So erstellst du eine Datenschutzerklärung für deine mobile App

Google Play verlangt von jeder App das Ausfüllen des Data-Safety-Formulars und separat eine öffentliche, aktive Datenschutz-URL im Store-Eintrag (Play Console > Policy and programs > App content > Privacy Policy). Wenn deine Angaben im Data-Safety-Formular nicht mit dem Text deiner Richtlinie übereinstimmen, kann diese Diskrepanz ebenfalls Probleme bei der Prüfung auslösen.

Bei Apple gibt es zwei separate Anforderungen: das Feld „Privacy Policy URL" im App-Information-Bereich von App Store Connect, sowie den separaten App-Privacy-Tab (das Datenschutz-Nährwertlabel), in dem du angibst, welche Datenkategorien du erhebst. Fehlende oder widersprüchliche Angaben in einem der beiden können eine Metadaten-Ablehnung auslösen.

Die URL ist auch dann erforderlich, wenn deine App überhaupt keine Daten erhebt — selbst eine kurze Richtlinie, die einfach besagt „wir erheben keine Daten", muss auf einer zugänglichen Webseite veröffentlicht werden. Ein leer gelassenes oder mit „demnächst verfügbar" markiertes Feld wird bei der Store-Prüfung direkt abgelehnt.

Das Grundgerüst sollte Folgendes abdecken: welche Datentypen erhoben werden (E-Mail, Geräte-IDs, Standort, Nutzungsstatistiken usw.), den Zweck der Erhebung, ob Daten an Dritte weitergegeben werden, wie lange sie gespeichert werden, und eine Kontaktadresse für Fragen zur Richtlinie.

Jedes von deiner App verwendete Dritt-SDK sollte einzeln genannt werden. AdMob erhebt eine Werbe-ID, die IP-Adresse und den ungefähren Standort für das Targeting; Firebase Analytics verarbeitet Nutzungs- und Interaktionsdaten; Crashlytics erfasst im Moment eines Absturzes das Gerätemodell, die Betriebssystemversion und Absturzprotokolle. AdMobs eigene Publisher-Richtlinie verlangt, dass diese Datenerhebung explizit in deiner Datenschutzerklärung offengelegt wird — eine Richtlinie, die diese SDKs nie erwähnt, kann sowohl bei der Play/App-Store-Prüfung als auch bei AdMob selbst Probleme verursachen.

Wenn deine Nutzer der DSGVO (EU) oder einem vergleichbaren Datenschutzgesetz in ihrem Land unterliegen, sollte deine Richtlinie die Identität des Verantwortlichen, die Rechtsgrundlage der Verarbeitung und die Rechte der Nutzer (Zugang, Berichtigung, Löschung, Widerspruch) behandeln. Dies ist keine Rechtsberatung; wenn die Datenverarbeitung deiner App einen Sonderfall betrifft (z. B. eine an Kinder gerichtete App oder Gesundheitsdaten), wird die Konsultation eines Anwalts empfohlen.

In Play Console: Wähle deine App aus > Policy and programs > App content > Privacy Policy > trage die Adresse deiner Richtlinie in das URL-Feld ein und speichere. Dieser Schritt ist unabhängig vom separaten Data-Safety-Formular — du musst beides ausfüllen.

In App Store Connect: My Apps > wähle deine App aus > App Information > trage die Adresse in das Feld Privacy Policy URL ein. Außerdem musst du die Fragen im App-Privacy-Tab beantworten und angeben, welche Datenkategorien deine App erhebt und ob diese Daten für das Tracking von Nutzern verwendet werden.

Wichtig ist, dass die URL dauerhaft und öffentlich ist: Verwende eine Webseite, die sich direkt im Browser öffnet, statt einer Seite mit Login-Zwang, einer temporären Hosting-Adresse oder einer herunterzuladenden Datei. Die Store-Prüfung ruft diese Adresse automatisch auf.

Der häufigste Fehler ist eine nicht erreichbare URL: ein 404-Fehler, eine Adresse, die sich nicht auflösen lässt, oder eine, die vorübergehend verschoben wurde. Diese URL wird während der Prüfung getestet, und ein defekter Link ist ein direkter Ablehnungsgrund.

Der zweite Fehler ist eine generische Vorlage: Text, der aus dem Internet kopiert wurde und nie einen Dienst erwähnt, den deine App tatsächlich nutzt (AdMob, Firebase usw.). Eine solche Richtlinie stimmt nicht mit deinen Data-Safety-Angaben überein und kann als inkonsistent markiert werden.

Der dritte Fehler ist eine veraltete Richtlinie: Fügst du deiner App ein neues SDK oder Analysetool hinzu, ohne den Richtlinientext zu aktualisieren, entsteht ein Risiko sowohl bei der Store-Prüfung als auch für die DSGVO-Konformität. Überprüfe deine Richtlinie bei jedem Release, das ein neues Datenerfassungsverhalten hinzufügt.

1. Liste jeden Dienst auf, den deine App nutzt: Werbe-SDKs (AdMob, Meta Audience Network), Analysetools (Firebase Analytics), Absturzberichte (Crashlytics), Anmeldeanbieter (wie Google Sign-In) und alle Daten, die dein eigenes Backend erfasst.

2. Notiere für jeden Dienst, welche Daten er erhebt und zu welchem Zweck; diese Liste bildet die Grundlage sowohl für deine Richtlinie als auch für deine Antworten in den Data-Safety-/App-Privacy-Formularen.

3. Veröffentliche die Richtlinie unter einer dauerhaften, öffentlichen Webadresse und trage diese Adresse separat sowohl in Play Console als auch in App Store Connect ein.

4. Aktualisiere die Richtlinie und überprüfe die Angaben in deinen Store-Formularen erneut, sobald du der App einen neuen Dienst hinzufügst.

Anstatt das alles von Hand zu schreiben, erstellt Vibeloys kostenloser Datenschutzerklärungs-Generator in wenigen Minuten eine Richtlinie, die an der Terminologie der DSGVO (und der türkischen KVKK) ausgerichtet ist, sobald du deine App-Details und die verwendeten Dienste (AdMob, Firebase Analytics, Crashlytics und ähnliche) eingibst. Mit einem kostenlosen Konto kannst du den vollständigen Text kopieren und auf deiner eigenen Website veröffentlichen. Wenn du eine dauerhafte, gehostete URL für die Stores möchtest, ist das im Premium-Plan enthalten.