Apple App Store KI-Datenaustausch-Richtlinien: Was Sie Angeben Müssen

Irgendwann in den letzten achtzehn Monaten hat Ihr Team wahrscheinlich eine KI-Funktion zu einer App hinzugefügt, die bereits live war. Vielleicht war es ein Chatbot, ein Zusammenfasser oder eine Empfehlungsschicht, die auf dem Modell eines anderen Unternehmens aufbaut. Sie wurde ausgeliefert, die Release Notes gingen raus, und niemand hat seitdem die Datenschutzangaben wieder geöffnet.

Apples App-Store-Richtlinien zum KI-Datenaustausch verlangen von jeder App, klar offenzulegen, wenn personenbezogene Daten ein KI-System eines Drittanbieters erreichen. Diese Richtlinie, 5.1.2(i), wurde im November 2025 überarbeitet, und Nutzer müssen ausdrücklich zustimmen, bevor diese Daten übertragen werden. Google fügte im Juli 2026 eine passende Pflicht für Android hinzu.

Zu bestätigen, was Ihre App teilt, ist eine Frage des App-Store-Konformitätstestings, keine juristische. Hier ist, was sich geändert hat, wen es betrifft und wie Sie Ihre App dagegen prüfen.

Das betrifft Sie, wenn Ihre App schon ausgeliefert war, bevor die KI-Funktion dazukam. Ein Chatbot, der an einen Support-Flow angeflanscht wurde, ein Zusammenfasser in einem Dokumententool, eine von einer externen Firma trainierte Empfehlungsschicht, all das zählt. Vielleicht hat Ihr Team die Integration selbst gebaut, oder ein Auftragnehmer hat letztes Quartal ein Anbieter-SDK (Software Development Kit) hinzugefügt. So oder so ist der eigentliche Test, ob personenbezogene Daten das Gerät verlassen und ein Modell erreichen, das Ihrem Unternehmen nicht gehört.

Was die Apple App Store KI-Datenaustausch-Richtlinien Verlangen

Richtlinie 5.1.2(i) ist eindeutig formuliert. Entwickler müssen offenlegen, wo personenbezogene Daten mit Dritten geteilt werden, einschließlich KI von Drittanbietern, und dafür vorab eine ausdrückliche Zustimmung einholen. Dieser Satz schafft zwei getrennte Pflichten.

• Offenlegung. Dem Nutzer innerhalb der App mitteilen, dass seine Eingabe oder Aktivität an ein externes KI-System geht.
• Zustimmung. Ein ausdrückliches Ja einholen, bevor die Daten das Gerät verlassen, statt die Tatsache in einer Datenschutzrichtlinie zu verstecken, die niemand liest.

Eine einzelne Zeile in Ihren Nutzungsbedingungen erfüllt diese Regel nicht. Apple will einen kontextbezogenen Hinweis, den der Nutzer genau in dem Moment sieht, in dem seine Daten übertragen würden, und die Richtlinie trat sofort in Kraft.

Muss ich Apple KI in meiner App melden? Ja. Wenn personenbezogene Daten ein KI-System eines Drittanbieters erreichen, verlangen Apples App-Store-Richtlinien zu KI eine klare In-App-Offenlegung. Nutzer müssen außerdem ausdrücklich zustimmen, bevor diese Daten sich bewegen, nicht nur eine stille Aktualisierung Ihrer Richtlinienseite sehen.

Was als KI von Drittanbietern Zählt

Hier schätzen die meisten Teams ihr Risiko falsch ein. Die Regel gilt immer dann, wenn Nutzerinhalte Ihre App verlassen und ein Modell erreichen, das Sie nicht selbst betreiben. Das umfasst einen Chat-Assistenten, einen Dokumenten-Zusammenfasser, ein Transkriptionstool, einen Bildgenerator und einen Support-Triage-Bot. Eine von einem Anbieter trainierte Empfehlungsmaschine zählt ebenfalls. Es deckt auch KI ab, die hinter einem SDK sitzt, das Ihr Team integriert statt selbst gebaut hat. Viele Engineering-Leads können beschreiben, was der eigene Code ihrer App mit Nutzerdaten macht. Deutlich weniger können dasselbe über die Anbieter-Bibliothek drei Ebenen darunter sagen. Ruft eine Funktion ein Modell auf, das Ihrem Unternehmen nicht gehört, gilt Richtlinie 5.1.2(i), egal wie klein sie erscheint.

