Datenschutzerklärung für Apps: Leitfaden für iOS

Warum Apple eine Datenschutzerklärung verlangt

Sobald du in App Store Connect einen Eintrag anlegst, fragt Apple dich nach einer URL zu deiner Datenschutzerklärung und nach einer Support-URL, die auch wirklich funktioniert. Das ist keine reine Formsache: Die App Review Guidelines schreiben vor, dass jede App eine hat, egal ob deine App ein Benutzerkonto hat oder nicht. Ohne diese erreichbare Seite wird deine Einreichung blockiert, noch bevor der Reviewer sie überhaupt prüft.

Eine fehlende Datenschutzerklärung oder eine, die nicht zum tatsächlichen Verhalten der App passt, gehört zu den vermeidbarsten Ablehnungsgründen. Es ist auch einer der ersten Punkte, die ich prüfe, wenn ich ein Dossier vor dem Einreichen bei Apple durchgehe.

Was deine Datenschutzerklärung wirklich enthalten muss

Der Text muss beschreiben, was deine App tatsächlich sammelt, keine generische Liste, die du irgendwo kopiert hast. Vier Elemente tauchen in den meisten Fällen auf:

Die gesammelten Daten. Konto, E-Mail, in der App erstellte Inhalte, technische Daten wie die Werbe-ID, falls du eine nutzt. Wenn du nichts Besonderes sammelst, sag auch das klar.

Der Grund für jede Erhebung. Warum du diese Daten brauchst, damit die App funktioniert, keine vage Begründung.

Die beteiligten Drittanbieter. Wenn du einen Authentifizierungsanbieter, einen Zahlungs-, Analytics- oder KI-Dienst nutzt, nenn ihn beim Namen. Eine App, die zum Beispiel ein Foto an einen externen KI-Dienst schickt, muss das ausdrücklich sagen und meistens vor dem Senden um Erlaubnis bitten.

Wie man seine Daten löscht. Apple verlangt, dass eine App mit Benutzerkonto eine Möglichkeit bietet, dieses Konto direkt in der App zu löschen, nicht nur per E-Mail. Der Weg dorthin muss erreichbar sein, nicht in einem abwegigen Untermenü versteckt.

Der Unterschied zwischen Datenschutzerklärung und Datenschutzangaben

Zwei verschiedene Dinge verschwimmen bei Einsteigern oft im Kopf. Die Datenschutzerklärung ist ein Text auf einer Webseite, erreichbar über einen Link. Die Datenschutzangaben sind ein Formular, das du direkt in App Store Connect ausfüllst, im Bereich „App Privacy“. Es listet nach Kategorien die gesammelten Daten und ihren Zweck auf und wird danach auf deiner öffentlichen Produktseite angezeigt.

Beide müssen dieselbe Geschichte erzählen. Eine Angabe „keine Daten gesammelt“, während deine App ein Analytics-SDK nutzt, das eine Kennung sammelt, ist genau die Art Abweichung, die ein Reviewer oder eine spätere Prüfung entdecken kann. Füll das Formular aus, indem du wirklich prüfst, was dein Code tut und was dein Privacy Manifest angibt, statt das Kästchen anzuklicken, das am einfachsten wirkt.

Und was ist mit der DSGVO?

Wenn sich deine App an Nutzer in Europa richtet, gilt die DSGVO zusätzlich zu Apples Anforderungen. Die französische Datenschutzbehörde CNIL veröffentlicht einen Leitfaden für Entwickler mobiler Apps, der die Grundsätze erklärt: nur das Nötige sammeln, klar informieren, Zugriff auf die Daten und deren Löschung ermöglichen. Apples Anforderungen und die DSGVO überschneiden sich stark, aber Apple gerecht zu werden reicht nicht automatisch für die DSGVO, wenn deine App personenbezogene Daten im weiteren Sinne verarbeitet.

Wenn deine App einfach bleibt, ohne Konto und ohne personenbezogene Daten über das hinaus, was iOS nativ verwaltet, kann deine Datenschutzerklärung kurz bleiben: Sag das klar, statt einen langen, unpassenden Text zu kopieren.

Ein konkreter Fall: Ablehnungen wegen Regel 5.1.1

Bei meinen Veröffentlichungen habe ich eine Ablehnung von Apple bekommen, weil die Online-Datenschutzerklärung nicht mehr aktuell war, und eine wegen eines Funktionsbuttons, der vor der erwarteten Kamera-Berechtigungsabfrage angezeigt wurde. Beide Fälle fallen unter Regel 5.1.1 zur Erhebung und Speicherung von Daten. Der Leitfaden zur Apple-Ablehnung nach Regel 2.1 behandelt einen weiteren häufigen Grund, diesmal bezogen darauf, was der Tester in der App tatsächlich tun kann.

Die gemeinsame Lehre aus beiden Fällen: Der Reviewer vergleicht, was deine Datenschutzerklärung verspricht, was deine App tatsächlich tut und was du im Formular angegeben hast. Eine Abweichung zwischen diesen drei Punkten reicht, um die Einreichung zu blockieren, auch wenn der Rest des Dossiers solide ist.

