So schreiben Sie eine Datenschutzerklärung für ein Spiel

Die meisten Spiele erheben mehr, als ihre Entwickler erwarten, weil Engine, Store und eine Handvoll SDKs alle beitragen. Eine realistische Inventur umfasst meist:

• Konto- und Profildaten: Benutzername, E-Mail, Plattform-Konto-ID, Avatar, Freundesliste, verknüpfte Social-Media- oder Konsolenkonten
• Gerätedaten: Gerätemodell, Betriebssystem, Sprache, IP-Adresse, Werbe-IDs
• Gameplay-Daten: Fortschritt, Spielstände, Punkte, Erfolge, Sitzungsdauer, Events zum Levelabschluss
• Diagnosedaten: Absturzlogs, Stacktraces, Performance-Metriken, Bildrate
• Kaufdaten: Belege für In-App-Käufe, Guthaben in virtueller Währung, Transaktionsverlauf
• Soziale Daten und Nutzerinhalte: Chatnachrichten, Voice-Chat, Clannamen, hochgeladene Level oder Bilder
• Supportdaten: E-Mails und Tickets, die Spieler Ihnen senden

Apples Hinweise zu den App-Datenschutzangaben sind hier eindeutig: Enthält Ihre App Spielstände, Multiplayer-Matchmaking oder Spiellogik, geben Sie Gameplay-Inhalte in Ihrem Label an. Halten Sie für jeden Punkt fest, warum Sie ihn erheben, wohin er geht und wie lange Sie ihn speichern. Diese Liste wird zum Rückgrat Ihrer Erklärung und Ihrer Datenschutzangaben im Store.

Wenn Ihr Spiel bei Google Play oder im App Store erscheint, ja. Google Play verlangt für jede App eine Datenschutzerklärung, auch für Spiele, die auf keine personenbezogenen oder sensiblen Daten zugreifen, und Apple verlangt einen Link zur Datenschutzerklärung in App Store Connect und in der App. Ein Hyper-Casual-Puzzle mit einem einzigen Werbe-SDK wird genauso behandelt wie ein Massively-Multiplayer-Spiel.

Außerhalb der mobilen Stores liegt der Grund im Gesetz statt in einem Store-Feld. Wenn Ihr PC-, Konsolen- oder Browserspiel selbst personenbezogene Daten erhebt, über Konten, Telemetrie, Absturzberichte oder Analyse, verlangen Datenschutzgesetze wie die DSGVO, dass Sie Spielern sagen, was damit geschieht. Storefronts und Konsolenplattformen haben zudem eigene Entwicklervereinbarungen; prüfen Sie daher die aktuellen Bedingungen jeder Plattform, auf der Sie veröffentlichen.

Selbst ein vollständig offline laufendes Spiel profitiert von einer kurzen, wahrheitsgemäßen Erklärung. Wenn das auf Ihr Projekt zutrifft, zeigt der Leitfaden zu Datenschutzerklärungen für Apps, die keine Daten erheben, was Sie sagen können, ohne zu übertreiben.

Werbung ist die größte Datenschutzvariable bei Free-to-Play-Spielen. Werbenetzwerke wie Google AdMob, Unity Ads oder AppLovin und die Mediation-Schichten, die mehrere Netzwerke gleichzeitig abfragen, verarbeiten typischerweise Gerätekennungen, IP-Adressen und Daten zu Werbeinteraktionen, um Anzeigen auszuwählen, auszuliefern und zu messen. Jedes Netzwerk hat eine eigene Dokumentation dazu, was es erhebt; lesen Sie sie für die genauen SDK-Versionen in Ihrem Build.

