Anforderungen an die Datenschutzerklärung für mobile Apps: iOS- und Android-Compliance-Leitfaden

Eine mobile App ohne konforme Datenschutzerklärung zu veröffentlichen, ist der schnellste Weg zur Ablehnung. Sowohl Apples App Store als auch der Google Play Store haben strenge Anforderungen, die weit über das bloße Vorhandensein eines Dokuments mit dem Titel "Datenschutzerklärung" hinausgehen.

Egal, ob Sie Ihre erste iOS-App starten, eine Android-App aktualisieren oder ein plattformübergreifendes Release verwalten: Das Verständnis der Anforderungen an die Datenschutzerklärung für mobile Apps ist nicht verhandelbar. App-Store-Prüfer werden Ihre Datenschutzerklärung genau unter die Lupe nehmen, und Nichteinhaltung kann zur Ablehnung, Entfernung oder sogar zur Sperrung des Kontos führen.

Dieser Leitfaden erläutert genau, was Apple und Google verlangen, was in der Datenschutzerklärung Ihrer App enthalten sein muss und wie Sie sicherstellen, dass Ihre Datenschutzerklärung alle aktuellen Standards für 2025 erfüllt.

Warum mobile Apps strengeren Datenschutzanforderungen unterliegen

Mobile Apps fordern Berechtigungen an, die Websites nicht haben können: Kamerazugriff, Mikrofon, Standortverfolgung, Kontakte, Fotobibliotheken und mehr. Da Apps auf sensible Gerätedaten zugreifen und im Hintergrund laufen können, haben Regulierungsbehörden und Plattformbetreiber strenge Anforderungen an die Offenlegung des Datenschutzes eingeführt.

Darüber hinaus haben mobile Betriebssysteme kürzlich nutzerorientierte Datenschutzfunktionen eingeführt, wie Apples App Tracking Transparency und Privacy Nutrition Labels sowie Googles Data Safety-Bereich. Ihre Datenschutzerklärung muss mit dem übereinstimmen, was Sie in diesen Angaben deklarieren, sonst riskieren Sie Durchsetzungsmaßnahmen.

Anforderungen des Apple App Store an die Datenschutzerklärung

Apples App Store Review Guidelines machen Datenschutzerklärungen für alle Apps verpflichtend. Hier sind die wichtigsten Anforderungen:

Verpflichtend für alle Apps

Gemäß Section 5.1.1 von Apples App Store Review Guidelines müssen alle Apps einen Link zur Datenschutzerklärung in App Store Connect enthalten. Dies gilt auch dann, wenn Ihre App nur minimale oder gar keine personenbezogenen Daten erhebt. Die Datenschutzerklärung muss:

• über eine öffentlich verfügbare URL zugänglich sein
• klar und leicht verständlich sein
• in denselben Sprachen wie Ihre App verfügbar sein
• aktualisiert sein, um die aktuellen Datenpraktiken widerzuspiegeln

Privacy Nutrition Labels (App Privacy Report)

Seit iOS 14 verlangt Apple von Entwicklern, einen Datenschutzfragebogen in App Store Connect auszufüllen. Daraus entsteht ein "Privacy Nutrition Label", das für Nutzer vor dem Download sichtbar ist. Ihre Datenschutzerklärung muss mit dem übereinstimmen, was Sie hier deklarieren.

Das Label kategorisiert Daten in:

• Daten, die zum Tracking verwendet werden: Daten, die Nutzer über Apps/Websites hinweg verknüpfen, die anderen Unternehmen gehören
• Mit Ihnen verknüpfte Daten: Daten, die mit der Identität des Nutzers verbunden sind (Kontoinformationen, Käufe, Analysen mit Nutzer-ID)
• Nicht mit Ihnen verknüpfte Daten: Anonyme Daten, die nicht auf die Identität des Nutzers zurückgeführt werden können

Häufiger Fehler: Entwickler geben im Label oft zu wenig Datenerhebung an, legen sie aber in der Datenschutzerklärung vollständig offen, wodurch eine Diskrepanz entsteht, die Apples Prüfer erkennen werden.

