Datenschutz ist bei Apps kein Anhang, sondern Architektur. Was du hier liest, ersetzt keine Rechtsberatung – aber es zeigt dir, welche Themen du vor dem Launch mit deinem Anwalt und deinem Entwicklungsteam klären musst.
Die Pflichten im Überblick
- Datenschutzerklärung: In der App erreichbar und in beiden Stores verlinkt. Sie muss jede Verarbeitung, jeden Drittdienst und jede Rechtsgrundlage nennen.
- Einwilligung für Tracking: Analytics, Werbe-IDs und Crash-Reports mit Personenbezug brauchen eine echte Opt-in-Einwilligung (TTDSG/DSGVO) – auf iOS zusätzlich den ATT-Dialog.
- Auftragsverarbeitungsverträge: Mit jedem Dienst, der Daten für dich verarbeitet – Hosting, Push, Analytics, Support-Tools.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung müssen technisch möglich sein. Apple verlangt zudem eine Konto-Löschung direkt in der App.
- Löschkonzept: Welche Daten werden wann gelöscht? Standard-Antwort „nie“ ist keine.
- Verzeichnis der Verarbeitungstätigkeiten: Pflicht für fast jedes Unternehmen, das eine App betreibt.
Technische Konsequenzen
- Datensparsamkeit: Erhebe nur, was die Funktion braucht. Kein Standort, wenn die Postleitzahl reicht.
- Hosting in der EU, wenn irgend möglich – das vereinfacht vieles.
- Verschlüsselung in Transit (TLS) und at rest, sichere Token-Speicherung (Keychain / Keystore).
- Consent-Management: Analytics-SDKs dürfen erst nach Einwilligung initialisiert werden – nicht nur „nichts senden“.
- Logs: Keine personenbezogenen Daten in Crash- oder Server-Logs.