Zum Inhalt springen
Öffnungszeiten Öffnungszeiten & Anfahrt
ÖffnungszeitenAnfahrt

Datenschutzerklärung

Zuletzt aktualisiert: 22. Oktober 2026 · Space Magic GmbH

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Space Magic GmbH
Tilsiter Str. 3a
26603 Aurich
E-Mail: moin@spacemagic.fun

2. Erhobene Daten und Verarbeitungszwecke

2.1 Gutschein-Käufe (/gutscheine)

Wenn du einen Gutschein kaufst, verarbeiten wir folgende Daten:

  • Name und E-Mail-Adresse der Käuferin bzw. des Käufers: zur Vertragserfüllung und Zustellung des Gutscheins
  • Postanschrift: nur bei Bestellung eines gedruckten Versands
  • Gutschein-Daten (Wert, gewählter Anlass, optionale Widmung an Empfänger:in, gewünschtes Motiv, Zustellweg)
  • Zahlungsdaten: werden ausschließlich von Mollie verarbeitet; wir erhalten nur eine Zahlungsbestätigung sowie die Mollie-Transaktions-ID

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2 Geburtstags-Buchungen (/geburtstag)

Wenn du eine Geburtstagsfeier buchst, verarbeiten wir folgende Daten:

  • Name, E-Mail-Adresse und (optional) Telefonnummer des Buchenden: zur Vertragserfüllung, für Rückfragen und zur Bestätigung des Termins
  • Buchungsdaten (gewähltes Paket, Termin und Zeitslot, Anzahl Kinder, gewählte Extras, Anmerkungen wie Allergien)
  • Name und Alter des Geburtstagskinds (optional, zur Personalisierung der Feier und der Bestätigungs-E-Mail)
  • Zahlungsdaten der 50 %-Anzahlung: werden ausschließlich von Mollie verarbeitet; wir erhalten nur eine Zahlungsbestätigung sowie die Mollie-Transaktions-ID

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.3 Space-Magic-Shop und Wunschlisten (/shop)

Wenn du im Shop bestellst oder eine Wunschliste anlegst, verarbeiten wir:

  • Name und E-Mail-Adresse der kaufenden Person: Vertrag, Bestätigung, Rückfragen
  • Lieferadresse: nur bei Versand
  • Bestelldaten (Artikel, Variante, Erfüllungsweg Abholung / Versand / Feierraum, Geschenkvermerk)
  • Wunschlisten: ausgewählte Artikel und, bei einer Geburtstags-Liste, die Verknüpfung zur Buchung sowie Vorname des Geburtstagskinds. Der öffentliche Link enthält einen unvorhersagbaren Token, keine Kontodaten. Wer den Link hat, sieht die Wünsche und den Reservierungsstand.
  • Zahlungsdaten: ausschließlich bei Mollie; wir speichern Bestätigung und Transaktions-ID

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Eine geteilte Wunschliste ist dazu da, dass eingeladene Familien denselben Stand sehen. Teile den Link nur mit Personen, die ihn sehen sollen.

2.4 Kontaktformular

Wenn du unser Kontaktformular nutzt, verarbeiten wir deinen Namen, deine E-Mail-Adresse, das gewählte Thema, deine Nachricht und gegebenenfalls eine von dir angegebene Buchungs- oder Bestellnummer. Die Angaben verwenden wir ausschließlich, um deine Anfrage zuzuordnen und zu beantworten. Das Formular enthält ein technisch verborgenes Feld zur Erkennung automatisierter Spam-Anfragen. Wir erstellen dabei kein Nutzerprofil.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit sich deine Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen bezieht, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der geordneten Bearbeitung eingehender Anfragen.

Anfragen zu Firmenevents (über /firmenevents, corporate.spacemagic.fun oder mit dem Thema „Firmenevent“), Anfragen zu Hochzeiten und Events (über /hochzeit und /experiences) sowie Anfragen von Schulen, Kitas und Gruppen (über /schulklassen oder mit dem Thema „Gruppen oder Schulen“) speichern wir zusätzlich in unserer Datenbank bei Cloudflare (s. u.), damit keine Anfrage verloren geht, wenn eine E-Mail nicht ankommt, und damit wir sie vollständig bearbeiten und zählen können. Bei Hochzeits- und Event-Anfragen gehören dazu auch Anlass, Wunsch- und Alternativtermin, Gästezahl, eine freiwillige Telefonnummer und, falls angegeben, Verein oder Veranstalter. Bei Schulanfragen gehören dazu auch Einrichtung, Klassenstufe, Gruppengröße, Zahl der Begleitpersonen, Wunschtermin und Zeitfenster sowie eine freiwillige Telefonnummer. Bitte trag keine Namen oder Gesundheitsangaben einzelner Kinder ein. Wir löschen die Anfragen automatisch sechs Monate nach dem späteren der Zeitpunkte Eingang und gewünschter Termin.

Stellst du auf /schulklassen einen Schulausflug im Assistenten zusammen, speichern wir zusätzlich deine Auswahl (Dauer, Startzeit, Zahl der Klassen, Lehrkräfte und weiteren Begleitpersonen, Stoppersocken, Essen und Getränke), eine freiwillige Rechnungsadresse der Einrichtung und die daraus berechnete unverbindliche Kostenaufstellung. Die Kostenaufstellung erreichst du über einen persönlichen, nicht erratbaren Link in der Bestätigungsmail; das PDF wird bei jedem Abruf aus diesen Angaben neu erzeugt. Damit niemand über das Formular massenhaft Mails an fremde Adressen auslöst, zählen wir die Kostenaufstellungen je E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Wir löschen die Kostenaufstellungen automatisch sechs Monate nach dem späteren der Zeitpunkte Eingang und Besuchstermin. Ein späteres Angebot erstellen wir in unserer Buchhaltungssoftware (Lexware Office); dort gelten die handels- und steuerrechtlichen Aufbewahrungsfristen.

Rufst du /schulklassen über einen Link mit Kampagnenkennung auf (etwa über den QR-Code in unserem Brief an Schulen und Kitas), speichern wir mit der Anfrage auch Quelle und Kampagne aus diesem Link (die Parameter utm_source und utm_campaign), dazu deine freiwillige Antwort auf die Frage, wie du von uns erfahren hast. Dasselbe gilt für Anfragen über corporate.spacemagic.fun: Kommst du über einen Link mit Kampagnenkennung oder über einen Verweis von dieser Website dorthin (der Verweis trägt den Parameter von), speichern wir mit der Anfrage, über welchen Link oder Verweis du gekommen bist. Damit sehen wir, über welche Wege Anfragen zu uns kommen (Art. 6 Abs. 1 lit. f DSGVO). Auf deinem Gerät wird dafür nichts gespeichert; die Angaben gehen erst mit deiner Anfrage an uns und werden mit ihr gelöscht.

