Datenschutz & Privacy

1. Verantwortlicher

2. Bereitstellung der Angebote und Server-Protokolle

Beim Abruf eines Topolis-Angebots müssen der ausliefernde Webserver und gegebenenfalls technische Hosting-Dienstleister Verbindungsdaten verarbeiten. Dazu können IP-Adresse, Datum und Uhrzeit, angeforderte Datei oder Seite, übertragene Datenmenge, HTTP-Status, Browser-/Betriebssystemangaben und – sofern vom Browser übermittelt – die zuvor besuchte Seite gehören.

Die Verarbeitung ist erforderlich, um Inhalte auszuliefern, die Stabilität und Sicherheit des Angebots zu gewährleisten und Missbrauch oder technische Fehler zu untersuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb der jeweiligen Website oder Anwendung. Soweit der Abruf zur Erfüllung eines Vertrags oder einer vorvertraglichen Anfrage erforderlich ist, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Server-Protokolle werden gelöscht, sobald sie für Betrieb und Sicherheit nicht mehr erforderlich sind. Bei einem konkreten Sicherheitsvorfall können betroffene Auszüge bis zur abschließenden Aufklärung und Durchsetzung oder Abwehr von Ansprüchen aufbewahrt werden.

3. Lokale Funktions-, Spiel- und Einwilligungsdaten

Einige Topolis-Spiele und Anwendungen speichern Einstellungen, Spielstände, Rekorde, Freischaltungen oder vergleichbare Funktionsdaten ausschließlich im Browser, etwa in localStorage. Diese lokalen Datensätze werden nicht als vollständige Objekte an Topolis oder Google übertragen. Sie können über die jeweilige Anwendung oder durch Löschen der Website-Daten im Browser entfernt werden. Ohne diese Speicherung können Fortsetzen- und Einstellungsfunktionen entfallen.

Sofern eine optionale Nutzungsanalyse angeboten wird, speichert die Anwendung außerdem lokal die Entscheidung „erlaubt“ oder „abgelehnt“, die Version des Einwilligungstextes und den Zeitpunkt der Entscheidung. Dieser Nachweis enthält keine Nutzerkennung und ist 180 Tage gültig, bis er geändert wird oder bis sich der Einwilligungstext wesentlich ändert. Ein abgelaufener Datensatz wird beim nächsten Aufruf entfernt. Die Entscheidung wird zwischen geöffneten Tabs derselben Website synchronisiert.

Diese für die ausdrücklich gewünschte Speicher-, Einstellungs- und Einwilligungsverwaltung erforderlichen Browserzugriffe erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG. Rechtsgrundlage für eine damit verbundene Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Optionale Analyse-Cookies fallen nicht unter diese Ausnahme.

4. Optionale Nutzungsanalyse mit Google Analytics 4

Manche Topolis-Spiele und Anwendungen bieten eine freiwillige Nutzungsanalyse mit Google Analytics 4 an. Ob dies für einen Dienst gilt, wird vorab in dessen Einwilligungsdialog erklärt. Ohne eine aktive, gespeicherte Einwilligung wird der Google-Code nicht geladen, es wird keine Verbindung zu Google für Analysezwecke aufgebaut und es werden keine Analyse-Cookies gesetzt. Eine Ablehnung beeinträchtigt die Nutzung nicht.

Nach Einwilligung können insbesondere folgende Daten verarbeitet werden:

• ein zufälliger, pseudonymer und auf die Browsersitzung begrenzter Analytics-Identifikator;
• bereinigter Seitenpfad und fester Seitentitel, jedoch keine Suchparameter, URL-Fragmente oder Referrer;
• Browser-/Gerätekategorie, Sitzungs- und Interaktionsdaten;
• die IP-Adresse beim Transport zu Google; Google gibt an, diese zur Ableitung eines ungefähren Standorts zu verwenden und IP-Adressen von EU-Nutzern vor der Protokollierung zu verwerfen;
• begrenzte Ereignisse und Summen wie Start, Fortsetzung und Ende eines Laufs oder Abschnitts, erreichte Stufe, Dauer, Punktestand, besiegte Gegner oder Bosse, gesammelte oder ausgegebene virtuelle Ressourcen und Anzahl von Freischaltungen;
• kataloggebundene Entscheidungen wie Startausrüstung, Regel-, Routen- oder Ereigniswahl sowie bei Gegenstandsverbesserungen nur Kategorie, Seltenheit, Stufe und Art der Verbesserung.

Nicht als eigene Analyseparameter übermittelt werden Namen, E-Mail-Adressen, Konto- oder User-IDs, Welt-Seeds, Freitext, präzise Standorte, Werbe-IDs, vollständige Spielstände oder Profile sowie individuelle Gegenstands-IDs. Google erhält jedoch technisch bedingt den pseudonymen Sitzungs-Identifikator, Transportzeitpunkt, die Quell-IP-Adresse und den Einwilligungsstatus.

