

VZ verarbeitet personenbezogene Daten im Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung, DSGVO), dem spanischen Organgesetz 3/2018 vom 5. Dezember über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD) und dem spanischen Gesetz 34/2002 vom 11. Juli über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr (LSSI).

VZ behält sich das Recht vor, den Inhalt dieser Datenschutzerklärung zu ändern, um sie an neue Gesetzgebung oder Rechtsprechung sowie an die Kriterien der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD) oder des Europäischen Datenschutzausschusses (EDSA) anzupassen.

1. Wer ist für die Verarbeitung Ihrer personenbezogenen Daten verantwortlich?

Verantwortlicher für die Verarbeitung der über diese Website und die Standorte von Virtual Zone in Spanien erhobenen personenbezogenen Daten ist die Virtual Zone Nexus, S.L., Steuernummer (CIF) B42692533, mit Sitz in Plaza de los Luceros, 17, Alicante, Spanien, E-Mail info@virtualzone.es.

Räumlicher Geltungsbereich dieser Erklärung. Diese Datenschutzerklärung regelt die Datenverarbeitungen, die die Virtual Zone Nexus, S.L. im Zusammenhang mit der Website und den von ihr betriebenen Standorten in Spanien, in Den Haag (Niederlande) und in Pune (Indien) durchführt, Letztere gemäß den in Abschnitt 7.3 beschriebenen Bedingungen. Die in Frankreich betriebenen Standorte (Paris, Bordeaux und Lyon) werden von Virtual Zone Francia betrieben, einer verbundenen Gesellschaft, die hinsichtlich der von ihr erhobenen personenbezogenen Daten als eigenständiger und unabhängiger Verantwortlicher handelt. Diese Gesellschaft verfügt über eine eigene Datenschutzerklärung oder muss über eine solche verfügen. Diese Erklärung gilt nicht für die von Virtual Zone Francia durchgeführten Verarbeitungen.

2. Welche Grundsätze wenden wir bei der Verarbeitung Ihrer personenbezogenen Daten an?

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Wir verarbeiten Ihre Daten nur, wenn wir über eine gültige Rechtsgrundlage verfügen (Vertrag, Einwilligung, rechtliche Verpflichtung oder berechtigtes Interesse), und informieren Sie vorab klar darüber.
Datenminimierung: Wir erheben nur die für den jeweiligen Zweck unbedingt erforderlichen Daten.
Speicherbegrenzung: Wir speichern die Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist (siehe Abschnitt 6).
Integrität und Vertraulichkeit: Wir ergreifen technische und organisatorische Maßnahmen, um die Sicherheit Ihrer Daten gemäß Art. 32 DSGVO zu gewährleisten.

3. Wie haben wir Ihre personenbezogenen Daten erhalten?

Die von VZ verarbeiteten personenbezogenen Daten stammen aus:

Buchungsformular (Website, Tablets in unseren Räumlichkeiten, telefonisch oder persönlich): Vor- und Nachname, Personalausweisnummer (DNI), Telefonnummer und E-Mail-Adresse. VZ erhebt in keinem Fall Bankkartendaten oder Zahlungscodes; der Zahlungsvorgang wird direkt vom jeweiligen Zahlungsgateway abgewickelt (siehe Abschnitt 7).
Formularen für den Zugang zum Spielraum (Einverständniserklärung für Minderjährige, Haftungsausschlüsse): die in jedem Formular beschriebenen Daten, die zum Zeitpunkt des Erlebnisses erhoben werden.
E-Mails und Anfragen, die an unsere Kontaktadressen gesendet werden.
Bildern und Videos, die während des Erlebnisses aufgenommen werden, nach vorheriger ausdrücklicher Genehmigung des Nutzers oder, bei Minderjährigen, ihres Vaters, ihrer Mutter oder ihres gesetzlichen Vormunds.

Der Nutzer ist für die Richtigkeit der angegebenen Daten und deren Aktualisierung verantwortlich.

4. Auf welcher Rechtsgrundlage verarbeiten wir Ihre personenbezogenen Daten?

Gemäß Art. 6 DSGVO variiert die Rechtsgrundlage der Verarbeitung je nach Zweck:

Zweck	Rechtsgrundlage	Grundlage
Verwaltung der Buchung und Erbringung der gebuchten Leistung	Erfüllung eines Vertrags	Art. 6 Abs. 1 lit. b DSGVO
Rechnungsstellung und steuerliche Pflichten	Rechtliche Verpflichtung	Art. 6 Abs. 1 lit. c DSGVO
Beantwortung von per E-Mail gestellten Anfragen	Durchführung vorvertraglicher Maßnahmen / berechtigtes Interesse	Art. 6 Abs. 1 lit. b und f DSGVO
Versand von kommerziellen und Werbemitteilungen	Ausdrückliche, freiwillige und spezifische Einwilligung (separates, nicht vorangekreuztes Kästchen)	Art. 6 Abs. 1 lit. a DSGVO; Art. 21 LSSI
Aufnahme und Nutzung von Bildern/Videos als persönliche Erinnerung	Ausdrückliche Einwilligung des Nutzers (oder seines gesetzlichen Vertreters, falls minderjährig)	Art. 6 Abs. 1 lit. a DSGVO; Art. 92 LOPDGDD
Kommerzielle Verbreitung von Bildern/Videos	Ausdrückliche, spezifische und gesonderte Einwilligung	Art. 6 Abs. 1 lit. a DSGVO; Art. 92 LOPDGDD
Analyse- und Personalisierungs-Cookies	Vorherige Einwilligung des Nutzers	Art. 22 LSSI

Wichtig: Die Einwilligung in den Erhalt kommerzieller Mitteilungen und in die Verbreitung von Bildern zu kommerziellen Zwecken ist niemals Voraussetzung für die Buchung oder die Teilnahme am Erlebnis. Sie wird gesondert eingeholt und kann jederzeit widerrufen werden, ohne dass dies die Erbringung der Leistung beeinträchtigt.

5. Zu welchem Zweck verarbeiten wir Ihre personenbezogenen Daten?

5.1. Buchungsformular

Die Daten des Buchungsformulars werden verarbeitet, um die Buchung zu verwalten, die gebuchte Leistung zu erbringen und den Nutzer darüber zu informieren.

5.2. Bilder und Videos während des Erlebnisses

Die während des Erlebnisses erhobenen Bilder und Videos werden nach vorheriger ausdrücklicher Genehmigung zu den folgenden Zwecken verarbeitet, in die der Nutzer jeweils unabhängig voneinander einwilligen kann:

Überwachung des Erlebnisses durch das Team von VZ, um die ordnungsgemäße Durchführung der Aktivität und die Sicherheit der Teilnehmer zu gewährleisten.
Versand eines Videos oder zusammenfassender Bilder als Erinnerung an das Erlebnis, ausschließlich an die Teilnehmer der Gruppe.
Verbreitung zu kommerziellen oder Werbezwecken (soziale Netzwerke, Website oder andere Medien) von Bildern erwachsener Teilnehmer, nur wenn der Teilnehmer eine ausdrückliche, spezifische und gesonderte Einwilligung für diesen Zweck erteilt hat. Virtual Zone verbreitet keine Bilder oder Videos, auf denen Minderjährige zu sehen sind, zu kommerziellen Zwecken.

5.3. Sonstige Zwecke

Erfüllung rechtlicher Verpflichtungen und Bearbeitung von Anfragen der zuständigen Behörden.
Verbesserung unserer Produkte und Leistungen.
Verwaltung unserer Präsenz in sozialen Netzwerken gemäß den Nutzungsbedingungen und Datenschutzrichtlinien der jeweiligen Plattform. Weitere Informationen zur Verwendung von Cookies finden Sie in unserer Cookie-Richtlinie.

6. Wie lange speichern wir Ihre personenbezogenen Daten?

Die personenbezogenen Daten werden für folgende Zeiträume gespeichert:

Buchungsdaten und Daten zur Leistungserbringung: für die Dauer des Vertragsverhältnisses und anschließend für die Dauer der Verjährungsfristen etwaiger rechtlicher Ansprüche (in der Regel bis zu 5 Jahre gemäß der Verjährungsregelung für persönliche Ansprüche).
Daten für steuerliche und buchhalterische Zwecke: für die gesetzlich vorgeschriebene Frist (in der Regel 6 Jahre gemäß dem spanischen Handelsgesetzbuch (Código de Comercio), unbeschadet spezifischer steuerlicher Fristen).
Bilder und Videos als persönliche Erinnerung: werden höchstens 6 Monate ab ihrem Versand an den für die Buchung verantwortlichen Erwachsenen gespeichert, es sei denn, die betroffene Person beantragt vorher ihre Löschung; in diesem Fall löscht VZ sie innerhalb von höchstens 30 Tagen nach Eingang des Antrags.
Bilder und Videos zu kommerziellen Zwecken (sofern eine Einwilligung vorliegt): bis zum Widerruf der Einwilligung durch die betroffene Person, mit regelmäßiger Überprüfung ihrer Gültigkeit. In keinem Fall werden sie „zeitlich unbegrenzt“ gespeichert.
Auf Grundlage einer Einwilligung verarbeitete Daten (Marketing): bis der Nutzer seine Einwilligung widerruft.