2.5 Newsletter (optional)

Für unseren Newsletter (etwa einmal im Monat: Ferientermine, freie Geburtstagstermine und Aktionen) meldest du dich mit einer gesonderten Einwilligung an: im Checkout, nach einem Kauf, im Kundenkonto, auf Aktionsseiten, auf der Startseite oder unten auf jeder Seite. Angemeldet bist du erst, wenn du den Link in unserer Bestätigungsmail anklickst (Double-Opt-in).

Damit wir deine Einwilligung nachweisen können, speichern wir deine E-Mail-Adresse, einen freiwillig angegebenen Vornamen, Zeitpunkt und Ort der Anmeldung, den Wortlaut der Einwilligung und den Zeitpunkt deiner Bestätigung. Zu jeder Ausgabe speichern wir, ob sie an dich übergeben wurde. Versendet wird über Brevo (siehe 3.3).

Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Abmeldelink in jeder Newsletter-E-Mail, im Kundenkonto oder per E-Mail an moin@spacemagic.fun. Nach einer Abmeldung bleiben der Nachweis deiner früheren Einwilligung und ein Sperrvermerk gespeichert, damit wir die Einwilligung belegen können und du keine weitere Werbung von uns bekommst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für Nachweis und Sperrvermerk Art. 6 Abs. 1 lit. c und f in Verbindung mit Art. 7 Abs. 1 DSGVO.

2.6 E-Mails an Bestandskunden (Bewertungsbitte, ähnliche Angebote)

Wenn du bei uns gebucht oder gekauft hast, nutzen wir die dabei angegebene E-Mail-Adresse gelegentlich, um dich über eigene, ähnliche Angebote zu informieren und dich nach deinem Besuch um eine ehrliche Bewertung zu bitten. Darauf weisen wir bereits bei der Buchung hin.

Du kannst dieser Nutzung jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Das geht über den Abmeldelink in jeder dieser E-Mails oder formlos an moin@spacemagic.fun. Deine Buchungsbestätigungen und andere Abwicklungs-E-Mails erhältst du unabhängig davon weiterhin.

Rechtsgrundlage: § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung gegenüber Bestandskunden).

2.7 Server-Logs

Beim Aufruf unserer Website übermittelt dein Browser automatisch technische Informationen (IP-Adresse, Browsertyp, aufgerufene URL, Zeitstempel). Diese werden von Cloudflare (s. u.) für maximal 30 Tage gespeichert und dienen der Sicherheit und Fehlerdiagnose.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

2.8 Gewinnspiele und Verlosungen

Unsere Gewinnspiele laufen auf unseren Social-Media-Kanälen, in der Regel auf Instagram. Die Teilnahme selbst findet dort statt: Kommentare, Likes und Follows verarbeitet der Plattformbetreiber (Meta Platforms Ireland Ltd.) als eigener Verantwortlicher nach seinen eigenen Datenschutzbestimmungen. Wir erhalten diese Daten nicht als Datensatz, sondern sehen nur, was auf der Plattform öffentlich unter dem Beitrag steht.

Bei uns entstehen personenbezogene Daten erst, wenn du gewonnen hast: Name und die Kontaktdaten, die für die Übergabe oder Zustellung des Gewinns nötig sind, sowie bei einem Gutschein die Angaben, die auf dem Gutschein stehen. Zweck ist die Durchführung der Aktion und die Übergabe des Gewinns.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des mit der Teilnahme zustande kommenden Rechtsverhältnisses), ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Abwicklung).

Speicherdauer: bis zur vollständigen Abwicklung des Gewinns. Wird ein Gutschein ausgestellt, bleiben die dazugehörigen Belegdaten für die handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert (in der Regel bis zu zehn Jahre). Angaben von Personen, die nicht gewonnen haben, entstehen bei uns nicht und müssen daher auch nicht gelöscht werden.

Die Teilnahme an einem Gewinnspiel führt zu keiner Newsletter-Anmeldung und zu keiner Werbe-E-Mail. Beides setzt eine getrennte, ausdrückliche Einwilligung voraus (siehe 2.5). Die Teilnahmebedingungen stehen unter Gewinnspielbedingungen.

2.9 Unterlagen per E-Mail anfordern (Firmenevents und Schulklassen)

Auf /firmenevents, corporate.spacemagic.fun und /schulklassen kannst du Unterlagen wie unsere Weihnachtsfeier-Mappe oder die Lehrkräfte-Mappe per E-Mail anfordern. Dafür verarbeiten wir deine E-Mail-Adresse, die angeforderte Unterlage, die Seite, von der die Anforderung kam, und den Zeitpunkt. Wir schicken dir damit einmal die angeforderte Unterlage und begrenzen Mehrfachanforderungen. Die Anforderung führt zu keiner Newsletter-Anmeldung. Ein technisch verborgenes Feld erkennt automatisierte Spam-Anfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf deine Anfrage), für die Begrenzung von Mehrfachanforderungen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).

Freiwilliger Kontaktwunsch: Setzt du das Häkchen, dass sich unsere Ansprechpartnerin einmal persönlich bei dir melden darf, gilt das erst, wenn du es über den Link in der E-Mail bestätigst (Double-Opt-in). Erst dann geben wir deine Adresse an sie weiter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, formlos per E-Mail an corporate@spacemagic.fun.

Sonderausgaben der Lehrkräfte-Mappe (freiwillig): Setzt du auf /schulklassen das Häkchen, dass wir dir auch die nächsten Sonderausgaben schicken dürfen, gilt das erst, wenn du es über den Link in der E-Mail bestätigst (Double-Opt-in). Danach schicken wir dir jede neue Sonderausgabe der Mappe einmal, etwa viermal im Schuljahr, jeweils einige Wochen vor den Ferien. Dafür speichern wir deine E-Mail-Adresse, die Zeitpunkte von Anforderung und Bestätigung und welche Ausgabe wir dir wann geschickt haben. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Sonderausgabe oder formlos per E-Mail an moin@spacemagic.fun. Mit der Abmeldung löschen wir die Bestellung.

Speicherdauer: Anforderungen ohne bestätigte Einwilligung und die Vermerke über verschickte Sonderausgaben löschen wir automatisch sechs Monate nach ihrem Entstehen. Bei bestätigtem Kontaktwunsch oder bestätigter Bestellung der Sonderausgaben bewahren wir den Nachweis der Einwilligung drei Jahre nach der Bestätigung auf und löschen ihn dann automatisch; damit endet auch der Versand der Sonderausgaben.

2.10 Nachrichten per WhatsApp, Instagram und Facebook

Du kannst uns per WhatsApp unter unserer Festnetznummer 04941 9234521 schreiben, per Direktnachricht an unser Instagram-Profil @spacemagic.fun oder über den Messenger unserer Facebook-Seite. Diese Nachrichten landen nicht auf einem Handy, sondern in einem Kundenpostfach. Sie kommen in unser eigenes Kundenpostfach, die Space Magic Inbox (siehe 3.9). Bis wir vollständig umgestellt haben, voraussichtlich bis März 2027, laufen sie außerdem in unser bisheriges Kundenpostfach bei Superchat (siehe 3.6). Dort liest und beantwortet sie unser Team; auf manche Nachrichten antwortet zuerst unser Chat-Assistent Cosmoo, eine KI (siehe 2.11).