Google verwendet die hostbezogenen Cookies _ga und _ga_… mit dem Pfad /. In den hier beschriebenen Topolis-Spielen und -Anwendungen laufen sie mit Ende der Browsersitzung ab. Werbefunktionen, Google Signals, Anzeigenpersonalisierung, User-ID und automatische Seitenaufrufe sind deaktiviert. Einzelne Nutzer- und Ereignisdaten werden in der Analytics-Einstellung für zwei Monate vorgehalten; aggregierte Standardberichte sind von dieser Einstellung nicht verkürzt.

Rechtsgrundlagen sind die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und für das Speichern oder Auslesen der Analytics-Cookies § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und kann jederzeit in der jeweiligen Anwendung über Privacy & analytics beziehungsweise Datenschutz-Einstellungen widerrufen werden. Der Widerruf stoppt künftige Übermittlungen und löscht die der Analytics-Konfiguration zugeordneten Cookies. Er berührt nicht die Rechtmäßigkeit der vorherigen Verarbeitung. Wird erst während eines laufenden Spiels eingewilligt, werden frühere Aktivitäten nicht nachträglich übertragen; die Messung beginnt erst mit einem neuen geeigneten Lauf.

Google kann Daten auch durch Google LLC und Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Google verweist für Übermittlungen in die USA auf die Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Weitere Informationen: Datenschutzerklärung von Google und Google zu internationalen Datenübermittlungen.

5. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail werden die mitgeteilte Adresse, der Nachrichteninhalt und freiwillig übermittelte weitere Angaben verarbeitet, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern es um einen Vertrag oder eine vorvertragliche Anfrage geht, andernfalls Art. 6 Abs. 1 lit. f DSGVO aufgrund des Interesses an der Bearbeitung von Anfragen.

6. Empfänger, Auftragsverarbeiter und externe Links

Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Dazu können technische Hosting- und Infrastruktur-Dienstleister sowie – nur nach Einwilligung – Google als Analytics-Anbieter gehören. Dienstleister werden, soweit erforderlich, vertraglich nach Art. 28 DSGVO gebunden.

Topolis-Angebote können auf eigenständige Angebote Dritter oder auf Dienste mit einer eigenen Datenschutzerklärung verlinken. Erst beim Öffnen eines solchen Links verarbeitet der jeweilige Anbieter Daten nach seinen eigenen Bedingungen. Diese Erklärung beschreibt nicht automatisch externe Shops, Zahlungsanbieter, soziale Netzwerke oder das separat geregelte StoryBox-Angebot.

7. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie der jeweilige Zweck, Sicherheitsinteressen oder gesetzliche Aufbewahrungspflichten dies erfordern. Danach werden sie gelöscht oder anonymisiert. Für Server-Protokolle gelten die in Abschnitt 2 genannten Kriterien, für lokale Spiel- und Einwilligungsdaten Abschnitt 3 und für Google Analytics die Fristen aus Abschnitt 4. Kontaktanfragen werden nach abschließender Bearbeitung gelöscht, sofern keine gesetzlichen Pflichten oder die Durchsetzung beziehungsweise Abwehr von Ansprüchen eine weitere Aufbewahrung erfordern.

8. Rechte betroffener Personen

Unter den gesetzlichen Voraussetzungen bestehen insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO);
• Berichtigung (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO);
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Anfragen können an support@topolis.de gerichtet werden. Bei ausschließlich pseudonymen Analytics-Daten kann eine Zuordnung zu einer bestimmten Person ohne zusätzliche Angaben technisch eingeschränkt sein. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Darüber hinaus besteht nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

1. Controller

2. Service delivery and server logs

When a Topolis service is requested, the delivering web server and, where applicable, technical hosting providers must process connection data. This may include the IP address, date and time, requested file or page, amount of data transferred, HTTP status, browser/operating-system details, and the previous page if the browser supplies it.

This processing delivers content, maintains stability and security, and helps investigate abuse or technical faults. The legal basis is Article 6(1)(f) GDPR; the legitimate interest is the secure and reliable operation of the relevant site or application. Article 6(1)(b) GDPR also applies where the request is necessary for a contract or pre-contractual request.

Server logs are erased when no longer required for operation and security. Extracts connected to a specific security incident may be retained until the incident and any related legal claims are resolved.

3. Local functional, game, and consent data

Some Topolis games and applications keep settings, saves, records, unlocks, or comparable functional data only in the browser, for example in localStorage. Those complete local records are not uploaded to Topolis or Google. They can be removed through the application or by deleting the site's browser data. Continue and settings functions may then be unavailable.

