WhatsApp auf dem Firmenhandy: Das unterschätzte Datenschutzrisiko

WhatsApp gehört auf Smartphones nahezu zur Grundausstattung und ist oftmals bereits vorinstalliert. Kein Wunder also, dass der Messengerdienst oft zu den ersten Downloads gehört – auch auf dem Firmenhandy. Für Unternehmen bedeutet das jedoch Handlungsbedarf, denn sobald sich Unternehmenskontakte in der Adressbuch-App des Geräts befinden, kann die App zum Kontrollverlust über vertrauliche Daten führen. Doch wie können Unternehmen das verhindern und dennoch Unternehmenskontakte auf Diensthandys bereitstellen? 

Kein Handy ohne WhatsApp – der beliebteste Messenger der Welt

Ein Diensthandy ist in vielen Unternehmen fester Bestandteil der IT-Ausstattung. Laut einer Erhebung von Bitkom aus 2026 erhält heutzutage mehr als die Hälfte der Arbeitnehmenden ein Mobilgerät; in den meisten Fällen ist auch die private Nutzung erlaubt. 

Das führt in diesem Kontext fast automatisch zu einer weiteren Statistik: Allein in Deutschland gehört WhatsApp mit 44 Millionen aktiven Nutzer:innen zum Alltag – und macht entsprechend auch vor Firmenhandys nicht halt. Nahezu alle kennen WhatsApp, die meisten Kontakte sind dort bereits erreichbar und die Nutzung verursacht kaum Aufwand. Also: installiert! 

Dabei gerät leicht in Vergessenheit, dass für Firmenhandys besondere Regeln gelten, vor allem aus datenschutzrechtlicher Perspektive. Denn neben privaten Kontaktdaten befinden sich auf diesen Geräten möglicherweise auch die Kontaktinformationen des Teams, der Kundschaft, Dienstleister und weiterer Geschäftsbeziehungen. Und hier wird es kompliziert. 

Der blinde Fleck im Adressbuch 

WhatsApp gerät nicht nur durch seine Beliebtheit häufig in den Fokus von Diskussionen rund um die private Nutzung von Firmenhandys. Eine der zentralen Funktionen des Dienstes macht die gemischte private und geschäftliche Nutzung brisant: die Kontaktfindung. 

Dafür wird nämlich der Zugriff auf das Adressbuch benötigt, wodurch Telefonnummern aus den Kontakten verarbeitet und an WhatsApp bzw. den Mutterkonzern Meta übermittelt werden. Zwar dürfen die Daten heutzutage nicht mehr ohne Einwilligung weitergegeben werden, im Falle von Dienstgeräten verschiebt sich das Problem jedoch nur – denn wessen Einwilligung ist hier eigentlich gefragt?

Private Nutzung = privates Risiko? Warum Unternehmen in der Verantwortung stehen

Unternehmen können häufig nicht sicherstellen, dass die Kontaktdaten von Beschäftigten, Kunden oder Geschäftspartnern übermittelt werden dürfen. Schließlich ist es spätestens ab einer gewissen Unternehmensgröße unmöglich, jeden einzelnen Kontakt explizit nach seiner Einwilligung zu fragen. Doch macht speziell dieser Punkt die „Mischnutzung“ von Firmenhandys zum Datenschutzrisiko. 

Im Hinblick auf die Verantwortung für die Übermittlung von Kontaktdaten wird häufig eine Entscheidung des Amtsgerichts Bad Hersfeld (Az. 61 F 111/17) herangezogen, auch wenn sich dieses eigentlich auf ein familienrechtliches Thema bezieht. Die wichtigsten Punkte des Urteils sind: 

• Laut AGB von WhatsApp liegt das Risiko, dass Kontaktdaten ohne Einwilligung weitergegeben werden, bei den Nutzern der App. 

  
  

• Werden Daten von Dritten ohne deren Wissen übertragen, kann eine Rechtsverletzung vorliegen und somit ein Anspruch auf Unterlassung und Schadenersatz bestehen. 

  
  

• Nach der Rechtsprechung können Eltern aufgrund ihrer Aufsichtspflichten verantwortlich dafür gemacht werden, dass über die Nutzung von Messenger-Diensten durch ihre Kinder keine personenbezogenen Daten Dritter ohne entsprechende Rechtsgrundlage übermittelt werden.

  
  

Die Argumentation des Gerichts lässt sich teilweise auf den Unternehmenskontext übertragen: Unternehmen haben gegenüber den von ihnen bereitgestellten Endgeräten eine Sorgfaltspflicht und müssen geeignete Maßnahmen zum Schutz personenbezogener Daten treffen.

Aspekte für die betriebliche Regelung

Wie können Unternehmen verhindern, dass sensible geschäftliche Kontaktinformationen von privat genutzten Dienstgeräten an Meta übermittelt werden? Muss man WhatsApp auf Firmenhandys verbieten? Diese Frage ist schon vor Jahren diskutiert und in einigen prominenten Beispielen auch mit „Ja“ beantwortet worden, z.B. bei Continental. 

