Blog · 2026-08-11
Ist meine Lovable-App DSGVO-konform? Die 15-Punkte-Checkliste
By the howsafeismyapp team
Die App steht nach einem Nachmittag mit Lovable, die ersten Nutzer melden sich an — und dann fragt jemand: „Ist das eigentlich DSGVO-konform?" Gute Frage. Hier ist die Checkliste, die unser Scanner bei jeder App durchgeht; jeder Punkt verlinkt eine Klartext-Erklärung mit Fix. (Praktische Orientierung, keine Rechtsberatung.)
Die zwei Funde, die wirklich weh tun
1. Die Datenbank ist ohne Login lesbar. Lovable-Apps nutzen meist Supabase, und der Browser spricht direkt mit der Datenbank-API. Ohne konfigurierte Row Level Security kann jeder mit Ihrer Projekt-URL die Nutzertabelle lesen — kein Passwort nötig. Das ist der schwerwiegendste Fund in der Praxis und ab echten Nutzerdaten ein meldepflichtiges Thema (Art. 32/33 DSGVO). Was es bedeutet und wie Sie es beheben →
2. Ein Admin-Schlüssel im Frontend-Code. Der anon-Key gehört in den Browser, der service_role-Key niemals. KI-Builder erwischen gelegentlich den falschen — und dann hat jeder Fremde Vollzugriff. Selbst prüfen →
Die Einwilligungs-Fallen
Die häufigsten Abmahn- und Bußgeldthemen für kleine Anbieter sind keine Hacker — es ist Tracking vor der Einwilligung (§ 25 TDDDG):
- Tracking lädt, bevor jemand einwilligen konnte. Feuert Google Analytics oder ein Meta-Pixel beim Seitenaufruf, hilft auch das schönste Cookie-Banner darunter nichts — die Anfrage ist schon raus. Details →
- Tracking-Cookies ohne Einwilligung — gleiche Norm, anderes Symptom. Details →
- Google Fonts direkt von Google. Das LG München I hat 2022 Schadensersatz zugesprochen, weil Besucher-IPs an Google flossen; die Abmahnwelle danach traf gezielt kleine Seiten. Selbst hosten dauert 15 Minuten: deutsche Anleitung →, Sofort-Check →
Ob Sie überhaupt ein Banner brauchen, hängt allein davon ab, ob Sie einwilligungspflichtige Dienste einsetzen — ein Tool ohne Tracker braucht keins: Analytics ohne Banner →
Die Pflichtangaben, die Deutschland tatsächlich durchsetzt
- Impressum. Bei geschäftsmäßigen Angeboten verlangt § 5 DDG eines — und ein fehlendes Impressum ist der am leichtesten meldbare Fund überhaupt. Details → · Impressum-Check →
- Datenschutzerklärung. Art. 13 DSGVO verlangt sie, sobald Sie personenbezogene Daten verarbeiten — ein Anmeldeformular reicht. Details →
Die technische Hygiene-Schicht
Art. 32 DSGVO („geeignete technische Maßnahmen") plus Standard-Security-Header — einzeln klein, zusammen das Erste, worauf ein professioneller Blick fällt:
- Ressourcen über unverschlüsselte Verbindungen
- Öffentlich erreichbare Source Maps — Ihr Quellcode, eine URL entfernt
- Content-Security-Policy, HSTS, Clickjacking-Schutz, nosniff — Header-Sofort-Check →
Der Punkt, den alle vergessen
Barrierefreiheit (BFSG). Seit Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz für viele verbraucherorientierte digitale Angebote — fehlende Alt-Texte, keine Tastaturbedienung, schwache Kontraste sind jetzt Compliance-Themen. Details →
Sinnvolle Reihenfolge
- Heute: offene Datenbank, exponierte Schlüssel — das sind wartende Datenpannen.
- Diese Woche: Tracker entfernen oder sauber gaten, Fonts selbst hosten.
- Vor der Bewerbung der App: Impressum, Datenschutzerklärung.
- Nächster ruhiger Nachmittag: Header, Source Maps, Barrierefreiheits-Basics.
Häufige Fragen
Ich sitze nicht in Deutschland — gilt das trotzdem?
Die DSGVO knüpft an die Nutzer an (Art. 3 Abs. 2): Wer Menschen in der EU adressiert, ist erfasst — unabhängig vom eigenen Sitz. Die Impressumspflicht zielt auf Angebote für den deutschen Markt.
Reicht die Checkliste, oder brauche ich einen Anwalt?
Die Checkliste deckt die sichtbaren, technischen und formalen Basics — das, was Scanner, Wettbewerber und Abmahner zuerst sehen. Für Vertragswerke (AVV, AGB) und Grenzfälle bleibt anwaltliche Beratung der richtige Weg; unser Report ist dafür die Arbeitsgrundlage.
Wie prüfe ich das alles am schnellsten?
Passiv von außen — so wie es jeder Besucher-Browser sieht. Unser kostenloser Check läuft alle 15 Punkte in etwa einer Minute durch: ohne Login, ohne Installation, ohne Speicherung.