„Was für private Unterhaltungen in Ordnung sein kann, stößt im dienstlichen Gebrauch an seine Grenze. Uns liegen in diesem Zusammenhang mehrere Beschwerden aus dem Polizeiumfeld in Nordrhein-Westfalen vor, die ein Phänomen beschreiben, das aus Datenschutzgesichtspunkten nicht hinzunehmen ist“, so Gayk. „Wir haben das Innenministerium NRW auf diesen Missstand hingewiesen. Es stehen den Polizist*innen außerdem polizeieigene Kommunikationsdienste zur Verfügung, die sie statt WhatsApp nutzen können.“

Zunächst gilt: Behörden, die Messenger Dienste für dienstliche Zwecke einsetzen, werden damit verantwortlich für die Verarbeitung der personenbezogenen Daten, etwa der Inhalte von Chats, Sprachnachrichten oder Videocalls, ebenso wie für die datenschutzfreundlichen Voreinstellungen. Sofern einzelne Vorgesetzte, zum Beispiel Dienstgruppenleitungen bei der Polizei, WhatsApp für die dienstliche Kommunikation verlangen, wird dies der Behörde spätestens dann zugerechnet, wenn ihr bekannt wird, dass die Vorgesetzten den Dienst zur Erfüllung ihrer Vorgesetztenfunktion verwenden. 

Nach den der Landesdatenschutzbeauftragten vorliegenden Beschwerden werden bei der Polizei in NRW beispielsweise Anfragen und Mitteilungen zur Veränderung von Dienstplänen über WhatsApp ausgetauscht. Auch wird über Krankmeldungen einzelner Kolleg*innen informiert. „Dabei handelt es sich offenbar nicht um Einzelfälle. Vielmehr wird WhatsApp in vielen Dienstgruppen regelmäßig genutzt. Beschäftigte, die dabei nicht mitmachen, sind von den dienstlichen Informationen weitgehend ausgeschlossen“, betont Gayk.

All das sei äußerst problematisch, da die betroffenen Beschäftigten veranlasst würden, einen Dienst zu nutzen, der hinsichtlich der Verarbeitung von personenbezogenen Daten intransparent ist. So werden bei Versendung von Nachrichten regelmäßig Metadaten an WhatsApp übermittelt, die sich auf das Nutzungsverhalten der Beschäftigten beziehen, ohne dass die Verwendung dieser Daten geklärt ist. 

WhatsApp behält sich außerdem die Erhebung von Telefonnummern mittels Adressbuch-Upload vom Handy des Mobiltelefonnutzers vor. Das Unternehmen kann auf diese Art alle Kontaktdaten eines Nutzers verarbeiten, die auf dessen Mobiltelefon hinterlegt sind, unabhängig davon, ob der jeweilige Kontakt selbst WhatsApp nutzt oder nicht. Primär soll dies die Kontaktaufnahme mit anderen WhatsApp-Nutzer*innen erleichtern. „Über dieses „Match-Making“ hinaus nutzt WhatsApp bzw. Meta diese Daten aber auch für eigene Zwecke. Dies ist datenschutzrechtlich nicht zu rechtfertigen, weil die im Adressbuch gespeicherten Personen dazu meist keine Einwilligung erteilt haben – und die veranlassende Behörde keine Rechtsgrundlage dafür hat, solche Verarbeitungsvorgänge zu ermöglichen“, sagt Gayk.

Des Weiteren ist zu bezweifeln, dass die dienstliche Nutzung eines für private Angelegenheiten eingerichteten WhatsApp-Dienstes auf der Basis einer Einwilligung der Behördenmitarbeiter*innen erfolgen kann. Die dazu notwendige Freiwilligkeit einer solchen Einwilligung dürfte kaum gegeben sein. Denn selbst wenn Beschäftigten, die sich an einer WhatsApp-Gruppe nicht beteiligen, andere Informationskanäle zur Verfügung stünden, erzeugt eine innerdienstliche WhatsApp-Gruppe einen Gruppenzwang, der einer freiwilligen Entscheidung im Wege steht. „Und noch ein Aspekt ist zu berücksichtigen“ so die Beauftragte. „Die Unklarheiten über die Datenverarbeitung durch WhatsApp bzw. Meta sind so groß, dass den Beschäftigten sicher nicht alle notwendigen Informationen zur Verfügung gestellt werden können, damit sie abschätzen können, wie ihre Daten verarbeitet werden.“

Für die dienstliche Nutzung – nicht nur bei der Polizei, sondern auch in allen anderen Behörden des Landes – sind WhatsApp und vergleichbare intransparente Messenger-Dienste damit grundsätzlich unzulässig. „Die Leitungen der Dienststellen müssen sicherstellen, dass die datenschutzrechtlichen Vorgaben zum Umgang mit dienstlicher Kommunikation eingehalten werden“, sagt Gayk.