Im App Store stehen bei Canva, Dropbox oder Notion der Name des Entwicklers und ein Datenschutz-Etikett. Wer im Firmeneinsatz Ihr Vertragspartner wäre und ob es einen Vertrag zur Auftragsverarbeitung (AVV) gibt, der den Anbieter an Ihre Weisungen bindet, steht dort nicht. Beides hängt am Tarif. Auf dem iPhone sieht die Gratis-App dabei genauso aus wie die Firmenversion.
Wir haben kostenlose Werkzeuge durchgesehen, die bei Apps auf iPhone, iPad und Mac eine konkrete Frage beantworten. Vorne steht der Abgleich von Tarifen und Verträgen, danach folgen Postfächer, Änderungen bei Anbietern und die heiklen Daten aus Kamera und Ortung. Urteile und Zahlen haben wir am 21. Oktober 2026 abgelesen.
Tarif und Vertrag je App
1. Erste Adresse vor jeder App-Freigabe
Zwanzig neue iPads für den Außendienst warten auf die Einrichtung. Der Außendienstleiter hat vier Apps auf einen Zettel geschrieben: Canva für Aushänge, Dropbox für Pläne, Notion für Protokolle und die ChatGPT-App. Bevor die IT sie über das Mobile Device Management (MDM) verteilt, also die zentrale Geräteverwaltung, will sie wissen, mit welchem Konto jede App laufen darf.
Der DSGVO-Prüfstand für Apps im Firmeneinsatz von frag.hugo hat genau diese vier Programme geprüft, dazu Claude, DeepL und Miro. Alle gibt es auch als App für iPhone und iPad. Jedes wird an zehn festen Kriterien gemessen, „kein Bauchgefühl, keine Punktzahl“, wie es im Untertitel heißt. Für Apps mit Servern in den USA ist Kriterium 5 das aufschlussreichste. Grün gibt es dort nur, wenn gar keine Übermittlung nötig ist oder der Empfänger aktiv im Data Privacy Framework steht, dem Abkommen zwischen EU und USA, und zusätzlich Standardvertragsklauseln im Vertrag stehen. Tragen allein die Standardvertragsklauseln, steht das Kriterium auf Gelb.
Die US-Tochter von Canva ist seit dem 24. Mai 2023 im Data Privacy Framework zertifiziert, Ihr Vertragspartner ist aber die Canva Pty Ltd in Sydney, und für Australien gibt es keinen Angemessenheitsbeschluss der EU. Das Abkommen deckt laut Steckbrief nur die US-Gesellschaft ab. Wer Canva Business einsetzt, hält das im Verarbeitungsverzeichnis und in einer Transfer-Folgenabschätzung fest. Für die Gratistarife fasst die Übersicht es in einem Satz zusammen: „Kostenlose Tarife sind für personenbezogene Daten fast immer die falsche Wahl: kein Vertrag zur Auftragsverarbeitung, oft Training mit Ihren Eingaben.“
Bewertet werden Anbieter und Vertrag. Welche Rechte eine App auf dem Gerät verlangt, etwa auf Fotos oder Kontakte, gehört nicht zu den zehn Kriterien, das sehen Sie in den iOS-Einstellungen und im MDM. Für WhatsApp gibt es keinen Steckbrief, die Seite verweist nur auf einen eigenen Ratgeber von frag.hugo.
| App | Vertragspartner im Firmentarif | Grundlage für die USA |
|---|---|---|
| Canva | Canva Pty Ltd, Sydney | US-Tochter im Data Privacy Framework, für den australischen Vertragspartner fehlt ein Angemessenheitsbeschluss |
| ChatGPT | OpenAI Ireland | nur Standardvertragsklauseln, OpenAI steht nicht im Data Privacy Framework |
| Claude | Anthropic Ireland, Limited | laut Steckbrief nicht im Data Privacy Framework (Suche 19.10.2026) |
| DeepL | DeepL SE, Köln | laut Steckbrief nicht im Data Privacy Framework (geprüft 19.10.2026) |
| Dropbox | Dropbox International Unlimited Company, Irland | Dropbox, Inc. laut Steckbrief seit 23. September 2016 im Data Privacy Framework gelistet |
| Miro | RealtimeBoard, Inc., USA | seit 25. März 2020 im Data Privacy Framework |
| Notion | ein US-Unternehmen | Data Privacy Framework und Standardvertragsklauseln |
2. Nur in Enterprise, und auch dann erst auf Antrag
Die Bauleitung schreibt ihre Begehungsprotokolle in der Notion-App auf dem iPad, mit den Namen der Handwerker und Fotos von der Baustelle. Gebucht ist Notion Business.
