DSGVO-Grundlagen für Mobile Apps, Consent-Management, IDFA-/GAID-Handling, Analytics-Tools und eine Audit-Checkliste für 2026, kompakt zusammengefasst.
Consent- und Datenverarbeitungsprozess
Ein Opt-in pro Zweck, nie gebündelt. ATT unter iOS, Laufzeitberechtigung unter Android 13+, Audit-Trail in Postgres.
Firebase und Mixpanel starten deaktiviert. Aktivierung erst nach Einwilligung, mit IP-Anonymisierung und Speicherung in der EU-Region.
Kontolöschung, Datenexport nach Art. 15 und Widerruf der Einwilligung – alles direkt in der App. Endgültige Löschung 30 Tage nach der Anfrage.
App Store Privacy Nutrition Label und Google Play Data Safety Form, abgestimmt auf eine aktive Datenschutzerklärungs-URL.
Die DSGVO trat 2018 in Kraft und ist 2026 auch auf dem ungarischen Markt für jede Mobile App eine Grundvoraussetzung. Die Bußgelder können bis zu 4 % des Jahresumsatzes betragen — für ein KMU kann das existenzbedrohend sein. Dieser Artikel behandelt die häufigsten Compliance-Lücken anhand konkreter Code-Beispiele und geht auch auf die Privacy-Updates von 2024–2026 (Apple ATT, Google Privacy Sandbox) ein.
Dieser Leitfaden ersetzt keine Rechtsberatung — eine DPIA (Data Protection Impact Assessment) oder die Konsultation eines DPO (Data Protection Officer) ist bei jedem komplexen Projekt Pflicht. Die folgenden Best Practices für Entwickler sind hier jedoch übersichtlich zusammengefasst.
Die DSGVO bezieht sich auf personenbezogene Daten — alles, womit sich eine Person identifizieren lässt. Auf mobilen Geräten kann das Folgendes umfassen:
Artikel 5 der DSGVO schreibt sechs Grundprinzipien vor. Jedes davon muss ausdrücklich eingehalten werden:
Gemäß Artikel 12–22 hat der Nutzer ein Recht auf:
All diese Rechte müssen in der App umsetzbar sein. Das „Recht auf Löschung" bedeutet nicht, dass es per E-Mail beantragt werden kann — in der App muss dafür eine Schaltfläche vorhanden sein.
Eine Einwilligung muss vier Anforderungen erfüllen: freiwillig, spezifisch, informiert, unmissverständlich. Eine einzige „Ich stimme den Bedingungen zu"-Checkbox ist nicht DSGVO-konform — für jeden spezifischen Verarbeitungszweck ist eine eigene Einwilligung nötig.
Die EDPB-Leitlinien (European Data Protection Board) von 2024 haben das Verbot der „gebündelten Einwilligung" ausdrücklich verschärft. Ein einziger „Ich stimme zu"-Button für alles reicht nicht mehr aus.
NICHT DSGVO-konform:
☐ Ich akzeptiere die Nutzungsbedingungen, die Datenschutzerklärung,
das Analytics-Tracking, Marketing-E-Mails und Push-Benachrichtigungen.
DSGVO-konform:
☐ Ich akzeptiere die Nutzungsbedingungen (Pflicht)
☐ Ich akzeptiere die Datenschutzerklärung (Pflicht)
☐ Ich erlaube das Analytics-Tracking (optional)
☐ Marketing-E-Mail-Kommunikation (optional)
☐ Push-Benachrichtigungen (optional)
Das Google- und Apple-Update von 2024 hat die Tracking-Einwilligung verschärft. Seit iOS 14.5+ ist für jede Tracking-Datennutzung ein ATT-Prompt erforderlich:
import AppTrackingTransparency
import AdSupport
func requestTrackingPermission(completion: @escaping (Bool) -> Void) {
if #available(iOS 14, *) {
ATTrackingManager.requestTrackingAuthorization { status in
switch status {
case .authorized:
// Tracking erlaubt, IDFA verfügbar
let idfa = ASIdentifierManager.shared().advertisingIdentifier
completion(true)
case .denied, .restricted, .notDetermined:
// Kein Tracking, IDFA = 00000000-0000-0000-0000-000000000000
completion(false)
@unknown default:
completion(false)
}
}
} else {
completion(true) // iOS < 14 — kein ATT
}
}
Ein „Purpose-Blocking"-UI (der Nutzer kommt erst weiter, wenn er zustimmt) ist NICHT DSGVO-konform — es ist anfechtbar. Die Einwilligung muss für die Kernfunktionalität optional bleiben.
