Privacy Policy URL — Google Play und App Store Link-Anforderungen und wie man sie erstellt

Was ist eine Privacy Policy URL

Privacy Policy URL ist eine Webadresse, unter der das Datenschutzerklärungsdokument der App gehostet wird. Nutzer müssen dieses Dokument vor der Installation der App lesen können — der Link wird auf der Store-Seite angezeigt.

Die Datenschutzerklärung ist ein rechtlich bedeutsames Dokument, das die Beziehung zwischen dem Entwickler (Datenverantwortlicher) und dem Nutzer (betroffene Person) regelt. In den meisten Ländern ist das Vorhandensein eines solchen Dokuments gesetzlich vorgeschrieben, nicht nur aufgrund von Store-Anforderungen.

Gemäß der DSGVO (Datenschutz-Grundverordnung), 2018 können Bußgelder für das Fehlen einer Datenschutzerklärung in der EU bis zu 20 Millionen Euro oder 4% des jährlichen weltweiten Umsatzes des Unternehmens betragen. In den USA werden ähnliche Anforderungen durch Landesgesetze geregelt, einschließlich des CCPA in Kalifornien.

Google Play Anforderungen an die Datenschutzerklärung

Google Play verlangt einen Link zur Datenschutzerklärung für alle Apps, die Zugriff auf personenbezogene Daten von Nutzern anfordern. Dies umfasst Apps, die mit Kontakten, Geolokalisierung, Kamera, Mikrofon, Fotos und Mediendateien arbeiten.

Der Link wird im Bereich Store Presence → Store Listing → Privacy Policy hinzugefügt. Google Play überprüft den Inhalt des Dokuments nicht automatisch, kann aber bei der Überprüfung eine Bestätigung der Übereinstimmung mit der tatsächlichen Datenerhebung verlangen.

Wenn die App sensible Daten (medizinische, biometrische, finanzielle) sammelt, kann Google Play eine Bestätigung verlangen, dass die Erklärung den Richtlinien des Google Play Developer Programs entspricht. In diesem Fall muss der Link auf eine Seite führen, die die Kontaktinformationen des Datenverantwortlichen enthält.

Für Apps, die im Rahmen des Google Play for Education-Programms entwickelt wurden, ist eine zusätzliche Angabe der Richtlinie in einem Format erforderlich, das FERPA (Family Educational Rights and Privacy Act) entspricht.

App Store Anforderungen an die Datenschutzerklärung

App Store verlangt eine Datenschutzerklärung für alle Apps ohne Ausnahme — selbst wenn die App keine Nutzerdaten sammelt. Dies ist eine der strengsten Anforderungen von Apple, und ein Verstoß führt zur Ablehnung des Builds.

Der Link zur Erklärung wird in App Store Connect im Bereich App Privacy hinzugefügt. Neben dem Link verlangt Apple das Ausfüllen des Privacy Details-Formulars — eines Fragebogens zu den Arten der gesammelten Daten, ihrer Verwendung und der Verknüpfung mit dem Nutzer. Diese Informationen werden vor der Installation auf der App-Seite angezeigt.

Apple überprüft die Übereinstimmung zwischen der Datenschutzerklärung und dem tatsächlichen Verhalten der App. Wenn ein Prüfer feststellt, dass die App Daten sammelt, die nicht in der Erklärung aufgeführt sind, wird der Build mit der Begründung misrepresentation abgelehnt.

Für Apps, die sich an Kinder richten (Kategorie Kids), verlangt Apple einen zusätzlichen Abschnitt in der Erklärung, der die Einhaltung von COPPA (Children's Online Privacy Protection Act) und die Verfahren zur Einwilligung der Eltern beschreibt.

Was in die Datenschutzerklärung aufgenommen werden sollte

Die Datenschutzerklärung muss vollständig, genau und den tatsächlichen Datenverarbeitungspraktiken entsprechend sein. Der Mindestumfang der Abschnitte wird durch die internationalen DSGVO-Standards und die Empfehlungen der App-Stores festgelegt.