App Tracking Transparency (ATT)

Wenn Ihre App Tracking durch Dritte verwendet (Analyseplattformen, Werbenetzwerke, Datenhändler), müssen Sie:

1. die Erlaubnis des Nutzers über die ATT-Aufforderung einholen, bevor das Tracking beginnt
2. in Ihrer Datenschutzerklärung offenlegen, welches Tracking stattfindet und zu welchen Zwecken
3. erklären, wie Nutzer das Tracking kontrollieren können (über die iOS-Einstellungen)

Apps, die ohne Erlaubnis tracken oder das Tracking nicht in ihrer Datenschutzerklärung offenlegen, riskieren Ablehnung oder Entfernung.

Erforderliche Angaben für iOS-Apps

Ihre Datenschutzerklärung muss ausdrücklich Folgendes behandeln:

• welche personenbezogenen Daten Sie erheben (verknüpft mit bestimmten iOS-Berechtigungen)
• warum Sie jede Datenart benötigen
• ob Daten an Dritte weitergegeben werden
• wie lange Daten aufbewahrt werden
• Nutzerrechte (Zugriff, Löschung, Opt-out)
• Kontaktinformationen für Datenschutzanfragen

Apple prüft besonders genau Apps, die auf Kamera, Mikrofon, Standort, Gesundheitsdaten, Kontakte oder Fotos zugreifen. Sie müssen diese Berechtigungen in klarer Sprache begründen.

Anforderungen des Google Play Store an die Datenschutzerklärung

Die Datenschutzanforderungen von Google Play sind ähnlich umfassend, mit zusätzlichem Schwerpunkt auf Transparenz bei der Datensicherheit.

Anforderung an die Datenschutzerklärungs-URL

Die Google Play Console verlangt, dass Sie eine URL zur Datenschutzerklärung für Apps angeben, die:

• sensible Geräteberechtigungen anfordern oder verarbeiten (Standort, Kamera, Mikrofon, Kontakte usw.)
• personenbezogene oder sensible Nutzerdaten erheben
• Daten vom Gerät übertragen

In der Praxis bedeutet dies, dass nahezu alle Apps eine Datenschutzerklärung benötigen. Apps ohne Datenschutzerklärung oder mit defekten Links zur Datenschutzerklärung werden abgelehnt.

Data Safety-Bereich

Google führte 2022 den Data Safety-Bereich ein und verlangt von Entwicklern, Folgendes offenzulegen:

• welche Daten erhoben und weitergegeben werden
• wie Daten verwendet werden (Analyse, Werbung, Funktionalität)
• ob die Datenerhebung optional ist
• Sicherheitspraktiken (Verschlüsselung bei der Übertragung, Optionen zur Löschung von Nutzerdaten)

Wie bei Apples Privacy Labels ist dieser Bereich nutzerorientiert und muss genau mit Ihrer Datenschutzerklärung übereinstimmen. Falschdarstellungen können zu Richtlinienverstößen führen.

Offenlegung von Drittanbieter-SDKs

Wenn Ihre App Drittanbieter-SDKs verwendet (Firebase, Facebook SDK, AdMob usw.), muss Ihre Datenschutzerklärung Folgendes offenlegen:

• welche SDKs integriert sind
• welche Daten jedes SDK erhebt
• Links zur Datenschutzerklärung jedes SDK-Anbieters

Googles Richtliniendurchsetzung hat die Prüfung der Datenerhebung durch SDKs verschärft, insbesondere bei Werbe- und Analyse-SDKs.

Berechtigungsbasierte Offenlegung

Google verlangt, dass Ihre Datenschutzerklärung erklärt, warum Sie jede Android-Berechtigung anfordern. Zum Beispiel:

• ACCESS_FINE_LOCATION: "Wir erheben den genauen Standort, um Geschäfte in der Nähe anzuzeigen"
• CAMERA: "Der Kamerazugriff ist erforderlich, um QR-Codes zu scannen"
• READ_CONTACTS: "Der Kontaktzugriff ermöglicht es Ihnen, Freunde über die App einzuladen"

Allgemeine Aussagen wie "Wir erheben möglicherweise Standortdaten" sind unzureichend. Verknüpfen Sie jede Berechtigung mit einer bestimmten App-Funktion.

