Was ist die DSGVO? Ein verständlicher Leitfaden für App-Builder
Die DSGVO (Datenschutz-Grundverordnung) ist das wichtigste Datenschutzgesetz der Europäischen Union. Sie legt fest, wie Organisationen personenbezogene Daten erheben, nutzen, speichern und weitergeben – also alle Informationen über eine identifizierbare lebende Person – und gibt Menschen Rechte über ihre eigenen Daten, etwa das Recht, sie einzusehen oder löschen zu lassen. Sie gilt seit dem 25. Mai 2018 und kann auch für Unternehmen außerhalb der EU gelten, wenn sie Menschen in der EU bedienen.
Keine Rechtsberatung. Dieser Leitfaden ist eine allgemeine Erklärung, die Ihnen hilft, die Grundlagen zu verstehen und bessere Fragen zu stellen. Er ersetzt keine Beratung zu Ihrer Situation. Verbindliche Details finden Sie auf den Datenschutz-Seiten der Europäischen Kommission und im Leitfaden des Europäischen Datenschutzausschusses für kleine Unternehmen.
Warum die DSGVO wichtig ist, wenn Sie mit KI bauen
KI-Builder machen es leicht, Daten zu erheben. Eine einzige Anweisung liefert Ihnen ein Anmeldeformular, ein Kontaktformular, Analysen, Datei-Uploads und ein Admin-Dashboard, das jeden Nutzer auflistet. Jedes davon erhebt personenbezogene Daten, und die DSGVO betrifft all diese Daten.
Die gute Nachricht: Das meiste, was die DSGVO verlangt, ist auch gute Produktpraxis:
- Nur erheben, was Sie wirklich brauchen.
- Den Menschen sagen, was Sie damit tun.
- Die Daten sicher halten.
- Sie löschen, wenn Sie sie nicht mehr brauchen.
- Menschen erlauben, ihre Daten einzusehen, zu korrigieren oder zu entfernen.
Das lässt sich viel leichter von Anfang an einbauen, als es nach dem Start nachzurüsten. Wenn Sie Ihren KI-Builder früh die richtigen Fragen stellen, sparen Sie sich einen schmerzhaften Neubau.
Ein Alltagsvergleich
Stellen Sie sich personenbezogene Daten als Habseligkeiten vor, die Menschen bei Ihnen abgeben – wie eine Garderobe, nur für Informationen. Die DSGVO sind die Hausregeln für diese Garderobe:
- Nehmen Sie nur an, was die Person aus einem nachvollziehbaren Grund abgeben wollte.
- Wühlen Sie nicht in den Taschen herum, um sie für andere Zwecke zu nutzen.
- Halten Sie den Raum verschlossen.
- Geben Sie die Sachen zurück oder werfen Sie sie weg, wenn Sie danach gefragt werden oder sie nicht mehr brauchen.
- Wenn etwas gestohlen wird, informieren Sie die richtigen Stellen umgehend.
Sie sind für die Mäntel verantwortlich, solange sie in Ihrer Obhut sind – auch wenn Sie jemand anderen mit dem Betrieb des Raumes beauftragt haben.
Die Kernideen
Was als personenbezogene Daten gilt
Die Europäische Kommission definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Das ist weit gefasst. Dazu gehören Namen, E-Mail-Adressen, Wohnadressen, IP-Adressen, Cookie-IDs und Fotos. Daten, die „pseudonymisiert“ wurden – etwa Namen durch Codes ersetzt –, können trotzdem personenbezogen sein, wenn sie sich wieder einer Person zuordnen lassen.
Bestimmte Kategorien genießen besonderen Schutz, darunter Gesundheitsdaten, biometrische Daten, rassische oder ethnische Herkunft und politische Meinungen.
Für wen sie gilt
Laut der Kommission gilt die DSGVO für Organisationen mit Niederlassung in der EU sowie für Organisationen außerhalb der EU, die Waren oder Dienstleistungen für Personen in der EU anbieten (gegen Entgelt oder kostenlos) oder deren Verhalten beobachten. Ein US- oder VAE-Startup mit europäischen Kunden kann durchaus erfasst sein. Das Vereinigte Königreich hat eine eigene Version, die UK GDPR, die eng an sie angelehnt ist.
Die Grundsätze
Die DSGVO baut auf einer kurzen Liste von Grundsätzen auf. Einfach gesagt:
| Grundsatz | Was er für Ihre App bedeutet |
|---|---|
| Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz | Einen gültigen Grund für die Verarbeitung haben und klar sagen, was Sie tun. |
| Zweckbindung | Daten nur für die Gründe nutzen, für die Sie sie erhoben haben, nicht für überraschende neue Zwecke. |
| Datenminimierung | Keine Felder erheben, die Sie nicht brauchen. |
| Richtigkeit | Daten korrekt halten und Menschen erlauben, sie zu korrigieren. |
| Speicherbegrenzung | Daten nicht für immer behalten; löschen, sobald sie nicht mehr gebraucht werden. |
| Integrität und Vertraulichkeit | Vor Lecks und unbefugtem Zugriff schützen. |
| Rechenschaftspflicht | Nachweisen können, dass Sie sich an die Regeln halten. |
Rechtsgrundlagen
Für jede Art, wie Sie personenbezogene Daten nutzen, brauchen Sie einen rechtlichen Grund – eine „Rechtsgrundlage“. Die DSGVO nennt sechs: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Die Einwilligung ist nur eine davon. Eine Bestellung zu verarbeiten, um sie auszuliefern, betrifft zum Beispiel meist den Vertrag, nicht die Einwilligung. Welche Grundlage passt, ist eine Abwägung, die Sie anhand der amtlichen Leitlinien prüfen sollten.
