Brauche ich eine Datenschutzerklärung, wenn meine App nichts erhebt?

Das ist das häufigste Missverständnis in der Compliance mobiler Apps, und es kostet jedes Mal eine Woche.

Gefragt werden zwei verschiedene Dinge. Ist eine Datenschutzerklärung Pflicht? Ja, in jedem Fall – die User-Data-Richtlinie von Google Play sagt: „all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself“ (alle Apps müssen einen Link zur Datenschutzerklärung im dafür vorgesehenen Feld in der Play Console sowie einen Link oder Text zur Datenschutzerklärung in der App selbst bereitstellen), und Apple führt die URL der Datenschutzerklärung als Pflichtfeld. Erhebt Ihre App Daten? Wahrscheinlich – und nicht wegen Code, den Sie geschrieben haben.

Ihr Code erhebt nichts. Ihre Abhängigkeiten vielleicht schon

Die ehrliche Frage ist nicht „Was erhebe ich?“, sondern „Was erhebt alles in meinem Build?“. Eine kurze Liste der üblichen Verdächtigen, von denen sich keiner nach Datenerhebung anfühlt, wenn man ihn einbaut:

Was Sie eingebaut haben	Was es sendet
Einen Crash-Reporter	Gerätekennungen, OS-Version, Stacktraces
Ein Analytics-SDK	Events, Sitzungsdaten, oft eine Werbe-ID
Ein Werbe-SDK	Geräte- und Werbekennungen und noch einiges mehr
Push-Benachrichtigungen	Ein Geräte-Token, das per Definition an ein Gerät gebunden ist
Eine Anmelde-Bibliothek	E-Mail-Adresse, Kontokennung
Ein „kostenloser“ Backend-Tarif	Was immer Sie darin speichern

Google Play stellt ausdrücklich klar, dass das Ihnen zugerechnet wird: Datenerhebung „includes data collected and handled through any third-party libraries or SDKs used in their apps“ (umfasst Daten, die über in den Apps verwendete Bibliotheken oder SDKs von Drittanbietern erhoben und verarbeitet werden). Apple verlangt, dass Sie die Daten angeben, die „you or your third-party partners collect“ (Sie oder Ihre Drittanbieter-Partner erheben). Keiner der beiden Stores lässt „das war das SDK“ als Antwort gelten.

Die Zehn-Minuten-Prüfung

Öffnen Sie Ihre Abhängigkeitsdatei und lesen Sie sie Zeile für Zeile:

• Android – build.gradle / build.gradle.kts, libs.versions.toml und AndroidManifest.xml für Berechtigungen und Metadaten.
• iOS – Podfile, Package.swift, die .pbxproj und Info.plist für die Usage-Strings.
• Plattformübergreifend – pubspec.yaml, package.json, app.json.

Alles, was mit einem Server spricht, erhebt etwas. Prüfen Sie auch die Berechtigungen, die Sie deklarieren, und die Usage-Description-Strings, die Sie geschrieben haben: Sie sind eine unabhängige zweite Liste dessen, worauf die App zugreifen kann, und ein Prüfer liest sie.

Diese Liste ist die Substanz Ihrer Datenschutzerklärung, und genau damit müssen auch Ihre Antworten im Data-safety-Formular übereinstimmen. Wo die beiden voneinander abweichen, glaubt der Store dem SDK: Google Play sagt, „when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action“ (wenn Google eine Abweichung zwischen dem Verhalten Ihrer App und Ihrer Erklärung bemerkt, können wir geeignete Maßnahmen ergreifen, einschließlich Durchsetzungsmaßnahmen).

Wenn die Antwort wirklich „nichts“ ist

Das gibt es: ein lokaler Taschenrechner, ein Offline-Werkzeug, ein Einzelspieler-Spiel ohne Werbung, ohne Analytics und ohne Crash-Reporting. Die Datenschutzerklärung brauchen Sie trotzdem, und sie ist kurz. Sagen Sie klar:

• dass die App keine personenbezogenen Daten erhebt, speichert oder überträgt;
• dass sie keine Analytics-, Werbe- oder Crash-Reporting-Dienste nutzt;
• dass alles, was die App speichert, auf dem Gerät bleibt;
• wie man Sie erreicht;
• wann die Erklärung zuletzt aktualisiert wurde.

Fünf Sätze sind für eine solche App eine vollständige und ehrliche Datenschutzerklärung. Was sie nicht tun darf, ist Dinge aufzuzählen, die Sie nicht tun – eine generierte Seite, die Werbekennungen für eine App ohne Werbung beschreibt, widerspricht selbst dem Data-safety-Formular, das Sie wahrheitsgemäß ausgefüllt haben, und provoziert genau die Frage, die Sie nicht gebraucht hätten.

Was die Antwort später ändert

Die Datenschutzerklärung ist keine Aufgabe für den Launch, sondern etwas, das veraltet. Beide Stores verlangen, dass sie korrekt bleibt: Google Play sagt, die Data-safety-Antworten „must remain accurate and complete at all times“ (müssen jederzeit korrekt und vollständig bleiben), und Apple sagt, Sie sind „responsible for keeping your responses accurate and up to date“ (dafür verantwortlich, Ihre Antworten korrekt und aktuell zu halten).

Das Ereignis, das sie ungültig macht, ist fast immer dasselbe: Eine Abhängigkeit hat sich geändert. Wird in einem gewöhnlichen Sprint ein Analytics-SDK hinzugefügt, wird aus einem wahren „wir erheben nichts“ stillschweigend ein falsches. Setzen Sie eine Zeile auf Ihre Release-Checkliste – Hat sich eine Abhängigkeit geändert? Wenn ja, Datenschutzerklärung und Data-safety-Formular erneut lesen –, und es wird Sie nie erwischen.

Was AppFoyer hier tut

Wir lesen Ihre Build-Dateien – mit einem Coding-Agent, der sich das Repository ansieht, oder über ein kurzes Formular – und entwerfen die Datenschutzerklärung aus dem, was tatsächlich darin steht, einschließlich des Falls „nichts“, den wir gern als fünf ehrliche Sätze schreiben, statt ihn aufzublähen. Die Checkliste markiert die Seite so lange, bis der Abschnitt, der Ihre Drittanbieter nennt, echt ist und kein Platzhalter mehr.

Die Vorlagen sind ein Ausgangspunkt, keine Rechtsberatung, und jede generierte Seite sagt das.

Die maßgeblichen Quellen

• User Data policy – Google Play-Hilfe
• Provide information for Google Play’s Data safety section – Google Play Console-Hilfe
• App privacy details on the App Store – Apple