Wie du deine eigene schreibst, ohne etwas zu erfinden

Für eine erste App fängst du mit der echten Liste der Dienste an, die du nutzt: Authentifizierung, Datenbank, Zahlung, Analytics, KI. Notier für jeden, was er von deiner App bekommt und warum. Diese Liste wird das Gerüst deiner Datenschutzerklärung: Für eine App mit einfachem Konto und einem Abo brauchst du keinen zehnseitigen Juristentext.

Wenn deine App mit Expo gebaut ist, erklärt der Leitfaden zu API-Schlüsseln in einer Expo-App, wo die Aufrufe an Drittdienste hingehören. Das hilft dir auch, beim Schreiben deiner Datenschutzerklärung genau zu wissen, welche Daten über welche Dienste laufen.

Sobald dieser Text und die Datenschutzangaben fertig sind, kommen sie zum restlichen Dossier vor dem Einreichen bei Apple: Produktseite, Screenshots, Notizen für den Tester. Die Seite App im App Store veröffentlichen beschreibt all diese Schritte in der Reihenfolge, in der App Store Connect sie abfragt.

Wie es weitergeht: ein geprüftes Dossier vor dem Einreichen

Ich kann dir nicht garantieren, dass Apple deine App beim ersten Versuch annimmt, das kann ehrlich gesagt niemand. Wobei ich dir helfen kann: vermeidbare Ablehnungen vermeiden, die Datenschutzerklärung eingeschlossen. Um dein Dossier vor dem Einreichen zu prüfen, bündelt das Apple Review Kit meine Checkliste und Claude-Code-Skills, die dein Projekt, deine Paywall und deine Produktseite durchgehen.

Du willst erst mal eine kostenlose Liste? Die kostenlose Diagnose schickt dir meine Checkliste gegen Apple-Ablehnungen, mit den Datenschutzpunkten, die ich vor jeder Einreichung prüfe.

Häufige Fragen

Was ist eine Datenschutzerklärung für eine iOS-App?

Ein Text auf einer Webseite, erreichbar über einen Link, der beschreibt, was deine App tatsächlich sammelt. Die URL gibst du Apple in App Store Connect schon beim Anlegen deines Eintrags an. Es ist keine generische, irgendwo kopierte Liste: Sie muss zum tatsächlichen Verhalten der App passen.

Ist eine Datenschutzerklärung Pflicht, um eine iOS-App zu veröffentlichen?

Ja, Apples Guidelines schreiben jeder App eine Datenschutzerklärung vor, egal ob deine App ein Benutzerkonto hat oder nicht. Ohne diese erreichbare Seite wird deine Einreichung blockiert, noch bevor der Reviewer sie prüft. Wenn deine App einfach bleibt, kann die Erklärung kurz sein. Sag klar, was du sammelst oder dass du nichts Besonderes sammelst, statt einen langen, unpassenden Text zu kopieren.

Was gehört in die Datenschutzerklärung einer App?

Vier Elemente tauchen in den meisten Fällen auf: die gesammelten Daten, der Grund für jede Erhebung, die beteiligten Drittanbieter und wie man seine Daten löscht. Bei den gesammelten Daten denk an Konto, E-Mail, erstellte Inhalte und die Werbe-ID, falls du eine nutzt. Eine App, die ein Foto an einen externen KI-Dienst schickt, muss das ausdrücklich sagen.

Was ist der Unterschied zwischen Datenschutzerklärung und Datenschutzangaben (App Privacy)?

Die Datenschutzerklärung ist ein Text auf einer Webseite, erreichbar über einen Link. Die Datenschutzangaben sind ein Formular in App Store Connect, im Bereich App Privacy, das nach Kategorien die gesammelten Daten und ihren Zweck auflistet und dann auf deiner öffentlichen Produktseite erscheint. Beide müssen dieselbe Geschichte erzählen: Füll das Formular aus, indem du prüfst, was dein Code tatsächlich tut.

Muss ich zusätzlich zu Apples Regeln die DSGVO einhalten?

Ja, wenn sich deine App an Nutzer in Europa richtet: Die DSGVO gilt zusätzlich zu Apples Anforderungen. Beide überschneiden sich stark, aber Apple gerecht zu werden reicht nicht automatisch, wenn deine App personenbezogene Daten im weiteren Sinne verarbeitet. Die französische Behörde CNIL veröffentlicht einen Leitfaden für Entwickler mobiler Apps: nur das Nötige sammeln, klar informieren, Zugriff und Löschung ermöglichen.

Kann Apple eine App wegen ihrer Datenschutzerklärung ablehnen?

Ja, eine fehlende Datenschutzerklärung oder eine, die nicht zum tatsächlichen Verhalten der App passt, ist ein vermeidbarer Ablehnungsgrund. Der Reviewer vergleicht, was deine Erklärung verspricht, was deine App tut und was du im Formular angegeben hast. Eine Abweichung zwischen den dreien reicht, um die Einreichung zu blockieren. Ich habe selbst eine Ablehnung bekommen, weil meine Online-Datenschutzerklärung nicht mehr aktuell war.