DSGVO bei Apps + Mobile: 6 Pflichten 2026

Hauptartikel: Cookie-Banner § 25 TDDDG — der vollständige Pillar-Artikel zum Thema.

Die 6 Pflichten im Überblick

Die sechs Pflichten dieses Artikels betreffen den Zugriff auf das Endgerät, den ATT-Dialog, Push-Nachrichten, In-App-Werbung, Kinder-Apps und Drittanbieter-SDKs. Die Übersicht nennt je Pflicht den Kern der Umsetzung und die Fundstelle. Zeile 2 (ATT) beruht auf einer Plattformvorgabe von Apple; bei allen übrigen Zeilen nennt die Fundstellen-Spalte die tragende Rechtsnorm, die Spalte „Kern der Umsetzung“ daneben auch Umsetzungsbeispiele.

1. § 25 TDDDG bei Apps

Auch Apps fallen unter § 25 TDDDG. Vor Speicherung/Auslesen auf dem Endgerät: Einwilligung nach § 25 Abs. 1 TDDDG — auf Grundlage klarer und umfassender Informationen; Information und Einwilligung haben gemäß der DSGVO zu erfolgen. Ausnahmen nach § 25 Abs. 2 TDDDG: Keine Einwilligung ist erforderlich, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist (Nr. 1) oder wenn Speicherung bzw. Zugriff unbedingt erforderlich sind, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (Nr. 2) — praxisrelevant etwa das Session- oder Login-Token einer App. Analytics, Attribution und Werbe-IDs sind davon nicht erfasst und bleiben einwilligungspflichtig.

Neben § 25 TDDDG laufen die Informationspflichten der DSGVO: Sie folgen unmittelbar aus Art. 13 und Art. 14 DSGVO und werden in der App über die Datenschutzerklärung eingelöst. Für die Einwilligung selbst gelten zwei harte Anforderungen: Der Verantwortliche muss nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Praxisempfehlung: Datenschutzerklärung vor dem ersten Consent-Dialog erreichbar halten, den Consent-Layer mit Zeitpunkt, Textfassung und Versionsnummer protokollieren und einen dauerhaft erreichbaren Einstellungs-Dialog in der App anbieten, über den die Einwilligung mit derselben Zahl an Schritten zurückgenommen werden kann.

Deutschland / Österreich: § 25 TDDDG ist deutsches Recht. Die Erlaubnisnorm für das Speichern von Informationen auf Endeinrichtungen und den Zugriff darauf ist national geregelt — in Deutschland § 25 TDDDG (Aufsicht: die nach Landesrecht zuständige Landesdatenschutzbehörde, § 40 Abs. 1 BDSG), in Österreich § 165 TKG 2021 (Aufsicht: Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO, § 18 Abs. 1 DSG). Beide setzen Art. 5 Abs. 3 der Richtlinie 2002/58/EG um; der inhaltliche Maßstab der Einwilligung folgt in beiden Ländern unmittelbar aus der DSGVO (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO) und ist damit identisch.

2. Apple App Tracking Transparency (ATT)

ATT ist eine Plattformvorgabe von Apple, die DSGVO gilt parallel. Auf iOS ist für den Zugriff auf den Werbe-Identifier IDFA der ATT-Dialog verpflichtend. Ohne Zustimmung in diesem Dialog bleibt der IDFA gesperrt — das ist der Standardzustand, nicht der Ausnahmefall. Betroffen ist damit jede IDFA-gestützte Messung, insbesondere Re-Targeting und Attribution. Praxisempfehlung: Vor dem Release festlegen, welche Messung ohne IDFA tragfähig bleibt, und für diese Ersatzmessung die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO getrennt dokumentieren.

Rechtlich läuft daneben die zweite Schicht: Der Zugriff auf einen auf dem Gerät gespeicherten Werbe-Identifier ist in Deutschland an § 25 Abs. 1 TDDDG gebunden, in Österreich an § 165 TKG 2021. Die Einwilligung selbst bemisst sich nach Art. 6 Abs. 1 lit. a DSGVO; Nachweis und Widerruf richten sich nach Art. 7 Abs. 1 und Abs. 3 DSGVO, siehe Punkt 1. Praxisempfehlung: die eigene Consent-Protokollierung getrennt vom Plattform-Status führen, damit der Nachweis auch bei einem Wechsel des Betriebssystems oder des SDK-Anbieters erhalten bleibt.

