Datenschutz bei Apps: Was Unternehmen beachten müssen

Datenschutz bei Apps: Was Unternehmen beachten müssen

Mobile Apps gehören zum digitalen Alltag. Sie ermöglichen Kommunikation, Terminbuchungen, Einkäufe, Navigation, Zusammenarbeit und den Zugriff auf Unternehmensinformationen. Viele Anwendungen erleichtern Arbeitsabläufe und schaffen neue Möglichkeiten für digitale Dienstleistungen.

Gleichzeitig verarbeiten Apps häufig personenbezogene Daten. Dazu gehören Namen, E-Mail-Adressen, Geräteinformationen, Nutzungsverhalten, Standortdaten oder Informationen aus verbundenen Accounts. Manche Anwendungen greifen zusätzlich auf Kamera, Mikrofon, Kontakte oder gespeicherte Dateien zu.

Gerade für Unternehmen entstehen dadurch wichtige Datenschutzfragen. Denn die Nutzung einer App kann Auswirkungen auf Kundendaten, Beschäftigtendaten und interne Geschäftsprozesse haben. Wer selbst eine Anwendung entwickelt oder bereitstellt, muss zusätzlich sicherstellen, dass die Verarbeitung personenbezogener Daten rechtlich und technisch angemessen umgesetzt wird.

Datenschutz bei Apps beginnt deshalb nicht erst bei der Datenschutzerklärung. Entscheidend ist, welche Informationen tatsächlich verarbeitet werden, welche Berechtigungen eine Anwendung benötigt, welche Drittanbieter beteiligt sind und ob Nutzer ausreichend über die Datenverarbeitung informiert werden.

In diesem Beitrag erfahren Sie, welche Anforderungen für mobile Anwendungen gelten, welche Risiken besonders häufig auftreten und wie Unternehmen Apps sicher und datenschutzkonform einsetzen können.

Warum ist Datenschutz bei Apps so wichtig?

Mobile Anwendungen unterscheiden sich in mehreren Punkten von klassischen Websites. Sie werden direkt auf Smartphones oder Tablets installiert und können auf Funktionen des jeweiligen Geräts zugreifen. Dadurch entstehen zusätzliche Möglichkeiten, personenbezogene Informationen zu erfassen.

Eine Navigations-App benötigt möglicherweise Standortdaten. Eine Kommunikations-App kann auf Mikrofon oder Kamera zugreifen. Eine Shopping-App verarbeitet Bestellungen, Zahlungsinformationen und Nutzungsverhalten. Bei Fitness- oder Gesundheitsanwendungen können besonders sensible Daten betroffen sein.

Zusätzlich integrieren viele Anwendungen externe Dienste für Analytics, Werbung, Benachrichtigungen oder die Fehleranalyse. Nutzer erkennen häufig nicht unmittelbar, welche Daten dadurch an weitere Unternehmen übertragen werden.

Für Unternehmen ist deshalb eine datenschutzrechtliche Prüfung der eingesetzten Apps sinnvoll, bevor Anwendungen produktiv genutzt oder Kunden zur Verfügung gestellt werden.

Besonders wichtig ist dabei die Frage, ob alle erhobenen Daten tatsächlich für die jeweilige Funktion benötigt werden. Eine Anwendung sollte nicht mehr Informationen verarbeiten, als für ihren festgelegten Zweck erforderlich sind.

Welche DSGVO-Anforderungen gelten für Apps?

Die Datenschutz-Grundverordnung gilt für mobile Anwendungen, soweit personenbezogene Daten verarbeitet werden und die Verarbeitung in ihren Anwendungsbereich fällt.

Dabei kommt es nicht darauf an, ob eine App kostenlos oder kostenpflichtig ist. Auch kleine Anwendungen können relevante Datenschutzpflichten auslösen.

