Eine Löschanfrage ist eingegangen. Und jetzt?

Über das Veröffentlichen der Löschseite schreiben alle. Was passiert, nachdem jemand sie benutzt hat, entscheidet, ob Sie tatsächlich compliant sind – und das ist eine Prozessfrage, keine Hosting-Frage.

Wo sollten Anfragen landen?

An einer Stelle, an der ein Mensch sie innerhalb von Tagen sieht, nicht in einem Postfach, das Sie prüfen, wenn etwas kaputtgeht.

Das Fehlerbild ist konkret und häufig: Eine Seite sammelt Anfragen in einem Postfach, das niemand liest, oder in einem Formulardienst, dessen Benachrichtigungsmails im Spam landen. Die Person glaubt, ihre Anfrage sei angekommen. Rechtlich verletzen Sie nun eine Frist, von der Sie nicht wissen, dass sie läuft.

Praktische Regeln:

• Keine persönliche Adresse, die Sie vielleicht aufgeben. Support-Mails aus einem Store-Eintrag kommen schubweise – monatelang nichts, dann eine ganze Reihe.
• Eine Stelle mit einer Benachrichtigung, die Sie nicht übersehen können. Für Solo-Entwickler ist das oft eher ein Chat-Kanal als E-Mail, gerade weil E-Mails der Ort sind, an dem Dinge ignoriert werden.
• Wenn möglich, mehr als ein Weg. Wenn ein Kanal unbemerkt ausfällt, wollen Sie einen zweiten.
• Testen Sie es. Stellen Sie über Ihre eigene öffentliche Seite eine Anfrage und prüfen Sie, ob sie Sie erreicht. Wiederholen Sie das nach jeder Änderung an der Seite.

Wie viel Zeit haben Sie?

Wenn auch nur einer Ihrer Nutzer in der EU oder im Vereinigten Königreich ist, gilt die Frist der DSGVO. Artikel 12 Absatz 3 verlangt eine Antwort unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang. Bei wirklich komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden – aber Sie müssen die Person innerhalb des ersten Monats über die Verlängerung informieren.

Zwei Details, die Entwickler regelmäßig übersehen:

• „Wir haben Ihre Anfrage erhalten“ ist keine Antwort. Wenn Sie einer Löschanfrage nachkommen, bestätigen Sie, dass die Löschung durchgeführt wurde und was gelöscht wurde.
• Wenn Sie ablehnen, müssen Sie trotzdem antworten – innerhalb des Monats, mit Ihren Gründen und mit dem Hinweis, dass die Person sich bei einer Aufsichtsbehörde beschweren oder einen gerichtlichen Rechtsbehelf einlegen kann.

Andere Regelwerke haben eigene Fristen. Wenn Sie Nutzer in Kalifornien, Brasilien oder anderswo mit ähnlichen Gesetzen haben, prüfen Sie das jeweils geltende, statt anzunehmen, dass ein Monat Sie überall abdeckt.

Was muss tatsächlich gelöscht werden?

Das Konto und die personenbezogenen Daten dahinter – und nicht nur in Ihrer eigenen Datenbank:

Wo die Daten liegen	Was Sie tun
Ihre Hauptdatenbank	Löschen, nicht als gelöscht markieren und vergessen
Backups	In Ihrer Erklärung ehrlich sagen, wie lange Backups bestehen und dass sie ablaufen
Analytics / Crash-Reporting	Die eigene Lösch-API des Anbieters nutzen, wo es eine gibt
E-Mail- oder CRM-Tools	Aus Listen entfernen, in die Sie die Daten exportiert haben
Auftragsverarbeiter und Unterauftragsverarbeiter	Um Löschung bitten und nachhaken – das ist Ihre Pflicht, nicht deren
Logs	Eine Aufbewahrungsfrist festlegen und anwenden

Wenn Ihre App Dienstleister zur Verarbeitung von Nutzerdaten einsetzt, ist das Löschen auf Ihren eigenen Servern nur die halbe Arbeit – Sie müssen den Dienstleister auch bitten, dasselbe zu tun.

Was dürfen Sie behalten?