Die Rechte der Menschen
Die Kommission nennt diese Rechte für Einzelpersonen:
- Informiert zu werden, wie ihre Daten genutzt werden
- Auf ihre Daten zuzugreifen
- Dass sie berichtigt werden
- Dass sie gelöscht werden
- Die Verarbeitung einzuschränken
- Datenübertragbarkeit (die Daten in einem nutzbaren Format zu erhalten)
- Widerspruch einzulegen
- Rechte bei automatisierten Entscheidungen und Profiling
Datenpannen
Wenn personenbezogene Daten abfließen und die Panne wahrscheinlich die Rechte und Freiheiten von Menschen gefährdet, muss die Organisation in der Regel ihre Datenschutzbehörde unverzüglich und, wo möglich, innerhalb von 72 Stunden nach Kenntnis informieren. In manchen Fällen müssen auch die betroffenen Personen benachrichtigt werden.
Ein praktisches Beispiel: eine Buchungs-App für ein Yoga-Studio
Angenommen, Sie bauen eine Buchungs-App für ein Yoga-Studio mit Kunden in Deutschland. So prägt die DSGVO die App.
Weniger erheben. Das Anmeldeformular fragt nach Name, E-Mail und einer optionalen Telefonnummer. Der erste Entwurf fragte auch nach Geburtsdatum und Wohnadresse – nichts in der App nutzt sie, also werden sie entfernt.
Gesundheitsdaten brauchen Sorgfalt. Das Studio möchte nach Verletzungen fragen. Das sind Gesundheitsdaten, eine besondere Kategorie mit strengeren Regeln. Das Studio entscheidet, dies persönlich vor Ort zu klären, sodass die App es nicht erhebt.
Transparent sein. Eine Datenschutzerklärung beschreibt, was erhoben wird, warum, wie lange es aufbewahrt wird, wer sonst noch damit arbeitet (der Hoster, der E-Mail-Dienst, der Zahlungsanbieter) und wie man das Studio kontaktiert.
Werbung ist getrennt. Das Buchen eines Kurses meldet niemanden für den Newsletter an. Dafür gibt es ein separates, nicht vorausgewähltes Kästchen.
Rechte in der Anwendung. Kunden können ihr Profil einsehen und bearbeiten, ihre Buchungshistorie herunterladen und auf ihrer Kontoseite die Löschung beantragen.
Aufbewahrung. Inaktive Konten werden nach einer festgelegten Zeit markiert und entfernt, wenn der Kunde nicht reagiert. Den Zeitraum legt das Studio fest.
Cookies. Das Login-Cookie ist notwendig. Analysen werden erst geladen, nachdem der Besucher zugestimmt hat. Siehe was Cookies sind.
Sicherheit. Passwörter werden gehasht, der Admin-Bereich verlangt Zwei-Faktor-Authentifizierung, und nur der Eigentümer kann Kundenlisten exportieren.
Häufige Begriffe erklärt
| Begriff | Bedeutung |
|---|---|
| Personenbezogene Daten | Alle Informationen über eine identifizierte oder identifizierbare lebende Person. |
| Verarbeitung | Alles, was mit personenbezogenen Daten geschieht: erheben, speichern, nutzen, weitergeben, löschen. |
| Betroffene Person | Die Person, um die es in den Daten geht. |
| Verantwortlicher | Die Organisation, die entscheidet, warum und wie Daten verarbeitet werden – meist Sie als Eigentümer der App. |
| Auftragsverarbeiter | Ein Unternehmen, das Daten im Auftrag des Verantwortlichen verarbeitet, etwa ein Hoster oder E-Mail-Anbieter. |
| Auftragsverarbeitungsvertrag (AVV) | Ein Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, der regelt, wie Daten behandelt werden. |
| Rechtsgrundlage | Der rechtliche Grund für die Verarbeitung, etwa Einwilligung oder Vertrag. |
| Einwilligung | Ein freiwilliges, bestimmtes, informiertes und eindeutiges „Ja“; vorausgewählte Kästchen zählen nicht. |
| Besondere Kategorien personenbezogener Daten | Sensible Daten wie Gesundheits- oder biometrische Daten, mit strengeren Regeln. |
| Aufsichtsbehörde | Die Datenschutzbehörde eines Landes. |
Häufige Fehler und Missverständnisse
- „Wir sind nicht in der EU, also gilt sie nicht.“ Sie kann anhand des Wohnorts Ihrer Nutzer gelten.
