WhatsApp im Betrieb: schnell – und sauber.

WhatsApp ist schnell, kostet nichts extra und jeder kann es bedienen. Deshalb nutzen es Handwerksbetriebe, Außendienstteams, Reinigungsfirmen, Hausverwaltungen und Pflegedienste gleichermaßen. Sobald der Messenger beruflich eingesetzt wird, gilt aber die Datenschutz-Grundverordnung (DSGVO) – und zwar für den Betrieb, nicht für den einzelnen Mitarbeiter. Die gute Nachricht: Mit einer klaren Trennung, ein paar Einstellungen und schriftlichen Regeln für das Team lassen sich die größten Risiken deutlich verkleinern.

Warum die DSGVO überhaupt greift

Die DSGVO schützt personenbezogene Daten – also alles, was sich einer Person zuordnen lässt: Name, Telefonnummer, Adresse, aber auch ein Foto vom Klingelschild oder eine Sprachnachricht mit erkennbarer Stimme. Privat zwischen Freunden spielt das kaum eine Rolle. Nutzt du WhatsApp aber für deinen Betrieb, bist du als Unternehmen „Verantwortlicher“ und musst erklären können, welche Daten du verarbeitest, wozu, auf welcher Rechtsgrundlage und wie du sie schützt. Das gilt auch dann, wenn Mitarbeiter ihre eigenen Handys verwenden.

Das eigentliche Problem: der Kontaktabgleich

Der heikelste Punkt ist meist nicht der Chat selbst, sondern das Adressbuch. Hat WhatsApp Zugriff auf die Kontakte, werden die Telefonnummern im Adressbuch an den Anbieter übermittelt – auch die von Menschen, die WhatsApp gar nicht nutzen und nie zugestimmt haben. Im beruflichen Umfeld ist das schwer zu rechtfertigen. Typische Lösungen sind:

• —Den Kontaktzugriff für WhatsApp in den Einstellungen des Handys verweigern und Chats über die Nummer starten.
• —Auf dem Betriebshandy nur Kontakte speichern, die mit WhatsApp-Kommunikation einverstanden sind.
• —Berufliche Kontakte in einem getrennten Bereich halten, etwa über ein Arbeitsprofil, das viele Smartphones anbieten – frag im Zweifel bei deinem IT-Dienstleister nach.

WhatsApp oder WhatsApp Business?

Für den Kontakt mit Kunden ist WhatsApp Business meist die bessere Wahl. Du bekommst ein Firmenprofil mit Adresse und Öffnungszeiten, kannst Abwesenheitsnachrichten und Schnellantworten hinterlegen und Chats mit Labels sortieren. Vor allem aber trennst du so den Betrieb sauber von deinem privaten WhatsApp. Am Datenschutz-Grundproblem ändert die Business-App allein nichts: Auch hier solltest du den Kontaktzugriff prüfen und klare Regeln aufstellen. Für größere Teams mit vielen Anfragen gibt es außerdem die WhatsApp Business Platform, die meist über spezialisierte Dienstleister angebunden wird.

Firmenhandy oder privates Handy?

Am saubersten ist ein Betriebshandy, das nur beruflich genutzt wird. Dann gehören Kontakte und Chats dem Betrieb, du kannst Einstellungen vorgeben, und wenn jemand das Unternehmen verlässt, bleibt das Gerät da. Nutzt dein Team private Handys („Bring your own device“), wird es schwieriger: Du kannst kaum kontrollieren, welche Daten wo landen, und private wie berufliche Kontakte vermischen sich. Wenn private Geräte unvermeidbar sind, regle zumindest schriftlich, welche Daten dort nichts verloren haben und was beim Ausscheiden passiert.

Einwilligung und Information

Schreibt dich ein Kunde selbst per WhatsApp an, ist das ein klares Zeichen, dass er auf diesem Weg kommunizieren möchte. Trotzdem solltest du transparent sein: Erwähne WhatsApp in deiner Datenschutzerklärung, biete immer eine Alternative wie Telefon oder E-Mail an und schreib niemanden ungefragt per WhatsApp an, nur weil seine Nummer im System steht. Für Werbenachrichten brauchst du eine ausdrückliche Einwilligung. Bei Mitarbeitern gilt: Niemand sollte gezwungen werden, WhatsApp auf dem privaten Handy zu installieren, um dienstlich erreichbar zu sein.

Was nie in einen WhatsApp-Chat gehört

Manche Daten sind so sensibel, dass sie über einen Verbraucher-Messenger grundsätzlich nicht verschickt werden sollten. Dazu gehören:

• —Gesundheitsdaten – Diagnosen, Krankmeldungen mit Begründung, Medikamente, Befunde, Fotos von Verletzungen
• —Bankdaten, Kreditkartennummern und Zugangsdaten zu Konten
• —Ausweis- und Passkopien
• —Personalunterlagen wie Gehälter, Abmahnungen oder Bewerbungsunterlagen
• —Passwörter, Alarmcodes und Schlüsselverstecke von Kunden

Besonders streng ist die DSGVO bei Gesundheitsdaten (Art. 9 DSGVO). Wer in der Pflege oder einer Arztpraxis arbeitet, sollte für Patienten- und Klientenkommunikation deshalb auf dafür vorgesehene Wege wie den TI-Messenger setzen.

