Ist WhatsApp für Unternehmen DSGVO-konform? Ein Praxisleitfaden für deutsche Firmen

Quick answer

Ja, deutsche Unternehmen können WhatsApp DSGVO-konform nutzen, aber das Setup entscheidet. Das klassische Problem ist die WhatsApp-App auf dem Diensthandy, die das Adressbuch mit Kontakten hochlädt, die nie zugestimmt haben. Die offizielle WhatsApp Business Platform (API) vermeidet das und läuft unter Metas Bedingungen zur Auftragsverarbeitung. Sie brauchen trotzdem eine Rechtsgrundlage für jede Nachricht, eine ausdrückliche Einwilligung vor Werbung, eine Datenschutzerklärung, die WhatsApp nennt, und — nach dem EU AI Act — einen klaren Hinweis, dass Kunden mit einer KI sprechen. Keine Rechtsberatung.

Key takeaways

• Das größte DSGVO-Risiko bei WhatsApp ist der Adressbuch-Abgleich der Handy-App — die API macht das nicht.
• Antworten an Personen, die Sie kontaktiert haben, haben eine Rechtsgrundlage; Werbung braucht eine ausdrückliche vorherige Einwilligung.
• Nennen Sie WhatsApp in Ihrer Datenschutzerklärung, einschließlich der Übermittlung an Meta.
• Seit dem 2. August 2026 verlangt der EU AI Act, Menschen darüber zu informieren, dass sie mit einem KI-System interagieren.
• Lassen Sie sich von jedem WhatsApp-Anbieter einen Auftragsverarbeitungsvertrag (AVV) geben und dokumentieren Sie Ihr Setup.

Die kurze Antwort: ja, mit dem richtigen Setup

WhatsApp ist der meistgenutzte Messenger in Deutschland, und Kunden erwarten zunehmend, Unternehmen dort zu erreichen. Die deutschen Datenschutzbehörden haben die geschäftliche Nutzung nicht verboten; sie kritisieren die sorglose Nutzung — vor allem der normalen oder der Business-App auf den Handys von Mitarbeitenden.

Ob Ihre Nutzung konform ist, hängt von drei Dingen ab: welches WhatsApp-Produkt Sie verwenden, welche Rechtsgrundlage Sie für jede Nachricht haben und was Sie Ihren Kunden mitteilen. Dieser Leitfaden behandelt alle drei. Er ist eine allgemeine Information und keine Rechtsberatung; für Ihren konkreten Fall sprechen Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt.

App oder API: Wo das eigentliche Risiko liegt

Die Apps WhatsApp und WhatsApp Business lesen regelmäßig das Adressbuch des Handys aus und teilen die Nummern mit WhatsApp — auch Kontakte, die mit WhatsApp nichts zu tun haben und nie zugestimmt haben. Auf einem Firmenhandy voller Kunden- und Lieferantenkontakte ist genau das das zentrale DSGVO-Problem, auf das deutsche Aufsichtsbehörden hinweisen.

Die WhatsApp Business Platform (Cloud API) funktioniert anders: Sie liest kein Adressbuch aus. Nachrichten werden von Meta als Auftragsverarbeiter unter den WhatsApp-Business-Bedingungen zur Datenverarbeitung verarbeitet, und Ihr Unternehmen entscheidet, welche Daten gespeichert werden. Einen Vergleich der Optionen finden Sie unter WhatsApp Business App vs. API vs. KI-Assistent.

Rechtsgrundlage und Einwilligung

• Einem Kunden zu antworten, der Ihnen zuerst geschrieben hat — zu einem Produkt, einer Bestellung oder einem Termin —, fällt unter vorvertragliche oder vertragliche Kommunikation.
• Bestell- und Lieferupdates zu einem Kauf des Kunden gehören zur Vertragserfüllung.
• Werbenachrichten — Angebote, Newsletter, Wieder-verfügbar-Hinweise — brauchen eine ausdrückliche vorherige Einwilligung, sowohl nach der DSGVO als auch nach dem UWG. Dokumentieren Sie, wann und wie jede Person zugestimmt hat.
• Machen Sie das Abmelden einfach: Setzen Sie „STOP" oder jede ähnliche Bitte sofort und dauerhaft um.
• Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, erfordern besondere Sorgfalt; erheben Sie sie im Chat nur, wenn es wirklich nötig ist.

Transparenz: Datenschutzerklärung und KI-Hinweis

Ihre Datenschutzerklärung sollte angeben, dass Sie WhatsApp nutzen, zu welchen Zwecken, welcher Anbieter beteiligt ist und dass Daten an Meta übermittelt werden, auch in die USA auf Grundlage des EU-US Data Privacy Framework.

Antwortet auf WhatsApp ein KI-Assistent, kommt eine Regel aus dem EU AI Act hinzu: Seit dem 2. August 2026 müssen Menschen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Ein kurzer Satz in der ersten Antwort — „Ich bin SOVA, der KI-Assistent von Müller Mode; eine Kollegin oder ein Kollege kann jederzeit übernehmen" — genügt und schafft Vertrauen. Die Übernahme durch einen Menschen ist in SOVA ein Klick: siehe Übergabe an einen Menschen auf WhatsApp.

DSGVO-Checkliste für WhatsApp in Ihrem Unternehmen

• Nutzen Sie für die Kundenkommunikation die WhatsApp Business Platform (API) über einen Anbieter, nicht die App auf Mitarbeiterhandys.
• Schließen Sie mit Ihrem Anbieter einen Auftragsverarbeitungsvertrag (AVV) und bewahren Sie ihn auf.
• Aktualisieren Sie Ihre Datenschutzerklärung um WhatsApp, Zwecke, Empfänger und die Übermittlung an Meta.
• Holen Sie vor jeder Werbenachricht eine ausdrückliche Einwilligung ein und dokumentieren Sie sie.
• Sagen Sie Kunden, wenn eine KI antwortet, und bieten Sie auf Wunsch einen Menschen an.
• Speichern Sie nur die nötigen Daten und löschen Sie Chats und Bestellungen nach einem festen Löschkonzept.
• Schulen Sie Ihr Team, im Chat keine sensiblen Daten wie Gesundheitsangaben oder vollständige Kartennummern abzufragen.

Frequently asked questions

Ist WhatsApp Business DSGVO-konform?

Es lässt sich konform nutzen. Die WhatsApp Business Platform (API) vermeidet das Hauptproblem der Handy-Apps — das Hochladen des Adressbuchs —, aber Sie brauchen trotzdem eine Rechtsgrundlage, eine Einwilligung für Werbung und eine Datenschutzerklärung, die WhatsApp abdeckt.

Brauche ich eine Einwilligung, um einem Kunden auf WhatsApp zu antworten?

Einem Kunden zu antworten, der Sie zu einem Produkt, einer Bestellung oder einem Termin kontaktiert hat, ist in der Regel als (vor-)vertragliche Kommunikation abgedeckt. Werbenachrichten brauchen eine ausdrückliche vorherige Einwilligung.

Muss ich angeben, dass ein Chatbot antwortet?

Ja. Nach dem EU AI Act müssen Menschen seit dem 2. August 2026 darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Ein Satz in der ersten Antwort genügt.

Dürfen meine Mitarbeitenden WhatsApp auf dem eigenen Handy für Kunden nutzen?

Das ist die riskanteste Variante, weil die App das Adressbuch des Handys mit WhatsApp teilt. Nutzen Sie stattdessen die API mit einem gemeinsamen Posteingang.

Ist das eine Rechtsberatung?

Nein. Es ist ein allgemeiner Überblick. Für Ihr Unternehmen sprechen Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt.