Kontolöschung in der App: Was Apple und Google verlangen

Was Apple verlangt

Die App Review Guidelines sagen es in einem Satz: Wer in einer App ein Konto anlegen lässt, muss in der App auch die Löschung anbieten (Abschnitt 5.1.1 v). Apple hat die Regel am 24. Mai 2022 angekündigt, sie gilt seit dem 30. Juni 2022.

In der Hilfe für Entwickler beschreibt Apple, was das heißt. Gelöscht werden das Konto und alle Daten, die zu ihm gehören, soweit der Entwickler sie nicht gesetzlich aufbewahren muss. Eine bloße Deaktivierung reicht nicht. Die Löschung muss sich in der App starten lassen; braucht es zum Abschluss eine Website, führt ein Link direkt dorthin.

Zwei weitere Punkte stehen in Apples Antworten auf häufige Fragen. Erstens darf eine App außerhalb stark regulierter Branchen nicht verlangen, dass Nutzer anrufen oder eine E-Mail schreiben. Zweitens gilt die Regel auch für Konten, die eine App von sich aus anlegt, etwa Gastkonten. Wer „Mit Apple anmelden“ anbietet, sollte beim Löschen außerdem die Zugangsschlüssel bei Apple widerrufen; dafür braucht es einen Server, der mit Apple spricht.

Was Google Play verlangt

Google verlangt dasselbe und etwas mehr. Apps, in denen Nutzer ein Konto anlegen können, müssen die Löschung des Kontos und der zugehörigen Daten in der App anbieten und zusätzlich über einen Link im Web. Den Link tragen Entwickler in der Play Console im Formular zur Datensicherheit ein.

Bis zum 7. Dezember 2023 mussten die Angaben dazu bei App-Updates vorliegen, mit Verlängerung bis zum 31. Mai 2024. Seitdem kann Google gegen Apps vorgehen, die das nicht erfüllen, bis zur Entfernung aus Google Play.

Daten dürfen nur aus bestimmten Gründen bleiben: Sicherheit, Schutz vor Betrug oder gesetzliche Pflichten. Darüber müssen die Nutzer klar informiert werden, etwa in der Datenschutzerklärung. Daten, die bei einem Dienstleister liegen, gehören ebenfalls gelöscht.

Was beim Löschen verschwinden muss

Ein Konto ist selten nur ein Eintrag. In EmigrateIn hängen an jedem Konto ein Profil mit dem gewählten Bundesland und die persönlichen Checklisten mit ihrem Fortschritt. Wird das Konto gelöscht, löscht die App zuerst die abgehakten Punkte, dann die Checkliste, dann das Profil.

Das macht die App selbst, Schritt für Schritt. Für Firebase gibt es zwar eine Erweiterung, die Daten zu einer Nutzerkennung beim Löschen entfernt. Sie löscht aber nur, was ausdrücklich dafür eingerichtet ist. Wer neue Daten hinzufügt, muss also auch die Löschung anpassen, in der App oder in der Erweiterung.

Warum vor dem Löschen eine erneute Anmeldung steht

Firebase löscht ein Konto nur, wenn sich der Nutzer kürzlich angemeldet hat. Sonst bricht der Vorgang mit einem Fehler ab. Das ist auch gewollt: Wer das Handy kurz aus der Hand legt, soll nicht erleben, dass jemand anderes sein Konto löscht.

EmigrateIn fragt deshalb vor dem Löschen nach, und zwar passend zum Anmeldeweg. Wer sich mit E-Mail-Adresse angemeldet hat, gibt sein Passwort ein. Wer Google nutzt, meldet sich dort noch einmal an. Ein Gastkonto braucht keine Bestätigung, weil es kein Passwort gibt. Für jeden Anmeldeweg, den eine App anbietet, braucht es also auch einen Weg, die Löschung zu bestätigen.

Erst die Daten, dann das Konto

Die Reihenfolge entscheidet, was bei einem Fehler übrig bleibt. EmigrateIn löscht erst die Daten und erst danach das Konto. Scheitert das Löschen der Daten, etwa weil die Verbindung abbricht, bleibt das Konto bestehen. Der Nutzer sieht eine Fehlermeldung und kann es noch einmal versuchen.

Andersherum blieben im schlechtesten Fall Daten ohne Konto zurück, und niemand könnte sie über die App mehr löschen. Diesen Fall prüft ein eigener Test im Quellcode: Schlägt das Löschen der Daten fehl, muss das Konto erhalten bleiben.

Gastkonten zählen mit

EmigrateIn lässt sich ohne Anmeldung als Gast nutzen. Auch dahinter steht ein Konto, nur ohne Namen und Passwort. Löscht ein Gast sein Konto, verschwinden seine Daten und das Gastkonto selbst.

Entscheidet sich ein Gast später für ein richtiges Konto, verknüpft die App das Gastkonto mit E-Mail-Adresse oder Google, statt ein neues anzulegen. Die Nutzerkennung bleibt dieselbe, der Fortschritt in den Checklisten bleibt erhalten. Auch das prüft ein Test.

Was das für Ihre App heißt

Planen Sie die Löschung zusammen mit der Anmeldung, nicht kurz vor der Einreichung. Diese Fragen sollten vor dem Auftrag beantwortet sein:

1. 01 · AnmeldewegeÜber welche Wege melden sich Nutzer an, und wie bestätigen sie auf jedem Weg die Löschung?
2. 02 · DatenWelche Daten hängen an einem Konto, auch bei Dienstleistern?
3. 03 · AufbewahrungWelche Daten müssen Sie aus gesetzlichen Gründen aufbewahren, und wo steht das?
4. 04 · WebWo liegt der Link, über den Nutzer ihr Konto auch ohne App löschen können?
5. 05 · DauerWie lange dauert die Löschung, und wie erfahren Nutzer, dass sie abgeschlossen ist?

Bietet Ihre App „Mit Apple anmelden“ an, kommt der Widerruf der Zugangsschlüssel bei Apple dazu. Dafür braucht es einen Server; auch das gehört von Anfang an in die Planung.

Fazit: Löschen gehört zur Anmeldung

Apple und Google verlangen, dass sich ein Konto dort löschen lässt, wo es entstanden ist: in der App, samt den Daten, ohne Anruf und ohne E-Mail. Google will zusätzlich einen Link im Web. In EmigrateIn steht vor dem Löschen eine erneute Anmeldung, gelöscht werden erst die Daten und dann das Konto, und Gastkonten zählen mit. Wer das von Anfang an mit der Anmeldung plant, hat bei der Einreichung eine Frage weniger.