Der Notion-Steckbrief zur Datenresidenz in Frankfurt nennt Business ungeeignet für personenbezogene Daten. Speicherung in Frankfurt gibt es nur in Enterprise, und selbst dort kommt sie nicht automatisch. Frankfurt bekommen Sie erst nach einem Antrag beim Account-Team oder beim Support. Für neue Arbeitsbereiche setzen Sie unter Organisationseinstellungen, Data & Compliance, Data Residency die Region Europa als Standard. Eine Einschränkung bleibt in jedem Tarif. Sensible Daten nach Art. 9 DSGVO, etwa zur Gesundheit, schließt der Vertrag aus. Ein Unfallbericht mit den Verletzungen eines Handwerkers gehört deshalb auch in Enterprise nicht ins Protokoll.
Was mit dem bestehenden Arbeitsbereich der Bauleitung geschieht, sagt der Steckbrief nicht, das klären Sie mit Notion selbst.
3. Im Team-Tarif gut belegt, im Privattarif ohne Vertrag
Ein Monteur hat auf seinem Dienst-iPhone den Kamera-Upload der Dropbox-App eingeschaltet, mit seinem privaten Basic-Konto. Jedes Foto vom Zählerschrank beim Kunden landet seitdem dort, mit dem Adressaufkleber im Bild.
Die Dropbox-Prüfung mit Blick auf Privat- und Team-Tarife trennt beides deutlich. Für Basic und Plus gibt es keinen AVV. Der Steckbrief rät: „Private Basic- oder Plus-Konten für Firmendateien untersagen Sie in Ihrer IT-Richtlinie.“ In den Team-Tarifen gilt der AVV automatisch, und die Zertifikatslage nennt der Steckbrief „sehr gut“. Aufgeführt sind ISO 27001, 27017, 27018 und 27701, dazu SOC 2 und der EU Cloud Code of Conduct. Sechs der zehn Kriterien sind erfüllt. Offen bleibt bei den Kernkriterien das KI-Training, das Dropbox für Team-Kunden nicht eindeutig ausweist.
Den Kamera-Upload kennt der Steckbrief nicht. Ob er auf Firmengeräten ausgeschaltet bleibt, regeln Sie im MDM.
4. Ohne Firmenvertrag besser abgeschaltet
Auf einem iPhone ab dem 15 Pro bietet Siri an, eine Frage an ChatGPT weiterzugeben. Die Vertriebsassistentin bestätigt und lässt sich ein Angebotsschreiben mit dem Namen des Kunden vorformulieren.
Im Leitfaden von hagel IT zu Apple Intelligence und DSGVO ist diese Stelle die heikelste von drei Verarbeitungsebenen. Funktionen auf dem Gerät selbst gelten dort als unkritisch, Apples Private Cloud Compute als vertretbar mit Folgenabschätzung. Die ChatGPT-Integration soll standardmäßig aus bleiben und nur mit einem Enterprise-Vertrag bei OpenAI und dokumentierter Auftragsverarbeitung freigegeben werden. Geschaltet wird das zentral über ein MDM-Profil, der Beitrag nennt Jamf Pro und Microsoft Intune. Für ChatGPT selbst zeigt der Prüfstand in der Tabelle oben, warum Gelb beim Drittland bleibt, auch im Firmentarif.
Der ChatGPT-Steckbrief erwähnt die Anbindung über Siri nicht. Der Beitrag beschreibt vor allem Mac-Flotten in Lübecker Betrieben, die Schalter für iPhones suchen Sie in der Dokumentation Ihres MDM.
