WhatsApp ist auf nahezu jedem Smartphone installiert, hat SMS längst den Rang abgelaufen und ist in vielen Unternehmen aus der internen und externen Kommunikation nicht mehr wegzudenken. Dabei besteht häufig sogar Bewusstsein für die rechtlich problematische Datenverarbeitung durch den amerikanischen Meta-Konzern (u. a. auch Facebook und Instagram).
Wir beleuchten für Sie insbesondere datenschutzrechtliche Fragen hierzu und erläutern Lösungswege – damit Sie von der großen Reichweite von WhatsApp mit möglichst geringem Schadensersatz- und Bußgeldrisiko profitieren können.
Ausgangslage
Häufig wird WhatsApp auf geschäftlichen und privaten Smartphones innerhalb des Unternehmens genutzt. Die meisten Geschäftsführer dulden die Nutzung wegen der großen Vorteile oder geben sogar Kommunikationsprozesse über dieses Medium vor. Vertriebler kontaktieren Kunden per WhatsApp, Mitarbeiter tauschen Dienstpläne aus oder Supportleistungen werden erbracht. Der Anwendungsbereich ist vielfältig, da (Produkt-)Fotos, Videos oder sonstige Dateien wie Präsentationen oder Preislisten sehr einfach ausgetauscht werden können.
Datenschutzbehörden haben jedoch grundsätzliche Bedenken bzgl. der Verwendung von WhatsApp in Unternehmen. Beispielsweise sei die Sicherheit der Verarbeitung von Verkehrs- und Bestandsdaten durch WhatsApp unzureichend. Dieser verbreitete Service sollte daher jedenfalls unternehmerisch bewusster und dann auch möglichst datenschutzkonform in die Datensicherheit im Unternehmen eingebunden werden.
Datenschutzrecht
Zunächst ist es datenschutzrechtlich problematisch, Dienste zu nutzen, die im Rahmen von Kommunikationsverkehr „mitlesen“ oder zumindest Hintergrunddaten auswerten. In den Datenschutzbedingungen von WhatsApp heißt es hierzu, dass eine „Ende-zu-Ende-Verschlüsselung“ für Vertraulichkeit sorgt.
Diese Betrachtungsweise greift datenschutzrechtlich jedoch zu kurz, da neben der Verarbeitung der Nachrichten auch vor- und nachgelagerte Prozesse beachtlich sind. WhatsApp wertet nämlich Metadaten wie Telefonnummer, Standort oder IP-Adresse aus – verarbeitet also personenbezogene Daten der Nutzer. Dies löst in der geschäftlichen Korrespondenz Rechtfertigungs- und Informationspflichten aus.
Gerade der automatische Kontaktabgleich im Telefonbuch ist ohne vorherige Zustimmung der betroffenen Kontaktperson gelegentlich problematisch. Eine Einwilligung wäre zumindest für Personen erforderlich, die den Nutzungsbedingungen von WhatsApp bislang nicht zugestimmt haben.
Daneben erfolgt die Backup-Sicherung von Chats – anders als die Nachrichtenübertragung – unverschlüsselt. Mit Dritten wie Apple, Samsung oder Google, die diese Sicherungen verwahren, wäre ein Auftragsverarbeitungsvertrag abzuschließen, was vom Unternehmen zu gewährleisten wäre.
Jedenfalls gilt, dass die von der Verarbeitung Betroffenen stets per Datenschutzerklärung über die Vorgänge informiert werden müssten. Zudem muss auch mit WhatsApp als Dienstleister ein Auftragsverarbeitungsvertrag abgeschlossen werden, was in der Standard-Version nicht möglich ist.
Lösungsmöglichkeiten im Kundenkontakt
Unabhängig von datenschutzrechtlichen Problemen sollten sich Unternehmen bewusst sein, dass die geschäftliche Nutzung von WhatsApp nur über die Version „WhatsApp Business“ erlaubt ist, wie die Nutzungsbedingungen von WhatsApp festlegen. Ansonsten drohen theoretisch Schadensersatzansprüche. Bei über 5 Mitarbeiterprofilen ist der Dienst kostenpflichtig.
Allerdings kann den rechtlichen Vorgaben mit dieser Version besser Sorge getragen werden: Die erforderliche Datenschutzerklärung kann ebenso wie ein Impressum hinterlegt werden. Auch der Auftragsverarbeitungsvertrag ist in der Business-Version verfügbar. Problematisch bleibt die Auswertung des Adressbuchs für Personen ohne eigenes WhatsApp-Konto allerdings auch hier. Entweder muss mit einem Tool für separate Adressbücher gearbeitet oder die Erfassung einiger Daten ohne WhatsApp-Mitgliedschaft in Kauf genommen werden.
Stets zu beachten sind daneben wettbewerbsrechtliche Vorgaben für gewerbliche Kommunikation. Auch über WhatsApp darf keine Kaltakquise betrieben werden. Bei Bestandskunden kann das anders sein. Hiermit beschäftigen wir uns in einem unserer nächsten Newsletter.