Dabei verarbeiten wir deine Telefonnummer und deinen Profilnamen bei WhatsApp beziehungsweise deinen Namen bei Instagram oder Facebook, den Inhalt deiner Nachrichten einschließlich Bildern, Sprachnachrichten und Dateien, die du schickst, die Zeitpunkte und unsere Antworten. Wir nutzen diese Angaben, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Buchung, einen Kauf oder eine Anfrage vor einem Vertrag geht, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Anfragen auf dem Weg zu beantworten, den du selbst gewählt hast.

WhatsApp: Die Space Magic Inbox und Superchat sind über die WhatsApp-Business-Plattform der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) angebunden. Bis zu dieser Plattform ist deine Nachricht verschlüsselt; dort wird sie für uns entschlüsselt, an die Space Magic Inbox und an Superchat weitergegeben und bis zu 30 Tage aufbewahrt. Dabei handelt Meta in unserem Auftrag (Art. 28 DSGVO). Nach Angaben von Superchat werden die Nachrichten grundsätzlich in Europa verarbeitet; beim Versand können sie auch über Server von Meta in den USA laufen und werden dort nach 60 Minuten gelöscht. Abgesichert ist das über das EU-US Data Privacy Framework und Standardvertragsklauseln. Angaben wie deine Telefonnummer und wann du uns geschrieben hast, verarbeitet WhatsApp außerdem in eigener Verantwortung nach den eigenen Datenschutzbestimmungen und kann sie auch in die USA übermitteln. Wenn du das nicht möchtest, schreib uns eine E-Mail oder nutze unser Kontaktformular.

Instagram und Facebook: Schreibst du uns auf Instagram oder im Facebook Messenger, verarbeitet die Meta Platforms Ireland Limited deine Nachricht zunächst in eigener Verantwortung nach der Datenschutzrichtlinie von Meta. Über die offizielle Schnittstelle von Meta kommt sie zusätzlich in unsere Space Magic Inbox und, bis zur Umstellung, zu Superchat; für diese Kopien sind wir verantwortlich.

Kommentare: Kommentierst du einen Beitrag auf unserem Instagram-Profil oder unserer Facebook-Seite, holen wir deinen Kommentar, deinen Benutzer- oder Profilnamen, den Zeitpunkt und den Beitrag über die Schnittstelle von Meta in die Space Magic Inbox. Dort beantworten wir ihn öffentlich unter dem Beitrag oder, wenn es um deine Buchung oder etwas Persönliches geht, einmal privat per Direktnachricht; Meta lässt das bis sieben Tage nach deinem Kommentar zu. Kommentare mit Werbung, Spam oder Beleidigungen verbergen oder löschen wir. Was du öffentlich kommentierst, sehen außerdem alle, die den Beitrag sehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Fragen unter unseren Beiträgen zu beantworten und unsere Profile frei von Spam zu halten.

Deine Buchung: Damit wir deine Frage beantworten können, kann unser Team in der Space Magic Inbox deine Buchungen bei uns nachschlagen: bei WhatsApp über deine Telefonnummer, bei Instagram und Facebook nur mit deiner Buchungsnummer oder deinem Namen zusammen mit deiner Postleitzahl. Angezeigt werden Art, Datum, Uhrzeit, Raum und Paket der Buchung, die Zahl der Personen, der Name der buchenden Person und ein offener Betrag. Die Suche läuft innerhalb unserer eigenen Systeme bei Cloudflare (siehe 3.9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Bei Meta liegen WhatsApp-Nachrichten für die Zustellung bis zu 30 Tage. Verläufe und Kommentare in der Space Magic Inbox löschen wir, sobald wir sie für deine Anfrage, Rückfragen dazu und die Abwicklung einer Buchung nicht mehr brauchen und keine gesetzliche Aufbewahrungspflicht entgegensteht, auf deinen Wunsch auch früher (siehe unten). Verläufe in unserem Kundenpostfach bei Superchat bleiben dort, solange wir Superchat nutzen; nach dem Ende des Vertrags gibt Superchat sie heraus oder löscht sie, wie es unser Auftragsverarbeitungsvertrag vorsieht. Auf deinen Wunsch löschen wir sie auch dort früher. Nachrichten mit einer Bewerbung löschen wir nach den Fristen in unseren Datenschutzhinweisen für Bewerbungen. Auf Instagram und Facebook bleibt der Verlauf außerdem in deinem Postfach und in dem unseres Profils bei Meta, bis er dort gelöscht wird.

Löschen lassen: Möchtest du, dass wir deinen Verlauf oder deine Kommentare früher löschen, schreib uns an moin@spacemagic.fun oder per Direktnachricht. Wir löschen sie dann in der Space Magic Inbox und bei Superchat und bestätigen dir das. Deine eigenen Kommentare kannst du außerdem jederzeit selbst auf Instagram oder Facebook löschen; die Inbox übernimmt das.

2.11 Chat-Assistent Cosmoo (KI)

Cosmoo ist eine künstliche Intelligenz, kein Mensch. Auf manche Nachrichten in unserem Kundenpostfach antwortet zuerst Cosmoo, ein KI-Chatbot, den Superchat für uns betreibt. Cosmoo beantwortet häufige Fragen mit den Informationen, die wir hinterlegt haben, und übergibt das Gespräch nach wenigen Antworten an unser Team. Seit dem 2. August 2026 verlangt die KI-Verordnung der EU (Art. 50 Abs. 1), dass du erkennen kannst, wenn du mit einer KI schreibst. Antworten von Cosmoo können Fehler enthalten; ist dir etwas wichtig, lass es dir von unserem Team bestätigen.

Buchungsauskunft: Fragst du nach deiner Buchung, kann Cosmoo sie über eine Schnittstelle unserer Website (bot.spacemagic.fun, betrieben bei Cloudflare, siehe 3.1) nachschlagen. Auskunft gibt die Schnittstelle nur mit deiner Buchungsnummer, deiner Telefonnummer, deiner E-Mail-Adresse oder deinem Namen zusammen mit deiner Postleitzahl, mit dem Namen allein nicht. Zurück bekommt Cosmoo Art, Datum, Uhrzeit, Raum und Paket der Buchung, die Zahl der Personen, den Namen der buchenden Person und den Zahlungsstand. Cosmoo kann Buchungen nur nachschlagen, nicht ändern.

