Ratgeber · Recht & Compliance
Pet-Tracking-Apps und DSGVO: was rechtlich beim Hund erlaubt ist
Tracker wie Tractive, Weenect oder PetPace generieren Daten, die rechtlich nicht den Hund, sondern die Halter:in betreffen. Standortverlauf, Geräte-ID und Bewegungsmuster sind personenbeziehbar nach Art. 4 Nr. 1 DSGVO. Damit greift die volle Datenschutz-Pflicht, einschließlich Rechtsgrundlage nach Art. 6, Information nach Art. 13 und Drittland-Prüfung bei US-Cloud-Anbietern. Dieser Ratgeber zeigt die juristische Lage.
Pet-Tracking-Apps und Gesundheits-Apps für Hunde sind ein wachsender Markt. Tractive, Weenect, PetPace, FitBark, Tagg und andere bieten GPS-Halsbänder, Aktivitäts-Tracker und Gesundheits-Sensoren mit App-Anbindung. Was viele Halter:innen nicht wissen: Die rechtlich brisante Datenschicht ist nicht der Hund, sondern der Halter. GPS-Daten, Adresse, Geräte-ID und Bewegungsmuster sind personenbeziehbar nach DSGVO. Dieser Ratgeber zeigt die rechtliche Lage und worauf zu achten ist.
Warum DSGVO und nicht TierSchG
Die DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679) schützt nach Art. 1 Abs. 2 ausschließlich natürliche Personen, also Menschen. Tiere als solche fallen nicht in den Schutzbereich, ihre biometrischen Daten (Gewicht, Aktivität, Schlafphasen) sind ohne Halter-Bezug nicht DSGVO-pflichtig.
Das ändert sich aber sofort, wenn die Tier-Daten mit einer Person verknüpft werden. Genau das passiert bei jeder kommerziellen Pet-App:
- Der Account hat Name und E-Mail des Halters.
- Die Lieferadresse des Trackers ist die Wohnadresse.
- Die GPS-Daten zeigen meist die Wohnadresse als Heimat-Standort.
- Der Aktivitätsverlauf zeigt die Routine des Halters (Spaziergangzeiten).
- Die Geräte-ID verknüpft Tier-Daten mit Halter-Account dauerhaft.
Damit ist nach Art. 4 Nr. 1 DSGVO ein Personenbezug hergestellt, und alle DSGVO-Pflichten greifen.
Das Tierschutzgesetz (TierSchG) ist parallel relevant für Themen wie Mindestauslauf, artgerechte Haltung und Schmerzbehandlung. Die Datenverarbeitung selbst regelt es nicht. Wer ein juristisches Problem mit einer Pet-App hat, muss nach DSGVO argumentieren, nicht nach TierSchG.
Welche Daten typischerweise erhoben werden
Die Tabelle zeigt typische Datenarten bei einem GPS-Tracker und ihre rechtliche Einordnung.
| Datenart | Beispiel-Inhalt | Personenbezug | Rechtsgrundlage typisch |
|---|---|---|---|
| Account-Daten | Name, E-Mail, ggf. Adresse | Direkt | Art. 6 Abs. 1 lit. b (Vertrag) |
| Geräte-ID | Eindeutige Tracker-Seriennummer | Pseudonymisiert | Art. 6 Abs. 1 lit. b |
| Standortverlauf | GPS-Koordinaten mit Zeitstempel | Indirekt über Account | Art. 6 Abs. 1 lit. b |
| Heimatzone | Wohnadresse als Geofence | Direkt | Art. 6 Abs. 1 lit. b |
| Aktivitäts-Daten | Schritte, Schlaf, Spielzeit | Indirekt | Art. 6 Abs. 1 lit. b |
| Gesundheits-Sensorik | Herzfrequenz, Temperatur (PetPace) | Indirekt | Art. 6 Abs. 1 lit. b |
| App-Nutzungsdaten | Klicks, Sitzungen | Indirekt | Art. 6 Abs. 1 lit. f (Interesse) |
| Marketing-Cookies | Werbung, Newsletter | Indirekt | Art. 6 Abs. 1 lit. a (Einwilligung) |
Die meisten Daten fallen unter Vertragserfüllung, brauchen also keine separate Einwilligung. Marketing und nicht-essenzielle Cookies brauchen aktive Zustimmung.
Drittland-Übertragung an US-Anbieter
Eine der heikelsten Stellen der Pet-App-Welt ist die Datenübertragung in Drittländer, vor allem in die USA. Viele Anbieter nutzen AWS, Google Cloud oder Microsoft Azure, deren Datenverarbeitung teilweise in US-Rechenzentren stattfindet.
Die DSGVO-Lage:
- Übertragungen in Drittländer ohne Angemessenheitsbeschluss erfordern Standardvertragsklauseln (SCC) plus Transfer Impact Assessment (TIA).
- Seit dem Schrems-II-Urteil des EuGH (16. Juli 2020, C-311/18) sind US-Übertragungen besonders streng zu prüfen, weil die FISA Section 702 Behördenzugriff erlaubt.
- Der EU-US Data Privacy Framework (DPF) von 2023 hat die Lage entspannt, aber nur für zertifizierte Empfänger. Wer nicht im DPF-Verzeichnis steht, fällt zurück auf SCC plus TIA.
Praktisch: Wer einen Tracker mit US-Cloud-Backend nutzt, sollte in der Datenschutzerklärung des Anbieters prüfen, ob er DPF-zertifiziert ist und/oder SCC abgeschlossen hat. Ohne diese Absicherung ist die Übertragung formal rechtswidrig, auch wenn die Aufsichtsbehörden in der Praxis nicht jedes Einzeltool verfolgen.
Welche Rechte Halter:innen haben
Halter:innen können bei jedem Pet-App-Anbieter folgende Rechte geltend machen:
- Auskunft nach Art. 15: vollständige Liste der gespeicherten Daten.
- Berichtigung nach Art. 16: falsche Daten korrigieren.
- Löschung nach Art. 17: Konto und Verlauf löschen lassen.
- Einschränkung nach Art. 18: Verarbeitung pausieren bei Streit.
- Datenübertragbarkeit nach Art. 20: Daten in einer Datei exportieren.
- Widerspruch nach Art. 21: gegen Profile-Building und Direktmarketing.
- Beschwerde bei Aufsichtsbehörde nach Art. 77: bei DSGVO-Verstößen.
Anträge sind formfrei, am praktischsten per E-Mail an den Datenschutzbeauftragten des Anbieters. Antwortfrist ist nach Art. 12 Abs. 3 DSGVO ein Monat, verlängerbar um zwei Monate bei komplexen Anfragen.
Konkrete Prüfschritte vor dem Kauf
Wer einen Tracker oder eine Gesundheits-App neu kauft, kann sich mit fünf Schritten absichern.
Erstens die Datenschutzerklärung lesen. Ist sie auf Deutsch verfügbar? Listet sie konkret Datenarten, Zwecke und Rechtsgrundlagen auf? Eine pauschale Erklärung ohne Aufschlüsselung ist ein rotes Signal.
Zweitens die Serverstandorte prüfen. Idealerweise EU-Standorte. US-Standorte sind möglich, brauchen aber DPF-Zertifizierung oder SCC.
Drittens die Datenschutzbeauftragte:n im Impressum oder in der Datenschutzerklärung finden. Anbieter mit größerer Datenmenge sind verpflichtet, eine:n zu benennen. Fehlt der Eintrag bei größeren Apps, ist das ein Hinweis auf Compliance-Lücken.
Viertens den Löschprozess testen. Ein guter Anbieter erlaubt das Löschen direkt in der App oder mit einer einfachen E-Mail. Wer Bürokratie-Hürden aufbaut, hat ein Vermarktungs-Modell aus den Daten.