Teamregeln, die im Alltag funktionieren

Die meisten Datenschutzpannen passieren nicht aus böser Absicht, sondern aus Bequemlichkeit: Das Foto vom Schaden geht schnell in die große Teamgruppe, der Türcode landet im Chat, weil es eilt. Klare, kurze Regeln helfen mehr als ein zwanzigseitiges Dokument, das niemand liest. Bewährt haben sich:

1. 01Eine Firmennummer für Kunden, getrennt vom Privaten.
2. 02Gruppen nur so groß wie nötig – pro Baustelle, Tour oder Objekt statt einer Gruppe für alle.
3. 03Fotos und Dokumente zeitnah in die Auftragsakte übertragen und aus dem Chat löschen.
4. 04Keine sensiblen Daten in den Chat – lieber anrufen oder einen sicheren Kanal nutzen.
5. 05Automatische Cloud-Backups der Chats prüfen und bewusst entscheiden, ob sie aktiv sein sollen.
6. 06Displaysperre und, wo möglich, Fernlöschung auf allen Betriebshandys.
7. 07Beim Ausscheiden: Gruppen verlassen, Firmenchats übergeben, Betriebshandy zurück.

Datensparsamkeit: weniger ist sicherer

Ein Grundprinzip der DSGVO ist die Datenminimierung: Verarbeite nur, was du für den Zweck wirklich brauchst, und lösche, was du nicht mehr brauchst. Für WhatsApp heißt das ganz praktisch: Nicht jede Sprachnachricht muss monatelang im Chat liegen. Wichtiges gehört in dein eigentliches System – Auftragsmappe, Kundenkartei, Handwerkersoftware –, der Chat darf danach aufgeräumt werden. Wer Chats regelmäßig ausmistet, hat im Ernstfall auch weniger zu verlieren, wenn ein Handy verloren geht.

Dienste rund um WhatsApp: an den AVV denken

Setzt du zusätzliche Dienste ein, die Inhalte aus deinen Chats verarbeiten – etwa für Transkription, Ticketsysteme oder Kundenservice-Plattformen –, verarbeiten diese Anbieter personenbezogene Daten in deinem Auftrag. Dafür brauchst du in der Regel einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Achte außerdem darauf, wo die Daten verarbeitet werden, ob sie gespeichert werden und wie lange. Ein seriöser Anbieter beantwortet diese Fragen ohne Umschweife.

Ein Beispiel ist Summarize.One: Sprachnachrichten und Zusammenfassungen werden nur verarbeitet und direkt danach gelöscht, was für den Service nötig ist, liegt auf Servern in der EU, und im Business-Tarif bekommst du einen AVV. Wichtig: Ein datensparsamer Zusatzdienst macht deine WhatsApp-Nutzung nicht automatisch DSGVO-konform. Die Regeln oben brauchst du trotzdem.

Auf einen Blick

Vorlage: Messenger-Richtlinie für das Team

Diese Vorlage kannst du kopieren, an deinen Betrieb anpassen und vom Team gegenzeichnen lassen. Sie ist bewusst kurz gehalten, damit sie auch gelesen wird. Lass sie im Zweifel von deinem Datenschutzbeauftragten prüfen.

Messenger-Richtlinie für [Firmenname]
Stand: [Datum]

1. Geräte
Beruflich kommunizieren wir über [Betriebshandys / WhatsApp Business unter der Firmennummer]. Kundenkontakt über private Nummern ist nicht vorgesehen.

2. Kontakte
WhatsApp hat auf Betriebshandys [keinen Zugriff auf das Adressbuch / nur Zugriff auf Kontakte, die eingewilligt haben].

3. Gruppen
Gruppen gibt es nur pro [Auftrag / Tour / Objekt]. Wer nicht mehr beteiligt ist, verlässt die Gruppe.

4. Was nicht in den Chat gehört
Gesundheitsdaten, Bank- und Zugangsdaten, Ausweiskopien, Personalunterlagen, Türcodes und Schlüsselverstecke. Für solche Infos rufen wir an oder nutzen [sicherer Kanal].

5. Ablage und Löschen
Fotos, Maße und Absprachen werden innerhalb von [X Tagen] in [System / Auftragsmappe] übertragen und danach im Chat gelöscht.

6. Sicherheit
Alle Geräte haben eine Displaysperre. Verlust oder Diebstahl wird sofort an [Ansprechpartner] gemeldet.

7. Zusatzdienste
Neue Apps oder Bots, die Chatinhalte verarbeiten, werden nur nach Freigabe durch [Ansprechpartner] genutzt.

8. Ausscheiden
Beim Ausscheiden werden Firmenchats übergeben, Gruppen verlassen und Betriebsgeräte zurückgegeben.

Fragen an: [Name, Kontakt]

Gelesen und verstanden: ____________________

Was das für deine Branche bedeutet

• —Handwerk: Kundenanfragen über WhatsApp Business bündeln, Fotos vom Schaden zeitnah in die Auftragsmappe.
• —Außendienst und Vertrieb: Besuchsberichte nicht im Chat liegen lassen, sondern ins CRM übertragen.
• —Gebäudereinigung und Hausverwaltung: Keine Schlüsselverstecke oder Alarmcodes per Nachricht, Gruppen pro Objekt.
• —Pflege und Arztpraxis: Organisation ohne Personenbezug ist das Maximum. Klienten- und Patientendaten gehören in den TI-Messenger oder andere dafür vorgesehene Systeme.