Postfächer und Apple-Accounts
5. Gründlich bei den Konten, blind für die Geräte
Drei ältere iPhones aus dem Lager holen ihre Mails noch über ein IMAP-Konto in der Mail-App, eingerichtet lange vor dem Umzug auf Exchange Online. Sie melden sich nur mit Kennwort an, ein zweiter Faktor kommt dabei nicht vor.
Solche Zugänge meldet die Mandantenprüfung von hagel IT für Microsoft 365. Eine der zwölf Prüfungen sucht Postfächer, die POP, IMAP oder SMTP noch ohne zweiten Faktor annehmen. Gleich daneben zeigt das Skript, wie viele Konten den zweiten Faktor nutzen, und nennt die ohne. Wer dort fehlt, meldet sich mit dem Kennwort allein an. Abschalten müssen Sie die alten Verfahren danach selbst, im Bericht steht nur der Befund.
Endgeräte prüft das Skript ausdrücklich nicht. Ob die iPhones verschlüsselt sind, welchen iOS-Stand sie haben und ob das MDM sie überhaupt kennt, steht nicht im Bericht. Dafür braucht es Regeln für die Geräte selbst. Was in so ein Regelwerk gehört, fasst hagel IT in einem Beitrag über Richtlinien für Diensthandys und Tablets zusammen. Der Beitrag nennt ein MDM ohne schriftliche Richtlinie „zahnlos“ und lässt private Geräte nur über den App-Schutz in die Verwaltung.
6. Brauchbar als Frühwarnung, nicht als Freigabe
Die Apple-Accounts der Diensthandys laufen auf Firmenadressen. Ob eine davon in einem Leck steckt, merkt bisher niemand.
Der Benachrichtigungsdienst von Have I Been Pwned schickt eine Mail, sobald eine eingetragene Adresse in einem neu erfassten Datenleck auftaucht. Kosten entstehen keine, angeben müssen Sie nur die Adresse. Nach einer Warnung ändert die Mitarbeiterin das Kennwort ihres Apple-Accounts, und die IT sieht nach, ob der zweite Faktor dort eingerichtet ist.
Der Dienst meldet erst, wenn ein Leck in seiner Sammlung angekommen ist. Ob dasselbe Kennwort auch am Apple-Account hängt, weiß nur die Mitarbeiterin selbst.
Wenn sich bei Anbieter oder Gesetz etwas bewegt
7. Bei Slack nur mit halber Sicht
Auf den iPhones der Bauleiter läuft Slack. In den Direktnachrichten stehen Krankmeldungen und Fotos von Mängeln, und niemand weiß, wer bei Slack im Hintergrund mitverarbeitet.
Der täglicher Abgleich der Slack-Unterauftragsverarbeiter bei frag.hugo erklärt zuerst, warum das schwer zu verfolgen ist. Seit der Übernahme durch Salesforce führt Slack keine eigene Liste der Unterauftragsverarbeiter mehr, der Link führt auf ein Sammeldokument von Salesforce. Der Monitor vergleicht es täglich und hat Änderungen am 24. September und am 5. Oktober 2026 festgehalten. Einzelne Namen kann er dort nicht auslesen, die Seite führt Slack unter „Nur Textprüfung“. Dass in Direktnachrichten regelmäßig Personaldaten und Kundenvorgänge stehen, schreibt die Seite selbst dazu.
Welche Firma nach einer gemeldeten Änderung neu dabei ist, lesen Sie in der Originalliste bei Salesforce nach.
8. Verlässlich beim Datum, stumm zu Apps
Ihr Kundenportal verlangt für neue Verträge eine Online-Identifizierung. Ein Kunde fragt, ob er sich demnächst mit der europäischen digitalen Identitäts-Wallet auf dem iPhone ausweisen kann.
Der Eintrag zur EUDI-Wallet im Fristenkalender von frag.hugo nennt zwei Termine. Bis zum 24. Dezember 2026 muss jeder Mitgliedstaat eine solche Wallet bereitstellen. Ab dem 24. Dezember 2027 müssen private Anbieter sie annehmen, wenn sie eine starke Online-Identifizierung verlangen, etwa Banken oder Energieversorger. Kleinst- und Kleinunternehmen sind ausgenommen. Im Filter „Betrifft mich“ erscheint der zweite Termin unter Finanzsektor, Online-Handel sowie Cloud & Daten.