Fünftens nach Verschlüsselung fragen. Transportverschlüsselung (TLS 1.2 oder besser) sollte Standard sein. End-to-End-Verschlüsselung ist Premium-Feature und für sensiblere Anwendungen wünschenswert.
Konkrete Anbieter im DSGVO-Check
Eine vollständige Bewertung einzelner Anbieter ist im Wandel und sollte jeweils aktuell geprüft werden. Stand 2026 sind folgende Punkte dokumentiert.
Tractive (Sitz in Österreich) hat seine Datenverarbeitung weitgehend in EU-Rechenzentren konsolidiert. Die Datenschutzerklärung listet konkret die Verarbeitungszwecke auf, der Anbieter hat einen DSB benannt. Insgesamt eine der besseren DSGVO-Bilanzen im Markt.
Weenect (Sitz in Frankreich) hat ähnlich klare DSGVO-Strukturen, weil französische CNIL streng auf Konformität achtet. EU-Server, transparente Erklärung, geringere Drittland-Exposition.
PetPace (Sitz in den USA) hat seine Daten primär in US-Rechenzentren. Die Drittland-Übertragung ist offen erklärt, DPF-Zertifizierung sollte aktuell geprüft werden. Für sicherheitssensible Nutzer:innen ist hier ein Mehraufwand zu kalkulieren.
FitBark und vergleichbare US-Anbieter haben oft weniger ausgeprägte DSGVO-Strukturen, weil ihr Heimatmarkt anderen Vorgaben folgt. Wer einen US-Anbieter wählt, sollte die Datenschutzerklärung besonders sorgfältig prüfen.
Achtung: Die hier genannten Bewertungen können sich ändern. Anbieter ändern ihre Datenschutz-Praxis, Aufsichtsbehörden veröffentlichen neue Hinweise, DPF-Zertifizierungen werden gewährt oder entzogen. Vor dem Kauf immer die aktuelle Datenschutzerklärung des konkreten Anbieters lesen.
Verarbeitung im Auftrag: Auftragsverarbeitungs-Vertrag
Wenn ein Pet-App-Anbieter externe Dienstleister einbindet (Cloud-Hoster, Push-Notification-Provider, Crash-Reporting wie Sentry, Analyse-Tools wie Mixpanel), muss er nach Art. 28 DSGVO einen Auftragsverarbeitungs-Vertrag (AV-Vertrag) abschließen. Dieser regelt verbindlich:
- Welche Daten der Auftragsverarbeiter verarbeitet
- Zu welchen Zwecken
- Welche technisch-organisatorischen Maßnahmen (TOM) er einsetzt
- Wie er Sub-Unternehmer einbindet (mit oder ohne Zustimmung)
- Wie er bei Datenpannen meldet (Frist 72 Stunden)
Wer als Halter:in eine Auskunft nach Art. 15 DSGVO stellt, kann auch die Auftragsverarbeiter-Liste verlangen. Anbieter, die diese Liste verweigern oder schwammig auflisten, haben oft Compliance-Lücken. Eine vollständige AV-Liste enthält typischerweise 5 bis 15 Dienstleister, je nach Größe des Anbieters.
Die häufigsten Auftragsverarbeiter bei Pet-Apps:
- AWS, Google Cloud oder Microsoft Azure als Cloud-Hoster
- Sendgrid, Mailgun oder Postmark als E-Mail-Versand
- Firebase oder OneSignal für Push-Notifications
- Sentry oder Bugsnag für Crash-Reporting
- Stripe oder PayPal für Bezahlvorgänge
- Mixpanel, Amplitude oder Google Analytics für Verhaltens-Analytics
Bei jedem dieser Dienstleister ist ein eigener Drittland-Check nötig, weil viele in den USA sitzen oder dort Server haben.
Gesundheits-Apps mit Halter-Daten
Reine Hundealter-Rechner und Gesundheits-Apps wie hundejahrerechner.de selbst sind im Vergleich zu GPS-Trackern weniger problematisch, weil sie typischerweise keine personenbezogenen Daten erheben.
