Die Zeit vor den mobilen Apps
Wir gehen nicht zu weit in die Geschichte zurück — wir beschränken uns auf einen Überblick über die Anforderungen an Websites, da sie aus Nutzersicht das nächstliegende Pendant zu mobilen Apps sind. Websites werden, genau wie mobile Apps, im Internet veröffentlicht, können im Namen verschiedener Entwickler veröffentlicht werden und sammeln und verarbeiten Nutzerdaten. Der einzige wesentliche Unterschied besteht darin, dass Websites vor der Veröffentlichung keine anfängliche Prüfung durchlaufen.
Interessante Tatsache. Das weltweit erste Datenschutzgesetz wurde in Deutschland verabschiedet. 1970 veröffentlichte das Land Hessen ein Gesetz mit Anforderungen an die maschinelle Verarbeitung von Nutzerdaten durch Behörden. Den vollständigen Gesetzestext finden Sie auf der Website des deutschen Datenschutzarchivs: Link zum Gesetz.
Schon zu Beginn der rasanten Entwicklung der IT-Branche in den 1970er-Jahren begannen verschiedene Länder, eine Reihe von Gesetzen und Anforderungen zur Verarbeitung von Nutzerdaten zu erlassen. Das erste Dokument jedoch, das Website-Betreiber massenhaft dazu verpflichtete, sichtbare Änderungen an ihrer Website vorzunehmen, war der «California Online Privacy Protection Act (CalOPPA)», der 2004 in den USA verabschiedet wurde. Er verlangte von Websites, dass jeder Nutzer aus Kalifornien die Möglichkeit haben musste, die Datenschutzerklärung zu lesen. Das betraf alle kommerziellen Websites sowie Websites, die personenbezogene Daten erheben — also eine ziemlich breite Masse an Websites. Da fast jede amerikanische Website einen Besucher aus Kalifornien haben konnte und — was noch wichtiger war — haftbar gemacht werden konnte, wurde diese Anforderung faktisch zum Standard für den gesamten US-Markt. Die Strafe für das Fehlen einer Datenschutzerklärung betrug bis zu 2.500 US-Dollar, aber Website-Betreiber hatten in der Regel 30 Tage Zeit, die Website entsprechend anzupassen und der Strafe zu entgehen.
Die Europäische Union hatte bereits 1995 ein umfassenderes Dokument verabschiedet. Die «Data Protection Directive» (Link zum Dokument auf der Website des Amts für Veröffentlichungen der Europäischen Union) war jedoch eine Richtlinie und musste daher noch separat durch nationale Gesetze umgesetzt werden, die die konkrete Haftung im Falle von Verstößen festlegten. Zudem war das Dokument für alle Arten der Datenverarbeitung gedacht (einschließlich nicht automatisierter Systeme wie Papierkarteien). Obwohl die Pflicht zur Information über den Zweck der Datenerhebung in der Richtlinie enthalten war, gab es keine konkreten Vorgaben, wie dies umzusetzen sei.
Die frühe Ära dritter Anbieter für mobile Apps (2008–2013)
Im Juli 2008 erschien der App Store, im Oktober desselben Jahres der Android Market. Interessant ist, dass das bereits erwähnte CalOPPA-Gesetz zwar nicht nur für Websites, sondern auch für «Online-Dienste» galt, sich viele Entwickler von Apps amerikanischer Unternehmen jedoch mehrere Jahre lang nicht darum kümmerten, die Datenschutzerklärung in der mobilen App zugänglich zu machen. Es kam so weit, dass die kalifornische Staatsanwaltschaft im Dezember 2012 «Delta Air Lines» verklagte (Link zur Klageschrift auf der Website des kalifornischen Justizministeriums). Die Fluggesellschaft gewann den Fall jedoch, da bundesstaatliche Gesetze keine Beschränkungen für Dienstleistungen von Fluggesellschaften vorsehen dürfen. Im Januar 2013 veröffentlichte das Büro der kalifornischen Staatsanwaltschaft das Dokument «Privacy on the go: Recommendations for the mobile ecosystem» (Link zum Dokument) mit Empfehlungen für App-Entwickler, App-Plattformen und andere Beteiligte dieses Ökosystems.
Trotz der verlorenen Klage gegen «Delta Air Lines» veränderte sich die Landschaft mobiler Apps in Bezug auf Datenschutzerklärungen. In der Praxis bedeutete das, dass App Store und Google Play ein Feld für einen Link zur Datenschutzerklärung einführten, das App-Entwickler ausfüllen konnten (aber vorerst nicht mussten).
Erwähnenswert ist, dass es in der EU ähnliche Entwicklungen gab, allerdings ohne spektakuläre Gerichtsverfahren. Etwa zur gleichen Zeit (2014) veröffentlichte der «Düsseldorfer Kreis» — ein informeller Zusammenschluss von Datenschutzbehörden — gemeinsam mit dem Bayerischen Landesamt für Datenschutzaufsicht einen Leitfaden für App-Entwickler zu den Datenschutzanforderungen (Link zum Artikel auf der Website des BayLDA).