App Tracking Transparency und Privacy Nutrition Labels

Beide Plattformen zeigen nun Datenschutzinformationen an, bevor Nutzer Ihre App herunterladen. Das bedeutet, dass Ihre Datenschutzerklärung kein vergrabenes Rechtsdokument mehr ist, sondern sich direkt auf die Conversion-Raten auswirkt.

Apples Privacy Labels

Nutzer sehen auf einen Blick, welche Daten Ihre App erhebt. Zu den Kategorien gehören:

• Kontaktinformationen (Name, E-Mail, Telefon)
• Standort (genau, ungefähr)
• Kennungen (Geräte-ID, Werbe-ID)
• Nutzungsdaten (Interaktionen, Abstürze, Leistung)
• Diagnose (Absturzprotokolle, Analysen)

Wenn Sie "Keine Daten erhoben" auswählen, muss Ihre Datenschutzerklärung dies bestätigen. Jede spätere Entdeckung einer Datenerhebung ist ein Grund für die Entfernung.

Googles Data Safety

Ähnlich wie bei Apple, enthält jedoch zusätzliche Felder für:

• ob Daten bei der Übertragung verschlüsselt werden
• ob Nutzer die Löschung von Daten anfordern können
• ob die Datenerhebung optional ist

Nutzer können auf "Details ansehen" tippen, um Einzelheiten anzuzeigen. Auch hier muss dies mit Ihrer Datenschutzerklärung übereinstimmen.

Häufig von mobilen Apps erhobene Daten

Mobile Apps erheben in der Regel Daten, die mit Geräteberechtigungen verknüpft sind. Hier sind die häufigsten Kategorien:

Personenbezogene Informationen

• Name, E-Mail-Adresse, Telefonnummer
• Anmeldedaten (Benutzername/Passwort)
• Profilbilder oder Avatare
• Zahlungsinformationen (bei In-App-Käufen oder Abonnements)

Geräte- und technische Daten

• Gerätemodell, Betriebssystemversion, Bildschirmgröße
• IP-Adresse
• Eindeutige Gerätekennungen (IDFA auf iOS, Advertising ID auf Android)
• App-Version und Build-Nummer

Standortdaten

• Genauer Standort (GPS-Koordinaten)
• Ungefährer Standort (Stadtebene)
• Standortverfolgung im Hintergrund (erfordert besondere Begründung)

Berechtigungsbasierte Daten

• Kamera/Fotos: Bilduploads, Profilbilder, Fotofilter
• Mikrofon: Sprachnachrichten, Audioaufnahmen
• Kontakte: Freundeseinladungen, Synchronisierung
• Kalender: Erstellung von Terminen, Erinnerungen
• Gesundheit/Fitness: Schrittzählung, Workouts, Gesundheitsmetriken

Analyse und Werbung

• In-App-Verhalten (angesehene Bildschirme, angetippte Schaltflächen)
• Absturzprotokolle und Fehlerberichte
• Werbeeinblendungen und Klicks
• App-übergreifendes Tracking (über Werbe-IDs)

Ihre Datenschutzerklärung muss jeden erhobenen Datenpunkt auflisten, klar kategorisiert.

Besondere Anforderungen für Kinder-Apps (COPPA)

Wenn Ihre App auf Kinder unter 13 Jahren (oder unter 16 Jahren in Europa gemäß GDPR) abzielt, gelten zusätzliche Anforderungen.

COPPA-Compliance (Vereinigte Staaten)

Der Children's Online Privacy Protection Act verlangt:

• elterliche Einwilligung vor der Erhebung von Daten von Kindern
• klare Offenlegung der Datenerhebungspraktiken
• keine verhaltensbasierte Werbung gegenüber Kindern ohne Einwilligung
• Datenminimierung (nur erheben, was notwendig ist)

Apps in der Kategorie "Kinder" in den Apple- und Google-Stores müssen strengere Prüfstandards erfüllen. Ihre Datenschutzerklärung muss einen eigenen Abschnitt zum Datenschutz von Kindern enthalten.

