Die Entscheidung in Kürze
- Frage: Teams schreiben mit Klienten, Angehörigen, Eltern und untereinander über WhatsApp, auch über WhatsApp Business auf dem Diensthandy. Soll die Leitung das untersagen, mit Regeln zulassen oder ersetzen?
- Lage: Für den Datenschutz der dienstlichen Kommunikation ist der Träger verantwortlich, nicht die einzelne Fachkraft. Mehrere ausgewertete Äußerungen der Aufsichten raten von WhatsApp im Dienst ab oder halten es für unzulässig; andere nennen Auswahlkriterien, ohne WhatsApp als zulässig zu bewerten. Für Berufsgeheimnisse (die Schweigepflicht nach § 203 Strafgesetzbuch, StGB) gibt WhatsApp selbst keine Zusicherung ab.
- Empfehlung: WhatsApp dienstlich nicht zulassen und ein Werkzeug mit Vertrag bereitstellen (Weg 3). Bis dahin gelten Telefon und die vorhandenen Wege (Weg 1). WhatsApp Business auf Diensthandys (Weg 2) lässt sich gegenüber der Aufsicht schwer begründen.
- Kita: Elterngruppen, die Eltern selbst gründen, sind private Gruppen der Eltern. Die Kita sollte ihnen nicht angehören, keine eigene Gruppe einrichten und die Teilnahme nicht verlangen.
- Offen: Ob der Kontakt-Upload (die Übermittlung des Adressbuchs) und die Metadaten (wer wann mit wem schreibt) ein Offenbaren (Weitergeben an Dritte) im Sinne von § 203 StGB sind, beantworten die geprüften Quellen nicht.
Der Träger entscheidet, nicht die einzelne Fachkraft
Wo Teams WhatsApp nutzen, laufen Dienstplanänderungen, Rückfragen von Eltern und Terminabsprachen mit Klienten über dieselbe App. Das betrifft ambulante und stationäre Pflege, Eingliederungshilfe, Kinder- und Jugendhilfe, Kita und Beratung bei freien, kirchlichen und kommunalen Trägern. Für diese Verarbeitung ist der Träger verantwortlich, weil er über Zweck und Mittel entscheidet und die Rechtmäßigkeit nachweisen muss (Art. 4 Nr. 7 und Art. 5 Abs. 2 der Datenschutz-Grundverordnung, DSGVO). Kirchliche Träger wenden das Gesetz über den Kirchlichen Datenschutz (KDG, katholisch) oder das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) an, die dieselben Grundsätze enthalten (§ 7 KDG, § 5 DSG-EKD).
Als privat gilt nur, was ohne Bezug zu einer beruflichen Tätigkeit geschieht (Art. 2 Abs. 2 Buchst. c DSGVO, Erwägungsgrund 18). Eine Gruppe, in der eine Fachkraft im Auftrag des Trägers schreibt, ist deshalb dienstlich, auch auf dem eigenen Handy.
Was Aufsichtsbehörden zu WhatsApp im Dienst sagen
Eine Äußerung, die für Träger der Sozialen Arbeit und Pflege insgesamt gilt, fand sich nicht. Vorhandene Äußerungen betreffen Krankenhäuser, Pflegedienste, Arbeitgeber, Schulen und die Jugendhilfe; für Eingliederungshilfe, stationäre Pflege und Beratungsstellen wurde keine ausgewertet.
