LaunchLint Academy
Die kurze Antwort
- Wenn eine App Konten erstellen lässt, erwarten Apple und Google einen auffindbaren Weg zur Löschung. Es genügt nicht, nur die App zu deinstallieren, den Nutzer auszuloggen oder eine unklare Supportanfrage ohne nachvollziehbaren Abschluss anzubieten.
- Der Leitfaden verbindet Store-Anforderungen mit einer sicheren Produkt- und Backend-Umsetzung. Er behandelt Einstieg, Identitätsprüfung, Dateninventar, Aufbewahrung, Web-Ressource für Google Play, Review-Belege und Tests für Expo- und React-Native-Apps.
- Behandle die Löschung als zustandsbehafteten Auftrag und nicht als einzelne SQL-Anweisung. Ein belastbarer Ablauf besitzt die Phasen angefordert, Identität bestätigt, Zugriff gesperrt, abhängige Systeme verarbeitet, Restdaten klassifiziert und abgeschlossen. Nutzer sehen einen verständlichen Status, während das Team fehlgeschlagene Schritte gezielt wiederholen kann. Lege außerdem fest, was während einer gesetzlichen Aufbewahrungsfrist noch möglich ist: Das Profil darf nicht wieder aktiv werden, Restdaten dürfen nicht für Marketing oder neue Produktanalysen genutzt werden und nur autorisierte Rollen erhalten Zugriff. Prüfe die gesamte Kette nach Änderungen an Auth, Storage, Analytics oder Billing erneut.
- Ein regelmäßiger Stichprobentest stellt sicher, dass neue Tabellen, Buckets oder Anbieter nicht außerhalb des Löschplans wachsen. Jede Architekturänderung, die personenbezogene Daten speichert, muss deshalb gleichzeitig das Dateninventar und den Löschjob aktualisieren.
Anforderung und Kontomodell klären
Prüfe zuerst, ob dein Produkt tatsächlich ein Nutzerkonto erstellt. Apple verlangt bei Apps mit Kontoerstellung grundsätzlich eine Möglichkeit, die Löschung innerhalb der App einzuleiten. Google verlangt für betroffene Apps einen Weg in der App und zusätzlich eine Webressource, über die Nutzer die Löschung anfordern können.
Beschreibe das Kontomodell technisch: primärer Benutzer-Datensatz, Auth-Provider, Mandanten, verbundene Profile und Gastdaten. Ohne diese Grenze bleibt unklar, was der Begriff Konto in Oberfläche, Datenschutztext und Backend jeweils bedeutet.
Scope-Entscheidung
- Kontoerstellung eindeutig identifiziert
- Gast- und registrierte Daten getrennt
- Auth-Provider und interne ID zugeordnet
- Apple- und Google-Pfad dokumentiert
- Owner für Datenschutzentscheidung benannt
Löschweg in der App auffindbar machen
Platziere den Einstieg dort, wo Nutzer Kontoeinstellungen erwarten, etwa unter Konto, Datenschutz oder Sicherheit. Die Option darf nicht hinter einem Chat, einer allgemeinen FAQ oder einer kaum erkennbaren Folge von Menüs versteckt sein.
Vor der endgültigen Aktion darfst du Folgen erklären und eine Bestätigung verlangen. Vermeide jedoch manipulative Reibung: unnötige Telefonate, bewusst lange Warteketten oder eine erneute Anmeldung, die technisch nicht zur Identitätsprüfung beiträgt.
In-App-UX
- Einstieg unter Konto, Datenschutz oder Sicherheit
- Konsequenzen verständlich erklärt
- Bestätigung ohne Dark Pattern
- Status nach Anfrage sichtbar
- Barrierefreiheit und Übersetzung geprüft
Google-Play-Webressource bereitstellen
Google Play fordert zusätzlich eine funktionierende URL in der Play Console. Die verlinkte Seite muss einen klaren Weg zur Löschanfrage bieten, den App- oder Entwicklernamen erkennen lassen und erläutern, welche Daten gelöscht oder aus legitimen Gründen aufbewahrt werden.
Die Seite ist kein Ersatz für den In-App-Weg. Teste sie ohne eingeloggte Marketing-Cookies, auf Mobilgeräten und in allen beworbenen Sprachen. Ein bloßer Link auf die allgemeine Datenschutzerklärung erfüllt den Zweck nicht, wenn dort keine konkrete Aktion möglich ist.
Öffentliche Webressource
- Öffentliche HTTPS-URL funktioniert
- App- oder Entwicklername klar erkennbar
- Konkrete Löschaktion möglich
- Aufbewahrte Daten erklärt
- Mobile Ansicht und Sprachen getestet
Identität sicher bestätigen
Eine Löschung ist sicherheitskritisch: Ein Angreifer darf sie nicht allein mit einer bekannten E-Mail-Adresse auslösen. Nutze eine aktuelle Sitzung, Re-Authentifizierung oder einen zeitlich begrenzten verifizierten Link, abhängig vom Risiko und Authentifizierungsmodell.
Sammle nur die zur Bestätigung nötigen Daten. Supportmitarbeiter sollten keine Ausweiskopien anfordern, wenn eine bestehende Auth-Methode genügt. Protokolliere sicherheitsrelevante Zustände, aber speichere keine Secrets oder vollständigen Tokens im Audit-Log.
Sicherheitskontrollen
- Aktuelle Sitzung oder Re-Authentifizierung
- Zeitlich begrenzte Bestätigungslinks
- Rate Limit gegen Missbrauch
- Keine Secrets in Audit-Logs
- Support-Eskalation für verlorenen Zugang
Daten löschen, anonymisieren oder aufbewahren
Erstelle ein Dateninventar, bevor du die API implementierst. Neben der Users-Tabelle gehören Dateien, Scans, Exporte, Geräte-Token, Analytics-Zuordnungen, Supportdaten, Backups und abgeleitete Profile in den Ablauf.
Manche Daten müssen aus rechtlichen, Betrugs- oder Sicherheitsgründen für eine definierte Zeit erhalten bleiben. Trenne diese Ausnahme vom aktiven Profil, beschränke Zugriff und Zweck und erkläre sie konkret. Unbegrenzte Aufbewahrung aus Bequemlichkeit ist keine belastbare Regel.
Dateninventar
- Primäre Daten und Dateien erfasst
- Backups und Löschfristen definiert
- Restdaten zweckgebunden getrennt
- Analytics-Zuordnungen entfernt
- Geräte-Token und Sessions widerrufen
Abonnements und externe Systeme behandeln
Kontolöschung und Kündigung eines Store-Abonnements sind verschiedene Vorgänge. Informiere Nutzer, wenn sie ein aktives Abo separat in den Store-Einstellungen verwalten müssen, und verhindere zugleich, dass gelöschte Konten weiterhin unnötig mit Kaufdaten verknüpft bleiben.
Plane Drittanbieter explizit ein: Auth-Provider, E-Mail, Analytics, Payments, Object Storage und Supportsysteme benötigen eigene Lösch- oder Anonymisierungsschritte. Verwende idempotente Jobs, damit Wiederholungen nach einem Teilausfall keine widersprüchlichen Zustände erzeugen.
Systemintegration
- Abo-Hinweis vom Löschvorgang getrennt
- Drittanbieter-Schritte inventarisiert
- Idempotente Hintergrundjobs
- Wiederholung nach Teilausfall
- Abschluss erst nach bestätigten Schritten
Prüfer und Nutzer klar informieren
Zeige vor der Bestätigung, welche Folgen eintreten, ob eine Frist gilt und welche Daten eventuell verbleiben. Nach der Anfrage braucht der Nutzer eine klare Statusmeldung und, wenn die Verarbeitung asynchron ist, eine Abschlussbestätigung über einen verifizierten Kanal.
Für die Hinweise für das Prüfteam beschreibst du den exakten Navigationspfad, ein funktionierendes Testkonto und besondere Voraussetzungen. Prüfer sollten die Funktion ohne Kontakt mit dem Support finden und auslösen können.
Kommunikation
- Folgen und Frist vorab erklärt
- Eingangsbestätigung bereitgestellt
- Abschlussmeldung versendet
- Review-Pfad dokumentiert
- Testkonto aktuell gehalten
End-to-End testen und nachweisen
Teste den gesamten Lebenszyklus mit einem eigens angelegten Konto: Daten erzeugen, Abo- und Datei-Zustände simulieren, Löschung starten, Jobausfälle wiederholen und danach Anmeldung, API-Zugriffe, Downloads und Benachrichtigungen überprüfen.
Prüfe auch die Webressource, Lokalisierung, Barrierefreiheit und Deep Links. Halte Testdatum, Build, Backendversion und erwartete Restdaten fest. So wird aus einer UI-Schaltfläche eine belegbare Datenschutzfunktion.
Abnahmetest
- Anmeldung nach Löschung blockiert
- API und Downloads nicht mehr verfügbar
- Keine weiteren Push- oder Marketingnachrichten
- Web- und App-Pfad erfolgreich
- Erwartete Restdaten kontrolliert
Häufige Fragen
Reicht es, wenn Nutzer den Support anschreiben können?
In der Regel nicht als alleiniger Weg. Apple erwartet die Einleitung in der App; Google verlangt einen In-App-Weg und eine verlinkte Webressource für betroffene Apps.
Muss sofort jede Datenbankzeile verschwinden?
Nicht zwingend. Rechtlich erforderliche oder sicherheitsrelevante Restdaten können befristet bleiben, müssen aber begrenzt, geschützt und transparent erklärt werden.
Kündigt Kontolöschung automatisch ein Store-Abo?
Darauf solltest du dich nicht verlassen. Erkläre die separate Aboverwaltung und behandle Kaufzuordnungen im Backend sauber.
Darf ich vor der Löschung erneut authentifizieren?
Ja. Eine verhältnismäßige Re-Authentifizierung schützt vor unbefugter Löschung; sie darf nicht als künstliche Hürde dienen.
Was muss in die Hinweise für das Prüfteam?
Der genaue Navigationspfad, Zugangsdaten für ein Testkonto und alle Voraussetzungen, die Prüfer für den Löschtest benötigen.