Damit Cosmoo antworten kann, gehen der Inhalt deiner Nachrichten und gegebenenfalls die nachgeschlagenen Buchungsangaben an Dienstleister, die Superchat für den KI-Chatbot einsetzt: LangChain, Inc. (42 Decatur St., San Francisco, CA 94103, USA), nach Angaben von Superchat auf Servern in Deutschland betrieben, und OpenAI Ireland Ltd (117-126 Sheriff Street Upper, Dublin 1, Irland). Beide arbeiten als Unterauftragsverarbeiter von Superchat. Soweit Daten dabei in die USA gelangen (bei LangChain als Unternehmen mit Sitz in den USA, bei OpenAI nur in Ausnahmefällen an die OpenAI, L.L.C.), sind sie nach Angaben von Superchat über Standardvertragsklauseln abgesichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Cosmoo eine Frage zu deiner Buchung oder vor einer Buchung beantwortet, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, häufige Fragen schnell zu beantworten, auch wenn gerade niemand aus unserem Team im Postfach ist. Cosmoo trifft keine Entscheidungen über dich, die rechtliche Wirkung haben (Art. 22 DSGVO).

Speicherdauer: Gespräche mit Cosmoo stehen im Verlauf in unserem Kundenpostfach und werden gelöscht wie in 2.10 beschrieben. Nach Angaben von Superchat werden die Inhalte nicht zum Training von KI-Modellen genutzt, und die Anbieter der Sprachmodelle speichern sie nicht (Zero Data Retention). Eine feste Speicherdauer bei LangChain nennt unser Auftragsverarbeitungsvertrag mit Superchat nicht; nach dem Ende des Vertrags sind die Daten auch dort herauszugeben oder zu löschen.

2.12 E-Mails an uns

Schreibst du uns eine E-Mail, zum Beispiel an moin@spacemagic.fun oder bewerbung@spacemagic.fun, verarbeiten wir deine E-Mail-Adresse, deinen Namen, den Inhalt deiner Nachricht einschließlich Anhängen, die Zeitpunkte und unsere Antworten. Das gilt auch für Nachrichten aus unserem Kontaktformular (siehe 2.4), die bei uns als E-Mail ankommen. Wir nutzen diese Angaben, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Buchung, einen Kauf oder eine Anfrage vor einem Vertrag geht, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der geordneten Bearbeitung eingehender Anfragen. Für Bewerbungen gelten zusätzlich unsere Datenschutzhinweise für Bewerbungen.

Postfach bei Google Workspace: Unsere E-Mail-Postfächer liegen bei Google Workspace der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet die E-Mails in unserem Auftrag (Art. 28 DSGVO). Dabei können Daten auch an die Google LLC in den USA gehen; Google ist unter dem EU-US Data Privacy Framework zertifiziert. E-Mails werden in der Regel nur auf dem Übertragungsweg verschlüsselt.

E-Mails in Superchat: Unser Postfach hallo@spacemagic.fun, in dem auch die E-Mails an moin@spacemagic.fun, info@spacemagic.fun und bewerbung@spacemagic.fun ankommen, ist zusätzlich mit unserem Kundenpostfach bei Superchat verbunden (siehe 3.6), damit wir alle Anfragen an einer Stelle beantworten können. Für diese Verbindung setzt Superchat die Nylas, Inc. (944 Market St, San Francisco, CA, USA) ein, laut unserem Auftragsverarbeitungsvertrag mit Superchat mit Datenregion EU. Soweit Daten dabei in die USA gelangen, ist das über das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert. Auf manche E-Mails kann zuerst unser Chat-Assistent Cosmoo antworten, eine KI (siehe 2.11).

E-Mails in der Space Magic Inbox: Alle E-Mails, die in unserem Postfach hallo@spacemagic.fun bei Google Workspace ankommen, übernimmt zusätzlich unser eigenes Kundenpostfach, die Space Magic Inbox (siehe 3.9). Dazu gehören die E-Mails an moin@spacemagic.fun, info@spacemagic.fun und bewerbung@spacemagic.fun und die Nachrichten aus unseren Formularen. Übernommen werden Absender, Empfänger, Betreff, Text, Anhänge und unsere Antworten. So beantworten wir sie zusammen mit den Nachrichten aus WhatsApp, Instagram und Facebook. Bewerbungen sieht in der Inbox nur unsere Geschäftsleitung. Unsere Antworten und neue E-Mails aus der Inbox gehen über dasselbe Postfach. E-Mails aus unserem eigenen Team, Spam und Rückläufer übernimmt die Inbox nicht. Rechtsgrundlage wie oben.

Speicherdauer: E-Mails löschen wir wie andere Anfragen (siehe 6), Bewerbungen nach den Fristen in den Datenschutzhinweisen für Bewerbungen. Die Kopien in Superchat und in der Space Magic Inbox löschen wir wie die Chatverläufe in 2.10.

2.13 Anrufe und Telefon-KI Cosmoo

Cosmoo am Telefon ist eine künstliche Intelligenz, kein Mensch. Rufst du uns unter 04941 9234521 an, nimmt zuerst unsere Telefon-KI Cosmoo den Anruf an und sagt dir das gleich zu Beginn. Cosmoo läuft bei ElevenLabs (siehe 3.8), beantwortet häufige Fragen mit den Informationen, die wir hinterlegt haben, und kann dich mit unserem Team verbinden oder einen Rückrufwunsch für dich aufnehmen. Seit dem 2. August 2026 verlangt die KI-Verordnung der EU (Art. 50 Abs. 1), dass du erkennen kannst, wenn du mit einer KI sprichst. Antworten von Cosmoo können Fehler enthalten; ist dir etwas wichtig, lass es dir von unserem Team bestätigen. Möchtest du nicht mit einer KI sprechen, sag es Cosmoo: Hat unser Team gerade Telefondienst, verbindet Cosmoo dich, sonst nimmt Cosmoo einen Rückrufwunsch auf. Du kannst uns auch eine E-Mail schreiben.

Dabei verarbeiten wir deine Rufnummer, Zeitpunkt und Dauer des Anrufs, das Gesprochene und eine daraus erstellte Textfassung (Mitschrift). Damit Cosmoo dich versteht und antworten kann, wandelt ElevenLabs deine Sprache laufend in Text um, ein Sprachmodell formuliert die Antwort, und ElevenLabs macht daraus wieder Sprache. Eine Tonaufnahme des Gesprächs speichern wir nicht, nur die Mitschrift. Cosmoo erkennt dich nicht an deiner Stimme; eine Stimmerkennung nutzen wir nicht.

Nach dem Anruf wertet ElevenLabs die Mitschrift für uns automatisch aus: worum es ging (zum Beispiel Öffnungszeiten, Preise oder Kindergeburtstag), ob Cosmoo deine Frage lösen konnte, ob und warum an unser Team weitergegeben wurde und wie zufrieden du am Ende gewirkt hast. So sehen wir, wo Cosmoo falsch oder unvollständig antwortet.

Verbinden und Rückruf: Verbindet Cosmoo dich mit unserem Team, verlässt die KI das Gespräch; die Verbindung läuft technisch weiter über ElevenLabs. Möchtest du zurückgerufen werden, nimmt Cosmoo mit deinem Einverständnis deinen Namen, deine Rückrufnummer und dein Anliegen auf, wenn du sie nennst auch eine Wunschzeit und deine Buchung, und schickt das mit der Kennung des Gesprächs in unser Kundenpostfach, die Space Magic Inbox (siehe 3.9). Von dort meldet sich unser Team bei dir.

