WhatsApp und die EU-DSGVO - kann ich WhatsApp zur internen Kommunikation in meinem Business verwenden?

 

Mit seinen über zwei Milliarden Nutzern ist WhatsApp inzwischen aus der privaten Kommunikation nicht mehr wegzudenken. Da liegt es fast schon auf der Hand, dass WhatsApp oft auch für die unternehmensinterne Kommunikation verwendet werden soll. Doch leider ist WhatsApp datenschutzrechtlich nicht unproblematisch, denn WhatsApp gleicht die Kontaktdaten im Adressbuch ab. Außerdem steht hinter WhatsApp die Meta Platforms, Inc. - die Muttergesellschaft von Facebook, die nicht unbedingt für vorbildlichen Datenschutz bekannt ist.

Bild: WhatsApp

In diesem Artikel werden wir die DSGVO-Konformität von WhatsApp für die unternehmensinterne Kommunikation näher beleuchten. 

Der Begriff „Geldbuße“ klingt so, als ginge es um ein paar Euro. Bei den Geldbußen nach der Datenschutz-Grundverordnung (EU-DSGVO) sieht das allerdings etwas anders aus. Und auch sonst weisen sie einige Besonderheiten auf, die man kennen sollte.

Geldbußen in maßloser Höhe?

„Irrsinn“ war ein Begriff, den man anfangs häufig hören konnte, wenn es um die mögliche Höhe von Geldbußen nach der EU-DSGVO ging. Und tatsächlich: Eine maximale Höhe von 20 Millionen Euro bzw. 4% des gesamten weltweit erzielten Konzern-Jahresumsatzes des vorangegangenen Geschäftsjahrs ist eine echte Ansage.

Geldbußen nach EU-DSGVO

Doch wie so oft im Leben sollte man auch hier genauer hinsehen, um was es eigentlich geht...

Seit dem 01. Januar 2019 ist mit Ulrich Kelber erstmals ein Informatiker der Bundesbeauftragte für den Datenschutz und die Informationssicherheit – er folgt auf Andrea Voßhoff. In einem Interview äußert sich Kelber zum Thema WhatsApp.

Neuer Bundesdatenschutzbeauftragter

Ende November wurde der SPD-Abgeordnete Ulrich Kelber zum neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gewählt. Kelber wurde zum Nachfolger von Andrea Voßhoff (CDU). Das Amt trat Kelber zum 01. Januar 2019 an und legte dafür sein Bundestagsmandat nieder.

Neuer Bundesdatenschutzbeauftragter äußert sich zu WhatsApp

Klare Aussage gegen den Messenger-Dienst WhatsApp

In einem Interview mit Legal Tribune Online (LTO) stellt Ulrich Kelber dar, ...

Nur 20% aller Internetnutzer haben irgendwie geregelt, was nach ihrem Tod mit den Accounts bei Facebook, Whatsapp & Co. geschehen soll. Bei den Internetnutzern der Generation 65 plus sind es – man mag es kaum glauben – sogar nur 4%! Das ist das Ergebnis einer repräsentativen Umfrage des Digitalverbands Bitkom. Alles nicht so schlimm? Dieser lockere Spruch trägt so lange, bis es ernst wird.

Digitales Leben

Viele Menschen leben heute regelrecht digital. Die Bankverbindung, der Stromvertrag – alles läuft über das Internet, schriftliche Unterlagen existieren überhaupt keine mehr. Bilder sind in einer Cloud abgelegt oder auf einem Smartphone, beides natürlich mit Passwort gesichert. Der gesamte Austausch mit Freunden und Bekannten läuft über Facebook, Threema usw.

Facebook, Whatsapp und Co. - So regeln Sie Ihren digitalen Nachlass

E-Mail-Account am Arbeitsplatz

Und was geschieht im Todesfall?

Ende August 2016 hatte WhatsApp angekündigt, künftig Nutzerdaten an die Konzernmutter Facebook weiter zu geben. Wir berichteten auf diesem Blog.

