> Wie Sign in with Apple personenbezogene Daten nach der DSGVO verarbeitet: OAuth-Ablauf, optionales E-Mail-Relay, Cookies auf Apple-ID-Domains und Transfers.
>
> Canonical: https://www.flowconsent.com/de/services/sicherheit/apple-sign-in

Sicherheit

# Apple Sign-in

Notwendig · [Offizielle Website](https://developer.apple.com/sign-in-with-apple/)

Sign in with Apple ist Apples Identity Provider. Nutzer melden sich auf Websites und in Apps mit ihrer Apple ID per OAuth 2.0 und OpenID Connect an, optional über eine E-Mail-Weiterleitung.

[Apple Sign-in bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=security) · [Meine Website scannen](https://www.flowconsent.com/de/scan)

Auf einen Blick

- Kategorie

  [Sicherheit](https://www.flowconsent.com/de/services/sicherheit)

- Einwilligung

  Notwendig

- Vorherige Einwilligung

  Erforderlich

- Dokumentierte Cookies

  5

- Drittanbieter-Domains

  4

- Server

  Apple infrastructure operated globally with EU and US presence; OAuth token validation against appleid.apple.com

Überblick

## Was macht Apple Sign-in?

Sign in with Apple ist Apples Identity Provider, verfügbar seit 2019. Er implementiert OAuth 2.0 und OpenID Connect und ist für iOS-Apps Pflicht, die Social Logins anbieten. Im Web wird er per offiziellem JS-SDK oder per direkter OAuth-Weiterleitung an appleid.apple.com eingesetzt. Apple positioniert ihn als datenschutzorientierte Alternative zu Google und Facebook Login.

## **Was Apple Sign-in leistet**

Die Website rendert einen Sign-in-with-Apple-Button. Beim Klick wird der Nutzer auf appleid.apple.com geleitet, meldet sich mit seiner Apple ID an (Passwort, Biometrie oder 2FA) und autorisiert die Scopes (Name, E-Mail). Apple liefert einen OAuth-Authorisierungscode, den die Website gegen ID-Token und Refresh-Token tauscht, signiert von Apple. Der Flow entspricht Standard-OpenID-Connect.

## **Cookies und erfasste Daten**

Das Sign-in-with-Apple-JS-SDK kann ein kleines First-Party-Cookie auf der Händlerdomain setzen, um den Anmelde-Status zu merken. Die Mehrheit der Cookies liegt auf appleid.apple.com (s\_pers, dssid2, dssf, geo). Der Händler erhält einen stabilen Apple-Identifier (sub), die echte E-Mail oder eine privaterelay.appleid.com-Adresse und den Namen bei der ersten Autorisierung.

## **DSGVO- und ePrivacy-Folgen**

Der OAuth-Flow wird vom Nutzer ausgelöst und stützt sich auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Cookies, die strikt zum Abschluss der Anmeldung nötig sind, fallen unter die Ausnahme für unbedingt erforderliche Cookies. Analytics-Cookies des SDKs auf der Button-Seite sind nicht erforderlich und benötigen eine Einwilligung. Apple agiert als eigenständig Verantwortlicher für die Kontoverwaltung und als Auftragsverarbeiter für die ausgelieferte Assertion.

## **Datentransfer in die USA**

Apple betreibt appleid.apple.com weltweit mit EU- und US-Infrastruktur. OAuth-Tokens können in US-Rechenzentren validiert werden. Apple ist im EU-US Data Privacy Framework zertifiziert. Übermittlungen stützen sich zusätzlich auf Standardvertragsklauseln. Dokumentieren Sie den Transfer im Verarbeitungsverzeichnis.

## **Rechtskonforme Einbindung**

Setzen Sie Sign in with Apple über das offizielle SDK ein, fordern Sie nur erforderliche Scopes (Name, E-Mail) und behandeln Sie die privaterelay.appleid.com-Adresse wie eine echte E-Mail für Transaktionsnachrichten. Nennen Sie Apple in der Datenschutzerklärung als Authentifizierungs-Auftragsverarbeiter mit US-Transfer. Bieten Sie mindestens eine alternative Anmelde-Methode an.