Was zählt als KI von Drittanbietern nach Apples Richtlinien? Jedes Modell oder jeder Dienst außerhalb Ihrer Organisation, der Nutzerdaten aus Ihrer App erhält, zählt. Das umfasst einen Chatbot, mit dem Ihre Nutzer direkt interagieren, ebenso wie eine kleine Klassifizierungs-API, die tief in einem Drittanbieter-SDK steckt, das Sie für eine einzige Funktion hinzugefügt haben.

Die Pflicht, die die Meisten Teams Übersehen: Altersfreigabe

Die Regeln zum KI-Datenaustausch sind nicht der einzige Papierkram, den Apple aktualisiert haben will. Seit dem 24. Juli 2025 erinnert Apple Entwickler daran, KI-Assistenten und Chatbot-Funktionen bei der Festlegung der Inhaltsbewertung einer App zu berücksichtigen. Diese Fähigkeit kann verändern, wie oft einem Nutzer sensibles Material begegnet. Dies ist eine separate Angabe zur Datenschutzoffenlegung, eingereicht in einem anderen Teil von App Store Connect. Sie ist an den Altersfreigabe-Fragebogen gekoppelt, den Apple von jedem Entwickler bis zum 31. Januar 2026 verlangte. Ein Support-Chatbot, der über jedes Thema sprechen kann, verhält sich anders als ein skriptbasierter FAQ-Bot. Apple erwartet, dass sich dieser Unterschied in Ihren Antworten zeigt. Android hat eine eigene Version davon, erklärt in unserem Leitfaden zur Google-Play-Altersverifizierung, der beschreibt, was die Welle der Landesgesetze für Ihre Apps bedeutet.

Ändert ein KI-Chatbot die Altersfreigabe meiner App? Das kann er. Apple bittet Entwickler abzuwägen, wie KI-Assistenten und Chatbot-Funktionen die Wahrscheinlichkeit beeinflussen, dass sensibles Material in der App erscheint. Diese Prüfung ist getrennt von der Offenlegung des Datenaustauschs, und sie wird leicht übersehen, wenn niemand den Bewertungsfragebogen nach dem Launch erneut öffnet.

Drei Stellen, an Denen die Offenlegung Leise Bricht

Keine dieser Lücken erfordert böse Absicht. Sie entstehen, weil die Funktion schneller vorankam als der Papierkram darum herum.

• Das Datenschutzlabel stammt aus der Zeit vor der Funktion. Es war an dem Tag korrekt, an dem es jemand eingereicht hat, oft bevor die KI-Integration überhaupt existierte, und niemand hat es seitdem angefasst.
• Die Zustimmung steckt in den Nutzungsbedingungen, nicht im Moment der Weitergabe. Der Nutzer muss die Übertragung genehmigen, während sie passiert, nicht über ein Dokument, das er einmal bei der Anmeldung akzeptiert hat. Eine Checkbox von vor achtzehn Monaten erfüllt keine kontextbezogene Anforderung.
• Der Anbieter hat sich geändert, und niemand hat es erneut geprüft. Modellwechsel, neue Unterauftragsverarbeiter und überarbeitete Aufbewahrungsbedingungen verschieben die Antwort, auch wenn Ihr Team keinen neuen Code ausgeliefert hat. Unsere Analyse versteckter Risiken bei KI-Agenten fand dasselbe Muster. Fehler ballen sich in der Integrationsschicht um ein Modell, nicht in dessen eigener Logik.