Seit Android 14+ führt die Privacy-Sandbox-Initiative eine Einschränkung des IDFA-ähnlichen Trackings ein. Die GAID (Google Advertising ID) wird 2026 deprecated, an ihre Stelle treten die Topics API und die Attribution Reporting API.
// Ab 2026 deprecated, nur noch als Fallback
val client = AdvertisingIdClient.getAdvertisingIdInfo(context)
if (client.isLimitAdTrackingEnabled) {
// GAID nicht verfügbar — Nutzer hat sich abgemeldet
}
Die Privacy-Sandbox-APIs (Topics, Attribution Reporting) sind aus DSGVO-Sicht eindeutiger — die aggregierten Daten werden anonymisiert über Unternehmen hinweg vermittelt.
Als Best Practice gilt 2026: eine gestufte Einwilligung, bei der jeder Verarbeitungszweck einzeln entschieden wird.
type ConsentChoice = {
essential: boolean; // Immer true, keine Wahl
analytics: boolean;
marketing: boolean;
third_party: boolean;
};
async function showConsentFlow(): Promise<ConsentChoice> {
// Schritt 1: Intro-Screen mit Zusammenfassung der Datenschutzerklärung
await showPrivacyPolicySummary();
// Schritt 2: Granulare Einwilligung
const choices = await showGranularConsentScreen();
// Schritt 3: Einwilligung speichern
await db.consents.upsert({
user_id: getUserId(),
timestamp: new Date(),
choices,
ip: getClientIp(), // für das Audit
user_agent: getUserAgent(),
});
return choices;
}
Tipp: Die Consent-Speicherung ist selbst ein personenbezogenes Datum — sicher speichern, mit Audit-Trail. Die NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság, die ungarische Datenschutzbehörde) fragt genau das bei ihren Prüfungen explizit ab.
00000000-0000-0000-0000-000000000000Wenn Werbeattribution benötigt wird, sollten alternative Lösungen genutzt werden:
iOS:
Android:
| Provider | DSGVO-freundlich standardmäßig | Maßnahme |
|---|---|---|
| Firebase Analytics | Nein | IP-Erfassung deaktivieren, ID anonymisieren |
| Mixpanel | Teilweise | EU-Residency per Opt-in, Datenaufbewahrung 30 Tage |
| Amplitude | Teilweise | EU-Residency, Tracking anonymisieren |
| Segment | Teilweise | Datenresidenz standardmäßig USA |
| PostHog (Self-Hosted) | Ja | Volle Kontrolle auf eigenem Server |
| Plausible | Ja | Cookielos, EU-Hosting |
Standard-Analytics-Provider (Firebase Analytics, Mixpanel) sind von Haus aus nicht DSGVO-konform — sie protokollieren die IP-Adresse, erfassen die Geräte-ID und speichern die Daten auf US-Servern.
Web-Analytics:
Mobile- und Web-Event-Tracking:
Wenn Firebase Analytics verwendet wird (weil es bereits im Stack vorhanden ist):
// Android Firebase Analytics — erst nach Einwilligung
class FirebaseAnalyticsManager(private val context: Context) {
fun configure(consent: Boolean) {
FirebaseAnalytics.getInstance(context).setAnalyticsCollectionEnabled(consent)
// IP-Anonymisierung (standardmäßig aus, muss aktiviert werden)
// Hinweis: Firebase stellt dies nicht direkt zur Verfügung, muss über die Konsole konfiguriert werden
// Datenaufbewahrung: 2 Monate (Minimum) in der Konsole
}
fun userOptOut() {
// Analytics-ID zurücksetzen
FirebaseAnalytics.getInstance(context).resetAnalyticsData()
FirebaseAnalytics.getInstance(context).setAnalyticsCollectionEnabled(false)
}
}
// iOS Firebase Analytics
import FirebaseAnalytics
class FirebaseAnalyticsManager {
func configure(consent: Bool) {
Analytics.setAnalyticsCollectionEnabled(consent)
// Die Einwilligung muss in manchen Fällen VOR FirebaseApp.configure() vorliegen
}
func userOptOut() {
Analytics.resetAnalyticsData()
Analytics.setAnalyticsCollectionEnabled(false)
}
}
DSGVO-Grundsatz: nur so lange speichern, wie es notwendig ist.
