NEWS

225 Millionen Euro Bußgeld gegen WhatsApp – DSGVO konforme Alternativen 

Die irische Datenschutzaufsichtsbehörde DPC (Data Protection Commissioner) hat gegen WhatsApp ein Bußgeld u. a. aufgrund von fehlender Transparenz verhängt (Pressemitteilung). Selbst die 225 Millionen sind immer noch nur 0,08 % des Umsatzes der Facebook-Gruppe. Die DSGVO sieht Geldbußen von bis zu 4 % des Umsatzes vor. 
Es ist aber nicht davon auszugehen, dass durch diesen Verstoß WhatsApp grundlegende Änderungen in Bezug auf die Nutzung von WhatsApp vornimmt. Daher raten wir weiterhin von einer Nutzung im geschäftlichen Kontext ab.

Bußgeldgründe

Die Untersuchungen, die zu dem jetzt verhängten Bußgeld führten, hatte die DPC bereits 2018 begonnen. Hierbei geht es um Verstöße gegen die Transparenzvorgaben, die in Art. 12 bis Art. 14 DSGVO beschrieben sind. Vorgeworfen wird WhatsApp dabei vor allem, dass die Nutzerdaten der Kunden auch an Facebook, das WhatsApp einige Jahre zuvor übernommen hatte, weitergeleitet werden, ohne dass dies für die Nutzer transparent dargelegt wird. 

Info

Der Begriff Hashing (deutsch: zerhacken) bezeichnet die Transformation eines beliebig großen Datensatzes in eine Zeichenkette mit einer festen, kürzeren Länge, die den ursprünglichen Datensatz referenziert. Mittels einer Hashfunktion werden die einzelnen Elemente aus dem Datensatz zunächst einem Schlüssel und dann den Hashwerten zugeordnet, die die originalen Daten auf bestimmte Weise repräsentieren. Der Datensatz kann aus Zeichenfolgen, Listen, Dateien oder anderen Inhalten bestehen; die Schlüssel, die für diese Daten stehen, geben die Position der Elemente im Datensatz an, die mit ihnen durch Hashwerte verknüpft werden (RyteWiki).

Auch hat die DPC die Auffassung von WhatsApp gerügt, dass die gehashten Telefonnummern von Nichtnutzern keine personenbezogenen Daten darstellen würden. WhatsApp hasht laut eigenen Angaben die Telefonnummern und geht daher von anonymen Daten aus. Hashen ist ein völlig anderes Verfahren als Verschlüsseln, auch wenn die Begriffe immer wieder synonym verwendet werden. Anders als beim Verschlüsseln von Daten gibt es beim Hashen keinen Schlüssel, um aus dem Hashwert wieder den ursprünglichen Wert herstellen zu können. 
Vorliegend wurde aber durch Verbindung mit anderen Datensätzen eine „Nicht-Benutzer-Liste“ erstellt, die von WhatsApp gespeichert wird. Diese Liste falle unter die Definition von personenbezogenen Daten. Ergo fehlt es hier an einer Rechtsgrundlage der Verarbeitung und das hashen der Telefonnummern löst das Problem folglich nicht.

Wie schon oft von uns berichtet und oben durch die DPC festgestellt, stellt die Übermittelung von Kontakten an die Server von WhatsApp eine Übermittelung von personenbezogenen Daten dar. Hierfür bedarf es einer Rechtsgrundlage gem. Art. 6 DSGVO und für die Übermittelung in ein Drittland der DSGVO gem. Art. 44 ff., da man sich nicht auf das private Haushaltsprivileg der DSGVO berufen kann – im geschäftlichen Kontext.

Wird WhatsApp sein Produkt DSGVO anpassen?

Leider ist nicht ersichtlich, ob die DPC Verstöße gegen Art. 25 DSGVO „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ festgestellt hat. Diese Verstöße würden die Chance erhöhen, dass WhatsApp Änderungen an Ihrer Dienstleistung vornehmen muss.
Daher bleibt aktuell nur weiterhin unser Beratungsansatz, die Nutzung von WhatsApp im geschäftlichen Kontext zu unterlassen. 

