WhatsApp und der Datenschutz: Das gibt es zu beachten

Privatsphäre versus Big Data – sie scheinen sich unversöhnlich gegenüberzustehen. Denn je digitaler Prozesse werden, um so mehr Daten möchten sie sammeln. Dies gilt auch für Messenger-Dienste wie WhatsApp, deren Umgang mit personenbezogenen Daten immer wieder kontrovers diskutiert wird.

Natürlich möchte niemand, dass Fremde Firmengeheimnisse oder vertrauliche Chats mitlesen – schließlich gibt man in privaten Nachrichten bei WhatsApp viel von sich preis. Wenn Bankdaten oder E-Mail-Adressen geleakt werden, können die Folgen drastisch sein, doch auch vermeintlich harmlosere Spuren im Netz schaden der Anonymität.

Deshalb haben wir WhatsApp in dieser Hinsicht einmal genauer unter die Lupe genommen und geprüft, wie es der Messenger mit Datenschutz und Vertraulichkeit hält und was man bei seiner Nutzung beachten sollte.

Laut statista nutzen rund zwei Milliarden Menschen weltweit WhatsApp. In Deutschland sind es knapp 60 Millionen Nutzer. Kein Wunder, lassen sich mit dem Messengerdienst doch bequem Fotos, Videos, Sprach- und Textnachrichten versenden. Aber nicht nur privat, auch beruflich wird die Nachrichtenapp gerne genutzt. Sei es, um dem Kollegen fix eine Terminverschiebung mitzuteilen, Dienstpläne abzusprechen oder ein Projekt abzustimmen.

Seit 2018 bietet WhatsApp sogar eine Business-Applikation, auf der Unternehmen eigene Profile anlegen und so mit ihren Kunden kommunizieren können. Neben den Chatfunktionen stehen in dieser Version automatisierbare Antwortmöglichkeiten zur Verfügung. Die App kann darüber hinaus als API-Schnittstelle für Customer-Relationship-Systeme (CRM) genutzt werden. Laut Wall Street Journal nutzten diesen Service 2020 bereits 50 Millionen Unternehmen. WhatsApp ist damit immer noch der führende Messengerdienst weltweit.

So verlockend es erscheinen mag, diesen Kanal in den eigenen Marketingmix einzubinden, so kritisch ist er in Sachen Datenschutz und Privatsphäre. Zum einen, weil man – zumindest in Europa – die EU-Datenschutz-Grundverordnung (DSGVO) berücksichtigen muss, wenn man die Nutzung betrieblich vorgibt und die App zur Abstimmung im Unternehmen nutzt. Zum anderen, weil WhatsApp selbst recht lax mit der Privatsphäre seiner Nutzer umgeht.

Um WhatsApp überhaupt nutzen zu können, muss man beim Download dessen Datenschutz-Bestimmungen zustimmen. Damit erhält der Metakonzern (ehemals Facebook), zu dem WhatsApp gehört, einen Datennutzungsfreibrief massivem Ausmaßes. Es folgt ein kurzer Überblick der Dinge, auf die WhatsApp mit dieser Zustimmung zugreifen kann bzw. was es speichern darf:

Da die Server des Unternehmens nicht in Deutschland stehen, gelten weder für WhatsApp noch für Meta (ehemals Facebook) deutsche oder europäische Datenschutzgesetze. Allerdings gibt es eine Vereinbarung mit der EU-Kartellbehörde aus dem Jahr 2014, die WhatsApp untersagt, Daten an Meta weiterzugeben.

Was in der Theorie gut klingt, zeigt in der Praxis deutliche Schwächen, denn die Verarbeitung und Nutzung von Metadaten wie Profilbildern und Standortinformationen bleiben davon unberührt. Außerdem nutzt der Konzern eine Lücke in der DSGVO. Diese gestattet zwei Unternehmen die Weitergabe von Daten, wenn beide ein berechtigtes Interesse daran haben, das den Schutz der Daten überwiegt. Meta nennt den Schutz vor Fake-Accounts sowie Spam als berechtigtes Interesse.

Bei WhatsApp ist es gar nicht so einfach, die Kontrolle über seine Daten zu behalten, da der Messenger-Dienst den Usern kaum Möglichkeiten zur Verwaltung selbiger gibt. Zumindest aber, was die für WhatsApp so interessanten Metadaten betrifft, können Nutzer einige Vorsichtsmaßnahmen ergreifen. Nebenbei schützt man diese auch vor neugierigen Blicken anderer WhatsApp-User, beispielsweise in Messenger-Gruppen.

Generell gilt: WhatsApp ist zwar gratis, aber nicht kostenlos, denn Nutzer bezahlen den Service mit ihren Daten. Bei der Nutzung des Dienstes innerhalb eines Unternehmens muss man daher zwischen der betrieblich vorgegebenen und der privaten Nutzung unterscheiden.

Wenn Mitarbeiter den Messenger-Dienst persönlich und eigenverantwortlich für private Themen nutzen, interessiert es das europäische Datenschutzrecht nicht. Darunter fallen auch persönliche Aktivitäten wie die Organisation von Sportgruppen oder Geburtstagsgeschenken.

Gibt das Unternehmen hingegen WhatsApp als zusätzlichen Kommunikationskanal vor, greift bei jeder Kommunikation die DSGVO. Und dann wird es kniffelig. Denn obwohl die Kommunikation selbst auch bei WhatsApp verschlüsselt läuft, werden immer noch reichlich Metadaten übermittelt – unverschlüsselt. Und das lässt sich bei dem Nachrichtenservice auch nicht verhindern.

Das sind unter anderem Telefonnummer, Geräteinformationen, Art und Häufigkeit der Nutzung, IP-Adresse oder neuerdings auch die Meta-Messenger-ID (sofern auch der Meta-Messenger installiert ist). WhatsApp kann dadurch jederzeit nachvollziehen, wer mit wem von welchem Standort aus über welches Endgerät wie lange kommuniziert hat. Und das untersagt die DSGVO ganz deutlich. Unternehmen sollten daher auf den regulären WhatsApp-Messenger als internes Kommunikationsmittel verzichten.

Seit 2018 bietet WhatsApp eine Businessversion an. Verschiedene Tools sollen Kleinunternehmen und Selbstständigen den Austausch mit ihren Kunden erleichtern, dazu zählen automatisierte Antworten, spezielle Sortierfunktionen, Textbausteine, Produktkataloge sowie Öffnungszeiten.

Aber auch die Business-App-Lösung sorgt in Sachen Datenschutz und DSGVO für Unbehagen, denn sie garantiert beides nicht. Auch die Businessvariante greift auf die Daten des Telefonbuchs zu und spioniert diverse Metadaten seiner Nutzer aus. Außerdem kann die App nur auf dem Smartphone und von nur einem einzigen Mitarbeiter genutzt werden.

Datenschutzbedenken zum Trotz: Laut einer Business Messaging Studie 2021 wünschen sich immer mehr Kunden, unkompliziert und schnell mit den Unternehmen ihrer Wahl zu kommunizieren. 85 Prozent gaben an, sehr gerne mit Firmen per WhatsApp in Kontakt treten zu wollen, 71 Prozent machen sogar ihre Kaufentscheidung vom Kommunikationskanal abhängig.

Wer aber als Unternehmen diesen Kommunikationskanal nutzen und dabei datenschutzkonform agieren will, muss auf die WhatsApp Business API zurückgreifen, die der Messenger-Dienst ebenfalls seit 2018 anbietet und die über Meta verknüpft wird.

Der Nachteil: Diese Lösung ist kostenpflichtig und benötigt in der Regel einen sogenannten WhatsApp Business Solution Provider. Jener verbindet sozusagen Unternehmen und WhatsApp und schafft die technische Infrastruktur.

So können sich Unternehmen offizielle WhatsApp Business Accounts anlegen und kommunizieren, und zwar DSGVO-konform. Daneben kann man die Kommunikation an das unternehmenseigene CRM anschließen, sodass Gesprächsverläufe und Beratungshistorie jedem Kunden zugeordnet werden können.

Newsletter per WhatsApp
Seit Juni 2021 können Unternehmen über die WhatsApp API auch Newsletter und monothematische Aktionsmails versenden, was den Weg zum Kunden nochmals verkürzt.

Wenngleich WhatsApp immer noch zu den größten Playern zählt, so bieten sich auch für den privaten Austausch mittlerweile zahlreiche andere Messenger-Dienste an, die mehr Wert auf Datenschutz und Privatspähe legen. Wer als Unternehmen mit seinen Kunden per Nachrichten-App in Kontakt treten will, sollte sich für die kostenpflichtige Variante entscheiden oder auf einen anderen Kommunikationskanal ausweichen.

Um Mitarbeitern intern eine digitale Austauschplattform zu bieten, eignen sich beispielsweise Threema.Work oder teamwire. Alternativ empfiehlt es sich darüber nachzudenken, eine eigene Chat-App programmieren zu lassen, die genau auf die Sicherheitsbedürfnisse des Unternehmens zugeschnitten ist.

WhatsApp bleibt einer der meistgenutzten Messenger-Dienste weltweit. Privatanwender sollten aber sich bewusst sein, dass die Metatochter es nicht sonderlich ernst mit Datenschutz und DSGVO meint. Was im privaten Bereich lediglich persönlich unangenehm ist, kann im beruflichen Einsatz schnell justiziabel werden. Für die Kommunikation innerhalb eines Unternehmens sollte man daher auf Alternativen setzen.

Wer die WhatsApp Business App für die externe Kundenkommunikation nutzen möchte, wird ebenfalls an den Hürden der DSGVO und des Datenschutzes scheitern. Einzig die kostenpflichtige API kann bedenkenlos von Unternehmen zur direkten Kundenkommunikation eingesetzt werden. Das allerdings erfordert ein gewisses Investment, was gerade für kleine Betriebe oft nicht lohnend ist.