Source: https://it-security-map.eu/de/roadmap/it-security-qa/?tx_navpushpullplatform_pushpullplatform%5Bthread%5D=61&tx_navpushpullplatform_pushpullplatform%5Baction%5D=show&cHash=4cbd4dcbbe5880988e495d14a358a610
Timestamp: 2018-12-17 19:39:15
Document Index: 320005717

Matched Legal Cases: ['Art. 4', 'Art. 2', 'Art. 6', 'Art. 2', 'Art. 2', 'Art. 2']

Frage gestellt am 07.06.2018 von secUnity Team
Verstoße ich gegen die Datenschutz-Grundverordnung, wenn ich WhatsApp meine privaten Kontakte aus meinem Adressbuch zugänglich mache?
Frage beantwortet am 07.06.2018 von secUnity Team
Diese Frage betrifft ein Problem, das die europäischen Datenschützer schon eine ganze Weile beschäftigt: Denn verwendet man WhatsApp auf seinem Smartphone, so willigt man in die Nutzungsbedingungen von WhatsApp ein, wonach man als Nutzer regelmäßig die Telefonnummern von WhatsApp-Nutzern und sonstigen Kontakten in seinem Mobiltelefon-Adressbuch WhatsApp zur Verfügung stellt.[1] Mit anderen Worten: Sobald man WhatsApp benutzt, wird das Adressbuch des Mobiltelefons mit allen Kontaktdaten einschließlich E-Mail-Adressen und postalischen Anschriften mit WhatsApp abgeglichen. Wie genau dieser Abgleichungsvorgang technisch ausgestaltet ist, wird nicht weiter von Seiten WhatsApp dargelegt und bleibt daher unklar.
Was feststeht ist, dass der Abgleich dieser personenbezogenen Daten eine ganz oder teilweise automatisierte Verarbeitung im Sinne des Art. 4 Nr. 2 DS-GVO darstellt, auf die grundsätzlich gemäß Art. 2 Abs. 1 DS-GVO die Datenschutz-Grundverordnung anwendbar ist. Bezüglich einer Verarbeitung personenbezogener Daten muss daher entweder eine Einwilligung des Betroffenen oder eine ausdrückliche Erlaubnis i.S.d. Verordnung vorliegen (siehe hierzu Art. 6 DS-GVO). Letzteres wird regelmäßig nicht der Fall sein, sodass eine Einwilligung erforderlich wäre.
Etwas Anderes würde nur dann gelten, wenn im Falle der Nutzung von WhatsApp eine Ausnahme vom sachlichen Anwendungsbereich der Datenschutz-Grundverordnung greifen würde, mithin die Verordnung also trotz der gegebenen Verarbeitung personenbezogener Daten ausnahmsweise nicht anwendbar wäre.
Im Rahmen der WhatsApp-Problematik wird dabei v.a. die Ausnahme des Art. 2 Abs. 2 lit. c DS-GVO diskutiert, wonach die Verordnung keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten findet. Was genau unter „persönlicher oder familiärer Tätigkeit“ zu verstehen ist, wird im Gesetz nicht definiert. Sie wird lediglich beschrieben als eine Tätigkeit, die „ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird“ (siehe hierzu Erwägungsgrund 18 der DS-GVO). Bisher legt die juristische Literatur die Ausnahmenorm des Lit. c grundsätzlich restriktiv aus.[2] Das Führen eines privaten Adressverzeichnisses fällt damit zwar unter die Privilegierung. Es bleibt aber fraglich, ob im Falle einer Einwilligung des Nutzers zum uneingeschränkten Zugriff auf seine Daten durch einen Dritten noch von einer Datenverarbeitung zu rein privaten Zwecken ausgegangen werden kann. Hiergegen könnte der Wortlaut in Lit. c sprechen, der eindeutig nur eine „aus schließliche“ persönliche oder familiäre Tätigkeit privilegieren will. Bislang gibt es aber noch keine Gerichtsentscheidungen zu der Frage, wie die Ausnahmeregelung in solchen Fällen auszulegen ist. Eine definitive Prognose kann daher an dieser Stelle noch nicht abgegeben werden.
WhatsApp räumte sich zudem in seiner Datenschutzerklärung von August 2016 zusätzlich das Recht ein, regelmäßig Telefonnummern von Kontakten im Adressbuch des Nutzers an Facebook weiter zu geben.[3] Der Hamburgische Datenschutzbeauftragte Johannes Caspar hat diese Verarbeitung per Anordnung mit dem Argument, dass diese Praxis ohne informierte Einwilligung erfolgte und damit ohne Rechtsgrundlage geschah, untersagt. Die Anordnung wurde im März 2018 vom OVG Hamburg bestätigt. In dem Hauptsacheverfahren steht eine endgültige Entscheidung noch aus.[4] In der aktuellen Datenschutzerklärung findet sich zwar keine ausdrückliche Einlassung diesbezüglich wieder. Jedoch wird u.a. eine Weitergabe von Account-Daten an Facebook nicht explizit ausgeschlossen, sondern lediglich zugesichert, dass diese Daten lediglich „nicht für andere sichtbar“ mit Facebook geteilt werden.[5] Nachdem in der Vergangenheit bereits fälschlicherweise im Zuge des Unternehmenskaufs von WhatsApp von Seiten von Facebook versichert wurde, dass ein Datenabgleich technisch nicht möglich sei und 2017 publik wurde, dass diese Möglichkeit schon zum Zeitpunkt des Kaufes im Jahre 2014 bestand,[6] sollte man entsprechende Einlassungen in diesem Kontext lesen.