Was Google Jetzt Verlangt

Apple hat eine Regel hinzugefügt, aber Google hat KI in ein Formular integriert, das Sie bereits einreichen. Am 15. Juli 2026 stellte Google klar, dass Plays bestehende Nutzerdaten-Richtlinie für KI-Integrationen von Drittanbietern gilt. Entwickler bleiben für begrenzte Nutzung, Offenlegung und Zustimmung verantwortlich, auch wenn ein separates Unternehmen die KI bereitstellt. Der Anbieter darf diese Daten nur für den von Ihnen angegebenen Zweck nutzen. Er darf damit weder eigene Modelle trainieren noch Werbung ausrichten, es sei denn, Sie holen eine gesonderte Zustimmung ein.

Ihre Data-Safety-Angabe muss jetzt jeden KI-Anbieter nennen, der Nutzerinhalte erhält, und erklären, warum. Sie muss auch dem entsprechen, was zur Laufzeit passiert, einschließlich Aufbewahrungsfristen und ob eine Löschung auf Anfrage funktioniert. Die meisten Teams haben dieses Formular einmal beim Launch ausgefüllt und nie wieder angefasst, nachdem sie einen neuen KI-Anbieter hinzugefügt oder Modelle gewechselt haben. Der Fehler sieht auf jeder Plattform anders aus. iOS scheitert an einer fehlenden Offenlegung. Android scheitert an einer Angabe, die still und leise veraltet ist.

Für das vollständigere Bild, wo die beiden Stores auseinandergehen, lesen Sie unsere Gegenüberstellung von Apple-App-Store-Richtlinien versus Google-Play-Richtlinien. Läuft Ihre App auf Android, prüft Google-Play-Konformitätstesting, ob das Data-Safety-Formular noch dem tatsächlichen Verhalten entspricht.

Warum Ihnen Niemand eine Zahl Dafür Nennen Kann

Keiner der beiden Stores bestraft Sie mit einer Geldstrafe für eine Verletzung des KI-Datenaustauschs. Stattdessen lehnen sie die Einreichung ab, was bedeutet, dass die Kosten als verlorene Zeit anfallen. Niemand kann Ihnen dafür im Voraus eine Zahl nennen, weil es zu sehr von Ihrem eigenen Setup abhängt. Separate Datenschutzbehörden sind eine andere Frage, außerhalb dessen, was dieser Artikel abdeckt.

Was vorhersehbar ist, ist der Ablauf. Ein Ingenieur verfolgt, was die KI-Funktion sendet. Product entwirft einen Zustimmungshinweis, Legal segnet den Wortlaut ab, und die Änderung braucht eine weitere Einreichung. Jeder Schritt wartet auf den vorherigen.

Drei Dinge entscheiden, wie lange das für Sie dauert:

• Ob noch jemand im Team erklären kann, was die KI-Integration sendet, oder ob es jemand erst zurückentwickeln muss.
• Wie viele KI-Funktionen und Anbieter betroffen sind, da jeder seinen eigenen Offenlegungs- und Zustimmungsmoment braucht.
• Ob bereits ein Launch-Termin, eine Kampagne oder eine Kundenverpflichtung an dem Release hängt, den Sie nicht ausliefern können.

Ein Team mit einer KI-Funktion und dem ursprünglichen Ingenieur noch an Bord könnte in Tagen fertig sein. Vier davon, hinzugefügt von drei ausgeschiedenen Auftragnehmern, ist eine andere Größenordnung. Das ist die ehrliche Spanne. Wer Ihnen dafür eine einzelne Zahl nennt, hat sich Ihre App nicht angesehen.

Die Durchsetzung selbst ist nicht theoretisch. 2025 verhinderte Google, dass über 255.000 Apps übermäßigen Zugriff auf sensible Nutzerdaten erhielten, und sperrte mehr als 80.000 Entwicklerkonten. Unser Leitfaden zu App-Store-Ablehnungsgründen zeigt, wie oft Datenschutz- und Datenprobleme in Apples eigenen Review-Statistiken auftauchen.

