• Entwicklung/Architektur
  • Methoden
  • Programmiersprachen
• Betrieb
  • Datenbanken
  • Server
  • IT-Security
  • Speicher
  • Netzwerke
  • Virtualisierung
  • Verfügbarkeit
  • Künstliche Intelligenz
• Management und Recht
  • Projektmanagement
  • Digitalisierung
  • IT-Recht
  • IT-Selbständige
• Aktuelles
• Termine
• IT-Jobs

☰

• Entwicklung
• Betrieb
• Management und Recht
• News
• IT-Jobs
• Newsletter

Prof. Dr. Joachim Schrey, Dr. Jacek Kielkowski & Patricia Gola 21. März 2017

Betriebliche Nutzung von Messenger-Diensten – Teil I

Unternehmerische Pflichten

Wird ein Messenger-Dienst betrieblich genutzt, sind gesetzliche unternehmerische Pflichten auch im Rahmen dieser Form der Kommunikation gegenüber Kunden einzuhalten.

Mindestinhalte von Geschäftsbriefen

Darunter fällt die unternehmerische Pflicht gemäß § 35a Abs. 1 Satz 1 GmbHG, § 80 Abs. 1 AktG, § 37a HGB oder § 125a HGB, auf allen Geschäftsbriefen, die an einen bestimmten Empfänger gerichtet werden, bestimmte Mindestangaben wie die Rechtsform, den Sitz der Gesellschaft, das Registergericht etc. anzugeben [11]. Ein Geschäftsbrief ist jede nach außen gerichtete Mitteilung der Gesellschaft, die inhaltlich deren geschäftliche Betätigung betrifft, wie z. B. Vertragsangebote, Vertragsannahmen, Übermittlung von Informationen etc. [12]. Auf die Form der Mitteilung kommt es hingegen nicht an, sodass auch Mitteilungen per Telefax und E-Mail erfasst werden. Auch SMS, Twitter-Mitteilungen oder Blogbeiträge fallen in den Anwendungsbereich der Norm, wenn sie tatsächlich zur geschäftlichen Kommunikation genutzt werden [13]. Dasselbe muss dann auch für Messenger-Nachrichten gelten.

Sind dem Geschäftspartner die Angaben bereits bekannt, müssen diese nicht ständig wiederholt werden.

Dass Messenger-Nachrichten nicht die jeweils erforderlichen Mindestangaben enthalten, ist offensichtlich. Dies dürfte in vielen Fällen dennoch unschädlich sein. Im Regelfall wird sich diese Kommunikationsform zwischen einem Unternehmen und seinen Kunden in der Praxis nämlich erst dann etablieren, wenn eine Vertragsbeziehung auf anderem, formalerem Wege (wie verkörperte Geschäftsbriefe oder E-Mails) bereits begründet wurde. Sind dem Geschäftspartner die jeweiligen Angaben bereits bekannt, müssen diese nicht ständig wiederholt werden [14]. Bei daraufhin mittels Messenger-Dienst erfolgender Kommunikation in Erfüllung der anderweitig, also nicht über einen Messenger-Dienst, geschlossenen Verträge kann so infolge der Ausnahmeregel des § 35a Abs. 2 GmbHG bzw. § 80 Abs. 2 AktG auf die Mindestangaben verzichtet werden. Rückausnahmen, nach denen die Pflichtangaben wiederum erforderlich sind, bestehen im Falle der Änderungen der gesetzlichen Pflichtangaben [15], nach nicht unerheblicher Unterbrechung der Geschäftsbeziehungen [16] sowie bei der Nutzung von Bestellscheinen (§ 35a Abs. 3 GmbHG, § 80 Abs. 3, S. 2 AktG) [17]. Im Falle eines Verstoßes können durch die Registergerichte Ordnungsgelder bis zu einer Höhe von EUR 5.000,00 fällig werden (§ 79 Abs. 1 GmbHG). Die Wahrscheinlichkeit, dass ein Registergericht davon Kenntnis erlangt, dass überhaupt geschäftliche Kommunikation eines Unternehmens über Messenger-Dienste abgewickelt wird, dürfte jedoch relativ gering sein. Ebenso sind Schadenersatzansprüche Dritter oder Anfechtungsrechte allenfalls in Ausnahmefällen denkbar. 

Gesetzliche Aufbewahrungspflichten, § 257 HGB

Neben den oben genannten Pflichtangaben müssen zusätzlich auch die gesetzlichen Aufbewahrungspflichten beachtet werden. Gemäß § 257 Abs. 1 HGB ist jeder Kaufmann verpflichtet, bestimmte in seinem Geschäftsbetrieb anfallende Unterlagen geordnet für einen Zeitraum von 6 Jahren oder im Falle von Buchungsbelegen sogar für 10 Jahre aufzubewahren. Darunter könnten auch Messenger-Nachrichten fallen, wenn sie empfangene oder abgesandte Handelsbriefe oder Buchungsbelege darstellen. Handelsbriefe im Sinne von § 257 Abs. 2 HGB sind Schriftstücke, die ein Handelsgeschäft im Sinne der §§ 343, 344 HGB betreffen. Dazu zählen alle Schriftstücke, die der Vorbereitung, dem Abschluss, der Durchführung oder Rückgängigmachung von Handelsgeschäften dienen, wie etwa Angebote, Bestellungen, Rechnungen etc. [18]. Da unter den Begriff auch Telefaxe, E-Mails und andere neuere Kommunikationsformen fallen, die sich einer Schrift bedienen [18], ist es unzweifelhaft, dass auch Chat-Nachrichten, die in Messenger-Diensten ausgetauscht werden, zu den aufbewahrungspflichtigen Schriftstücken im Sinne von § 257 Abs. 1 und 2 HGB gehören, wenn sie den beschriebenen inhaltlichen Bezug zu Handelsgeschäften des jeweiligen Unternehmens haben. Etwas anderes gälte nur, wenn diese Nachrichten sich erst noch in einem Austausch formaler Bestellungen und Beseitigungen in den administrativen System der beteiligten Unternehmen niederschlügen, die dann die eigentlich erst verbindlichen und damit aufbewahrungspflichtigen Dokumente wären.

Zur Erfüllung der beschriebenen handelsrechtlichen Aufbewahrungspflichten kann regelmäßig nicht auf den Betreiber des Messenger-Dienstes und dessen zentrale Infrastruktur zurückgegriffen werden, da die meisten Messenger-Dienste die Chat-Nachrichten, die vom Kommunikationspartner abgerufen und gelesen wurden, nicht speichern. Vielmehr werden die Chat-Nachrichten nur in den jeweiligen Smartphones der Kommunikationspartner gespeichert. Allerdings besteht in den Apps der meisten Messenger-Dienste, unter anderem bei WhatsApp, die Möglichkeit, Chat-Verläufe zu exportieren und sie beispielsweise in einer Cloud abzulegen oder sich per E-Mail zuzusenden. Ferner existieren bereits entgeltpflichtige Tools, die den Export der Chatverläufe samt Anhängen auf einen PC mit lesbarer Darstellung als HTML, PDF, Doc oder CSV-Files ermöglichen [19]. Gegebenenfalls kann ein solcher Backuptransfer auch zeitabhängig automatisiert angestoßen werden, sodass die einzelnen Nutzer nicht manuell den Transfer initiieren müssen. Sollte ein derartiger Transfer bei dem genutzten Messenger-Dienst nur manuell möglich sein, müssten die Nutzer allerdings mit Hilfe entsprechender Dienstanweisungen hierzu angehalten und die Erfüllung der Transferverpflichtung zentral stichprobenartig überprüft werden.

Berufsrechtliche Dokumentationspflichten, z.B. bei Ärzten oder Anwälten, sind gegebenenfalls ebenfalls zu berücksichtigen.