Buchungsauskunft: Fragst du nach deiner Buchung, kann Cosmoo sie mit dem Namen, unter dem gebucht wurde, zusammen mit der Postleitzahl nachschlagen, über eine Schnittstelle unserer Website (bot.spacemagic.fun, betrieben bei Cloudflare, siehe 3.1). Zurück bekommt Cosmoo Art, Datum, Uhrzeit, Raum und Paket der Buchung, die Zahl der Personen, den Namen der buchenden Person und den Zahlungsstand. Auch am Telefon kann Cosmoo Buchungen nur nachschlagen, nicht ändern.

ElevenLabs und Übermittlung in die USA: ElevenLabs verarbeitet die Gespräche in unserem Auftrag (Art. 28 DSGVO). Gespeichert werden die Daten in der Regel in den USA; ElevenLabs und seine Unterauftragsverarbeiter, unter anderem Google Cloud, Amazon Web Services und MongoDB, können sie in den USA, in der EU oder in Singapur verarbeiten. Das Sprachmodell, das die Antworten formuliert (derzeit DeepSeek Flash 4.1), betreibt ElevenLabs selbst auf Servern in den USA; der Hersteller des Modells bekommt deine Daten nicht. Für die Auswertung nach dem Anruf nutzt ElevenLabs das Sprachmodell Gemini von Google über Google Cloud. Abgesichert ist die Übermittlung über die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO), die Teil unseres Auftragsverarbeitungsvertrags mit ElevenLabs sind, und für die USA zusätzlich über das EU-US Data Privacy Framework, unter dem ElevenLabs zertifiziert ist. Der Nutzung unserer Gespräche zum Training von KI-Modellen haben wir bei ElevenLabs widersprochen; ab dem Widerspruch nutzt ElevenLabs sie dafür nicht mehr.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Cosmoo eine Frage zu deiner Buchung oder vor einer Buchung beantwortet oder einen Rückrufwunsch aufnimmt, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Anrufe auch dann anzunehmen und häufige Fragen zu beantworten, wenn gerade niemand aus unserem Team ans Telefon gehen kann, und mit der Auswertung nach dem Anruf die Antworten von Cosmoo zu prüfen und zu verbessern. Cosmoo trifft keine Entscheidungen über dich, die rechtliche Wirkung haben (Art. 22 DSGVO).

Speicherdauer: Mitschrift und Auswertung eines Anrufs löscht ElevenLabs nach unserer Einstellung 90 Tage nach dem Anruf. Vom 26. September bis zum 16. Oktober 2026 hat ElevenLabs auch Tonaufnahmen gespeichert; für sie gilt dieselbe Frist. Rückrufwünsche in der Space Magic Inbox löschen wir wie die Chatverläufe in 2.10. Anrufe bis zum 26. September 2026 hat noch unser früherer Dienstleister, die fonio GmbH in Wien, angenommen; dort werden Mitschriften nach 90 Tagen und Verbindungsdaten nach sechs Monaten gelöscht.

2.14 Einordnung und Antwortentwürfe in der Space Magic Inbox (KI)

Damit wir dringende Anliegen schneller sehen, ordnet die Space Magic Inbox Nachrichten per WhatsApp, Instagram und Facebook Messenger sowie E-Mails an uns (siehe 2.12) mit einem KI-Sprachmodell ein: nach Thema (zum Beispiel Tickets, Kindergeburtstag oder Gutschein), Stimmung, Sprache und danach, ob es eilt. Die KI antwortet dir dabei nicht und entscheidet nichts über dich; sie hilft unserem Team beim Sortieren. Jemand aus unserem Team kann die Einordnung jederzeit ändern. Bewertungen bei Google ordnet die Inbox ebenso ein (siehe 2.16).

Auf Knopfdruck kann jemand aus unserem Team außerdem einen Antwortentwurf von der KI schreiben lassen. Die KI sendet nie selbst: Wir lesen den Entwurf, ändern ihn und schicken die Antwort selbst ab. Für einen Entwurf gehen höchstens deine letzten zwölf Nachrichten und unsere Antworten darauf an das Sprachmodell, ebenfalls ohne deinen Namen, ohne Kontaktdaten und ohne Signaturen. Dazu bekommt es unsere Öffnungszeiten, Preise und Regeln und, falls wir zu deiner Telefonnummer oder E-Mail-Adresse eine Buchung finden, deren Datum, Uhrzeit, Personenzahl, Paket und Beträge, ohne Namen. Bewerbungen, Nachrichten mit Angaben zur Gesundheit und Beschwerden bekommen keinen Entwurf.

Für die Einordnung gehen höchstens deine letzten fünf Nachrichten an uns an das Sprachmodell, bei E-Mails mit dem Betreff, ohne deinen Namen. Grußformel und Signatur schneiden wir ab; Telefonnummern, E-Mail-Adressen, Kontonummern und längere Zahlenfolgen machen wir vorher unkenntlich. Bilder und Anhänge gehen nicht an die KI, Sprachnachrichten nur als Text (siehe unten). Geschriebene Nachrichten mit einer Bewerbung oder mit Angaben zur Gesundheit gehen nie an eine KI; das erkennt die Inbox vorher an festen Regeln. Bei Sprachnachrichten geht das erst am fertigen Text (siehe unten).

Sprachnachrichten als Text: Wenn wir es eingeschaltet haben, schreibt die Space Magic Inbox deine Sprachnachrichten als Text mit, damit wir sie schneller lesen und wiederfinden. Dafür geht die Aufnahme an Workers AI der Cloudflare, Inc. (siehe 3.1), wo ein Spracherkennungsmodell den Text erzeugt. Was du gesagt hast, erkennt die Inbox erst am fertigen Text: Steht darin eine Bewerbung oder eine Angabe zur Gesundheit, geht danach nichts mehr an eine KI, und eine Bewerbung sieht nur unsere Geschäftsleitung. In Unterhaltungen, die schon so gesperrt sind, und bei Bewerbungen wandelt die Inbox Sprachnachrichten gar nicht erst um. Cloudflare nutzt die Aufnahme nach eigenen Angaben nicht zum Training von KI-Modellen und gibt sie nicht an andere weiter. Einen Verarbeitungsort in der EU sagt Cloudflare dafür nicht zu; gelangen Daten in die USA, ist das über das EU-US Data Privacy Framework abgesichert. Aufnahme und Text liegen danach in der Inbox an deiner Unterhaltung; ohne Sperre geht der Text wie eine geschriebene Nachricht in die Einordnung und, auf Knopfdruck, in einen Entwurf. Rechtsgrundlage und Interesse wie bei der Einordnung.

