Für selbst gebaute Apps gelten dieselben Datenschutzregeln wie für gekaufte Software, sobald sie personenbezogene Daten verarbeiten. Verantwortlich bleibt das Unternehmen, auch wenn jemand aus dem Team die App mit Claude oder Codex gebaut hat. Klärt vor dem Start die sieben Punkte unten.
Dieser Text ist keine Rechtsberatung. Bezieht eure Datenschutzbeauftragten früh ein. Die genannten Artikel stehen im Text der DSGVO.
Welche Daten verarbeitet die App?
Personenbezogene Daten sind alle Angaben, die sich einer Person zuordnen lassen, zum Beispiel Namen, E-Mail-Adressen, Kundennummern und Arbeitszeiten, aber auch Anmeldedaten und Protokolle der App.
- Schreibt auf, welche Datenfelder die App speichert und von wem sie stammen: Beschäftigte, Kunden, Lieferanten oder Bewerber.
- Prüft, ob jedes Feld wirklich nötig ist. Art. 5 DSGVO verlangt, Daten auf das notwendige Maß zu beschränken.
- Prüft auch die Test-Version. Beispieldaten sind dort die bessere Wahl als Kopien echter Daten.
- Sprecht mit eurem Datenschutz, bevor ihr besonders geschützte Daten wie Gesundheitsangaben verarbeitet (Art. 9 DSGVO).
Auf welcher Rechtsgrundlage verarbeitet ihr die Daten?
Jede Verarbeitung braucht eine Grundlage aus Art. 6 Abs. 1 DSGVO. Typisch sind die Erfüllung eines Vertrags, eine rechtliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung. Zwei Fragen helfen bei der Vorbereitung:
- Welchen Zweck hat die App, in einem Satz beschrieben?
- Wurden die Daten ursprünglich für einen anderen Zweck erhoben, etwa als ERP-Daten, die jetzt in einer neuen Auswertung landen?
Wer verarbeitet die Daten in eurem Auftrag?
Mit Dienstleistern, die Daten in eurem Auftrag verarbeiten, braucht ihr nach Art. 28 DSGVO einen Vertrag, den Auftragsverarbeitungsvertrag (AVV). Die Abgrenzung erklären die Leitlinien 07/2020 des Europäischen Datenschutzausschusses.
Bei selbst gebauten Apps sind oft mehr Dienstleister beteiligt, als die Person weiß, die gebaut hat. Prüft jeweils, ob es einen AVV gibt und in welchem Land die Daten verarbeitet werden:
- Anbieter von Server oder Plattform
- Datenbank- und Backup-Dienste
- Dienste für den Versand von E-Mails
- Dienste für Fehlerberichte und Statistiken
- KI-Anbieter, falls die App ein KI-Modell aufruft
Der Vertrag muss zwischen dem Unternehmen und dem Anbieter bestehen, ein privates Konto eignet sich dafür nicht. Gehen Daten in Länder außerhalb des EWR, kommen die Regeln aus Kapitel V der DSGVO hinzu.
Gehört die App ins Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine Übersicht darüber, welche Daten ihr wofür verarbeitet. Aufsichtsbehörden können es anfordern.
Art. 30 Abs. 5 sieht eine Ausnahme für kleinere Unternehmen vor. Eine täglich genutzte App fällt in aller Regel nicht darunter, weil die Verarbeitung dann nicht nur gelegentlich erfolgt. Tragt jede App mit personenbezogenen Daten als eigenen Eintrag ein. Wenn ihr ohnehin eine Inventarliste eurer Apps führt, liegen die meisten Angaben bereits vor.
Wann müssen die Daten gelöscht werden?
Art. 5 DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist. In Prototypen fehlt das Löschen häufig ganz. Klärt deshalb:
- Wie lange braucht ihr die Daten, und gibt es gesetzliche Aufbewahrungsfristen?
- Wer löscht, und geschieht das automatisch oder von Hand?
- Könnt ihr die Daten einer einzelnen Person finden, herausgeben und löschen, wenn sie das verlangt?
- Wann verschwinden gelöschte Daten auch aus den Backups?
- Was geschieht mit den Daten, wenn die App abgeschaltet wird?
Wer darf welche Daten sehen?
Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist. Für eine selbst gebaute App heißt das vor allem: Die Anmeldung läuft über persönliche Konten, und jede Person sieht nur, was sie für ihre Aufgabe braucht. Eine Filialleiterin sieht zum Beispiel die Zahlen ihrer Filiale und nicht die aller anderen. Testet das mit einem zweiten Konto, denn KI-Tools bauen solche Grenzen nicht zuverlässig von selbst ein. Denkt auch an Personen mit Administratorrechten und an Dienstleister.
Was passiert mit Prompts, die an den KI-Anbieter gehen?
Hier gibt es zwei Situationen:
- Beim Bauen: Wer dem KI-Tool eine echte Kundenliste oder einen Screenshot mit Namen gibt, schickt diese Daten an den Anbieter. Zum Bauen reichen Beispieldaten.
- Im Betrieb: Ruft die App ein KI-Modell auf, etwa für einen Chatbot, gehen die Eingaben der Nutzer an den Anbieter. Er gehört dann in die Liste oben.
Die deutschen Datenschutzbehörden haben dazu eine Orientierungshilfe vom 6. Mai 2024 veröffentlicht. Daraus ergeben sich diese Fragen an den Anbieter:
- Werden Ein- und Ausgaben für das Training verwendet, und lässt sich das ausschließen?
- Werden Eingaben gespeichert, wie lange, und kann das abgestellt werden?
- Gibt es für euer Firmenkonto einen AVV?
- In welchem Land werden die Daten verarbeitet?
Das bloße Entfernen von Namen reicht laut Orientierungshilfe regelmäßig nicht aus, weil sich der Personenbezug oft aus dem Zusammenhang ergibt. Legt die Einstellungen für Firmenkonten deshalb zentral fest, sodass Eingaben nicht für das Training verwendet werden.
Was gehört sonst noch auf die Liste?
- Information: Betroffene Personen müssen erfahren, was mit ihren Daten geschieht. Bei Apps für Kunden gehört das in die Datenschutzhinweise.
- Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko verlangt Art. 35 DSGVO eine solche Abschätzung vor dem Start.
- Betriebsrat: Kann eine App Verhalten oder Leistung von Beschäftigten überwachen, zum Beispiel eine Zeiterfassung, kann § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht auslösen.
Was Auftrieb dabei übernimmt
Auftrieb nimmt euch diese Fragen nicht ab, aber einige Antworten sind vorgegeben. Server und Backups stehen in Rechenzentren in Deutschland, bei der Hetzner Online GmbH. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gibt es auf Anfrage. Die KI-Nutzung läuft über euer eigenes Konto beim KI-Anbieter, deshalb klärt ihr Vertrag und Einstellungen dort selbst. Mehr dazu steht auf der Seite Sicherheit.
Stand: November 2026