Anforderungen zur App-Kontolöschung: Was Apple und Google Tatsächlich Prüfen

Die Anforderungen zur App-Kontolöschung besagen, dass jede App, die Kontoerstellung anbietet, den Nutzern auch erlauben muss, dieses Konto und die dahinterstehenden Daten zu löschen. Apple will den Weg innerhalb der App. Google will ihn innerhalb der App und zusätzlich im Web. Verpassen Sie eines von beiden, und Ihr Release stoppt.

Sie haben mit ziemlicher Sicherheit bereits einen Konto-löschen-Screen ausgeliefert. Die schwierigere Frage ist, ob er beide Stores zufriedenstellt, denn die beiden Regeln sind nicht identisch. Teams, die das einmal für iOS gelöst haben, sind auf Android routinemäßig nicht konform, ohne es je gesagt zu bekommen.

Es falsch zu machen, lässt sich selten an einem Tag beheben. Eine Ablehnung verbrennt einen Review-Zyklus, den Sie für den Launch eingeplant hatten. Schlimmer noch, eine Live-App, die während eines Richtlinien-Rescans entfernt wird, kostet Umsatz, während Sie neu bauen und erneut einreichen. Keines der beiden Ergebnisse zeigt sich in einem Code-Review, weil technisch nichts kaputt ist.

Dieser Leitfaden behandelt, was jeder Store prüft und warum ein Deaktivierungsschalter nicht zählt. Er zeigt auch, wie Sie bestätigen, dass Ihr Ablauf funktioniert, bevor es ein Prüfer für Sie tut. Wenn Sie diese Verifizierung lieber einem Team überlassen, das sie jede Woche durchführt, dafür gibt es unsere Compliance-Testing-Dienste.

Was die Anforderungen zur App-Kontolöschung Bedeuten, und Wer Sie Erfüllen Muss

Entfernen Sie die Richtliniensprache, und die Regel wird kurz. Wenn Nutzer in Ihrem Produkt ein Konto erstellen können, müssen sie es entfernen können, ohne die App zu verlassen. Der Datensatz verschwindet, und ebenso die daran hängenden persönlichen Informationen.

Sie sind betroffen, wenn eines davon auf Ihre App zutrifft:

• Jeder App-Store- oder Google-Play-Eintrag, der Kontoerstellung anbietet
• Registrierung über einen Social-Login statt eines nativen Formulars
• Registrierung, die auf Ihrer Website statt in der App stattfindet
• Onboarding, das im Stillen ein Konto für den Nutzer anlegt

Apple schließt die offensichtliche Lücke direkt. Wenn eine App Nutzer zur Registrierung in einen Browser schickt, schuldet sie ihnen trotzdem die In-App-Löschung, und das Auslagern des Schritts ändert daran nichts. Die App Store Review Guidelines legen die Pflicht daher bei der App fest, die das Konto angeboten hat.

Auf Googles Seite gibt es zwei enge Ausnahmen, bei denen dauerhaft private Apps und Enterprise-Geräteverwaltungstools außerhalb der Richtlinie liegen. Alle anderen sind erfasst, sodass die App-Store-Kontolöschungs-Anforderung gilt, egal ob Ihre Nutzer zahlen oder nicht.

Apple vs. Google: Wo Jede Kontolöschungs-Anforderung Gilt

Die meisten Teams gehen davon aus, dass eine Implementierung beide Marktplätze zufriedenstellt. Das stimmt nicht, und die Anforderungen zur App-Kontolöschung weichen in genau einer Zeile dieser Tabelle voneinander ab.

Die Apple-Kontolöschungs-Anforderung ist die einfachere der beiden. Sie braucht einen erreichbaren Weg, in der App gestartet, der den Datensatz entfernt statt ihn zu parken. Unsere App-Store-Konformitätstests behandeln das als Verhaltensprüfung statt als Screenshot.