Konkret bei hundejahrerechner.de:
- Eingaben (Hundealter, Größe) werden im Browser verarbeitet, ohne Übertragung zum Server.
- Es gibt keinen Account, keine E-Mail-Pflicht, keine Adress-Erhebung.
- Falls Analytics genutzt werden, dann Umami als datenschutzfreundliche Alternative ohne Cookies und ohne IP-Speicherung.
- Falls AdSense genutzt wird, mit vorgeschaltetem Cookie-Banner und Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Diese Konfiguration ist beispielhaft für eine DSGVO-konforme Pet-Information-App. Wer einen anderen Rechner nutzt, sollte prüfen, ob die Mindeststandards erfüllt sind.
Quellen für die Vertiefung
- DSGVO-Volltext auf gesetze-im-internet, insbesondere Art. 6, 13, 15 bis 21
- BfDI mit deutschen Hinweisen und Aufsichtsentscheidungen
- EuGH-Schrems-II-Urteil als Maßstab für US-Übertragungen
- EU-US Data Privacy Framework Liste zertifizierter Anbieter
- TierSchG als Parallel-Rahmen für die nicht-Daten-Themen
Worauf es ankommt
Pet-Tracking-Apps verarbeiten Halter-Daten, nicht primär Tier-Daten. Die DSGVO greift mit allen Pflichten zu Rechtsgrundlage (Art. 6), Information (Art. 13), Drittland-Übertragung (Art. 44 ff.) und Betroffenenrechten (Art. 15 bis 21). Drei Hebel sind in deiner Hand. Erstens die Anbieterwahl: EU-Anbieter mit EU-Servern sind die einfachere DSGVO-Variante. US-Anbieter verlangen mehr Prüfung. Zweitens das Lesen der Datenschutzerklärung: sie sollte Verarbeitungszwecke, Rechtsgrundlagen, Speicherdauern und Drittland-Transfers konkret benennen. Pauschal-Erklärungen sind formal mangelhaft. Drittens die aktive Wahrnehmung der Betroffenenrechte: Auskunft, Berichtigung und Löschung sind formfrei beantragbar, Antwortfrist ein Monat. Wer einen reinen Hundealter-Rechner ohne Account nutzt wie auf dieser Seite, hat datenschutzrechtlich kein Problem, weil keine personenbezogenen Daten erhoben werden. Wer einen GPS-Tracker mit App nutzt, sollte vor dem Kauf einen kurzen DSGVO-Check machen, der typischerweise unter 15 Minuten dauert und vor späteren Überraschungen schützt. Bei begründeten Verdachtsmomenten ist die BfDI oder die zuständige Landes-Datenschutzbehörde der richtige Ansprechpartner für eine Beschwerde.
FAQ
Häufige Fragen
Sind Tierdaten überhaupt DSGVO-relevant?
Die DSGVO schützt nach Art. 1 Abs. 2 ausschließlich personenbezogene Daten natürlicher Personen, also Menschen. Tiere selbst sind keine Personen im Rechtssinn, ihre biologischen Daten (Gewicht, Bewegung, Schlafphasen) sind daher per se nicht DSGVO-pflichtig. Aber sobald diese Tierdaten mit Halter-Informationen verknüpft werden, was bei jeder kommerziellen Pet-App der Fall ist, gilt der gesamte Datensatz als personenbezogen. Der Tracker hat einen Account mit Name, E-Mail und meist Adresse. Die Geräte-ID verknüpft Standortverlauf mit diesem Account. Damit ist nach Art. 4 Nr. 1 DSGVO ein Personenbezug hergestellt und alle Pflichten greifen. Nur reine Tier-Forschung ohne Halter-Bezug (etwa anonymisierte Verhaltensdaten in der Wildtierforschung) bleibt DSGVO-frei. Bei kommerziellen Apps ist das praktisch nie der Fall.
Welche Rechtsgrundlage nutzen Pet-Tracker typischerweise?