Die Sprachmodelle erreichen wir über die OpenRouter, Inc. (169 Madison Avenue, New York, NY 10016, USA), die jede Anfrage an einen Anbieter weitergibt, der das Modell ausführt. Für die Einordnung setzen wir derzeit Claude Haiku ein, ein Modell von Anthropic, ausgeführt bei der Amazon Web Services, Inc. (410 Terry Avenue North, Seattle, WA 98109, USA) oder in Google Cloud bei der Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Ist Claude Haiku gerade nicht erreichbar, ordnet ersatzweise GPT-6 Luna ein, ein Modell von OpenAI, ausgeführt in Microsoft Azure bei der Microsoft Corporation (One Microsoft Way, Redmond, WA 98052, USA). Antwortentwürfe schreibt ein Modell der Mistral AI (15 rue des Halles, 75001 Paris, Frankreich). Bei jeder Anfrage verlangen wir, dass sie nur Anbieter bearbeiten, die die Inhalte nicht speichern und nicht zum Training von KI-Modellen nutzen. OpenRouter verarbeitet die Daten in unserem Auftrag nach Art. 28 DSGVO, die Anbieter, die die Modelle ausführen, als Unterauftragsverarbeiter von OpenRouter. Dabei gelangen Daten in die USA, und auch die Modelle können außerhalb der EU ausgeführt werden; abgesichert ist das über Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO), bei Amazon Web Services, Google und Microsoft zusätzlich über das EU-US Data Privacy Framework. Der Auftragsverarbeitungsvertrag mit OpenRouter ist Teil der Nutzungsbedingungen von OpenRouter und schließt die Standardvertragsklauseln (Modul 2) ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Anfragen nach Thema und Dringlichkeit zu sortieren und schneller zu beantworten, damit niemand zu lange auf eine Antwort wartet. Einordnung und Entwurf sind keine Entscheidungen mit rechtlicher Wirkung für dich (Art. 22 DSGVO).

Speicherdauer: Das Ergebnis der Einordnung (Thema, Stimmung, Sprache, ob es eilt, ein kurzer Satz zur Begründung) und die Entwürfe (mit Zeitpunkt und wer sie angefordert hat) stehen an deiner Unterhaltung in der Space Magic Inbox und werden mit ihr gelöscht (siehe 2.10). Bei OpenRouter und den Anbietern der Modelle bleibt nach der Antwort nichts von deinen Nachrichten gespeichert.

2.15 Adventskalender

Für unseren Adventskalender brauchst du kein Konto und musst keine persönlichen Angaben machen. Damit dein Browser die Türchen anzeigen kann, verarbeiten wir die technischen Daten wie bei jedem Seitenaufruf (siehe 2.7). Wie oft ein Türchen geöffnet wurde, zählen wir nur als Summe je Türchen und Tag, ohne IP-Adresse, ohne Kennung und ohne Bezug zu deiner Person.

Auf deinem Gerät speichern wir im localStorage („sm-advent“), welche Türchen du geöffnet hast und welche Vorteile an der Kasse schon eingelöst sind. Das ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst den Eintrag jederzeit über deinen Browser löschen; ab dem 1. Februar 2027 löscht die Seite ihn beim nächsten Aufruf selbst.

Holst du dir einen persönlichen Vorteilscode, erzeugt unsere Aktionsseite einen Einmal-Code und legt ihn in deinem Browser ab, damit er beim Buchen schon eingetragen ist. Löst du ihn bei einer Online-Buchung ein, verarbeiten wir den Code zusammen mit deiner Buchung (Art. 6 Abs. 1 lit. b DSGVO, siehe die Abschnitte zu den Buchungen). Die Newsletter-Anmeldung auf der Kalenderseite ist freiwillig und von der Teilnahme unabhängig (siehe 2.5).

2.16 Bewertungen bei Google

Bewertest du Space Magic Aurich bei Google, veröffentlicht Google deine Bewertung in eigener Verantwortung nach der Datenschutzerklärung von Google; für Nutzer im Europäischen Wirtschaftsraum ist das die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Über die offizielle Schnittstelle des Google-Unternehmensprofils holen wir deine Bewertung zusätzlich in unsere Space Magic Inbox (siehe 3.9): deinen Namen bei Google (bei einer anonymen Bewertung keinen), die Sterne, deinen Text, Fotos, die du zur Bewertung hochgeladen hast, die Zeitpunkte und unsere Antwort. Dein Profilbild übernehmen wir nicht. Für diese Kopie sind wir verantwortlich.

Wir nutzen sie, um dir öffentlich unter deiner Bewertung zu antworten und um Lob und Kritik im Team zu sehen und daraus zu lernen. Unsere Antwort schreibt und veröffentlicht immer ein Mensch aus unserem Team; Google prüft sie, bevor sie erscheint. Die Inbox ordnet Bewertungen wie Nachrichten nach Thema und Stimmung ein, und auf Knopfdruck kann jemand aus unserem Team einen Antwortentwurf von der KI schreiben lassen (siehe 2.14). Dafür gehen nur die Sterne und dein Text an das Sprachmodell, ohne deinen Namen und ohne Fotos, und keine Angaben zu Buchungen. Bewertungen mit Angaben zur Gesundheit gehen nie an eine KI.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, auf Bewertungen zu antworten und unser Angebot nach den Rückmeldungen unserer Gäste zu verbessern.

Speicherdauer: Die Kopie bleibt in der Space Magic Inbox, solange deine Bewertung bei Google steht. Löschst du deine Bewertung bei Google, löscht die Inbox beim nächsten vollständigen Abgleich (er läuft alle sechs Stunden) deinen Text, deinen Namen, die Sterne und die Fotos; es bleibt nur der Vermerk, dass es eine Bewertung gab, und unsere Antwort darauf. Ändern oder löschen kannst du deine Bewertung jederzeit selbst bei Google.

2.17 Kommentare bei TikTok

Kommentierst du ein Video auf unserem TikTok-Profil @spacemagic.fun, verarbeitet die TikTok Technology Limited (The Sorting Office, Ropemaker Place, Dublin 2, Dublin, D02 HD23, Irland) deinen Kommentar zunächst in eigener Verantwortung nach der Datenschutzerklärung von TikTok. Über die offizielle Schnittstelle von TikTok holen wir deinen Kommentar zusätzlich in unsere Space Magic Inbox (siehe 3.9): deinen Anzeigenamen und deinen Benutzernamen bei TikTok, eine Kennung, die TikTok für dein Konto vergibt, den Text, den Zeitpunkt und das Video, unter dem du kommentiert hast. Dein Profilbild übernehmen wir nicht. Für diese Kopie sind wir verantwortlich.

Wir nutzen sie, um dir öffentlich unter dem Video zu antworten und unser Profil frei von Spam und Beleidigungen zu halten. Solche Kommentare verbergen wir; löschen können wir über TikTok nur unsere eigenen Antworten. Unsere Antworten schreibt immer ein Mensch aus unserem Team. TikTok-Kommentare ordnet keine KI ein, und es gibt dafür keine Antwortentwürfe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Fragen unter unseren Videos zu beantworten und unser Profil frei von Spam zu halten.

Speicherdauer: Kommentare in der Space Magic Inbox löschen wir wie die Kommentare in 2.10, auf deinen Wunsch auch früher. Löschst du deinen Kommentar bei TikTok, löscht die Inbox den Text, sobald TikTok uns das meldet; es bleibt nur der Vermerk, dass es einen Kommentar gab.

3. Empfänger und Dienstleister

3.1 Cloudflare (Hosting & CDN)

Diese Seite wird über die Infrastruktur von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) ausgeliefert. Cloudflare verarbeitet dabei technische Verbindungsdaten (IP, Request-Metadaten). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: Cloudflare Privacy Policy.

3.2 Mollie (Zahlungsabwicklung)

Die Zahlungsabwicklung erfolgt über Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam, Niederlande). Für die Durchführung der Zahlung wirst du auf die Seiten von Mollie weitergeleitet. Dort gelten die Datenschutzbestimmungen von Mollie. Mollie verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher.

3.3 Brevo (E-Mail-Versand)

Transaktionale E-Mails (Bestellbestätigung, Gutschein-Zustellung, Geburtstags-Bestätigung, Shop-Versand), Nachrichten aus dem Kontaktformular sowie unser Newsletter werden über Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich) versendet. Dabei werden je nach Vorgang Name, E-Mail-Adresse und Nachrichteninhalt an Brevo übermittelt. Brevo verarbeitet Daten auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Weitere Informationen: Brevo Privacy Policy.

3.4 Recreatex / Vintia (Reservierungs- und Kassensystem)

Zur Reservierung des Raumes/Tisches und zur Verwaltung der Buchung im internen Kassensystem des Space Magic übermitteln wir Buchungsdaten (Datum, Slot, Paket, Kinderzahl, Name des Buchenden) bzw. Gutschein-Daten (Code, Wert, Käuferdaten) an das System ReCreateX von Vintia (Industrielaan 8, 9990 Maldegem, Belgien). Die Übertragung erfolgt verschlüsselt (TLS). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 DHL (Versand)

Bei Versandbestellungen übermitteln wir Name, Anschrift und gegebenenfalls Telefonnummer der Empfängerin bzw. des Empfängers an Deutsche Post AG / DHL (Charles-de-Gaulle-Straße 20, 53113 Bonn), damit das Paket zugestellt und eine Sendungsnummer erzeugt werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Superchat (Kundenpostfach)

Nachrichten per WhatsApp, Instagram und Facebook Messenger sowie E-Mails in unserem Postfach hallo@spacemagic.fun (auch an moin@, info@ und bewerbung@spacemagic.fun) bearbeiten wir in Superchat der SuperX GmbH (Prenzlauer Allee 242-247, 10405 Berlin). Superchat verarbeitet sie in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO und speichert sie nach eigenen Angaben auf Servern von Amazon Web Services in Frankfurt am Main. Für WhatsApp setzt Superchat die Meta Platforms Ireland Limited ein, für E-Mail die Nylas, Inc., für den Chat-Assistenten Cosmoo die LangChain, Inc. und die OpenAI Ireland Ltd (siehe 2.10 bis 2.12).

3.7 Google Workspace (E-Mail)

Unsere E-Mail-Postfächer liegen bei Google Workspace der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet E-Mails an uns und von uns in unserem Auftrag nach Art. 28 DSGVO. Empfänger kann auch die Google LLC in den USA sein; Google ist unter dem EU-US Data Privacy Framework zertifiziert (siehe 2.12).

3.8 ElevenLabs (Telefon-KI)

Anrufe unter 04941 9234521 nimmt zuerst unsere Telefon-KI Cosmoo an. Cosmoo läuft auf der Agenten-Plattform der Eleven Labs Inc. (169 Madison Ave #2484, New York, NY 10016, USA). ElevenLabs verarbeitet die Gespräche in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, der die Standardvertragsklauseln der EU-Kommission einschließt, und ist unter dem EU-US Data Privacy Framework zertifiziert. Spracherkennung, Sprachausgabe und das Sprachmodell für die Antworten betreibt ElevenLabs selbst; für die Auswertung nach dem Anruf setzt ElevenLabs Gemini von Google ein. Alle Unterauftragsverarbeiter nennt ElevenLabs in seinem Trust Center. Einzelheiten stehen in 2.13.

3.9 Space Magic Inbox (eigenes Kundenpostfach)

Unser eigenes Kundenpostfach, die Space Magic Inbox, betreiben wir selbst auf der Plattform der Cloudflare, Inc. (siehe 3.1). Nachrichten, Kommentare und Bilder liegen dort in einer Datenbank und einem Dateispeicher mit Speicherort in der EU. Zugriff hat nur unser Team nach Anmeldung. Cloudflare verarbeitet die Daten in unserem Auftrag nach Art. 28 DSGVO. Mit WhatsApp, Instagram und Facebook ist die Inbox über die offizielle Schnittstelle der Meta Platforms Ireland Limited verbunden; darüber stellt Meta uns deine Nachrichten und Kommentare zu und übermittelt unsere Antworten (siehe 2.10). E-Mails in unserem Postfach hallo@spacemagic.fun (auch an moin@, info@ und bewerbung@spacemagic.fun) liest die Inbox über die Schnittstelle von Google Workspace und sendet unsere Antworten darüber (siehe 2.12 und 3.7). Rückrufwünsche, die du bei unserer Telefon-KI hinterlässt, kommen ebenfalls in die Inbox (siehe 2.13). Bewertungen bei Google holt die Inbox über die Schnittstelle des Google-Unternehmensprofils und veröffentlicht darüber unsere Antworten (siehe 2.16). Kommentare unter unseren Videos bei TikTok holt die Inbox über die Schnittstelle von TikTok und sendet darüber unsere Antworten (siehe 2.17). Für die Einordnung deiner Nachrichten und für Antwortentwürfe setzen wir OpenRouter ein (siehe 2.14 und 3.10), für Sprachnachrichten als Text Workers AI von Cloudflare (siehe 2.14).

3.10 OpenRouter (KI-Einordnung und Antwortentwürfe)

Für die Einordnung von Nachrichten und für Antwortentwürfe in der Space Magic Inbox nutzen wir die OpenRouter, Inc. (169 Madison Avenue, New York, NY 10016, USA) als Zugang zu KI-Sprachmodellen. Derzeit bearbeiten die Anfragen Claude Haiku (Anthropic) bei Amazon Web Services oder in Google Cloud, ersatzweise GPT-6 Luna (OpenAI) in Microsoft Azure, und für Antwortentwürfe ein Modell der Mistral AI in Frankreich. Keiner von ihnen speichert die Inhalte oder nutzt sie zum Training. Einzelheiten, Rechtsgrundlage und die Absicherung der Übermittlung in die USA stehen in 2.14.