| Stelle und Stand | Aussage | Reichweite |
|---|---|---|
| Datenschutzkonferenz (DSK), Stellungnahme vom 29. April 2021 | Gängige Messenger entsprechen den Vorgaben für den beruflichen Einsatz bislang nicht oder nur bedingt. Bei WhatsApp schließen die Probleme einen Einsatz im Krankenhaus weitgehend aus. | Krankenhaus, Kommunikation im Haus auf dienstlichen Geräten. Patienten, externe Dritte und private Geräte erfasst das Papier ausdrücklich nicht. Orientierung auch für Arztpraxen. |
| Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Tätigkeitsbericht 2025, Berichtsjahr 2024 | Eine WhatsApp-Gruppe für Änderungen im Tourenplan gefährdet bei Patientendaten das Patientengeheimnis. WhatsApp und vergleichbare Messenger seien nicht die Lösung, auch private Smartphones seien eine Gefahr. Nach Beratung nutzten die Pflegedienste andere Wege. | Ambulante Pflege, Patienten- und Beschäftigtendaten. |
| Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), 25. Datenschutzbericht, Berichtsjahr 2019 | Nutzung durch den Arbeitgeber für Beschäftigtendaten, besonders Gesundheitsdaten, ist datenschutzrechtlich nicht zulässig. Auch bei Ende-zu-Ende-Verschlüsselung (Verschlüsselung vom Gerät des Absenders bis zum Gerät des Empfängers) bleiben Zugriff auf Verkehrsdaten (wer wann mit wem schreibt) und Adressbuchabgleich. | Arbeitgeber, Beschäftigtendaten wie Krankmeldungen. |
| Sächsische Datenschutz- und Transparenzbeauftragte (SDTB), Medieninformation vom 11. August 2026 | Lehrkräfte sollten WhatsApp und vergleichbare Messenger grundsätzlich nicht für dienstliche Zwecke einsetzen. Private Gruppenchats von Eltern sind grundsätzlich möglich, Schule und Lehrkräfte sollten ihnen nicht angehören. | Schulen in Sachsen. Die Übertragung auf Kitas ist meine Einordnung. |
| Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI), Flyer mit Checkliste vom 24. Juli 2024 | Der Träger entscheidet, ob Messenger eingesetzt werden dürfen; gestattet er sie, hält er Nutzungsvorgaben fest, etwa in einer Dienstanweisung. Der Flyer rät, Messenger in der Kinder- und Jugendarbeit ausschließlich für Kontaktaufnahme und Terminkoordination zu nutzen, niemals für sensible Inhalte; sie sollten nur auf dem Diensthandy laufen, bei unter 16-Jährigen mit Einverständnis der Eltern. WhatsApp nennt er nicht. | Kinder- und Jugendhilfe. |
| Konferenz der Diözesandatenschutzbeauftragten, Beschluss vom 15. September 2021 | Kriterienliste statt Produktliste: Serverstandort, Ende-zu-Ende-Verschlüsselung, Datenminimierung, Rechte Dritter. Das Katholische Datenschutzzentrum führt sie in seiner Infothek als „in Überarbeitung“. | Katholische Träger (KDG). |
| Beauftragter für den Datenschutz der EKD, Interview vom 23. Mai 2018 | WhatsApp geht nicht, unter anderem weil der Dienst das Telefonbuch als Identifizierungsmerkmal nutzt. Ein neueres Papier zu Messengern fand sich nicht. | Evangelische Träger (DSG-EKD), Stand 2018. |
Kontakt-Upload: Warum das Adressbuch eine eigene Frage ist
WhatsApp beschreibt in der Datenschutzrichtlinie für den Europäischen Wirtschaftsraum (EWR, gültig ab 2. Juli 2026) das Hochladen von Kontakten als Funktion: Die Kontaktinformationen aus dem Adressbuch werden bereitgestellt, auch die Nummern von Personen, die WhatsApp nicht nutzen. Von Nummern, die zu keinem WhatsApp-Konto gehören, speichert es nach eigenen Angaben Hashwerte, also aus der Nummer berechnete Zeichenfolgen; diese Personen sollen dadurch nicht identifizierbar sein.
Die LDI NRW stellte in ihrem Bericht für 2019 fest, die App lese das Adressbuch aus und gleiche es mit den Daten bei WhatsApp ab, unabhängig davon, ob die betroffenen Personen davon wissen oder es wollen. Die katholischen Aufsichten sehen in der Übermittlung des Telefonbuchs durch Apps in der Regel einen Verstoß gegen Transparenz und Informationsrechte (§ 7 Abs. 1, §§ 14 und 15 KDG).
Die Übermittlung von Namen und Nummern von Klienten, Eltern und Angehörigen an einen Dienst braucht eine Rechtsgrundlage (Art. 6 Abs. 1 DSGVO, § 6 KDG, § 6 DSG-EKD); die Business-Bedingungen legen dem Unternehmen auf, dafür die nötigen Rechte und Einwilligungen einzuholen. Das berechtigte Interesse (Art. 6 Abs. 1 Buchst. f DSGVO, § 6 Abs. 1 Buchst. g KDG, § 6 Nr. 4 DSG-EKD) steht Behörden und, nach dem KDG, öffentlich-rechtlich organisierten kirchlichen Stellen in Erfüllung ihrer Aufgaben nicht offen. Für alle anderen Träger bleibt eine Interessenabwägung: Dem Interesse an schneller Erreichbarkeit steht das Interesse der Betroffenen gegenüber, dass ihre Hilfebeziehung nicht offenbar wird. Ich gewichte es hoch, weil Name und Nummer im Adressbuch die Hilfebeziehung erkennen lassen können.
