DSGVO und Coexistence: Wohin Nachrichtendaten gelangen

Was ändert sich bei den Nachrichtendaten, wenn eine Nummer Coexistence nutzt?

Die Unterhaltungen sind dann nicht nur auf dem Telefon, sondern auch für die Cloud API sichtbar. Laut der Coexistence-Dokumentation von Meta werden gesendete und empfangene Nachrichten zwischen der Cloud API und der WhatsApp Business App gespiegelt. Kontakte mit einer WhatsApp-Nummer können synchronisiert werden, und Chatnachrichten der letzten sechs Monate lassen sich beim Onboarding synchronisieren. Gruppenchats werden nicht synchronisiert.

Ab diesem Zeitpunkt laufen die Einzelnachrichten der Nummer über die Cloud API. Meta beschreibt, dass eine empfangene Nachricht entschlüsselt und an das Unternehmen weitergeleitet wird und ausgehende Nachrichten vor der Zustellung mit dem Signal-Protokoll verschlüsselt werden.

Diese Seite gibt wieder, was Meta dokumentiert und was EasyCoexistence tut. Sie ist keine Rechtsberatung. Ob ein bestimmtes Setup der DSGVO genügt, entscheiden das Unternehmen und seine Berater.

Was sagt Meta zur eigenen Rolle nach der DSGVO?

Auf der Datenschutzseite zur Cloud API legt Meta seine Position selbst dar.

• Wo das Recht einen Auftragsverarbeiter kennt, handelt Meta bei der Bereitstellung der Cloud API als solcher im Namen des Unternehmens.
• Die Cloud API verwendet die verarbeiteten Nachrichten nur im Namen und nach Weisung des Unternehmens, sofern nichts anderes angewiesen wird.
• Nachrichten werden höchstens 30 Tage gespeichert. Nutzerkennungen werden innerhalb von 30 Tagen nach dem letzten Status-Update einer Nachricht gelöscht.
• Kunden der Cloud API müssen ihre eigenen Pflichten nach Gesetzen wie der DSGVO erfüllen.
• Kunden in der Europäischen Region fallen unter den WhatsApp Business Data Transfer Addendum.

Können Nachrichtendaten in der EU gespeichert werden?

Meta bietet für die Cloud API eine lokale Speicherung an. Dabei liegen die Nachrichteninhalte nach einer kurzen Nutzungsphase ruhend in einem gewählten Land. Bei der Cloud API dauert diese Nutzungsphase bis zu 60 Minuten. In dieser Zeit können Inhalte in Rechenzentren von Meta weltweit verarbeitet werden. Die europäischen Optionen sind Deutschland für die EU, die Schweiz und das Vereinigte Königreich.

Die lokale Speicherung wird bei der Registrierung einer Nummer festgelegt. Eine Änderung bei einer registrierten Nummer erfordert, sie abzumelden und neu zu registrieren. Laut der Registrierungsdokumentation von Meta kann der Endpoint zum Abmelden nicht für eine Nummer verwendet werden, die gleichzeitig mit der Cloud API und der WhatsApp Business App genutzt wird. Einen separaten Weg, die lokale Speicherung bei einer Coexistence-Nummer zu aktivieren, beschreibt Meta nicht.

Wohin gehen die Nachrichten nach Meta?

An den Endpoint, der die Webhooks des WhatsApp Business Accounts empfängt. Mit dem Webhook-Override von Meta kann eine App die Webhooks eines bestimmten Kontos an eine andere Callback-URL senden als an die eigene der App.

EasyCoexistence nutzt diesen Override, um Nachrichtenereignisse auf das System des Unternehmens zu lenken. Meta liefert den Gesprächsinhalt also dorthin und nicht an uns, und EasyCoexistence speichert nie Gesprächsinhalte. Wir behalten die Betriebsereignisse, etwa zu Verbindungsstatus und Qualität, aus denen das Monitoring besteht.

Meta dokumentiert außerdem, dass es für die Cloud API über SOC-2-Type-II- und ISO-27001-Berichte verfügt, die im Business Messaging Compliance Center veröffentlicht werden.

Häufige Fehler

• Anzunehmen, die Rolle von Meta als Auftragsverarbeiter decke die eigenen Pflichten des Unternehmens ab. Meta erklärt, dass Kunden ihre DSGVO-Pflichten selbst erfüllen müssen.
• Die Verlaufssynchronisierung zu akzeptieren, ohne zu klären, wo sie landet. Bis zu sechs Monate an Chats können an das empfangende System geliefert werden.
• Die lokale Speicherung später aktivieren zu wollen. Sie wird bei der Registrierung festgelegt, und eine Änderung bedeutet eine erneute Registrierung.

Häufig gestellte Fragen

Weiterlesen