Wer Anwendungen für iOS in Apples App Store bereitstellt, muss seit Dezember Datenschutz-Labels zu der App-Beschreibung hinzufügen. Das Unternehmen aus Cupertino möchte so die Transparenz bezüglich der erhobenen Nutzerdaten erhöhen. Kürzlich erweiterte Apple die Richtlinien für die Datenschutz-Etiketten um einige Punkte, um Entwicklern mehr Klarheit über die spezifischen Informationen zu geben, die auf dem Labels genannt werden müssen. Es geht dabei um die Verwendung der IP-Adresse des Nutzers, implementierte Browser und mehr.


Erweiterte Datenschutz-Richtlinien für App-Anbieter
Apple hat die hauseigene Entwickler-Seite mit den neuen Informationen aktualisiert. Drittanbieter müssen grundsätzlich jede Form des Sammelns von Nutzerdaten dokumentieren, so Apple – selbst wenn die erhobenen Daten weder für Analysen noch zu Werbezwecken verwendet werden. Apps mit integriertem Web-View per Browser-Oberfläche haben alle Daten anzugeben, die der Anbieter über die Web-View-Nutzung generiert – außer Anwender können ohne Datenerhebung frei im Internet surfen.

Sofern iOS-Programme IP-Adressen sammeln, sind die Entwickler dazu verpflichtet, Auskunft über die damit verknüpften Nutzerdaten zu geben. Dazu gehören beispielsweise Standortinformationen und Gerätekennungen. Hinzu kommt die Pflicht, private Messaging-Dienste innerhalb von Anwendungen zu thematisieren. Apple verlangt von Gaming-Anbietern zudem Angaben zu Speicherständen und Multiplayer-Angeboten, mit denen Nutzerdaten verknüpft sein können.

Was „Datensammeln“ überhaupt bedeutet
Zusätzlich spezifiziert Apple, welche Datenerhebungen nicht unbedingt auf den App-Store-Labels auftauchen müssen. Prinzipiell sei nur das Datensammeln (inklusive potenzieller Auswertung und Weitergabe) von Relevanz für die Labels. „Sammeln“ bedeutet: Daten des Nutzers gelangen von dem Gerät des Nutzers auf Server und werden dort länger in lesbarer Form aufbewahrt, als es die jeweilige Software-Funktion der App erfordert. Wenn die jeweilige IP-Adresse oder der Authentifizierungs-Token lediglich einmalig – beispielsweise zum Login – an einen Server gesandt und dort nicht gespeichert wird, muss der Entwickler den Vorgang nicht melden. Das Gleiche gilt für andere Daten, die zu Servicezwecken an einen Server geschickt und nach der Dienstleistung sofort wieder gelöscht werden.