Fast jedes zweite deutsche Unternehmen nutzt WhatsApp für die interne Kommunikation – meist aus schlichter Bequemlichkeit. Doch was im Alltag praktisch erscheint, ist rechtlich ein Minenfeld. Und das Problem liegt nicht nur bei Meta.
Das Adressbuch-Problem: Das unterschätzte Datenleck
Wenn ein Mitarbeiter WhatsApp auf seinem privaten Smartphone installiert, überträgt die App beim ersten Start das gesamte Telefonbuch an Meta-Server in den USA. Das bedeutet: Alle Kontakte – Kollegen, Kunden, Geschäftspartner – werden ohne deren Einwilligung an einen US-amerikanischen Konzern übermittelt. Das ist eine Datenweitergabe an ein Drittland ohne angemessenes Datenschutzniveau im Sinne von Art. 44 ff. DSGVO Ein Bußgeld ist hier nicht nur theoretisch möglich.
Hinzu kommt: Sobald ein Mitarbeiter den WhatsApp-Dienst für Arbeitszwecke nutzt, wird das Unternehmen in aller Regel zum Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO – auch dann, wenn es sich um ein privates Gerät handelt. Die Haftung bleibt beim Arbeitgeber.
Betriebsrat und Mitbestimmung: Ein oft übersehenes Risiko
Auch arbeitsrechtlich ist die WhatsApp-Nutzung problematisch. Der Einsatz digitaler Kommunikationsmittel im Betrieb unterliegt der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG). Wer WhatsApp ohne Betriebsvereinbarung einführt, riskiert eine Unterlassungsklage des Betriebsrats – bis hin zum Verbot. Und selbst wenn der Betriebsrat zustimmt, bleibt die DSGVO-Problematik bestehen.
Viele Anwälte weisen in Beratungsgesprächen zwar auf diese Risiken hin – schweigen dann aber darüber, dass die Tolerierung bestehender Nutzung ebenfalls eine Pflichtverletzung der Geschäftsführung darstellen kann.
Die Lösung: Datenschutzkonforme Alternativen
Die gute Nachricht: Es gibt leistungsfähige Alternativen, die speziell für den Unternehmenseinsatz entwickelt wurden. Achten Sie bei der Auswahl auf: Serverstandort Deutschland oder EU, ISO-27001-zertifizierte Rechenzentren, verfügbaren Auftragsverarbeitungsvertrag (AVV), keine Werbedatenerhebung sowie einen Betriebsrats-Flyer, der die wesentlichen Datenschutzaspekte erklärt. Wer einmal die DSGVO-Anforderungen klar kommuniziert, hat in der Regel wenig Mühe, den Betriebsrat von einer professionellen Lösung zu überzeugen.
