WhatsApp mit Kunden nutzen: Was Unternehmen vorab klären sollten

Zuerst festlegen, wofür der Messenger tatsächlich gebraucht wird

Eine allgemeine Vorgabe wie „Wir kommunizieren über WhatsApp“ ist zu weit. Ein Terminabgleich, eine Abholbestätigung und die Übermittlung medizinischer, finanzieller oder arbeitsrechtlicher Informationen haben sehr unterschiedliche Risiken.

Beschreiben Sie deshalb wenige zulässige Einsatzfälle und ebenso klar die Grenzen. Der Messenger kann etwa kurze Serviceabsprachen unterstützen, während Verträge, vertrauliche Dokumente oder formbedürftige Erklärungen über dafür vorgesehene Kanäle laufen.

• Welche konkrete Aufgabe soll schneller oder einfacher werden?
• Welche Daten sind dafür wirklich erforderlich?
• Welche Inhalte sind im Messenger ausdrücklich ausgeschlossen?
• Wann wird in E-Mail, Kundenportal, Telefon oder persönlichen Kontakt gewechselt?

Je enger der erlaubte Zweck beschrieben ist, desto leichter lassen sich Datenminimierung, Schulung und Kontrolle organisieren.

Rechtsgrundlage, Transparenz und Freiwilligkeit getrennt prüfen

Die Datenschutz-Grundverordnung verlangt für jede Verarbeitung einen rechtmäßigen Zweck und verständliche Informationen. Eine Einwilligung ist nicht automatisch die beste oder einzige Grundlage; sie muss freiwillig, informiert und widerrufbar sein.

Kunden dürfen praktisch nicht in einen Messenger gedrängt werden. Ein erreichbarer Alternativkanal hilft, Freiwilligkeit und faire Kundenkommunikation zu sichern. Datenschutzhinweise sollten erklären, welche Daten über den Dienst verarbeitet werden und wie lange der Gesprächsverlauf benötigt wird.

• Rechtsgrundlage je Einsatzfall mit Datenschutzverantwortlichen klären
• Hinweise vor oder spätestens bei Beginn der Kommunikation zugänglich machen
• Widerspruch oder Widerruf ohne Nachteile ermöglichen
• Telefon, E-Mail oder Formular als gleichwertige Alternative benennen

Adressbuch, Gerät und Unternehmenskonto technisch beherrschen

Ein häufiger Risikopunkt ist der Zugriff der App auf ein vollständiges privates oder geschäftliches Adressbuch. Dort können auch Personen stehen, die niemals über den Messenger mit dem Unternehmen kommuniziert haben.

Geschäftliche Kommunikation gehört auf verwaltete Geräte und in klar zugeordnete Konten. Berechtigungen, Bildschirmsperre, Mehr-Faktor-Schutz, Updates, lokale Sicherungen und der Umgang mit Geräteverlust müssen zum Schutzbedarf passen.

• Kontaktzugriff vermeiden, begrenzen oder über ein freigegebenes Adressbuch organisieren
• Private und geschäftliche Nutzung sowie Backups sauber trennen
• Zugriff nur für benannte Rollen und aktive Mitarbeitende erlauben
• Austritt, Gerätewechsel und Verlust als dokumentierten Prozess vorsehen

Ein Business-Produkt ändert nichts daran, dass Berechtigungen und Endgeräte vom Unternehmen kontrolliert werden müssen.

Nicht nur Nachrichteninhalte, sondern den gesamten Datenfluss betrachten

Ende-zu-Ende-Verschlüsselung schützt den Inhalt einer Nachricht während der Übertragung, beantwortet aber nicht alle Datenschutzfragen. Metadaten, Kontoinformationen, Gerätekennungen, Empfängerbeziehungen und Sicherungen können eigenen Regeln folgen.

Vor dem Einsatz werden Anbieterinformationen, Vertragsrollen, mögliche Auftragsverarbeitung, Speicherorte, Drittlandübermittlungen und Unterauftragnehmer geprüft. Änderungen an Bedingungen oder Funktionen benötigen einen benannten Beobachtungsweg.

• Welche Inhalts-, Kontakt-, Geräte- und Nutzungsdaten verarbeitet der Dienst?
• Welche Vertrags- und Datenschutzinformationen gelten für das gewählte Produkt?
• Wo liegen Nachrichtenverläufe, Medien und Sicherungen?
• Wie kann das Unternehmen Daten exportieren und das Konto geordnet beenden?

Für den Alltag kurze Regeln, Zuständigkeiten und Löschwege schaffen

Datenschutz scheitert selten an einem fehlenden langen Handbuch, sondern an unklaren Alltagssituationen. Mitarbeitende müssen wissen, welche Inhalte sie annehmen, wie sie Personen identifizieren und wann sie eine Unterhaltung in ein geeignetes System überführen.

Auch die Aufbewahrung braucht eine Regel. Geschäftlich relevante Informationen werden dort dokumentiert, wo sie vollständig und zugänglich bleiben müssen. Nicht mehr benötigte Chatverläufe, Medien und Kontakte werden nach dem abgestimmten Konzept gelöscht.

• Freigegebene und ausgeschlossene Anwendungsfälle auf einer Seite
• Vorgehen bei Fehlversand, Identitätszweifel und sensiblen Angaben
• Übernahme relevanter Informationen in CRM, Akte oder Auftrag
• Fristen für Verlauf, Medien, Kontakte und Sicherungskopien
• Regelmäßige Kontrolle von Berechtigungen und Anbieteränderungen