Nach dem erst kürzlich verhängten Rekordbußgeld gegen Amazon durch die luxemburgische Aufsichtsbehörde in Höhe von 746 Mio. Euro, hat die irische Aufsichtsbehörde DPC nun das zweithöchste Bußgeld in der Geschichte der DSGVO gegen WhatsApp verhängt: 225 Mio. Euro soll WhatsApp wegen Verstößen gegen die DSGVO zahlen.
Ermöglicht werden solche hohen Bußgelder durch Art. 83 Abs. 5 DSGVO, wonach im Fall eines Unternehmens Geldbußen von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden können.
Das Bußgeld bezieht sich auf ein bereits 2018 begonnenes Verfahren, in dem es um Verstöße gegen die Transparenzvorgaben aus Art. 12-14 DSGVO ging. Die irische Aufsichtsbehörde kam zu dem Ergebnis, dass WhatsApp diesen Vorgaben im Hinblick auf die Bereitstellung von Informationen und deren Weiterverarbeitung zwischen WhatsApp und anderen Facebook-Unternehmen nicht nachgekommen sei. Die ursprünglich veranschlagten 30-50 Mio. EUR schienen einigen anderen Aufsichtsbehörden unangemessen, so dass der EDSA einen gem. Art. 65 DSGVO verbindlichen Beschluss erlassen musste. Dieser erhöhte das Bußgeld auf 225 Mio. EUR, das sich folgendermaßen zusammensetzt:
- 90 Mio. EUR wegen eines Verstoßes gegen Art. 5 Abs. 1 lit. a DSGVO
- 30 Mio. EUR wegen eines Verstoßes gegen Art. 12 DSGVO
- 30 Mio. EUR wegen eines Verstoßes gegen Art. 13 DSGVO und
- 75 Mio. EUR wegen eines Verstoßes gegen Art. 14 DSGVO.
Daneben sprach die DPC eine Verwarnung aus und forderte WhatsApp auf, seine Datenverarbeitung in Einklang mit den Vorschriften zu bringen.
WhatsApp ist mit der Entscheidung nicht einverstanden und hat bereits angekündigt gegen diese vorzugehen. Es bleibt daher abzuwarten, ob das Bußgeld in der Höhe rechtskräftig wird und auch tatsächlich gezahlt werden muss. Nichtsdestotrotz setzt die Entscheidung erneut ein wichtiges Zeichen für den Datenschutz und kann nur als Warnung verstanden werden, den Datenschutz und die Umsetzung der gesetzlichen Vorgaben ernst zu nehmen. Wird das Verfahren letztlich mit einem Urteil entschieden, werden einige strittige Punkte bisheriger Berechnungsmodelle thematisiert werden müssen. Dadurch würde in jedem Fall mehr Rechtssicherheit für Verantwortliche geschaffen.
Julia Bernard
Juristin (Univ.)
Consultant für Datenschutz
Der Einsatz von WhatsApp wird von den Aufsichtsbehörden nach wie vor als kritisch eingestuft, weswegen diese in Unternehmen davon abraten. Wir haben uns nach datenschutzfreundlichen Alternativen zu WhatsApp umgesehen und Informationen der nachfolgenden Messengerdienste zu ihren Funktionen und den Angaben der Betreiber zum Datenschutz zusammengefasst.
Threema Work
Threema Work ist ein Messengerdienst aus der Schweiz, der speziell auf die Nutzung in Unternehmen zugeschnitten ist. Threema Work ist eigenen Angaben zufolge DSGVO-konform.
Bei Threema Work müssen keine personenbezogenen Daten (z.B. E-Mail-Adresse oder Handynummer) angegeben werden und es kann ohne Zugriff auf das Adressbuch genutzt werden. Es wird lediglich eine zufällig generierte ID vergeben (sog. Threema-ID), unter der man anderen Nutzern angezeigt wird. Man kann jedoch seinen eigenen Namen angeben. E-Mail-Adressen und Telefonnummern des lokalen Adressbuchs können zum Abgleich anonymisiert („gehasht“) an Threema übermittelt werden und werden umgehend wieder von den Servern gelöscht.
Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt und auch die auf dem Endgerät gespeicherten Chats und Medien sind mit AES-256 (256 Bit Schlüssellänge unter Android) verschlüsselt.
Auch seitens der Aufsichtsbehörden wird Threema als gute Alternative empfohlen.
Signal
Bei Signal muss der Nutzer die eigene Telefonnummer und einen Nutzernamen angeben. Als Nutzername ist aber auch ein Pseudonym ausreichend. Man kann Signal Zugriff auf das Adressbuch gewähren, damit andere Signal-Nutzer angezeigt werden, oder die Telefonnummern händisch eingeben. Beim Abgleich mit dem Adressbuch werden die Kontakte anonymisiert und danach wieder von den Servern gelöscht.
Die Chats sind Ende-zu-Ende verschlüsselt. Signal ist Open Source, d.h. die Software ist transparent und kann überprüft werden. Das Unternehmen sitzt in den USA.
Seit Februar 2020 ist Signal die empfohlene Anwendung für öffentliches Instant-Messaging in der Europäischen Kommission.
Hoccer
Bei Hoccer, einem Messengerdienst aus Deutschland, müssen keine personenbezogenen Daten (wie z.B. Telefonnummer oder E-Mail-Adresse) angegeben werden. Dem Nutzer wird eine zufällige Identifikationsnummer zugewiesen durch die er sich mit anderen Nutzern verbinden kann, Hoccer kann also anonym genutzt werden. Hoccer greift auch nicht auf das Adressbuch zu. Alle Informationen werden verschlüsselt an deutsche Server übermittelt und danach gelöscht.
Es ist jedoch unklar, ob Hoccer weiterentwickelt wird, da die aktuelle Version aus dem Jahr 2018 (Android) bzw. 2017 (iOS) stammt. Unter diesem Gesichtspunkt können wir Ihnen die Nutzung von Hoccer momentan nur eingeschränkt empfehlen.
Wire Enterprise
Wire Enterprise ist ein Dienst, der speziell auf die Kommunikation in Unternehmen zugeschnitten ist. Zur Anmeldung muss eine E-Mail-Adresse angegeben werden, ein Zugriff auf das Adressbuch ist nicht erforderlich. Neben der Nutzung des Messenger-Dienstes besteht auch die Möglichkeit, über VoIP zu telefonieren. Wire kann sowohl auf Smartphones, Tablets als auch auf Desktop-Geräten genutzt werden.
Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt. Wire ist Open Source, d.h. die Software ist transparent und kann überprüft werden. Das Unternehmen sitzt in der Schweiz und hat seine Server in der EU.
ginlo Business
ginlo Business ist eine Version des Messenger-Dienstes für Unternehmen, die auch auf Desktop-Geräten genutzt werden kann. Es können Einzel- oder Gruppenchats und Channels für eine unternehmensweite Kommunikation erstellt werden. Die Chats sind auf bis zu 10 Geräten gleichzeitig verfügbar. Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt und die Serverstandorte in Deutschland sind mit ISO 27001 zertifiziert.
Beekeeper
Der Messengerdienst Beekeeper richtet sich speziell an Unternehmen. Für die Anmeldung ist keine E-Mail-Adresse erforderlich, es ist eine einfache Anmeldung über QR-Codes möglich. Beekeeper kann sowohl auf mobilen Endgeräten als auch auf Desktop-Geräten genutzt werden.
Dokumente, Links und Bilder können einfach gespeichert und freigegeben werden, es können News Streams eingerichtet werden und Mitarbeiterumfragen durchgeführt werden. Der Dienst arbeitet mit ISO 27001 zertifizierten Rechenzentren.
