Datenschutzerklärung für Signal

Ist die Nutzung von Signal zulässig?

Verwenden Sie ein Tool oder Programm, das personenbezogene Daten verarbeitet, werden diese Daten an den Dienstanbieter des Tools übermittelt. Je nachdem, in welchem Land der Dienstanbieter sitzt (USA), kann diese Datenübermittlung problematisch sein.

Denn: Übertragen Sie personenbezogene Daten aus der EU in ein Drittland, ist dies nur unter bestimmten Voraussetzungen zulässig. Und zwar dann, wenn das Schutzniveau für die Datenübermittlung in ein Drittland mit dem der EU der Sache nach gleichwertig ist. Bietet das Drittland ein angemessenes Datenschutzniveau, verabschiedet die EU-Kommission einen Angemessenheitsbeschluss. 

Der Diensteanbieter von Signal ist die Signal-Stiftung. Die gemeinnützige Organisation hat ihren Sitz in den USA. Es gibt einen Angemessenheitsbeschluss für die Datenübermittlung in die USA. Zusätzlich ist die Datenübertragung in die USA rechtlich aber erst dann zulässig, wenn der Datenempfänger außerdem nach dem Datenschutzabkommen EU-USA (Data Privacy Framework) zertifiziert ist.

Zu den Garantien zählt derzeit der Abschluss von Standardvertragsklauseln. Seitenbetreiber müssen diese Klauseln daher mit Signal abschließen. Darüber hinaus müssen sie das Risiko des Datentransfers überprüfen und dokumentieren. Dazu müssen sie festhalten,

• welche Art von Daten sie an Signal weitergeben,
• welche Rechtsvorschriften in den USA gelten und
• ob Signal weitere Maßnahmen ergreift, um die Daten in den USA zu schützen.

Vorsicht: Bei nicht zertifizierten Tools gehen Sie ein rechtliches Risiko ein. Nutzen Sie wenn möglich eine Alternative, bei der die Datenübermittlung rechtlich unproblematisch ist.

Mehr zum Thema Datenübertragung in die USA finden Sie in unserem Artikel "Privacy Shield 2.0: Datentransfer in die USA".

Das ist bei Signal datenschutzrechtlich relevant

Grundsätzlich ist Signal durch seine Ende-zu-Ende-Verschlüsselung ein datenschutzfreundlicher Messenger. Dabei speichert dieser Nachrichtenverläufe nur lokal auf dem Gerät und nicht auf den Servern in den USA. Dritte können daher auf diese Daten nicht zugreifen. Signal erhebt bei der Registrierung jedoch die Telefonnummer von Nutzern. Dabei handelt es sich um personenbezogene Daten, die User eindeutig identifizierbar macht. Anderen Instant Messengern gelingt das datenschutzfreundlicher. So erzeugt zum Beispiel die Messenger-Alternative Threema bei der Nutzer-Registrierung zufällig generierte IDs, um die Anonymität zu wahren. Eine weitere Datenschutzkritik: Über den Signal-PIN speichert der Messenger einige wenige Nutzerdaten auf seinen Servern in den USA. Darunter fallen zum Beispiel der Nutzername sowie die Kontakte, die User bei Signal hinzufügen.

Um den Anforderungen des deutschen Datenschutzes gerecht zu werden, müssen Unternehmen daher verschiedene Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) berücksichtigen.

Signal Datenschutz: Worauf müssen Unternehmen achten?

Um den Signal-Messenger datenschutzkonform zu verwenden, müssen Unternehmen diese Pflichten aus dem Gesetz beachten:

User-Einwilligung einholen

Nutzen Unternehmen Signal für die Kommunikation mit Kunden, benötigen sie dafür ihre Telefonnummer. Um diese – zum Beispiel auf ihrer Webseite zu erheben – müssen sie das Double-Opt-In-Verfahren einhalten. Dabei fragen Unternehmen über ein Online-Formular die Telefonnummer der Kunden ab. Dabei sollten sie User darüber aufklären, dass sie auf diese Weise einwilligen, über die Telefonnummer bei Signal kontaktiert zu werden. In diesem Kontext sollten Unternehmen auch darüber informieren, dass Nutzer die Einwilligung jederzeit wieder widerrufen können. Dann zeigen Unternehmen ihre Telefonnummer für den Signal-Kontakt an und bitten ihre Kunden, eine Nachricht an diese Nummer zu schreiben. Dies schließt den Opt-In-Prozess ab. Unternehmen verfügen jetzt über eine datenschutzkonforme Einwilligung der User.

Standardvertragsklauseln abschließen

Um Signal datenschutzkonform zu nutzen, müssen zusätzliche Maßnahmen ergriffen werden. Zu den datenschutzrechtlich geeigneten Garantien zählen der Abschluss von Standardvertragsklauseln sowie eine Datentransfer-Folgenabschätzung.

Datenschutzerklärung anpassen

Sammeln Unternehmen über den Messengerdienst Signal personenbezogene Daten ihrer Kunden, müssen sie darüber in ihrer Datenschutzerklärung informieren. Dabei sollten sie verständlich erklären, wie der Anbieter die Daten verarbeitet.

Eine rechtssichere Datenschutzerklärung können Sie jetzt schnell und kostenfrei mit unserem Datenschutz-Generator erstellen.