| Datentyp | Maximale Aufbewahrung | Begründung |
|---|---|---|
| Aktives Nutzerkonto | Solange aktiv | Leistungserbringung |
| Inaktives Nutzerkonto | 2–3 Jahre | Reaktivierungspotenzial |
| Analytics-Events | 14 Monate (GA4-Standard) | Langzeitanalyse |
| Crash-Logs | 90 Tage | Kontext für Bugfixes |
| Push-Token | Solange das Konto aktiv ist | Leistungserbringung |
| Marketing-E-Mail-Opt-ins | Solange das Opt-in aktiv ist | Einwilligung |
| Audit-Logs (Sicherheit) | 1–3 Jahre | Rechtliche Verpflichtung |
| Finanztransaktionen | 8 Jahre (ungarisches Recht) | Steuerrecht |
-- Soft-Delete des Nutzers: DSGVO Artikel 17
UPDATE users
SET
email = 'deleted-' || id || '@anon.local',
name = 'Deleted User',
phone = NULL,
address = NULL,
deleted_at = NOW()
WHERE id = $1;
-- Kaskade
DELETE FROM push_tokens WHERE user_id = $1;
DELETE FROM analytics_events WHERE user_id = $1 AND event_type != 'aggregated';
DELETE FROM session_logs WHERE user_id = $1;
-- Audit-Log der Löschung (aus rechtlichen Gründen aufbewahrt)
INSERT INTO gdpr_audit_log (user_id, action, timestamp, ip, reason)
VALUES ($1, 'erasure_request', NOW(), $2, 'user_initiated');
Gelöschte Nutzerdaten dürfen nicht jahrelang in Backups erhalten bleiben. Auch die Backup-Aufbewahrung fällt unter den Anwendungsbereich der DSGVO.
Best Practice:
Auch die Backups müssen die Löschung widerspiegeln — ein „vergessener Nutzer" muss innerhalb von 30–90 Tagen auch aus den Backups entfernt werden.
Die Datenschutzerklärung ist keine Vorlage von der Stange. Sie muss mindestens Folgendes enthalten:
Die ungarischen Website-Vorschriften schreiben ein Impressum verpflichtend vor:
Die URL der Datenschutzerklärung und des Impressums muss sowohl in der App Store Connect als auch in der Google Play Console eingetragen werden. Vor dem Launch aktivieren — die Review scheitert häufig daran, dass die Privacy-URL nicht erreichbar ist.
Vor der Store-Einreichung sollte Folgendes überprüft werden:
Achtung: Das App Store Privacy Nutrition Label und die Google Play Data Safety Form sind nicht identisch mit der Datenschutzerklärung. Sie müssen die Datenverarbeitung separat widerspiegeln — Inkonsistenzen führen häufig zur Ablehnung.
Apple verlangt seit 2022 die Funktion „Kontolöschung in der App". Der Stand der Technik 2026:
Einstellungen → Konto → Konto löschen
↓
Bestätigungsbildschirm:
"Sind Sie sicher? Dies kann nicht rückgängig gemacht werden.
Ihre Daten werden innerhalb von 30 Tagen gelöscht."
