Datenschutz: Wie sicher ist WhatsApp?

Die ersten ernsthaft besorgten Gesichter löste der Messenger-Dienst WhatsApp unter seinen Nutzern wohl Anfang 2014 aus, als bekannt wurde, dass Facebook-Gründer Mark Zuckerberg die App für den sagenhaften 19 Milliarden US-Dollar erstanden hatte. Würde WhatsApp nun als Tochter des Internet­gi­ganten Facebook seine Nutzer und deren Daten ebenfalls zu Werbezwecken nutzen und sein bis dahin werbefreies Angebot moneti­sieren wollen?

Hamburger Datenschutz­be­auf­tragter untersagt Austausch von Daten zwischen Facebook und WhatsApp

Nun verursacht die Verzahnung von Facebook und WhatsApp Konflikte: Facebook möchte über die WhatsApp-Konten die Telefon­nummern der Nutzer auch auf deren Facebook-Profilen hinterlegen. Dies erregt den Unmut europäischer Datenschützer und gipfelte Ende September 2016 in einer Anordnung des Hamburger Datenschutz­be­auf­tragten. Die unmittelbar gültige Anordnung untersagt Facebook, Daten von deutschen WhatsApp-Nutzern zu erheben und zu speichern. Bereits übermittelte Daten müssten wieder gelöscht werden.

In einer Erklärung des Beauftragten für Datenschutz heißt es, Facebook und WhatsApp seien selbst­ständige Unternehmen, die die Daten ihrer jeweiligen Nutzer auf Grundlage ihrer eigenen Nutzungs- und Datenschutz­be­din­gungen verarbeiten. Facebook habe nach dem Kauf von WhatsApp öffentlich versichert, dass die kein Datenaus­tausch zwischen den Plattformen stattfinden würde. Dass genau das nun doch gesehe, sei nicht nur eine Irreführung der Nutzer, sondern auch ein Verstoß gegen deutsches Datenschutzrecht. Facebook habe weder eine wirksame Einwil­ligung von den Nutzern von WhatsApp eingeholt, noch sei eine gesetzliche Grundlage für den Datenempfang vorhanden.

Juristen und Verbrau­cher­schützer kritisieren Intrans­parenz der US-Internet­firmen

WhatsApp behält sich in Abschnitt 5B seiner Allgemeinen Geschäfts­be­din­gungen (AGB) vor, die Bilder seiner Nutzer weltweit und kostenfrei nutzen zu dürfen. Und nicht nur das: Auch in veränderter Form und zu Werbezwecken holt sich WhatsApp die Nutzung der Daten ein, auch die Weitergabe an Dritte wie etwa eine Werbeagentur müssten die Kunden der App dulden, wenn sie sich mit den AGB einver­standen erklärten. 

Dass WhatsApp wie seine Konzern­mutter einen derartigen Passus in seinen Nutzungs­be­din­gungen unterge­bracht hat, wird von Juristen und Verbrau­cher­schützern kritisiert. Einig sind sich die Debattie­renden dabei in der Frage, dass die Silicon-Valley-Anbieter diese Bedingungen gegenüber ihrer Klientel transparent machen müssten und es doch nicht tun.

„Das Problem bei Facebook und den meisten Anbietern ist, dass sie alle Einstel­lungen so vorein­ge­stellt haben, dass man als Nutzer erst einmal alles freigibt und allen Bedingungen zustimmt“, sagt Dr. Astrid Auer-Reinsdorff. Die Rechts­an­wältin ist Vizeprä­si­dentin des Deutschen Anwalt­vereins (DAV) und Vorsitzende der Arbeits­ge­mein­schaft IT-Recht im DAV.

Der deutsche Datenschutz sehe aber eigentlich das Gegenteil vor: So müssten Anbieter einen Account restriktiv anlegen. Dem Nutzer müsse freige­stellt sein, sich aktiv dafür zu entscheiden, seine Daten mit anderen teilen zu wollen. Das müsse so gestaltet werden, dass er nachträglich individuell bestimmen könne, indem er in den Einstel­lungen seines Accounts einen Haken im entspre­chenden Feld setze. Generell sollten sich Nutzer mit den Einstel­lungen befassen, und selbst Datenschutz betreiben.

WhatsApp muss seine AGB vorerst nicht auf Deutsch veröffent­lichen

Verbrau­cher­schützer hatten unterdessen vergangenes Jahr die AGB von WhatsApp angegriffen, weil die Facebook-Tochter diese auf ihrer ansonsten auf Deutsch formulierten Homepage nur auf Englisch anbietet. Das Landgericht Berlin hatte der einstweiligen Verfügung zunächst auch stattgegeben, sie dann aber wieder aufgehoben.

