Welcher Messenger ist für Unternehmen DSGVO-konform?
Kurz gesagt
WhatsApp überträgt Metadaten der Kontakte an Meta und eignet sich nicht für vertrauliche Geschäftskommunikation. Signal ist datenschutzrechtlich am saubersten, Microsoft Teams ist unter Bedingungen (AVV, EU-Datenhaltung) für dokumentationspflichtige Kommunikation gut geeignet. Die richtige Wahl hängt von Datensensibilität, Unternehmensgröße und vorhandener IT-Infrastruktur ab.
Das strukturelle Problem bei WhatsApp
Wer WhatsApp für Geschäftskommunikation nutzt, gibt Metadaten seiner Kontakte an Meta weiter – ohne deren Einwilligung. Die Nachrichteninhalte sind zwar Ende-zu-Ende verschlüsselt, doch die begleitenden Metadaten (wer mit wem, wann, wie oft) fließen an den Konzern. Das ist ein strukturelles DSGVO-Problem, das sich durch Bedienregeln allein nicht auflösen lässt. Für Standardnutzung besteht keine praktikable AVV-Möglichkeit, weshalb WhatsApp für die Verarbeitung personenbezogener Kundendaten ungeeignet ist.
Die drei Messenger im Vergleich
In vielen Unternehmen dominieren drei Messenger den Alltag – mit sehr unterschiedlichen Datenschutzprofilen.
WhatsApp ist bei Kunden und Lieferanten sehr verbreitet und ohne Schulungsaufwand bedienbar. Die WhatsApp Business API ermöglicht strukturierte Kundenkommunikation und CRM-Integration, und Nachrichteninhalte sind Ende-zu-Ende verschlüsselt. Die niedrige Installationshürde steht jedoch dem beschriebenen Metadaten-Problem gegenüber.
Signal setzt auf ein quelloffenes Protokoll, erhebt minimale Metadaten, zeigt keine Werbung und verfolgt kein Konzerninteresse. Es lädt kein Adressbuch an Dritte hoch und ist damit die datenschutzfreundlichste Option. Der Preis dafür sind wenige Business-Funktionen – für strukturierte, dokumentationspflichtige Kommunikation fehlen Rollenkonzepte und Archivierung.
Microsoft Teams ist vollständig in die Microsoft-365-Welt integriert. Ein AVV ist in den Microsoft-Verträgen enthalten, EU-Datenhaltung ist konfigurierbar, und Compliance-Funktionen wie eDiscovery, Rollenkonzepte, Archivierung und Gäste-Zugänge unterstützen B2B-Kommunikation. Relevant bleiben Datentransfers in die USA, die über die Vertragsgestaltung adressiert werden müssen.
So treffen Sie die Entscheidung
1. Datensensibilität einordnen: Werden nur organisatorische Absprachen ausgetauscht oder personenbezogene Kundendaten? Je sensibler, desto strenger die Anforderungen. 2. Datenschutz-Folgenabschätzung für WhatsApp prüfen: Bei geplantem geschäftlichem Einsatz mit Personendaten die Notwendigkeit einer DSFA nach Art. 35 DSGVO bewerten. 3. AVV mit dem Anbieter abschließen: Für jeden Dienst, der personenbezogene Daten verarbeitet, muss ein AVV vorliegen – bei Teams über den Microsoft-Vertrag, bei Signal aufgrund fehlender Datenverarbeitung durch den Anbieter entbehrlich. 4. Nutzungsrichtlinie erstellen: Schriftlich festlegen, welcher Messenger für welche Kommunikation genutzt werden darf. 5. Mitarbeiter schulen: Regeln aktiv vermitteln, damit sie im Alltag angewendet werden.
Das konkrete Risiko
Aufsichtsbehörden haben die geschäftliche WhatsApp-Nutzung wiederholt als DSGVO-widrig eingestuft. Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sind nach Art. 83 Abs. 5 DSGVO möglich. Das Risiko ist real, auch wenn Behörden bislang vor allem größere Unternehmen im Fokus hatten. Für den Mittelstand bietet sich Microsoft Teams an, wenn Microsoft 365 bereits lizenziert ist – der AVV ist enthalten und die Lösung bezahlt. Signal eignet sich als Ergänzung für intern vertrauliche Kommunikation ohne großes Setup.
Schatten-IT vermeiden
Ein zentrales Risiko entsteht, wenn Mitarbeiter eigenmächtig nicht genehmigte Apps für Geschäftskommunikation nutzen. Diese Schatten-IT entzieht dem Unternehmen die Kontrolle über personenbezogene Daten und schafft Haftungsrisiken. Eine klare, kommunizierte Nutzungsrichtlinie mit einem freigegebenen Standard-Messenger ist deshalb genauso wichtig wie die technische Auswahl selbst.