↓
Erneute Authentifizierung (Passwort / Face ID)
↓
Bestätigungs-E-Mail wird gesendet
↓
Konto zur Löschung markiert
(für endgültige Löschung in 30 Tagen eingeplant)
async function requestAccountDeletion(userId: string) {
// Schritt 1: Zur Löschung markieren
await db.users.update(userId, {
deletion_requested_at: new Date(),
deletion_scheduled_at: new Date(Date.now() + 30 * 24 * 60 * 60 * 1000),
});
// Schritt 2: Bestätigungs-E-Mail senden
await emailService.send(userId, 'account_deletion_requested');
// Schritt 3: Im Audit-Log protokollieren
await db.gdprAuditLog.create({
user_id: userId,
action: 'erasure_requested',
timestamp: new Date(),
});
// Schritt 4: Endgültige Löschung einplanen (Cron-Job)
// (separater Prozess, läuft täglich, führt 30 Tage alte Anfragen aus)
}
async function executeScheduledDeletion() {
const due = await db.users.findMany({
deletion_scheduled_at: { lte: new Date() },
deletion_completed_at: null,
});
for (const user of due) {
await performHardDelete(user.id);
}
}
Eine 30-tägige „Karenzzeit" ist sinnvoll — der Nutzer kann es sich noch anders überlegen, und im Backend erfolgt die Löschung dadurch kontrolliert und sicher.
async function exportUserData(userId: string): Promise<UserDataExport> {
const user = await db.users.findById(userId);
const sessions = await db.sessions.findByUserId(userId);
const events = await db.analyticsEvents.findByUserId(userId);
const consents = await db.consents.findByUserId(userId);
return {
exported_at: new Date(),
user_profile: user,
sessions: sessions,
analytics_events: events,
consents_history: consents,
};
}
Das Exportformat ist JSON oder CSV. Es wird als ZIP komprimiert und per E-Mail-Link zugestellt. Kein In-App-Download — Sicherheitsrisiko.
Die Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) ist die ungarische Datenschutz-Aufsichtsbehörde. Der Bußgeld-Trend zeigt seit 2024 nach oben — ein durchschnittliches NAIH-Bußgeld im KMU-Segment ist von 1–5 Mio. HUF auf 5–20 Mio. HUF gestiegen.
Ein KMU ist verpflichtet, einen DPO zu benennen, wenn:
Auf die meisten KMU-Apps trifft das NICHT zu — es lohnt sich aber, dies bereits in der Discovery-Phase mit einem DSGVO-Berater zu klären.
Verwandte Artikel von uns: App Store & Play Store Deployment 2026 — DSGVO-Checklisten auf Store-Submission-Ebene. Push-Benachrichtigungen richtig implementieren — Einwilligung und Push-Permission-Flow. React Native vs. Native 2026 — Privacy-Flow für beide Plattformen.
DSGVO auf Mobile ist keine einmalige Compliance-Aufgabe, sondern ein fortlaufender Prozess. Jedes neue Feature bedeutet eine neue Einwilligung und eine aktualisierte Datenschutzerklärung. Mit gutem UX steigt auch die Consent-Rate (35–45 % bei ATT unter iOS statt der Baseline von 25 %).
Die über 20 Punkte der Audit-Checkliste sind vor dem Launch verpflichtend. Ein NAIH-Bußgeld zu vermeiden ist schlicht mehr wert, als der Aufwand der Einrichtung an Zeit kostet.
Wenn Sie ein Mobile-App-Projekt planen, sprechen wir in der Discovery-Phase immer auch die DSGVO-Checkliste durch — die meisten Verzögerungen vor dem Launch entstehen genau hier. Besprechen wir die Details in einem 30-minütigen Gespräch. Bereits im Audit der ersten Woche können wir oft die 2–3 wichtigsten Lücken benennen, die vor dem Launch behoben werden.
Über den Autor
Corevanix Kft.
Technologiepartner
Technologiepartner aus Budapest — SAP/ERP-Integration, Webentwicklung, KI-Automatisierung und Mobile-App-Entwicklung. Wir arbeiten in der eigenen Umgebung des Kunden, und der ausgelieferte Code gehört vollständig dem Kunden.
Performance-Benchmarks, Developer Experience, Ecosystem und 5 Use-Case-Empfehlungen. Entscheiden Sie sich fundiert zwischen React Native und Native.
Schritt-für-Schritt-Anleitung für das Deployment im iOS App Store und Google Play Store: Konten, Zertifikate, Review-Prozess und Fastlane-Automatisierung.
Push-Benachrichtigungen zählen zu den stärksten Retention-Tools – oder zu den häufigsten Gründen für eine Deinstallation. 10 Fehler, richtig umgesetzt mit Code.