Alternative Messenger können die Lösung sein

Nachfolgend stellen wir Ihnen ein paar Alternativen zu WhatsApp vor. Ein Umstieg sollte (auch bei Threema mit der OnPremise-Lösung) technisch kein Problem darstellen –für die betriebliche Kommunikation innerhalb Ihres Unternehmens, wenn benötigt, in Betracht gezogen werden, sollten Sie keine Lösung wie MS365 oder Slack nutzen.  

Threema

Threema vergibt eine zufällig generierte ID, unter der Sie für andere angezeigt werden. Sie können auf Wunsch einen eigenen Namen angeben. Der Anbieter speichert nach eigener Angabe Ihre Telefonnummer und/oder E-Mail-Adresse nur auf Wunsch und jeweils gehasht, um das Auffinden und die Erkennbarkeit zu erleichtern. Außerdem können die Telefonnummern bzw. E-Mail-Adressen Ihrer Kontakte abgeglichen werden, um Freunde zu finden. Hierzu werden die Daten aus dem eigenen Adressbuch nicht dauerhaft gespeichert, sondern es erfolgt ein Abgleich über einen temporären Hash (eine Verschlüsselungs- bzw. Pseudonymisierungs-Technik). Threema bekommt das Adressbuch mit E-Mail-Adressen und Telefonnummern von Freunden also nur anonymisiert und verspricht, sie zu keinem Zeitpunkt auf einen Datenträger zu schreiben und sofort wieder zu löschen.
Threema-Nachrichten sind – unabhängig von der Produktvariante – stets Ende-zu-Ende-verschlüsselt. Mit Threema Work gibt es außerdem schon seit 2016 ein Angebot für Unternehmen und Behörden. Nach-richtenvermittlung und Administration laufen dabei über Threema-Server in der Schweiz.

Manche Unternehmen und Behörden hätten aber noch höhere Ansprüche an die Datenhoheit und sähen Software-as-a-Service (Saas) kritisch, erklärte Threema-Chef Martin Blatter im Gespräch mit heise online. Für diese biete man nun zusätzlich die OnPrem-Variante an. "Zum Beispiel wollen manche Kunden das Administrationsportal lieber auf einem eigenen Server hosten." Funktional sind Threema OnPrem und das SaaS-Angebot Threema Work weitgehend identisch. Nutzer der On-Premises-Variante können jedoch ausschließlich intern kommunizieren, also nur mit Nutzern derselben Instanz. Dies biete auch Schutz vor Attacken von außen, erklärte Blatter: "Viele Kunden sorgen sich vor Malware und Social-Engineering-Angriffen." Nutzer von Threema Work können standardmäßig auch mit Externen kommunizieren, das lässt sich jedoch auch deaktivieren. 

Telegram

Telegram hat keine Datenschutzerklärung auf Deutsch. Neben der Notwendigkeit der Verknüpfung mit der Telefonnummer fordert die App die Angabe eines Vornamens. Ob die Angabe richtig ist, wird aber nicht überprüft. Ob andere Nutzer Ihre Telefonnummer sehen, können Sie einstellen. Die Funktion des Cloud-Chats mag zur geräteübergreifenden Nutzung praktisch sein, hierfür müssen aber sämtliche Chatinhalte verschlüsselt auf Servern gespeichert werden. Eine Ende-zu-Ende-Verschlüsselung bieten nur die "Secret-Chats", die aber extra ausgewählt werden müssen und die nicht für Gruppengespräche zur Verfügung stehen. Dazu kommt, dass Telefonnummern sowie Vor- und Nachnamen von Kontakten aus dem Adressbuch gespeichert werden, wenn die Kontaktsynchronisation genutzt wird. Ohne Zugriff auf das Adressbuch ist – anders als bei Android – bei iOS kein Start eines Chats möglich. Die Synchronisation kann an- und abgeschaltet werden und Kontakte können gelöscht werden. Bei Inaktivität von sechs Monaten werden die Nutzerdaten automatisch gelöscht. Der Zeitraum lässt sich in den Einstellungen ändern. Das Verschwinden einzelner Nachrichten kann nur in "Secret-Chats" mit unterschiedlichen Zeitstufen aktiviert werden und wirkt sich dann auf alle künftigen Nachrichten dieses Chats aus. 