Fazit
Es gibt einige datenschutzfreundliche Messengerdienste auf dem Markt, die sich für den Einsatz im Unternehmen eignen. Eine vollständige datenschutzrechtliche Prüfung kann und soll dieses Merkblatt aber nicht ersetzen. Binden Sie bei der Einführung immer den Datenschutzbeauftragten mit ein.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, hat am 3. April 2020 ihren Jahresbericht für das Jahr 2019 vorgelegt.
Besonders erwähnenswert ist in diesem Zusammenhang das bisher höchste Bußgeld in der Bundesrepublik Deutschland unter der DSGVO. Dieses wurde wegen Verstößen im Zeitraum Mai 2018 bis März 2019 gegen die Deutsche Wohnen SE verhängt. Sie hatte umfangreiche Datensätze mit sensiblen Dokumenten wie Ausweiskopien oder Arbeitsverträgen entgegen der gesetzlichen Verpflichtung nicht gelöscht und war auch einer diesbezüglichen Aufforderung der Aufsichtsbehörde aus dem Jahr 2017 nicht nachgekommen. Die Höhe des verhängten Bußgeldes beträgt stolze 14,5 Millionen Euro. Der gesamte mögliche Bußgeldrahmen von 28 Millionen Euro wurde allerdings nicht ausgeschöpft. Die Deutsche Wohnen hat Einspruch gegen den Bußgeldbescheid eingelegt. Eine endgültige Entscheidung der Aufsichtsbehörde bzw. die mögliche gerichtliche Klärung stehen noch aus.
Die dienstliche Nutzung von Messenger-Apps ist immer noch ein Thema. Hier sollte die Bereitstellung eines dienstlichen Messengers erwogen werden, um Probleme zu vermeiden. Das automatische Auslesen des gesamten Adressbuchs ist nach wie vor ein Problem bei WhatsApp (Facebook). Vor allem sollten niemals vertrauliche Dokumente in WhatsApp-Gruppen geteilt werden.
Künstliche Intelligenz bzw. maschinelles Lernen birgt Risiken für die Persönlichkeitsrechte. Diese Risiken bestehen insbesondere in der systematischen Diskriminierung von Bevölkerungsgruppen im Rahmen intransparenter und voreingenommener Entscheidungsprozesse ohne menschliche Eingriffsmöglichkeit. Dahingehende Bemühungen von Unternehmen sind also unbedingt frühzeitig durch die Verantwortlichen mit dem Datenschutzbeauftragten abzustimmen.
Die Anfertigung von Fotos für den Zutritt zu Coworking-Spaces lässt sich nicht allein zur Gefahrenabwehr und Beweissicherung rechtfertigen. Wenn mildere Mittel wie das Erfassen der Personalien mittels einer Besucherliste zur Verfügung stehen, ist ein solches Vorgehen unzulässig.
Nach Beendigung des Beschäftigungsverhältnisses sind personenbezogene Daten zu löschen, wenn dem keine zwingenden Aufbewahrungspflichten entgegenstehen. Insbesondere bei auf der Homepage eingestellten Fotos und Informationen zum persönlichen Werdegang ist erhöhte Aufmerksamkeit geboten!
Bei Betroffenenanfragen muss der jeweils Verantwortliche - also das Unternehmen - sicherstellen, dass diese weitergeleitet und beantwortet werden. Die Aufsichtsbehörde stellt klar, dass mangelnde interne Organisation keinen Entschuldigungsgrund darstellt.
Gesundheits-Apps verarbeiten regelmäßig besonders sensible personenbezogene Daten. Speziell bei cloud-basierter Verarbeitung dieser Daten wird sich die Berliner Datenschutzbeauftragte künftig genaue Konzepte zu den technischen Schutzmechanismen vorlegen lassen.
Sobald die Übergangsphase für den Brexit endet (voraussichtlich mit Ablauf des Monats Dezember 2020), sind Datenflüsse in das Vereinigte Königreich vertraglich neu abzusichern. Eine Möglichkeit sind z.B. die von der EU-Kommission bereitgestellten Standardvertragsklauseln.