Google fügt jedoch eine zweite Pflicht obendrauf, und genau dort stolpern die meisten plattformübergreifenden Teams. Wir haben beide Regelwerke vollständig verglichen in Apple-App-Richtlinien versus Google-Play-Richtlinien.

Warum die Google-Play-Kontolöschungs-Anforderung iOS-First-Teams Überrascht

Hier ist die Tatsache, die einen bestehenden iOS-Build in eine Android-Ablehnung verwandelt. Google verlangt, dass Sie „Nutzern einen In-App-Weg zum Löschen ihrer App-Konten und zugehörigen Daten bereitstellen”. Dann fügt es eine zweite Pflicht hinzu: „eine Web-Link-Ressource bereitstellen, über die Nutzer die App-Kontolöschung anfordern können”. Sie brauchen beide Wege, es ist also keine Entweder-oder-Situation.

Die Logik ist praktisch, denn jemand, der Ihre App bereits deinstalliert hat, kann keinen Button darin antippen. Diese Person hat immer noch ein Konto auf Ihren Servern, also will Google einen Weg, der die Deinstallation übersteht, was kein In-App-Screen bieten kann.

Hier führt ein Großteil der öffentlichen Ratschläge aktiv in die Irre. Mehrere viel gelesene Seiten behaupten, Google verlange Löschung innerhalb der App statt über eine externe Website, was die Richtlinie umkehrt. Tatsächlich verlangen Googles eigene Kontolöschungs-Anforderungen beides. Sie deklarieren den Web-Weg im Google-Play-Datensicherheitsformular, das auf Ihrem Eintrag erscheint.

Dieser Web-Link trägt eigene Bedingungen, und die sind testbar. Google erwartet, dass die Seite „funktional ist (zum Beispiel fehlerfrei lädt)” und „prominent platziert und leicht auffindbar” ist. Ein Formular hinter einem Login, den Ihre deinstallierten Nutzer nicht passieren können, scheitert in beiden Punkten. Ebenso eine Support-Adresse, die irgendwann ein Mensch beantwortet.

Ein fehlender Endpunkt ist inzwischen ein anerkannter Ablehnungsauslöser statt eines Randfalls. Wir haben das unter den aktuellen Google-Play-Ablehnungsgründen behandelt. Infolgedessen ist die Prüfung des Links Routine in unseren Google-Play-Konformitätstests.

Ein Konto zu Deaktivieren Ist Nicht, Es zu Löschen

Viele ausgelieferte Abläufe löschen nichts. Sie kippen eine Statusspalte, verbergen das Profil, und behalten jeden Datensatz genau dort, wo er war. Das liest sich für den Nutzer wie Löschung, aber für einen Prüfer wie Aufbewahrung. Wenig überraschend haben beide Stores diese Tür schriftlich geschlossen.

Googles Nutzerdaten-Richtlinie ist unmissverständlich: „Vorübergehende Kontodeaktivierung, Deaktivierung oder ‚Einfrieren’ des App-Kontos gilt nicht als Kontolöschung.” Sie fügt hinzu, dass das Entfernen des Kontos Sie auch verpflichtet, die zugehörigen Nutzerdaten zu entfernen.

Apple landet von der anderen Seite am selben Punkt. Ihr Leitfaden zur Kontolöschung sagt, dass „nur die vorübergehende Deaktivierung eines Kontos anzubieten unzureichend ist”. Apple zählt auch nutzergenerierte Inhalte, die mit anderen Personen geteilt wurden, als Kontodaten. Fotos, Beiträge und Bewertungen fallen daher alle in den Geltungsbereich.

Es lohnt sich, ehrlich zu sein, warum dieses Muster so verbreitet ist. Soft-Deletion ist wirklich gute Ingenieurskunst für Wiederherstellung, Abrechnungsstreitigkeiten und Missbrauchsermittlungen. Sie wird jedoch nur zu einem Compliance-Problem, wenn niemand die Aufgabe je zu Ende bringt. Diese Lücke ist meist ein fehlender Hintergrundprozess statt einer schlechten Entscheidung.