Steuerliche Aufbewahrungspflichten, § 147 AO

Aufbewahrungspflichten ergeben sich auch aus steuerrechtlichen Vorschriften. Die steuerlichen Aufbewahrungspflichten gemäß § 147 Abs. 1, 2 und 3 AO entsprechen den handelsrechtlichen Aufbewahrungspflichten gemäß § 257 HGB und ergeben für die Aufbewahrungspflicht also keine weiteren Verpflichtungen für Unternehmen [20]. Allerdings hat gemäß § 147 Abs. 6 Satz 1 AO die Finanzbehörde im Rahmen einer Außenprüfung das Recht, Einsicht in die gespeicherten Daten zu nehmen und das Datenverarbeitungssystem zur Prüfung dieser Unterlagen zu nutzen, wenn diese Unterlagen mithilfe "eines Datenverarbeitungssystems" erstellt wurden. Buchführung ist "mit Hilfe eines Datenverarbeitungsprogramms erstellt", wenn Buchführungsunterlagen entweder originär digital erstellt oder nachträglich z. B. durch Einscannen und Speichern digitalisiert werden [21]. Die App zur Nutzung eines Messenger-Dienstes ist ein Datenverarbeitungsprogramm, auch die Chat-Nachrichten werden mit Hilfe eines Datenverarbeitungsprogramms erstellt. Der Export der Chat-Verläufe auf andere Medien legt zwar nahe, dass die Finanzbehörden dann eher auf diese anderen Medien zugreifen; die gesetzliche Regelung ermöglichte jedoch auch den Zugriff auf die originären Smartphones und erzwänge ihn sogar, wenn es keine Exporte der Chat-Verläufe gäbe. Würden die als Handelsbriefe zu qualifizierenden Chat-Nachrichten, die zwischen Unternehmensmitarbeitern und Kunden im Wege eines Messenger-Dienstes ausgetauscht wurden, lediglich auf den Smartphones der Mitarbeiter verbleiben und nicht zentral bei dem Unternehmen gespeichert werden, könnte dieses ihren Verpflichtungen aus § 147 Abs. 6 AO gegenüber der Finanzbehörde im Rahmen von Außenprüfungen nur sehr schwer gerecht werden. Ein Export und eine entsprechend strukturierte Ablage der Messenger-Nachrichten wäre also erforderlich, um den spezifisch steuerlichen Anforderungen im Rahmen einer Außenprüfung durch die Finanzbehörden Rechnung zu tragen.

Chatverläufe zwischen Mitarbeitern und Kunden sollten exportiert und zentral beim Unternehmen abgelegt werden.

Sonstige Dokumentationsobliegenheiten

Falls es zu Streitigkeiten zwischen dem Unternehmen und einem seiner Kunden kommen sollte, gleich ob gerichtlich oder außergerichtlich, ist es für die Wahrung der Rechtsposition des Unternehmens entscheidend, auf die gesamte Kommunikation des Unternehmens mit dem betreffenden Kunden zurückgreifen zu können, um etwa die Erfüllung vertraglicher Verhaltens-, Aufklärungs- oder Informationspflichten darlegen und beweisen zu können. Sollten entsprechende Nachrichten nur als Chat-Verläufe auf den einzelnen Smartphones der Mitarbeiter gespeichert sein, fehlt dem Unternehmen ein zentraler Zugriff auf die mit dem Kunden ausgetauschte Kommunikation. Dieses Manko wird nicht immer durch Befragungen des Mitarbeiters auszugleichen sein. Entsprechendes gilt, wenn das Smartphone verloren gegangen oder zerstört worden ist, Chat-Verläufe gelöscht wurden, der betreffende Mitarbeiter beispielsweise das Unternehmen verlassen hat. Allein aus Risikomanagementgesichtspunkten (analog § 91 Abs. 2 AktG) müssen Unternehmen daher in der Lage sein, den gesamten Verlauf der mit Kunden im Rahmen der unterhaltenen Geschäftsbeziehung gewechselten Kommunikation lückenlos und unabhängig von den betroffenen Mitarbeitern nachvollziehen und entsprechende Beweise führen zu können. Dementsprechend sollten Chatverläufe zwischen Mitarbeitern und Kunden des Unternehmens exportiert und zentral beim Unternehmen abgelegt werden.

Das Anstellungsverhältnis zwischen dem Unternehmen und seinen Mitarbeitern begründet schließlich die Verpflichtung des jeweiligen Mitarbeiters, die mit der jeweiligen Position im Unternehmen verbundenen Aufgaben ordnungsgemäß zu erfüllen [22]. Die (mangelnde) Erfüllung solcher Verhaltenspflichten kann gegebenenfalls durch die von dem betreffenden Mitarbeiter gegenüber Dritten im Namen des Unternehmens geführte Korrespondenz nachgewiesen werden. Zur Überprüfung ordnungsgemäßer Erfüllung der arbeitsvertraglichen Verpflichtungen kann das Unternehmen daher auf die mit Geschäftspartnern geführte Korrespondenz ihrer Arbeitnehmer angewiesen sein. Dies wäre bei Verbleib der Chat-Verläufe auf den Smartphones der Mitarbeiter nicht möglich. Ebenso könnte der Arbeitgeber umgekehrt nicht erkennen, wo er in Wahrnehmung seiner Schutz- und sonstigen Sorgfaltspflichten gegenüber seinen Arbeitnehmern möglicherweise steuernd, beispielsweise entlastend, eingreifen muss. Auch insofern ist der Export und die Aufbewahrung der Messenger-Nachrichten zu empfehlen.

