Wer personenbezogene Daten über Messenger teilt, riskiert Datenschutzverstöße und arbeitsrechtliche Konsequenzen. Experten erklären, was erlaubt ist – und welche Alternativen DSGVO-konform sind.
Es kann nett gemeint sein: Der Dienstplan hat sich geändert, also macht man schnell ein Foto davon und lädt es in den WhatsApp-Gruppenchat hoch. Schließlich sollen alle Kolleginnen und Kollegen Bescheid wissen. Doch wenn es schlecht läuft, kann das für den Beschäftigten Ärger geben, weil der Datenschutz nicht beachtet wurde.
So wie in diesem Fall nutzen viele Beschäftigte Messenger wie WhatsApp, um sich über berufliche Themen auf kurzem Weg auszutauschen. Doch stellt sich dabei im Berufsalltag immer wieder die Frage: Was ist erlaubt? Und was kann datenschutzrechtlich oder arbeitsrechtlich kritisch sein?
Das Teilen des Dienstplans per Messenger wird dann zum Problem, wenn darauf personenbezogene Daten zu finden sind. Das können Vor- und Nachname von Personen sein. Noch problematischer ist es, wenn eine gesundheitsbezogene Information wie etwa das Kürzel "k" für "krank" angegeben ist.
Einsatz von WhatsApp im beruflichen Zusammenhang grundsätzlich kritisch
Wird der Dienstplan mit Vor- und Nachnamen von Mitarbeitern beispielsweise bei WhatsApp in den Gruppenchat hochgeladen, werden personenbezogene Daten verarbeitet. Damit gerät man in Konflikt mit der Datenschutz-Grundverordnung (DSGVO), erklärt Bernd Kinzinger, Rechtsanwalt bei der Fachkanzlei für Arbeitsrecht maat Rechtsanwälte. Denn laut DSGVO ist die Verarbeitung personenbezogener Daten nur zulässig, wenn ein sogenannter "Erlaubnistatbestand" vorliegt. "Die Datenverarbeitung ist nur dann erlaubt, wenn sie erforderlich ist", sagt Kinzinger. Um etwa jemandem mitzuteilen, dass sich der Dienst für ihn geändert hat, ist es aber grundsätzlich nicht notwendig, personenbezogene Daten anderer Mitarbeitenden zu teilen. Daher ist das Teilen des Dienstplans in diesem Fall problematisch.
Darüber hinaus ist der Einsatz von WhatsApp im beruflichen Zusammenhang grundsätzlich kritisch zu sehen. Der Messenger eigne sich nicht für eine DSGVO-konforme Kommunikation im betrieblichen Kontext, so Rechtsanwalt Kinzinger. Ein Grund dafür ist, dass die App die Telefonnummern der Nutzer auf den Servern von Meta, dem Konzern hinter WhatsApp, synchronisiert. "Meta ist ein amerikanisches Unternehmen, sodass es keine Garantie gibt, dass die DSGVO bei Verwendung des privaten Messengerdienstes eingehalten wird", sagt André Schiepel, Partner bei maat Rechtsanwälte. "Daher wird grundsätzlich davon abgeraten, WhatsApp im dienstlichen Kontext zu verwenden", sagt Bernd Kinzinger. Es gibt jedoch auch DSGVO-konforme Messenger-Dienste als Alternative. Laut jeweiliger Unternehmensangaben sind beispielsweise Siilo, Threema Work, Wire oder Ginlo DSGVO-konform.
Auch Schadensersatzansprüche gegen Beschäftigte möglich
Welche Konsequenzen könnte es nun haben, wenn jemand gegen Datenschutzrecht verstößt? "Grundsätzlich ist der Arbeitgeber der datenschutzrechtlich Verantwortliche im Sinne der DSGVO", sagt Bernd Kinzinger. Bei datenschutzrechtlichen Verstößen aus dem Betrieb heraus würde somit dieser in aller Regel haften. Gegen ihn könnten etwa Schadensersatzansprüche geltend gemacht werden. Zudem könnte die zuständige Datenschutzbehörde einschreiten und ein Bußgeld verhängen. "Das ist aber die Ausnahme und tendenziell nur bei schwerwiegenden Datenschutzverstößen der Fall", so Arbeitsrechtler Kinzinger. Da für den Arbeitgeber somit immer ein Haftungsrisiko besteht, empfiehlt er, regelmäßig stichprobenartig zu kontrollieren, dass der Datenschutz eingehalten wird.
Es kann jedoch auch passieren, dass sich eine beschäftigte Person haftbar macht. "Wenn ein Mitarbeiter vorsätzlich und willentlich außerhalb seiner dienstlichen Pflichten tätig wird – weil er beispielsweise den Dienstplan aus privaten Gründen weiterleitet – kann er selbst zum datenschutzrechtlich Verantwortlichen werden", sagt Kinzinger. In diesem Fall könnten Schadensersatzansprüche gegen die beschäftigte Person geltend gemacht werden. Ihr Handeln kann auch arbeitsrechtliche Folgen haben: Der Arbeitgeber könnte etwa eine Abmahnung oder Kündigung aussprechen.
Arbeitgeber sollten über Umgang mit Daten informieren
Wer als Beschäftigte oder Beschäftigter unsicher ist, was im Umgang mit einem Messenger erlaubt und was verboten ist, sollte seinen Arbeitgeber nach Vorgaben fragen, rät Christian Reuther, Rechtsanwalt bei der Kanzlei D+B Rechtsanwälte. "Einige Einrichtungen haben inzwischen Regelungen hierzu eingeführt", sagt er. Gibt es keine Richtlinien, sollte man mit dem Vorgesetzten klären, wie man sich verhalten sollte. Denn schließlich gibt es neben dem Teilen des Dienstplans mit personenbezogenen Daten zahlreiche weitere Situationen, in denen der Einsatz von Messengern wie WhatsApp problematisch ist. Das kann das Foto einer Wunde samt Namen der Patientin sein, die man weiterleitet. Oder es kann das Bild einer prominenten Person in der Notaufnahme sein, die man in einem Gruppenchat mit Freunden postet. Um Unsicherheiten zu vermeiden, sollten Arbeitgeber daher immer mal wieder – etwa in Schulungen – erläutern, wie ihre Unternehmenskultur im Umgang mit Daten aussieht, betont Reuther.
Unklar ist für Beschäftigte auch immer mal wieder wie sie damit umgehen, wenn ein Vorgesetzter ihnen per WhatsApp an einem freien Tag eine Dienständerung mitteilt. Ist man verpflichtet, diese Nachricht zu berücksichtigen? Muss man mit Problemen rechnen, wenn man die Mitteilung nicht liest und nicht zum geänderten Zeitpunkt beim Dienst erscheint? Arbeitsrechtler André Schiepel stellt klar: "Ein Messenger-Dienst ist in diesem Fall kein offizieller Kommunikationsweg. Das ist so, als wenn ich jemandem auf den Anrufbeantworter sprechen würde." Ein Beschäftigter ist also in diesem Fall nicht dazu verpflichtet, die Nachricht zu lesen.
Das heißt aber nicht, dass sich jemand vor der ersten Schicht nach einem längeren Urlaub oder einer längeren Krankheit nicht darüber informieren müsste, wie der Dienstplan nun aussieht, erläutert Schiepel. Hier muss man davon ausgehen, dass es zu Änderungen gekommen sein könnte. Arbeitgeber sollten das dann aber über geeignete Unternehmenskanäle mitteilen – etwa per E-Mail.