Zu den wesentlichen Grundsätzen gehören:

• Rechtmäßigkeit: Für jede Verarbeitung personenbezogener Daten muss eine geeignete Rechtsgrundlage bestehen.
• Transparenz: Nutzer müssen verständlich über die Verarbeitung ihrer Daten informiert werden.
• Zweckbindung: Daten dürfen grundsätzlich nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
• Datenminimierung: Es dürfen nur die für den jeweiligen Zweck notwendigen Daten verarbeitet werden.
• Speicherbegrenzung: Personenbezogene Daten dürfen nicht unbegrenzt ohne entsprechende Grundlage gespeichert bleiben.
• Sicherheit: Geeignete technische und organisatorische Maßnahmen müssen die Informationen schützen.

App-Anbieter sollten diese Grundsätze bereits bei der Konzeption berücksichtigen. Unternehmen, die Anwendungen von Drittanbietern einsetzen, müssen wiederum prüfen, ob deren Nutzung unter den konkreten Bedingungen zulässig ist.

Welche personenbezogenen Daten können Apps erfassen?

Viele Apps verarbeiten mehr Daten, als auf den ersten Blick erkennbar ist. Neben Informationen, die Nutzer selbst eingeben, können automatisch technische Daten und Nutzungsinformationen entstehen.

Typische Datenarten sind:

• Name, E-Mail-Adresse und Telefonnummer
• Nutzerkonten und Login-Informationen
• IP-Adresse und Gerätekennungen
• Standort- und Bewegungsdaten
• Kontakte und Kalenderinformationen
• Fotos, Videos und Audiodateien
• Nutzungsverhalten innerhalb der Anwendung
• Zahlungs- und Bestellinformationen
• Gesundheits- oder Fitnessdaten

Nicht jede App verarbeitet sämtliche dieser Informationen. Entscheidend ist die tatsächliche Funktionalität.

Unternehmen sollten daher dokumentieren, welche Daten eine Anwendung erhebt, wofür sie genutzt werden, wo sie gespeichert sind und welche weiteren Dienstleister Zugriff erhalten können.

App-Berechtigungen und Einwilligung richtig unterscheiden

Mobile Betriebssysteme wie Android und iOS ermöglichen es Anwendungen, bestimmte Berechtigungen anzufordern. Dazu gehören beispielsweise der Zugriff auf Standort, Kamera, Mikrofon, Kontakte oder Fotos.

Eine solche technische Berechtigung ist jedoch nicht automatisch mit einer wirksamen datenschutzrechtlichen Einwilligung gleichzusetzen.

Wenn eine App beispielsweise Zugriff auf den Standort erhält, bedeutet das nicht automatisch, dass diese Informationen auch für personalisierte Werbung verwendet werden dürfen.

Unternehmen müssen prüfen, für welche Zwecke personenbezogene Daten verarbeitet werden und welche Rechtsgrundlage jeweils erforderlich ist.

Wann ist eine Einwilligung notwendig?

Eine Einwilligung kann beispielsweise bei bestimmten Tracking- oder Werbefunktionen erforderlich sein. Auch das Speichern oder Auslesen von Informationen auf Endgeräten unterliegt grundsätzlich § 25 TDDDG, sofern keine gesetzliche Ausnahme greift.

Für unbedingt erforderliche Funktionen können andere Voraussetzungen gelten. Zusätzlich muss jede anschließende Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach der DSGVO haben.

Wichtig ist, dass Nutzer ihre Entscheidung informiert treffen können. Erforderliche Einwilligungen müssen freiwillig sein und sich grundsätzlich auch widerrufen lassen.

Eine App sollte deshalb nicht unnötig weitreichende Berechtigungen verlangen oder Funktionen ohne sachlichen Grund von einer Zustimmung zu optionalem Tracking abhängig machen.

Tracking, Analytics und Drittanbieter in Apps

Viele mobile Anwendungen nutzen externe Technologien, um Nutzungsverhalten auszuwerten, Fehler zu erkennen oder Marketingkampagnen zu optimieren.

Dafür kommen häufig sogenannte Software Development Kits, kurz SDKs, zum Einsatz. Diese ermöglichen Entwicklern, bestehende Funktionen externer Anbieter in eine App zu integrieren.