Ob und ab wann die deutsche Wallet als App auf dem iPhone läuft, steht nicht im Eintrag. Ob Ihr Portal eine starke Identifizierung verlangt, steht in den Unterlagen Ihres Identifizierungsdienstleisters.
Kamera und private Geräte
9. Ein passender Fall, aus Papier statt vom Handy
Vor der Probefahrt fotografiert der Verkäufer den Führerschein des Kunden mit dem Dienst-iPhone. Die Bilder liegen danach in der Fotomediathek, die sich mit iCloud abgleicht, und gelöscht werden sie nie.
In der Bußgeld-Datenbank von frag.hugo steht der Bußgeldfall eines Autohändlers mit Ausweiskopien. Im März 2026 traf es einen überregionalen Automobilhändler aus Baden-Württemberg mit 120.000 €, weil Ausweiskopien im Papiermüll gelandet waren. Die Datenbank führt bei jedem Fall den Betrag, der nach einer Gerichtsentscheidung tatsächlich gilt. Für das Gespräch mit dem Verkauf reicht das als Beispiel, dass ein sorgloser Umgang mit Ausweiskopien Geld kostet.
Der Fall handelt von Papier. Wie eine Aufsicht Fotos auf einem Handy bewerten würde, lässt sich daraus nur vorsichtig ableiten, und die Mediathek räumt die Datenbank Ihnen nicht auf.
10. Gute Gliederung, die Abwägung bleibt Ihre
Der Vertrieb möchte Dienstmails auf seinen privaten iPhones lesen, und das MDM soll diese Geräte dafür aufnehmen. Die Datenschutzbeauftragte will vorher eine Datenschutz-Folgenabschätzung, also eine schriftliche Abwägung der Risiken nach Art. 35 DSGVO.
Die quelloffene PIA-Anwendung aus Frankreich stammt von der dortigen Datenschutzbehörde CNIL und führt Schritt für Schritt durch diese Abwägung. Im Quellcode auf GitHub liegt inzwischen eine deutsche Übersetzung der Oberfläche, die Sprache ist also kein Hindernis mehr.
Welche Daten das MDM auf einem privaten iPhone überhaupt sieht, steht in dessen Unterlagen. Das Programm stellt die Fragen, die Antworten liefern IT und Hersteller.
Drei Fächer im App-Katalog
Die meisten MDM-Systeme haben einen App-Katalog, aus dem sich die Belegschaft bedient. Nach dieser Durchsicht würden wir ihn so einteilen.
- Ins erste Fach kommen Apps, sobald der Firmentarif gebucht ist: Canva Business, Dropbox im Team-Tarif, Miro Business, ChatGPT Business, Claude Team und DeepL Pro Team. Zur Freigabe gehört der Eintrag im Verarbeitungsverzeichnis, bei Canva mit der Transfer-Folgenabschätzung.
- Ins zweite Fach gehört, was erst mit Enterprise-Vertrag passt. Das ist Notion samt beantragter Speicherung in Frankfurt, und es ist die Weitergabe aus Siri an ChatGPT. Für sie verlangt der Leitfaden von hagel IT einen Enterprise-Vertrag, ChatGPT Business aus dem ersten Fach reicht dafür nicht, und bis dahin bleibt sie per MDM-Profil aus.
- Gar nicht in den Katalog gehören private Konten in diesen Apps und der Kamera-Upload in eine private Cloud. Das schreiben Sie in die Richtlinie für die Diensthandys.
Steht der nächste Rollout schon morgen an, vergleichen Sie die Wunschliste mit der Tabelle oben und schalten die ChatGPT-Weitergabe ab. Alles andere kann bis zur nächsten Woche warten. Für Fragen ohne Bezug zu Apps, etwa zur Website oder zu NIS2, führt frag.hugo eine Übersicht für Datenschutzfragen abseits der Diensthandys.