Die WhatsApp-Gruppe ist in vielen Sicherheitsunternehmen die heimliche Betriebszentrale: Dort wird der Dienstplan geteilt, dort werden Ausfälle gemeldet, dort wird der Ersatz für Samstagnacht gesucht. Verständlich – jeder hat die App, jeder liest mit. Datenschutzrechtlich ist diese Praxis jedoch kaum zu halten.
Wo genau das Problem liegt
- Adressbuch-Zugriff: WhatsApp gleicht standardmäßig das gesamte Telefonbuch des Geräts mit seinen Servern ab. Damit werden Kontaktdaten von Kollegen, Kunden und Privatkontakten an Meta übermittelt – ohne dass diese Personen zugestimmt hätten. Aufsichtsbehörden bewerten die dienstliche Nutzung auf Privatgeräten deshalb seit Jahren kritisch.
- Keine Auftragsverarbeitung: Für die dienstliche Kommunikation über den Privat-Account gibt es keinen Auftragsverarbeitungsvertrag mit Meta – eine der Grundanforderungen der DSGVO für eingesetzte Dienstleister fehlt damit komplett.
- Sensible Inhalte: Krankmeldungen in der Gruppe sind Gesundheitsdaten (Art. 9 DSGVO). Einsatzorte, Schichtzeiten und Objektdetails sind zudem sicherheitsrelevant – sie gehören nicht in private Chatverläufe, die beim Gerätewechsel oder Jobwechsel mitwandern.
- Keine Kontrolle: Verlässt ein Mitarbeiter das Unternehmen, bleiben ihm Gruppenverlauf und Anhänge erhalten. Ein Löschkonzept, wie es die DSGVO verlangt, ist faktisch nicht umsetzbar.
- Beweisproblem: Ob eine Dienstplanänderung den richtigen Mitarbeiter erreicht hat, lässt sich in einer Gruppe mit 40 Teilnehmern nicht belegen – im Streitfall ein echtes Risiko.
Was eine saubere Alternative leisten muss
Der Ersatz für die WhatsApp-Gruppe muss vor allem eines sein: genauso einfach. Zusätzlich sollte er bieten:
- Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
- Rollenbasierte Zugriffe – jeder sieht nur, was ihn betrifft
- Gezielte Push-Benachrichtigungen an die betroffenen Mitarbeiter statt Rundruf an alle
- Bestätigungen: Wer hat die neue Schicht gesehen und angenommen?
- Trennung von dienstlichen Daten und Privatgerät – beim Ausscheiden wird der Zugang deaktiviert, die Daten bleiben im Unternehmen
Der Umstieg in der Praxis
Der Wechsel gelingt am besten in klaren Schritten:
- Dienstliche Lösung einführen und Mitarbeiter kurz schulen – bei einer guten App genügt eine Viertelstunde.
- Stichtag kommunizieren, ab dem Dienstpläne und Änderungen nur noch über die App laufen.
- Die WhatsApp-Gruppe danach konsequent stilllegen – solange sie parallel weiterläuft, bleibt sie der faktische Kanal.
- Mitarbeiter über die Datenverarbeitung in der neuen Lösung informieren (Art. 13 DSGVO); bei vorhandenem Betriebsrat diesen einbinden.
Wie groß der Unterschied im Alltag ist, zeigt der direkte Vergleich zwischen Excel/WhatsApp und GuardEinsatz. Und welche Pflichten bei der Zeiterfassung ohnehin gelten, fasst der Beitrag zur Zeiterfassung im Sicherheitsdienst zusammen.