WhatsApp-Channels datenschutzkonform nutzen

Was sind WhatsApp-Channels?

WhatsApp, der weltweit grösste Instant-Messenger, hat seit September 2023 eine neue Funktion: WhatsApp-Channels. WhatsApp-Channels sind vom privaten Messaging-Dienst getrennt und unter einem eigenen Reiter namens «Aktuelles» auffindbar. Unternehmen können einen Kanal erstellen und darin Nachrichten posten –  ähnlich einem Newsletter oder Blog. Nutzer können die Kanäle, die sie interessieren, abonnieren und mit Emojis auf gepostete Nachrichten reagieren. Antworten können sie hingegen nicht verfassen.

Gemäss WhatsApp bieten WhatsApp-Channels für Unternehmen die Möglichkeit, privat und sicher Meldungen und Informationen an (potenzielle) Kunden zu kommunizieren. Besonders attraktiv macht die Kanäle, dass sie eine hohe Reichweite erzielen, Posts direkt auf dem Smartphone der Zielgruppe landen und sich Multimedia-Inhalte wie Fotos, Umfragen oder Links teilen lassen. Doch wie «privat und sicher» ist die Nutzung von WhatsApp-Channels im Unternehmen tatsächlich? Gibt es datenschutzrechtliche Fallgruben, die ein Unternehmen vermeiden muss?

Das DSG findet Anwendung

Der Betrieb eines WhatsApp-Channels durch ein Unternehmen kann bereits eine Datenbearbeitung im Sinne des Schweizerischen Datenschutzgesetzes (DSG) darstellen. Zwar können andere nicht sehen, welche Kanäle ein Nutzer abonniert hat. Damit bleibt der Nutzer zunächst anonym. Hat jedoch ein Kanaladmin die Nummer eines Nutzers in seinen Kontakten gespeichert, sieht er, wenn dieser Nutzer dem Kanal folgt. Das geschieht auf Grundlage einer automatischen Kontakte-Synchronisation. Je nach Datenschutzeinstellung der Nutzer werden dem Kanaladmin zudem Name und Profilbild angezeigt. Aufgrund dieser Einblicke des Unternehmens in die Nutzerprofile liegt eine Bearbeitung von Personendaten durch das Unternehmen vor, die dem DSG untersteht. Das Unternehmen muss also sicherstellen, dass es mit den Daten datenschutzkonform umgeht.

Vorgaben des DSG

Das DSG nennt Vorgaben, die bei der Datenbearbeitung einzuhalten sind: Rechtmässigkeit, Verhältnismässigkeit, Treu und Glauben, Zweckgebundenheit (Art. 6 und 8 DSG). Konkret müssen die Einblicke des Unternehmens in die Nutzerprofile rechtmässig, fair, auf das notwendige Mass beschränkt und zu einem bestimmten Zweck erfolgen. Datensicherheit und -richtigkeit müssen stets garantiert werden. Wenn ein Unternehmen diese Vorgaben nicht einhält, bleibt eine Datenbearbeitung rechtmässig, wenn sie das Gesetz, ein überwiegendes privates oder öffentliches Interesse oder eine Einwilligung erlaubt (Art. 31 DSG).

Die einseitige Kommunikation im WhatsApp-Channel ist zunächst unproblematisch, da Nutzer die Kanäle selbständig, aktiv und freiwillig abonnieren. Bei der automatischen Kontakte-Synchronisation sieht es anders aus; hier fehlt insbesondere eine Einwilligung. Um datenschutzrechtliche Komplikationen zu vermeiden, sollte das Unternehmen als Kanaladmin daher ein Gerät ohne gespeicherte Kontakte verwenden. Bestenfalls wird zudem die Einwilligung der Kunden zur Datenbearbeitung eingeholt. Dies kann das Unternehmen etwa tun, wenn es auf seiner Website seinen WhatsApp-Channel verlinkt.

Wichtig ist weiter die Pflicht zur Transparenz (Art. 19 ff. DSG): Den betroffenen Personen ist genug transparent zu kommunizieren, wie, von wem und wo ihre Daten bearbeitet werden. Die Information muss ihnen ermöglichen, die Datenbearbeitung zu verstehen und ihre Rechte wahrzunehmen. Implementiert ein Unternehmen WhatsApp-Channels, sollte es in seiner Datenschutzerklärung darauf hinweisen. Auf die Datenschutzerklärung kann wiederum beim Verlinken des WhatsApp-Channels aufmerksam gemacht werden. Es sollte nicht nur auf die Datenbearbeitung durch das Unternehmen, sondern auch durch WhatsApp selbst hingewiesen werden.

Meta kommt ins Spiel

Wer argumentiert, WhatsApp bearbeite keine Personendaten, weil eine end-to-end Verschlüsselung vorliege, geht fehl. Verschlüsselt sind nur die Inhalte der Chats und Anrufe. Das gilt nicht für die Metadaten der Nutzer, die Personendaten enthalten (Telefonnummer,  Gerätedaten, Standort usw.). Diese werden unverschlüsselt an WhatsApp übermittelt und üblicherweise auf Servern in den USA gespeichert. Es ist nicht auszuschliessen, dass WhatsApp diese Daten innerhalb des Meta-Konzerns, zu welchem es gehört, teilt. WhatsApp bearbeitet die Metadaten zwar eigenverantwortlich für eigene Zwecke. Dennoch können daraus Konsequenzen für ein Unternehmen erwachsen, das über WhatsApp-Channels mit seinen Kunden kommuniziert.

WhatsApp kann als in die Datenbearbeitung involvierter Drittanbieter gelten. Mit einem solchen müssen Unternehmen regelmässig einen sog. Auftragsbearbeitungsvertrag (Art. 9 DSG) abschliessen, um sicherzustellen, dass WhatsApp alle Daten nur unter Einhaltung der Vorgaben des DSG bearbeitet. Durch das Herunterladen und die Nutzung von WhatsApp wird ein von WhatsApp vorformulierter Auftragsbearbeitungsvertrag abgeschlossen.

Alternative: WhatsApp Business Plattform

Nach dem Gesagten birgt der Betrieb eines WhatsApp-Channels eine Reihe datenschutzrechtlicher Herausforderungen. Welche Alternativen können für die Kundenkommunikation in Betracht gezogen werden?

WhatsApp-Channels ist eine Funktion der sog. WhatsApp Business App. Diese ist ähnlich wie der private Messenger gestaltet, aber mit zusätzlichen Funktionen. Ein Unternehmen kann sich ein Unternehmensprofil einrichten und mit speziellen Tools Nachrichten an die Kundschaft automatisieren, sortieren und schneller senden. Die App ist für kleinere Unternehmen gedacht. Sie ist kostenlos, jedoch auf fünf Geräte und eine Telefonnummer begrenzt.

Anstelle der WhatsApp Business App kann sich ein Unternehmen für die WhatsApp Business Plattform entscheiden. Die WhatsApp Business Plattform ist eine Lösung für grössere Unternehmen, die ihre Kundenkommunikation über WhatsApp aufbauen und in bestehende Unternehmenssysteme aufnehmen möchten. Mit der WhatsApp Business Plattform können beliebig viele Mitarbeitende vom Computer aus mit den Kunden kommunizieren.

Die WhatsApp Business Plattform ist keine eigenständige App von WhatsApp. Stattdessen wird eine externe Kundenkommunikations-Software mit der technischen Schnittstelle von WhatsApp verbunden, über die der Austausch erfolgt. Die Daten der Nutzer werden nicht von WhatsApp, sondern von einem anderen Drittanbieter (sog. Business Solution Provider) bearbeitet, mit welchem auch der Auftragsbearbeitungsvertrag abzuschliessen ist. Ein Unternehmen kann sich einen Business Solution Provider aussuchen, der sicher alle Vorgaben des DSG erfüllt und die Daten auf Servern im EU-Raum speichert. Damit ist die WhatsApp Business Plattform aus datenschutzrechtlicher Sicht zu bevorzugen.

Als weitere, altbewährte Alternative können schliesslich E-Mail-Newsletter eingesetzt werden.

Handlungsempfehlung

WhatsApp-Channels sind derzeit ein Experiment. Ob sie sich als Marketinginstrument bewähren und wie sich darüber optimal datenschutzkonform kommunizieren lässt, steht noch offen. Falls Sie WhatsApp-Channels im Unternehmen einsetzen möchten, ist es deshalb ratsam, vorgängig rechtliche Beratung hinzuzuziehen. Domenig & Partner Rechtsanwälte AG unterstützt Sie gerne in diesen und anderen datenschutzrechtlichen Belangen.