Ratgeber Store-Formulare und SDKs
So finden Sie heraus, was Ihre SDKs erheben
Eine wiederholbare Methode, ein durchgerechnetes Beispiel mit den von Firebase selbst veröffentlichten Tabellen und wo Sie bei Anbietern nachsehen, die keine veröffentlichen.
Öffnen Sie Ihre Abhängigkeitsdatei, listen Sie jedes Drittanbieter-SDK auf und lesen Sie dann die Seite jedes Anbieters zur Datenoffenlegung – Firebase zum Beispiel veröffentlicht genau, welche Daten jedes seiner Produkte erhebt. Diese Liste ist die Substanz Ihrer Datenschutzerklärung und die Quelle, aus der Ihre Antworten zu Data safety und App Privacy stammen müssen.
Erledigen Sie das stattdessen in wenigen Minuten
AppFoyer hostet die Seiten, um die es in diesem Ratgeber geht – Datenschutzerklärung, Nutzungsbedingungen, Support, Kontolöschung und app-ads.txt –, auf einer eigenen Subdomain, ohne eigene Domain oder eigenen Server. Eine App ist kostenlos, und nichts, was ein Store verlangt, steht jemals hinter einer Bezahlschranke.
Geprüft am 19. September 2026. Store-Richtlinien ändern sich, manchmal ohne Ankündigung. Alles Folgende verlinkt die offizielle Dokumentation, und maßgeblich ist die dort verlinkte Seite, nicht diese hier. Widersprechen sich beide, hat der Store recht. Dieser Ratgeber ist aus dem Englischen übersetzt; Zitate aus der Store-Dokumentation bleiben im englischen Original.
Jede Store-Anforderung zu Daten läuft auf eine einzige Liste hinaus, und fast niemand schreibt sie auf. Ihre Datenschutzerklärung, Ihr Data-safety-Formular und Ihre App-Privacy-Antworten sind drei Darstellungen derselben Liste – sie einmal ordentlich zu erstellen, ist also die ganze Arbeit.
Beide Stores stellen ausdrücklich klar, dass das Verhalten von SDKs Ihnen zugerechnet wird. Google Play sagt, Datenerhebung „includes data collected and handled through any third-party libraries or SDKs used in their apps“ (umfasst Daten, die über in den Apps verwendete Bibliotheken oder SDKs von Drittanbietern erhoben und verarbeitet werden). Apple verlangt, dass Sie die Daten angeben, die „you or your third-party partners collect“ (Sie oder Ihre Drittanbieter-Partner erheben).
Schritt 1 – jedes SDK finden
Lesen Sie die Dateien, verlassen Sie sich nicht auf Ihr Gedächtnis:
| Plattform | Dateien |
|---|---|
| Android | build.gradle / build.gradle.kts, libs.versions.toml, AndroidManifest.xml (Berechtigungen, Metadaten) |
| iOS | Podfile, Package.swift, *.pbxproj, Info.plist (Usage-Strings), *.entitlements |
| Flutter | pubspec.yaml |
| React Native / Expo | package.json, app.json |
Berücksichtigen Sie auch transitive Abhängigkeiten, die Sie nicht selbst gewählt haben: Ein SDK, das eine Werbebibliothek mitbringt, erhebt, was diese Bibliothek erhebt.
Schritt 2 – die Offenlegung jedes Anbieters lesen
Die meisten seriösen Anbieter veröffentlichen eine Seite, die genau sagt, was ihr SDK sendet, weil ihre Kunden sie für genau diese Formulare brauchen. Diese Seite – kein Blogbeitrag, keine Antwort in einem Forum – ist Ihre Quelle.