Für Berechtigungs-Dialoge jenseits von ATT — Standort, Kamera, Kontakte, Mikrofon — gilt als Praxisempfehlung: Just-in-Time-Anfragen + Begründung in Plain Language, also die Abfrage im Moment der Nutzung, mit einem Satz, der den Zweck in einfacher Sprache erklärt. Rechtlich bleibt maßgeblich, welche Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO die dahinterliegende Verarbeitung trägt und ob beim Zugriff auf Informationen in der Endeinrichtung ein Ausnahmetatbestand des § 25 Abs. 2 TDDDG greift.

3. Push-Notifications

Einwilligung für Marketing-Push. Transaktional (Bestellbestätigung) ohne Einwilligung OK. Der Unterschied ist eine Frage der Rechtsgrundlage: Jede Verarbeitung braucht mindestens einen der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO. Für werbliche Nachrichten ist das die Einwilligung (lit. a), für vertragsbezogene Nachrichten kommt die Erfüllung eines Vertrags (lit. b) in Betracht.

Praktisch heißt das: Marketing-Push und transaktionale Nachrichten technisch trennen, damit der Widerruf der Marketing-Einwilligung die Bestellbestätigung nicht mitabschaltet (Praxisempfehlung). Nachweis und Widerruf richten sich nach Art. 7 Abs. 1 und Abs. 3 DSGVO, siehe Punkt 1 — als Praxisempfehlung: ein Opt-out im App-Menü zusätzlich zu den Betriebssystem-Einstellungen. Wird für den Versand ein Push-Token auf dem Endgerät gespeichert oder von dort ausgelesen, ist zusätzlich zu prüfen, ob dafür eine Einwilligung nach § 25 Abs. 1 TDDDG nötig ist oder ein Ausnahmetatbestand des § 25 Abs. 2 TDDDG greift; in Österreich richtet sich diese Prüfung nach § 165 TKG 2021.

Österreich: Für den Newsletter-Versand nennt die österreichische Praxis neben Art. 6 DSGVO ausdrücklich § 174 TKG 2021 (Unerbetene Nachrichten) mit Einwilligung bzw. Double-Opt-In. Der DSGVO-Maßstab der Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO) ist in beiden Ländern identisch.

4. In-App-Werbung

Personalisierte Werbung: Einwilligung. Generische Werbung: berechtigtes Interesse möglich. Die beiden Rechtsgrundlagen stehen in Art. 6 Abs. 1 lit. a (Einwilligung) und lit. f (Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten) DSGVO. Wird für die Personalisierung ein auf dem Gerät gespeicherter Werbe-Identifier ausgelesen, kommt die Einwilligung nach § 25 Abs. 1 TDDDG hinzu (siehe Punkt 1).

Zwei Verschärfungen sind in der App-Praxis leicht zu übersehen. Erstens: Zielt die Werbeauswahl auf Daten, aus denen Gesundheit, religiöse oder weltanschauliche Überzeugungen, politische Meinungen oder Angaben zum Sexualleben beziehungsweise zur sexuellen Orientierung hervorgehen, greift das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO mit den engen Ausnahmen des Abs. 2 — etwa der ausdrücklichen Einwilligung. Zweitens: Art. 35 Abs. 3 DSGVO nennt die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung ausdrücklich als Fall, in dem eine Datenschutz-Folgenabschätzung erforderlich ist. Praxisempfehlung: Vor dem Start eines neuen Targeting-Features schriftlich festhalten, welche Rechtsgrundlage trägt, ob Art. 9 berührt ist und ob eine Datenschutz-Folgenabschätzung nötig ist — diese Notiz ist später die Grundlage der Rechenschaft gegenüber der Aufsicht.

5. Kinder-Apps (<16 Jahren)

Die Einwilligung nach Art. 8 DSGVO ist erst ab 16 Jahren wirksam; darunter ist die Einwilligung der Eltern erforderlich. Die Mitgliedstaaten können die Altersgrenze auf 13 Jahre absenken — Deutschland bleibt bei 16. Österreich hat die Altersgrenze auf 14 Jahre abgesenkt. Damit gelten für Kinder-Apps strengere Pflichten nach Art. 8 DSGVO. Beispiele für die Umsetzung: Eltern-Einwilligung, Verzicht auf Tracking, einfache Sprache. Für die Einwilligung gelten dieselben Grundbedingungen wie bei Erwachsenen: Nachweis und Widerruf richten sich nach Art. 7 Abs. 1 und Abs. 3 DSGVO, siehe Punkt 1.

