Was ist DSGVO-Konformität für Spieleentwickler?

Die DSGVO-Konformität in diesem Fachbereich impliziert, dass sie sich an die Spielarchitektur, die Telemetrie und den Veröffentlichungsprozess gemäß den Datenschutzrichtlinien der EU anpassen muss. Der Hintergrund dieses Themas hängt mit der von den Studios verfolgten Strategie bezüglich des Rechts des Nutzers auf Privatsphäre zusammen. Dies umfasst sowohl die Standardpraktiken als auch den Grund für die Datenverarbeitung. Dieser Bereich kann auch durch Bußgelder von bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes gekennzeichnet sein.

Entwickler gehen manchmal davon aus, dass sie durch den Verzicht auf Identitäten den regulatorischen Anwendungsbereich einschränken können. Die Regeln zum Datenschutz im Internet sind jedoch ziemlich allgemein gehalten. Werden gesammelte Informationen dazu genutzt, eine Person zu identifizieren, so müssen die entsprechenden Regeln befolgt werden. Datenschutzgesetze gelten weiterhin für Telemetriedaten, die eine Person identifizieren können.

• Geräte- und Werbe-Identifikatoren: Apples Identifier for Advertisers (IDFA) und Google Advertising ID (GAID) überwachen Verhaltensmuster in Anwendungen und fallen in die Kategorie geschützter Online-Identifikatoren.
• Netzwerkprotokolle: IP-Adressen oder MAC-Adressen, die während des Server-Handshakes erfasst werden, fallen unter die Kategorien personenbezogener Daten.
• Kontoinformationen: Spielerprofile enthalten verifizierte E-Mails, interne Konto-IDs und Logins von Diensten wie Steam oder PlayStation Network.
• Gameplay-Telemetrie und Kommunikation: Ingame-Metriken stehen neben Kaufaufzeichnungen und unverarbeiteten Sprach- oder Textprotokollen. Diese Aspekte beziehen sich auf den Umgang mit Verhaltensdaten.
• Praxisbeispiel: Absturzprotokolle, die von einem mittelgroßen Multiplayer-Studio erfasst werden, bündeln oft IP-Adressen zusammen mit lokalen Systemkonfigurationen. Das Studio behandelt Protokolle dieser Art als Spielerdaten-Assets.

Digitale Sicherheitsregeln sind mit Bewertungssystemen von Organisationen wie der ESRB und PEGI verknüpft. Sie sind auch an Gesetze wie den Children’s Online Privacy Protection Act (COPPA) gebunden, die sich in bestimmten Regionen auf jüngere Nutzer konzentrieren. EU-Richtlinien legen in der Regel 16 Jahre als Ausgangspunkt für das Einwilligungsalter fest. Einige Mitgliedstaaten senken diese Zahl auf 13 Jahre, wenn es zu ihrem Ansatz passt. Studios fügen in der Regel Altersüberprüfungen in die Einrichtung ein. Sie lassen personalisiertes Tracking bei der jüngeren Altersgruppe standardmäßig deaktiviert. Gleichzeitig sorgen Teams für eine dokumentierte elterliche Zustimmung, bevor Informationen von diesen Konten abgerufen werden.

Die Implementierung zuverlässiger Mechanismen zur Erfassung der Spielerabsicht bildet den Kern der initialen Benutzerinitialisierungspipelines. Studios müssen klare Einwilligungsabläufe der Spieler implementieren, bevor sie Hintergrundanalyseaufgaben oder Drittanbieter-Werbenetzwerke starten:

• Ersteinrichtung: Titel müssen während der Kontoinitialisierung eindeutige Opt-in-Kontrollkästchen präsentieren, wobei Nutzungsbedingungen von Datenschutzberechtigungen getrennt werden.
• Einwilligung für In-App-Käufe: Profiling und Transaktionen sollten vor jeglicher Verarbeitung eine eigene separate Zustimmung haben. In-App-Käufen.
• Integration mit ATT: Beim Einsatz der App auf mobilen Geräten sollte die ATT-Anfrage auf Plattformebene im Einklang mit den internen Datenschutzeinstellungen des Spiels stehen.

Gemäß Artikel 17 kann ein aktiver Spieler die dauerhafte Löschung aller persönlichen Daten vom Entwickler oder Publisher verlangen. Der Prozess muss in aktuell laufenden Live-Service-Umgebungen implementiert werden, was bedeutet, dass zuverlässige und automatisierte Datenpipelines im Backend vorhanden sein müssen.

Entwicklungsteams trennen verhaltensbasierte Gameplay-Telemetriedaten von eindeutigen persönlichen Identifikatoren, um eine Löschung zu verarbeiten, ohne Mehrspielerumgebungen zu beschädigen. Aggregierte Spielergebnisse bleiben erhalten, während individuelle Spielerreferenzen zu statischen, generalisierten Token wechseln.

Spieleentwickler greifen in vielen Projekten auf externe Plugins zurück. Hier kommen Produktionszyklen ins Spiel. Publisher bleiben in diesen Konstellationen jedoch rechtlich verantwortlich, da die gesamte Angelegenheit damit zusammenhängt, wie jegliche Software-Entwicklungskit (SDK) erfasst Spielerdaten, bei denen die Autorisierung nicht dokumentiert ist.

Teams stellen die Compliance sicher, indem sie diese Schritte in der Praxis befolgen:

1. API-Nutzdaten zuordnen: Netzwerk-Tools erfassen die genauen Felder, die Telemetrie-, Werbe- oder Anti-Cheat-SDKs an Dritte versenden.
2. Initialisierungsverzögerungen erzwingen: Die Engine fest programmieren, sodass keine externen SDKs starten, bevor der erstmalige Zustimmungsbildschirm bestätigt ist.
3. Anbieterverträge prüfen: Vereinbarungen mit Werbeanbietern und Analyseplattformen werden auf Datenverarbeitungsvereinbarungen (DVV) die übereinstimmen.
4. SDK-Berechtigungen isolieren: Beschränken Sie Berechtigungen auf Engine-Ebene, sodass nicht-essentielle Komponenten nicht auf Geräte-Hardware-Adressen oder Geolokalisierungskoordinaten zugreifen können.

Die Entscheidung über Compliance-Mechanismen hängt mit Ihrem Distributionsansatz und den Endnutzern zusammen. Studios wägen dies anhand von drei Fragen ab.

• Sind die Titel herunterladbar oder zugänglich für Personen, die im Europäischen Wirtschaftsraum leben?
• Gibt es Systeme, die Verhaltensinformationen oder Geräte-Tokens sammeln oder Anzeigen schalten?
• Gibt es jüngere Spieler?

Bei bejahenden Antworten müssen Maßnahmen ergriffen werden. Zu den Überlegungen in diesem Fall gehören der Standort des Spielers, Einkommensquellen und Ressourcen für die Datenverarbeitung.