Seit die Europäische Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 in Kraft getreten ist, ist das Thema Datenschutz in aller Munde und zu einem festen Bestandteil des alltäglichen Lebens geworden. Sei es die Anpassung einer Homepage an die neuesten datenschutzrechtlichen Standards oder die Unterzeichnung einer Einwilligung zur Datenverarbeitung in einer Arztpraxis; der Datenschutz betrifft jeden Einzelnen, ob Verbraucher oder Unternehmer.
Ein besonders heikles datenschutzrechtliches Thema für viele Unternehmer ist die geschäftliche Nutzung von Whats-App und anderen Messengerdiensten. Insbesondere Kfz-Werkstätten und Autohäuser nehmen häufig Kontakt zu ihren Kunden über WhatsApp auf, um beispielsweise Fotos von Schäden am Pkw oder Bilder von Ersatzteilen zu verschicken. Was vielen dabei nicht bewusst ist: Die geschäftliche Nutzung von WhatsApp stellt eine Datenverarbeitung im Sinne der DSGVO dar und darf deshalb nur mit Einwilligung des Betroffenen erfolgen. Die Frage, ob eine datenschutzkonforme Nutzung von WhatsApp für Unternehmer unter Geltung der DSGVO überhaupt möglich ist, lässt sich schnell beantworten: In der Theorie - Ja! In der Praxis - wohl kaum!
Das Hauptproblem bei der betrieblichen Nutzung von WhatsApp ist, dass der Messengerdienst sämtliche Kontaktdaten im Telefonbuch des Smartphones ausliest. Wer den Messenger auf dem Mobiltelefon installiert, stimmt zu, dass die Tochterfirma von Facebook Zugriff auf das gespeicherte Adressbuch erhält. Sämtliche Kontaktdaten werden an den US-Konzern übermittelt. Dieser erhält somit auch Telefonnummern von Kontakten, die WhatsApp selbst überhaupt nicht nutzt. Was mit den Daten in den USA geschieht, ist nicht bekannt. Einigkeit besteht jedoch darüber, dass die Telefonnummern ohne Berechtigung an WhatsApp übermittelt werden und dies nach den Bestimmungen der DSGVO einen Datenschutzverstoß darstellt.
Sichere WhatsApp-Nutzung
Um sich als Unternehmer datenschutzkonform und damit rechtssicher zu verhalten und einen Verstoß gegen die DSGVO zu vermeiden, gibt es verschiedene Optionen. Der erste Schritt in die richtige Richtung ist der Kauf eines neuen Smartphones, das ausschließlich für geschäftliche Zwecke verwendet wird. So können private und geschäftliche Kontakte strikt voneinander getrennt werden.
Doch damit ist es noch nicht getan. Die wohl sicherste Lösung bieten sogenannte Exchange-Container. Hierbei werden innerhalb des Smartphones geschützte Bereiche gebildet, die sich mit außerhalb liegenden Daten nicht verbinden. Verbringt man WhatsApp in einen solchen geschützten Bereich, so werden die gespeicherten Kontaktdaten nicht mehr synchronisiert und der Datenschutzverstoß wird obsolet. Diese Lösung ist zwar rechtssicher, allerdings birgt sie auch einen erheblichen Zeit- und Kostenaufwand. Von den Betroffenen müssten Einwilligungen eingeholt und die Kontakte sodann manuell in WhatsApp übertragen werden. Aufgrund der praktischen Schwierigkeiten dürfte die Container-Lösung damit nur für große Unternehmen praktisch umsetzbar sein. Ein kleiner Betrieb wird nur selten die finanziellen und zeitlichen Mittel für die Umsetzung der Container-Lösung haben.
Optional kann WhatsApp der Zugriff auf die Kontaktdaten verweigert werden. Diese Einstellung lässt sich ganz einfach im Menü des jeweiligen Smartphones unter "Einstellungen. Datenschutz" treffen. Das Problem dieser Lösung ist jedoch, dass nur zukünftig keine Kontaktdaten an Whats-App übermittelt werden. Der Datenschutzverstoß besteht jedoch hinsichtlich bereits übertragener Kontakte fort. Eine völlig rechtssichere Lösung wäre damit nur möglich, wenn sich der Unternehmer ein neues Smartphone für geschäftliche Zwecke zulegt und bereits bei der Installation von WhatsApp den Zugriff auf das Adressbuch verweigert. Sodann müssten erneut Einwilligungen eingeholt und die Kontakte manuell übertragen werden.