Altersabfragen

Wenn Ihre App nicht ausschließlich für Kinder bestimmt ist, aber von ihnen genutzt werden kann, implementieren Sie eine Altersabfrage und passen Sie die Datenerhebung entsprechend an. Ihre Datenschutzerklärung sollte erklären, wie Sie mit Zielgruppen unterschiedlichen Alters umgehen.

COPPA Safe Harbor-Zertifizierung

Erwägen Sie eine Zertifizierung über ein COPPA Safe Harbor-Programm (wie kidSAFE oder PRIVO) für zusätzliche Glaubwürdigkeit und Compliance-Sicherheit.

Wesentliche Abschnitte für App-Datenschutzerklärungen

Eine konforme Datenschutzerklärung für eine mobile App sollte Folgendes enthalten:

1. Einleitung

Geben Sie klar an, was die Datenschutzerklärung abdeckt: "Diese Datenschutzerklärung erläutert, wie [App-Name] Ihre personenbezogenen Daten erhebt, verwendet und weitergibt."

2. Welche Informationen wir erheben

Aufschlüsselung nach Kategorie:

• Informationen, die Sie bereitstellen (Kontoregistrierung)
• Automatisch erhobene Informationen (Gerätedaten, Nutzungsanalysen)
• Informationen von Dritten (Social Login)

3. Wie wir Ihre Informationen verwenden

Konkrete Zwecke, die mit der App-Funktionalität verknüpft sind:

• Bereitstellung und Verbesserung von App-Funktionen
• Personalisierung des Nutzererlebnisses
• Senden von Benachrichtigungen und Updates
• Verarbeitung von Zahlungen
• Erfüllung gesetzlicher Verpflichtungen

4. Weitergabe und Offenlegung

Wer Zugriff auf Nutzerdaten hat:

• Dienstleister (Hosting, Analyse, Zahlungsabwickler)
• Werbepartner
• Behörden (wenn gesetzlich vorgeschrieben)

Fügen Sie Links zu den Datenschutzerklärungen von Drittanbietern hinzu (Google Analytics, Stripe usw.).

5. Datenaufbewahrung

Wie lange Sie Nutzerdaten aufbewahren und was passiert, wenn Konten gelöscht werden.

6. Nutzerrechte

Je nach Rechtsraum:

• Zugriff auf personenbezogene Daten, deren Berichtigung oder Löschung
• Abmeldung von Marketingkommunikation
• Widerspruch gegen den Verkauf von Daten (CCPA/CPRA)
• Widerruf der Einwilligung (GDPR)

7. Sicherheitsmaßnahmen

Wie Sie Daten schützen: Verschlüsselung, sichere Server, Zugriffskontrollen.

8. Datenschutz von Kindern

Falls zutreffend, erläutern Sie die COPPA/GDPR-Compliance.

9. Internationale Datenübermittlungen

Wenn sich Ihre Server in verschiedenen Ländern befinden, legen Sie dies offen (insbesondere für EU-/UK-Nutzer gemäß GDPR).

10. Kontaktinformationen

E-Mail, Postanschrift oder ein In-App-Kontaktformular für Datenschutzanfragen.

11. Änderungen dieser Datenschutzerklärung

Wie Sie Nutzer über Aktualisierungen informieren (E-Mail, In-App-Benachrichtigung, Datum des Inkrafttretens).

Wo Sie Ihre Datenschutzerklärung anzeigen sollten

Mobile Apps müssen Datenschutzerklärungen an mehreren Stellen zugänglich machen:

1. Innerhalb der App

Fügen Sie einen Link ein in:

• Einstellungen oder Über-Bereich
• Bildschirme zur Kontoerstellung/Anmeldung
• Onboarding-Ablauf beim ersten Start

Machen Sie ihn mit einem Tippen erreichbar, nicht in Untermenüs vergraben.

2. App-Store-Eintrag

Sowohl Apple als auch Google verlangen während der App-Einreichung eine öffentlich zugängliche URL. Diese URL wird auf der Store-Seite Ihrer App angezeigt.

3. Ihre Website

Hosten Sie die Datenschutzerklärung auf Ihrer Website (z. B. yourapp.com/privacy-policy). Verwenden Sie diese URL für Store-Einreichungen. Stellen Sie sicher, dass sie schnell lädt und mobilfreundlich ist.

