Unternehmer und Datenschutz: Soziale Medien – WhatsApp Business

Ausgangslage:

WhatsApp hat inzwischen einen Businessdienst „WhatsApp Business“ gestartet und bietet hierüber Businessprodukte für Unternehmen an, um mit anderen Nutzern interagieren zu können. Möglich ist dabei ein Unternehmer-Account mit Unternehmensprofil, der sich auch (von selbst!) mit einem vorhandenen Unternehmens-Facebook-Account verknüpft. WhatsApp untersagt selbst im Rahmen seiner Nutzungsbedingungen eine kommerzielle Nutzung nicht. 

Zur Frage der Datenerhebung heißt es in den Nutzungsbedingungen von WhatsApp 

„du stellst uns regelmäßig die Telefonnummern von WhatsApp-Nutzern und deinen sonstigen Kontakten in deinem Mobiltelefonadressbuch zur Verfügung. Du bestätigst, dass du autorisiert bist, uns solche Telefonnummern zur Verfügung zu stellen, damit wir unsere Dienste anbieten können.“

Damit erhebt WhatsApp alle Telefonnummern und Namen im Adressbuch und schiebt die Verantwortung, ob diese rechtmäßig an WhatsApp weitergegeben werden dürfen, den Unternehmen zu. Erfasst werden wohl über das Adressbuch auch E-Mail-Adressen. 

WhatsApp gibt zum Inhalt der Nachrichten an, diese wären „end to end“ verschlüsselt. Trotzdem sammelt WhatsApp Metadaten der Nutzer, womit verschiedene persönliche Daten verbunden sind:

Neben persönlichen Identifikatoren hat WhatsApp Zugriff darauf, wer mit welchem Nutzer kommuniziert, wie oft, wann man sich mit welchen Kontakten verbindet, wie lange man sich Nachrichten schreibt, usw. 

Dies macht es möglich, soziale Beziehungen zu verstehen und persönliche Benutzerprofile zu erstellen. 

Im Rahmen seiner Nutzungsbedingungen lässt sich WhatsApp zudem Lizenzen an den Inhalten einräumen und auch das Recht, die Inhalte zu übertragen. 

Davon betroffen sind dann z.B. Fotorechte, Logos, Marken, Slogans usw. Seinen Geschäftssitz – und damit auch Sammelort der Daten – hat WhatsApp in den USA und damit außerhalb des Bereiches der EU. 

WhatsApp Business und die DSGVO:

WhatsApp wälzt in seinen Nutzungsbedingungen die Anforderungen der Datenschutzgrundverordnung auf den Unternehmer ab. Dieser muss sich selbst alle erforderlichen Einwilligungen der Kunden verschaffen, dies ist bei Bestandskontakten kaum umsetzbar. 

Nach den Regelungen der Datenschutzgrundverordnung treffen den Unternehmer umfassende Informationspflichten, sodass unter anderem folgende Probleme auftreten:

Problem 1 ist, dass die Kundendaten zunächst irgendwo liegen, laut Nutzungsbedingungen von WhatsApp Business in den USA oder in „anderen Ländern weltweit“. 

Damit kann sich der Unternehmer schon nicht datenrechtskonform verhalten und verletzt das Recht auf Information, Daten Portabilität, Databreach, das heißt Mitteilung einer Datenverletzung binnen 72 Stunden und verletzt das Gebot des sogenannten „Safe Habor“ (die Daten liegen innerhalb der EU).

Problem zwei ist dann, dass es nicht vorgesehen ist, dass WhatsApp die Daten löscht. Damit verletzt der Unternehmer das Recht auf Vergessenwerden. Unmöglich ist zudem, einem Widerruf des Kunden und einem Verlangen auf Löschung nachzukommen, da der Unternehmer zwar selbst den Kontakt in seiner Kontaktliste entfernen kann, aber mehr auch nicht. Auf eine Löschung seitens WhatsApp hat er keinen Einfluss. 

Für Berufsstände, die der Verschwiegenheit unterliegen, wie Anwälte, Ärzte, Steuerberater usw. ist es bereits problematisch, die Mandatsbeziehung offenzulegen, geschweige denn persönliche Mandantendaten. Damit ist WhatsApp für geschäftliche Kommunikation eigentlich nicht nutzbar. 

Rechtstipps:

Ist es erlaubt, wenn die Kundenkontakte im Telefonbuch ebenfalls selbst WhatsApp nutzen oder von sich aus den Erstkontakt über WhatsApp suchen?

Zum einen wirkt sich das Selbstnutzen nicht auf die bestehenden Informationspflichten des Unternehmers aus. Diesem ist es aufgrund der WhatsApp-Bedingungen nicht möglich, seinen gesetzlichen Pflichten nachzukommen. Zum anderen muss auch eine Einwilligung in die Datenerhebung ausdrücklich vorliegen und dies ist sicher nicht der Fall, wenn der Kunde nur selbst WhatsApp nutzt, mangels Kenntnis der Datenerhebung durch den Unternehmer. Für diesen ist wieder das Problem, dass er die Einwilligung nachzuweisen hätte, was er so nicht kann. Technische Schutzeinrichtungen sind zwar denkbar, werden jedoch wohl von WhatsApp nicht akzeptiert, sodass WhatsApp nicht nutzbar ist. Andere Messenger-Dienste wären eine Alternative, sofern sie die Vorschriften der Datenschutzgrundverordnung beachten. 

Ist WhatsApp intern zur Kommunikation möglich?

Das Unternehmen kann selbstverständlich an die Mitarbeiter ein Diensthandy ausgeben, eine private Nutzung untersagen und erforderliche Einwilligung einholen. 

Praktikabel ist diese Lösung nicht, da dieses Diensthandy dann wiederum nicht zum Kontakt mit dem Kunden durch die Mitarbeiter eingesetzt werden kann und der Mitarbeiter dann ggf. bis zu drei Handys nutzt.

Darf ein Unternehmen per WhatsApp werben?

Für Werbung über WhatsApp gilt das gleiche wie bei sonstiger elektronischer Werbung, z.B. E-Mail-Versand, Newsletter und anderes auch. 

Gegenüber dem Kunden muss dieser schon bereits bei Erhebung der Daten und jeder Verwendung darüber belehrt werden, dass er widersprechen kann und es muss dokumentiert werden, dass der Kunde dem nicht widerspricht. Beim Verbraucher kommt hinzu, dass er ausdrücklich vorher zustimmen muss, elektronische Werbung zu erhalten, sog. double opt in.

Gegenüber Unternehmern ist diese zweite Zustimmung entbehrlich, wenn man die Daten aus einem Kaufvertrag hat und der Kunde selbst direkt Werbung zu ähnlichen Produkten macht. 

Als Resümee ist festzustellen, dass – so komfortabel die Nutzung von WhatsApp im unternehmerischen Bereich auch scheint – dies nicht datenschutzrechtskonform ist und damit schlichtweg nicht nutzbar für den Unternehmer.