Messenger im Handwerk zur Kundenkommunikation?

"Machen Sie mal ein Foto und senden Sie es per WhatsApp." "Dienstplan schicke ich nachher mit WhatsApp rüber." – Kommt Ihnen das vertraut vor? Kein Wunder. Der Messenger scheint sich für Kundenkommunikation und Teamabstimmungen förmlich anzubieten. Die App befindet sich zudem auf 95 Prozent der deutschen Smartphones und verweist Dienste wie Telegram & Co. auf die Plätze. Doch die WhatsApp-Nutzung für unternehmerische Zwecke ist datenschutzrechtlich problematisch. Mit WhatsApp Business wurde deshalb eine Messenger-Lösung als Kundenservice-Tool für (Klein-) Unternehmen auf den Markt gebracht. Anwalt David Oberbeck, Experte für Rechtsfragen zu Datenschutz, Onlinerecht, Marketing und Vertrieb, erläutert, warum Handwerker auf die Business-Variante setzen sollten und selbst dann Vorsicht geboten ist.
 

Verschlüsselte Übertragung = Persilschein?

"Ich höre oft den Einwand, dass WhatsApp verschlüsselt ist und daher keine personenbezogenen Daten für Dritte einsehbar sind. Also könne der Datenschutz ignoriert werden", sagt der Experte. Eine falsche Vermutung, denn sogenannte Metadaten werden trotzdem unverschlüsselt an WhatsApp übermittelt. Dazu zählen neben Telefonnummer auch Informationen zum Gerät, zur Häufigkeit der Nutzung, IP-Adresse oder mitunter auch die Facebook Messenger-ID.

Aus den Daten kann nachvollzogen werden, wer mit wem von welchem Standort über welches Endgerät wie lange kommuniziert hat. Zwar bleiben Nachrichteninhalte vertraulich, aber es fallen personenbezogene Informationen an, aus denen sich Rückschlüsse ziehen lassen.

Und damit beginnt das Datenschutz-Dilemma für Unternehmen, die den Messenger von WhatsApp nutzen (möchten). Personenbezogene Daten dürfen ausschließlich aufgrund einer Rechtsgrundlage oder einer konkreten Einwilligung verarbeitet oder an Dritte übermittelt werden – Stichwort: Datenschutz-Grundverordnung. Weil es aber nahezu unmöglich ist, dass jemand von allen Personen im Telefonbuch die Einwilligung einholt, dass er deren Nummer (unverschlüsselt) an WhatsApp-Server übertragen darf – dies geschieht permanent – wäre die betriebliche Nutzung schon unter diesem Gesichtspunkt ausgeschlossen.

Klassisches WhatsApp untersagt die "nicht-private Nutzung"

Ein weiteres Ausschlusskriterium ist der Umstand, dass WhatsApp die "nicht-private Nutzung" innerhalb der eigenen Dienstbedingungen (AGB) untersagt. Der Messenger ist ausschließlich für den privaten Gebrauch konzipiert und das Geschäftsmodell der Konzernmutter Facebook basiert darauf, dass die anfallenden (Meta-) Informationen der WhatsApp-Nutzer für Werbezwecke genutzt werden.

Unternehmen ist es schlicht und ergreifend gar nicht möglich, Maßnahmen zu ergreifen, um WhatsApp im Betrieb datenschutzkonform zu nutzen und an der Verarbeitung der personenbezogenen Metadaten zu hindern. Man muss also festhalten, dass der herkömmliche WhatsApp-Messenger bei aller Verlockung sowohl für die interne Kommunikation als auch extern mit Kunden aus Datenschutzsicht ungeeignet ist.
 

WhatsApp Business als Alternative?

Mit WhatsApp Business wurde deshalb ein – vielen Unternehmern bisher unbekannter – Dienst geschaffen. Er soll die Kommunikation von Kleinunternehmen mit Kunden per Chat erleichtern. Im Augenblick ist die Nutzung für kleine Firmen kostenlos. Ein Abo-Modell ist jedoch nicht ausgeschlossen. Im Gegensatz zur privaten Version, bietet diese Version einige Vorteile für Unternehmen.
 

• 1. Vertrag zur Auftragsverarbeitung:
   
  Im Gegensatz zur herkömmlichen Version bietet WhatsApp Business einen Vertrag zur Auftragsverarbeitung für Unternehmen. Dieser wird im Rahmen der Installation über die allgemeine Dienstvereinbarung mit vereinbart. Ein guter Ansatz, aber leider fehlen aber auch hier Angaben zu Unterauftragnehmern von WhatsApp sowie Angaben zu den Sicherheitsvorkehrungen. Laut DSGVO sind diese aber notwendig. "Auch wenn mir kein aufsichtsbehördliches Verfahren diesbezüglich bekannt ist, besteht ein Restrisiko. Es ist aber schon ein Fortschritt, dass die Verantwortlichkeit der Daten beim nutzenden Unternehmen bleibt und WhatsApp eine eigene Nutzung – zumindest auf dem Papier – ausschließt", sagt Oberbeck.
   
• 2. Impressumspflicht:
   
  "Dass man durch die Impressumspflicht Pflichtangaben für Kunden bereithalten muss, kennt man ja aus der Webseitenpraxis. Die Pflicht muss aber auch bei betrieblichen WhatsApp-Accounts beachtet werden. Weil bis dato kein separates Datenfeld für ein Impressum im Business-Messenger existiert, empfehle ich eine Verlinkung innerhalb des WhatsApp-Profils auf das Impressum der Firmenwebsite", sagt der Fachanwalt. Wichtig sei, den Link "sprechend" zu gestalten, damit das Ziel der Verlinkung erkennbar ist. Das kann nach dem Schema www.firmenwebseite.de/impressum erfolgen.
   
• 3. Datenschutzerklärung:
   
  "Aus der Umsetzung der DSGVO-Pflichten sollte den meisten noch im Gedächtnis sein, dass Unternehmen über Umfang und Zweck der Datenverarbeitung informieren müssen. Das lässt sich bei WhatsApp Business per automatisierter Nachricht lösen. Nimmt ein Nutzer erstmals Kontakt über die App auf, können die notwendigen Angaben entweder direkt in der Auto-Antwort oder per Verlinkung auf die Datenschutzhinweise der Firmenwebsite erbracht werden. Letztere sollten zuvor natürlich um Angaben zu WhatsApp ergänzt werden", so Oberbeck.
   

Und nun? Wie lässt sich WhatsApp Business nutzen?

Wenn Handwerksbetriebe mit Kunden über WhatsApp Business in Kontakt treten, sollten weitere Aspekte berücksichtigt werden. Zunächst ist es wichtig, dass die erste Kontaktaufnahme durch den Kunden erfolgt. Andernfalls ist es schwierig, die Datenschutzerklärung an den Mann beziehungsweise die Frau zu bringen. WhatsApp Business sollte zudem nur auf dienstlichen Smartphones und Tablets genutzt werden. Wird die App auf einem Privatgerät installiert, besteht die Gefahr, dass Datenlecks durch automatisierte Backups entstehen. Dafür wäre man als Unternehmer im Zweifelsfall haftbar. Auch wenn der vorliegende Vertrag zur Auftragsverarbeitung die Datennutzung durch WhatsApp grundsätzlich ausschließt, empfiehlt Oberbeck dennoch, den allgemeinen Zugriff auf das Adressbuch des Telefons zu unterbinden. So werden nur die Daten übermittelt, die für konkrete Kommunikationshandlung erforderlich sind. Wenn der Kundenkontakt häufiger stattfindet, können dessen Kontaktdaten dann im Gerät abgespeichert werden.
 

Wofür kann ich WhatsApp Business nicht verwenden?

WhatsApp Business ist nicht für die interne Kommunikation in Unternehmen konzipiert und sollte daher auch nicht als Ersatz für interne Absprachen per E-Mail oder Telefon verwendet werden. Da die betroffenen Mitarbeiter auch bei WhatsApp Business über private Accounts kommunizieren müssten (ein WhatsApp Business Account lässt sich nicht auf beliebigen Endgeräten installieren), besteht weiterhin das Problem der Datenhoheit. Das Unternehmen hat keinen Einfluss auf das Backup der privaten Mitarbeitergeräte.
 

Dürfen Kontakte zu Werbezwecken angeschrieben werden?

Werbliche Ansprachen – dazu zählen auch Weihnachtsgrüße und Sommerfestankündigungen – sind über den Business-Messenger nur eingeschränkt möglich. Eine Werbenachricht darf grundsätzlich nur mit Einwilligung des Empfängers versendet werden. Jeder Kunde müsste also vorab schriftlich (oder über den jeweiligen Chat) gefragt werden, ob er mit werblichen Nachrichten über WhatsApp einverstanden ist. Erst wenn der Kunde zusagt, darf das Unternehmen loslegen. Übrigens sieht WhatsApp den Versand von Werbenachrichten selbst nur ungern. Seit Ende 2019 wurden entsprechende Einstellungen bei WhatsApp noch einmal eingeschränkt und es wurde kommuniziert, dass der massenhafte Versand von Werbenachrichten verboten sei. 

Datenschutzexperte David Oberbeck ist Rechtsanwalt und Partner der auf Datenschutz, Marketing und Vertrieb spezialisierten Herting Oberbeck Rechtsanwälte Partnerschaft.

Tipp! Die Kanzlei bietet unter  datenschutzkanzlei.de einen kostenfreien E-Mail-Newsletter zu Themen rund um Datenschutz, Marketing, Social Media & Co.