Nach der LDI NRW lässt sich die Übermittlung nur verhindern, indem man den Zugriff auf die Kontakte direkt nach der Installation dauerhaft deaktiviert (Stand Mai 2020, nach den Nutzungsbestimmungen und ohne eigene Prüfung der App); WhatsApp selbst biete dafür keine Einstellung. Damit sei der Nutzen als Kommunikationsmittel erheblich eingeschränkt.
WhatsApp Business: Was sich ändert und was nicht
Nach den Nutzungsbedingungen für die Business-App (gültig ab 23. September 2026) ist das Unternehmen Verantwortlicher. WhatsApp verarbeitet die Kundendaten, also Kontaktinformationen wie Telefonnummern, im Auftrag des Unternehmens als Auftragsverarbeiter (Datenverarbeitungsbedingungen, Stand 22. August 2025). Die Bedingungen richten sich an Unternehmen und geschäftliche Nutzung; ob Vereine, Kirchengemeinden oder kommunale Einrichtungen darunter fallen, sagen sie nicht ausdrücklich. Für den Träger zählen fünf Punkte:
- Teamkommunikation. Die Business-App ist nicht für die unternehmensinterne Nutzung gedacht, also nicht für Teams untereinander.
- Berufsgeheimnis. WhatsApp gibt keine Zusicherung, dass die App den Anforderungen von Unternehmen mit erhöhten Verschwiegenheitspflichten genügt, etwa im Gesundheitswesen. Die Datenverarbeitungsbedingungen enthalten nur eine allgemeine Geheimhaltungszusage für Personen, die bei WhatsApp Daten verarbeiten. Ob sie die Verpflichtung nach § 203 Abs. 4 StGB ersetzt, ist nicht entschieden (Schweigepflicht bei IT, Cloud und KI).
- Weitere Auftragsverarbeiter. Mit dem Vertragsschluss genehmigt das Unternehmen allgemein, dass WhatsApp andere Meta-Unternehmen und Dritte einsetzt. Das Gesetz gibt dem Verantwortlichen die Möglichkeit zum Einspruch (Art. 28 Abs. 2 DSGVO, § 29 Abs. 2 KDG; nach dem DSG-EKD regelt der Vertrag die Bedingungen, § 30 Abs. 3 Satz 2 Nr. 6). WhatsApp nennt als Folge eines Einwands nur, die Nutzung zu beenden.
- Metadaten. WhatsApp erfasst nach der Datenschutzrichtlinie unter anderem, wann Nachrichten gesendet oder empfangen werden. Nach den Business-Bedingungen kommen Nutzungs-, Protokoll- und Diagnoseinformationen hinzu, die es mit anderen Meta-Unternehmen teilen kann; diese verwenden sie auch für eigene Dienste und Produkte. Die DSK verlangt für Messenger im Krankenhaus, Verbindungsdaten nur für die Zwecke des Verantwortlichen zu nutzen (Textziffer (Tz.) II.3).
- Inhalte. Nachrichten und Medien sind nach der Datenschutzrichtlinie Ende-zu-Ende verschlüsselt, WhatsApp kann sie nach eigener Angabe nicht sehen. Gruppennamen, Gruppenbeschreibungen und Profilbilder sind es nicht. Bei einer Sicherung in iCloud oder im Google-Konto erhält der Sicherungsdienst die Nachrichten; deren Verschlüsselung bietet WhatsApp zusätzlich an.
Die Business-App klärt die Rolle von WhatsApp für Kundendaten, nicht aber Metadaten, Adressbuch, Berufsgeheimnis und die Übermittlung in die USA. Für die USA nennt WhatsApp den Datenschutzrahmen EU-USA und den zugehörigen Beschluss der Europäischen Kommission vom 10. Juli 2023 über ein angemessenes Schutzniveau; den Stand dieses Beschlusses ordnet der Beitrag zur Schweigepflicht unter Cloud im Ausland ein.