Verstöße gegen Art. 8 DSGVO fallen nach Art. 83 Abs. 4 DSGVO in den unteren Bußgeldrahmen (siehe Tabelle „Fristen, Zuständigkeiten und Sanktionen“). Verarbeitet die App zusätzlich Gesundheitsdaten (etwa in einer Fitness- oder Therapiebegleit-App), gilt das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO mit den Ausnahmen des Abs. 2. Praxisempfehlung: in Kinder-Apps auf Werbe-Identifier und Profiling ganz verzichten — das Auslesen eines auf dem Endgerät gespeicherten Werbe-Identifiers wäre sonst nach § 25 Abs. 1 TDDDG einwilligungspflichtig (in Österreich § 165 TKG 2021), und Profiling kann nach Art. 35 Abs. 3 DSGVO eine Datenschutz-Folgenabschätzung auslösen. Ebenfalls Praxisempfehlung: Alterskennzeichnung, Einwilligungsweg der Erziehungsberechtigten und die kindgerechte Fassung der Informationstexte in einem Dokument bündeln und mit jeder Release-Änderung erneut prüfen; das ist ein Praxis-Rhythmus, keine gesetzliche Frist.

6. App-SDK-Audit

Drittanbieter-SDKs (Facebook, Firebase, Mixpanel) sind Datenschutz-relevant. Pro SDK ist zu prüfen, welche Daten es erhebt und wohin sie fließen. Die Prüfung läuft in drei Schritten. Erstens Rolle klären: Sind Sie Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder gemeinsam Verantwortliche (Art. 26 DSGVO)? Zweitens Vertrag: Erfolgt die Verarbeitung im Auftrag, dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; die Zusammenarbeit braucht einen Vertrag, der Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 1 und Abs. 3 DSGVO).

Drittens Verarbeitungsverzeichnis: Jedes SDK, das personenbezogene Daten erhebt oder empfängt, muss im Verarbeitungsverzeichnis auffindbar sein — als Empfänger-Kategorie der betroffenen Verarbeitungstätigkeit, mit Drittlandübermittlung samt Garantie (Standardvertragsklauseln SCC, EU-US Data Privacy Framework DPF oder verbindliche interne Datenschutzvorschriften BCR), geplanter Löschfrist und einem Verweis auf das zentrale Konzept der technisch-organisatorischen Maßnahmen (TOM, Art. 32 DSGVO) — kein eigenes TOM je Verarbeitungstätigkeit. Die 250-Mitarbeiter-Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ und scheitert in der Praxis regelmäßig schon am Merkmal „regelmäßige Verarbeitung“. Crash-Reporting durchläuft dieselben drei Schritte wie jedes andere SDK. Eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO ist dabei nicht pro SDK fällig, sondern nur, wenn die dahinterliegende Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; in Betracht kommt dafür vor allem das Profiling-Kriterium des Art. 35 Abs. 3 DSGVO (siehe Punkt 4).

Praxis-Reihenfolge der Prüfung (keine amtliche Vorgabe): Prüfungen beginnen regelmäßig beim Verarbeitungsverzeichnis (VVT) und arbeiten sich über die Auftragsverarbeitungsverträge (AVV) und die technisch-organisatorischen Maßnahmen (TOM) zur Datenschutz-Folgenabschätzung (DSFA) vor. Wer beim Verarbeitungsverzeichnis nicht liefern kann, kann beim Rest schlecht überzeugen. Praxis-Rhythmus (keine gesetzliche Frist): SDK-Liste jährlich und bei jeder Änderung prüfen, bei schnell wachsenden Produkten quartalsweise; typische Fehlerquellen sind veraltete Empfänger-Listen, fehlende Löschfristen und ein fehlender Drittland-Hinweis bei US-Tools.

Fristen, Zuständigkeiten und Sanktionen in DE und AT

Für App-Betreiber sind vier gesetzliche Zeitvorgaben, zwei Aufsichtszuständigkeiten und drei Sanktionsrahmen einschlägig; hinzu kommen zwei nationale Sonderregeln in Deutschland und Österreich, die im Anschluss an die Tabelle stehen. Die folgende Übersicht enthält ausschließlich gesetzliche Zeitvorgaben, Zuständigkeiten und Sanktionsrahmen; Praxisempfehlungen sind darin nicht enthalten.

Deutschland / Österreich: In Österreich sieht § 11 DSG die verhältnismäßige Anwendung des Art. 83 DSGVO vor, insbesondere bei erstmaligen Verstößen eine Verwarnung statt einer Geldbuße. In Deutschland stellt § 43 Abs. 2 und Abs. 3 BDSG ergänzend zu Art. 83 DSGVO bestimmte Verstöße — die fehlerhafte Behandlung eines Auskunftsverlangens sowie die Verbraucherunterrichtung nach § 30 BDSG — als Ordnungswidrigkeit mit einer Geldbuße bis zu 50 000 EUR unter Sanktion; gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt.