Ist WhatsApp DSGVO-konform?
Die Frage wird oft so gestellt, als gäbe es ein Prüfsiegel für die App. Die DSGVO fragt anders: Ist deine Verarbeitung rechtmäßig? Nach Art. 6 Abs. 1 DSGVO ist sie es nur, wenn eine der dort genannten Bedingungen vorliegt. Für dein Büro kommen vor allem zwei in Betracht: die Einwilligung der betroffenen Person und die Erforderlichkeit für einen Vertrag mit ihr oder für vorvertragliche Maßnahmen auf ihre Anfrage.
Schreibt dir eine Kundin zum Schaden an ihrem Auto per WhatsApp und du antwortest auf demselben Weg, dient das dem laufenden Vertrag. Schickst du dagegen ungefragt ein Angebot, wirbst du, und dafür gelten zusätzlich die Regeln des Wettbewerbsrechts.
Dazu kommt die Informationspflicht. Nach Art. 13 DSGVO teilst du bei der Erhebung unter anderem Zwecke und Rechtsgrundlage mit, die Empfänger der Daten und die Absicht, sie in ein Drittland zu übermitteln. WhatsApp schreibt in seiner Datenschutzrichtlinie für den Europäischen Wirtschaftsraum, dass Übermittlungen außerhalb des Wirtschaftsraums stattfinden, auch in die USA. Deshalb gehört der Messenger in deine Datenschutzerklärung, wenn du ihn für Kunden nutzt.
Das Adressbuch ist der heikelste Punkt
Die meisten Bedenken gegen WhatsApp im Beruf hängen am Kontakt-Upload. WhatsApp beschreibt ihn selbst: Wer die Funktion nutzt, stellt regelmäßig Kontaktinformationen aus dem Adressbuch des Geräts bereit, und zwar von Nutzern des Dienstes und von seinen anderen Kontakten. Für Nummern von Kontakten, die WhatsApp nicht nutzen, speichert WhatsApp nach eigener Angabe kryptografische Hashwerte.
Auf deinem Diensthandy stehen aber die Nummern deiner Kunden, deiner Interessenten und ihrer Angehörigen. Für die Weitergabe dieser Nummern an WhatsApp brauchst du eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, für jede einzelne. Daraus folgen drei Entscheidungen, die du einmal bewusst triffst.
- Trenne privat und beruflich: ein eigenes Gerät oder ein eigenes Profil für die Arbeit.
- Prüf in den Einstellungen deines Telefons, ob WhatsApp auf dein Adressbuch zugreifen darf, und entscheide das für das berufliche Gerät ausdrücklich.
- Speichere dort nur Nummern von Menschen, die dir den Kanal selbst angeboten oder erlaubt haben.
Werbung über WhatsApp braucht ein Ja
Wettbewerbsrechtlich ist eine WhatsApp-Nachricht elektronische Post. Werbung damit ist nach § 7 Abs. 2 Nr. 2 UWG grundsätzlich nur mit der vorherigen ausdrücklichen Einwilligung des Empfängers zulässig. Werbung ist dabei mehr als ein Angebot. Auch die Einladung zu einem Gespräch über weitere Verträge und die Bitte um eine Empfehlung können darunter fallen. Ob die enge Ausnahme für Bestandskunden in § 7 Abs. 3 UWG auch Messenger erfasst, ist umstritten. Verlass dich bei WhatsApp nicht darauf und hol dir das Ja vorher.
Die Einwilligung musst du nach Art. 7 Abs. 1 DSGVO nachweisen können, und der Widerruf muss nach Art. 7 Abs. 3 DSGVO so einfach sein wie die Erteilung. Halte deshalb fest, wann, wofür und mit welchen Worten der Kunde zugestimmt hat. Ein Satz im Chat wie „bitte keine Angebote mehr“ ist ein Widerruf.
In Bestandsgold steht die Einwilligung je Kanal am Kunden. Fehlt sie für WhatsApp, lässt sich eine Anfrage über WhatsApp nicht freigeben. Verschickt wird die Nachricht von deinem eigenen Handy.
Empfehlungen per WhatsApp: Dein Kunde schreibt
Bei Empfehlungen liegt die größte Gefahr in einer gut gemeinten Geste. Dein Kunde schickt dir die Nummer seiner Schwester, damit du dich meldest. Du hast dann Daten einer Person, die nie mit dir gesprochen hat, und müsstest sie nach Art. 14 DSGVO informieren. Für eine WhatsApp-Nachricht mit Werbung fehlt dir zudem ihre Einwilligung.
Umgekehrt ist es einfach: Dein Kunde schreibt seiner Schwester selbst. Er nutzt dafür sein eigenes WhatsApp und seinen eigenen Ton und schickt deinen Link mit. Sie entscheidet, ob sie sich meldet. Erst ihre Buchung oder ihre Rückrufbitte bringt ihre Daten zu dir.
So arbeitet Bestandsgold. Dein Kunde verschickt die Einladung von seiner Geschenk-Seite aus, ein Adressbuch lädt niemand hoch. Der Empfohlene bucht einen Termin oder bittet um Rückruf. Nach einer Buchung über Bestandsgold bekommt er nur Nachrichten zu seinem Termin, etwa Bestätigung und Erinnerung.
Checkliste für dein Büro
Diese Punkte klärst du einmal und schreibst sie auf. Mit deinem Datenschutzbeauftragten, falls du einen hast, gehst du sie gemeinsam durch.
- Wofür nutzt du WhatsApp: Terminabsprachen, Schadenfälle, Werbung? Je Zweck die Rechtsgrundlage notieren.
- Steht WhatsApp in deiner Datenschutzerklärung, mit Empfänger und Übermittlung in die USA?
- Ist der Zugriff auf das Adressbuch auf dem beruflichen Gerät bewusst entschieden?
- Liegt für jede werbliche Nachricht eine nachweisbare Einwilligung für genau diesen Kanal vor?
- Gehen Fotos von Policen oder Gesundheitsangaben in den Chat? Dann such dir für diese Unterlagen einen anderen Weg.
- Wer im Büro hat Zugriff auf das Gerät, und was passiert mit den Chats, wenn jemand ausscheidet?
Fundstellen
Die Gesetzestexte stehen beim Bundesministerium der Justiz, die Artikel der Datenschutz-Grundverordnung bei dsgvo-gesetz.de. Rundschreiben, Merkblätter und Bedingungen verlinken auf die Seite ihres Herausgebers.
- Dieser Beitrag ist keine Rechtsberatung. Für deinen Einzelfall frag deinen Anwalt. ↩