Verstärkung der Datenschutzposition: der Fall Snowden, GDPR, CCPA (2013–2020)
Ab Juni 2013 begann Edward Snowden — ein Infrastruktur-Analyst eines Auftragnehmers der US-amerikanischen National Security Agency (NSA) — über die Medien Informationen offenzulegen, die das Ausmaß der Überwachung von Bürgern zahlreicher Staaten durch US-Geheimdienste enthüllten. Das löste weltweit eine breite Debatte über Datenschutz aus.
Im EU-Kontext ist der Fall des österreichischen Aktivisten Maximilian Schrems gegen Facebook erwähnenswert. Er reichte bei der irischen Datenschutzbehörde (wo die EU-Zentrale von Facebook ansässig ist) mehrere Beschwerden über eine Reihe von Verstößen gegen EU-Datenschutznormen ein. Darunter: die Aufbewahrung gelöschter Nachrichten, die Aufbewahrung gelöschter «Freunde» im sozialen Netzwerk, die Erfassung von Daten über Personen auch ohne vorhandenes Profil (Shadow Profiles). Die vollständige Liste aller Beschwerden findet sich auf der Website «Europe versus facebook»: Link. Ohne den Leser mit allen Etappen des Rechtsstreits zu ermüden: 2015 entschied der Europäische Gerichtshof (EuGH), die Praxis des sogenannten «Safe Harbour» aufzuheben, die es amerikanischen Unternehmen, die eine Selbstzertifizierung zum Datenschutz durchlaufen hatten, erlaubte, in der EU erhobene Daten zu speichern und zu verarbeiten.
2016 wurde die GDPR (General Data Protection Regulation) verabschiedet, 2018 trat sie in Kraft — das zentrale Regelwerk der EU zum Datenschutz. Sie ersetzte die alte «Data Protection Directive». Im Geist und in den Grundideen ähnelte sie dem alten Dokument. Die wichtigsten und praktisch bedeutsamsten Änderungen waren:
- Es handelt sich nun um eine Verordnung statt einer Richtlinie — das bedeutet, sie gilt automatisch in der gesamten EU, ohne dass nationale Gesetze erforderlich sind;
- Einheitliche und erhebliche Bußgelder bei Verstößen — bis zu 20 Millionen Euro oder 4% des weltweiten Umsatzes.
Auch in den USA wurde der CCPA (California Consumer Privacy Act) verabschiedet — das amerikanische Pendant zur GDPR. Er wurde 2018 verabschiedet und trat 2020 in Kraft.
Praktische Änderungen bei mobilen Apps in der GDPR-Ära
Versuchen wir, die wichtigsten praktischen Änderungen zusammenzufassen, die es in den letzten Jahren im Bereich mobiler Apps in Bezug auf den Datenschutz gab. Nicht alle davon wurden direkt durch die GDPR vorgegeben, aber das gestiegene gesellschaftliche Interesse am Datenschutz hat sie eindeutig beeinflusst:
- Google Play machte das Feld für den Link zur Datenschutzerklärung 2017, App Store 2018 verpflichtend statt optional;
- Apple verlangt seit 2020 das Ausfüllen eines Fragebogens für «leicht verständliche» Datenschutzerklärungen, Google seit 2022;
- Google führt 2023–2024 eine verpflichtende Verifizierung des Entwicklerkontos ein. Ist der Entwickler eine Privatperson, muss er Dokumente zum Identitäts- und Adressnachweis einreichen. Bei juristischen Personen — eine DUNS-Nummer vorlegen;
- Seit 2022 müssen iOS-Nutzer ihr Konto direkt in der App löschen können. Google führte 2024 eine ähnliche Anforderung ein;
- 2024 wurde in der EU der DMA (Digital Markets Act) verabschiedet, der ein breites Spektrum an Änderungen zur Eindämmung der Kontrolle durch «Gatekeeper» — die größten Technologiekonzerne — umfasst. Für die mobile Entwicklung war die konkrete Änderung, dass Entwickler von iOS-Apps ihre App nun nicht mehr ausschließlich über den App Store vertreiben müssen. Der Effekt der neuen Stores ist bisher begrenzt;
- 2025 aktualisiert Apple seine Richtlinien: Entwickler müssen nun die ausdrückliche Zustimmung des Nutzers einholen, bevor dessen Daten an einen externen KI-Dienst gesendet werden.
Fazit
Datenschutzpraktiken haben sich, selbst im Kontext mobiler Apps, seit dem Start von App Store und Google Play (früher Android Market) stark verändert. Dieser Wandel hält weiterhin an. Eines der zentralen Themen bleibt die Diskrepanz zwischen den erklärten Datenschutzerklärungen und der Realität, die Schwierigkeit, lange Datenschutzseiten zu verstehen, sowie der zunehmend aktive Einsatz von KI.
Für die Rechte der Nutzer setzen sich nicht nur staatliche und überstaatliche Behörden ein, sondern auch einzelne Aktivisten wie Edward Snowden und Maximilian Schrems.