Schweigepflicht, Sozialdaten und Beschäftigtendaten gelten zusätzlich
Strafbar macht sich, wer ein ihm anvertrautes oder sonst bekannt gewordenes fremdes Geheimnis unbefugt offenbart und zu einer der folgenden Gruppen gehört (§ 203 Abs. 1 Nr. 1, 2, 4 und 6 StGB):
- Angehörige von Heilberufen mit staatlich geregelter Ausbildung (dazu zähle ich Pflegefachkräfte)
- Berufspsychologen
- staatlich anerkannte Sozialarbeiter und Sozialpädagogen
- Ehe-, Familien-, Erziehungs- und Jugendberater sowie Berater für Suchtfragen in einer anerkannten Beratungsstelle
An Dritte, die an ihrer Tätigkeit mitwirken, etwa Dienstleister, dürfen sie es nur weitergeben, soweit das erforderlich ist, und sie müssen dafür sorgen, dass diese zur Geheimhaltung verpflichtet sind (Abs. 3 Satz 2, Abs. 4 Satz 2 Nr. 1). Erzieherinnen und Erzieher nennt die Liste nicht; ihre Stellung als Gehilfen erklärt der Beitrag zur Schweigepflicht.
Kann der Anbieter den Inhalt nicht zur Kenntnis nehmen, fehlt es insoweit am Offenbaren (Schweigepflicht bei IT, Cloud und KI). Für Kontakt-Upload und Metadaten gilt das nach meiner Einordnung nicht ohne Weiteres; die geprüften Quellen entscheiden das nicht.
Sozialdaten, die ein Leistungsträger dem Träger übermittelt hat, darf dieser nur zu dem Zweck verarbeiten, zu dem er sie erhalten hat, und muss sie wie der Leistungsträger geheim halten (§ 78 Abs. 1 Zehntes Buch Sozialgesetzbuch, SGB X). Werden Einrichtungen und Dienste freier Träger der Jugendhilfe in Anspruch genommen, ist sicherzustellen, dass der Schutz der Daten dort in entsprechender Weise gewährleistet ist (§ 61 Abs. 3 Achtes Buch Sozialgesetzbuch, SGB VIII); einen Adressaten nennt das Gesetz nicht. Vereinbarungen mit Jugendamt und Kostenträgern behandelt der Beitrag zum Sozialdatenschutz bei freien Trägern.
Für Beschäftigtendaten bezieht die LDI NRW Stellung. Krankmeldungen sind Gesundheitsdaten (Art. 9 Abs. 1 DSGVO, § 11 KDG, § 13 DSG-EKD). Bietet der Arbeitgeber dafür WhatsApp an, verstößt er nach ihrer Einschätzung gegen die Sicherheit der Verarbeitung (Art. 32 und Art. 5 Abs. 1 Buchst. f DSGVO, entsprechend § 26 und § 7 Abs. 1 Buchst. f KDG, § 27 und § 5 Abs. 1 Nr. 6 DSG-EKD). Eine Einwilligung der Beschäftigten trägt nach der LDI NRW nicht, weil von einer unzureichenden Information über die Risiken auszugehen ist.
Untersagen, regeln oder ersetzen
| Weg | Was er bedeutet | Spricht dafür | Spricht dagegen |
|---|---|---|---|
| 1. Untersagen, vorhandene Wege nutzen | WhatsApp ist dienstlich nicht zugelassen. Für Kontakt und Termine gelten Telefon, E-Mail und Aushang, für Inhalte das Gespräch. Eine Dienstanweisung hält das fest. | Sofort umsetzbar, entspricht der Linie von DSK, ULD, LDI NRW und SDTB. Zu WhatsApp muss die Leitung gegenüber der Aufsicht kein Restrisiko begründen. | Der Bedarf an schnellem Kontakt bleibt und kann auf private Handys ausweichen (Verbot ohne Alternative). |
| 2. WhatsApp Business auf Diensthandys mit Regeln | Das Diensthandy hat ein Business-Konto. Regeln: nur Kontaktaufnahme und Termine, keine Inhalte zu Gesundheit, Hilfe oder Leistungen, keine Gruppen mit Klienten, kein Kontaktzugriff, selbstlöschende Nachrichten, Einweisung. | Klienten, Eltern und Angehörige werden dort erreicht, wo sie schreiben. Inhalte sind Ende-zu-Ende verschlüsselt, WhatsApp ist für die Kontaktdaten der Kunden Auftragsverarbeiter, das Diensthandy trennt Dienstliches und Privates. | Keine Stellungnahme einer Aufsicht gefunden, die WhatsApp Business für soziale Träger als zulässig bewertet. Nicht für interne Nutzung gedacht, keine Zusage für Berufsgeheimnisse. Adressbuch, Metadaten, weitere Auftragsverarbeiter und die Übermittlung in die USA bleiben offen; das Restrisiko trägt die Leitung (Art. 5 Abs. 2 DSGVO). |