Beispiele sind:

• Analytics zur Auswertung der App-Nutzung
• Crash-Reporting zur technischen Fehleranalyse
• Werbe- und Conversion-Tracking
• Push-Benachrichtigungsdienste
• Login-Dienste und externe Authentifizierung
• Karten- und Standortfunktionen
• Zahlungs- und Abrechnungsdienste

Problematisch wird es, wenn Drittanbieter zusätzliche Daten erfassen, die für den eigentlichen App-Zweck nicht notwendig sind.

Unternehmen sollten deshalb genau prüfen, welche SDKs eingesetzt werden, welche Daten diese erhalten und ob eine Auftragsverarbeitung oder eine andere datenschutzrechtliche Rollenverteilung vorliegt.

Auch eine vorliegende App-Store-Freigabe ersetzt diese Prüfung nicht.

Braucht jede App eine Datenschutzerklärung?

Wenn eine App personenbezogene Daten verarbeitet und entsprechende Informationspflichten bestehen, benötigen Nutzer verständliche Datenschutzinformationen.

Diese sollten leicht auffindbar sein und die tatsächliche Datenverarbeitung der Anwendung beschreiben.

Wichtige Inhalte sind:

• Verantwortlicher und Kontaktmöglichkeiten
• Zwecke und Rechtsgrundlagen der Verarbeitung
• Kategorien der verarbeiteten Daten
• Empfänger und eingesetzte Dienstleister
• mögliche internationale Datenübermittlungen
• Speicherdauer oder Kriterien zur Festlegung
• Betroffenenrechte und Beschwerdemöglichkeiten
• Informationen zu Einwilligung und Widerruf

Je nach Funktion kann es sinnvoll sein, bestimmte Informationen direkt vor der erstmaligen Nutzung einer Berechtigung anzuzeigen.

Eine allgemeine Datenschutzerklärung, die nicht zu den eingesetzten Funktionen passt, genügt nicht. Neue SDKs, Trackingfunktionen oder App-Updates können deshalb eine Aktualisierung erforderlich machen.

Privacy by Design bei der App-Entwicklung

Datenschutz sollte bereits bei der Entwicklung einer mobilen Anwendung berücksichtigt werden. Die DSGVO spricht in diesem Zusammenhang von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Das bedeutet beispielsweise, dass eine App standardmäßig nur notwendige Daten verarbeitet und zusätzliche Funktionen bewusst aktiviert werden müssen.

Gerade bei neuen Anwendungen ist Privacy Engineering hilfreich, um Datenflüsse, Berechtigungen, Schnittstellen und Schutzmaßnahmen frühzeitig zu planen.

Praktische Maßnahmen sind etwa die Reduzierung unnötiger Datenerhebungen, lokale Datenverarbeitung statt externer Übertragung sowie eine klare Trennung unterschiedlicher Datenarten.

Damit können Datenschutzprobleme bereits während der Entwicklung vermieden werden, statt sie nach der Veröffentlichung aufwendig korrigieren zu müssen.

Wie lassen sich Apps technisch absichern?

Neben den rechtlichen Anforderungen spielt die technische Sicherheit eine zentrale Rolle.

Anwendungen sollten personenbezogene Daten vor unbefugtem Zugriff, Manipulation und Verlust schützen. Welche Schutzmaßnahmen erforderlich sind, hängt vom Risiko der jeweiligen Verarbeitung ab.

Typische Maßnahmen sind:

• verschlüsselte Datenübertragung
• sichere Speicherung sensibler Informationen
• angemessene Authentifizierung
• rollenbasierte Zugriffsberechtigungen
• regelmäßige Sicherheitsupdates
• sichere API-Schnittstellen
• Überprüfung externer Bibliotheken
• Schutz vor unbefugtem Zugriff auf Nutzerkonten
• dokumentierte Lösch- und Aufbewahrungsprozesse

Besonders kritisch sind Apps mit Gesundheitsdaten, Beschäftigtendaten oder umfangreichen Kundeninformationen.

