In regelmäßigen Abständen werden wir als externe Datenschutzbeauftragte der CAS Datenschutz GmbH & Co. KG gefragt, ob WhatsApp im Unternehmen datenschutzkonform eingesetzt werden kann und welche Anforderungen dabei zu beachten sind. Häufig geht es dabei auch um WhatsApp im Bewerbungsprozess, bei Kundenanfragen, Bestellungen oder im Support.
WhatsApp ist für viele Unternehmen attraktiv: Der Messenger ist weit verbreitet, einfach zu bedienen und bei Kunden etabliert. Gleichzeitig entstehen beim geschäftlichen Einsatz Datenschutzrisiken. Unternehmen müssen daher genau prüfen, für welche Zwecke WhatsApp genutzt werden soll, welche personenbezogenen Daten verarbeitet werden und auf welcher Rechtsgrundlage die Kommunikation erfolgt.
Eine pauschale Antwort auf die Frage, ob WhatsApp im Unternehmen DSGVO-konform eingesetzt werden kann, gibt es nicht. Entscheidend sind der konkrete Anwendungsfall, die technische Umsetzung und die getroffenen Schutzmaßnahmen.
Warum ist WhatsApp für Unternehmen problematisch?
WhatsApp gehört zu den meistgenutzten Messenger-Diensten weltweit. Aus Sicht des Datenschutzes ist die geschäftliche Nutzung jedoch nicht unproblematisch.
Der Messenger gehört zum Meta-Konzern und verarbeitet neben Kommunikationsinhalten weitere Daten. Dazu können Telefonnummern, Geräteinformationen, Nutzungsdaten und Metadaten gehören. Zusätzlich besteht das Risiko, dass Kontakte aus dem Adressbuch verarbeitet oder an den Anbieter übermittelt werden.
Problematisch ist dies besonders bei Personen, die WhatsApp selbst nicht nutzen. Diese Personen haben den Nutzungs- und Datenschutzbedingungen von WhatsApp nicht zugestimmt. Befinden sich ihre Telefonnummern dennoch im Adressbuch eines geschäftlich genutzten Geräts, muss das Unternehmen prüfen, ob für die damit verbundene Datenverarbeitung eine ausreichende Rechtsgrundlage besteht.
Auch mögliche Datenübermittlungen außerhalb der Europäischen Union sind zu berücksichtigen. Unternehmen müssen nachvollziehen können, welche Daten verarbeitet werden, wer Empfänger ist und welche Schutzmaßnahmen bei einer Übermittlung in ein Drittland greifen.
Die Ende-zu-Ende-Verschlüsselung löst diese Fragen nicht vollständig. Sie schützt zwar die Inhalte während der Übertragung. Metadaten, Kontaktinformationen oder technische Nutzungsdaten können jedoch weiterhin verarbeitet werden.
Unternehmen müssen deshalb eine zulässige Rechtsgrundlage nachweisen und geeignete technische sowie organisatorische Maßnahmen treffen.
Lösungsansätze und Schutzmaßnahmen für eine DSGVO-konforme Nutzung
Da sich die Datenschutzrisiken beim Einsatz von WhatsApp nicht vollständig ausschließen lassen, sollten Unternehmen zunächst genau prüfen, welche Anwendungsfälle tatsächlich sinnvoll und erforderlich sind.
1. Denkbare Anwendungsfälle und Vorgehensweise
WhatsApp sollte im Unternehmen nicht ohne klare Regeln für jede Art von Kommunikation eingesetzt werden. Stattdessen sollten konkrete Verwendungszwecke definiert und dokumentiert werden.
Denkbare Anwendungsfälle sind beispielsweise:
- Ein Bewerber möchte eine Bewerbung oder Rückfrage per WhatsApp übermitteln.
- Ein Kunde sendet ein Foto eines defekten Bauteils für eine Ersatzteilbestellung.
- Ein Kunde fragt den Bearbeitungsstand einer Bestellung ab.
- Das Unternehmen beantwortet einfache Supportanfragen.
Datenschutzrechtlich ist eine Nutzung besser zu begründen, wenn die betroffene Person WhatsApp bereits selbst verwendet und den Kommunikationskanal aktiv auswählt. Dennoch bedeutet die Kontaktaufnahme nicht automatisch, dass das Unternehmen die Telefonnummer anschließend für beliebige weitere Zwecke nutzen darf.
Ist der Anwendungsfall definiert, empfiehlt sich folgende Vorgehensweise:
- Nutzung eines separaten Smartphones mit eigener geschäftlicher Nummer
- Einrichtung mit einem möglichst leeren Adressbuch
- Verzicht auf private Kontakte und nicht erforderliche Apps
- Bekanntgabe der Nummer nur für festgelegte Anwendungsfälle
- Bereitstellung von Datenschutzhinweisen zu Beginn der Kommunikation
- Kommunikation nur mit Personen, die selbst Kontakt aufnehmen oder zugestimmt haben
Besonders sensible Daten, etwa Gesundheitsdaten, Ausweisdokumente oder vertrauliche Personalunterlagen, sollten nur nach einer gesonderten Prüfung übermittelt werden.
2. Nutzung von WhatsApp Business
Für die geschäftliche Nutzung sollte grundsätzlich WhatsApp Business statt der privaten Standardversion verwendet werden. WhatsApp Business bietet zusätzliche Funktionen wie Unternehmensprofile, Begrüßungsnachrichten, Abwesenheitsnachrichten und eine bessere Organisation von Chats.
Die Nutzung von WhatsApp Business führt jedoch nicht automatisch dazu, dass der gesamte Einsatz DSGVO-konform ist. Unternehmen müssen weiterhin prüfen, welche Daten verarbeitet werden, welche Rechtsgrundlage greift und wie Betroffene informiert werden.
Private und geschäftliche Kommunikation sollten klar getrennt werden. Sinnvoll sind ein separates Endgerät, eine eigene Telefonnummer und ein eindeutig zugeordnetes Unternehmensprofil. Dort können die Firmenbezeichnung sowie Links zum Impressum und zur Datenschutzerklärung hinterlegt werden.
3. Verschlüsselung und zusätzliche Sicherheitsmaßnahmen
WhatsApp verwendet eine Ende-zu-Ende-Verschlüsselung für Nachrichten und Anrufe. Trotzdem sind zusätzliche Sicherheitsmaßnahmen erforderlich.
Dazu gehören insbesondere:
- ein sicherer Gerätecode oder eine biometrische Sperre
- eine kurze automatische Displaysperre
- regelmäßige Updates
- eine aktivierte Zwei-Schritt-Verifizierung
- klar geregelte Zugriffsberechtigungen
- die Möglichkeit zur Fernlöschung bei Geräteverlust
Besondere Aufmerksamkeit ist bei Cloud-Backups erforderlich. Unternehmen sollten prüfen, ob automatische Backups aktiviert sind, wo diese gespeichert werden und ob eine zusätzliche Verschlüsselung besteht. Nicht benötigte Backups sollten deaktiviert werden.
Auch Chats und Anhänge sollten nicht unbegrenzt gespeichert werden. Sobald der ursprüngliche Zweck erfüllt ist, ist zu prüfen, ob die Daten gelöscht oder in ein dafür vorgesehenes System übertragen werden müssen.
4. Nutzung über API-Schnittstellen
Bei einem höheren Kommunikationsvolumen kann die Nutzung der WhatsApp Business Platform beziehungsweise einer API-Schnittstelle sinnvoll sein. Dadurch können mehrere Mitarbeitende Anfragen bearbeiten oder WhatsApp in ein CRM-, Ticket- oder Supportsystem integrieren.
Dabei sind häufig weitere Dienstleister beteiligt. Unternehmen müssen deshalb prüfen, wo Daten gespeichert werden, ob Daten außerhalb der EU verarbeitet werden, welche Verträge erforderlich sind und welche technischen sowie organisatorischen Maßnahmen bestehen.
Auch Löschfristen, Zugriffsrechte und Betroffenenrechte müssen berücksichtigt werden. Ein europäischer Hosting-Standort allein reicht nicht aus. Entscheidend ist die gesamte Verarbeitungskette.
5. Rechtsgrundlage und Einwilligung
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Welche Grundlage beim Einsatz von WhatsApp greift, hängt vom konkreten Zweck der Kommunikation ab.
Bei einer Anfrage zu einem bestehenden Vertrag oder einer Bestellung kann die Verarbeitung unter Umständen zur Vertragserfüllung erforderlich sein. Nimmt ein Interessent wegen einer möglichen Leistung Kontakt auf, kann eine vorvertragliche Maßnahme vorliegen.
In anderen Fällen kann eine Einwilligung notwendig sein. Diese muss freiwillig, informiert, eindeutig und nachweisbar erfolgen. Sie muss außerdem jederzeit mit Wirkung für die Zukunft widerrufen werden können.
Für werbliche Nachrichten gelten zusätzlich die Vorgaben des Gesetzes gegen den unlauteren Wettbewerb. Eine Serviceanfrage über WhatsApp ist keine automatische Einwilligung in spätere Werbung. Soll WhatsApp für Marketing, Angebote oder Newsletter genutzt werden, muss die Einwilligung gesondert eingeholt und dokumentiert werden.
6. Datenschutzhinweise
Unternehmen müssen betroffene Personen transparent über die Verarbeitung ihrer personenbezogenen Daten informieren. Die Datenschutzerklärung sollte deshalb einen eigenen Abschnitt zur Nutzung von WhatsApp enthalten.
Darin sollten unter anderem der Verantwortliche, die Zwecke der Verarbeitung, die Rechtsgrundlage, mögliche Empfänger, Drittlandübermittlungen, die Speicherdauer und die Betroffenenrechte erläutert werden.
Bei der ersten Kontaktaufnahme kann über WhatsApp Business eine automatische Nachricht versendet werden, zum Beispiel:
„Vielen Dank, dass Sie die CAS Datenschutz GmbH & Co. KG über WhatsApp kontaktieren. Weitere Informationen zur Verarbeitung Ihrer personenbezogenen Daten finden Sie unter: [Link zu den Datenschutzhinweisen].“
Die Hinweise sollten leicht erreichbar, verständlich formuliert und auf die tatsächliche Nutzung abgestimmt sein.
7. Erstellung einer internen Datenschutzrichtlinie
Ein wichtiger Schritt ist die Erstellung einer internen Datenschutzrichtlinie für die Nutzung von WhatsApp im Unternehmen.
Die Richtlinie sollte festlegen:
- für welche Zwecke WhatsApp genutzt werden darf
- welche Mitarbeitenden Zugriff erhalten
- welche Daten übermittelt werden dürfen
- welche Inhalte ausgeschlossen sind
- wann Chats und Anhänge gelöscht werden
- wie Einwilligungen dokumentiert werden
- wie mit Betroffenenanfragen und Datenschutzvorfällen umzugehen ist
Außerdem sollte geregelt werden, dass private WhatsApp-Konten nicht für geschäftliche Kommunikation genutzt werden dürfen.
Mitarbeitende sollten regelmäßig geschult werden. Sie müssen wissen, welche Datenschutzrisiken bestehen und wie personenbezogene Daten sicher verarbeitet werden.
8. Alternativen zu WhatsApp prüfen
Nicht für jedes Unternehmen und nicht für jeden Anwendungsfall ist WhatsApp die geeignete Lösung. Deshalb sollten auch datenschutzfreundlichere Alternativen geprüft werden.
In Betracht kommen beispielsweise Signal, Threema Work oder Matrix-basierte Messenger. Welche Lösung geeignet ist, hängt vom Einsatzzweck, den verarbeiteten Daten und den technischen Anforderungen ab.
Besonders bei sensiblen personenbezogenen Daten, interner Kommunikation oder besonderen Verschwiegenheitspflichten kann ein alternativer Messenger sinnvoller sein. Entscheidend ist, dass Unternehmen möglichst viel Kontrolle über Benutzerkonten, Zugriffsrechte, Speicherung und Löschung behalten.
Fazit
Ob WhatsApp im Unternehmen vollständig DSGVO-konform eingesetzt werden kann, lässt sich nicht pauschal beantworten. Der Messenger bietet einen schnellen und etablierten Kommunikationsweg, ist jedoch mit verschiedenen Datenschutzrisiken verbunden. Dazu gehören insbesondere der Zugriff auf Kontakte, mögliche Drittlandübermittlungen, die Verarbeitung von Metadaten und die Speicherung von Nachrichten.
Unternehmen können diese Risiken durch geeignete Schutzmaßnahmen reduzieren. Dazu gehören ein separates Gerät, eine eigene Telefonnummer, ein möglichst leeres Adressbuch, klar definierte Anwendungsfälle, transparente Datenschutzhinweise, eine passende Rechtsgrundlage, sichere Geräteeinstellungen, Löschfristen und geschulte Mitarbeitende.
WhatsApp Business kann für den geschäftlichen Einsatz sinnvoll sein, löst die datenschutzrechtlichen Anforderungen jedoch nicht automatisch. Auch beim Einsatz einer API-Schnittstelle muss die gesamte Verarbeitungskette geprüft werden.
Gerne unterstützen wir Sie als externe Datenschutzbeauftragte bei der Bewertung des Einsatzes, der Erstellung von Datenschutzhinweisen, der Entwicklung interner Richtlinien und der datenschutzkonformen Einführung von WhatsApp im Unternehmen.
FAQ: WhatsApp und DSGVO im Unternehmen
Ist WhatsApp im Unternehmen DSGVO-konform nutzbar?
Eine pauschale Antwort ist nicht möglich. Ob WhatsApp DSGVO-konform eingesetzt werden kann, hängt vom konkreten Anwendungsfall, der Rechtsgrundlage und den getroffenen Schutzmaßnahmen ab. Unternehmen sollten unter anderem ein separates Gerät, eine eigene Telefonnummer, ein möglichst leeres Adressbuch und klare interne Vorgaben verwenden.
Darf WhatsApp im Bewerbungsprozess eingesetzt werden?
WhatsApp kann im Bewerbungsprozess genutzt werden, wenn Bewerber diesen Kommunikationsweg freiwillig wählen und transparent über die Datenverarbeitung informiert werden. Besonders sensible Bewerbungsunterlagen sollten jedoch nur nach einer vorherigen Prüfung über WhatsApp übermittelt werden. Zusätzlich sollte immer eine alternative Bewerbungsmöglichkeit angeboten werden.
Dürfen Unternehmen Kunden über WhatsApp Werbung schicken?
Werbung über WhatsApp ist grundsätzlich nur mit einer geeigneten Rechtsgrundlage zulässig. In vielen Fällen ist eine vorherige ausdrückliche Einwilligung erforderlich. Eine frühere Bestellung, Supportanfrage oder Kontaktaufnahme über WhatsApp berechtigt ein Unternehmen nicht automatisch dazu, später Werbenachrichten zu versenden.
Ist WhatsApp Business DSGVO-konform?
Auch WhatsApp Business ist nicht automatisch DSGVO-konform. Die Anwendung bietet zwar Funktionen für Unternehmen, ändert aber nichts an den grundlegenden Datenschutzanforderungen. Unternehmen müssen weiterhin Rechtsgrundlagen prüfen, Datenschutzhinweise bereitstellen, Zugriffsrechte festlegen und geeignete technische sowie organisatorische Maßnahmen treffen.
Welche Vorteile bietet WhatsApp Business für Unternehmen?
WhatsApp Business bietet unter anderem Unternehmensprofile, automatische Begrüßungsnachrichten, Abwesenheitsnachrichten und eine bessere Organisation von Kundenanfragen. Dadurch lässt sich die geschäftliche Kommunikation strukturierter gestalten. Die zusätzlichen Funktionen ersetzen jedoch keine datenschutzrechtliche Prüfung.
Benötigt ein WhatsApp-Business-Account ein Impressum und Datenschutzhinweise?
Ein geschäftlich genutzter WhatsApp-Business-Account sollte eindeutig erkennen lassen, welches Unternehmen dahintersteht. Im Unternehmensprofil sollten daher die Firmenbezeichnung sowie Links zum Impressum und zu den Datenschutzhinweisen hinterlegt werden. Bei der ersten Kontaktaufnahme kann zusätzlich eine automatische Nachricht mit einem Link zur Datenschutzerklärung versendet werden.
Was müssen Unternehmen bei der WhatsApp Business API beachten?
Bei der WhatsApp Business API sind häufig weitere Anbieter, CRM-Systeme oder Supportplattformen beteiligt. Unternehmen müssen deshalb prüfen, welche Dienstleister personenbezogene Daten verarbeiten, wo die Daten gespeichert werden und ob Drittlandübermittlungen stattfinden. Zusätzlich sind Verträge, Zugriffsrechte, Löschfristen und technische Schutzmaßnahmen zu berücksichtigen.
Sie möchten den Datenschutz in Ihrem Unternehmen im Zusammenhang mit WhatsApp überprüfen lassen? Mehr über unsere Datenschutzaudits erfahren.
.webp)
