NEWS

Unzulässige WhatsApp-Nutzung in Unternehmen

WhatsApp ist ein Kommunikationskanal, den nahezu jeder kennt und nutzt. Immer mehr Unternehmen stellen folglich auch ihre Serviceleistungen wie z. B. Kundenbetreuungenauf Kanäle wie WhatsApp um oder nutzen es zumindest zur internen Kommunikation.

Doch wie sicher ist WhatsApp in Bezug auf den Datenschutz?

WhatsApp als sicheres Medium?

WhatsApp steht seit Jahren wegen datenschutzrechtlicher Bedenken in der Kritik, vor allem aufgrund seiner US-amerikanischen Muttergesellschaft Meta Platforms, Inc. Ein aktueller Vorfall machte erneut deutlich, wie berechtigt diese Kritik ist: Ein österreichisches Forschungsteam entdeckte, dass das komplette WhatsApp-Mitgliederverzeichnis ungesichert online abrufbar war. Mehr als 3,5 Milliarden Konten samt Telefonnummern, öffentlichen Schlüsseln, Profilbildern und weiteren Profildaten konnten heruntergeladen werden, was wahrscheinlich einer der größten Datenabflüsse überhaupt darstellt.

Doch trotz solcher Vorfälle wird WhatsApp weiterhin bedenkenlos in betriebliche Abläufe integriert. Besonders bei der internen Nutzung von WhatsApp wird häufig übersehen, dass die eingegebenen personenbezogenen Daten alle an Meta übermitteltwerden. Da Meta unter anderem Server in den USA hat, bedeutet dies zugleich eine Datenübertragung in ein unsicheres Drittland.

Bußgeld für WhatsApp-Nutzung?

In Nordrhein-Westfalen geriet so ein Taxiunternehmen wegen seiner WhatsApp-Nutzung in den Fokus der Landesdatenschutzbehörde. Bis zu diesem Zeitpunkt nutzten die Fahrer des Unternehmens WhatsApp zur internen Kommunikation. Dabei kam es immer wieder zum Austausch von personenbezogenen Daten der Kunden mittels WhatsApp-Gruppen. Geteilt wurden in diesen Gruppen unter anderem Namen, Adressen, Personal- und Schwerbehindertenausweise, Rezepte, Klinikdaten und Überweisungen sowie Fotos. All dies geschah ohne Einwilligung der Betroffenen. Die Landesdatenschutzbehörde untersagte daraufhin diese Praxis, da die Weitergabe der Daten weder erforderlich noch rechtmäßig war und zudem auch sensible Informationen betroffen waren. Aktuell wird ein Bußgeld geprüft. 

Die Landesdatenschutzbehörde warnt auch andere Unternehmen vor ähnlichen Verstößen und empfiehlt klare Regelungen für die interne Nutzung von WhatsApp. Während also bereits der interne Einsatz von WhatsApp erhebliche Datenschutzrisiken mit sich bringt, muss bei der direkten Kommunikation mit Kunden zusätzlich zwischen der WhatsApp Business App und der WhatsApp Business API unterschieden werden. Beide Lösungen sollen die Kundenbetreuungen vereinfachen und zum Beispiel schnelle Antworten ermöglichen, jedoch unterscheiden sie sich deutlich in ihrer DSGVO-Konformität.

Was ist der Unterschied zwischen der WhatsApp-Business-App und der Business API?

Die WhatsApp Business App ist kostenlos, app-basiert und eignet sich vor allem für kleine Unternehmen. Allerdings werden sämtliche Kundendaten direkt an WhatsApp bzw. Meta übermittelt, was deutliche Konflikte mit der DSGVO birgt. Zwar kommt durch die Installation der App und das Akzeptieren der Nutzungsbedingungen automatisch ein Auftragsverarbeitungsvertrag (AVV) mit WhatsApp bzw. Meta Platforms, Inc. zustande, der sicherstellen soll, dass der Auftragsverarbeiter ein ausreichendes Datenschutzniveau zusichert, dennoch können die im Gerät gespeicherten Kontakte ohne zusätzliche Einwilligung der Betroffenen automatisch synchronisiert und an Meta übermittelt werden. Auch das Erstellen von Backups ist kritisch zu bewerten, da hierbei vollständige Gesprächsverläufe, ohne eine ausreichende Verschlüsselung, in der Cloud (Google Drive oder iCloud) gespeichert werden. Eine vollständige DSGVO-konforme Nutzung der WhatsApp Business App ist somit nicht möglich.

Die WhatsApp Business API hingegen ist eine kostenpflichtige Schnittstelle, die über zertifizierte Business-Solution-Provider bereitgestellt wird. Hier liegt der entscheidende Unterschied darin, dass die Datenverarbeitung ausschließlich auf den Servern des jeweiligen Dienstanbieters erfolgt und nicht an Meta weitergegeben wird. Die API ist vollständig serverbasiert und eignet sich besonders für mittelständische und große Unternehmen, da sie ebenfalls eine unbegrenzte Nutzung ermöglicht. Durch die Nutzung der WhatsApp Business API wird die direkte Datenübertragung an Meta vermieden, sodass eine DSGVO-konforme Anwendung grundsätzlich möglich ist, sofern die Implementierung korrekt erfolgt.

Fazit

WhatsApp sollte in Unternehmen nur mit besonderer Vorsicht eingesetzt werden. Dabei ist zu berücksichtigen, dass der Anbieter Meta grundsätzlich nicht als DSGVO-konform eingestuft werden kann und immer wieder durch Datenschutzvorfälle  in den Fokus der Öffentlichkeit gerät. Wird WhatsApp dennoch eingesetzt, sollte es für die interne Nutzung klare Reglungen geben. Bei der Kommunikation mit Kunden ist zudem klar zur WhatsApp Business API zu raten.

Sprechen Sie uns gerne an, wenn Sie Fragen zu diesem und anderen Datenschutzthemen haben.