Mit dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) zum 25.05.2018 hat sich die Aufmerksamkeit auf das Thema Datenschutz erheblich verstärkt. Während Unternehmen eine Vielzahl von Dokumentationspflichten zu erfüllen haben, geraten dabei alltägliche Vorgänge schnell in den Hintergrund. Dazu gehört bei vielen Unternehmen auch die betriebsinterne Kommunikation über Kurznachrichtendienste, allen voran dem Marktführer WhatsApp, etwa zur Abstimmung von Dienstplänen, Anweisungen bis hin zu Übermittlungen von Krankschreibungen. Besonders heikel ist dabei der Umstand, dass WhatsApp in regelmäßigen Abständen das komplette Adressbuch, sowohl berufliche als auch private Kontakte, des Smartphone zum Abgleich bestehender Kontakte (auch zur besseren Konnektivität und Kundenfreundlichkeit) kopiert und an das Unternehmen übermittelt. Eine solche Übermittlung und der entsprechende Abgleich dieser Daten stellt eine Datenverarbeitung im Sinne der datenschutzrechtlichen Regelung (Art. 4 Nr. 2 DSGVO) dar.
Eine Verarbeitung ist allerdings nur bei Vorliegen einer entsprechenden Rechtsgrundlage zulässig (Art. 6 Abs. 1 DSGVO). Während man bei Kontakten, die selber WhatsApp nutzen, von einer Einwilligung (Art. 6 Abs. 1 a) DSGVO) ausgehen kann, trifft dies auf die Kontakte, welcher WhatsApp selbst nicht nutzen, nicht zu. Wenn deren Daten automatisch an WhatsApp übermittelt werden, erfolgt dies also ohne Rechtsgrundlage und ist somit rechtswidrig.
Anders stellt sich die Sachlage bei einer rein privaten Nutzung dar, da die DSGVO nach Art. 2 Abs. 2 c) DSGVO darauf keine Anwendung findet.
Verantwortlich für die Einhaltung der datenschutzrechtlichen Regelungen ist dabei der Inhaber der Daten als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, also derjenige, der über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten entscheidet.
Es wird praktisch unmöglich sein, die notwendige Einwilligung eines jeden geschäftlichen sowie privaten Kontakts im Rahmen der geschäftlichen Nutzung von WhatsApp einzuholen.
Dementsprechend sieht auch der Bundesdatenschutzbeauftragte Ulrich Kelber in einem in der Süddeutsche Zeitung vom 15.03.2019 veröffentlichten Interview die Nutzung von WhatsApp kritisch und empfiehlt „die berufliche und private Nutzung strikt zu trennen“. Eine gemischte Nutzung auf einem Smartphone könne der Bundesdatenschutzbeauftragte für sich selbst „nicht verantworten“. Da die Datenschutzgrundverordnung lediglich im geschäftlichen Verkehr eingreift, ist die Nutzung von WhatsApp im rein privaten oder familiären Bereich weiterhin möglich.
WhatsApp als US-amerikanisches Unternehmen hat seine Hauptniederlassung in Europa in Dublin/Irland. Die zuständige Aufsicht wird daher durch die irische Aufsichtsbehörde durchgeführt. Die abschließende Beurteilung dieser Behörde steht noch aus. Von Anordnungen bis hin zu Geldbußen oder einer Entflechtung der Datenweitergabe an die Facebook Inc. sind dabei viele Varianten denkbar.
Ratsam wäre demnach vorerst eine vollkommene Entflechtung der geschäftlichen sowie privaten Kontakte und einer gesonderte Nutzung von Mobiltelefonen. Andernfalls sollte bis zu einer rechtlichen Klärung der Rechtsmäßigkeit auf die Nutzung von WhatsApp im geschäftlichen Verkehr verzichtet werden.