Dienst nicht in der Datenschutzerklärung genannt

Art. 13 Abs. 1 lit. e DSGVO verlangt, dass ihr die Empfänger eurer Daten nennt. Ein Dienst, den der Browser eurer Nutzer direkt anspricht, bekommt dabei zwangsläufig deren IP-Adresse — er ist Empfänger, auch wenn ihr ihn nur für eine Schriftart oder ein Fehler-Protokoll einbindet.

In KI-gebauten Apps entsteht diese Lücke fast systematisch: Der Generator bindet Schriftarten, Analyse-Werkzeuge und KI-Endpunkte ein, die Datenschutzerklärung stammt aber aus einem Muster, das diese Dienste nicht kennt. Beides ist für sich plausibel — zusammen ergibt es eine Erklärung, die nicht beschreibt, was die App tut.

Wir prüfen nur Dienste, die wir benennen können, und nur, wenn sich im Text keine Schreibweise davon finden lässt — „Google Fonts“ gilt auch als genannt, wenn dort nur „Google“ steht. Das ist ein Hinweis, keine Feststellung: Eine Erklärung darf Empfänger auch als Kategorie beschreiben. Wer sichergehen will, gleicht die Liste einmal von Hand ab.