DSGVO: Ist WhatsApp noch erlaubt und wäre Signal eine Alternative?

Ist WhatsApp noch erlaubt? Der beliebte Instant-Messenger „WhatsApp“ eignet sich für Gruppenchats, Textnachrichten, kostenlose Sprachanrufe sowie für den Austausch von Fotos und Videos. Leider steht er im Konflikt mit der DSGVO und könnte Ihnen eine empfindliche Strafe eintragen. Die alternative App „Signal“ ist davon nicht betroffen.

WhatsApp ist einfach zu bedienen, fast jeder hat es installiert und es ist bis auf die anfallenden Datengebühren weltweit kostenlos nutzbar. Die Anwendung ist für nahezu jede Smartphone-Plattform verfügbar und es gibt auch einen Webdienst, über den damit auf dem PC oder Mac kommuniziert werden kann. WhatsApp mag damit als gute Option zur Kommunikation mit Kunden bzw. Patientenbesitzern erscheinen.

Leider gibt es eine Reihe von Gründen, warum die Messaging-App für den professionellen Einsatz nicht akzeptabel ist. Seit dem Inkrafttreten der DSGVO am 25. Mai 2018 verstößt die Speicherung von Benutzerdaten durch WhatsApp gegen die Datenschutzgesetze. In letzter Konsequenz kann die weitere Nutzung dazu führen, dass Ihr Unternehmen ins Radar der Datenschutzbehörde kommt und Ihnen eine „zweckmäßige und abschreckende“ Strafe aufgebrummt wird.

Die Weitergabe von Kontaktdaten – Ist WhatsApp noch erlaubt?

Problematisch bei der betrieblichen Nutzung von WhatsApp ist, wie die Messaging-App Ihre Kontaktlisten nutzt. Wenn Sie die App installieren, geben Sie ihr die Berechtigung, auf alle Kontakte auf Ihrem Gerät zuzugreifen. Wenn Sie WhatsApp auf Ihrem Firmenhandy mit Ihren beruflichen Kontakten nutzen, stellen Sie also alle diese Daten ohne deren Zustimmung zur Verfügung.

WhatsApp gehört seit 2016 zu Facebook. Der Kaufpreis von 19 Milliarden Dollar gibt schon einen guten Hinweis darauf, wie wertvoll der Dienst ist, obwohl kostenlos nutzbar ist und trotzdem auf Werbung verzichtet. Eine der Grundweisheiten der Internetökonomie ist: Wenn es dich nichts kostet, bist du das Produkt [1].

In diesem Fall sind also die Daten Ihrer Kontakte das wertvolle Gut mit dem Sie die kostenlose Nutzung bezahlen. Genau hier greift die neue Datenschutzgrundverordnung (DSGVO) ein, denn für eine derartige Verarbeitung (Übermittlung) benötigen Sie im betrieblichen Bereich eine Rechtsgrundlage. Wie wir in unserer Artikelserie im VET-Magazin ausführlich erläutert haben, kann so eine Rechtsgrundlage eine freiwillige Einwilligung der Betroffenen sein, ein rechtlicher Zwang (z.B. durch einen Vertrag oder ein Gesetz) oder ein „berechtigtes Interesse“ Ihrerseits.

Die Einwilligung der Betroffenen werden Sie kaum von all Ihren Kontakten bekommen, schon gar nicht zur Weitergabe an Facebook – und selektive Freigaben gibt es in WhatsApp nicht. Die alternativen Rechtsgrundlagen werden ebenfalls nur schwer zu begründen sein. Außerdem könnten Sie dann immer noch nicht das den Betroffenen zustehende Recht auf Widerspruch in die Verarbeitung erfüllen. Die Übermittlung an WhatsApp haben Sie mit der Installation durchgeführt. Damit sind Sie verpflichtet, WhatsApp über den erhaltenen Widerspruch zu informieren, was unseres Wissens derzeit aber nicht möglich ist. Lediglich die Betroffenen selbst können bei WhatsApp direkten Widerspruch aussprechen. Die Formulierung in den FAQ (frequently asked questions) [2] lässt allerdings den Schluss zu, dass WhatsApp eher nicht vorhat kooperativ zu sein. Als Unternehmen haften Sie für den Schutz von Kunden- und Mitarbeiterdaten, was die Nutzung von WhatsApp als Business-Kommunikationsplattform somit ausschließt.

Problem der Archivierung

Organisationen müssen jederzeit belegen können, wer Zugriff auf welche Daten hat. Bei WhatsApp können Daten, Dateien und Nachrichten grenzenlos gemeinsam genutzt werden, ohne dass im Detail protokolliert wird, wer Ihre Dateien sehen kann. Darüber hinaus zeichnet WhatsApp Daten der Kontakte auf und archiviert diese auf den eigenen Servern.

Personenbezogene Daten müssen sicher gelöscht werden, wenn ein Kontakt sein „Recht auf Vergessen“ ausüben möchte. Ohne verbindliche Vereinbarung (wie sie auch von Art. 28 gefordert wird) haben Sie aber keine Garantien, was auf den Servern von WhatsApp gespeichert ist und entzieht sich somit Ihrer Kontrolle. Wichtig ist hier nochmals: Das betrifft nicht die Nachrichteninhalte an sich, sondern die Kontaktdaten wie Name, Online-Status und Telefonnummer. Im Ergebnis bedeutet es wieder, dass Ihr Unternehmen nicht DSGVO-konform sein kann.

