Handy in der Hosentasche, Haftung in der Chefetage: Wenn der Kundenservice über private Messenger läuft

Es beginnt meist harmlos: Ein Kunde fragt per WhatsApp nach dem Lieferstatus, ein Vertriebsmitarbeiter antwortet kurz vom Smartphone. Innerhalb weniger Monate ist der Messenger zur stillen zweiten Servicehotline geworden – ganz ohne Freigabe durch die IT, ohne Datenschutz-Folgenabschätzung, ohne Verträge. Genau diese Bequemlichkeit wird zum Risiko.

Was auf den Servern tatsächlich landet

Die meisten Unternehmen unterschätzen, dass es längst nicht nur um die Nachrichteninhalte geht. Metadaten – wer schreibt wann mit wem, von welchem Gerät, aus welchem Netz – fließen ebenfalls in die Systeme der Anbieter. Bei den verbreiteten US-amerikanischen Messengern liegen diese Daten außerhalb der direkten Reichweite deutscher Aufsichtsbehörden. Zwar gilt seit 2023 der EU-US Data Privacy Framework, doch dessen Bestand bleibt politisch umstritten. Rechtsabteilungen, die dies ignorieren, handeln fahrlässig.

Hinzu kommt ein praktisches Problem: End-to-end-Verschlüsselung schützt zwar vor fremden Blicken auf dem Übertragungsweg, nicht aber vor dem eigenen Mitarbeiter, der Kundenkontakte ungefragt in sein privates Adressbuch synchronisiert. Wer verlässt das Unternehmen mit der Kundenliste im Handy? Diese Frage haben wir in früheren Beiträgen bereits im Kontext von Datendiebstahl beim Ausscheiden von Mitarbeitern behandelt – im Messenger-Kontext verschärft sie sich noch einmal.

Die Rechtslage: Grauzone mit klaren Linien

Streng genommen verboten ist der Einsatz consumer-orientierter Messenger im Kundendialog nicht automatisch. Aber: Die DSGVO verlangt eine Rechtsgrundlage, Information der Betroffenen und – bei US-Anbietern – geeignete Garantien. Der Datenschutzbeauftragte eines mittelständischen Handelsbetriebs formuliert es nüchtern: „Wir haben kein Verbot des Messengers, aber eine Pflicht zur Beherrschung des Datenflusses. Die ist bei Consumer-Tools schlicht nicht gegeben."

Besonders heikel wird es, wenn Mitarbeiter private Accounts nutzen. Dann vermischen sich geschäftliche und persönliche Kommunikation unauflösbar – und auf Auskunftsersuchen eines Kunden nach Artikel 15 DSGVO kann das Unternehmen plötzlich nicht mehr liefern, welche Daten über welche Kanäle gespeichert wurden. Bußgelder bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes sind keine theoretische Größe mehr; mehrere deutsche Aufsichtsbehörden haben Messenger-Themen bereits auf ihre Prüflisten gesetzt.

Vier Wege aus der Zwickmühle

Die gute Nachricht: Der Verzicht auf bequeme Kommunikation muss nicht sein. Es gibt praxistaugliche Alternativen – mit sehr unterschiedlichen Reifegraden.

1. Das offene Protokoll Matrix. Matrix (bekannt durch die Referenzimplementierung Element) ist föderiert wie E-Mail und lässt sich auf eigenen Servern betreiben. Für datensensible Branchen wie Kanzleien, Steuerberater oder Gesundheitsdienstleister ist Self-Hosting der sauberste Weg. Der Betriebsaufwand ist real, aber überschaubar – und wer ohnehin über eigene Infrastruktur nachdenkt, findet hier einen sinnvollen Baustein.

2. Enterprise-Messenger aus der EU. Anbieter wie Wire oder Teamwire bieten Business-Konten mit Verarbeitungsverträgen, Serverstandort Europa und administrativer Kontrolle über Konten. Verlässt ein Mitarbeiter das Haus, wird der Zugang zentral gesperrt – der Kontaktbestand bleibt im Unternehmen.

3. Messenger-APIs im Hybridsystem. Wer Kunden nicht verprellen will, kann eingehende WhatsApp-Anfragen über offizielle Business-Lösungen in ein Ticket- oder CRM-System einspeisen. Der Kunde behält sein gewohntes Tool, das Unternehmen gewinnt Kontrolle, dokumentierte Einwilligungen und einen revisionssicheren Verlauf.

4. Der bewusste Verzicht. Manche Betriebe kommunizieren stattdessen konsequent über E-Mail oder Web-Formulare – weniger sexy, aber rechtlich unangreifbar und suchbar. Für viele B2B-Kontexte genügt das völlig.

Checkliste für die Umstellung

Bevor die IT das Projekt angeht, sollten diese Punkte geklärt sein:

• Bestandsaufnahme: Welche Messenger werden heute tatsächlich genutzt – auch privat, auch in der Außendienstflotte?
• Rechtsprüfung: Datenschutzbeauftragten einbinden, Rechtsgrundlage und Verarbeitungsverträge dokumentieren.
• Kundenseite: Welche Kanäle wünschen die Kunden wirklich? Eine kurze Befragung verrät mehr als jede Bauchentscheidung.
• Technik: Serverstandort, Verschlüsselung, zentrale Kontenverwaltung und Anbindung an CRM prüfen.
• Schulung: Mitarbeiter müssen wissen, was über welchen Kanal kommuniziert werden darf – und was nicht.
• Exit-Szenario: Wie lassen sich Konten und Daten bei Anbieterwechsel oder Kündigung übertragen?

Fazit: Kontrolle schlägt Bequemlichkeit

Messenger-Kommunikation mit Kunden ist kein Trend, der sich wegdrücken lässt – sie ist längst Realität in deutschen Mittelstandsunternehmen. Die entscheidende Frage ist nicht, ob, sondern wie. Wer heute die Kanäle ordnet, Verträge schließt und Mitarbeiter schult, verwandelt ein stilles Haftungsrisiko in einen planbaren, rechtssicheren Servicekanal. Wer wartet, bis die Aufsicht oder ein Kunde nachfragt, zahlt später in doppelter Hinsicht: in Euro und in Vertrauen.