Werbe-SDKs in Android-Apps leiten Standortdaten weiter

Wer eine App entwickelt und darin Werbung schaltet, bindet meistens fertige Werbe-Schnittstellen ein, sogenannte SDKs (Software Development Kits). Diese Bibliotheken übernehmen automatisch alle Berechtigungen der App. Erlaubt ein Nutzer der App den Zugriff auf seinen genauen GPS-Standort, hat das SDK denselben Zugriff, ohne dass der Entwickler aktiv etwas tun muss.

Genau das ist das Problem. Die Electronic Frontier Foundation, eine US-amerikanische Bürgerrechtsorganisation mit Sitz in San Francisco, hat in einer technischen Analyse dokumentiert, dass verbreitete Werbe-SDKs Standortdaten standardmäßig abgreifen und an Werbenetzwerke weitergeben. Betroffen sind unter anderem SDKs von InMobi aus Bangalore und Huawei aus Shenzhen.

Was im Hintergrund passiert

Die Standortdaten fließen in automatisierte Echtzeit-Auktionen. Dort bieten innerhalb von Millisekunden verschiedene Käufer auf Werbeplätze. Die genauen Koordinaten der Nutzer erhöhen den Wert dieser Plätze erheblich. Datenhändler kaufen die Informationen auf und erstellen daraus Bewegungsprofile. Diese Profile werden weiterverkauft, an Unternehmen, Behörden und andere Stellen.

Für Entwickler ist das nicht immer erkennbar. Die Dokumentation vieler SDK-Anbieter ist unübersichtlich. Die Option, die Standortweitergabe zu deaktivieren, ist oft versteckt. Wer sie nicht aktiv ausschaltet, gibt Daten weiter, ohne es zu wissen.

Das rechtliche Risiko für App-Entwickler

Wer im europäischen Markt eine App anbietet, unterliegt der Datenschutz-Grundverordnung. Die DSGVO verlangt, dass Nutzer informiert werden, wer ihre Daten erhält, und setzt eine gültige Rechtsgrundlage für jede Weitergabe voraus. Eine allgemeine Standortfreigabe durch den Nutzer reicht dafür nicht aus.

Viele der betroffenen Apps weisen im Google Play Store nicht darauf hin, dass Standortdaten an Dritte gehen. Wer dort falsche oder unvollständige Datenschutzinformationen hinterlegt, riskiert Abmahnungen. Aufsichtsbehörden können Bußgelder verhängen. Die Höhe richtet sich nach dem Umsatz, nicht nach der Unternehmensgröße.

Kleine Teams sind besonders gefährdet

Große Unternehmen haben Datenschutzbeauftragte und Rechtsabteilungen. Kleine Teams und Solo-Entwickler haben das selten. Sie verlassen sich darauf, dass das SDK des Anbieters datenschutzkonform ist. Das ist ein Irrtum. Die Verantwortung für die gesamte Datenverarbeitung liegt beim App-Betreiber, nicht beim SDK-Anbieter.

Die EFF nennt in ihrer Analyse konkret QR-Code-Scanner und digitale Tachometer als Beispiele. Solche Werkzeug-Apps haben oft Millionen Downloads und scheinbar keinen Grund, Standortdaten zu erfassen. Trotzdem tun die eingebundenen SDKs genau das.

Was Entwickler konkret prüfen sollten

Wer eine App mit Werbe-SDK betreibt, sollte die Datenschutzdokumentation des Anbieters vollständig lesen. Zunächst gilt es herauszufinden, ob das SDK standardmäßig Standortdaten weitergibt. Falls ja, muss diese Funktion im Code explizit deaktiviert werden.

Außerdem muss die Datenschutzerklärung der eigenen App vollständig auflisten, welche Drittanbieter Daten erhalten und zu welchem Zweck. Fehlt das, kann bereits die Unvollständigkeit ein Verstoß sein.

Schließlich deckt eine pauschale Standortfreigabe durch den Nutzer nicht automatisch die Weitergabe an Werbenetzwerke ab. Wer das nicht durch eine separate, informierte Einwilligung absichert, steht auf unsicherem Boden.

Fazit

Werbe-SDKs sind für viele kleine App-Projekte der einfachste Weg zur Monetarisierung. Dass sie dabei unkontrolliert Standortdaten weitergeben, ist kein technisches Randproblem, sondern ein Haftungsrisiko. Wer eine App im europäischen Markt betreibt, muss wissen, was die eingebundenen Bibliotheken tun. Wer das nicht prüft, übernimmt die Verantwortung für Datenschutzverstöße, die er selbst nicht verursacht hat.