Datenschutzbeauftragter warnt vor WhatsApp

Thüringens Datenschützer Lutz Hasse bei der Vorstellung seiner Tätigkeitsberichte (PDF) für 2016 und 2017 Privatleute vor der Nutzung von WhatsApp gewarnt. In 99 Prozent der Fälle würden Anwender den Kommunikationsdienst rechtswidrig nutzen, weil sie dem Anbieter erlaubten, auf sämtliche Kontakte zuzugreifen.
Da in der Praxis die Zustimmung von diesen aber nicht vollständig vorlägen, sei die Nutzung von WhatsApp rechtswidrig. Diese Rechtsauffassung habe im letzten Jahr auch ein Gerichtsurteil bestätigt. Fachanwälte rechnen daher auch mit einer Abmahnwelle, die auf WhatsApp-Nutzer zukommen könnte.

Außerdem stellt Hasse klar, dass die Nutzung von WhatsApp an thüringischen Schulen unzulässig sei, da die über WhatsApp gesendeten Daten über Server in den USA übertragen würden, was nach den Thüringer Ladesgesetzen nicht erlaubt sei.

Auch den Fall einer thüringer Apotheke, die Bestellungen ihrer Kunden mittels WhatsApp erlaubt, sieht der Datenschutzbeauftragte kritisch. Um mittels WhatsApp die Bestellung aufzugeben, würden die Kunden zumeist dazu aufgefordert, ein Foto vom Rezept oder der Verpackung des bereits vorliegenden Medikamentes zu übersenden. Vor allem bei Rezepten handelt es sich nach Ansicht von Hasse um besonders schützenswerte, personenbezogene Daten nach § 3 Abs. 9 BDSG, da Informationen zu den vorliegenden Krankheiten oder dem Gesundheitszustand des Bestellers abgeleitet werden können. Denn trotz der mittlerweile plattformunabhängigen Ende-zu-Ende-Verschlüsselung von Text und Bilddaten erhält WhatsApp Kenntnis von den MetaDaten.

Die Bestellung von Medikamenten per WhatsApp ist für Hasse daher ein datenschutzrechtliches Wagnis, da aufgrund der Übertragung der Daten in die USA deren weitere Nutzung völlig unklar sei und auch fraglich sei, ob die Verschlüsselung an sich von Dauer ist. Daher hat Hasse in Zusammenarbeit mit dem Apothekerverband auf das Problem aufmerksam gemacht und es wurden die datenschutzrechtlichen Bedenken erörtert und die Apotheker dafür sensibilisiert. Die Prüfung sei jedoch noch nicht abgeschlossen.

WhatsApp sieht sich immer wieder in Konflikt mit zahlreichen Behörden. Im Dezember hat die französische Datenschutzbehörde CNIL den Datenabgleich zwischen WhatsApp und dem Mutterunternehmen Facebook untersagt. Er soll gegen französische Gesetze verstoßen. Beide Unternehmen haben nun einen Monat Zeit, den Austausch zu beenden und ihre Angebote gesetzeskonform zu gestalten.

2014 hatte Facebook die Messaging-App WhatsApp gekauft. Kurz darauf änderte das Social Network seine Nutzungsbedingungen, um einen Datenabgleich zwischen WhatsApp und Facebook einzuführen. Mehrere europäische Datenschutzbehörden leiteten daraufhin Ermittlungen gegen Facebook und WhatsApp ein.

Bereits im April diesen Jahres untersagte das Verwaltungsgericht Hamburg die Weitergabe von Daten von WhatsApp-Nutzern an Facebook, was zuvor der Hamburgische Beauftrage für Datenschutz und Informationsfreiheit, Johannes Caspar, angeordnet hatte. Das Gericht sah keine rechtliche Grundlage für einen Abgleich, weder zur Wahrung der eigenen Geschäftszwecke, noch zum Erhalt der Netzsicherheit.

Allerdings urteilte das Verwaltungsgericht Hamburg nur über die Zulässigkeit der Verwaltungsanordnung des Datenschutzbeauftragten. Die Frage, ob Facebook überhaupt deutschem oder irischem Datenschutzrecht unterliegt – die für Europa zuständige Niederlassung von Facebook befindet sich in Irland – ließ das Gericht unberührt. Sie könnte nun im Rahmen des französischen Verfahrens geklärt werden.

Die CNIL moniert, dass WhatsApp nicht die Zustimmung seiner Nutzer zum Datenabgleich mit Facebook eingeholt hat. Es habe lediglich seine Richtlinie geändert, der aber nur neue Nutzer zustimmen müssen – oder solche, die die App neu installieren. Zudem hätten Nutzer nur eine Möglichkeit, dem Datenaustausch zu entgehen. Sie müssten die App deinstallieren.

Auch Großbritannien untersagte Ende 2016 die Weitergabe von WhatsApp-Daten an Facebook. Die EU prüft zudem, ob Facebook bei der Übernahme von WhatsApp im Jahr 2014 falsche Angaben gegenüber der EU-Kommission machte. Es soll zu dem Zeitpunkt behauptet haben, ein verlässlicher automatischer Abgleich zwischen den Benutzerkonten von Facebook und WhatsApp sei gar nicht möglich. Inzwischen geht die Kommission jedoch davon aus, dass die technischen Voraussetzungen schon 2014 bestanden. Facebook habe vermutlich vorsätzlich oder fahrlässig falsche oder irreführende Angaben gemacht und seine Verpflichtungen nach der EU-Fusionskontrolle verletzt.