4. Cookies, ähnliche Technologien und Einwilligung

Beim Zugriff auf unsere Website können Informationen auf deinem Endgerät gespeichert oder daraus ausgelesen werden. Dazu gehören neben Cookies auch localStorage und sessionStorage. Soweit diese Vorgänge nicht unbedingt erforderlich sind, erfolgen sie nur nach deiner Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Unbedingt erforderliche Speicherungen:

  • sessionStorage: speichert laufende Ticket-, Gutschein-, Shop- oder Buchungskonfigurationen bis zum Schließen des Browser-Tabs.
  • localStorage „sm-consent“: speichert deine Auswahl, die Consent-Version und den Zeitpunkt für maximal 180 Tage. Eine personenbezogene Nutzer-ID wird dafür nicht erzeugt.
  • localStorage „sm-advent“: speichert geöffnete Türchen und an der Kasse eingelöste Vorteile des Adventskalenders bis längstens 31.01.2027 (siehe 2.15). Eine personenbezogene Nutzer-ID wird dafür nicht erzeugt.
  • localStorage „sm_promo“: speichert einen Aktionscode, den du über eine Aktionsseite (zum Beispiel aus dem Adventskalender) geholt hast, damit er beim Buchen schon eingetragen ist. Er gilt dort 14 Tage; danach entfernt ihn die nächste Buchungsseite.

Diese Speicherungen stellen ausdrücklich gewünschte Funktionen bereit beziehungsweise dokumentieren deine Datenschutz-Auswahl. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; soweit personenbezogene Daten verarbeitet werden, zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Optionale Kategorien: Du kannst „Statistik“ und „Marketing“ getrennt aktivieren. Beide Kategorien sind zunächst ausgeschaltet. Bei einer Teil-Auswahl laden wir ausschließlich die Dienste der gewählten Kategorie. Der Google Tag Manager mit den Tags beider Kategorien wird nur geladen, wenn du Statistik und Marketing gemeinsam freigibst. Zusätzlich werden passende Consent-Signale gesetzt.

Änderung und Widerruf: Über „Cookie-Einstellungen“ im Seitenfuß kannst du deine Auswahl jederzeit mit Wirkung für die Zukunft ändern. Entziehst du eine zuvor erteilte Einwilligung, stoppen wir die betreffenden Tags und laden die Seite neu. Von uns kontrollierbare optionale First-Party-Cookies werden dabei gelöscht. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis zum Widerruf. Wenn sich Zwecke oder Anbieter ändern oder nach spätestens 180 Tagen fragen wir erneut.

5. Statistik und Marketing (nur mit Einwilligung)

Die folgenden Dienste werden nur für die jeweils aktivierte Kategorie eingesetzt. Dabei können Daten auch in den USA verarbeitet werden. Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, stützen wir die Übermittlung hierauf; ergänzend kommen die von der EU-Kommission genehmigten Standardvertragsklauseln zum Einsatz.

5.1 Statistik: Google Analytics 4

Mit deiner Auswahl „Statistik“ nutzen wir Google Analytics 4 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Der Dienst verarbeitet unter anderem besuchte Seiten, Interaktionen, Verweildauer, ungefähren Standort sowie Browser- und Geräteinformationen. IP-Adressen werden nach Angaben von Google nicht protokolliert oder gespeichert, bevor sie für die Bestimmung des ungefähren Standorts verwendet wurden. Empfänger kann auch Google LLC in den USA sein.

  • _ga: Unterscheidung von Websitebesuchen, Speicherdauer bis zu 2 Jahre.
  • _ga_<Container-ID>: Erhaltung des Sitzungsstatus, Speicherdauer bis zu 2 Jahre.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Weitere Informationen: Google Datenschutzerklärung.

5.2 Marketing: Google Ads

Mit deiner Auswahl „Marketing“ nutzen wir Google Ads der Google Ireland Limited zur Conversion-Messung und für Remarketing. Der Dienst kann erkennen, ob nach dem Klick auf eine Anzeige eine Aktion wie ein Ticket- oder Gutscheinkauf erfolgt, und Informationen für interessenbezogene Werbung verwenden. Das typische First-Party-Cookie _gcl_au wird bis zu 3 Monate gespeichert. Empfänger kann auch Google LLC in den USA sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

5.3 Marketing: Meta Pixel

Mit deiner Auswahl „Marketing“ nutzen wir das Meta Pixel der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) zur Conversion-Messung und für Remarketing auf Facebook und Instagram. Dabei werden unter anderem IP-Adresse, Browser- und Geräteinformationen sowie Interaktionen verarbeitet. Wenn du bei Meta angemeldet bist, kann Meta diese Informationen deinem Konto zuordnen. Empfänger kann auch Meta Platforms, Inc. in den USA sein.

  • _fbp: Zuordnung von Websitebesuchen für Werbezwecke, Speicherdauer bis zu 3 Monate.
  • _fbc: Zuordnung eines Anzeigenklicks, falls vorhanden, Speicherdauer bis zu 3 Monate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Weitere Informationen: Meta Datenschutzrichtlinie.

5.4 Marketing: TikTok Pixel

Mit deiner Auswahl „Marketing“ nutzen wir das TikTok Pixel der TikTok Technology Limited (The Sorting Office, Ropemaker Place, Dublin 2, Dublin, D02 HD23, Irland) zur Conversion-Messung und zur Bildung von Zielgruppen für Werbung auf TikTok. Dabei können insbesondere IP-Adresse, Browser- und Geräteinformationen, Cookie-Kennungen, Seitenaufrufe und Interaktionen verarbeitet und mit einem TikTok-Konto verknüpft werden. Daten können innerhalb der TikTok-Unternehmensgruppe auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden.

  • _ttp: Messung und Verbesserung von Werbekampagnen, Speicherdauer typischerweise bis zu 1 Jahr.
  • ttcsid und ttcsid_<Pixel-ID>: Zuordnung von Besuchen und Kampagnen innerhalb eines Messzeitraums.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Weitere Informationen: TikTok-Datenschutzrichtlinie und TikTok-Cookie-Richtlinie.

6. Speicherdauer

Buchungs- und Verkaufsbezogene Daten werden entsprechend der gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) für 10 Jahre gespeichert. E-Mail-Adressen für den Newsletter werden bis zum Widerruf der Einwilligung gespeichert, danach nur noch Nachweis und Sperrvermerk (siehe 2.5). Kontaktanfragen löschen wir grundsätzlich spätestens sechs Monate nach abschließender Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine längere Speicherung erfordern; für Firmenevent- und Schulanfragen und angeforderte Unterlagen gelten die Fristen in 2.4 und 2.9, für Nachrichten per WhatsApp, Instagram und Facebook und für Gespräche mit Cosmoo die Angaben in 2.10, 2.11 und 2.14, für E-Mails und Anrufe die Angaben in 2.12 und 2.13, für Bewertungen bei Google die Angaben in 2.16, für Kommentare bei TikTok die Angaben in 2.17. Server-Logs werden nach maximal 30 Tagen gelöscht.

7. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

  • Auskunftsrecht (Art. 15 DSGVO)
  • Recht auf Berichtigung (Art. 16 DSGVO)
  • Recht auf Löschung (Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung deiner Rechte wende dich bitte an moin@spacemagic.fun.

Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe steht dir das Recht auf Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde zu:

Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
www.lfd.niedersachsen.de