1. Arten der gesammelten Daten — listen Sie alle Kategorien auf: Name, E-Mail, Geolokalisierung, Gerätekennungen, Kaufhistorie, Nutzungsdaten. Geben Sie an, ob die Daten automatisch (Analysen, Protokolle) gesammelt oder vom Nutzer bereitgestellt werden.
2. Verarbeitungszwecke — wofür die gesammelten Daten verwendet werden: Funktionalität, Analyse, Werbung, Personalisierung. Jeder Zweck muss explizit angegeben werden.
3. Weitergabe an Dritte — geben Sie an, welche Dienste Zugriff auf die Daten haben: Google Analytics, Firebase, Crashlytics, Werbenetzwerke. Für jeden Dienst geben Sie dessen Datenverarbeitungsrichtlinie an.
4. Nutzerrechte — beschreiben Sie, wie Nutzer die Löschung von Daten, den Export von Daten und den Widerruf der Einwilligung beantragen können. Geben Sie eine Kontakt-E-Mail für solche Anfragen an.
5. Datensicherheit — beschreiben Sie die Schutzmaßnahmen: Verschlüsselung während der Übertragung (TLS), Verschlüsselung im Ruhezustand, Zugriffskontrolle auf Server. Geben Sie keine spezifischen technischen Details preis, die von Angreifern ausgenutzt werden könnten.
6. Änderungen der Erklärung — geben Sie das Verfahren zur Benachrichtigung der Nutzer über Änderungen an: E-Mail-Newsletter, In-App-Benachrichtigungen, Aktualisierung des Dokumentdatums.

Die Sprache der Erklärung sollte für den Durchschnittsnutzer verständlich sein — vermeiden Sie übermäßig juristische Formulierungen. Es wird empfohlen, die Vollversion um eine einseitige Zusammenfassung zu ergänzen, die die wichtigsten Punkte in einfacher Sprache auflistet.

Wo die Datenschutzerklärung gehostet werden sollte

Das Hosting der Datenschutzerklärung muss deren ständige Verfügbarkeit über einen direkten Link gewährleisten. Es gibt mehrere Hosting-Optionen mit unterschiedlichen Vorteilen.

Die wichtigste Anforderung — der Link muss über HTTPS zugänglich sein und auf eine Seite führen, die keine Authentifizierung zur Ansicht erfordert. Die Richtlinienseite muss auf mobilen Geräten korrekt angezeigt werden.

Aktualisierung der Datenschutzerklärung

Die Aktualisierung der Datenschutzerklärung ist keine einmalige Aktion, sondern ein regelmäßiger Prozess. Änderungen in der Gesetzgebung, das Hinzufügen neuer Funktionen oder der Wechsel von Analysediensten erfordern eine Überprüfung des Dokuments.

Bei jeder Aktualisierung der Erklärung muss der Entwickler die Nutzer benachrichtigen. Benachrichtigungsmethoden: E-Mail-Newsletter (falls der Entwickler Nutzerkontakte hat), Pop-ups oder Banner in der App mit der Aufforderung zur erneuten Einwilligung, Aktualisierung des Dokumentdatums auf der Richtlinienseite.

Besondere Aufmerksamkeit ist bei der Änderung der Arten der gesammelten Daten erforderlich. Wenn die App beginnt, biometrische Daten, Hintergrund-Geolokalisierung oder den Browserverlauf zu sammeln — ist es nicht nur erforderlich, die Erklärung zu aktualisieren, sondern auch die ausdrückliche Einwilligung des Nutzers über die Systemdialoge von iOS oder Android einzuholen.

Nach der Aktualisierung der Erklärung aktualisieren Sie den Link in den Konsolen von Google Play und App Store — in einigen Fällen (bei wesentlichen Änderungen) kann Apple die erneute Ausfüllung des App Privacy Details-Fragebogens verlangen.