Datenschutzerklärung

Diese Erklärung beschreibt, welche Daten bei Superpower, im Online-Spiel Monstar Vale (offene Beta) und in der öffentlichen lokalen Gastversion verarbeitet werden.

Stand: 21. September 2026 · Was sich gegenüber der Fassung vom 17. Juli 2026 geändert hat, steht in Abschnitt 16.

1. Welche Angebote diese Erklärung umfasst

2. Verantwortlicher und Kontakt

„Wir“ bezeichnet im Folgenden die GBS Global Brokerage and Services GmbH als Betreiberin der Angebote und Verantwortliche für die Datenverarbeitung. Für Datenschutzfragen und Löschanträge kann die angegebene E-Mail-Adresse verwendet werden. Weitere Angaben stehen im Impressum.

3. Öffentliche lokale Gastversion

Die Gastversion von Monstar Vale benötigt kein Google-Konto. Spielstände und Einstellungen werden lokal im Speicher des Browsers auf dem jeweiligen Gerät abgelegt, beispielsweise in Local Storage oder IndexedDB. Wir erhalten diesen lokalen Inhalt nicht und können ihn weder wiederherstellen noch für Sie löschen.

Beim Abruf der Website verarbeitet der Webserver technisch notwendige Verbindungs- und Sicherheitsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Datei, übertragene Datenmenge, Browserkennung und HTTP-Status. Diese Daten dienen der Auslieferung, Fehleranalyse und Abwehr von Angriffen.

Wie lokale Daten entfernt werden, steht auf der Seite Konto und Daten löschen.

4. Konto, Anmeldung und Zugriffskontrolle

Superpower und Monstar Vale online verwenden getrennte Google-OAuth-Projekte. Superpower bleibt auf persönlich freigegebene Konten beschränkt. Für Monstar Vale online verarbeiten wir zur Anmeldung die von Google vergebene stabile Konto-ID (sub) und die verifizierte E-Mail-Adresse. Ein Anzeigename wird im Spiel gewählt. Das Online-Spiel fordert keine Berechtigung für Google Drive, Gmail oder Calendar an und speichert keine Google-Access- oder Refresh-Tokens.

In der offenen Beta kann sich jedes Google-Konto anmelden, solange freie Kontoplätze vorhanden sind. Der Betreiber kann die Anmeldung neuer Konten aus Kapazitäts- oder Sicherheitsgründen jederzeit schließen; bestehende Konten bleiben dann weiterhin nutzbar.

Die Anmeldung beim Online-Spiel gewährt keinen Zugang zu Superpower. Umgekehrt wird eine Superpower-Sitzung nicht für das Online-Spiel verwendet. Das Entfernen des Google-Zugriffs beendet nicht automatisch das bei uns gespeicherte Online-Konto; dessen Löschung wird unter Konto und Daten löschen beschrieben.

Für angemeldete Sitzungen verwenden wir technisch notwendige, sichere und jeweils hostgebundene Session-Cookies. Eine Sitzung des Online-Spiels endet spätestens 30 Tage nach der letzten Aktivität; danach ist eine erneute Google-Anmeldung nötig. Sitzungsdaten und Sicherheitsmerkmale können serverseitig in getrennten MongoDB-Bereichen gespeichert werden. Außerdem verarbeiten wir fehlgeschlagene Anmeldeversuche, Berechtigungsstatus und sicherheitsrelevante Protokolle.

5. Daten in Superpower und Monstar Vale online

Superpower-Inhalte

• Aufgaben, Checklisten, Notizen, Erinnerungen, Kategorien, Einstellungen und Kalenderzuordnungen;
• Sprachnotizen, Transkriptionen sowie Inhalte und Ergebnisse freiwillig verwendeter KI-Funktionen;
• hochgeladene Belege, Bilder oder Dateien und daraus erzeugte Auswertungen;
• Abonnement-, Zahlungsstatus- und Transaktionsreferenzen; vollständige Kartendaten erhalten wir grundsätzlich nicht von Stripe;
• E-Mail-Adressen, Versandstatus und Zustellinformationen für angeforderte oder notwendige Nachrichten.

