Warum der Gruppen-Chat im Unternehmen keine WhatsApp-Gruppe sein sollte
Er funktioniert. Er ist kostenlos. Und fast alle haben ihn bereits auf dem Telefon. Die WhatsApp-Gruppe als internes Kommunikationsmittel ist in vielen KMU gelebter Alltag – und gleichzeitig eines der am meisten unterschätzten Compliance-Risiken im Unternehmensalltag.
Denn was praktisch wirkt, ist aus datenschutzrechtlicher Sicht in vielen Anwendungsfällen problematisch. Und wer das Risiko versteht, versteht auch, warum ein interner Chat unter Unternehmenskontrolle keine Frage des Komforts ist – sondern eine Frage der Verantwortung.
Es ist Montagmorgen. Eine Kundin ruft an und möchte wissen, ob sie heute Nachmittag noch jemanden aus dem Projektteam erreichen kann. Die Assistenz weiß es nicht sofort – sie muss erst in einer privaten Messenger-Gruppe nachfragen, dann doch direkt bei den Kollegen anrufen. Fünf Minuten später ist die Antwort: Zwei sind im Homeoffice, einer auf Montage, eine im Urlaub. Hätte man auch einfacher haben können.
Dieses Szenario ist kein Ausnahmefall. Es ist Alltag in vielen kleinen und mittleren Unternehmen – besonders solchen, die mit Außendienst, Baustellen, Homeoffice und hybriden Teams arbeiten. Die Information, wer heute wo ist und wann erreichbar ist, existiert irgendwo – aber sie ist nicht sichtbar.
Der Hintergrund
Was konkret erlaubt ist – und was nicht
Dienste wie WhatsApp gehören in Unternehmen häufig zur Schatten-IT – IT-Systeme und -Anwendungen, die außerhalb der offiziellen Unternehmens-IT und oft ohne Wissen der IT-Administration genutzt werden. Das IT-Management kann allerdings nur die Apps berücksichtigen, über deren Nutzung es informiert ist. Fallen Messenger durch das Raster, weil sie auf privaten Geräten für die Arbeit genutzt werden, können von der IT unbemerkt Sicherheitslücken und Datenschutz-Defizite entstehen.
Das ist ein strukturelles Problem: Wer keine offizielle Alternative bereitstellt, zwingt Mitarbeitende faktisch dazu, private Tools zu nutzen. Das Ergebnis ist eine unkontrollierte, nicht protokollierte Kommunikationsinfrastruktur – im schlimmsten Fall mit sensiblen Kundendaten, Mitarbeiterinformationen und internen Betriebsgeheimnissen.
Das Schatten-IT-Problem
Software die da ist und genutzt wird, aber nicht durch das Unternehmen kontrolliert wird
WhatsApp ist aus DSGVO-Sicht weder generell erlaubt noch generell verboten. Die Unterscheidung liegt im Detail:
Der private WhatsApp-Messenger darf für geschäftliche Kommunikation nicht verwendet werden – weder mit Mitarbeitenden noch mit Kunden. Das ist der Punkt, an dem die meisten KMU bereits scheitern: Die Gruppe, die Kollegen auf ihren privaten Smartphones nutzen, ist nicht die Business-Variante – sondern der private Messenger, mit privaten Nummern, privaten Adressbüchern und ohne Auftragsverarbeitungsvertrag.
Die konkret problematischen Szenarien in der Praxis:
- Dienstpläne etc. im Gruppenchat: Wird der Dienstplan, die Urlaubsplanung oder Teilnahmelisten mit Vor- und Nachnamen von Mitarbeitern in einen Gruppenchat hochgeladen, werden personenbezogene Daten verarbeitet – was in Konflikt mit der DSGVO gerät.
- Krankmeldungen per Messenger: Die Datenschutzaufsicht NRW hat die Übermittlung von Krankmeldungen über WhatsApp ausdrücklich als unzulässig eingestuft.
- Kundendaten im Chat: Adresse, Auftragsdetails, Ansprechpartner – alles personenbezogene Daten, für die ein Auftragsverarbeitungsvertrag und eine belastbare Rechtsgrundlage nach Art. 6 DSGVO erforderlich sind.
- Meta AI seit 2025: Im Jahr 2025 hat Meta seine KI-Funktion Meta AI direkt in WhatsApp integriert – ohne aktive Zustimmung der Nutzer, ohne Deaktivierungsmöglichkeit. Das widerspricht dem Grundsatz der freiwilligen Einwilligung nach DSGVO. Wer WhatsApp geschäftlich nutzt, gibt damit potenziell auch Chat-Inhalte an KI-Systeme weiter – ohne dass Mitarbeitende oder Kunden dem explizit zugestimmt haben.
Wie es besser geht
Was ein interner Unternehmens-Chat leisten muss
DSGVO-konforme Messenger für Unternehmen verarbeiten Daten nur im Einklang mit den datenschutzrechtlichen Anforderungen und den vorher festgelegten Zwecken. Anbieter solcher Messenger ergreifen umfassende Maßnahmen zum Schutz von personenbezogenen Daten und basieren auf einem Privacy-by-Design-Konzept – sie machen keine Metadaten-Analysen zur Erstellung von Nutzerprofilen und speichern keine privaten Adressbücher.
