WhatsApp im Unternehmen: Bequem, verbreitet – und ein DSGVO-Problem
Der Kunde schickt das Foto per WhatsApp, der Betrieb antwortet – und Meta liest das Adressbuch mit. Warum das im Unternehmen ein DSGVO-Problem ist, welche Varianten das Risiko senken und wo für Ärzte und Anwälte endgültig Schluss ist.
Der Kunde schickt ein Foto vom tropfenden Rohr, Sie antworten mit einem Termin. Schnell, direkt, ohne Umwege. WhatsApp ist im Handwerk, in Büros und an vielen Empfangstresen längst ein Arbeitswerkzeug.
Das Problem ist nicht der Chat. Das Problem ist Ihr Adressbuch.
WhatsApp gleicht es komplett mit den Servern von Meta ab. Jede gespeicherte Nummer, auch die von Kunden, Lieferanten und Bewerbern, die davon nie erfahren haben. Was Privatleute mit ihren eigenen Kontakten machen, ist deren Sache. Ein Betrieb verarbeitet fremde Daten, und dafür gelten andere Regeln.
Muss WhatsApp deshalb komplett raus aus dem Unternehmen? Nein. Aber so, wie es in den meisten Betrieben gerade läuft, sollte es nicht weiterlaufen.
Das Kernproblem: der Adressbuch-Upload
WhatsApp ist so bequem, weil die App Ihr gesamtes Adressbuch regelmäßig mit den Servern von Meta abgleicht. Nur so weiß sie, welche Ihrer Kontakte erreichbar sind. Technisch clever, rechtlich der Knackpunkt: Telefonnummern sind personenbezogene Daten. Speichern Sie die Nummer eines Kunden auf dem Geschäftshandy, wandert sie in die USA, ohne dass der Kunde je gefragt wurde.
Die DSGVO verlangt für so eine Weitergabe eine Rechtsgrundlage (Artikel 6 DSGVO), auf Deutsch: eine Erlaubnis. »Machen doch alle« steht nicht im Gesetz. Und die viel beworbene Ende-zu-Ende-Verschlüsselung hilft an dieser Stelle nicht weiter. Verschlüsselt sind die Nachrichteninhalte. Nicht das Adressbuch, nicht die Information, wer wann mit wem schreibt.
Die schlechteste Variante: privates WhatsApp auf dem Firmenhandy
In vielen Betrieben sieht es so aus: Auf dem Diensthandy läuft das private WhatsApp-Konto des Mitarbeiters. Kundennummern und private Kontakte in einem Adressbuch, der Kundenchat zwischen Familiengruppe und Fußballverein.
Damit sammeln Sie gleich mehrere Baustellen. Der komplette Kundenstamm wandert zu Meta. Chatverläufe mit Aufträgen, Preisen und Zusagen liegen in einem privaten Konto; kündigt der Mitarbeiter, nimmt er sie mit. Gesichert wird, wenn überhaupt, in seiner privaten Google- oder Apple-Cloud. Wer kontrolliert das alles? Niemand. Genau das ist der Punkt.
Die risikoärmeren Wege, ehrlich verglichen
Jetzt die unbequeme Wahrheit: Kunden wollen oft WhatsApp. Wer ihnen stattdessen ein Kundenportal mit Login und Passwort aufzwingt, verliert sie. Ich halte deshalb nichts von Moralpredigten, aber viel von einem nüchternen Vergleich:
| Variante | Datenschutz | Reichweite bei Kunden | Aufwand |
|---|---|---|---|
| WhatsApp Business auf getrenntem Gerät, Adressbuch nur mit Einwilligungen | Risiko deutlich reduziert, aber nicht null | Sehr hoch, fast jeder hat WhatsApp | Gering |
| WhatsApp Business API über einen Anbieter | Besser: kein Adressbuch-Upload vom Handy, Vertrag zur Auftragsverarbeitung möglich | Sehr hoch | Mittel, laufende Kosten |
| Signal | Gut, kein Werbekonzern dahinter | Mittel, wächst, aber viele Kunden fehlen dort | Gering |
| Threema Work | Sehr gut, Schweizer Anbieter, nutzbar ohne Telefonnummer | Gering, privat kaum verbreitet | Gering bis mittel, Lizenzkosten |
Meine pragmatische Empfehlung für die meisten kleinen Betriebe: WhatsApp Business auf einem eigenen Gerät oder zumindest mit eigener Nummer. In das Adressbuch kommt nur, wer der Nutzung zugestimmt hat, etwa über einen Satz im Auftragsformular. Und wer Ihnen zuerst schreibt, bekommt eine Antwort, ohne dass seine Nummer im Adressbuch landet; das kann WhatsApp nämlich auch. Das ist kein perfekter Datenschutz, sondern gelebte Risikominimierung. Verglichen mit dem Status quo ist es trotzdem ein Riesenschritt.
Berufsgeheimnisträger: hier ist Schluss mit lustig
Für Ärzte, Anwälte, Steuerberater und andere Berufsgeheimnisträger gilt ein härterer Maßstab. Patienten- und Mandantendaten schützt § 203 StGB, und das ist Strafrecht, keine Formalie. Über eine reine Terminerinnerung kann man noch streiten. Über Befunde, Diagnosen oder Schriftsätze per WhatsApp nicht. Wer auf »war doch verschlüsselt« hofft, verwechselt Technik mit Rechtsgrundlage. Sensible Kommunikation gehört auf Kanäle mit Datenstandort in Deutschland oder der EU und einem sauberen Vertrag dahinter. Das größere Bild dazu, warum Firmendaten generell nichts auf US-Servern zu suchen haben, finden Sie hier.
In fünf Schritten zu sauberer Kundenkommunikation
- Bestandsaufnahme: Wer schreibt heute mit Kunden über WhatsApp, auf welchem Gerät, mit welchem Konto?
- Trennen: eigene Nummer oder eigenes Gerät für den Betrieb. Privates WhatsApp bleibt privat.
- Adressbuch aufräumen: Auf das Geschäftsgerät kommen nur Kontakte mit dokumentierter Einwilligung.
- Spielregeln festlegen: keine Ausweiskopien, keine Gesundheitsdaten, keine Zugangsdaten über den Messenger. Für Dateien gibt es sichere Wege.
- Papierkram nachziehen: Datenschutzerklärung ergänzen, den Prozess kurz dokumentieren. Einmal sauber gemacht, dann ist Ruhe.
Manchmal ist die richtige Antwort: nichts
Und weil Ehrlichkeit in beide Richtungen geht: Wenn Kunden Sie über WhatsApp gar nicht erreichen und das Konto rein privat läuft, gibt es kein Problem zu lösen. Und wer eine Handvoll Stammkunden hat, die ausdrücklich per Messenger schreiben wollen, und deren Einwilligung eingeholt und notiert hat, muss daraus kein Projekt machen. Ich verkaufe Ihnen ungern eine Lösung für ein Problem, das Sie an der Stelle gar nicht haben. Nicht jeder Betrieb braucht eine Messenger-Strategie. Aber jeder sollte einmal bewusst entschieden haben, statt einfach weiterzumachen, weil es schon immer so lief.
Und intern im Team?
Bei der internen Kommunikation sind Sie frei, denn hier muss kein Kunde mitziehen. Genau deshalb ist die Team-Gruppe auf WhatsApp unnötig. Dienstpläne, Baustellenfotos und Urlaubsabsprachen passen in einen selbst gehosteten Team-Chat, zum Beispiel Rocket.Chat oder Element, auf einem eigenen oder deutschen Server. Die Daten bleiben im Haus, kein Adressbuch-Abgleich, kein US-Konzern, der mitliest, wer mit wem spricht. Solche Werkzeuge richte ich im Rahmen eines digitalen Büros ein, meist zusammen mit Dateiablage und Kalender. Dieselbe Baustelle gibt es im Ehrenamt: Auch bei der IT von Vereinen und NGOs ersetze ich die WhatsApp-Gruppe regelmäßig durch einen eigenen Team-Chat.
Der Kundenchat darf weiterlaufen, nur eben sauber getrennt und ohne dass Ihr halbes Adressbuch bei Meta liegt. WhatsApp muss dafür nicht aus dem Betrieb verschwinden, es muss nur aufhören, nebenbei Ihren ganzen Kundenstamm zu Meta zu spiegeln. Wo bei Ihnen die Nummern gerade hinwandern und welcher Weg zu Ihrem Betrieb passt, klären wir in einem kostenlosen Erstgespräch, remote und egal, wo Sie sitzen. Sie reden dabei direkt mit dem, der den Messenger hinterher auch umbaut.
