„Kann ich Ihnen auch eine WhatsApp schicken?“ WhatsApp hat unter den Messenger-Apps längst eine Art Monopolstellung eingenommen. Nahezu alle nutzen die Anwendung im Alltag, wodurch WhatsApp auch für Unternehmen ein äußerst attraktiver Kommunikationskanal ist – sei es im Austausch mit der Kundschaft, mit Geschäftskontakten oder mit den eigenen Mitarbeitenden. Doch beim geschäftlichen Einsatz ist Vorsicht geboten: Bei der Nutzung kann es schnell zu Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) kommen.
1. Anwendbarkeit der DSGVO
Ein weit verbreiteter Irrtum ist, dass Datenschutzbestimmungen nur bei der externen Kommunikation mit der Endkundschaft greifen. Wer WhatsApp im Firmenkontext nutzt, muss beachten: Die Regelungen der DSGVO gelten ebenso für die Kommunikation mit Mitarbeitenden sowie mit Lieferorganisatorinnen, Lieferanten und weiteren Geschäftskontakten. Nur dort, wo es sich um rein private Nachrichten handelt, finden die Vorgaben der DSGVO keine Anwendung.
Senden Führungskräfte Dienstpläne, Arbeitsanweisungen oder personenbezogene Kontaktdaten per Standard-WhatsApp an Teammitglieder, verstoßen sie ohne passende Rahmenbedingungen genauso gegen geltendes Recht wie beim unbedachten Umgang mit Kundendaten.
2. Der Auftragsverarbeitungsvertrag (AVV)
Verarbeitet ein externer Dienstleister personenbezogene Daten im Auftrag eines Unternehmens, schreibt die DSGVO zwingend den Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO vor. Bei der Nutzung von WhatsApp verarbeitet Meta (der Mutterkonzern) Daten der nutzenden Personen im Auftrag des Unternehmens. Der Vollständigkeit halber sei hier erwähnt, dass durchaus auch die Auffassung vertreten wird, Meta agiere nicht im Auftrag des Unternehmens, weshalb gar keine Auftragsverarbeitung vorläge, sondern das Unternehmen und Meta als gemeinsame Verantwortliche i.S.d. Art 26 DSGVO agieren.
Unternehmen, welche die WhatsApp-Business-App nutzen, vereinbaren gleichzeitig auch einen AVV mit Meta. Das Problem dabei ist jedoch, dass dieser nicht den strengen Anforderungen des Art. 28 DSGVO genügt. Eine Vereinbarung, um als gemeinsam Verantwortliche im Sinne der DSGVO zu gelten, wird damit ebenfalls nicht geschlossen.
Um WhatsApp dennoch rechtssicher im Unternehmen zu nutzen, führen die Wege über sogenannte B2P-Lösungen (Business-to-Person) bzw. über die offizielle WhatsApp Business Platform (API).
Hierbei binden Unternehmen WhatsApp über spezialisierte europäische Business Solution Provider (BSPs) ein. Diese Anbieter schließen einen eigenständigen, rechtssicheren AVV direkt mit dem Unternehmen ab, gewährleisten die Einhaltung der DSGVO-Richtlinien und stellen sicher, dass Daten ausschließlich über datenschutzkonforme Server innerhalb der Europäischen Union verarbeitet werden.
3. Wichtige Praxistipps für die tägliche Nutzung
Neben der passenden Software-Lösung sollten Unternehmen folgende Stellschrauben beachten:
- Keine sensiblen Daten austauschen:
Der Austausch sensibler Daten sollte nach Möglichkeit nicht über WhatsApp erfolgen. Das gilt beispielsweise für Krankmeldungen und Atteste von Mitarbeitenden oder für vertrauliche Firmeninterna. Je sensibler die verarbeiteten Daten sind, desto genauer schauen auch die Datenschutzbehörden hin. - Cloud-Backups deaktivieren:
Standardmäßig sichert WhatsApp Chatverläufe in der Cloud. Da diese Sicherungen auf US-amerikanischen Servern gespeichert werden und von dortigen Behörden eingesehen werden können, müssen automatische Cloud-Backups in den App-Einstellungen zwingend deaktiviert werden. - Adressbuch-Zugriff unterbinden (Kontaktsynchronisation):
WhatsApp greift standardmäßig auf das gesamte Telefonbuch des Smartphones zu und liest alle Kontaktdaten aus – auch von Personen, die WhatsApp gar nicht nutzen und niemals eine Einwilligung gegeben haben. Auf Dienstgeräten muss dieser Zugriff unterbunden werden. - Einwilligung der Kundschaft einholen:
Vor der ersten Kontaktaufnahme über den Messenger sollte eine Opt-in-Einwilligung eingeholt werden oder der Erstkontakt geht aktiv von der anfragenden Person aus. - Datenschutzerklärung anpassen:
Die Datenschutzerklärung des Unternehmens sollte um einen entsprechenden Passus ergänzt werden, sobald WhatsApp als Kommunikationskanal angeboten oder genutzt wird.
Fazit
Die Antwort auf die Frage „Kann ich Ihnen auch eine WhatsApp schicken?“ lautet für Unternehmen „kommt darauf an“. Die Nutzung der Standard-App birgt erhebliche Datenschutzrisiken und kann teure Bußgelder nach sich ziehen. Wer jedoch auf professionelle B2P- bzw. API-Lösungen setzt, einen sauberen AVV schließt, auf den Austausch sensibler Daten verzichtet und die Sicherheitseinstellungen anpasst, kann Risiken minimieren und als echten Servicevorteil in der täglichen Kommunikation nutzen.