Die massive Kritik von Seiten der Datenschützer an diesem Vorhaben zeigt nun Wirkung: Daten von europäischen WhatsApp-Nutzern werden nicht an Facebook weitergegeben - vorerst zumindest.

Einladung zum Vortrag bei der IHK Reutlingen

Vortrag zur EU-Datenschutzgrundverordnung #DSGVO am Dienstag 15.11.2016 ab 13:30 Uhr

Gemeinsam mit der IT-Rechtsanwältin Dr. Anke Thiedemann referiert Thomas Ströbele, Geschäftsführer der yourIT und Berater für Datenschutz und Informationssicherheit zu den Neuerungen der EU-DSGVO und zur praktischen Umsetzung in mittelständischen Unternehmen.

Dienstag 15.11.2016 ab 13:30 Uhr bei der IHK in Reutlingen



Das sollten Sie nicht verpassen!

WhatsApp hat am 25.08.2016 zum ersten Mal seit der Übernahme durch Facebook die Nutzungsbedingungen und Datenschutzrichtlinie geändert.Vor 2 1/2 Jahren hat sich Facebook den Messenger-Dienst WhatsApp für 19 Milliarden Dollar einverleibt. Ein solcher Mega-Deal muss sich irgendwann auszahlen. Dazu verknüpft Facebook nun die Nutzer-Daten von WhatsApp mit den eigenen. Sie können dies verhindern. Wir zeigen Ihnen hier, was sie tun müssen.

WhatsApp Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie

Auf dem Weg zum gläsernen Internet-Nutzer

Kurz nach der Übernahme durch Facebook hatten die WhatsApp-Verantwortlichen noch auf dem WhatsApp Blog verkündet: "Und das wird sich für euch, unsere Benutzer, ändern: Nichts. [...] Es hätte zwischen unseren beiden Firmen nie eine Partnerschaft geben können, wenn wir in irgendeiner Form unsere grundlegenden Prinzipien, die unsere Firma, unser Produkt und unsere Vision definieren, hätten verletzten müssen."

Donnerstag 25.08.2016 ist der Tag, an dem dieses Versprechen offiziell gebrochen wurde. Experten gehen davon aus, dass WhatsApp und Facebook bereits seit der Übernahme Nutzer-Daten austauschen. Ebenfalls auf dem WhatsApp Blog wurde nun die aus Sicht von WhatsApp notwendigen Änderungen der WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie verkündet - mit weitreichenden Folgen!

Diese neuen WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie sind ein weiterer Schritt hin zum gläsernen Internet-Nutzer.

"Heute aktualisieren wir zum ersten Mal seit vier Jahren die Nutzungsbedingungen und Datenschutzrichtlinie von WhatsApp, als Teil unserer Pläne in den kommenden Monaten Wege zu testen, wie Personen mit Firmen kommunizieren können. Die aktualisierten Dokumente spiegeln auch wider, dass wir jetzt ein Teil von Facebook sind [...]"

Was ändert sich?

Durch die neuen Bedingungen nimmt sich WhatsApp das Recht, WhatsApp-Account-Informationen mit Facebook zu teilen, um die Erlebnisse der Nutzer mit Werbung und Produkten auf Facebook zu "verbessern". Die Chats und die Telefonnummer des Nutzers werden aber auch weiterhin nicht auf Facebook geteilt.

Es geht also nicht nur um die Weitergabe der Mobilfunknummer des WhatsApp-Nutzers an Facebook, wie die seit Donnerstag kursierenden Pressemeldungen und Blogbeiträge suggerieren (vgl. BILD.de). Das wäre vermutlich wirklich nicht so schlimm, weil die meisten Facebook-Nutzer ihre Mobilfunknummer eh schon im Facebook-Account hinterlegt haben.

Sondern es geht zumindest prinzipiell darum, dass ALLE WhatsApp-Daten eines Nutzers an Facebook weitergeleitet werden sollen.

Als externem Datenschutzbeauftragten ist mir diese Denkweise von amerikanischen Unternehmensgruppen bereits bekannt. Alle Daten im Konzern sollen allen Konzernunternehmen bedingungslos zur Verfügung stehen, um damit den Profit zu optimieren. In Deutschland sehen wir das anders. In unserem BDSG gibt es kein Konzernprivileg. Jedes Konzernunternehmen wird als einzelnes Unternehmen betrachtet und unterliegt für die Datenweitergabe denselben Ansprüchen wie externe Unternehmen. Es ist also jeweils einzeln zu klären, ob eine Datenweitergabe überhaupt in Frage kommt und wenn ja, zu welchem Zweck welche Daten weitergegeben werden dürfen und ob es sich dabei um eine Auftragsdatenverarbeitung gemäß § 11 BDSG (Controller - Prozessor) oder um eine Funktionsübertragung (Controller - Controller) handelt.

WhatsApp versucht sich mit der aktuellen Zustimmungs-Anfrage zu den neuen WhatsApp Nuntzungsbedingungen und zur Datenschutzrichtlinie nun offiziell eine Einwilligung gemäß § 4a BDSG einzuholen.

Was bedeutet das?

WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates I

WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates II

WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates III

WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie

Bleiben die Chats auf WhatsApp tatsächlich privat?

WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook

Kann ich als Nutzer wiedersprechen?

Möglichkeit 1 - Einfach nicht zustimmen!

WhatsApp FAQ neue Nutzungsbedingungen und Datenschutzrichtlinie

Möglichkeit 2 - Zustimmung zurücknehmen - Nur bis 24.09.2016 möglich!

WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook

WhatsApp-Nutzer-Account Meldung nach Zustimmung der Daten-Weitergabe an Facebook

WhatsApp-Account ohne Zustimmung zur Datenweitergabe an Facebook

Ist mein Widerspruch wirksam?

WhatsApp FAQ Hinweis zur Datenweitergabe an Facebook-Unternehmensgruppe

Welche Möglichkeiten haben neue Nutzer?

WhatsApp neuer User Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie

Fazit zu den neuen WhatsApp Nutzungsbedingungen und zur Datenschutzrichtlinie

Der zweifelhafte Datenschutz von Facebook steht schon seit Jahren in der Kritik - auch das mittlerweile zu dem sozialen Netzwerk gehörende WhatsApp ist davon betroffen. Während private Nutzer kein großes Risiko eingehen, kann die Verwen-dung durch Unternehmen schwere Strafen nach sich ziehen - denn die betriebliche Nutzung unterliegt den Regelungen des Bundesdatenschutzgesetzes BDSG. Technische und organisatorische Maßnahmen sind zu treffen.

Datenschutz-Konflikt - WhatsApp-Verwendung kann für Unternehmen teuer werden

Problematische Übertragung der Kontakte an WhatsApp

Gerade konnte WhatsApp einmal positive Pressemeldungen generieren. Dank der Einführung der Ende-zu-Ende-Verschlüsselung ist es Dritten beinahe unmöglich, die Nachrichtenübertragung abzufangen.

Doch eine andere Sicherheitslücke ist damit noch nicht geschlossen:

Ein falscher Knopfdruck und die Übertragung aller Kontakte aus dem Adressbuch des Nutzers an den Messenger-Diensteanbieter beginn. Dies gilt auch weiterhin als datenschutzrechtlich problematisch. Weshalb? Die "Kontakte" in Ihrem Smartphone haben in der Regel nicht in die Übertragung an WhatsApp eingewilligt.

Peter Burgstaller, österreichischer Professor für IT- und IP-Recht, geht davon aus, dass es sich dabei um einen strafbaren Verstoß gegen europäisches Datenschutzrecht handelt. Folgt man der Auffassung des Rechtsgelehrten, wäre dabei nicht nur Dienstanbieter, sondern auch der Nutzer in Haftung zu nehmen - schließlich sei ihm die Übertragung der Kontakte und damit der Verstoß gegen das Datenschutz-recht bekannt.

Private Nutzung rechtlich unproblematisch

Andere Juristen wiegeln ab: Bei einer Verwendung der App mit der Familie oder Freunden habe man keine Konsequenzen zu befürchten, so Rechtsanwalt Christian Solmecke von WBS Law. Er geht davon aus, dass das Bundesdatenschutzgesetz in einem solchen Fall nicht greife. Maximal sei eine Verletzung des Persönlichkeitsrechts gegeben. Doch auch Solmecke sieht diese Art der Kontaktdaten-Übertragung problematisch. WhatsApp begehe damit sehr wohl einen Verstoß gegen das Datenschutzgesetz und müssen mit der Verhängung von Geldstrafen rechnen. Dass es dazu noch nicht gekommen ist, ist mutmaßlich auf das bisherige Ausbleiben von Klagen durch Verbraucherschützer zurückzuführen. Mutterkonzern Facebook musste diese Erfahrung kürzlich bereits machen: Auch hier wurde festgestellt, dass die "Freunde finden"-Funktion gegen den Datenschutz verstoße und gleichzeitig eine belästigende Werbung darstelle. Der Unterschied dabei besteht in der Wichtigkeit für die beiden Dienste. Während Facebook auf diese Funktion problemlos verzichten kann, dürfte es WhatsApp durchaus Schwierigkeiten bereiten, eine Alternative für den Abgleich der Kontaktdaten zu finden. Möglicherweise könnten diese Daten aber bereits vor dem Versand an die Unternehmensserver verschlüsselt werden.

Unternehmen sollten von WhatsApp absehen

Bis diese Frage geklärt ist, sollten verantwortliche Geschäftsführer und IT-Leiter in den Unternehmen alarmiert sein. Denn während der private Gebrauch nicht den Regeln des Bundesdatenschutzgesetzes unterliegt, könnten die Behörden an Unternehmen sehr wohl hohe Bußgelder verhängen. Ebenso ratsam ist es, auch den gemischten beruflichen und privaten Gebrauch der App zu unterlassen, weil auch hier die strenge Gesetzgebung zur Anwendung kommt. Die einhellige Empfehlung der Juristen lautet daher, besser auf die berufliche Nutzung von WhatsApp zu verzichten. Ggf. sollten Sie auf einen weniger neugierigen Anbieter setzen.

Hinterfragt man die betriebliche Nutzung der Dienste von WhatsApp aus Geschäftsprozess-Sicht kann man schnell zu dem Ergebnis kommen, dass man das Bedürfnis der Mitarbeiter zur schnellen und unkomplizierten Kommunikation auch mit anderen - vielleicht sogar hausinternen - integrierten Lösungen darstellen kann. Hier gilt wie so oft: Integration statt Insellösungen - mit DOCUframe.

Übrigens: Die private Nutzung von WhatsApp auf einem Firmengerät stellt im Regelfall ebenfalls einen Verstoß dar.

Ausgezeichnete Datenschutz-Beratung gewünscht

yourIT ist BEST OF CONSULTING 2016. Unsere Beratungspakete

• Datenschutz-§-11-Zertifizierung für Auftragsdatenverarbeiter
• Kern-Prozessanalyse
• Büro 4.0 - Wo lohnt die Digitalisierung?
• Sicherheitsaudit "IT-Infrastruktur"
• Informations-Sicherheitsanalyse ISA+
• Basis-Check ISO27001

wurden beim Innovationspreis-IT der Initative Mittelstand mit dem Preis BEST OF CONSULTING 2015 und 2016 ausgezeichnet. Wir freuen uns auf Ihre Anfragen.

7 Preise in 2 Jahren - das kann kein Zufall sein