Bei solchen Anwendungen kann eine umfassendere Risikobewertung und gegebenenfalls eine Datenschutz-Folgenabschätzung notwendig sein.

Datenschutz bei geschäftlich genutzten Apps

Nicht nur App-Entwickler tragen Verantwortung. Auch Unternehmen, die mobile Anwendungen im Arbeitsalltag einsetzen, müssen Datenschutzrisiken berücksichtigen.

Typische Beispiele sind Messenger, Projektmanagement-Apps, CRM-Anwendungen, Zeiterfassung, Cloud-Speicher oder mobile HR-Systeme.

Vor der Einführung sollte geklärt werden, welche Beschäftigten die Anwendung nutzen, welche Daten verarbeitet werden und ob die App Zugriff auf private oder geschäftliche Geräteinformationen erhält.

Besonders bei dienstlichen Smartphones und Bring-your-own-device-Konzepten sind klare Regeln wichtig. Private und berufliche Daten sollten möglichst getrennt bleiben.

Unternehmen sollten darüber hinaus prüfen, ob externe Anbieter Daten im Auftrag verarbeiten und welche vertraglichen Vereinbarungen notwendig sind.

Datenschutz bei Apps dokumentieren und regelmäßig prüfen

Datenschutz endet nicht mit der Installation oder Veröffentlichung einer Anwendung. Apps werden laufend aktualisiert und erhalten neue Funktionen, Berechtigungen oder Drittanbieterintegrationen.

Daher sollten Unternehmen die eingesetzten Anwendungen in ihr Datenschutzmanagement aufnehmen und regelmäßig überprüfen.

Dazu gehören eine aktuelle App-Übersicht, dokumentierte Verarbeitungszwecke, festgelegte Zuständigkeiten und eine Prüfung der relevanten Sicherheitsmaßnahmen.

Auch Änderungen an Trackingfunktionen, Dienstleistern oder Speicherorten können eine erneute Datenschutzbewertung erforderlich machen.

Checkliste: Apps datenschutzkonform einsetzen

Eine strukturierte Prüfung hilft Unternehmen, typische Risiken frühzeitig zu erkennen.

1. Zweck und Datenarten prüfen - Klären Sie, welche personenbezogenen Daten verarbeitet werden und ob jede Datenerhebung notwendig ist.
2. Berechtigungen bewerten - Überprüfen Sie, welche Gerätefunktionen eine App benötigt und ob Zugriffe auf Kamera, Standort oder Kontakte sachlich erforderlich sind.
3. Tracking und Drittanbieter kontrollieren - Analysieren Sie verwendete SDKs, Analytics-Dienste und mögliche Datenübermittlungen an externe Anbieter.
4. Rechtsgrundlagen festlegen - Dokumentieren Sie, auf welcher Grundlage personenbezogene Daten verarbeitet werden und wann eine Einwilligung erforderlich ist.
5. Datenschutzerklärung überprüfen - Stellen Sie sicher, dass die Informationen verständlich, vollständig und auf die tatsächlichen App-Funktionen abgestimmt sind.
6. Technische Sicherheit bewerten - Prüfen Sie Verschlüsselung, Berechtigungen, Authentifizierung, Updates und die Sicherheit eingesetzter Schnittstellen.
7. Änderungen regelmäßig kontrollieren - Neue Funktionen, SDKs oder Anbieter sollten vor ihrer Einführung geprüft und anschließend dokumentiert werden.

Diese Checkliste schafft eine Grundlage für eine nachvollziehbare App-Bewertung. Je nach Datenart und Risiko können weitergehende Maßnahmen erforderlich sein.

Wie CAS Datenschutz bei Apps unterstützt

CAS Datenschutz unterstützt Unternehmen bei der datenschutzrechtlichen Bewertung von mobilen Anwendungen und digitalen Diensten.