| 3. Werkzeug mit Vertrag | Ein Messenger, den der Träger selbst oder ein Auftragsverarbeiter betreibt, oder die Nachrichtenfunktion der Fachsoftware oder Kita-App. Vertrag, Datenregel und Einweisung gehören dazu. | Die Anforderungen der DSK und die Hamburger Checkliste lassen sich als Maßstab vertraglich und technisch festlegen, etwa Löschfristen und getrennte Kontakte. | Auswahl, Vertrag und Einführung brauchen Zeit, Klienten und Eltern müssen mitziehen. Kita-Apps zeigten 2022 Sicherheitsmängel. Die Verpflichtung des Anbieters nach § 203 Abs. 4 StGB ist zu regeln. |
Woran sich ein Ersatz messen lässt
Als Ersatz kommen vier Kategorien in Betracht, mit den Eigenschaften, die Aufsichten dazu nennen:
- Telefon und Gespräch. Hamburg rät, für konkretere Inhalte um ein vertrauliches Gespräch zu bitten, etwa per Telefon.
- E-Mail. Nach der Orientierungshilfe der DSK von 2021 braucht E-Mail mit personenbezogenen Daten mindestens eine verpflichtende Transportverschlüsselung. Bei hohem Risiko verlangt sie grundsätzlich zusätzlich Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung; ein Verzicht hängt von Risiko, Übertragungsweg und ausgleichenden Maßnahmen ab. Ein Berufsgeheimnis kann ein Indiz für hohes Risiko sein. Offene Verteiler legen Adressen offen und können eine Datenpanne sein (SDTB).
- Messenger beim Träger oder bei einem Auftragsverarbeiter. Für Messenger im Krankenhaus nennt die DSK Ende-zu-Ende-Verschlüsselung, einen vom Adressbuch getrennten Kontaktspeicher, Löschfunktionen, Verbindungsdaten nur für den Zweck des Verantwortlichen und einen Vertrag nach Art. 28 DSGVO. Auftragsverarbeiter sollten in Deutschland, der EU oder dem EWR sitzen. Für die Kommunikation mit Klienten und Eltern gibt es keine entsprechende Stellungnahme; ich übertrage die Anforderungen als Maßstab für die Auswahl. Hamburg ergänzt für die Jugendarbeit eigenen Zugriffsschutz der App und rückwirkendes Löschen von Nachrichten.
- Nachrichtenfunktion in Fachsoftware oder Kita-App. Der Anbieter verarbeitet im Auftrag, dafür braucht der Träger einen Vertrag (Art. 28 DSGVO, § 29 KDG, § 30 DSG-EKD). Von 42 untersuchten Kita-Apps hatten acht gravierende Sicherheitsprobleme, bei 40 wurden Nutzerinnen und Nutzer beobachtet (Android-Apps, Stand 2022). Auswahlfragen behandelt der Beitrag zur Dokumentationssoftware.
Elterngruppen in Kita und Kindergarten gesondert regeln
- Eltern gründen die Gruppe selbst. Die sächsische Aufsicht hält private Gruppenchats an Schulen für grundsätzlich möglich; Schule und Lehrkräfte sollten nicht angehören und die Teilnahme nicht verlangen. Auf Kitas übertragen heißt das: Fachkräfte treten nicht bei und die Kita verlangt die Teilnahme nicht.
- Die Kita richtet die Gruppe ein oder verwaltet sie. Dann ist es dienstliche Kommunikation und der Träger ist verantwortlich. Der rheinland-pfälzische Landesbeauftragte und das Bildungsministerium hielten WhatsApp im Januar 2018, noch vor Geltung der DSGVO, für die dienstliche Kommunikation mit Eltern in Kitas öffentlicher Träger für nicht zulässig, weil US-amerikanische Stellen auf die Daten zugreifen könnten. Seitdem hat sich die Rechtslage zu Übermittlungen in die USA geändert (Datenschutzrahmen EU-USA).
- Die Kita gibt Elternkontaktdaten weiter, auch an selbst gegründete Elterngruppen. Der Leitfaden von 2018 empfahl dafür eine Einwilligungserklärung im Aufnahmevertrag. Heute spricht es gegen die Freiwilligkeit, wenn der Vertrag von einer nicht erforderlichen Einwilligung abhängt (Art. 7 Abs. 4 DSGVO, § 8 Abs. 5 KDG, § 11 Abs. 4 DSG-EKD); die Einwilligung sollte deshalb getrennt vom Vertrag eingeholt werden.
- Die Kita nutzt eine Kita-App oder ein Elternportal. Dafür braucht der Träger einen Vertrag mit dem Anbieter und eine Prüfung vor dem Start.
- Aushang, E-Mail mit verdecktem Verteiler, Telefon. Hinweise zu einzelnen Kindern, besonders zur Gesundheit, gehören in ein persönliches Gespräch und in keine Gruppe.
Fünf Schritte von der Bestandsaufnahme zur Regel
- Bestandsaufnahme ohne Schuldzuweisung machen. Fragen Sie, wer WhatsApp mit wem nutzt, in welchen Gruppen und auf welchen Handys, und sagen Sie vorher zu, dass die Angaben folgenlos bleiben (so auch der Beitrag zu privaten KI-Konten).
- Datenregel festlegen. Gesundheit, Hilfepläne, Berichte, Bescheide, Krankmeldungen mit Klarnamen und alles, was ein Berufsgeheimnis berührt, gehören nicht in einen Messenger. Das gilt auch für zugelassene Werkzeuge, bis der Träger festlegt, welche Datenklassen sie aufnehmen dürfen.
- Ersatz auswählen und prüfen. Legen Sie die Eigenschaften der Ersatzwege als Maßstab an, holen Sie die Stellungnahme des Datenschutzbeauftragten ein und prüfen Sie, ob eine Datenschutz-Folgenabschätzung, also eine dokumentierte Risikoprüfung vorab, nötig ist (Art. 35 DSGVO, § 35 KDG, § 34 DSG-EKD; DSK, Tz. IV.3).
- Dienstanweisung erlassen und einweisen. Die Anweisung nennt zugelassene Wege, die Datenregel und den Meldeweg. Die zuständige Beschäftigtenvertretung wird vorher beteiligt, soweit ihr Mitbestimmungsrecht berührt ist. Der Betriebsrat bestimmt etwa bei Fragen der Ordnung des Betriebs (§ 87 Abs. 1 Nr. 1 Betriebsverfassungsgesetz, BetrVG) und bei technischen Einrichtungen zur Überwachung (Nr. 6) mit; für kirchliche Einrichtungen sowie für Verwaltungen und Betriebe öffentlich-rechtlicher Träger gilt das BetrVG nicht (§ 118 Abs. 2, § 130 BetrVG). Welche Vertretung für welchen Träger zuständig ist, vergleicht der Beitrag zur Mitbestimmung bei KI; zur Unterweisung siehe die Datenschutzschulung.
- Bestehende Gruppen beenden und prüfen. Gruppen mit Klientendaten werden aufgelöst. Ob dabei eine meldepflichtige Datenpanne vorliegt, bewertet der Träger mit dem Datenschutzbeauftragten (Art. 33 DSGVO, § 33 KDG, § 32 DSG-EKD; Datenpanne in der Einrichtung).
Empfehlung: dienstlich nicht zulassen, Ersatz mit Vertrag
Meine Empfehlung
Mein Ziel ist Weg 3: WhatsApp wird dienstlich nicht zugelassen und ein Werkzeug mit Vertrag ersetzt es. Bis es läuft, gilt Weg 1, also Telefon und die vorhandenen Wege, mit einer Dienstanweisung ab sofort. Weg 2 lässt sich nach den geprüften Quellen gegenüber der Aufsicht schwer begründen.
Wer Weg 2 trotzdem wählt, sollte die Regeln aus der Tabelle als Untergrenze verstehen und den Datenschutzbeauftragten sowie die zuständige Beschäftigtenvertretung beteiligen. Ich würde Weg 2 neu bewerten, wenn eine Aufsichtsbehörde WhatsApp Business für Träger mit Berufsgeheimnis ausdrücklich als zulässig bewertet oder WhatsApp die Anforderungen der DSK an getrennte Kontakte und Metadaten schriftlich zusagt.
Beschlussvorschlag für die Leitungsrunde
- WhatsApp wird für die dienstliche Kommunikation nicht zugelassen, auch nicht über private Handys der Beschäftigten; die Dienstanweisung gilt ab einem festen Datum.
- Bis zur Einführung eines Werkzeugs gelten Telefon, E-Mail mit verdecktem Verteiler und Aushang; Inhalte zu Gesundheit, Hilfe und Leistungen werden nur im Gespräch besprochen, persönlich oder am Telefon.
- Die Geschäftsführung lässt bis zu einem festen Datum zwei Werkzeuge prüfen, mit Stellungnahme des Datenschutzbeauftragten und Beteiligung der zuständigen Beschäftigtenvertretung.
- Kitas führen keine Elterngruppen und treten privaten Elterngruppen nicht bei.
Wie ein externer Datenschutzbeauftragter eine solche Regel begleitet, steht auf der Seite zum externen Datenschutzbeauftragten (400 bis 900 € im Monat).
Stand: 21. Oktober 2026. Geprüft sind die genannten Äußerungen, die Bedingungen von WhatsApp für die Business-App und die Normen in heutiger Fassung. Nicht festgestellt werden konnte, ob eine Aufsicht die Business-App für soziale Träger als zulässig bewertet hat und ob sich der Kontakt-Upload ohne Funktionsverlust abschalten lässt. Nicht ausgewertet sind die Business-Plattform für Schnittstellen und Gerichtsentscheidungen zum Adressbuch; die Merkblätter des Landesbeauftragten für den Datenschutz Niedersachsen waren nicht abrufbar.
Fragen zu WhatsApp im Träger
Darf ich Klienten nach der DSGVO per WhatsApp schreiben?
Das entscheidet Ihr Träger, denn er trägt nach der DSGVO die Verantwortung. Ist WhatsApp dienstlich nicht zugelassen, bitten Sie um ein Telefonat oder einen Termin und antworten nicht inhaltlich; hat der Träger Messenger gestattet, nennt der Hamburger Flyer als Rahmen nur Kontaktaufnahme und Terminkoordination, keine sensiblen Inhalte. Ob der Wunsch von Klienten nach WhatsApp daran etwas ändert, klären die geprüften Quellen nicht; für Fachkräfte mit Schweigepflicht gilt § 203 StGB zusätzlich.
Ist WhatsApp Business beim Datenschutz besser als WhatsApp?
Es klärt die Rollen: WhatsApp verarbeitet die Kontaktdaten der Kunden, also Telefonnummern, als Auftragsverarbeiter. Metadaten, Adressbuch und Berufsgeheimnis bleiben offen und die Business-App ist nicht für unternehmensinterne Nutzung gedacht. Eine Stellungnahme einer Aufsicht, die WhatsApp Business für soziale Träger als zulässig bewertet, fand sich nicht.
Darf die Kita eine WhatsApp-Gruppe mit Eltern führen?
Führt die Kita die Gruppe, ist es dienstliche Kommunikation; Rheinland-Pfalz hielt das im Januar 2018, vor Geltung der DSGVO, für Kitas öffentlicher Träger für nicht zulässig. Gründen Eltern die Gruppe selbst, ist sie privat und die Kita tritt nicht bei. Als Weg bleiben Aushang, E-Mail mit verdecktem Verteiler oder eine Kita-App mit Vertrag.
Reicht ein Verbot, wenn das Team WhatsApp schon nutzt?