Bereit herauszufinden, wo Ihre Angaben und das tatsächliche Verhalten Ihrer App voneinander abweichen, bevor Apple oder Google es tun? Sprechen Sie mit unserem Compliance-Testing-Team über eine Prüfung vor der Einreichung.

Wie Sie Überprüfen Statt Annehmen

Die Richtlinie zu lesen zeigt Ihnen, was verlangt wird. Sie kann Ihnen jedoch nicht zeigen, was Ihre App tatsächlich tut, und diese Lücke ist ein Testproblem, keine Dokumentationsübung. Sie zu schließen hat nichts mit Rechtsprüfung oder einer neu geschriebenen Datenschutzrichtlinie zu tun. Sie beobachten die laufende App und vergleichen dieses Verhalten dann mit dem, was Sie bereits angegeben haben. Drei Prüfungen erledigen den größten Teil der Arbeit.

• Beobachten Sie, welche Daten das Gerät tatsächlich verlassen, während die KI-Funktion läuft, und vergleichen Sie diesen Verkehr mit dem, was Ihr Datenschutzlabel angibt.
• Prüfen Sie den Moment, in dem die Zustimmung angefragt wird, nicht nur das Dokument, in dem sie steht, um zu bestätigen, dass der Hinweis erscheint, bevor die Daten sich bewegen, nicht danach.
• Behandeln Sie jeden KI-Anbieterwechsel oder jedes Modell-Upgrade als Auslöser, um die Offenlegungen erneut zu prüfen, da sich Ihre Compliance-Lage ändert, selbst ohne neuen Code.

Diese erste Prüfung bedeutet, den Traffic der App durch ein Abfangwerkzeug wie Charles Proxy zu leiten. Sie beobachten dann jede Anfrage, die die KI-Funktion in Echtzeit stellt. Eine Abweichung zeigt sich schnell. Ein Zusammenfasser könnte auch einen Analytics-Endpunkt anpingen. Ein anderer Chatbot könnte den vollständigen Gesprächsverlauf weiterleiten, während Ihr Label nur die aktuelle Nachricht erwähnt.

Unsere KI-Testing-Dienste übernehmen diese Art der Verifizierung. Die meisten QA-Anbieter hören bei Web und Mobile auf, sodass ein KI-Datenfluss komplett außerhalb ihrer Abdeckung liegt. Wir verfolgen, was ein Chatbot, Zusammenfasser oder eine Empfehlungsfunktion an sein zugrunde liegendes Modell sendet. Das Ergebnis ist eine schlichte Liste dessen, was die App verlässt, zum Vergleich neben Ihr Datenschutzlabel gestellt. Sie erfahren, welche Offenlegung aktualisiert werden muss und welche bereits stimmt. Ist die Funktion noch in Entwicklung, deckt unsere LLM-Test-Checkliste die Vor-Launch-Validierungsarbeit ab, die vor der Compliance kommt.

Wann Sie Das Intern Erledigen Können

Nicht jedes Team braucht dafür externe Hilfe. Macht Ihre App nur einen Aufruf an einen KI-Anbieter, beantwortet ein Nachmittag Traffic-Inspektion die Frage. Das gilt besonders, wenn der Ingenieur, der die Integration geschrieben hat, dort noch arbeitet. Holen Sie sich einen QA-Partner, wenn das Bild unklarer ist. Denken Sie an mehrere Funktionen, hinzugefügt von verschiedenen Personen, oder ein Drittanbieter-SDK, das niemand im Team gelesen hat. Ein Termin, den Sie sich nicht zweimal zu verpassen leisten können, zählt ebenfalls.

Die meisten Teams verfehlen die Apple-App-Store-KI-Datenaustausch-Richtlinien nicht aus Nachlässigkeit, sondern aus Timing-Gründen. Die Funktion wurde ausgeliefert, die Regeln änderten sich später, und niemand ist zurückgekommen. Nehmen Sie Kontakt mit unserem Team auf, bevor Apple oder Google die Frage erzwingen.

FAQ