Gescheitert ist das Ansinnen der Verbrau­cher­schutz­verbände nicht an einem Meinungs­wandel der Richter. Hatten die doch ursprünglich in dem ersten Versäum­nis­urteil darauf abgestellt, WhatsApp müsse seine AGB hierzulande auf Deutsch anbieten. Es sei ansonsten nicht gewähr­leistet, dass der Verbraucher diese in „zumutbarer Weise“ zur Kenntnis nehmen könne. Es mangelte vielmehr an der Form beziehungsweise an der Klagebe­fugnis des Verbands: Die existiert für diese Fragestellung noch gar nicht.

Eine solche Klagebe­fugnis müsse noch geschaffen werden, sagt Rechts­an­wältin Auer-Reinsdorff: Das Justiz- und Verbrau­cher­schutz­mi­nis­terium plane ein Gesetz, das die Klagebe­fugnisse für die Verbrau­cher­schutz­verbände erweitern würde: „Die Klagebe­fugnis soll vor allem um solche Fälle ergänzt werden, die sich uneinge­schränkt auf Datenschutz­verstöße beziehen“, so die Rechts­an­wältin.

Wann AGB von Internet­firmen unwirksam sind

Im deutschen Recht sind Standards für die Wirksamkeit von AGB geregelt: Der Kunde muss vor Vertrags­schluss erstens auf die AGB hingewiesen werden, zweitens dürfen die AGB keine überra­schenden Klauseln enthalten und drittens dürfen sie den Verbraucher nicht unange­messen benach­teiligen. "An sich sind alle überra­schenden und intrans­pa­renten Klauseln deshalb unwirksam", sagt Rechts­an­wältin Auer-Reinsdorff.

Silicon Valley operiert an den rechtlichen Rahmen­be­din­gungen vorbei

Dass die europäischen Bedingungen nachge­bessert werden müssen, bestätigt sich unterdessen auch in dem Vorhaben der Europäischen Kommission, eine EU-Datenschutz­grund­ver­ordnung auf den Weg zu bringen. Die Kommission hatte kürzlich einen Fahrplan für den Digitalen Binnenmarkt veröffentlicht, mit der sie unter anderem ein einheit­liches Datenschutz­niveau für die EU anstrebt. Nach den Plänen der Kommission soll mit der Datenschutz­grund­ver­ordnung eine Grundlage geschaffen werden, der sich auch die US-Firmen nicht mehr entziehen können.

Bislang operiert die eine oder andere Internetfirma aus den Silicon-Valley-Think Tanks auf dem deutschen Markt nach dem Prinzip „ask forgiveness, not permission“. Diese Unternehmen probieren sich mit ihrem Produkt also auf neuen Märkten wie dem deutschen aus, ohne es vorher an die rechtlichen Rahmen­be­din­gungen anzupassen. Mitunter rüsten die Internet­firmen sich sogar vor dem Markteintritt für etwaige Rechts­strei­tig­keiten mit Finanz­spritzen ihrer Investoren, so wie es z.B. für den taxiähn­lichen Mitfahr­service von  „Uber“ der Fall war.

WhatsApp hinkt bei IT-Sicherheit hinterher

WhatsApp scheint diese Strategie unterdessen nicht fremd. Zumindest spricht die Reakti­onszeit des Unternehmens auf Kritik hierzulande dafür. So hatten zum Beispiel im Frühjahr 2013 nieder­län­dische und kanadische Datenschützer auf Sicher­heits­lücken beim Anmelde­prozess der App hingewiesen. Deren Entwickler reagierten darauf erst einmal nicht.

Nach deutschem und europäischem Datenschutz­ver­ständnis obliegt es auf dem hiesigen Markt operie­renden Unternehmen aber, Sicher­heits­lücken zu schließen. „Fehlende IT-Sicherheit ist auch ein Verstoß gegen den Datenschutz“, sagt Rechts­an­wältin Auer-Reinsdorff. Allerdings gäbe es auch hier noch Regelungs­bedarf, der erst mit der geplanten Datenschutz­grund­ver­ordnung der EU-Kommission geschlossen würde: „Im Moment können sich die Firmen noch heraus­ziehen, indem sie sich darauf berufen, dass nach jetziger Lage das europäische Datenschutzrecht nicht anwendbar ist“, so Auer-Reinsdorff.

Welche Handhabe Nutzer gegen Datenschutz­verstöße von WhatsApp haben  

Sollte ein Verbrau­cher­schutz­verband vor einem Gericht irgendwann aber einmal Erfolg mit einer Klage haben, hätten Nutzer darauf die Möglichkeit, Verstöße gegen das Urteil bei dem Verband zu melden. Der könnte dann wiederum ein Ordnungsgeld gegen das Unternehmen beim Gericht beantragen.