Monstar Vale online

• Google-Konto-ID, verifizierte E-Mail-Adresse, gewählter Anzeigename, interne Spieler-ID und Sitzungsdaten;
• Cloud-Spielstand, Spielfortschritt, Kreaturen, Inventar, Spielwährungen und Kontoeinstellungen; in der offenen Beta sind diese Spielstände Testdaten ohne Bestandsgarantie und können bei einem Neustart der Beta zurückgesetzt werden;
• Online-Interaktionen wie Anwesenheit, Gruppen, gemeinsame Kämpfe (Duo-Taktik, Gruppen-Rifts, PvP), Ranglisten und Signale aus einer festen Emoji-Auswahl; einen Freitext-Chat gibt es nicht. Handel, Geschenke, Fusion und Multiplayer-Belohnungen nur, soweit die jeweilige Testfunktion angeboten und verwendet wird;
• Moderations-, Missbrauchs-, Sicherheits- und Transaktionsprotokolle, die für Schutz, Fehleranalyse und Nachvollziehbarkeit erforderlich sind;
• keine Spielstandsdaten aus der lokalen Version: Import, Übernahme und Synchronisierung zwischen lokal und online sind technisch und organisatorisch ausgeschlossen.

Was andere Spieler von Ihnen sehen

Garmin und Gesundheitsbezug

Wenn ein Nutzer Garmin freiwillig verbindet, können Fitness-, Aktivitäts-, Trainings-, Schlaf- und Gesundheitswerte sowie für die Verbindung notwendige Tokens verarbeitet werden. Diese Daten können besonders schützenswerte Personendaten beziehungsweise besondere Kategorien personenbezogener Daten sein. Sie werden nur für die vom Nutzer aktiv verwendeten Fitnessfunktionen verarbeitet. Soweit gesetzlich erforderlich, ist hierfür eine ausdrückliche Einwilligung notwendig. Superpower ersetzt keine medizinische Beratung.

6. Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten insbesondere, um die angeforderten Funktionen bereitzustellen, Konten und Berechtigungen zu verwalten, Spielstände zu synchronisieren, gemeinsame Kämpfe und Ranglisten zu betreiben, Abonnements abzuwickeln, Support zu leisten sowie Stabilität, Sicherheit und Missbrauchsschutz zu gewährleisten.

Soweit die DSGVO anwendbar ist, stützen wir die Verarbeitung je nach Vorgang auf die Vertragserfüllung oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b), berechtigte Interessen an Betrieb, Sicherheit und Verbesserung (lit. f), gesetzliche Pflichten (lit. c) oder eine Einwilligung (lit. a). Für Gesundheitsdaten kommt, soweit erforderlich, insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht. Unter dem Schweizer DSG erfolgt die Verarbeitung nach den geltenden Bearbeitungsgrundsätzen und, wo erforderlich, mit Rechtfertigungsgrund.

Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Die bis zum Widerruf erfolgte Verarbeitung bleibt davon unberührt.

7. KI-Funktionen

Bestimmte Superpower-Funktionen können vom Nutzer eingegebene Texte, Audio-Transkripte, Bilder oder ausgewählte Kontextdaten an OpenAI oder Google Gemini senden, um beispielsweise Transkriptionen, Zusammenfassungen, Analysen oder Antworten zu erzeugen. Monstar Vale online und die lokale Version von Monstar Vale verwenden diese Dienste nicht.

Falls im Online-Spiel künftig eine ausdrücklich gekennzeichnete Fusion- oder KI-Funktion aktiviert wird, muss vor der Eingabe erklärt werden, welche Daten an welchen Anbieter übermittelt werden. Solche Funktionen verwenden getrennte Testzugänge und harte Budgetgrenzen; sie werden nicht allein durch den Google-Login ausgelöst.

KI-Ausgaben können falsch oder unvollständig sein. Eingaben sollten keine Daten Dritter oder besonders schützenswerte Daten enthalten, sofern dies für die gewählte Funktion nicht erforderlich und zulässig ist. Ob und in welchem Umfang Anbieter Daten zur Missbrauchserkennung speichern, richtet sich zusätzlich nach dem jeweils eingesetzten Produkt, Vertrag und dessen Einstellungen. Wir behaupten daher nicht pauschal, dass sämtliche übermittelte Daten niemals gespeichert oder zum Training verwendet werden.

8. Empfänger und Dienstleister

Abhängig von den tatsächlich genutzten Funktionen können Daten an folgende Kategorien und Anbieter übermittelt werden:

Google

Getrennte Identitätsanmeldung für Superpower und Monstar Vale online. Google erfährt dabei, dass Sie sich bei der jeweiligen Anwendung anmelden. Davon unabhängig Google Calendar oder Google Gemini nur bei einer jeweils ausdrücklich aktiv verwendeten Superpower-Funktion.