Firebase ist das durchgerechnete Beispiel, weil Google eine Aufschlüsselung pro Produkt veröffentlicht, die auf Apples App-Privacy-Kategorien abgebildet ist:
| Firebase-Produkt | Was es laut Googles Dokumentation erhebt |
|---|---|
| Analytics | App-Instanz-ID, Nutzereigenschaften, Events, IP-Adresse |
| Crashlytics | Stacktraces und Anwendungszustand beim Absturz, Geräte- und OS-Informationen sowie alle benutzerdefinierten Keys, Logs und Nutzer-IDs, die Sie anhängen |
| Cloud Messaging | Das Push-Token, das einer App-Installations-ID zugeordnet ist; Gerätemodell, Sprache, Zeitzone, OS-Version, App-Kennung und -Version |
| Authentication | Kennungen, die es erzeugt, plus E-Mail-Adressen, Telefonnummern und Anzeigenamen von den Anmeldeanbietern, die Sie aktivieren |
| Performance Monitoring | Leistungsmetriken wie Startzeit und Netzwerklatenz, Geräte- und OS-Informationen, IP-Adresse für die geografische Segmentierung |
| Remote Config | Länder- und Sprachcode, Zeitzone, OS-Version, App- und Bundle-Kennungen |
Lesen Sie diese Tabelle zweimal, wenn Sie Crashlytics nutzen: Die letzte Spalte geht teilweise auf Ihr Konto. Benutzerdefinierte Keys und Nutzer-IDs, die Sie an Absturzberichte anhängen, sind Daten, die Sie zu senden beschlossen haben, und sie gehören in Ihren eigenen Worten in Ihre Datenschutzerklärung.
Weitere Anbieter mit veröffentlichten Offenlegungen, bei denen Sie direkt nachsehen sollten: Werbenetzwerke (AdMob, AppLovin, Unity, ironSource), Attributions-Tools (AppsFlyer, Adjust), Fehlerberichte (Sentry, Bugsnag), Käufe (RevenueCat, Adapty) und Authentifizierungsanbieter.
Schritt 3 – wenn der Anbieter nichts veröffentlicht
Das kommt vor, besonders bei kleineren Bibliotheken. Dann:
- Lesen Sie den Netzwerkverkehr. Leiten Sie die App über einen Proxy und sehen Sie sich an, was das SDK sendet. Das ist die einzige Methode, gegen die sich nichts einwenden lässt, und sie klärt die Frage an einem Nachmittag.
- Lesen Sie den Quellcode, wenn er offen ist.
- Fragen Sie den Anbieter schriftlich und bewahren Sie die Antwort auf.
- Erwägen Sie, es zu entfernen. Eine Abhängigkeit, zu deren Datenverhalten niemand etwas sagen will, ist ein Risiko, das Sie zur Bequemlichkeit eines anderen tragen.
Schritt 4 – die Liste in die drei Dokumente überführen
Eine Liste, drei Darstellungen, in dieser Reihenfolge:
- Die Datenschutzerklärung – Kategorien, Zwecke, benannte Drittanbieter, Aufbewahrung, Kontakt.
- Das Data-safety-Formular in der Play Console – dieselben Fakten als Kästchen zum Ankreuzen.
- App Privacy in App Store Connect – noch einmal dieselben Fakten, in Apples Kategorien.
Füllen Sie sie aus der Liste aus, nie voneinander ab. Wo zwei voneinander abweichen, glaubt der Store dem SDK: Google Play sagt, „when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action“ (wenn Google eine Abweichung zwischen dem Verhalten Ihrer App und Ihrer Erklärung bemerkt, können wir geeignete Maßnahmen ergreifen, einschließlich Durchsetzungsmaßnahmen).
Damit es stimmt
Das Ereignis, das alle drei ungültig macht, ist immer dasselbe: Eine Abhängigkeit hat sich geändert. Setzen Sie eine Zeile auf Ihre Release-Checkliste – Hat sich in diesem Release eine Abhängigkeit geändert? Wenn ja, Datenschutzerklärung und beide Formulare erneut prüfen –, denn beide Stores verlangen, dass diese Angaben korrekt bleiben, nicht nur, dass sie beim Launch korrekt waren.
Was AppFoyer hier tut
Diese Methode automatisiert unser Agent. Richten Sie einen Coding-Agent auf das Repository, und er liest diese Abhängigkeitsdateien, gleicht das Gefundene mit einer Übersicht bekannter SDKs ab und entwirft die Datenschutzerklärung, die die gefundenen Drittanbieter nennt – mit Angabe der Datei und Zeile, aus der jeder Fakt stammt, sodass Sie ihn prüfen können, statt ihm vertrauen zu müssen. Ohne Agent stellt ein kurzes Formular dieselben Fragen.
Was dabei herauskommt, ist ein Entwurf, den Sie prüfen. Eine Bibliothek, die er nicht kennt, kann er nicht sehen, und er veröffentlicht nie etwas ohne Ihren Klick.
Die maßgeblichen Quellen
- Privacy and security in Firebase und App Store data collection – Google. Die Tabelle oben stammt von diesen Seiten; sie sind maßgeblich, nicht diese hier.
- Provide information for Google Play’s Data safety section – Google Play Console-Hilfe
- App privacy details on the App Store – Apple