Darf ich WhatsApp nutzen, um Dienstpläne mit meinem Personal zu teilen?

Dienstpläne ohne personenbezogene Daten Dritter (Kunden) sind weniger problematisch. Aber sobald Sie Kundennamen, Adressen, Telefonnummern oder andere personenbezogene Daten über WhatsApp teilen, nutzen Sie einen Kanal, der für diese Daten nicht geeignet ist und den Sie nicht kontrollieren können.

Ist WhatsApp Business die bessere Wahl?

Nicht für personenbezogene Daten. Auch WhatsApp Business teilt Metadaten mit Meta und bietet keine geschäftlichen Verwaltungsfunktionen wie das Löschen von Daten aus der Ferne oder eine Zugriffskontrolle. Es ist nicht als Werkzeug für die Verarbeitung personenbezogener Daten konzipiert und daher für diese Nutzung nicht geeignet.

Welche Alternativen gibt es zu WhatsApp?

Verwenden Sie eine geschäftliche Kommunikationsplattform mit Verwaltungsfunktionen, etwa Microsoft Teams, Slack oder Planungssoftware für Außendienstmitarbeiter. Wählen Sie ein Tool, mit dem Sie Zugriffe entziehen, Daten löschen und einen Auftragsverarbeitungsvertrag abschließen können. Wenn Sie bei einer Chat-App bleiben möchten, ist Signal die datenschutzorientierte Option, bietet aber kaum zentrale Verwaltung.

Darf ich WhatsApp weiter nutzen, wenn wir verschwindende Nachrichten einschalten?

Das verringert das Risiko, beseitigt es aber nicht. Verschwindende Nachrichten begrenzen, wie lange Daten auf den Telefonen bleiben, doch Empfänger können eine Nachricht weiterhin per Screenshot festhalten oder weiterleiten, bevor sie verschwindet. Nutzen Sie dies als Übergangsmaßnahme, während Sie auf ein geeignetes Tool umsteigen, und teilen Sie niemals sensible Informationen wie Zugangscodes oder Gesundheitsdaten über WhatsApp.

Was, wenn ein Mitarbeiter von sich aus Kundendaten über WhatsApp sendet?

Als Arbeitgeber sind Sie für die Verarbeitungen verantwortlich, die Ihre Mitarbeiter durchführen. Schulen Sie Ihr Personal, stellen Sie klare Regeln auf und stellen Sie eine geeignete Alternative bereit. „Ich wusste es nicht“ ist keine gültige Verteidigung.

WhatsApp und Personenbezogene Daten - Warum es Nicht Erlaubt Ist

WhatsApp ist nicht geeignet für das Teilen von Kundendaten, Adressen oder Zugangscodes mit Mitarbeitern. Dieser Artikel erklärt warum, mit einem realen Durchsetzungsfall aus Finnland und praktischen Alternativen.

WhatsApp ist praktisch, aber nicht geeignet für personenbezogene Daten

Es ist ein bekanntes Szenario: Sie führen ein Reinigungsunternehmen, einen Pflegedienst oder einen Installationsbetrieb. Mitarbeiter müssen wissen, welchen Kunden sie heute besuchen. Also senden Sie schnell den Namen, die Adresse, die Telefonnummer und vielleicht einen Zugangscode über die WhatsApp-Gruppe. Einfach, schnell, jeder hat es.

Aber nach der DSGVO ist das ein ernstes Problem. Sie teilen personenbezogene Daten von Kunden über eine Plattform, über die Ihre Organisation keinerlei Kontrolle hat.

Ein realer Fall: das finnische Reinigungsunternehmen

Das ist kein theoretisches Risiko. Die finnische Aufsichtsbehörde hat bereits über genau diese Situation entschieden.

gavel Realer Fall Finnland · Datenschutzbeauftragter · Entscheidung vom 29. Oktober 2021

Ein Reinigungsunternehmen schickte seine Arbeitsaufträge per WhatsApp an das Personal, auf die privaten Telefone der Mitarbeiter. Die Nachrichten enthielten Kundennamen, Adressen, Telefonnummern, Türcodes und Nummern von Schlüsseltresoren. Die Kunden waren nicht darüber informiert, dass WhatsApp verwendet wurde.

Der finnische Datenschutzbeauftragte stellte fest, dass das Unternehmen gegen folgende Pflichten verstoßen hatte:

Integrität und Vertraulichkeit (Artikel 5(1)(f)) - personenbezogene Daten wurden über einen Kanal ohne angemessene Sicherheitsmaßnahmen geteilt
Datenschutz durch Technikgestaltung (Artikel 25) - das Unternehmen hatte kein datenschutzfreundliches System für die Weitergabe von Aufträgen eingerichtet
Sicherheit der Verarbeitung (Artikel 32) - es wurden keine geeigneten technischen und organisatorischen Maßnahmen zum Schutz der Daten getroffen

Ein zentraler Punkt der Entscheidung: Läuft WhatsApp auf dem privaten Telefon eines Mitarbeiters, besteht der Vertrag zwischen diesem Mitarbeiter und WhatsApp, nicht mit dem Unternehmen. Das Unternehmen hatte also keine Möglichkeit zu kontrollieren, was mit den Daten seiner Kunden geschah. Die Behörde merkte außerdem an, dass die Daten wahrscheinlich in Länder außerhalb der EU übermittelt wurden.

Ergebnis: eine Verwarnung und die Anordnung, die Verarbeitung mit der DSGVO in Einklang zu bringen.

Mitteilung der Behörde lesen (Finnisch) open_in_new

Aus der Praxis: Alarmcodes in der Arbeitsgruppe

Wir sehen das auch bei Kunden von GDPRWise.

format_paint Aus der Praxis Kunde von GDPRWise · Maler- und Dekorationsbetrieb · anonymisiert

Ein kleiner Maler- und Dekorationsbetrieb schickte seinen Malern die täglichen Aufträge über WhatsApp. In den Nachrichten standen Namen und Adressen der Kunden, und manchmal auch der Alarmcode der Sicherheitsanlage des Kunden, damit das Team hineinkam, wenn niemand zu Hause war.

Wer eine solche Nachricht sieht, hat alles, um in ein Haus zu gelangen: die Adresse und den Code, um die Alarmanlage auszuschalten. Die Nachricht bleibt auf den privaten Handys der Maler, auch wenn jemand die Gruppe oder den Betrieb verlässt, und sie lässt sich mit einem Tippen weiterleiten.

Mit GDPRWise hat der Betrieb einen klaren Überblick gewonnen, welche Kundendaten er mit seinen Teams teilt, über welchen Kanal und warum. Heute organisiert er dieses Teilen auf sicherere Weise.

Warum WhatsApp für Geschäftsdaten ungeeignet ist

Die Probleme bei der geschäftlichen Nutzung von WhatsApp für personenbezogene Daten sind grundlegend:

Keine Kontrolle über die Daten. Sobald Sie eine Nachricht in einer Gruppe senden, kann jeder Teilnehmer sie weiterleiten, speichern oder einen Screenshot machen. Sie können Nachrichten auf dem Telefon einer anderen Person nicht aus der Ferne löschen.

Verlorene oder gestohlene Telefone. Verliert ein Mitarbeiter sein Telefon, liegen alle Kundendaten aus der WhatsApp-Gruppe offen. Sie können den Zugriff nicht aus der Ferne entziehen.

WhatsApp ist für die private Nutzung gedacht, nicht als Ihr Verarbeitungswerkzeug. Außerhalb der EU verbieten die Nutzungsbedingungen von WhatsApp ausdrücklich jede nicht-persönliche Nutzung des Dienstes, sofern WhatsApp sie nicht genehmigt hat. Die Bedingungen für Nutzer in der EU sind weniger ausdrücklich, doch das Kernproblem ist dasselbe: Auf dem eigenen Telefon eines Mitarbeiters besteht der Vertrag zwischen diesem Mitarbeiter und WhatsApp. Ihre Organisation kann für diese Nutzung keinen Auftragsverarbeitungsvertrag abschließen und hat keinen Einfluss darauf, wie die Daten behandelt werden.