MongoDB Atlas

Datenbank für Konten, Sitzungen und Online-Spielstände der angemeldeten Bereiche. Der Datenbank-Cluster steht in Frankfurt (Region eu-central-1).

Hostinger

Betrieb des Servers, Auslieferung der Website und des Spiels sowie SMTP-Versand von angeforderten oder betriebsnotwendigen Nachrichten.

OpenAI

Sprach- und KI-Verarbeitung bei aktiv genutzten Superpower-Funktionen.

Stripe

Zahlungsabwicklung, Abonnementstatus sowie Betrugs- und Missbrauchsprävention für Superpower.

Garmin

Abruf oder Austausch der vom Nutzer aktiv verbundenen Fitnessdaten.

Frontend-Bibliotheken und Schriftarten

Google Fonts, jsDelivr und cdnjs liefern derzeit Schriften beziehungsweise Browser-Bibliotheken für den privaten Superpower-Bereich aus. Dabei erhalten diese Anbieter technisch notwendige Abrufdaten wie die IP-Adresse. Monstar Vale online und die lokale Version laden alle Dateien von unseren eigenen Adressen.

Vom Nutzer geöffnete Einbettungen

YouTube im erweiterten Datenschutzmodus, Google Calendar und Jitsi Meet können bei Nutzung der jeweiligen Superpower-Funktion Verbindungsdaten und dortige Kontodaten verarbeiten.

Wir setzen Dienstleister nur für festgelegte Zwecke ein. Einige Anbieter verarbeiten Daten zugleich in eigener datenschutzrechtlicher Verantwortung, etwa für Zahlungssicherheit oder Kontoverwaltung.

9. Bekanntgabe ins Ausland

Konten, Sitzungen und Online-Spielstände liegen in Frankfurt (EU). Die übrigen genannten Dienste können Daten in der Schweiz, im Europäischen Wirtschaftsraum, in den USA oder anderen Ländern verarbeiten. Wo ein angemessenes Datenschutzniveau nicht anerkannt ist, werden – soweit erforderlich – geeignete Garantien wie anerkannte Standardvertragsklauseln oder eine gesetzliche Ausnahme verwendet. Einzelheiten zu einem konkreten Vorgang können über den Datenschutzkontakt angefragt werden.

10. Cookies, Browser-Speicher und Protokolle

• Session-Cookies: getrennte, hostgebundene Cookies für Superpower und Monstar Vale online; notwendig für Anmeldung, Zugriffsschutz und Sicherheit.
• Lokaler Speicher: notwendig für Spielstand und Einstellungen der öffentlichen Gastversion.
• Serverprotokolle: Verbindungs-, Fehler- und Sicherheitsdaten zur Auslieferung und Angriffsabwehr. Die Protokolle des Online-Spiels enthalten keine Anmeldecodes und keine Sitzungsschlüssel.

Wir setzen keine Werbe-, Marketing- oder Analyse-Tracker ein, weil solche für die vorgesehenen Angebote nicht erforderlich sind. Sollten künftig Analyse- oder Marketingdienste hinzukommen, muss diese Erklärung vor ihrer Aktivierung aktualisiert und gegebenenfalls eine Einwilligung eingeholt werden.

11. Sicherheit

Wir verwenden technische und organisatorische Maßnahmen, darunter TLS/HTTPS, Zugriffsbeschränkungen, getrennte Berechtigungen, Protokollierung und Sicherungen. Kein System ist vollständig sicher. Deshalb versprechen wir weder absolute Sicherheit noch pauschale Verschlüsselung sämtlicher gespeicherter Inhalte. Zugangsdaten und Tokens werden entsprechend ihrer Schutzbedürftigkeit behandelt und die Maßnahmen laufend überprüft.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für Konto und Funktionen, Sicherheit, Rechtsdurchsetzung oder gesetzliche Pflichten erforderlich sind. Es gibt derzeit keine pauschale automatische Löschung nach einer festen Inaktivitätsfrist.

