App-solut datenschutzkonform

In Sachen Datenschutz hat sich einiges getan. So müssen neben DSGVO und ePrivacy-Richtline seit 1. Dezember 2021 auch die neuen TTDSG-Regelungen berücksichtigt werden. Andreas Köninger, Entwickler und Vorstand, SinkaCom AG, berichtet:

Von Letzteren sind nicht nur große Konzerne wie Facebook oder Google betroffen, sondern beispielsweise auch Unternehmen, die planen, eine eigene App mit Chat-Funktion anzubieten.

Entsprechend gilt es bereits in der Entwicklungsphase, kritische Schwachstellen in der technischen Gestaltung und in den Voreinstellungen zu vermeiden. Um den Grundsätzen und Anforderungen der sogenannten Privacy-by-Design-Richtlinie zu genügen, müssen etwa passende Mittel wie Pseudonymisierung, Verschlüsselung und Anonymisierung der IP-Adresse für die Verarbeitung personenbezogener Daten ergriffen werden.

Hinzu komme neben einer Nutzerauthentifizierung auch die technische Umsetzung des Widerspruchsrechts, so der Experte. Insbesondere wenn eine Vielzahl von Zustimmungen einzuholen ist, benötigt die App zudem passende Privatsphären-Einstellungen, die es Usern erlauben, ihre Einwilligung einzusehen und gegebenenfalls zurückzuziehen. Hier sollte ein System implementiert sein, das die Wahrung der Nutzerrechte auf Auskunft, Löschung, Berichtigung und Datenübertragbarkeit gewährleistet. Datensparsamkeit kann als Grundsatz in den Hintergrund treten, wenn die Datenhoheit für den Kunden sichergestellt werden kann.

Darüber hinaus ist sicherzustellen, dass in einer Datenschutzerklärung alle erhobenen Informationen gelistet sind. Andreas Köninger hebt hervor: In der Praxis werde dazu häufig auf eine Website verlinkt. Eine solche Verknüpfung könne allerdings dafür sorgen, dass so mancher Hinweis über die relevanten Prozesse unvollständig abgebildet werde. Daher rät der Experte zur Erstellung einer eigens auf die mobile Software abgestimmten Datenschutzerklärung.

Im Idealfall ist diese in der App nicht nur leicht auffindbar, sondern bereits vor der Installation im Store einsehbar.

Hierbei werden häufig externe Services sowie im Rahmen der Programmierung oder des Betriebs eingesetzte Tools vergessen. Dies kann weitreichende Folgen nach sich ziehen, wenn beispielsweise ein Service nicht den EU-Richtlinien und den DSGVO-Anforderungen genügt.

Wenn der Zweck die Mittel heiligt

Darüber hinaus sollte eine datenschutzkonforme App so voreingestellt sein, dass sie nur solche Informationen erhebt und verarbeitet, die für eine einwandfreie Nutzung tatsächlich notwendig sind. Andreas Köninger unterstreicht:

Es gilt der Zweckbindungsgrundsatz. Daher heißt es in diesem Zusammenhang, die Verwendung personenbezogener Daten auf ein Mindestmaß zu reduzieren.

So mögen für eine Bestellung über einen virtuellen Marktplatz beispielsweise Adresse, E-Mail und Telefonnummer relevant sein, nicht aber der Zugriff auf den Fotospeicher des Smartphones oder das Mikrofon.

Alles, was darüber hinausgehe, brauche eine separate Einverständniserklärung mit passender Opt-out-Möglichkeit, betont der Experte. Das trifft nicht zuletzt auf das Tracking des Nutzerverhaltens zu – vor allem, wenn die gewonnenen Daten an Drittanbieter weitergeleitet werden.