- „DSGVO heißt für alles Einwilligung.“ Die Einwilligung ist eine von sechs Rechtsgrundlagen und oft nicht die richtige.
- „Ein Cookie-Banner macht uns konform.“ Cookies sind nur ein kleiner Teil. Datenerhebung, Sicherheit, Rechte und Aufbewahrung sind wichtiger.
- „Unser Hoster ist DSGVO-konform, also sind wir es auch.“ Hoster helfen, aber Sie entscheiden, was Ihre App erhebt und tut.
- Sicherheitshalber sammeln. Jedes zusätzliche Feld ist mehr, das Sie schützen, erklären und löschen müssen.
- Die Datenschutzerklärung einer anderen Website kopieren. Sie muss beschreiben, was Ihre App tatsächlich tut.
- Löschen unmöglich machen. Wenn niemand einen Nutzer ohne einen Entwickler löschen kann, werden Auskunftsanfragen zu Notfällen.
Was Sie Ihren KI-Builder fragen sollten
- „Liste jede personenbezogene Information auf, die diese App erhebt, wo sie gespeichert wird und warum sie gebraucht wird.“
- „Entferne alle Formularfelder, die wir nicht nutzen.“
- „Füge eine Kontoseite hinzu, auf der Nutzer ihre Daten einsehen, bearbeiten und herunterladen sowie die Löschung beantragen können.“
- „Baue eine Admin-Aktion, die einen Nutzer und seine zugehörigen Datensätze vollständig löscht, oder Datensätze, die wir behalten müssen, anonymisiert.“
- „Halte die Anmeldung für Werbung als separates, nicht vorausgewähltes Kästchen.“
- „Lade Analyse- oder Marketing-Skripte nicht vor der Einwilligung.“
- „Liste jeden Drittdienst auf, der Nutzerdaten erhält, damit ich ihn in der Datenschutzerklärung nennen kann.“
- „Beschränke Admin-Exporte auf die Rolle des Eigentümers und protokolliere, wer was exportiert hat.“
Lesen Sie danach wie Sie Nutzungsbedingungen und eine Datenschutzerklärung schreiben und wie Sie eine Cookie-Einwilligung einbauen.
DSGVO und Mythex
Mythex stellt Bausteine bereit, kein Compliance-Zertifikat. Die Daten Ihrer App liegen in der eigenen Projektdatenbank und im eigenen Dateispeicher, wenn Sie beides aktivieren. Sie besitzen den Code, und im Pro-Tarif können Sie das Projekt exportieren, wenn Sie es woanders hin verlagern müssen. Was Ihre App erhebt, wie lange sie es aufbewahrt und wie Menschen ihre Rechte ausüben, entscheiden Sie – und bitten den Agenten, es zu bauen. Die Dokumentationsseite zur Datenhoheit erklärt, was Mythex hostet, und Sicherheit für Ihre App warnt davor, eine Konformität zu behaupten, die Sie nicht haben. Wenn Sie Einzelheiten brauchen, etwa wo Daten gehostet werden oder einen Auftragsverarbeitungsvertrag, fragen Sie den Mythex-Support, bevor Sie starten.
Fragen
Was ist die DSGVO einfach gesagt?
Die Datenschutz-Grundverordnung (DSGVO) ist das wichtigste Datenschutzgesetz der Europäischen Union. Sie legt fest, wie Organisationen Informationen über Menschen erheben, nutzen, speichern und weitergeben dürfen, und gibt diesen Menschen Rechte über ihre Daten. Sie gilt seit dem 25. Mai 2018.
Gilt die DSGVO auch für Unternehmen außerhalb der EU?
Das kann sein. Laut der Europäischen Kommission gilt sie für Organisationen außerhalb der EU, die Waren oder Dienstleistungen für Personen in der EU anbieten, auch kostenlos, oder die deren Verhalten beobachten. Entscheidend ist nicht allein, wo Sie ansässig sind, sondern auch, wer Ihre Nutzer sind.
Ist eine E-Mail-Adresse ein personenbezogenes Datum?
Ja. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Namen, E-Mail-Adressen, IP-Adressen und Cookie-IDs können alle dazugehören.
Macht ein DSGVO-konformer Hoster meine App konform?
Nein. Ein Hoster kann die Einhaltung unterstützen, aber Sie entscheiden, welche Daten Ihre App erhebt, warum, wie lange sie aufbewahrt werden und wer sie sieht. Diese Entscheidungen müssen Sie richtig treffen.
Ist dieser Leitfaden Rechtsberatung?
Nein. Er ist eine allgemeine Erklärung, die Ihnen hilft, bessere Fragen zu stellen. Prüfen Sie für Ihre konkrete Situation die offiziellen Leitlinien der EU oder Ihrer nationalen Datenschutzbehörde oder sprechen Sie mit einem qualifizierten Berater.