• Kontoinhalte bleiben grundsätzlich bis zur Löschanfrage oder Beendigung des jeweiligen Dienstes gespeichert.
• Sitzungen des Online-Spiels verfallen 30 Tage nach der letzten Aktivität.
• Online-Spielstände der Beta können bei einem Neustart der Beta zurückgesetzt werden; ältere Stände werden dabei gelöscht. Einen solchen Neustart kündigen wir im Spiel oder auf dieser Website an.
• Sicherheits- und Serverprotokolle werden nach der betrieblich festgelegten, regelmäßig zu überprüfenden Frist gelöscht oder überschrieben.
• Abrechnungs- und Geschäftsdaten können aufgrund gesetzlicher Aufbewahrungspflichten länger gesperrt aufbewahrt werden.
• Gelöschte Daten können bis zum turnusmäßigen Überschreiben noch in zugriffsbeschränkten Sicherungen enthalten sein und werden daraus nicht wieder in das aktive System eingespielt, außer dies ist für eine Wiederherstellung erforderlich.
• Lokale Gastspielstände bleiben auf dem Gerät, bis der Nutzer sie im Browser löscht.

13. Rechte betroffener Personen

Je nach anwendbarem Recht bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe oder -übertragung und Widerspruch. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden. Zur Bearbeitung können wir einen angemessenen Identitätsnachweis verlangen und dabei nur die dafür notwendigen Informationen erheben.

Das Monstar-Vale-Onlinekonto können Sie im Spiel selbst löschen. Dafür ist eine frische Google-Anmeldung und eine ausdrückliche Bestätigung nötig; gelöscht werden Konto, Sitzungen, Online-Spielstände und Online-Profil dieses Dienstes. Eine Kopie Ihrer Online-Kontodaten sowie jede andere Anfrage erhalten Sie über superpower@super-power.ch. Details zu Teil- und Gesamtlöschung stehen unter Konto und Daten löschen.

Beschwerden können an die zuständige Datenschutzaufsicht gerichtet werden. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB); für Personen im EWR kann zusätzlich eine örtlich zuständige Aufsichtsbehörde zuständig sein.

14. Alter

Für die öffentliche lokale Gastversion gilt vorläufig eine Altersempfehlung ab 12 Jahren. Minderjährige dürfen sie nur mit Erlaubnis einer erziehungsberechtigten Person verwenden; Kinder unter 12 Jahren sollen sie nicht verwenden. Diese Betreiberempfehlung ist keine amtliche Altersklassifizierung.

Superpower und Monstar Vale online sind derzeit ausschließlich Personen ab 18 Jahren vorbehalten. Ein Google-Konto oder die technisch offene Anmeldung zur Beta ändert diese Altersregel nicht.

Die öffentliche Gastversion fragt kein Geburtsdatum ab und erstellt kein Online-Spielerkonto. Weitere verständliche Hinweise für junge Spieler und Eltern stehen unter Jugendschutz und Hinweise für Eltern. Soweit eine Verarbeitung auf einer Einwilligung beruht und besondere Altersregeln anwendbar sind, wird eine erforderliche Zustimmung vor dieser Verarbeitung eingeholt.

15. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Anbieter oder Rechtslage wesentlich ändern. Die jeweils aktuelle Fassung wird auf dieser Seite mit neuem Stand veröffentlicht. Bei wesentlichen Änderungen im angemeldeten Bereich informieren wir zusätzlich in angemessener Form.

16. Was sich am 21. September 2026 geändert hat

• Monstar Vale online ist von einem geschlossenen Test zu einer offenen Beta geworden: Jedes Google-Konto kann sich anmelden, die Zahl der Konten ist begrenzt (Abschnitte 1 und 4).
• Neu beschrieben: welche Angaben andere Spieler sehen, dass es nur Emoji-Signale und keinen Freitext-Chat gibt, und dass gemeinsame Kämpfe (Duo-Taktik, Gruppen-Rifts, PvP) verarbeitet werden (Abschnitt 5).
• Neu genannt: Standort der Datenbank in Frankfurt (EU), Ablauf von Sitzungen nach 30 Tagen und der mögliche Beta-Neustart mit Löschung älterer Spielstände (Abschnitte 8, 9 und 12).
• Neu beschrieben: die Selbstlöschung des Onlinekontos im Spiel (Abschnitt 13).
• Klargestellt: Monstar Vale online und die lokale Version verwenden keine KI-Dienste und laden alle Dateien von unseren eigenen Adressen (Abschnitte 7 und 8).