Die europäische Datenschutz-Grundverordnung (DSGVO) schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten. Sofern Daten von natürlichen Personen ausschließlich für persönliche oder familiäre Zwecke genutzt werden, gelten die strengen Regeln und Strafandrohungen der DSGVO grundsätzlich nicht (Art. 2. Abs. 1 DSGVO). Allerdings gilt diese sog. „Haushaltsausnahme“ nur solange, wie bei der Verarbeitung der Daten kein Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit besteht.
Die Datenschutzbehörden haben in der Vergangenheit auch gegenüber Privaten durchaus empfindliche Bußgelder verhängt. So zog die Versendung einer E-Mail an ca. 1600 Adressaten, deren Adressen im cc-Feld der E-Mail offen einsehbar waren, ein Bußgeld von ca. 2600 EUR nach sich. Der nachfolgende genannte Artikel der Computerzeitschrift c’t stellt weitere Beispiele dar.
Die Geltung der Datenschutzgrundverordnung für Privatleute
Die Computerzeitschrift c’t erklärt in einer Ausgabe die Hintergründe („In welchen Fällen die DSGVO für Privatleute gilt – und in welchen nicht“ – 05/2020). Der Artikel ist kostenlos online hier zu lesen.
Danach ist die genannte Haushaltsausnahme bereits dann nicht mehr gegeben, wenn auch nur ein kleiner Teil der verarbeiteten Daten außerhalb der rein privaten bzw. familiären Umgebung genutzt wird. Enthalten die Kontakte oder Listen zum Beispiel neben Familienangehörigen auch personenbezogene Angaben zu Arbeitskollegen, Kunden oder Geschäftspartnern können die Grenzen der Haushaltsausnahme bereits überschritten sein.
Besonders zu beachten ist das Hochladen von Kontaktdaten zu Plattformen wie WhatsApp. Der genannte Artikel der c’t erwähnt in diesem Zusammenhang beispielhaft auch Kontaktdaten von Vereinsmitgliedern. Deren Daten unberechtigt zu verarbeiten, kann ein Datenschutzverstoß sein.
Einen Sonderfall stellt wiederum das Veröffentlichen von personenbezogenen Daten über Internetdienste, wie WWW-Seiten, öffentlich zugängliche Konten in den sozialen Netzwerken oder bei YouTube dar. Alle über Internetdienste öffentlich zugängliche personenbezogene Daten unterliegen dem Schutz der DSGVO, hier greift die Haushaltsausnahme in der Regel nicht.
Datenschutzverstöße beim Abgleich der Kontakte in Messengern
Das Bundeskartellamt hat im Mai 2023 den Abschlussbericht einer Untersuchung zu Messenger- und Video-Diensten vorgelegt. Demnach verstoßen einige Dienste bei Funktionen, die für Nutzerinnen und Nutzer besonders wichtig sind, wohl gegen verbraucherrechtliche Vorgaben.
Bei der Synchronisierung des Kontaktverzeichnisses werden auch Daten von Personen erfasst, die den jeweiligen Dienst gar nicht nutzen, was bei dauerhafter Speicherung nach Ansicht der Behörde gegen die DSGVO verstößt, selbst wenn die Telefonnummern verschlüsselt dargestellt werden.
Auch beim Transfer und der Speicherung von Daten halten sich manche Anbieter nicht an das Recht, da persönliche Daten nur in Länder übermittelt werden dürfen, die ein der DSGVO vergleichbares Schutzniveau bieten. Dies sei in den USA nach aktueller Rechtslage nicht der Fall.
Zudem müssen Verbraucher nach dem Gesetz gegen den unlauteren Wettbewerb – UWG wahrheitsgemäß über die Sicherheit ihrer Kommunikation, etwa die Verschlüsselung, informiert werden; hier sieht das Amt bei vielen Diensten Verbesserungsbedarf.
Die Verbraucherzentrale Bundesverband erklärt hierzu Hintergründe und fordert einen weitergehenden Schutz der Bürger.
Empfehlung des Bundeskartellamts
Da Verschlüsselung nur ein Kriterium der Datensicherheit ist, hat das Bundeskartellamt gemeinsam mit dem BSI diese Checkliste erstellt:
- Protokoll und Ende-zu-Ende-Verschlüsselung auf dem Stand der Technik
- Der Dienst hält sich an internationale Standards
- Einsehbarer Quellcode / (Sicherheitsaudit)
- Zwei-Faktor-Authentisierung
- Server-Standort in der EU (hier gilt die DSGVO)
- Keine Synchronisation des Kontaktverzeichnisses
- Datensparsames Geschäftsmodell
Nutzungsbedingungen WhatsApp
WhatsApp ist ein Messenger-Dienst (Instant-Messaging-Dienst) der seit 2014 Teil des von Mark Zuckerberg geleiteten US-amerikanischen Unternehmens Meta Platforms, Inc. ist (vormals Facebook, Inc.).
Die Nutzungsbedingungen von WhatsApp, die mittlerweile auf mehrere, aufeinander verweisende Bestimmungen verteilt sind, werden immer wieder überarbeitet und neu herausgegeben. Die folgenden Ausführungen beziehen sich auf die Fassung mit Stand 17.08.26.
Die in Zusammenhang mit dem Thema dieses Artikels am ehesten interessanten Bestimmungen finden sich im Abschnitt „Über unsere Dienste“ und lauten z. B.:
Registrierung. Du musst dich für unsere Dienste registrieren und dafür korrekte Informationen verwenden, deine aktuelle Mobiltelefonnummer angeben und diese im Falle einer Änderung unter Nutzung unserer In-App-Funktion „Nummer ändern“ aktualisieren. Du stimmst zu, SMS und Telefonanrufe mit Codes zur Registrierung für unsere Dienste (von uns oder unseren Drittanbietern) zu erhalten.
Hierzu ist anzumerken, dass WhatsApp ein auf Internetprotokollen basierender Dienst ist. Die Mobiltelefonnummer hat hier lediglich die Funktion einer Benutzerkennung. Für den Verbindungsaufbau zwischen den Geräten kann die Mobiltelefonnummer „im Internet“ überhaupt nicht verwendet werden. Andere Messenger-Dienste (z. B. Threema, Delta Chat, Wire u.v.a.) bieten im Grunde den Leistungsumfang wie WhatsApp, verlangen aber nicht die Angabe der Mobiltelefonnummer.
Adressbuch. Falls nach geltenden Gesetzen zulässig, kannst du die Funktion zum Hochladen von Kontakten nutzen und uns regelmäßig die Telefonnummern in deinem Mobil-Adressbuch zur Verfügung stellen, darunter sowohl die Nummern von Benutzer*innen unserer Dienste als auch die von deinen sonstigen Kontakten. Hier erfährst du mehr über unsere Funktion zum Hochladen von Kontakten.
Die Formulierung „Falls nach geltenden Gesetzen zulässig, kannst du …“ sollte so verstanden werden, dass die Nutzenden dieses Internetdienstes das rechtliche Risiko für den aus Sicht des Datenschutzes ordnungsgemäßen Einsatz von WhatsApp tragen. An Stelle des „Adressbuchs“ wird in den Benutzungsoberflächen der Geräte auch oft der Begriff „Kontakte“ verwendet. Das Adressbuch / die Kontakte beinhalten neben den von Hand eingetragenen Adressen anderer Menschen auch die Inhalte der „Anrufliste„. Diese enthält auch die Telefonnummern (i.d.R. eindeutig bestimmten Menschen zuzuordnende Identitäten) auch von Anrufern, die WhatsApp nicht nutzen und keine Möglichkeit haben, der Aufnahme ihrer Identitäten in das Adressbuch / die Kontakte und in vielen Fällen deren Weiterleitung an Meta Platforms, Inc. zu widersprechen.
WhatsApp-Nutzer sollten sich fragen,
- ob und wann sie vor der Installation der App, der Registrierung ihrer Identität bei Meta Platforms, Inc. oder der ersten Nutzung des Messengers auf diesen Umstand hingewiesen wurden und
- ob sie sich in der Lage fühlen, die Weitergabe der Inhalte ihrer Adressbücher / ihrer Kontakte bei der Nutzung von WhatsApp zu verhindern
Interessant ist gerade vor diesem Hintergrund ein Hinweis von Meta Plaforms, Inc. in deren Artikel „So nutzt Du WhatsApp verantwortungsvoll“:
Verwendung von Kontaktlisten, die nicht dir gehören: Gib Telefonnummern niemals ohne Einwilligung weiter und verwende keine Daten, die aus illegalen Quellen stammen, um Benutzer*innen auf WhatsApp Nachrichten zu senden oder sie Gruppen hinzuzufügen.