Ihre Erklärung sollte:

• jedes Werbenetzwerk und jeden Mediation-Partner nennen, den Sie tatsächlich integrieren, oder sie nach Kategorie beschreiben und auf deren Erklärungen verlinken
• erklären, ob Anzeigen personalisiert werden und wie Spieler widersprechen können
• Rewarded Ads erwähnen, wenn Sie für das Ansehen Belohnungen im Spiel vergeben
• Werbe-IDs ehrlich beschreiben: Unter iOS erfordert der Zugriff auf die IDFA für Tracking die Erlaubnis des Nutzers über App Tracking Transparency

In der EU und im Vereinigten Königreich erfordert das Speichern oder Auslesen von Informationen auf einem Gerät für personalisierte Werbung in der Regel eine Einwilligung, weshalb viele Spiele beim ersten Start eine Einwilligungsabfrage zeigen. Der Leitfaden zu Werbe-Angaben in der Datenschutzerklärung behandelt Pixel, Kennungen und Widerspruchsmöglichkeiten ausführlicher.

Game-Engines und Backend-Dienste beschleunigen die Entwicklung, können aber auch eigene Datenerhebung mitbringen. Prüfen Sie vor dem Schreiben der Erklärung, was in Ihrem Projekt aktiviert ist, nicht nur, woran Sie sich erinnern.

Fragen zu Ihrem Stack:

• Laufen Analyse-, Diagnose- oder Absturzberichtsdienste Ihrer Engine in Release-Builds?
• Wenn Sie Unity nutzen: Sind Unity-Dienste wie Analyse oder Werbung in den Projekteinstellungen aktiviert?
• Speichert Ihr Backend für Cloud-Speicherstände, Bestenlisten, Matchmaking oder Remote Config Spielerkennungen?
• Nutzen Sie Firebase Analytics, Crashlytics oder Remote Config, und welche Daten senden sie?
• Gibt ein Store- oder Plattform-SDK wie Google Play Games Services oder Game Center Spieler-IDs an Ihre Server weiter?

Jede Antwort wird entweder zu einem namentlich genannten Anbieter in Ihrer Erklärung oder zu einer Bestätigung, dass der Dienst ausgeschaltet ist. Firebase veröffentlicht zum Beispiel Hinweise zur Datenoffenlegung pro Produkt, zusammengefasst in unserem Leitfaden zu Firebase-Datenschutzangaben. Führen Sie eine kurze interne Notiz, welche SDK-Versionen in welchem Release ausgeliefert wurden, damit Sie Spielerfragen beantworten und die Erklärung bei einem Anbieterwechsel schnell aktualisieren können.

Monetarisierung und soziale Funktionen fügen Ihrer Erklärung jeweils ein paar Zeilen hinzu.

In-App-Käufe. Wenn Spieler über die Abrechnung des App Store oder von Google Play bezahlen, wickelt der Store die Zahlung ab. Apple weist darauf hin, dass Zahlungsdaten, die außerhalb Ihrer App eingegeben werden und auf die Sie nie Zugriff haben, nicht von Ihnen erhoben werden. In der Regel erhalten Sie aber Kaufbelege oder Transaktions-IDs, die Sie auf Ihrem Server validieren und speichern können, um Käufe wiederherzustellen oder Betrug zu verhindern. Sagen Sie das, und sagen Sie, wie lange Sie sie speichern.

Bestenlisten und Erfolge. Ein Anzeigename und eine Punktzahl, die anderen Spielern öffentlich gezeigt werden, sind personenbezogene Daten, die bewusst sichtbar gemacht werden. Ihre Erklärung sollte Spielern sagen, was öffentlich ist, ob sie einen Spitznamen nutzen können und wie sie einen Eintrag entfernen.

Cloud-Speicherstände und plattformübergreifender Fortschritt. Mit einem Konto verknüpfte Spielstände werden auf Ihren Servern oder denen eines Anbieters gespeichert. Erklären Sie, wo, wie lange nach Inaktivität und was passiert, wenn ein Spieler sein Konto löscht.

Wenn Sie virtuelle Währung oder Abos verkaufen, möchten Sie womöglich auch Spielbedingungen, die Erstattungen und virtuelle Gegenstände regeln; siehe AGB für Apps.

Bei sozialen Funktionen braucht die Datenschutzerklärung eines Spiels die meiste Sorgfalt, weil Spieler Informationen teilen, nach denen Sie nie gefragt haben.

Behandeln Sie diese Punkte, wenn Ihr Spiel sie hat:

• Text-Chat: ob Nachrichten gespeichert werden, wie lange und ob sie zur Moderation gescannt oder geprüft werden
• Voice-Chat: ob Audio nur in Echtzeit weitergeleitet oder aufgezeichnet wird und ob ein externer Voice-Anbieter beteiligt ist
• Meldungen und Moderation: welche Informationen Sie speichern, wenn ein Spieler einen anderen meldet, und wer sie sehen kann
• Nutzergenerierte Inhalte: Level, Bilder oder Namen, die andere Spieler sehen können, und wie man sie entfernt
• Blockier- und Sicherheitstools: was sie tun und auf welche Daten sie sich stützen

Apples Hinweise verlangen, dass Sie Nachrichten zwischen Nutzern angeben und für Freitext und Sprachaufnahmen Kategorien wie Andere Nutzerinhalte und Audiodaten verwenden. Gehören Kinder zu Ihrem Publikum, verlangen die Familienrichtlinien von Google Play, dass soziale Funktionen eine In-App-Erinnerung zur Sicherheit im Internet zeigen, bevor Kinder frei formulierte Inhalte austauschen, und dass Erwachsene diese Funktionen verwalten können. Entscheidend ist die Speicherdauer: Chatlogs, die für die Moderation unbegrenzt aufbewahrt werden, sind schwer zu rechtfertigen; legen Sie also eine Frist fest und nennen Sie sie.

Online-Spiel verarbeitet in jedem Match unbemerkt personenbezogene Daten. Matchmaking und dedizierte Server sehen die IP-Adressen und die Verbindungsqualität der Spieler. Peer-to-Peer-Netzwerke können die IP-Adresse eines Spielers anderen Spielern in der Sitzung offenlegen; das sollten Sie klar sagen, zusammen mit einem etwaigen Relay-Dienst, den Sie dagegen einsetzen.

Anti-Cheat verdient einen eigenen Absatz. Je nach Lösung kann Anti-Cheat-Software Geräte- und Systeminformationen, Kennungen und Angaben zu parallel zum Spiel laufender Software erheben, um Betrug zu erkennen, und manche Tools laufen mit erhöhten Rechten. Spielern ist das wichtig, erklären Sie daher:

• welchen Anti-Cheat-Anbieter Sie nutzen, falls überhaupt
• welche Datenkategorien er prüft und warum
• ob Daten an den Anbieter gesendet werden und wie lange sie gespeichert werden
• wie man gegen Sperren oder Kontoeinschränkungen auf Basis dieser Daten Einspruch einlegen kann

Sicherheit und Betrugsprävention sind legitime Zwecke und können nach der DSGVO auf berechtigten Interessen beruhen, aber Sie müssen sie trotzdem beschreiben und die Daten nicht länger als nötig speichern. Vage Formulierungen wie „wir erheben technische Daten, um das Spiel zu verbessern“ informieren Spieler nicht über Anti-Cheat-Scans.

Spiele ziehen Kinder an, ob Sie das geplant haben oder nicht. Drei Regelwerke sind am wichtigsten:

• COPPA gilt für Onlinedienste, die sich an Kinder unter 13 Jahren richten oder tatsächlich wissen, dass sie personenbezogene Daten eines Kindes erheben. Die FTC betrachtet Thema, visuelle Inhalte, animierte Figuren, Musik sowie kindgerechte Aktivitäten und Anreize. Die geänderte COPPA Rule trat am 23. Juni 2025 in Kraft, mit einem allgemeinen Umsetzungsdatum am 22. April 2026.
• Artikel 8 DSGVO verlangt die Einwilligung der Eltern bei Diensten der Informationsgesellschaft, die einem Kind direkt angeboten werden, wenn die Verarbeitung auf Einwilligung beruht, standardmäßig unter 16 Jahren, wobei Mitgliedstaaten die Altersgrenze auf bis zu 13 Jahre senken dürfen.
• Der britische Age appropriate design code legt 15 Standards für Apps, Spiele, vernetztes Spielzeug und Websites fest, die wahrscheinlich von unter 18-Jährigen genutzt werden, darunter datenschutzfreundliche Standardeinstellungen und standardmäßig deaktivierte Standortbestimmung.

Plattformregeln kommen hinzu: Die Familienrichtlinien von Google Play beschränken Kennungen, Standort und Werbe-SDKs, und Apples Kids-Kategorie begrenzt Analyse und Werbung von Drittanbietern. Lesen Sie den Leitfaden zur Datenschutzerklärung nach COPPA und unseren Leitfaden zur Datenschutzerklärung für Kinder-Apps, und lassen Sie ein an Kinder gerichtetes Spiel vor dem Start von einer qualifizierten Anwältin oder einem qualifizierten Anwalt prüfen.

Der Kerninhalt Ihrer Erklärung bleibt überall gleich, aber jede Plattform ändert die Details.

• Mobile: Sie müssen das Datensicherheitsformular (Data safety) bei Google Play und Apples App-Datenschutzangaben ausfüllen, und beide müssen zur Erklärung passen. Verlinken Sie die Erklärung im Store-Eintrag und im Spiel, etwa im Einstellungs- oder Optionsmenü.
• PC-Storefronts: Der Store wickelt Käufe und Store-Konten in der Regel unter seiner eigenen Datenschutzerklärung ab. Alles, was Ihr Spiel, Launcher oder Backend direkt erhebt, etwa eigene Konten, Telemetrie oder Crash-Dumps, müssen Sie selbst offenlegen.
• Konsolen: Plattforminhaber verwalten Systemkonten und Zahlungen; die eigenen Onlinedienste und Analysen Ihres Titels müssen trotzdem nach Datenschutzrecht offengelegt werden, und Ihre Plattformvereinbarung kann zusätzliche Regeln festlegen.
• Browserspiele: Cookies, Local Storage, Analyse-Tags und Werbeskripte spielen eine Rolle. Je nach Publikum brauchen Sie womöglich eine Einwilligungsabfrage; siehe brauchen Sie einen Cookie-Banner?

Wenn Ihr Spiel mit plattformübergreifendem Fortschritt mehrere Plattformen umfasst, sagen Sie, welche Daten zwischen ihnen wandern und welches Unternehmen jedes Konto kontrolliert.

Sie können die Datenschutzerklärung für ein Spiel mit dem Datenschutzerklärung-Generator für Apps entwerfen. Wählen Sie den Anwendungsfall Anwendung und beantworten Sie dann Fragen zu Konten, Analyse, Werbeanbietern, Zahlungen, Nutzerinhalten, Kindern und den Regionen, in denen Ihre Spieler leben. Fragebogen und vollständige Vorschau sind kostenlos und ohne Konto, und der einfache HTML- und PDF-Download ist kostenlos.

Da Klauseln deterministisch aus einer versionierten Bibliothek ausgewählt werden, beschreibt das Dokument nur, was Sie bestätigen. Geben Sie an, dass Sie ein Werbenetzwerk und Absturzberichte nutzen, erscheinen diese Angaben; wenn nicht, bleiben sie draußen. Erweiterte regionale Module wie DSGVO, Vereinigtes Königreich, Kalifornien, COPPA, Brasilien, Kanada, Australien und Neuseeland kosten $5, und optionales öffentliches Hosting kostet einmalig zusätzlich $0.99, damit Sie eine öffentliche Seite für die Play Console und App Store Connect haben.

Zwei Vorbehalte. Erstens: Ein Generator kann Ihren Build nicht sehen, Ihre SDK-Inventur muss also stimmen. Zweitens: Ein an Kinder gerichtetes Spiel braucht mehr als eine Erklärung, nämlich Abläufe für die Einwilligung der Eltern, SDK-Beschränkungen und Speicherregeln. Behandeln Sie den generierten Text als strukturierten Entwurf und holen Sie für Kinderdaten eine qualifizierte Prüfung ein. Der allgemeine Generator für Datenschutzerklärungen deckt auch Spiele mit begleitender Website ab.