Ein Bildschirm, Fünf Systeme: Was Hinter dem Löschen-Button Steckt

Für eine Führungskraft, die entscheidet, wohin das QA-Budget fließt, ist dies die klarste Illustration versteckter Komplexität im gesamten Einreichungsprozess. Löschung nimmt einen einzigen Screen in Ihrer Oberfläche ein. Darunter reicht sie jedoch in fünf Systeme hinein, die nie darauf ausgelegt waren, sich gegenseitig zu einigen.

• Ihr Identitätsanbieter, der möglicherweise ein Token hält, das den lokalen Datensatz überdauert
• Aktive Abonnements, bei denen ein gekündigtes Konto eine lebende Abrechnungsbeziehung hinterlassen kann
• Analytics- und Absturz-SDKs von Drittanbietern, die Kopien halten, die Sie selbst nie geschrieben haben
• Datensätze, die Sie absichtlich aus Betrugs-, Steuer- oder Audit-Gründen aufbewahren
• Der Web-Endpunkt, der meist auf anderem Code läuft als der App-Weg

Jedes kann für sich erfolgreich sein und das Konto trotzdem teilweise intakt lassen. Ein Nutzer löscht sein Profil, dann kommt zwei Tage später eine Push-Benachrichtigung, weil ein Dienst die Nachricht nie erhielt. Nichts warf einen Fehler, und der Ablauf meldete Erfolg.

Der Fehler, der am meisten kostet, ist der stille. Daten, von denen Sie glaubten, sie seien verschwunden, bleiben über eine API erreichbar, die niemand nach dem Launch der Löschfunktion erneut geprüft hat. Diese Lücke zu finden, liegt näher an Penetrationstests als an funktionalem QA, weil es bedeutet, nach etwas zu suchen, das nicht mehr antworten sollte.

Was Sich Ändert, Wenn Sie in einer Regulierten Branche Tätig Sind

Wenn Sie ein Fintech-, Healthtech- oder Medtech-Produkt betreiben, haben Sie die Spannung wahrscheinlich schon bemerkt. Manche Datensätze müssen eine Löschanfrage rechtlich überstehen, und beide Stores berücksichtigen das, wenn auch weniger großzügig, als Teams erwarten.

Apple erlaubt Apps in stark regulierten Branchen, „zusätzliche Kundendienst-Abläufe zu nutzen, um den Kontolöschungsprozess zu bestätigen und zu erleichtern”. Lesen Sie das genau, denn es erlaubt einen zusätzlichen Bestätigungsschritt und keinen Ersatz. Apps außerhalb dieser Branchen erhalten diesen Spielraum nicht. Apple sagt, sie „sollten Nutzer nicht zu einem Telefonanruf, einer E-Mail oder anderen Support-Abläufen zwingen”.

Googles Zugeständnis betrifft den Umfang statt den Weg. Sie dürfen bestimmte Daten aus Sicherheits-, Betrugspräventions- oder regulatorischen Gründen behalten, sofern Sie „Nutzer klar über Ihre Datenaufbewahrungspraktiken informieren”. Teillöschung ist daher legitim, wenn sie offengelegt wird, und stilles Behalten von allem ist es nicht.

Die praktische Erkenntnis ist, dass Regulierung ändert, was Sie löschen, niemals ob Nutzer danach fragen können. Unterdessen werden Deklarationen jetzt bei beiden Stores viel aggressiver gegengeprüft. Diese Verschiebung haben wir in unserem Blick auf Apples Richtlinien zum KI-Datenaustausch nachgezeichnet.