Der zuweilen geäußerte Einwand, dass das Zurverfügungstellen der Adressbuchdaten mit dem schlichten Einsehen eines Telefonbuches zu vergleichen wäre, greift nicht. Denn das Adressbuch des Telefons unterscheidet sich wesentlich von einem herkömmlichen Telefonbuch. Zum einen enthält es meist mehr Daten hinsichtlich eines Kontakts als nur eine Festnetznummer, sondern kann auch darüberhinausgehende Daten wie E-Mail-Adresse, Geburtsdatum, Wohnanschrift etc. enthalten. Zum anderen haben sich diejenigen Personen, die in einem analogen Telefonbuch aufgelistet sind, bewusst dafür entschieden, ihre Festnetznummern in diesem Rahmen zu veröffentlichen und damit einem unbestimmten Personenkreis zugänglich zu machen. Gerade dieser letzte Aspekt aber ist im Falle eines Mobiltelefon-Adressbuchs nicht gegeben, da diese Daten von jedem, der davon Kenntnis erlangt, in sein Mobiltelefon-Adressbuch eingepflegt werden können.
Teilweise wird auch überlegt, ob für den Fall, dass alle Kontakte im Adressbuch ebenfalls WhatsApp nutzen, die Weitergabe zulässig sein könnte. Dann hätten alle Kontakte ebenfalls den Nutzungsbedingungen und Datenschutzrichtlinie von WhatsApp zugestimmt, sind also einverstanden, dass WhatsApp ihre eigenen Kontaktdaten im Wege eines Abgleiches erhält.[7] Gegen die pauschale Zulässigkeit aufgrund der Zustimmung zu den Nutzungsbedingungen könnte aber sprechen, dass die Nutzungsbedingungen nur im Verhältnis WhatsApp und Nutzer gelten und nicht zwischen den WhatsApp-Nutzern untereinander. Es erscheint daher fraglich, ob die Einwilligung in die Nutzungsbedingungen und Datenschutzrichtlinie dabei automatisch auch die datenschutzrechtliche Einwilligung in die Synchronisation der eigenen Kontaktdaten durch andere Nutzer mit WhatsApp umfasst.
Zusammenfassend ist die Adressbuchsynchronisation mit WhatsApp daher wie folgt zu bewerten:
Als Nutzer von WhatsApp, der in die vorgenannten Nutzungsbedingungen mit dargelegtem Inhalt eingewilligt hat, handelt man eventuell nicht mehr ausschließlich privat und setzt sich damit dem Risiko aus, dass die Ausnahme von der DS-GVO nicht greift. Sollten Aufsichtsbehörden und Gerichte die Ausnahme der privaten Datenverarbeitung ablehnen, müsste der WhatsApp-Nutzer die Anforderungen der DS-GVO erfüllen, um das Adressbuch übertragen zu dürfen. Eine mögliche Rechtsgrundlage wäre, die informierte Einwilligung aller Kontakte einzuholen, was sich in der Praxis jedoch schwierig umsetzen lassen dürfte. Auch wenn die Adressdaten von Personen an WhatsApp weitergegeben werden, die ebenfalls Mitglied des Messenger-Dienstes sind, erscheint ein gesetzeskonformer Einsatz von WhatsApp sehr fraglich. Bis hier Rechtsklarheit besteht sollten Nutzer auf datenschutzfreundlichere Messenger umsteigen oder müssen das Risiko einer unzulässigen Datenübermittlung eingehen.
[1] WhatsApp Nutzungsbedingungen, https://www.whatsapp.com/legal/#terms-of-service (zuletzt
aufgerufen am 25.4.2018).
[2] S. Ernst, in: B. Paal / D. Pauly (Hrsg.), DS-GVO/BDSG Kommentar, Art. 2 Rn. 21; T. Zerdick, in: E.
Ehmann / M. Selmayr (Hrsg.), DS-GVO Kommentar, Art. 2 Rn. 10.
[3] WhatsApp: Gründer verlässt Facebook wegen Datenschutzbedenken, https://www.datenschutzbeauftragter-info.de/whatsapp-gruender-verlaesst-facebook-wegen- datenschutzbedenken/ (zuletzt abgerufen am 02.05.2018).
[4] WhatsApp: Gründer verlässt Facebook wegen Datenschutzbedenken, https://www.datenschutzbeauftragter-info.de/whatsapp-gruender-verlaesst-facebook-wegen- datenschutzbedenken/ (zuletzt abgerufen am 02.05.2018).
[5] WhatsApp Nutzungsbedingungen, https://www.whatsapp.com/legal/#terms-of-service (zuletzt
[6] WhatsApp: Gründer verlässt Facebook wegen Datenschutzbedenken, https://www.datenschutzbeauftragter-info.de/whatsapp-gruender-verlaesst-facebook-wegen- datenschutzbedenken/ (zuletzt abgerufen am 02.05.2018).
[7] M. Frehner, WhatsApp Business und DSGVO: Das gilt rechtlich beim Datenschutz,
https://www.deutsche-handwerks-zeitung.de/whatsapp-betrieblich-nutzen-was-beim-datenschutz-wirklich-gilt/150/3101/363865 (zuletzt aufgerufen am 25.4.2018).