Datenschutz

## Apple Sign-in und die DSGVO

Apple Sign-in ist als „Notwendig“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.

- Rechtsgrundlage

  Contract performance (Art. 6(1)(b) GDPR) for the sign in initiated by the user, consent (Art. 6(1)(a)) for any non strictly necessary cookies on the button page

- Risikostufe

  low

- Anwendbare Vorschriften

  GDPR, ePrivacy Directive, EU-US Data Privacy Framework, App Store and Apple Developer Program License Agreement

### Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist für eine reguläre OAuth-Integration meist nicht erforderlich. Sie kann sinnvoll sein, wenn Apple Sign-in die einzige Anmelde-Option ist (Accessibility, Abhängigkeit) oder mit umfangreichem Profiling kombiniert wird. Dokumentieren Sie die angeforderten Scopes, die E-Mail-Behandlung (echt oder Relay) und den US-Transfermechanismus.

### Beispieltext für Ihr Banner

> Sign in with Apple ist ein von Apple betriebener Authentifizierungsdienst. Wir nutzen ihn für die Registrierung oder Anmeldung mit Ihrer Apple ID. Apple setzt Cookies auf der Apple-ID-Domain und verarbeitet Identitäts-Tokens in der EU und den USA. Dies ist für den von Ihnen ausgelösten Anmelde-Flow erforderlich und benötigt keine zusätzliche Einwilligung.

Cookies und Tracker

## Was Apple Sign-in setzt und kontaktiert

- Tracking-Methode

  OAuth 2.0 and OpenID Connect flow with Apple ID, JavaScript SDK for the Sign in with Apple JS button, server side token validation

- Serverstandort

  Apple infrastructure operated globally with EU and US presence; OAuth token validation against appleid.apple.com

- Datenübermittlung außerhalb der EU

  Sign in with Apple is operated by Apple Inc (US). OAuth tokens and identity assertions flow through Apple servers in the EU and the US. Transfers rely on the EU-US Data Privacy Framework (Apple is certified) and on Standard Contractual Clauses combined with a Transfer Impact Assessment.

### Gesetzte Cookies (5)

| Name    | Typ          | Laufzeit | Zweck                                                                                                                        |
| ------- | ------------ | -------- | ---------------------------------------------------------------------------------------------------------------------------- |
| aasp    | http\_cookie | Session  | State cookie set by the Sign in with Apple SDK on the merchant domain to bind the OAuth callback to the originating session. |
| s\_pers | http\_cookie | 2 years  | Apple analytics cookie set on appleid.apple.com to recognise returning Apple ID sessions.                                    |
| dssid2  | http\_cookie | Session  | Apple session identifier used during the Apple ID authentication.                                                            |
| dssf    | http\_cookie | Session  | Apple fraud prevention cookie used during the Apple ID authentication flow.                                                  |
| geo     | http\_cookie | Session  | Stores the region detected by Apple for the current Apple ID session.                                                        |

### Kontaktierte Drittanbieter-Domains (4)

- `appleid.apple.com`
- `appleid.cdn-apple.com`
- `idmsa.apple.com`
- `privaterelay.appleid.com`

Fragen

## Häufige Fragen zu Apple Sign-in

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

[Schreiben Sie uns](https://www.flowconsent.com/de/demo)

### Welche Cookies setzt Apple Sign-in?

Das Sign-in-with-Apple-JS-SDK kann ein kleines First-Party-Cookie auf der Händlerdomain setzen, um den Anmelde-Status zu merken. Die wichtigsten Cookies liegen auf appleid.apple.com (s\_pers, dssid2, dssf, geo) und sind für den OAuth-Flow erforderlich.