Wie Sie Prüfen, ob Ihr Löschen-Button Wirklich Löscht

Fast jeder Leitfaden zu App-Kontolöschungs-Anforderungen hört bei der Richtlinie auf. Die meisten sagen Ihnen dann, Sie sollen eine Klausel zu Ihrem Datenschutzhinweis hinzufügen. Keiner stellt die einzige Frage, die einem Prüfer wichtig ist, nämlich ob der Button tut, was der Screen verspricht. Hier ist die Sequenz, die wir durchführen.

1. Löschen Sie ein echtes Konto über den In-App-Weg, und versuchen Sie dann, sich mit denselben Zugangsdaten wieder einzuloggen.
2. Wiederholen Sie die ganze Übung über den Web-Weg, von einem Gerät, das die App nie installiert hatte.
3. Prüfen Sie den Identitätsanbieter direkt und bestätigen Sie, dass jedes Social-Login-Token widerrufen und nicht verwaist ist.
4. Fragen Sie Ihre eigenen APIs nach dem gelöschten Nutzer per ID ab, nicht per Suche, und bestätigen Sie, dass nichts mehr antwortet.
5. Überprüfen Sie, dass ein aktives Abonnement am Ende gekündigt oder klar erklärt wird, statt still weiter abgerechnet zu werden.
6. Warten Sie 48 Stunden, und achten Sie dann auf Push-Benachrichtigungen, Digest-E-Mails oder Analytics-Ereignisse, die mit diesem Nutzer verknüpft sind.
7. Laden Sie die öffentliche Löschseite in einem privaten Fenster und stoppen Sie, wie lange es dauert, sie zu finden.

Schritt 6 fängt mehr echte Fehler ab als alle anderen zusammen, weil asynchrone Jobs meist der Punkt sind, an dem Löschung bricht. Auffindbarkeit ist die Prüfung, die Teams am häufigsten überspringen, obwohl ein Prüfer sie in Sekunden beurteilt.

Nicht alles davon trifft auf Sie zu. Wenn Ihre App keine Konten hat, trifft nichts davon zu. Einen Löschablauf zu einem Produkt ohne Registrierung hinzuzufügen, verschwendet nur einen Sprint.

Enterprise-Geräteverwaltungstools und dauerhaft private Apps liegen ebenfalls außerhalb von Googles Richtlinie. Über diese Fälle hinaus gehen Sie davon aus, dass Sie betroffen sind. Behandeln Sie jede Ausnahmebehauptung als etwas, das vor der Einreichung zu prüfen ist, nicht nach Eintreffen eines Ablehnungsbescheids. Ablehnungen häufen sich um Annahmen wie diese, wie unsere Aufschlüsselung der App-Store-Ablehnungsgründe zeigt.

Wie QAwerk die Store-Konformität Prüft, Bevor Sie Einreichen

Store-Konformität ist die Art von Nischenarbeit, die die meisten QA-Anbieter überspringen, weil sie es belohnt, ein Regelwerk tief zu kennen, statt breit zu testen. Wir führen App-Store- und Google-Play-Prüfungen als Daueraufgabe durch. Das bedeutet, wir wissen bereits, welche Behauptungen Prüfer verifizieren und welche sie nur lesen.

Für ein blockiertes Release entscheidet Geschwindigkeit über das Ergebnis. Unser Team-Extension-Modell setzt Ingenieure in Tagen statt Wochen auf Ihre Einreichung an. Ein abgelehnter Build wird daher diagnostiziert, während das Zeitfenster für die Korrektur noch offen ist. Wir testen das Verhalten hinter jeder Deklaration und geben dann die Beweise in einer Form zurück, die Sie einem Einspruch beifügen können.

Um herauszufinden, ob Ihr Löschablauf die Review überstehen würde, fordern Sie ein Compliance-Audit von unserem Team an.

FAQ

Sehen Sie, wie wir Union54 als regulierte Fintech- und Blockchain-Plattform pentest- und compliance-bereit gemacht haben

Bitte geben Sie Ihre Geschäfts-E-Mail ein ist keine Geschäfts-E-Mail

Fallstudie Erhalten