Was sich zunehmend im privaten Bereich etabliert hat, setzt sich nun auch im beruflichen Alltag fort: Kommunikationsplattformen wie z.B. WhatsApp breiten sich flächendeckend in den Unternehmen aus. Natürlich muss ein unternehmensintern genutzter Kommunikationsdienst, eine ganze Reihe von Kriterien erfüllen. Insbesondere muss er den Vorgaben der DSGVO und des Telekommunikationsgesetzes (TKG) gerecht werden.
Der Dienst WhatsApp bedient diese Anforderungen in keiner Weise und gefährdet die Daten seiner Nutzer sogar. So liest WhatsApp kontinuierlich das Telefonbuch aus und überträgt alle Kontakte auf die eigenen Server. Das betrifft sogar Personen, die selbst gar kein WhatsApp nutzen und nur im Adressbuch eines WhatsApp-Nutzers gespeichert sind.
An dieser Stelle darf nicht vernachlässigt werden, dass es sich bei WhatsApp um ein Unternehmen im Facebook-Konzern handelt und die Server von WhatsApp und Facebook in den USA stehen. Dass eine Weitergabe von Nutzerdaten innerhalb des Konzerns erfolgt ist inzwischen bekannt und WhatsApp und Facebook stehen öffentlich dazu. In welchem Umfang Daten weitergegeben und für eigene Zwecke genutzt werden, ist für den WhatsApp-Nutzer aufgrund der fehlenden Informationsbereitstellung jedoch nicht nachvollziehbar. Nach einer Rechtsgrundlage für diese Verarbeitungen sucht man vergeblich; es gibt schlichtweg keine, weshalb diese Verarbeitung der Nutzerdaten durch WhatsApp illegal ist.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden („DSK“) hat im November 2019 besondere Anforderungen definiert, denen eine Kommunikationsplattform gerecht werden muss, um im Unternehmenskontext eingesetzt zu werden. Das „Whitepaper“ der DSK bezieht sich dabei insbesondere auf technische Datenschutzanforderungen an Messenger-Dienste in Krankenhäusern. Die dort definierten Anforderungen gelten allerdings auch für andere Unternehmen. Im Folgenden wird ein Teil der datenschutzrechtlichen Anforderungen aus den Bereichen technische Umsetzung der Applikation, Kommunikation, Sicherheit der Endgeräte sowie Plattform und Betrieb dargestellt.
Anforderungen an die technische Umsetzung der Messenger Applikation:
- Detaillierte Information des Nutzers über die konkrete Datenverarbeitung bei App-Nutzung
- Nutzung / Zugriff erst nach gesondertem Authentifizierungsvorgang
- Möglichkeit der Ablage von Kontaktdaten der Kommunikationsteilnehmern in einem vom Adressbuch getrennten Speicher
- Importmöglichkeiten für serverseitige Authentifizierung sowie Möglichkeiten der Verschlüsselung (z.B. Nutzung digitaler Signaturen, Zertifikate, Schlüssel), einhergehend mit integriertem Zertifizierungsmanagement
- verlässliche Identifizierung und Authentifizierung der Kommunikationspartner
- Integrierte Löschfunktion: verwaltete Daten müssen gezielt löschbar sein
- Gewährleistung der Verfügbarkeit: Möglichkeit der Sicherung der Kontaktdaten, Inhaltsdaten und Kommunikationsvorgänge
- Technischer Datenschutz durch Konfigurationseinstellungen
- Einhaltung des Grundsatzes der datenschutzgerechten Voreinstellungen
- Möglichkeit von halb-automatisierten Update-Verfahren
- Erkennbarkeit und Auszeichnung von Diensten Dritter zur Fehleranalyse
Auch definiert die DSK Anforderungen an die Kommunikation als solche:
- Gewährleistung von Vertraulichkeit und Integrität der Kommunikation
- Kryptografische Funktionen zur Eingangskontrolle der Nachrichten (z.B. Prüfnummern)
- Aufzeichnungen und Protokollierung der Verbindungsdaten zu der über den Messengerdienst geführten Kommunikation (u.a. Teilnehmer, Zeitpunkt, Geräte- und Standortdaten)
- Einsatz offener Kommunikationsprotokolle (Möglichkeit zur Kommunikation mit anderen Messenger-Diensten)
Ebenso ist die Sicherheit der Endgeräte von enormer Bedeutung. Hier fallen die folgenden Punkte ins Gewicht:
- Mobile Device Management für Endgeräte, inklusive sicherer Konfiguration der Geräte
- wirksamer Zugriffschutz (interner Speicher der Geräte muss durch Verschlüsselung geschützt werden, Entschlüsselung nur mit Kenntnis der Anmeldedaten)
- ausschließliche Nutzung von Geräten deren Betriebssystemversion durch den Hersteller mit Sicherheitspatches versorgt werden
Last but not least muss auch die Plattform und ihr Betrieb als solche betrachtet werden:
- Zentrales Identitätsmanagamentsystem und abgesicherter Registrierungsprozess (nur zugelassene Nutzer dürfen am Nachrichtenaustausch teilnehmen, geschlossene Nutzergruppen müssen realisiert werden)
- Datenschutz-Folgenabschätzung ist für die Nutzung eines Messenger-Dienstes in Kombination mit personenbezogenen Daten immer notwendig
- Gewährleistung von regelmäßiger Überprüfung, Bewertung und Evaluierung der Wirksamkeit der getroffenen TOMs zur Sicherheit der Verarbeitung
- Sicherstellung der regelmäßige Löschung (wenn möglich temporäre Speicherfristen nutzen)
- Durchführung von sicherheitsrelevante Updates in regelmäßigem Turnus
Wichtig ist für Sie als Unternehmen: Entscheiden Sie sich dennoch für eine Nutzung des Dienstes sollten Sie sich bewusst machen, dass Sie sich angreifbar machen und zudem ihre eigenen Datensätze gefährden. Es lohnt sich wirklich sich die Frage nach dem Mehrwert von WhatsApp und Co. im Vergleich zu eventuellen Gefährdungen wie Datenverlust oder Haftungsfragen zu stellen.
Und es gibt durchaus „Licht am Ende des Tunnels“: Schon jetzt sind einige Alternativen auf dem Markt, wie z.B. die App „Threema“, die datenschutzrechtlich weit weniger bedenklich als WhatsApp ist.
Quelle: „Whitepaper“ der DSK zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich, abgerufen am 15.02.2020 unter https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DSKBeschluessePositionspapiere/98DSK_Whitepaper-Messenger-Krankenhausbereich.html