If optional analytics is offered, the application also stores the allow/reject decision, notice version, and decision time locally. This record contains no user identifier and remains valid for 180 days, until changed, or until the notice materially changes. An expired record is removed on the next visit. The decision is synchronized between open tabs on the same site.

Browser storage that is necessary to provide expressly requested save, settings, and consent-management functions is accessed under section 25(2)(2) TDDDG. Associated personal-data processing relies on Article 6(1)(b) or (f) GDPR. Optional analytics cookies are not covered by this exemption.

4. Optional usage analytics with Google Analytics 4

Some Topolis games and applications offer voluntary Google Analytics 4 measurement. The service's consent dialog explains when this applies. Until an active decision to allow analytics has been stored, Google analytics code is not loaded, no analytics connection to Google is made, and no analytics cookie is set. Refusing analytics has no effect on access to the service.

After consent, the processed data may include:

• a random, pseudonymous analytics identifier limited to the current browser session;
• a sanitized page path and fixed title, but no query string, fragment, or referrer;
• browser/device category plus session and engagement information;
• the IP address in transit to Google; Google states that it uses the address to derive approximate location and discards EU users' IP addresses before logging;
• bounded events and totals such as run or stage start, resume and end, level reached, duration, score, enemies or bosses defeated, virtual resources earned or spent, and numbers of unlocks;
• catalog-bound decisions such as starting equipment, rule, route, or event choices and, for item upgrades, only category, rarity, level, and upgrade type.

The application does not supply names, email addresses, account IDs, User-ID, world seeds, free text, precise locations, advertising IDs, complete saves or profiles, or individual item IDs as analytics parameters. Google nevertheless technically receives the pseudonymous session identifier, transport time, source IP address, and consent state.

Google uses the host-only cookies _ga and _ga_… with path /. In the Topolis games and applications described here, they expire with the browser session. Advertising features, Google Signals, ad personalization, User-ID, and automatic page views are disabled. Individual user and event data is configured for two-month retention; this setting does not shorten aggregated standard reports.

The legal bases are consent under Article 6(1)(a) GDPR and, for storing or reading analytics cookies, section 25(1) TDDDG. Consent is voluntary and may be withdrawn at any time through Privacy & analytics or Privacy settings in the relevant application. Withdrawal stops future transmission and expires the cookies owned by the analytics configuration. It does not affect the lawfulness of prior processing. If analytics is allowed during a run already in progress, earlier activity is not backfilled; measurement begins with a later eligible fresh run.

Google may also process data through Google LLC and subprocessors outside the European Economic Area, particularly in the United States. Google refers to certification under the EU-US Data Privacy Framework and, additionally, Standard Contractual Clauses for transfers to the US. See Google's Privacy Policy and Google's international data-transfer information.

5. Contact

If you contact us by email, the supplied address, message content, and any voluntarily supplied details are processed to answer the request. Article 6(1)(b) GDPR applies to contractual or pre-contractual requests; otherwise the legal basis is Article 6(1)(f) GDPR and the legitimate interest in responding.

6. Recipients, processors, and external links

Data is disclosed only to parties that need it for the purposes described above. These may include technical hosting and infrastructure providers and—only after consent—Google as analytics provider. Providers are bound by processing agreements under Article 28 GDPR where required.

Topolis services may link to independent third-party services or services with their own privacy notice. The third party processes data under its own terms only after such a link is opened. This notice does not automatically cover external shops, payment providers, social networks, or the separately governed StoryBox service.

7. Retention

Personal data is retained only for as long as its purpose, security requirements, or statutory retention obligations require, and is then erased or anonymized. Server-log criteria are described in section 2, local game and consent data in section 3, and analytics retention in section 4. Contact requests are erased after completion unless legal obligations or the establishment, exercise, or defence of claims require further retention.

8. Your rights

Where the relevant legal conditions are met, you have rights including:

• access (Article 15 GDPR);
• rectification (Article 16 GDPR);
• erasure (Article 17 GDPR);
• restriction of processing (Article 18 GDPR);
• data portability (Article 20 GDPR);
• objection to processing based on Article 6(1)(f) GDPR (Article 21 GDPR);
• withdrawal of consent for the future (Article 7(3) GDPR).

Requests may be sent to support@topolis.de. Identifying a particular person in exclusively pseudonymous analytics data may be technically limited without further information. No solely automated decision with legal or similarly significant effects is made within the meaning of Article 22 GDPR.

Under Article 77 GDPR you may also lodge a complaint with a supervisory authority, in particular the Bavarian Data Protection Authority for the Private Sector (BayLDA), Promenade 18, 91522 Ansbach, Germany.