4. Vor der Datenerhebung

Wenn Ihre App sensible Berechtigungen anfordert (Standort, Kamera, Kontakte), zeigen Sie den Link zur Datenschutzerklärung an, bevor Sie die Berechtigung anfordern.

Checkliste für die App-Store-Einreichung

Bevor Sie Ihre App bei Apple oder Google einreichen, überprüfen Sie:

• Die URL zur Datenschutzerklärung ist live, zugänglich und für Mobilgeräte optimiert
• Die Datenschutzerklärung stimmt mit Ihrem App Privacy Label (Apple) oder Ihrer Data Safety-Erklärung (Google) überein
• Alle Berechtigungen sind in der Datenschutzerklärung begründet
• Drittanbieter-SDKs sind mit Links zu ihren Datenschutzerklärungen offengelegt
• Der ATT-Aufforderungstext stimmt mit den Angaben in der Datenschutzerklärung überein
• Die Datenschutzerklärung liegt in denselben Sprachen wie Ihre App vor
• Die Kontaktinformationen sind aktuell
• Das Datum des Inkrafttretens ist aktuell
• Die Datenschutzerklärung ist innerhalb der App-Oberfläche verlinkt

Bewahren Sie eine Kopie Ihrer Datenschutzerklärungsversion zum Zeitpunkt der Einreichung auf. Wenn Apple oder Google Änderungen verlangen, können Sie auf das ursprünglich Bereitgestellte verweisen.

Erstellen Sie eine konforme Datenschutzerklärung für mobile Apps

Das Erstellen einer Datenschutzerklärung, die sowohl rechtliche Anforderungen als auch App-Store-Richtlinien erfüllt, kann komplex sein. Sie müssen plattformspezifische Regeln, regionale Gesetze wie GDPR und CCPA sowie bestimmte Funktionen berücksichtigen, die Ihre App verwendet (Analyse, Werbung, Push-Benachrichtigungen).

TermsBox vereinfacht diesen Prozess mit einem Generator für Datenschutzerklärungen für mobile Apps, der:

• sowohl iOS- als auch Android-Apps unterstützt
• die Anforderungen von App Store und Google Play abdeckt
• COPPA-Compliance für Kinder-Apps enthält
• gängige mobile Berechtigungen offenlegt (Kamera, Standort, Kontakte)
• Angaben zu Analyse, Werbung und Push-Benachrichtigungen verarbeitet
• HTML-, Markdown- und herunterladbare Formate generiert
• eine gehostete URL für App-Store-Einreichungen bereitstellt

Egal, ob Sie eine neue App starten oder eine bestehende Datenschutzerklärung an aktuelle Standards anpassen: TermsBox sorgt dafür, dass Sie plattformübergreifend konform bleiben.

Starten Sie mit Ihrer Datenschutzerklärung für mobile Apps unter termsbox.com/privacy-policy/generator.

Fazit

Datenschutzerklärungen für mobile Apps sind nicht optional, und sie sind keine Einheitslösung. Apple und Google setzen strenge Anforderungen durch, die über die grundlegende rechtliche Compliance hinausgehen. Ihre Datenschutzerklärung muss mit Ihrem App Privacy Label oder Ihrer Data Safety-Erklärung übereinstimmen, jede von Ihnen angeforderte Berechtigung begründen und für Nutzer zugänglich sein, bevor sie Ihre App herunterladen.

Angesichts der zunehmenden regulatorischen Prüfung und des wachsenden Bewusstseins der Nutzer für den Datenschutz ist eine gut ausgearbeitete, transparente Datenschutzerklärung sowohl eine Compliance-Notwendigkeit als auch ein Vertrauenssignal. Investieren Sie die Zeit, um es richtig zu machen, halten Sie sie aktuell, während sich Ihre App weiterentwickelt, und stellen Sie sicher, dass sie in Ihrer App und auf Ihrem Store-Eintrag gut sichtbar angezeigt wird.

Wenn Sie die Richtlinien in diesem Artikel befolgen, sind Sie gut darauf vorbereitet, die App-Store-Prüfung zu bestehen und das Vertrauen der Nutzer in die Datenpraktiken Ihrer App aufzubauen.