DSGVO-Prüfung für Apps: Tracking, Einwilligung und Datenflüsse
Eine DSGVO-Prüfung für Apps stellt fest, was Ihre App ab dem ersten Moment nach dem Start mit personenbezogenen Daten tut. The Squad dekompiliert den ausgelieferten Build, listet jedes SDK und jeden Endpunkt auf und prüft die Befunde gegen die Artikel, nach denen Aufsichtsbehörden zuerst fragen: Rechtmäßigkeit, Einwilligung, Übermittlung in Drittländer und besondere Datenkategorien.
Tracking vor der Einwilligung
Der häufigste Befund in unserem Verzeichnis ist ein SDK, das startet, bevor der Einwilligungsbildschirm erscheint. Im Manifest deklarierte Content Provider initialisieren sich beim Prozessstart, deshalb laufen Analyse- und Werbebibliotheken, bevor die Nutzerin oder der Nutzer irgendetwas gewählt hat. Consent-Mode-Standardwerte, die im Binary auf „granted“ stehen, haben dieselbe Wirkung.
Art. 5 Abs. 3 der ePrivacy-Richtlinie regelt den Zugriff auf Endgeräte und ist das rechtliche Rückgrat jedes SDK-Einwilligungsbefunds, den wir veröffentlichen. Daneben stehen Art. 6 DSGVO (Rechtsgrundlage) und Art. 7 DSGVO (Bedingungen für die Einwilligung) sowie die Grundsätze in Art. 5 DSGVO.
Datenflüsse in Drittländer
Die Prüfung rekonstruiert, wohin Daten gehen: jeder Endpunkt, den die App kontaktiert, das Unternehmen dahinter und das Land, in dem er auflöst. Übermittlungen in Drittländer brauchen eine Rechtsgrundlage nach Art. 44 bis 46 DSGVO. Das Verzeichnis dokumentiert Apps, die Daten in ein Land ohne Angemessenheitsbeschluss oder dokumentierte Garantie senden, und eine App, deren eigene Einwilligungsseite sich weiter auf den EU-US-Privacy-Shield beruft.
Ein Übermittlungsbefund benennt das SDK oder den Endpunkt, zeigt den Beleg im Binary und nennt, welche Datenkategorien übertragen werden.
Besondere Kategorien und Daten von Kindern
Mikrofon, Kamera, Gesundheits- und biometrische Daten fallen unter Art. 9 DSGVO. Kinder-Apps bringen Art. 8 DSGVO und COPPA hinzu. Die Prüfung sucht nach Berechtigungen ohne erklärende Funktion, nach biometrischen Daten, die an Dritte fließen, und nach Altersabfragen und Einwilligungsmechanismen, die der Code nie durchsetzt.
Code gegen Richtlinie
Die zentrale Methode ist ein Vergleich. Ihre Datenschutzerklärung, Ihr Einwilligungsbildschirm und Ihre Store-Angaben beschreiben, was die App tun soll. Das Binary zeigt, was sie tut. Jeder Unterschied wird zu einem Befund mit Beleg. Wo Richtlinie und Code übereinstimmen, hält der Bericht das ebenfalls fest.
Der Bericht folgt denselben fünf Fragen wie jedes Audit, das wir liefern: was wir gefunden haben, was es belegt, wie wir es belegt haben, wie sicher wir sind und was zu tun ist.
Wer die Arbeit macht
The Squad ist menschlich verantwortete Multi-Agenten-Sicherheitsuntersuchung. Selbst gebaute und trainierte Agenten führen die breite Testarbeit über Code, Abhängigkeiten, APIs und Konfigurationen aus. Menschliche Fachleute prüfen jedes Ergebnis in seinem technischen Kontext und kontrollieren jeden Befund erneut, bevor er in den Bericht kommt. Reviews laufen auf Infrastruktur in Europa, die Verarbeitung findet in Graz statt.
Belege aus geprüften Apps
Das öffentliche Verzeichnis führt 387+ geprüfte Apps und 262+ kritische Befunde. Diese vollständigen Berichte zeigen die DSGVO-Befundklassen in echten Apps:
- Geizhals: Facebook- und Firebase-SDKs starten automatisch vor dem Einwilligungsbildschirm.
- Coinbase: Consent-Mode-Standardwerte hartkodiert auf „granted“, ohne Consent-Management-Plattform im Binary.
- Dundle: Die Tracking-Einwilligung steht standardmäßig auf erlaubt, bevor eine Nutzerentscheidung vorliegt.
- DeepSeek: Personenbezogene Daten laut eigener Richtlinie in der Volksrepublik China gespeichert, dazu SDKs, die hinter einem einzigen „Agree“-Button starten.
- Revolut: Ein finanzieller Beziehungsgraph geht an ein US-Unternehmen ohne EU-Angemessenheitsbeschluss.
Starten Sie mit dem kostenlosen Check
Der kostenlose Check untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit Funden, möglichen Angriffsszenarien, dem wirtschaftlichen Schaden und nächsten Schritten, dazu einen Knowledge Graph. Der Check ist eine erste externe Einschätzung und ergänzt eine vollständige DSGVO-Prüfung der App, ohne sie zu ersetzen.
Die Pläne für eine vollständige Prüfung stehen auf der Seite Zugang.
Pläne und Preise ansehen → · The Squad kennenlernen → · Standards und Rahmenwerke →
Der erste Check erfolgt ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ihre Systeme bleiben dabei unverändert.
Bevor die Prüfung beginnt, sieht ein Researcher Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, möglichen Angriffsszenarien, dem wirtschaftlichen Schaden und klaren nächsten Schritten, dazu einen Knowledge Graph zu allen Funden. Alles kostenlos.
Fragen zur DSGVO-Prüfung für Apps
Auf welche DSGVO-Artikel bezieht sich die Prüfung?
In der Regel auf Art. 5 (Grundsätze), Art. 6 (Rechtsgrundlage), Art. 7 (Einwilligung), Art. 8 (Kinder), Art. 9 (besondere Kategorien), Art. 44 bis 46 (Drittlandübermittlung) und Art. 33 (Meldung von Verletzungen), dazu Art. 5 Abs. 3 der ePrivacy-Richtlinie für den Zugriff auf Endgeräte.
Zeigt die Prüfung, ob unser Consent-Banner funktioniert?
Sie zeigt, was der Build vor dem Banner und unabhängig von ihm tut: welche SDKs beim Start initialisieren, welche Consent-Standardwerte der Code setzt und welche Endpunkte Daten empfangen.
Ist der Bericht eine Rechtsberatung?
Der Bericht dokumentiert technische Tatsachen und ordnet sie Artikeln zu. Die rechtliche Bewertung bleibt bei Ihrer oder Ihrem Datenschutzbeauftragten oder bei Ihrer Rechtsvertretung.
Decken Sie auch SDKs von Anbietern ab, die wir nicht kontrollieren?
Ja. Drittanbieter-Bibliotheken und ihre Versionen gehören zum Umfang, weil ihr Verhalten Teil dessen ist, was Ihre App tut.
Verwandte Seiten
App-Sicherheitsprüfung · NIS2 für Softwareanbieter · Tracker- & SDK-Check