7. An welche Empfänger werden Ihre personenbezogenen Daten weitergegeben? Auftragsverarbeiter und internationale Übermittlungen

Ihre personenbezogenen Daten werden ohne Ihre ausdrückliche Einwilligung oder ohne rechtliche Verpflichtung weder verkauft noch vermietet noch an Dritte weitergegeben. Zur Erbringung ihrer Leistungen greift VZ auf die folgenden Anbieter zurück, die als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig sind:

7.1. In der Europäischen Union niedergelassene Anbieter

Anbieter	Zweck	Anmerkungen
Connectif (Spanien)	Marketing-Automatisierung und Verwaltung der Kommunikation mit Kunden	In der EU niedergelassen; keine internationale Datenübermittlung.
Redsys	Zahlungsgateway (Online-Kartenterminal und Bizum), angebunden an die Banco Santander	In Spanien niedergelassen; keine internationale Datenübermittlung.

7.2. Anbieter mit internationaler Datenübermittlung (außerhalb des Europäischen Wirtschaftsraums)

Befindet sich ein Anbieter außerhalb des Europäischen Wirtschaftsraums (EWR), verlangt die DSGVO, dass die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder auf geeignete Garantien wie Standardvertragsklauseln (SCC) (Art. 46 DSGVO) gestützt wird. Nachfolgend wird die Situation jedes Anbieters dargestellt:

Anbieter	Zweck	Land	Grundlage der Übermittlung
Mailchimp (The Rocket Science Group LLC, Tochtergesellschaft der Intuit Inc.)	Versand transaktionaler E-Mails	Vereinigte Staaten	EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework), mit Standardvertragsklauseln als zusätzliche Garantie für den Fall, dass dieser Rahmen für ungültig erklärt wird oder nicht anwendbar ist.
Google Analytics (Google LLC)	Messung der Website-Nutzung und statistische Analyse des Surfverhaltens	Vereinigte Staaten	EU-US-Datenschutzrahmen, mit Standardvertragsklauseln als zusätzliche Garantie.
PayPal	Zahlungsgateway (alternative Zahlungsoption)	Vereinigte Staaten / Luxemburg	Standardvertragsklauseln (PayPal nimmt nicht am Datenschutzrahmen teil).

Hinweis zur Stabilität dieser Regelung: Der EU-US-Datenschutzrahmen wurde am 10. Juli 2023 durch einen Angemessenheitsbeschluss der Europäischen Kommission angenommen und ersetzte den früheren „Privacy Shield“, der 2020 vom Gerichtshof der Europäischen Union für ungültig erklärt worden war (Urteil Schrems II, Rechtssache C-311/18). Der neue Rahmen hat im September 2025 eine erste gerichtliche Klage vor dem Gericht der EU überstanden; gegen dieses Urteil wurde jedoch ein Rechtsmittel eingelegt, und der Rahmen unterliegt weiterhin einer Überprüfung. VZ wird den Status der Zertifizierungen seiner Anbieter regelmäßig überprüfen und erforderlichenfalls zusätzliche Garantien ergreifen.

7.3. Standort Pune (Indien) und weitere internationale Standorte

Neben ihren Standorten in Spanien betreibt VZ einen Standort in Pune (Indien) und einen Standort in Den Haag (Niederlande). Der Standort Den Haag wird von der Virtual Zone Nexus, S.L. betrieben und unterliegt dieser Erklärung. Da es sich um ein Land der Europäischen Union handelt, findet keine internationale Datenübermittlung außerhalb des Europäischen Wirtschaftsraums statt.

Der Standort Pune teilt mit dem spanischen Hauptsitz ein System zur Verwaltung von Buchungen und Nutzerdaten, auf das die Virtual Zone Nexus, S.L. von Spanien aus Zugriff hat. Für Indien liegt kein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) vor, sodass dieser Zugriff eine internationale Datenübermittlung darstellt, die Kapitel V der DSGVO unterliegt und auf die in Art. 46 DSGVO vorgesehenen geeigneten Garantien gestützt wird.

7.4. Von Virtual Zone Francia betriebene Standorte

Die Standorte in Paris, Bordeaux und Lyon werden von Virtual Zone Francia betrieben, einer verbundenen Gesellschaft, die als eigenständiger und unabhängiger Verantwortlicher handelt. Diese Erklärung gilt nicht für die von dieser Gesellschaft erhobenen personenbezogenen Daten.

7.5. Nexus Consultores

VZ kann Nexus Consultores als Auftragsverarbeiter für die Erbringung von Beratungsleistungen im Zusammenhang mit der Tätigkeit von VZ einsetzen, wobei Nexus Consultores stets nach Weisung von VZ und mit den nach Art. 28 DSGVO erforderlichen Garantien handelt.

7.6. Soziale Netzwerke

VZ ist in sozialen Netzwerken präsent (Facebook, Instagram, YouTube und weitere, die künftig genutzt werden können). Die Verarbeitung der Daten der Follower dieser Profile unterliegt dieser Erklärung und zusätzlich den Bedingungen und Datenschutzrichtlinien des jeweiligen sozialen Netzwerks. VZ gibt über diese Plattformen keine personenbezogenen Daten seiner Follower weiter, die über das hinausgehen, was das jeweilige soziale Netzwerk selbst ermöglicht.

7.7. Kapazität und Standorte

Die Virtual Zone Nexus, S.L. betreibt derzeit die folgenden Standorte: Alicante, Valencia, Manises (Valencia), Murcia, Sevilla, Bilbao, Madrid (2 Räume), Pamplona, Valladolid, Cádiz, Den Haag (Niederlande) und Pune, Indien (2 Räume). Die Liste der Standorte kann aufgrund von Neueröffnungen aktualisiert werden; die jeweils gültige Fassung ist stets auf virtualzonevr.com verfügbar.

8. Welche Rechte haben Sie in Bezug auf Ihre personenbezogenen Daten?

Gemäß der DSGVO haben Sie die folgenden Rechte:

Auskunft: zu erfahren, welche Daten wir über Sie verarbeiten, zu welchem Zweck und woher sie stammen.
Berichtigung: unrichtige oder unvollständige Daten berichtigen zu lassen.
Löschung: die Löschung Ihrer Daten zu verlangen, wenn sie nicht mehr erforderlich sind, Sie Ihre Einwilligung widerrufen, Sie der Verarbeitung widersprechen oder diese unrechtmäßig war.
Widerspruch: der Verarbeitung Ihrer Daten aus berechtigten Gründen zu widersprechen, insbesondere im Hinblick auf Direktwerbung.
Einschränkung der Verarbeitung: die Einschränkung der Verarbeitung in den in Art. 18 DSGVO vorgesehenen Fällen zu verlangen.
Datenübertragbarkeit: Ihre Daten in einem strukturierten, gängigen Format zu erhalten und sie einem anderen Verantwortlichen zu übermitteln.
Widerruf der Einwilligung: eine für einen bestimmten Zweck erteilte Einwilligung jederzeit zu widerrufen, ohne dass dadurch die Rechtmäßigkeit der zuvor erfolgten Verarbeitung berührt wird.

Sie können diese Rechte ausüben, indem Sie sich schriftlich an die Virtual Zone Nexus, S.L. unter der in Abschnitt 1 angegebenen Adresse oder per E-Mail an info@virtualzone.es wenden, mit dem Betreff „Ejercicio de derechos de protección de datos“ (Ausübung von Datenschutzrechten) und unter Beifügung einer Kopie Ihres Personalausweises (DNI) oder eines gleichwertigen Dokuments.

Sind Sie der Ansicht, dass die Verarbeitung Ihrer Daten nicht den geltenden Vorschriften entspricht, haben Sie das Recht, Beschwerde bei der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD), C/ Jorge Juan, 6, 28001 Madrid (www.aepd.es), einzulegen.

9. Minderjährige

Gemäß Art. 7 LOPDGDD kann die Verarbeitung personenbezogener Daten eines Minderjährigen erst ab einem Alter von 14 Jahren auf dessen eigene Einwilligung gestützt werden. Unterhalb dieses Alters muss die Einwilligung vom Vater, der Mutter oder dem gesetzlichen Vormund des Minderjährigen erteilt werden.

Das empfohlene Mindestalter für die Erlebnisse von Virtual Zone beträgt 8 Jahre für Cultural-Erlebnisse und 10 Jahre für Gaming-Erlebnisse. Dieses Zugangsalter unterscheidet sich vom Alter der digitalen Einwilligung (14 Jahre): Bei Minderjährigen, die an einem Erlebnis teilnehmen und zwischen dem Mindestzugangsalter und 14 Jahren alt sind, muss die Einwilligung in die Verarbeitung ihrer personenbezogenen Daten in jedem Fall von ihrem Vater, ihrer Mutter oder ihrem gesetzlichen Vormund erteilt werden und nicht vom Minderjährigen selbst, unabhängig davon, dass dieser physisch an der Aktivität teilnimmt. Diese Unterscheidung spiegelt sich im Einverständnisformular für Minderjährige wider.

Buchungen über die Website dürfen nur von Personen vorgenommen werden, die älter als 18 Jahre sind; diese handeln als Verantwortliche für die Buchung und gegebenenfalls für die sie begleitenden Minderjährigen.

10. Sicherheitsmaßnahmen

VZ ergreift geeignete technische und organisatorische Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschließlich Pseudonymisierung und Verschlüsselung, sofern angemessen, gemäß Art. 32 DSGVO. Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigt VZ die Betroffenen und die AEPD gegebenenfalls gemäß den in Art. 33 DSGVO vorgesehenen Bedingungen und Fristen.