Konkret bedeutet das für einen unternehmenseigenen Chat:
- Kein Zugriff durch Dritte: Nachrichten und Metadaten bleiben innerhalb der Unternehmensinfrastruktur – kein US-amerikanischer Konzern, kein CLOUD Act
- Keine privaten Telefonnummern: Kommunikation läuft über Unternehmenskonten, nicht über private Geräte und Nummern
- Protokollierbar und revisionssicher: Relevante Kommunikation bleibt auffindbar – wichtig bei Projekten, Aufträgen und bei Compliance-Anforderungen
- Keine KI-Integration ohne Zustimmung: Inhalte werden nicht an externe KI-Systeme übermittelt
Der Rechtsrahmen
Was tatsächlich passiert, wenn WhatsApp im Unternehmen genutzt wird
Wird WhatsApp im beruflichen Kontext genutzt, müssen Unternehmen eine DSGVO-konforme Verarbeitung personenbezogener Daten sicherstellen. Unternehmen sind nach Art. 4 DSGVO für alle personenbezogenen Daten verantwortlich, die in ihrem Betrieb verarbeitet werden.
Das klingt abstrakt. Konkret bedeutet es: Wenn ein Mitarbeitender einen Dienstplan mit Kollegennamen in eine WhatsApp-Gruppe hochlädt, eine Krankmeldung per Sprachnachricht schickt oder Kundendaten in einem Chat teilt – ist das Unternehmen verantwortlich. Nicht die App. Nicht Meta. Das Unternehmen.
Und hier beginnt das eigentliche Problem: Aus Datenschutzsicht sind vor allem die unverschlüsselten Metadaten problematisch. Metadaten sind Daten, die Informationen über andere Informationsquellen enthalten – dazu zählen Telefonnummer, Geräteinformationen, Art und Häufigkeit der Nutzung oder IP-Adresse. Diese Daten fallen in den Schutzbereich der DSGVO, werden aber von WhatsApp nicht verschlüsselt. Die Server von WhatsApp stehen in den USA.
Das heißt: Auch wenn die Nachrichteninhalte verschlüsselt sind, wandern Metadaten an US-amerikanische Server – und unterliegen damit dem CLOUD Act, den wir bereits in unserem Artikel zur Datensouveränität beschrieben haben. Meta ist ein amerikanisches Unternehmen, sodass es keine Garantie gibt, dass die DSGVO bei Verwendung des privaten Messenger-Dienstes eingehalten wird. Daher wird grundsätzlich davon abgeraten, WhatsApp im dienstlichen Kontext zu verwenden.
So sieht es im EP:Enterprise Portal aus
Der EP Unternehmens-Chat: Kommunikation unter Unternehmenskontrolle
Der Unternehmens-Chat im EP Enterprise Portal erfüllt diese Anforderungen – und geht in einem entscheidenden Punkt weiter: Er ist kein separates Tool, das zusätzlich installiert, konfiguriert und verwaltet werden muss, sondern Teil derselben Plattform, in der Zeiterfassung, Rechnungsstellung, Projektverwaltung und Personalverwaltung bereits laufen.
Für wen das besonders relevant ist
Das Risiko privater Messenger-Gruppen ist branchenunabhängig – aber besonders hoch überall dort, wo regelmäßig personenbezogene Daten im Team geteilt werden:
- Ingenieurbüros und technische Dienstleister: Kundendaten, Projektdetails, Standortinformationen wandern im Tagesgeschäft schnell in einen Chat.
- Handwerksbetriebe und Außendienstteams: Dienstpläne, Einsatzorte, Kundenadressen – alles klassische DSGVO-relevante Daten, die in vielen Betrieben über private Messenger-Gruppen koordiniert werden.
- Unternehmen mit Homeoffice-Anteilen: Wenn Kommunikation nicht mehr über den Flur läuft, suchen Teams automatisch nach digitalen Kanälen. Wer keinen offiziellen bereitstellt, bekommt einen inoffiziellen – auf privaten Geräten, außerhalb jeder Unternehmenskontrolle.
Warum das mehr ist als ein nettes Feature
Studien zur Organisationspsychologie zeigen konsistent: Das Gefühl, als Person wahrgenommen zu werden – nicht nur als Funktion – ist einer der stärksten Treiber für Mitarbeiterbindung und Zufriedenheit. Gerade in KMU, wo kein großes HR-Team diese Aufgabe übernimmt, schließen digitale Tools diese Lücke.
Das EP:Enterprise Portal übernimmt die Erinnerung automatisch – damit aus dem guten Vorsatz, Geburtstage zu feiern, auch tatsächlich eine gelebte Praxis wird.
Was das EP Social Intranet bietet
Eine Plattform, die das Team sichtbar macht – für sich selbst
Fazit
Die günstigste Alternative ist nicht die kostenlose
WhatsApp ist kostenlos. Ein DSGVO-Verstoß ist es nicht. Bußgelder nach Art. 83 DSGVO können für KMU bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Wert höher ist.
Aber das eigentliche Argument für einen unternehmenseigenen Chat ist nicht das Bußgeldrisiko. Es ist die Kontrolle: Wissen, was im Unternehmen kommuniziert wird. Sicherstellen, dass Informationen nicht verschwinden. Und eine Arbeitsumgebung schaffen, in der Mitarbeitende nicht gezwungen sind, private und berufliche Kommunikation auf demselben Gerät und in denselben Apps zu vermischen.
