In diesem Ratgeber
Google Play hat den Bereich "Datensicherheit" (Data safety). Apple hat die "App-Datenschutzdetails", auf der Produktseite als Datenschutzlabels sichtbar. Beide fragen, was deine App erhebt und wozu. Der häufige Fehler: Jedes Formular wird kurz vor der Einreichung aus dem Gedächtnis beantwortet. Sicherer ist es, zuerst eine Bestandsliste zu bauen und beide Formulare daraus zu beantworten. Das ist keine Rechtsberatung.
Was die Stores sagen
Google Play. Laut Play Console-Hilfe müssen alle Entwickler mit veröffentlichten Apps das Formular ausfüllen, auch Apps ohne Datenerhebung, und eine Datenschutzerklärung ist dafür Pflicht. Dort steht sinngemäß: Du allein bist für vollständige und richtige Angaben verantwortlich. Die Angaben müssen auch Daten umfassen, die Bibliotheken und SDKs von Dritten verarbeiten, und sie müssen bei geänderten Datenpraktiken richtig und vollständig bleiben.
Apple. Laut Apples Seite zu den App-Datenschutzdetails sind die Angaben nötig, um neue Apps und Updates einzureichen. Du musst auch die Praktiken von Drittpartnern erfassen, deren Code du einbindest, etwa Analysetools, Werbenetzwerke und SDKs. Du musst alle Daten angeben, die du oder diese Partner erheben, außer sie erfüllen sämtliche Kriterien für die optionale Angabe. Deine Antworten kannst du jederzeit ändern, ohne App-Update. Eine öffentliche URL der Datenschutzerklärung ist Pflicht.
Wortlaut und Kategorien unterscheiden sich. Ein Antwortblatt wird deshalb in jedes Formular übertragen, nicht kopiert.
Schritt 1: Die Bestandsliste bauen
Lege eine Tabelle an, eine Zeile pro Datenelement.
| Spalte | Beispiel (zur Illustration) |
|---|---|
| Datentyp | E-Mail-Adresse |
| Herkunft | Anmeldeformular |
| Zweck | Konto, Support |
| Empfänger | Eigener Server; E-Mail-Dienstleister |
| Pflicht oder optional | Pflicht |
| Gespeichert wo, wie lange | Server; bis zur Kontolöschung |
| Dem Nutzer zugeordnet? | Ja |
| Für Tracking/Werbung? | Nein |
| Stelle im Code | Auth-Modul |
Schritt 2: Alles finden, auch SDKs
- Gehe Code und Abhängigkeitsliste durch. Notiere jedes SDK und was es sendet.
- Lies die Datenangaben des jeweiligen SDK-Anbieters; viele veröffentlichen sie genau dafür.
- Prüfe Analyse-Ereignisse, Absturzberichte, Geräte- und Werbekennungen, Logs und alles, was an ein Backend geht.
- Berücksichtige den ersten Start, vor jeder Anmeldung.
Schritt 3: Formulare aus der Liste beantworten
Suche zu jeder Zeile die passende Frage im Formular des Stores. Wo das Formular zwischen "erhoben" und "weitergegeben", "optional" und "erforderlich" oder nach Zwecken unterscheidet, antworte nach der Liste, nicht nach dem, was freundlicher klingt. Ist ein Begriff unklar, lies den Hilfetext des Stores dazu.
Schritt 4: Datenschutzerklärung und App abgleichen
Datenschutzerklärung, Verhalten der App und beide Formulare sollen dasselbe erzählen. Eine Erklärung "keine Daten weitergegeben", während die App ein Werbe-SDK nutzt, ist ein Widerspruch, der Ärger macht.
Schritt 5: Aktuell halten
Setze einen Punkt auf die Release-Checkliste: "Haben wir ein SDK, eine Berechtigung oder einen Datenfluss ergänzt oder geändert?" Wenn ja, Liste und beide Formulare aktualisieren. Prüfe die Liste vor jedem Release, der Daten berührt.
Stolpersteine
- SDK-Daten vergessen, weil "den Code haben wir nicht geschrieben".
- Antworten der Konkurrenz kopieren. Deren App ist nicht deine.
- "Keine" antworten, ohne Logs und Analyse geprüft zu haben.
- Einen Store aktualisieren und den anderen nicht.
- Kinder in der Zielgruppe: siehe Apps für Kinder.
Bei Rechtsfragen, was du offenlegen musst oder wofür du eine Einwilligung brauchst, frag einen Anwalt oder die Aufsichtsbehörde.
Tester zeigen dir Abläufe, in denen Daten die App verlassen, an die du nicht mehr gedacht hast. Lass Tester noch einmal draufschauen.
Weiterlesen: Hub App-Store-Optimierung und Launch, App-Store-Richtlinien: Grundlagen, Google-Play-Richtlinien: Grundlagen.