DSGVO in App-Projekten ist kein Punkt am Ende der Checkliste. Es ist Architektur, die von Anfang an mitgedacht werden muss.
Der haeufigste Fehler: Das Thema wird dem Anwalt uebergeben, der eine Datenschutzerklaerung schreibt. Fertig, denkt man.
Das Problem dabei: Die Datenschutzerklaerung beschreibt, was passiert. Ob das, was passiert, ueberhaupt DSGVO-konform ist, prueft sie nicht. Privacy by Design und Privacy by Default sind Pflicht, und gehoeren in die Architektur, nicht nachtraeglich draufgeklebt.
Was in Apps konkret zu beachten ist
Datenminimierung heisst: nur erheben, was wirklich gebraucht wird, kein Tracking, das vielleicht mal nuetzlich sein koennte. Consent muss freiwillig, informiert, eindeutig und widerrufbar sein, Consent als Nutzungsvoraussetzung oder vorausgewaehlte Checkboxen sind rechtlich riskant. Jeder Drittanbieter, Analytics, Crash-Reporting, Push-Provider, ist potenziell ein Auftragsverarbeiter und braucht einen entsprechenden Vertrag. Und Nutzer haben ein Recht auf Loeschung, das technisch tatsaechlich umgesetzt sein muss, in der App, in der Datenbank, bei allen Drittanbietern.
Typische Fallstricke bei gaengigen Funktionen
Bei Firebase Analytics sollte die IP-Anonymisierung aktiviert und keine User-ID ohne Consent gesendet werden. Push Notifications brauchen ein Opt-in vor jedem Tracking. Standortdaten erfordern expliziten Consent mit klarer Zweckbindung.
Checkliste: Datenschutzfolgenabschaetzung bei Bedarf durchgefuehrt, Consent-Mechanismus DSGVO-konform implementiert, AV-Vertraege mit allen relevanten Drittanbietern abgeschlossen, Loeschmechanismus fuer Nutzerdaten implementiert, Datenschutzerklaerung aktuell und verlinkt, Datenminimierung in der Architektur verankert.
Ein Beispiel aus der Praxis
Eine App nutzte einen beliebten Analytics-Anbieter, ohne dass jemand geprueft hatte, ob dessen Standard-Konfiguration DSGVO-konform war. Erst ein externes Audit deckte auf, dass Nutzerdaten standardmaessig inklusive vollstaendiger IP-Adresse und Geraete-ID an Server ausserhalb der EU uebertragen wurden, ohne dass der Consent-Dialog das klar kommunizierte. Die technische Anpassung, IP-Anonymisierung aktivieren und den Consent-Text praezisieren, war in wenigen Stunden erledigt. Das eigentliche Risiko lag in der Zeit davor, in der niemand die Standardeinstellungen eines Drittanbieters hinterfragt hatte.
DSGVO-Review fuer eure App? markom.digital macht technische Datenschutz-Reviews fuer mobile Apps, als notwendige Ergaenzung zur anwaltlichen Pruefung, nicht als Ersatz.