### Erfordert Apple Sign-in eine DSGVO-Einwilligung?

Cookies, die strikt zum Abschluss der Anmeldung nötig sind, fallen unter die Ausnahme aus Art. 5 Abs. 3 ePrivacy bzw. § 25 TTDSG. Die Verarbeitung des OAuth-Flows stützt sich auf Vertragserfüllung, sobald der Nutzer klickt. Etwaige Analyse- oder Marketing-Cookies darüber hinaus benötigen eine Einwilligung.

### Was ist die Rechtsgrundlage für die Verarbeitung?

Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO ab Klick auf den Sign-in-Button. Einwilligung nach Art. 6 Abs. 1 lit. a für etwaige zusätzliche, nicht erforderliche Cookies auf der Button-Seite.

### Werden Daten außerhalb der EU übermittelt?

Ja. Apple Inc ist ein US-Unternehmen und betreibt appleid.apple.com weltweit mit EU- und US-Rechenzentren. OAuth-Tokens können in den USA validiert werden. Apple ist im EU-US Data Privacy Framework zertifiziert und bietet SCCs.

### Ist eine DSFA erforderlich?

Eine DSFA ist für eine reguläre OAuth-Integration in der Regel nicht erforderlich. Sie wird relevant, wenn Apple Sign-in die einzige Anmelde-Option ist (Accessibility, Abhängigkeit) oder mit umfangreichem Profiling kombiniert wird.

### Wie binde ich Apple Sign-in rechtskonform ein?

Nutzen Sie das offizielle SDK, fordern Sie nur erforderliche Scopes (Name, E-Mail), behandeln Sie privaterelay.appleid.com wie eine echte E-Mail für Transaktionsnachrichten, nennen Sie Apple in der Datenschutzerklärung und bieten Sie mindestens eine alternative Anmelde-Methode an.

### Gibt es Alternativen zu Apple Sign-in?

Alternativen: E-Mail und Passwort mit Magic Links, Google Sign-in, Microsoft-Konto, Passkeys (WebAuthn), GitHub OAuth, Identity-Provider wie Auth0, Clerk, Stytch, Okta oder Keycloak. Wahl je nach Zielgruppe und regulatorischen Anforderungen.

### Wie aktualisiere ich meine Cookie-Richtlinie für Apple Sign-in?

Listen Sie das kleine First-Party-Cookie des SDKs als unbedingt erforderlich und verweisen Sie auf die appleid.apple.com-Cookies als Drittanbieter-Authentifizierungs-Cookies. Nennen Sie Apple als Authentifizierungsanbieter, den US-Transfermechanismus und verlinken Sie die Apple-Datenschutzerklärung.

Gleiche Kategorie

## Weitere Dienste: Sicherheit

[Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/sicherheit)

### [IBM DataPower](https://www.flowconsent.com/de/services/sicherheit/ibm-datapower)

[Sicherheit](https://www.flowconsent.com/de/services/sicherheit/ibm-datapower)

·

### [BuySafe](https://www.flowconsent.com/de/services/sicherheit/buysafe)

[Notwendig](https://www.flowconsent.com/de/services/sicherheit/buysafe)

·

### [Sardine](https://www.flowconsent.com/de/services/sicherheit/sardine)

[Notwendig](https://www.flowconsent.com/de/services/sicherheit/sardine)

·

### [Akismet](https://www.flowconsent.com/de/services/sicherheit/akismet)

[Notwendig](https://www.flowconsent.com/de/services/sicherheit/akismet)

·

### [SimpleSAMLphp](https://www.flowconsent.com/de/services/sicherheit/simplesamlphp)

[Notwendig](https://www.flowconsent.com/de/services/sicherheit/simplesamlphp)

·

### [ipify](https://www.flowconsent.com/de/services/sicherheit/ipify)

[Notwendig](https://www.flowconsent.com/de/services/sicherheit/ipify)

## Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

[Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)