Ein Verbot kann helfen, das Risiko für ungewollten Datenabfluss zu senken, ist unmissverständlich und hat entsprechend auch eine symbolische Wirkung, doch müssen noch weitere Faktoren bedacht werden: 

• Das Problem ist meistens nicht WhatsApp, sondern die fehlende Kontrolle darüber, welche Apps auf welche Kontakte zugreifen dürfen und wo diese Kontaktinformationen auf dem Gerät gespeichert werden. 
  

• Ein Verbot auf dem Papier schützt das Unternehmen nicht vor so genannter „Schatten-IT“ und im Ernstfall Verantwortung übernehmen zu müssen. Es kann passieren, dass Mitarbeitende verbotene Apps „heimlich“ weiternutzen oder gar Kontakte manuell in WhatsApp oder anderen Adressbüchern hinzufügen, um diese immer zur Hand zu haben, anstatt sich mühsam durch Intranets oder CRMs zu wühlen. 
  

• Wenn das Firmengerät explizit einen Benefit darstellen soll, kann ein WhatsApp-Verbot die Akzeptanz senken und eventuell dazu führen, dass die geschäftliche Kommunikation auf private Geräte ausweicht, was wiederum zu Schatten-IT und Kontrollverlust führt.  
  

• Hinzu kommt, dass ein Verbot ohne technische Durchsetzungsmöglichkeiten schwer zu kontrollieren ist. 
  

So hilft Mobile Device Management bei DSGVO-konformem Kontaktmanagement

Unternehmen benötigen Lösungen, die den strengen Anforderungen an den Datenschutz gerecht werden, ohne die praktische Nutzung des Firmenhandys im Alltag aus dem Blick zu verlieren. Grundsätzlich gibt es hierfür je nach Betriebssystem unterschiedliche Herangehensweisen: 

So kann beispielsweise via Containerisierung der Zugriff einzelner Anwendungen auf Kontakte, Kalender oder andere personenbezogene Daten zentral entzogen werden. Hierfür müssen entsprechende Steuerungsmöglichkeiten im jeweiligen Betriebssystem vorhanden sein; wie etwa bei Android Work Profiles. Geschäftliche Apps und Kontakte werden hier in einem separaten Arbeitsprofil verwaltet und sind dadurch vom privaten Profil getrennt. Apps, die nicht vom Unternehmen verwaltet werden – wie etwa WhatsApp – können somit nicht auf die geschäftlichen Kontakte zugreifen. 

Bei Apple iOS existiert zwar kein vergleichbares Work Profile, doch können Unternehmen mithilfe einer Lösung für das Mobile Device Management steuern, welche Apps auf Unternehmenskontakte zugreifen dürfen. Dadurch lässt sich beispielsweise nicht-unternehmensbezogenen Apps der Zugriff entziehen.

In beiden Fällen ergänzt sync.blue® die Funktionen von Betriebssystem und MDM, indem Unternehmenskontakte automatisch aus einer zentralen Quelle synchronisiert, aktuell gehalten und Mitarbeitenden im nativen Adressbuch ihrer Smartphones bereitgestellt werden. Als Beispiel für eine Quelle lässt sich etwa die Microsoft Global Adress List (GAL) nennen: Mit sync.blue® MOBILE werden die dort zentral verwalteten Unternehmenskontakte auf sämtliche verwalteten Android- oder iOS-Geräte verteilt, ohne dass Mitarbeitende selbst aktiv werden müssen.

Je nachdem, welche Zugriffsoptionen für dein Unternehmen besonders sinnvoll sind, können bestimmte (oder alle) Kontakte direkt auf dem Smartphone verwaltet werden. Wie genau das funktioniert, haben wir in unserem Help Center für Android und iOS sowie in einem kurzen Video zusammengefasst: 

https://youtu.be/YXqz0pPy8tg?si=tm9miImGXkY7A6SQ

Fazit

WhatsApp auf dem Firmenhandy – ja oder nein? Diese Frage lässt sich am besten mit „Es kommt ganz drauf an“ beantworten. Denn insbesondere bei Dienstgeräten, die ausdrücklich privat genutzt werden dürfen, greift ein pauschales Verbot meist zu kurz und kann sogar zu mehr Datenschutzverletzungen führen.

Dank moderner Lösungen für das Mobile Device Management haben Unternehmen aber die Möglichkeit, eine angenehme Nutzererfahrung mit strengen Compliance-Vorgaben zu verbinden. Welcher Ansatz für dein Unternehmen am besten geeignet ist, hängt von deinen individuellen Anforderungen an Datenschutz und Benutzerfreundlichkeit sowie technischen Voraussetzungen ab. Lösungen wie unsere sync.blue®-Plattform können durch die kontrollierte und automatische Bereitstellung von Unternehmenskontakten das Risiko einer ungewollten Weitergabe von vertraulichen Kontaktdaten reduzieren, ohne die alltägliche Nutzung von Firmenhandys und deren Vorteile stark einzuschränken.  

Disclaimer: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine verbindliche Einschätzung deiner individuellen Situation wende dich bitte an eine:n Fachanwält:in für Arbeits- bzw. Datenschutzrecht.