Ein Verbot ohne Alternative kann die Nutzung auf private Handys verlagern. Deshalb gehören eine Dienstanweisung, ein Ersatzweg und eine Bestandsaufnahme zusammen. Gelangten Klientendaten in Gruppen, bewertet der Träger, ob eine Meldung an die Aufsicht nötig ist.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 2, 4, 5, 6, 7, 9, 28, 32, 33, 35, 99 und Erwägungsgrund 18. Amt für Veröffentlichungen der EU, abgerufen am 20. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung vom 20. November 2017, geändert durch Beschluss vom 24. November 2025, §§ 6, 7, 8, 11, 14, 15, 26, 29, 33 und 35. PDF des Bistums Trier, abgerufen am 20. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 5, 6, 11, 13, 27, 30, 32 und 34. Kirchenrecht Online (PDF), abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz: § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen) und Betriebsverfassungsgesetz, § 87 Abs. 1 Nr. 1 und 6 (Mitbestimmung bei Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb sowie bei technischen Einrichtungen zur Überwachung), § 118 Abs. 2 (Religionsgemeinschaften) und § 130 (öffentlicher Dienst). § 203 StGB und § 87 BetrVG, abgerufen am 20. Oktober 2026; § 118 BetrVG und § 130 BetrVG, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz: § 78 Zehntes Buch Sozialgesetzbuch (Zweckbindung und Geheimhaltungspflicht eines Dritten, an den Daten übermittelt werden) und § 61 Achtes Buch Sozialgesetzbuch (Anwendungsbereich). § 78 SGB X und § 61 SGB VIII, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Stellungnahme vom 29. April 2021, Technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich, Einleitung und Tz. I.3, I.7, II.1, II.3, IV.3, IV.6 und IV.7. PDF, veröffentlicht vom Bayerischen Landesbeauftragten für den Datenschutz, abgerufen am 20. Oktober 2026.
- DSK: Orientierungshilfe Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail vom 27. Mai 2021 (Stand 16. Juni 2021), Nr. 4.2. PDF der DSK, abgerufen am 20. Oktober 2026.
- Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein: Tätigkeitsbericht 2025 (43. Tätigkeitsbericht, Berichtszeitraum 2024), Abschnitt 4.5.1 „WhatsApp und private Smartphones bei Pflegediensten“, S. 54 f. PDF des ULD, abgerufen am 20. Oktober 2026.
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: 25. Datenschutzbericht 2020 (Berichtszeitraum 2019), Abschnitt 6.1 „Krankmeldungen unter Nutzung von WhatsApp“, S. 51 f. PDF der Universitäts- und Landesbibliothek Düsseldorf, abgerufen am 20. Oktober 2026.
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: Leitplanken für die Auswahl von Messenger-Diensten während der Kontaktbeschränkungen aufgrund der Corona-Pandemie, Stand 18. Mai 2020. PDF auf FragDenStaat, abgerufen am 20. Oktober 2026.
- Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: Messenger-Dienste in der Kinder- und Jugendarbeit (Flyer mit Checkliste), Stand 24. Juli 2024. PDF des HmbBfDI, abgerufen am 20. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Medieninformation „Datenschutz in der Schule: Neue FAQ geben Orientierung bei Messengern, E-Mail und Videoaufnahmen“ vom 11. August 2026. PDF des Medienservice Sachsen, abgerufen am 20. Oktober 2026.
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz und Ministerium für Bildung Rheinland-Pfalz: Datenschutz in Kitas, Ein Praxisleitfaden für Kitas in öffentlicher Trägerschaft, Stand Januar 2018. Flyer als PDF, abgerufen am 20. Oktober 2026.
- Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschland: Beschluss vom 15. September 2021, Beurteilung von Messenger- und anderen Social Media-Diensten. PDF des Katholischen Datenschutzzentrums und Infothek, abgerufen am 20. Oktober 2026.
- Evangelischer Pressedienst auf evangelisch.de: Interview mit Michael Jacob, Beauftragter für den Datenschutz der EKD, vom 23. Mai 2018. evangelisch.de, abgerufen am 20. Oktober 2026.
- WhatsApp Ireland Limited: Nutzungsbedingungen von WhatsApp für die WhatsApp Business-App, gültig ab 23. September 2026, Abschnitte 1, 4 und 7. whatsapp.com, abgerufen am 20. Oktober 2026.
- WhatsApp: WhatsApp Business Datenverarbeitungsbedingungen, zuletzt aktualisiert am 22. August 2025. whatsapp.com, abgerufen am 20. Oktober 2026.
- WhatsApp Ireland Limited: Datenschutzrichtlinie für den Europäischen Wirtschaftsraum, gültig ab 2. Juli 2026. whatsapp.com, abgerufen am 20. Oktober 2026.
- Max-Planck-Gesellschaft: Kita-Apps mit Mängeln bei Datenschutz und Datensicherheit, Meldung vom 18. Juli 2022, zur Studie von Gruber, Höfig, Golla, Urban und Große-Kampmann (22. Privacy Enhancing Technologies Symposium, PETS, 2022; 42 Android-Apps). mpg.de, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA, ABl. L 231 vom 20. September 2023, Art. 1. Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