Manches, aus angegebenen Gründen. Die üblichen:

• Abrechnungs- und Steuerunterlagen, die meist jahrelang gesetzlich aufbewahrt werden müssen.
• Einen Nachweis der Löschung selbst – Sie müssen zeigen können, dass sie stattgefunden hat.
• Betrugs- oder Missbrauchsmerkmale, wenn Sie einen berechtigten Grund haben und ihn genannt haben.
• Anonymisierte Aggregate, wenn sie wirklich nicht re-identifiziert werden können.

Nennen Sie in Ihrer Datenschutzerklärung, welche davon zutreffen, mit Aufbewahrungsfrist, bevor jemand fragt. Wer das erst im Moment der Anfrage entscheidet, verspricht am Ende entweder zu viel oder improvisiert.

Was sollte in der Antwort stehen?

Kurz, konkret, mit Datum:

Wir haben Ihre Löschanfrage am 3. März erhalten. Ihr Konto und die damit verbundenen personenbezogenen Daten wurden gelöscht. Wir haben Ihre Rechnungen aufbewahrt, die wir aus steuerlichen Gründen sieben Jahre lang aufbewahren müssen, sowie einen Nachweis dieser Anfrage. Sonst ist nichts mehr vorhanden.

Das ist eine Antwort, die den Anforderungen genügt. „Erledigt ✅“ ist keine, denn sie bestätigt nichts.

Das Protokoll führen

Wie hoch das Aufkommen auch ist, führen Sie ein Protokoll: wer gefragt hat, wann, was Sie gelöscht haben, was Sie aufbewahrt haben und warum, wann Sie geantwortet haben. „Wir haben es gelöscht“ ist eine Behauptung; eine datierte Liste ist ein Beleg – und einen Beleg verlangt eine Aufsichtsbehörde, lange nachdem Sie die Anfrage vergessen haben.

Das ist auch der Grund, Anfragen strukturiert aufzubewahren statt als lose E-Mails. Ein Ordner mit Antworten ist kein Protokoll.

Ein Vorbehalt zu allem oben

Diese Seite beschreibt einen Prozess, nicht Ihre rechtlichen Pflichten. Welche Regelwerke für Sie gelten, hängt davon ab, wo Ihre Nutzer sind und was Ihre App tut, Fristen und Ausnahmen unterscheiden sich zwischen ihnen, und die Aufbewahrungsfristen in der Beispielantwort dienen der Veranschaulichung und sind keine Zahl, die Sie übernehmen können. Wenn Sie Löschanfragen in nennenswerter Zahl bearbeiten oder Ihre App mit Gesundheitsdaten, Finanzen oder Kindern zu tun hat, ist die Anwaltsstunde, die daraus Ihr eigenes schriftliches Verfahren macht, es wert.

Was AppFoyer hier tut

Wir hosten die Seite, speichern die Anfrage als Ihr Prüfprotokoll und benachrichtigen Sie über die Kanäle, die Sie eingerichtet haben – E-Mail in jedem Tarif, Telegram oder Slack in einem bezahlten, über unseren eigenen Bot und unsere eigene App statt über Zugangsdaten von Ihnen. Das Dashboard führt jede Anfrage mit einem Ablauf done → archive → delete (erledigt → archivieren → löschen), sodass Sie das Protokoll von oben bereits haben, statt es zu bauen.

Zwei Dinge tun wir nicht und behaupten wir nicht: Wir kontaktieren nie die Endnutzer, und wir löschen nie etwas in Ihren Systemen – wir haben keinen Zugriff darauf. Die Löschung, die Antwort und die Entscheidungen zur Aufbewahrung liegen bei Ihnen. Genau das verlangt die Anforderung tatsächlich von Ihnen, und keine gehostete Seite kann das ersetzen.

Die maßgeblichen Quellen

• Understanding Google Play’s app account deletion requirements – Google Play-Hilfe
• Right to erasure – das britische Information Commissioner’s Office, die eigene Anleitung einer Aufsichtsbehörde
• DSGVO Artikel 12 und Artikel 17 – die Frist und das Recht selbst