Metadaten gehen an Meta. Der Inhalt der Nachrichten ist Ende-zu-Ende-verschlüsselt, aber WhatsApp teilt Metadaten (wer mit wem kommuniziert, wann, wie oft) mit dem Mutterkonzern Meta. Diese Metadaten sind durch die Verschlüsselung nicht geschützt.

Kein Audit-Trail. Sie können nicht nachweisen, welche Daten wann mit wem geteilt wurden und ob sie gelöscht wurden. Bei einer Prüfung können Sie nicht zeigen, dass Sie die Kontrolle haben.

Welche Alternativen gibt es?

Sie müssen nicht zu Stift und Papier zurückkehren. Es gibt genügend geeignete Alternativen:

Geschäftliche Kommunikationsplattformen wie Microsoft Teams oder Slack, mit denen Sie Benutzer verwalten, Zugriffe entziehen und Auftragsverarbeitungsverträge abschließen können
Planungssoftware speziell für Außendienstmitarbeiter, mit rollenbasiertem Zugriff und automatischer Löschung
Sichere Portale, in denen Mitarbeiter ihre Aufträge einsehen, ohne dass die Daten auf ihrem privaten Telefon gespeichert werden
Signal, wenn Ihr Team weiterhin eine Chat-App nutzen möchte. Signal wurde von Grund auf als datenschutzorientierte Alternative zu den gängigen Messengern entwickelt. Betrieben wird es von der gemeinnützigen Signal Foundation, der Code ist Open Source, alles ist standardmäßig Ende-zu-Ende-verschlüsselt, und die App erhebt so wenige Metadaten wie möglich, ohne Daten mit Werbetreibenden oder Tech-Konzernen zu teilen. Der Haken: Signal bleibt eine Verbraucher-App. Sie können Konten nicht zentral verwalten, keine Daten aus der Ferne löschen und keinen Auftragsverarbeitungsvertrag abschließen. Kombinieren Sie es daher mit klaren Regeln für Ihr Personal.

Das wichtigste Kriterium: Können Sie als Organisation den Zugriff verwalten, Daten löschen und nachweisen, dass Sie die Kontrolle haben?

Was sollten Sie jetzt tun?

Hören Sie auf, personenbezogene Daten über WhatsApp zu teilen. Das gilt für Kundennamen, Adressen, Telefonnummern, Sicherheitscodes und alle anderen Daten, die sich auf eine Person zurückführen lassen.
Wählen Sie eine geeignete Alternative und dokumentieren Sie, warum Sie sich für diese Plattform entschieden haben.
Sie können (noch) nicht auf WhatsApp verzichten? Begrenzen Sie den Schaden. Schalten Sie verschwindende Nachrichten standardmäßig ein: in Ihren Arbeitsgruppen, und bitten Sie jeden Mitarbeiter, in den Datenschutzeinstellungen von WhatsApp eine Standarddauer für Nachrichten festzulegen. Und weisen Sie Ihr Personal an, niemals sensible Informationen über WhatsApp zu teilen, etwa Zugangscodes, Nummern von Schlüsseltresoren, Gesundheitsdaten oder Ausweisnummern.
Erstellen Sie eine interne Richtlinie dazu, welche Kommunikationsmittel Mitarbeiter für welche Daten verwenden dürfen.
Schulen Sie Ihr Personal. Erklären Sie, warum WhatsApp nicht geeignet ist und wie die Alternative zu nutzen ist.
Dokumentieren Sie dies in Ihrem Verarbeitungsverzeichnis. Welche Tools nutzen Sie, um personenbezogene Daten zu teilen? Mit wem? Auf welcher Rechtsgrundlage?

auto_awesome Wissen Sie, welche Tools Sie zum Teilen von Daten nutzen?

GDPRWise hilft Ihnen zu erfassen, welche Kommunikationsmittel und Systeme Sie für personenbezogene Daten verwenden. Inklusive Empfehlungen für sichere Alternativen.

Kostenlosen Scan starten