Wir werden unseren Kunden hierzu noch ein ausführlicheres Merkblatt zur Verfügung stellen. Bleiben sie gesund und achten Sie auf Ihre personenbezogenen Daten!
Florian S.
Justiziar | M.A.
Consultant für Datenschutz
In unserem heutigen Blogbeitrag möchten wir zusammenfassend über datenschutzrelevante Ereignisse der letzten Monate informieren:
- Mit der Entscheidung des EuGH sind Fanpagebetreiber ebenso verantwortlich für die damit verbundene Datenverarbeitung wie die Plattformbetreiber (z.B. Facebook Ireland Ltd.).
- Mit der Entscheidung des Landgerichts Würzburg (LG Würzburg, Beschluss vom 13.9.2018, Az. 11 O 1741/18), können Verstöße gegen die DSGVO von Mitbewerbern abgemahnt werden. Bisher bestand hier erhebliche Unsicherheit, ob es sich bei der DSGVO überhaupt um eine drittschützende Norm im Sinne des § 3a UWG handelt.
- Der BGH hat nun endgültig entschieden, dass Befragungen zur Kundenzufriedenheit und Feedback-Anfragen Werbung sind.
- Derzeit verschickt die sog. "Datenschutzauskunft-Zentrale“ ein Schreiben, in dem Unternehmen aufgefordert werden, Angaben über ihren Betrieb zu machen, "um ihrer gesetzlichen Pflicht zur Umsetzung des Datenschutzes nachzukommen". Hierbei handelt es sich um eine Abo-Falle. .
- Die Aufsichtsbehörden haben klargestellt, dass Unternehmen den Messenger-Dienst ‚WhatsApp‘ derzeit nicht datenschutzkonform einsetzen können:
- vgl. auch Merkblatt der Landesbeauftragten für den Datenschutz Niedersachsen
- vgl. auch Thüringer Landesbeauftragter für Datenschutz und Informationsfreiheit: 3. Tätigkeitsbericht Datenschutz: Nicht-öffentlicher Bereich, 2016/2017, S. 375.
- Laut dem Thüringer Landesarbeitsgericht (Urteil vom 16.05.2018, Az. 6 Sa 442/17) ist die Erhebung der privaten Telefonnummer durch den Arbeitgeber ein erheblicher Eingriff in die Persönlichkeitsrechte des Mitarbeiters.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Wir hatten bereits am 05.03.2018 berichtet, dass Unternehmen den Messenger-Dienst WhatsApp nicht datenschutzkonform einsetzen können (siehe Blog „Einsatz von WhatsApp im Berufsalltag“). Insbesondere kann die mit dem Einsatz des Messenger-Dienstes verbundene Übermittlung aller Namen und Telefonnummern der im Telefonverzeichnis des verwendeten Smartphones gespeicherten Kontakte nicht auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f) DSGVO gestützt werden. Die Landesbeauftragte für den Datenschutz Niedersachsen führt hierzu aus: „Ein berechtigtes Interesse des Nutzers von WhatsApp für die Übermittlung der Kontaktdaten kann allenfalls in Bezug auf die bereits registrierten Nutzer des Messenger-Dienstes unterstellt werden“ (Link zum Merkblatt).
Die Landesbeauftragte stellt jedoch klar, dass eine solche Datenübermittlung „[f]ür die Funktionsfähigkeit (…) und der vollständige Datenabgleich aller im Adressbuch gespeicherten Kontaktdaten nicht zwingend“ ist. Gemäß Art. 25 Abs. 1 DSGVO muss das eingesetzte Datenverarbeitungssystem (wie eben WhatsApp) so programmiert sein, dass Anforderungen des Datenschutzes standardmäßig implementiert sind und eine datenschutzgerechte Verarbeitung personenbezogener Daten durch entsprechende Funktionen möglich ist (Privacy by Design). Insbesondere muss der Umfang der personenbezogenen Daten, die in den Datenverarbeitungssystemen verarbeitet werden, auf das zur Zweckerfüllung absolut Notwendigste beschränkt werden; dennoch stellt „WhatsApp (…) keine Möglichkeit bereit, die Übermittlung zu deaktivieren, auf einzelne Kontaktgruppen zu beschränken oder sonst die Übermittlung zu konfigurieren.“
Laut der Landesbeauftragten stellt somit der „Einsatz von WhatsApp (…) in jedem Fall einen Verstoß gegen Art. 25 Abs. 1 DS-GVO dar.“
Die Pflicht zur Einhaltung von Art. 25 Abs. 1 DSGVO trifft dabei nicht die WhatsApp Inc., sondern das Unternehmen, das diesen Messenger-Dienst einsetzt.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Der Einsatz des Messenger-Dienstes WhatsApp im Unternehmen wird immer beliebter, ist es doch ein bequemes und günstiges Kommunikationsmittel.
Jedes Unternehmen (= Verantwortlicher), das veranlasst oder zulässt, dass seine Mitarbeiter mittels WhatsApp personenbezogene Daten verarbeiten, für die das Unternehmen verantwortlich ist (z.B. Beschäftigtendaten, Kontaktdaten von Geschäftspartnern), muss sicherstellen, dass dabei die Vorgaben aus der Datenschutzgrundverordnung (DSGVO) eingehalten werden.
Wenn die Mitarbeiter den Messenger-Dienst WhatsApp über ihre dienstlichen Smartphones nutzen, wird „automatisch das lokal hinterlegte Adressbuch des [Mitarbeiters] mit ausgelesen und alle diese Kontaktdaten ungefragt“ an die WhatsApp Inc. (= Anbieter des Messenger-Dienstes) übermittelt und auf deren Servern, die sich u.a. in den USA befinden, gespeichert (vgl. Thüringer Landesbeauftragter für Datenschutz und Informationsfreiheit: 3. Tätigkeitsbericht Datenschutz: Nicht-öffentlicher Bereich, 2016/2017, S. 375, abrufbar unter https://tlfdi.de/mam/tlfdi/presse/3._tb_nicht-oeff._webversion_tlfdi.pdf). Zusätzlich werden „Meta-Daten (IP-Adresse, Geräte-ID, Zeitpunkt usw.)“, die anfallen, wenn der Mitarbeiter mit seinen Kommunikationspartnern chattet, an die WhatsApp Inc. übermittelt, wobei „deren weitere Nutzung völlig unklar“ sei (vgl. Thüringer Landesbeauftragter für Datenschutz und Informationsfreiheit: 3. Tätigkeitsbericht Datenschutz, a.a.O., S. 376). Auch die ausgetauschten Textnachrichten und Bilder werden vom Anbieter erhoben und gespeichert, sofern die Ende-zu-Ende-Verschlüsselung nicht genutzt wird oder werden kann.
Darüber hinaus konnte nur durch eine Anordnung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit verhindert werden, dass diese Daten an die Facebook Inc. übermittelt wurden, nachdem diese 2014 die WhatsApp Inc. übernahm (vgl. https://www.datenschutz-hamburg.de/news/detail/article/oberverwaltungsgericht-bestaetigt-verbot-des-datenaustauschs-zwischen-whatsapp-und-facebook.html?tx_ttnews%5BbackPid%5D=1&cHash=d9c26b0f5befd174c7b50a4870037136).
Möchte ein Unternehmen also den Messenger-Dienst WhatsApp einsetzen, müsste es die damit verbundenen Datenübermittlungen an Dritte (u.a. WhatsApp Inc.) sowie in Drittstaaten ohne angemessenes Datenschutzniveau (u.a. USA) absichern und die betroffenen Personen, d.h. die Mitarbeiter, die WhatsApp nutzen (müssen), deren Kommunikationspartner sowie diejenigen Personen, deren Kontaktdaten sich im Adressbuch des Smartphones des Mitarbeiters befinden, vollständig i.S.v. Art. 13, 14 DSGVO informieren.
Und das dürfte dem Unternehmen nach derzeitigem Kenntnisstand kaum möglich sein.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.