Datenschutz

Unterstellt man, dass das jeweilige Unternehmen im Hinblick auf die von ihr beschafften und ihren Mitarbeitern zur Verfügung gestellten Smartphones datenschutzrechtlich verantwortliche Stelle im Sinne von § 3 Abs. 7 BDSG ist, ist es für eine ordnungsgemäße Verarbeitung personenbezogener Daten gegenüber den Betroffenen, also den natürlichen Personen, auf die sich diese Daten beziehen, verantwortlich. Ein datenschutzrechtliches Problem ergibt sich dabei aus dem Umstand, wenn nach Herunterladen der App und Anmeldung bei einem Messenger-Dienst auf ein Firmen-Smartphone dieser Dienst regelmäßig auf das Kontakteverzeichnis des Anmelders zugriffe, um zu überprüfen, welche Kontakte des Anmelders bereits bei dem entsprechenden Dienst registriert sind. Bei diesem Vorgang würden regelmäßig auch die Kontaktdaten von Personen, die nicht als Nutzer bei dem jeweiligen Dienst registriert sind, an diesen übermittelt. Für letztere Übermittlung fehlt es datenschutzrechtlich jedoch an der notwendigen Legitimation (§ 28 Abs. 1 Satz 1 Nr. 2 BDSG). Für diesen Fall sind die Mitarbeiter, die ein dienstliches Smartphone nutzen, anzuweisen, den Zugriff des Messenger-Dienstes auf das betriebliche Kontakteverzeichnis soweit wie möglich zu unterbinden.

Datensicherheit

Viele Messenger-Dienste basieren technisch auf dem Extensible Messaging and Presence Protocol (XMPP). Die Kommunikation erfolgt im Rahmen einer Client-Server-Architektur. Die Nutzer sind dabei mit ihren Mobiltelefonen und einer eindeutigen Kennung als Clients bei einem Server des Dienstes registriert. Versendet ein Nutzer eine Nachricht, wird sie über einen oder mehrere Server an den Empfänger als ebenfalls bei den Servern registrierten Client übertragen. Technisch ist ein Messenger-Dienst damit regelmäßig ähnlich wie ein E-Mail-Übertragungsdienst zu beurteilen, bei dem die Nutzer mittels der Verbindung zu mehreren Servern Inhalte übermitteln. Sollte bei einem auf diese Weise funktionierenden Messenger-Dienst (noch) nicht systemweit eine Ende-zu-Ende-Verschlüsselung implementiert sein, könnte der Dienst auf die Kommunikationsinhalte zwischen den Kommunikationspartnern eines Chat-Verlaufs zugreifen. Viele Dienste bieten jedoch mittlerweile eine flächendeckende Ende-zu-Ende-Verschlüsselung an, mit der sichergestellt ist, dass die Betreiber des Messenger-Dienstes die Inhalte der Kommunikation nicht "mitlesen" können – so mittlerweile auch der größte Anbieter WhatsApp [23].

Für Unternehmen ist diese Verschlüsselung zum einen notwendig, um unabhängig von der Frage, ob personenbezogene Daten übermittelt werden, eigene Geschäftsgeheimnisse gegenüber unbefugtem Zugriff zu schützen. Sie ist andererseits auch notwendig, um ihren datenschutzrechtlichen Verpflichtungen zum Ergreifen technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten, die im Rahmen der Chat-Verläufe ausgetauscht werden könnten, vor unbefugtem Zugriff gerecht zu werden. Damit aber diese Verschlüsselung ordnungsgemäß auf beiden Seiten der Kommunikation funktioniert, müssen die Kommunikationspartner (zumindest im Fall von WhatsApp) die jeweils neueste App-Version installiert haben. Unternehmen sollten daher ihre Mitarbeiter, die Messenger-Dienste zu dienstlichen Zwecken nutzen, in jedem Fall anweisen, das neuste Release der jeweiligen App zu installieren und auch ihre Kommunikationspartner bei den Kunden zu einem entsprechenden Verhalten aufzufordern. Diese Aufforderung und eine entsprechende Beschreibung der Risiken, wenn nicht das neuste Release installiert ist, sollte auch dokumentiert werden. Nur dann wäre das Unternehmen in der Lage, nachweisen zu können, dass auf die Sicherheitsrisiken einer gegebenenfalls nicht vorhandenen Ende-zu-Ende-Verschlüsselung hingewiesen wurde.

Autoren

Das könnte Sie auch interessieren