Wie man das App-Store-Datenschutzlabel eines Sprachrekorders liest

Jede Produktseite im App Store hat einen Abschnitt namens „Datenschutzangaben der App“, meist eine kurze Liste grauer Pillen — „Keine Daten erfasst“, vielleicht „Mit Ihnen verknüpfte Daten“ mit ein oder zwei Kategorien darunter. Er sitzt direkt neben den Screenshots, im selben Stil wie der Rest von Apples eigener Oberfläche — genau deshalb wirkt er autoritativer, als er ist. Es lohnt sich zu wissen, wer ihn tatsächlich geschrieben hat, bevor man entscheidet, wie viel Gewicht man ihm gibt, gerade bei etwas so Sensiblem wie einem Sprachrekorder.

Wer ihn ausfüllt

Der Entwickler, über einen Fragebogen in App Store Connect, zum Zeitpunkt der Einreichung der App oder eines Updates. Apples Review prüft, ob die Angaben in sich stimmig sind, und lehnt eine App ab, deren erklärtes Verhalten offensichtlich dem widerspricht, was Prüfer beobachten; Apple hat auch schon nachträglich Apps entfernt, wenn eine Diskrepanz später auffiel. Was das Review nicht tut, ist jede Zeile einer Binärdatei gegen jedes Kästchen jeder Einreichung nachzuverfolgen — das würde wöchentliche App-Updates in der Größenordnung des App Store unmöglich machen. Das Label ist also eine eidesstattliche Erklärung mit echten Konsequenzen, wenn man beim Lügen erwischt wird, kein unabhängiger Laborbericht.

Die vier Kategorien, ohne Umschweife

Apple bündelt alles, was ein Label deklarieren kann, in vier Fächern, und der Unterschied zwischen ihnen betrifft vor allem die Identität, nicht die Daten selbst:

• Keine Daten erfasst — die App gibt an, diesen Datentyp überhaupt nicht zu erheben, weder auf eigenen Servern noch auf denen anderer.
• Nicht mit Ihnen verknüpfte Daten — sie werden erfasst, aber nicht an Ihre Identität, Ihr Gerät oder ein Konto gebunden, sodass sie sich nicht speziell auf Sie zurückführen lassen.
• Mit Ihnen verknüpfte Daten — erfasst und mit Ihrer Identität verbunden, meist weil ein Konto, eine Geräte-ID oder Ähnliches daran hängt.
• Daten zur Nachverfolgung — die strengste Kategorie: an einen Datenhändler oder ein anderes Unternehmen weitergegeben, um ein Profil von Ihnen über Apps und Websites hinweg zu erstellen — genau das Verhalten, das die App-Tracking-Transparenz-Abfrage von iOS eindämmen soll.

Eine einzelne App kann verschiedene Datentypen in verschiedenen Fächern haben — sie erfasst vielleicht überhaupt keinen Standort, verknüpft aber Audiodaten mit einem Konto, das sie von Ihnen verlangt. Das Label ist eine Tabelle, kein einziges Urteil für die ganze App.

Worauf beim Label eines Sprachrekorders wirklich zu achten ist

Die hier wichtigste Kategorie steht meist unter Audiodaten oder Nutzerinhalte. Zeigt eine Aufnahme- oder Transkriptions-App diesen Typ unter „Mit Ihnen verknüpfte Daten“, fragen Sie sich, womit er verknüpft ist und warum — ein Konto ist der häufigste Grund, weil ein Server wissen muss, wem welche Aufnahme gehört. Taucht derselbe Typ unter „Daten zur Nachverfolgung“ auf, verdient das echte Skepsis bei einer App, deren ganzer Zweck darin besteht, Ihre Stimme aufzuzeichnen.

Der interessantere Fall ist ein Rekorder, der durchweg „Keine Daten erfasst“ zeigt. Prüfen Sie, ob das wirklich zur Funktionsweise passt: Braucht er überhaupt ein Konto, um zu funktionieren? Macht er irgendeine Transkription, die nicht rein auf dem Gerät läuft? Eine App ohne Konto und ohne eigenen Server hat in den Kategorien Verknüpfung oder Nachverfolgung tatsächlich sehr wenig zu melden, weil es kein Konto gibt, an das sich irgendetwas knüpfen ließe, und keinen eigenen Server, an den irgendetwas gehen könnte — das Label ist in diesem Fall nicht großzügig, es beschreibt nur zutreffend eine kleine Angriffsfläche.

Ein Label ist eine Momentaufnahme, kein Live-Feed

Die Angabe wird einmal pro Einreichung gemacht und kann veralten, sobald ein späteres Update ändert, was die App tatsächlich tut — bis die nächste Einreichung sie aktualisiert. Wer wissen will, was eine App gerade jetzt auf dem eigenen Telefon tut, statt was sie bei der letzten Einreichung angegeben hat, findet in iOS ein separates, damit nicht verwandtes Werkzeug: Einstellungen → Datenschutz & Sicherheit → App-Datenschutzbericht, der die tatsächlich kontaktierten Netzwerkdomains und die tatsächlich genutzten Sensoren über ein rollierendes Zeitfenster protokolliert — beobachtet statt deklariert. Beide ersetzen sich nicht gegenseitig — das Label ist ein im Voraus gegebenes Versprechen, der Bericht ist ein Protokoll dessen, was danach geschah — und beides zu prüfen sagt mehr aus als jedes für sich.