Drei Optionen kommen in Betracht. Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO ist die häufigste, weil der Kauf des Trackers und die Nutzung der App einen Vertrag begründen, dessen Erfüllung die Datenverarbeitung erfordert. Standortdaten gehören zum Vertragskern, ihre Verarbeitung ist also nicht zustimmungspflichtig. Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO wird oft für Analysen und Produktverbesserung herangezogen, was eine Interessenabwägung mit den Betroffenenrechten erfordert. Einwilligung nach Art. 6 Abs. 1 lit. a ist nötig für Marketing-Mails, Werbe-Cookies und nicht-essenzielle Tracker. Wer die App startet, sollte in der Datenschutzerklärung die genaue Rechtsgrundlage pro Verarbeitungs-Zweck finden. Fehlt diese Aufschlüsselung, ist die DSGVO-Konformität bereits formal mangelhaft.
Sind GPS-Daten besondere Kategorien nach Art. 9 DSGVO?
Standortdaten als solche fallen nicht unter Art. 9 DSGVO. Die besonderen Kategorien sind abschließend aufgezählt: rassische und ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten zur Identifizierung, Gesundheitsdaten, Daten zum Sexualleben. Standortdaten gehören nicht dazu. Aber Standortdaten können indirekt Gesundheitsdaten preisgeben, etwa wenn der Tracker regelmäßige Besuche bei einem onkologischen Tierarztzentrum aufzeichnet. In solchen Konstellationen würden Datenschutzaufsichten den erweiterten Schutz nach Art. 9 anwenden. Praxisrelevant: GPS-Daten an Halter-Adressen sind hochsensibel, weil sie das Wohnverhalten offenlegen. Eine Drittland-Übertragung in die USA ist daher mit erhöhter Schwelle zu prüfen. Wer einen Tracker kauft, sollte auf eine EU-Serverlage achten.
Was muss in der Datenschutzerklärung einer Pet-App stehen?
Art. 13 DSGVO listet konkret die Pflichtangaben. Erstens der Verantwortliche mit Name, Anschrift, Kontaktdaten und ggf. Datenschutzbeauftragten. Zweitens die Verarbeitungszwecke (Tracking, Verlauf, Auswertung, Marketing) mit jeweiliger Rechtsgrundlage. Drittens die Empfänger oder Empfängerkategorien, also auch Cloud-Hoster und Analyse-Tools. Viertens die Speicherdauer pro Datenart. Fünftens die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Datenübertragung, Widerspruch, Beschwerde bei der Aufsichtsbehörde). Sechstens die Drittlandtransfers mit der jeweiligen Rechtsgrundlage (Angemessenheitsbeschluss, Standardvertragsklauseln, ausdrückliche Einwilligung). Eine Datenschutzerklärung, die diese sechs Bereiche nicht abdeckt, ist formal mangelhaft. Eine Erklärung, die nur pauschal sagt 'wir achten Ihre Daten', ist juristisch wertlos und ein Bußgeldrisiko.
Was passiert, wenn ein Tracker-Anbieter gegen DSGVO verstößt?
Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes sind nach Art. 83 DSGVO möglich. In der Praxis wurden in den letzten Jahren mehrere Sechs- und Siebenstellige Bußgelder gegen App-Anbieter verhängt, etwa von der CNIL (Frankreich) gegen Anbieter mit mangelnder Einwilligung. Daneben gibt es zivilrechtliche Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO, in Deutschland teilweise mit fünfstelligen Beträgen anerkannt. Weiter können Aufsichtsbehörden Untersagungen aussprechen, also den Betrieb der App in der EU verbieten. Für Halter bedeutet das praktisch: ein Tracker, dessen Anbieter wegen DSGVO-Verstößen Schlagzeilen macht, ist ein Risiko. Wer einen neuen Tracker kauft, sollte vorab den Datenschutzpolitik prüfen und ggf. bei der BfDI (Bundesbeauftragte für Datenschutz und Informationsfreiheit) oder der zuständigen Landes-Behörde nachfragen.
Quellen