Mobile Apps und Spiele in den EU-Stores

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy, for device storage and tracking
• Regulation (EU) 2022/2065 — DSA where user content is hosted
• Regulation (EU) 2023/2854 — Data Act, for connected products
• Directive 2011/83/EU — Consumer rights

Wer muss benennen

Jeder Entwickler oder Herausgeber, der außerhalb der Union ansässig ist und dessen App für Nutzer in der EU verfügbar ist und deren personenbezogene Daten verarbeitet. Das Angebot der App in EU-Storefronts, die Preisgestaltung in Euro, die Lokalisierung oder das Schalten von Werbung für EU-Nutzer deuten alle auf eine Zielgruppenansprache hin. Ein SDK-Anbieter, der seine eigenen Zwecke bestimmt — ein Werbenetzwerk, ein Analyseanbieter — ist ein eigenständiger Verantwortlicher und benötigt einen eigenen Vertreter.

Schwellen und Ausnahmen

Keine Umsatz- oder Downloadschwelle. Die enge Ausnahme gemäß Artikel 27(2) für gelegentliche Verarbeitung passt nicht zu einer App mit einer Installationsbasis, persistierenden Identifikatoren und Analysen. Kostenlose Apps fallen vollständig in den Anwendungsbereich: Monetarisierung durch Werbung ist Verarbeitung, keine Ausnahme.

Was auf das Etikett gehört

Nicht physisch. Die Identität und Kontaktdaten des EU-Vertreters müssen in der Datenschutzrichtlinie erscheinen, die mit dem Store-Eintrag verlinkt ist und innerhalb der App an einem Ort, den ein Nutzer tatsächlich finden kann. Apple und Google verlangen beide eine funktionierende URL zur Datenschutzrichtlinie und genaue Angaben zur Datensicherheit, und Inkonsistenzen zwischen der erklärten Datenerhebung und den tatsächlich vorhandenen SDKs werden überprüft.

Marktplatz-Felder

App Store und Google Play verlangen Datenschutzeinträge oder Erklärungen zur Datensicherheit, die der Realität entsprechen. Google Play verlangt zusätzlich von Entwicklern außerhalb der EU, Handelsinformationen für verbraucherorientierte Apps in der EU gemäß den DSA-nahen Transparenzregeln zu veröffentlichen, und entfernt Apps, deren Erklärungen unvollständig sind. Werbe-SDKs, die Identifikatoren ohne Zustimmung übertragen, sind der häufigste Grund, warum eine App eine Datenschutzprüfung im Store nicht besteht.

Unterlagen, die Sie vorhalten müssen

Die schriftliche Benennung gemäß Artikel 27. Die Aufzeichnungen über die Verarbeitung gemäß Artikel 30, die jedes SDK, seinen Zweck und seine Übertragungen auflisten. Ein Zustimmungsmanagement-Flow für nicht wesentliche Speicherung und Verfolgung, mit Nachweis der Zustimmung pro Nutzer. Datenschutz-Folgenabschätzung, wenn Profiling, Daten von Kindern oder großangelegte Verfolgung beteiligt sind. Standardvertragsklauseln und eine Übertragungsfolgenabschätzung für Daten, die in die Vereinigten Staaten oder anderswohin gehen. Datenverarbeitungsverträge mit jedem SDK-Anbieter, der ein Auftragsverarbeiter ist.

Normen und Prüfungen

Nicht anwendbar im Testsinne. Was geprüft wird, ist der Zustimmungsfluss: ob Identifikatoren vor oder nach der Zustimmung gelesen oder geschrieben werden, ob das Ablehnen so einfach ist wie das Akzeptieren und ob die Store-Erklärungen mit dem Netzwerkverkehr übereinstimmen. Regulierungsbehörden und NGOs führen beide Verkehrsanalysen durch, und so beginnt die meisten Durchsetzungen in dieser Kategorie.

Sprachanforderungen

Datenschutzinformationen in der Sprache der anvisierten Nutzer. Eine App, die ins Deutsche oder Französische lokalisiert ist, mit einem nur englischen Zustimmungsfluss ist ein Transparenzversagen gemäß Artikel 12.

Ab wann es gilt

Die Benennung muss bestehen, bevor die App in den EU-Storefronts verfügbar gemacht wird. Die Zustimmung muss eingeholt werden, bevor nicht wesentliche SDKs auf das Gerät lesen oder schreiben, was bedeutet, dass dies beim ersten Start und vor dem Analyseaufruf geschehen muss, nicht danach.

Aufbewahrungsfristen

Verarbeitungsaufzeichnungen für die Lebensdauer der App plus Nachweise über vergangene Zeiträume. Zustimmungsaufzeichnungen so lange, wie die Verarbeitung fortgesetzt wird, da die Beweislast für die Zustimmung beim Verantwortlichen liegt.

Was bei Verstößen passiert

Bis zu 10 Millionen € oder 2 % des Umsatzes für das Versäumnis, einen Vertreter zu benennen, und bis zu 20 Millionen € oder 4 % für rechtswidrige Verarbeitung. Nationale ePrivacy-Strafen sind separat und werden von einigen Behörden verhängt, ohne dass ein Schaden gemäß der DSGVO nachgewiesen werden muss. Die Entfernung aus dem Store ist das schnellere kommerzielle Risiko: Apple und Google handeln innerhalb von Tagen bei Inkonsistenzen in den Datenschutzerklärungen.

Wer kontrolliert

Jede EU-Aufsichtsbehörde, in der sich die Nutzer befinden, da es keinen One-Stop-Shop für Verantwortliche außerhalb der Union gibt. Die nationale ePrivacy-Durchsetzung liegt in den meisten Mitgliedstaaten bei der Datenschutzbehörde und in einigen bei der Telekommunikationsregulierungsbehörde.

Wo die Grenze verläuft

Apps für Kinder bringen strengere Regeln mit sich: Profiling für Werbung ist gemäß dem DSA für Minderjährige auf Plattformen effektiv verboten, und die Zustimmung eines Kindes unter dem nationalen Alter der digitalen Zustimmung — zwischen 13 und 16, je nach Mitgliedstaat — erfordert die elterliche Genehmigung. Apps, die nutzergenerierte Inhalte hosten, fallen ebenfalls unter den DSA und benötigen einen rechtlichen Vertreter gemäß Artikel 13, was eine separate Ernennung von Artikel 27 ist.

Häufige Fragen

Wir verwenden nur Firebase und AdMob — brauchen wir trotzdem einen Vertreter?

Ja. Diese SDKs verarbeiten personenbezogene Daten von EU-Nutzern in Ihrem Auftrag und für ihre eigenen Zwecke, und Sie zielen auf die EU ab, indem Sie in EU-Storefronts veröffentlichen.

Ist der App Store unser Datenverantwortlicher?

Nein. Der Store ist ein Vertriebskanal und ein Verantwortlicher für seine eigene Verarbeitung. Sie bleiben der Verantwortliche für das, was Ihre App sammelt.

Löst ein in der EU ansässiger Herausgeber das Problem?

Wenn ein Unternehmen, das in der Union ansässig ist, der tatsächliche Verantwortliche für die Verarbeitung ist, gilt Artikel 27 nicht für es. Ein nominaler Herausgeber, der keine Zwecke und Mittel bestimmt, wird der Prüfung nicht standhalten.