Der Teil, den ein Kästchen schwer erfassen kann

Sprachtranskription auf dem iPhone hat eine Form, für die ein Ja-oder-Nein-Kästchen eigentlich nicht gemacht ist. Apples eigenes Speech-Framework kann für Sprachen, für die es ein lokales Modell besitzt, vollständig auf dem Gerät laufen und auf das Senden von Audio an Apples Sprachdienst zurückfallen, wenn der lokale Durchlauf damit nicht klarkommt — eine andere Sprache, Audio, das es nicht deuten konnte, ein Modell, das nicht geladen hat. Dieser Rückfallweg ist bedingt: Er kann bei einer Aufnahme greifen und bei der nächsten nie, auf demselben Telefon, in derselben App, je nach Audio und Sprache. Ein einziges Kästchen für „erfasst Audiodaten“ tut sich schwer, ein nuanciertes „meistens nicht, außer wenn doch“ auszudrücken, und es ist eine berechtigte Frage, ob ein Rückfallweg über Apples eigenes Framework — statt über einen vom Entwickler selbst gebauten Drittanbieter-Dienst — genauso beschrieben wird wie eine Erfassung auf einem eigenen Server des Entwicklers. Genau das ist die Art von Detail, für die sich das Lesen der tatsächlichen Datenschutzerklärung eines Entwicklers lohnt, statt sich auf vier graue Pillen zu verlassen.

Eine kurze Prüfung, bevor man dem Label vertraut

• Lesen Sie über die oberste Kategorie hinaus bis zum konkreten Datentyp darunter — „Audiodaten“ und „Diagnose“ sind sehr unterschiedliche Dinge, wenn sie mit der eigenen Identität verknüpft auftauchen.
• Braucht die App überhaupt ein Konto oder eine Anmeldung, um zu funktionieren, erwarten Sie zumindest etwas in der Spalte „Mit Ihnen verknüpft“ — ein funktionierendes Kontosystem muss speichern, wem was gehört.
• Testen Sie die App im Flugmodus für alles, von dem Sie sicher sein wollen, dass es nie ein Netzwerk erreicht. Ein Label kann eine Absicht beschreiben; eine tote Netzwerkverbindung klärt die Frage direkt.
• Prüfen Sie nach ein paar Tagen Nutzung den App-Datenschutzbericht auf die tatsächlich kontaktierten Domains. Er erklärt nicht, warum eine Domain auftaucht, sagt aber, dass sie überhaupt aufgetaucht ist — das kann das Label allein nicht.

Wo Voice Studio dabei steht

Voice Studio hat kein Konto, keine Anmeldung und keinen eigenen Server — hier gibt es nichts, womit sich eine Aufnahme mit einer Identität verknüpfen ließe, weil es kein Identitätssystem gibt, mit dem man sie verknüpfen könnte. Aufnahmen und Transkripte liegen im eigenen Speicher der App auf dem Gerät. Die Spracherkennung nutzt Apples Speech-Framework genau wie oben beschrieben: Sie versucht zuerst die Erkennung auf dem Gerät, und erst wenn dieser Durchlauf leer bleibt oder fehlschlägt, wiederholt sie es mit deaktivierter Erkennung auf dem Gerät, was das Audio an Apples Sprachdienst sendet statt an einen eigenen Server. Das ist eine schlichte Beschreibung ihres Verhaltens, kein Label — lesen Sie für das vollständige Bild die eigene Datenschutzerklärung von Voice Studio, und nutzen Sie den Flugmodus bei einer konkreten Aufnahme, wenn Sie für diesen einen Fall eine direkte statt einer allgemeinen Antwort wollen.

Häufige Fragen

Wer schreibt das Datenschutzlabel einer App wirklich, Apple oder der Entwickler?

Der Entwickler, über einen Fragebogen bei der Einreichung. Apple prüft ihn auf innere Konsistenz und kann eine App bei einer Diskrepanz ablehnen oder entfernen, aber es ist eine Erklärung mit Konsequenzen fürs Lügen, keine unabhängige Zeile-für-Zeile-Prüfung der App.

Garantiert „Keine Daten erfasst“, dass eine App wirklich nie irgendetwas irgendwohin sendet?

Es ist die Erklärung des Entwicklers, dass es so ist, geprüft im Rahmen von Apples Review und nicht im Labor getestet. Bei einer App ohne Konto und ohne Server bleibt für diese Erklärung tatsächlich sehr wenig Spielraum, falsch zu sein — aber eine tote Netzwerkverbindung bestätigt es direkter als jedes Label.

Ist das App-Store-Datenschutzlabel dasselbe wie der App-Datenschutzbericht in den Einstellungen?

Nein. Das Label ist eine einmalige Angabe bei der Einreichung, die eine Absicht für die Zukunft beschreibt. Der App-Datenschutzbericht unter Einstellungen → Datenschutz & Sicherheit ist ein laufendes Protokoll der tatsächlich kontaktierten Domains und tatsächlich genutzten Sensoren einer App — beobachtetes Verhalten statt eines erklärten Versprechens.

Bildet ein Datenschutzlabel eine Transkription ab, die das Gerät nur manchmal verlässt?

Nicht sauber. Ein Ja-oder-Nein-Kästchen tut sich schwer, einen bedingten Rückfallweg auszudrücken — zuerst auf dem Gerät, Server nur bei Fehlschlag —, und genau diese Nuance lohnt es, in der tatsächlichen Datenschutzerklärung eines Entwicklers nachzulesen statt allein in vier grauen Pillen.