WhatsApp im Unternehmen: Datenschutzrisiken und Alternativen

Schnell ein Foto vom Schaden an den Handwerker schicken, Termine mit Kunden abstimmen, im Team kurz etwas klären: Messenger wie WhatsApp gehören zum Alltag, auch im Beruf. Für Unternehmen bringt die Nutzung jedoch erhebliche datenschutzrechtliche Risiken mit sich. Wer WhatsApp geschäftlich einsetzt, sollte die Problemfelder kennen und bewusst entscheiden.

Problem 1: Das Adressbuch

Die private WhatsApp-App greift, wenn der Nutzer es zulässt, auf das Adressbuch des Smartphones zu und gleicht die Telefonnummern mit den Servern des Anbieters ab. Befinden sich auf einem Diensthandy Kontaktdaten von Kunden, Lieferanten oder Kollegen, werden diese damit an einen Dritten übermittelt, ohne dass die Betroffenen davon wissen oder eingewilligt haben. Dafür fehlt in aller Regel eine Rechtsgrundlage. Abhilfe schaffen technische Lösungen, die das Adressbuch von der App trennen, etwa Container-Lösungen auf Diensthandys.

Problem 2: Datenübermittlung in die USA

WhatsApp gehört zum Meta-Konzern. Auch wenn Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an (wer mit wem wann kommuniziert), die auch in Drittländer übermittelt werden können. Seit dem Schrems-II-Urteil ist die Übermittlung in die USA nur mit zusätzlichen Garantien zulässig, deren Wirksamkeit im Einzelfall zu prüfen ist. Wie streng Aufsichtsbehörden diese Frage sehen, zeigt die Entscheidung der österreichischen Datenschutzbehörde zu Google Analytics.

Problem 3: Kontrolle und Dokumentation

Werden geschäftliche Chats auf privaten Smartphones geführt, verliert das Unternehmen die Kontrolle über die Daten. Auskunftsersuchen, Löschpflichten und Aufbewahrungspflichten für Geschäftskorrespondenz lassen sich kaum erfüllen. Scheidet ein Mitarbeiter aus, nimmt er die Kundenkommunikation mit.

WhatsApp Business: die bessere Wahl?

Die Business-Varianten von WhatsApp bieten zusätzliche Vertragsbedingungen für Unternehmen. Bei der API-Lösung lassen sich Nachrichten außerdem über Dienstleister verwalten, ohne auf das Adressbuch zuzugreifen. Die Drittlandfrage bleibt aber auch dort zu prüfen. Ob ein Einsatz vertretbar ist, hängt von der konkreten Konfiguration, den vertraglichen Grundlagen und den kommunizierten Inhalten ab.

Empfehlungen für die Praxis

1. Entscheiden Sie bewusst, ob ein Messenger überhaupt dienstlich genutzt werden darf und wenn ja, welcher.
2. Prüfen Sie Alternativen. Es gibt Messenger europäischer Anbieter, die gezielt für den Unternehmenseinsatz konzipiert sind und Auftragsverarbeitungsverträge anbieten.
3. Gesundheitsdaten, Vertragsunterlagen oder Bankdaten gehören nicht in Messenger-Chats.
4. Verwalten Sie Diensthandys mit Mobile-Device-Management, getrennten Containern und Regelungen für Verlust und Ausscheiden.
5. Stellen Sie Nutzungsregeln für Beschäftigte auf und schließen Sie, soweit möglich, einen Auftragsverarbeitungsvertrag mit dem Anbieter.
6. Informieren Sie Kunden in der Datenschutzerklärung über die Nutzung.

Die private WhatsApp-App auf dem Diensthandy ist die schwierigste Variante. Wenn Sie Messenger-Kommunikation mit Kunden anbieten möchten, prüfen wir die geplante Lösung und erstellen die nötigen Richtlinien. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.