Aufgrund erheblicher Umsetzungsschwierigkeiten in der Praxis untersagen einige große Konzerne wie der Autozulieferer Continental ihren Mitarbeitern die geschäftliche Nutzung von Messengerdiensten wie WhatsApp vollständig. Im Hinblick auf den Datenschutz wäre das die sicherste Methode, ob aber praktikabel muss jeder Unternehmer für sich entscheiden.
Folgen von Verstößen
Unweigerlich mit dem Thema Datenschutz verbunden sind die rechtlichen Konsequenzen von Datenschutzverstößen. Bereits kurz nach Inkrafttreten der DSGVO wurden die ersten Stimmen laut, die vor einer skrupellosen Abmahnindustrie warnten. Hierunter verstehen sich Rechtsanwälte und Abmahnvereine, die reihenweise Datenschutzverstöße von Unternehmen aufspüren, missbräuchlich abmahnen und so Profit schlagen. Fast ein Jahr nach Einführung der DSGVO ist die große Abmahnwelle immer noch ausgeblieben. Woran das liegt? Nun beschäftigen sich Gerichte erstmals mit der Abmahnfähigkeit von DSGVO-Verstößen.
Ob ein Verstoß gegen die DSGVO abgemahnt werden kann, ist zwischen den Gerichten umstritten und noch nicht höchstrichterlich entschieden. Wohingegen sich ein erstes Urteil des Landgerichts Bochum vom 7. August 2018 und die EU-Kommission gegen die Abmahnfähigkeit der DSGVO aussprechen, hält das Landgericht Würzburg und nun auch das Oberlandesgericht Hamburg (OLG) Datenschutzverstöße gegen die DSGVO für abmahnfähig.
Im Kern geht es um das Problem, ob die Regelungen der DSGVO in den Artikeln 77-84 bezüglich Rechtsbehelfen, Haftung und Sanktionen abschließend sind. Die DSGVO sieht die Abmahnung als Rechtsbehelf gegen Datenschutzverstöße nicht vor. Hält man die DSGVO mit dem Landgericht Bochum und der EU-Kommission für ein abgeschlossenes Sanktionssystem, so könnten Verstöße gegen die DSGVO nicht abgemahnt werden.
Das OLG Hamburg legt eine differenzierte Betrachtungsweise zugrunde. Grundsätzlich bejaht es zwar die Abmahnfähigkeit von DSGVO-Verstößen nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) und hält die Artikel 77-84 DSGVO damit nicht für abschließend. Allerdings müsse in jedem Einzelfall geprüft werden, ob die verletzte Vorschrift der DSGVO eine Marktverhaltensregelung im Sinne des Paragraf 3a UWG darstellt und damit im konkreten Fall abgemahnt werden kann.
Eine klare gerichtliche Sichtweise gibt es noch nicht. Das OLG Hamburg hat die Revision zugelassen. Die Entscheidungen des Bundesgerichtshofs (BGH) und aller Voraussicht nach auch des Europäischen Gerichtshofs (EuGH) zu dieser Grundsatzfrage können mit Spannung erwartet werden!
Kurzfassung
Weil Messengerdienste wie WhatsApp das Adressverzeichnis im Smartphone auslesen, ist die geschäftliche Nutzung aus Gründen des Datenschutzes problematisch. Es gibt aber Vorkehrungen, um den Datenschutz zu gewährleisten.
Bedeutung für die Praxis
Die erwarteten höchstrichterlichen Entscheidungen haben erhebliche Bedeutung für die Praxis. Sollte der BGH die Abmahnfähigkeit verneinen, so könnten Datenschutzverstöße nur von betroffenen Personen oder Aufsichtsbehörden moniert werden. Erstere interessieren sich meist wenig für den Datenschutz und Letzteren fehlen die personellen und finanziellen Mittel, sämtliche Unternehmen hinsichtlich ihrer DSGVO-Konformität zu überprüfen. Spricht sich der BGH jedoch für die Abmahnfähigkeit aus, so können auch andere Wettbewerber, Verbraucherschutzverbände und Wettbewerbsverbände Datenschutzverstöße rügen und das Abmahnrisiko steigt immens.
- Ausgabe 05/2019 Seite 42 (107.7 KB, PDF)