Dabei geht es sowohl um die sichere Nutzung bestehender Apps als auch um die Einordnung neu entwickelter Anwendungen. Relevante Themen sind beispielsweise Datenflüsse, App-Berechtigungen, Tracking, Drittanbieter, Rechtsgrundlagen und technische Schutzmaßnahmen.

CAS Datenschutz hilft Unternehmen außerdem dabei, Datenschutzhinweise zu prüfen, Verantwortlichkeiten zu klären und nachvollziehbare Prozesse für den dauerhaften Einsatz aufzubauen.

Sie möchten eine App oder mobile Anwendung datenschutzrechtlich prüfen lassen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen für Ihr Unternehmen sinnvoll sind.

Fazit: Datenschutz bei Apps beginnt vor der Nutzung

Mobile Anwendungen können Unternehmen und Nutzern viele Vorteile bieten. Gleichzeitig entstehen durch App-Berechtigungen, Tracking, externe Dienstleister und personenbezogene Daten zahlreiche Datenschutzfragen.

Unternehmen sollten deshalb nicht allein auf die Funktionalität einer Anwendung achten. Entscheidend sind eine rechtmäßige Datenverarbeitung, transparente Informationen, angemessene Sicherheitsmaßnahmen und klare interne Verantwortlichkeiten.

Datenschutz bei Apps funktioniert am besten, wenn technische und rechtliche Anforderungen von Anfang an gemeinsam betrachtet werden. So lassen sich Risiken reduzieren und digitale Anwendungen langfristig verantwortungsvoll einsetzen.

FAQ

Häufig gestellte Fragen zum Datenschutz bei Apps

Müssen Apps die DSGVO einhalten?

Ja, wenn personenbezogene Daten verarbeitet werden und die Anwendung in den Geltungsbereich der DSGVO fällt. Entscheidend sind die tatsächliche Datenverarbeitung, die Rechtsgrundlagen und die jeweiligen Verantwortlichkeiten.

Welche Daten dürfen Apps sammeln?

Apps dürfen personenbezogene Daten nur auf einer geeigneten Rechtsgrundlage und unter Beachtung der DSGVO-Grundsätze verarbeiten. Die erhobenen Informationen müssen insbesondere für festgelegte Zwecke erforderlich und angemessen sein.

Braucht jede App eine Datenschutzerklärung?

Apps, die personenbezogene Daten verarbeiten und den Informationspflichten der DSGVO unterliegen, müssen entsprechende Datenschutzinformationen bereitstellen. Diese sollten leicht zugänglich sein und die tatsächliche Datenverarbeitung beschreiben.

Ist der Zugriff auf Standort oder Kamera automatisch erlaubt?

Nein. Eine technische App-Berechtigung bedeutet nicht automatisch, dass jede anschließende Verarbeitung zulässig ist. Je nach Funktion und Zweck können zusätzliche datenschutzrechtliche Voraussetzungen oder Einwilligungen erforderlich sein.

Wann benötigen Apps eine Einwilligung für Tracking?

Eine Einwilligung kann insbesondere erforderlich sein, wenn nicht unbedingt notwendige Informationen auf Endgeräten gespeichert oder ausgelesen werden. Zusätzlich muss die anschließende Verarbeitung personenbezogener Daten den Anforderungen der DSGVO entsprechen.

Was müssen Unternehmen bei geschäftlichen Apps prüfen?

Unternehmen sollten Datenarten, Berechtigungen, Anbieter, Verträge, Rechtsgrundlagen, Sicherheitsmaßnahmen und mögliche internationale Datenübermittlungen prüfen. Auch interne Regeln und regelmäßige Kontrollen sind wichtig.

Wie unterstützt CAS Datenschutz beim Datenschutz für Apps?

CAS Datenschutz unterstützt Unternehmen bei der datenschutzrechtlichen Prüfung mobiler Anwendungen, der Bewertung von Tracking, Berechtigungen, Dienstleistern und Datenflüssen sowie beim Aufbau sicherer und nachvollziehbarer Datenschutzprozesse.