WhatsApp meint: Sie sind selbst verantwortlich

Wie sieht es nun aber WhatsApp selbst? Die Antwort ist eindeutig: WhatsApp möchte, dass Sie sich selbst um die Rechtmäßigkeit Ihrer Datenverarbeitung kümmern. Wörtlich steht in der Datenschutzrichtlinie [3]: „Von anderen über dich bereitgestellte Informationen. Wir erhalten Informationen über dich von anderen Nutzern und Unternehmen. Wenn beispielsweise andere dir bekannte Nutzer oder Unternehmen unsere Dienste nutzen, stellen sie möglicherweise deine Telefonnummer, deinen Namen und andere Informationen zur Verfügung (z. B. Informationen aus dem Adressbuch ihres Mobilgeräts oder im Falle von Unternehmen, zusätzliche Informationen über dich wie eindeutige Kennungen), genauso wie du möglicherweise ihre zur Verfügung stellst, oder sie senden eine Nachricht an dich oder Nachrichten an Gruppen, denen du angehörst, oder sie rufen dich an. Wir verlangen von jedem dieser Nutzer und Unternehmen, dass sie die rechtmäßigen Rechte besitzen, um deine Informationen zu erfassen, zu verwenden und zu teilen, bevor sie uns irgendwelche Informationen bereitstellen.“

Die verbindlichen Nutzungsbedingungen [4] sind der eigentliche Deal-Breaker: Dort heißt es beim Adressbuch: „Im Einklang mit geltenden Gesetzen stellst du uns regelmäßig die Telefonnummern von WhatsApp Nutzern und anderen Kontakten in deinem Mobiltelefon-Adressbuch zur Verfügung, darunter sowohl die Nummern von Nutzern unserer Dienste als auch die von deinen sonstigen Kontakten.“ Man sagt also sinngemäß: „Alles was Sie uns geben, muss im Einklang mit den Gesetzen stehen und es ist Ihre und nicht die Verantwortung von WhatsApp“.

An anderer Stelle der Nutzungsbedingungen [4] steht es nochmals deutlicher, nämlich bei Rechtmäßige und zulässige Nutzung: „Du darfst auf unsere Dienste nur für rechtmäßige, berechtigte und zulässige Zwecke zugreifen bzw. sie für solche nutzen. Du wirst unsere Dienste nicht auf eine Art und Weise nutzen […], die […] (f) eine nicht-private Nutzung unserer Dienste beinhaltet, es sei denn, dies wurde von uns genehmigt.“

WhatsApp verbietet Ihnen also sogar die berufliche Nutzung, wenn es dazu keine gesonderte Vereinbarung mit Ihnen gibt – und diese gibt es vermutlich nur für Business Produkte.

Weltweite Datenweitergabe

Sie müssen in der Lage sein, den Schutz Ihrer Kundendaten auch außerhalb der EU zu gewährleisten. Grundsätzlich erklärt WhatsApp für europäische Benutzer die Zuständigkeit seines Vertreters innerhalb der EU, nämlich die „WhatsApp Ireland Limited”. Zwar gilt auch in Irland seit 25. Mai die DSGVO, es hat aber abgesehen von Steuergesetzen einen Grund, warum ein Großteil der amerikanischen Internetgiganten ihren europäischen Hauptsitz in Irland gewählt haben. Gemäß Art. 56 Abs. 1 DSGVO ist also die bisher als relativ großzügig bekannte irische Datenschutzbehörde die federführende Aufsichtsbehörde in Sachen WhatsApp.

In den Nutzungsbedingungen [4] steht es wieder schwarz auf weiß: „Ermöglichung des globalen Zugriffs auf unsere Dienste. Zum Betreiben unseres globalen Dienstes müssen wir Inhalte und Informationen in Rechenzentren und Systemen auf der ganzen Welt speichern und verteilen.“ Das bedeutet, Sie als Unternehmen benötigen ausreichende rechtliche Garantien, die die Einhaltung der strengen europäischen Datenschutzgesetze bei denjenigen gewährleisten, an die Sie Ihre (Kontakt-)Daten übermitteln.

Eine solche Garantie besteht beispielsweise in der Zertifizierung eines (US-amerikanischen) Unternehmens durch den EU/US-Privacy-Shield und alle Großen, einschließlich Facebook, haben dies auch getan. Bezüglich WhatsApp heißt es: „WhatsApp hält die Datenschutzschild-Grundsätze für folgende Bereiche unseres Unternehmens (zusammen die „Partnerdienste“) ein: WhatsApp Business Produkte […] Partner (die für die Datenverarbeitung Verantwortlichen) können mithilfe der WhatsApp Business Produkte personenbezogene Informationen über ihre Kunden an WhatsApp übermitteln. Die Partner entscheiden, welche Informationen übermittelt werden. In der Regel umfassen diese Dinge wie Kundentelefonnummern und sonstige Informationen im Einflussbereich des Partners.“

Fazit

Die WhatsApp-Standard-App, wie sie praktisch jeder verwendet, ist gemäß den Nutzungsbedingungen gar nicht für den geschäftlichen Gebrauch zugelassen und scheidet aus rechtlicher Sicht daher aus. Die Business-App setzt technisch auf der Standard-App auf und dürfte daher ebenfalls alle Kontakte aus dem Telefonbuch an WhatsApp übermitteln. Immerhin unterwirft sich WhatsApp dafür aber dem Privacy Shield und auch die Texte der Bedingungen sind ein bisschen an eine Vereinbarung über die Auftragsverarbeitung nach Art. 28 angelehnt [5]. Nach Ansicht des Autors reicht es jedoch nicht für eine legale Nutzung aus.