Signal

Wer Signal nutzen möchte, kommt um die Angabe der eigenen Telefonnummer nicht herum. Auch ein Nutzername wird verlangt – hier gibt sich der Messenger aber auch mit der Angabe eines Pseudonyms oder sogar einem Emoji zufrieden. Wer den Zugriff auf die Kontakte nicht erlaubt, muss die Telefonnummer des Empfängers per Hand eintippen. Alle Chats sind standardmäßig Ende-zu-Ende verschlüsselt. Der Anbieter der Verschlüsselungstechnik, Open Whisper Systems, stellt keine Datenschutzerklärung auf Deutsch zur Verfügung. Das Unternehmen sitzt in den USA. Das Verschwinden einzelner Nachrichten kann pro Chat in unterschiedlichen Zeitstufen aktiviert werden und wirkt sich dann auf alle künftigen Nachrichten dieses Chats aus. 

Teamwire

Das Unternehmen hinter Wire sitzt in der Schweiz und hat Server in Deutschland und Irland. Wire lässt sich nicht ohne Angabe eines Namens und einer Handynummer oder E-Mail-Adresse nutzen. Da Wire übergreifend auf Smartphone und Rechner genutzt werden kann, werden Nachrichteninhalte verschlüsselt auf Servern zwischengespeichert, bis diese zugestellt sind. Die Kontakte synchronisiert der Messenger, indem er verschlüsselte Telefonnummern aus dem eigenen Kontaktbuch verwendet. Das ist jedoch freiwillig – auch ohne Zugriff aufs Adressbuch lässt sich Wire nutzen. Die gesamte Kommunikation wird verschlüsselt; Wire kann sie nicht entschlüsseln: Die erforderlichen Schlüssel befinden sich ausschließlich auf den Geräten der Gesprächspartner. Mit Wire kann man auch Nachrichten versenden, die sich nach einer bestimmten Zeit selbst zerstören. Neben der Basisversion gibt es auch Wire Teams speziell für die Unternehmenskommunikation.

Lock-In Effekt und fehlende Akzeptanz

WhatsApp ist derzeit der Messenger mit der größten Marktmacht und den höchsten Nutzer:innenzahlen. Für viele kommt daher ein Wechsel nicht in Betracht oder WhatsApp wird als Alternative weiterhin genutzt, um nicht Kontakt in vorhandenen Gruppen und zu Mitarbeiter:innen, Familienangehörigen sowie Kund:innen zu verlieren. Zusätzlich versucht der Konzern Facebook durch z. B. Verletzungen der Netzneutralität seine Marktanteile zu steigern. So hat WhatsApp bei Telekommunikationsprovidern das Recht gesichert, dass der Datenverbrauch von WhatsApp nicht auf das Datenvolumen von Mobilfunkverträgen angerechnet wird. Dieses so genannte Zero-Rating erhöht die Attraktivität von WhatsApp gegenüber alternativen Messengern.

Aber auch der Kostenpunkt ist leider nicht zu vernachlässigen. WhatsApp als kostenloser Dienst wirkt für Neunutzer:innen am attraktivsten und die Wahrung der Persönlichkeitsrechte ist den Nutzern in diesem Moment keine fünf Euro wert. Einmal angemeldet greift der Lock-In Effekt und der Absprung wird von Kontakt (Gruppe) zu Kontakt (Gruppe) unwahrscheinlicher. 

Wir sind bei allen Fragen rund um den Datenschutz gern für Sie da. Einfach jetzt klicken und uns eine Mail senden: