WhatsApp Business und DSGVO: Was Unternehmen beachten müssen

Die kostenlose WhatsApp-Business-App auf dem Diensthandy ist für Unternehmen datenschutzrechtlich heikel, vor allem weil sie Zugriff auf das Adressbuch verlangt und eine saubere Trennung von Kundendaten erschwert. Datenschutzfreundlicher ist die WhatsApp Business Platform (API), die über einen Dienstleister an Ihre Systeme angebunden wird. Entscheidend sind außerdem Einwilligung für Werbenachrichten, ein Auftragsverarbeitungsvertrag und klare Löschregeln.

Warum WhatsApp im Unternehmen überhaupt ein Thema ist

Viele Kundinnen und Kunden nutzen WhatsApp täglich und schreiben lieber eine Nachricht, als in einer Warteschleife zu hängen. Für Unternehmen ist das eine Chance: Fragen lassen sich asynchron beantworten, Fotos von Schäden oder Unterlagen kommen direkt an, Terminbestätigungen werden gelesen.

Gleichzeitig ist WhatsApp ein Dienst des US-Konzerns Meta. Damit stellen sich Fragen zu Datenübermittlung, Zugriff auf Kontakte und Kontrolle über Kundendaten. Die Antwort hängt stark davon ab, welche Variante von WhatsApp Sie nutzen.

App oder API: der entscheidende Unterschied

Es gibt drei Varianten, die oft durcheinandergeworfen werden:

• WhatsApp (privat): die normale App. Für geschäftliche Kommunikation ungeeignet.
• WhatsApp-Business-App: kostenlos, läuft auf einem Smartphone, bietet Firmenprofil, Schnellantworten und Labels. Gedacht für sehr kleine Betriebe.
• WhatsApp Business Platform (API): die Schnittstelle für Unternehmen. Sie wird nicht über eine App bedient, sondern über ein Kundenservice-Tool, ein CRM oder einen Chat-Assistenten angebunden, meist über einen Dienstleister.

Datenschutzrechtlich ist die API die deutlich sauberere Wahl: Kein Adressbuch wird hochgeladen, mehrere Mitarbeitende arbeiten an einem gemeinsamen Postfach, Nachrichten lassen sich in Ihre Systeme übernehmen und nach festen Regeln löschen. Was eine API grundsätzlich ist, erklärt unser Glossar.

Das Problem mit dem Adressbuch

Die WhatsApp-App gleicht regelmäßig die Telefonnummern im Adressbuch des Smartphones mit Meta ab – auch die von Personen, die WhatsApp gar nicht nutzen. Für ein Unternehmen bedeutet das: Kundendaten werden ohne Rechtsgrundlage an Dritte übermittelt.

Wer trotzdem mit der Business-App arbeitet, sollte zumindest:

• ein eigenes Diensthandy ohne private Kontakte nutzen,
• den Kontaktzugriff der App in den Systemeinstellungen verweigern,
• keine Kundendaten im Adressbuch des Geräts speichern.

Das reduziert das Risiko, löst aber nicht alle Probleme: Chatverläufe liegen auf einem einzelnen Gerät, Vertretungen sind schwierig, und beim Verlust des Handys sind Daten im Zweifel weg.

Einwilligung: Wann Sie schreiben dürfen

Grundregel: Wenn der Kunde Ihnen zuerst schreibt, dürfen Sie antworten. Für Nachrichten, die Sie von sich aus versenden, gilt:

• Service-Nachrichten wie Terminbestätigungen oder Statusmeldungen setzen voraus, dass der Kunde diesem Kanal zugestimmt hat – etwa bei der Terminbuchung.
• Werbung und Newsletter per WhatsApp brauchen eine ausdrückliche, nachweisbare Einwilligung. Ohne sie drohen Abmahnungen.
• Jede Einwilligung muss sich jederzeit widerrufen lassen, zum Beispiel mit einem einfachen „Stopp“.

Auch Meta selbst stellt Regeln auf: Über die Business Platform dürfen Unternehmen außerhalb eines aktiven Kundengesprächs nur vorab freigegebene Nachrichtenvorlagen verschicken. Für bestimmte Nachrichtenarten berechnet Meta Gebühren.

Auftragsverarbeitung und Datenübermittlung

Bei der Business Platform tritt Meta für die Nachrichtenübermittlung als Auftragsverarbeiter auf, ebenso der Dienstleister, über den Sie die Schnittstelle nutzen. Prüfen Sie deshalb:

• ob mit dem Dienstleister ein Vertrag zur Auftragsverarbeitung besteht,
• wo der Dienstleister Nachrichten speichert,
• auf welcher Grundlage Daten in die USA übermittelt werden; für zertifizierte US-Unternehmen gibt es derzeit einen Angemessenheitsbeschluss der EU-Kommission,
• welche Löschfristen gelten.

Ergänzen Sie außerdem Ihre Datenschutzerklärung um einen Abschnitt zur Kommunikation per WhatsApp. Grundlagen zur DSGVO finden Sie im Glossar.

Praxisregeln für den Kundenservice

Damit WhatsApp im Alltag sicher und effizient läuft, helfen ein paar klare Regeln:

• Keine sensiblen Daten wie Bankverbindungen, Ausweiskopien oder Gesundheitsdaten per WhatsApp anfordern; dafür gibt es sichere Upload-Wege.
• Antwortzeiten kommunizieren: etwa „Wir antworten werktags innerhalb unserer Geschäftszeiten“. Niemand erwartet eine Antwort um 23 Uhr – wenn Sie es nicht versprechen.
• Zuständigkeiten festlegen: Wer bearbeitet das gemeinsame Postfach, wer vertritt?
• Ablage regeln: Wichtige Informationen gehören ins CRM oder in die Kundenakte, nicht nur in den Chatverlauf.
• Löschen nach Plan: Abgeschlossene Chats nach einer festgelegten Frist entfernen.

Viele Anfragen wiederholen sich. Ein Chat-Assistent kann Standardfragen sofort beantworten und den Rest strukturiert an das Team übergeben – ähnlich wie ein KI-Telefonassistent am Telefon.

Alternativen und Ergänzungen zu WhatsApp

WhatsApp ist nicht der einzige Weg, Kunden schnell schriftlich zu erreichen. Je nach Zielgruppe kommen auch andere Kanäle infrage:

• Kontaktformular mit Rückrufbitte auf der Website – datenschutzrechtlich einfach, aber weniger direkt.
• Chat auf der Website, etwa als Teil eines CRM oder Kundenservice-Tools. Die Daten bleiben in Ihrem System.
• SMS für Terminbestätigungen – erreicht jeden, ist aber einseitig und bietet keine Bilder.
• E-Mail mit klaren Antwortzeiten – für ausführliche Anfragen und Unterlagen weiterhin der Standard im B2B.

In der Praxis ergänzen sich die Kanäle. Entscheidend ist, dass alle Anfragen an einem Ort zusammenlaufen, idealerweise im CRM, und niemand mehrere Postfächer parallel im Blick behalten muss.

Für wen sich der Aufwand lohnt

Ein Betrieb mit wenigen WhatsApp-Kontakten im Monat kommt mit einem sauber eingerichteten Diensthandy aus, sofern die Regeln oben eingehalten werden. Legen Sie auch dann schriftlich fest, wer das Gerät nutzt, wie Chats gesichert werden und was bei Verlust oder Personalwechsel passiert. Sobald mehrere Mitarbeitende Nachrichten bearbeiten, Kundendaten ins CRM sollen oder Sie Terminbestätigungen automatisiert versenden möchten, ist die Business Platform die bessere Wahl. Sie ist auch dann sinnvoll, wenn Sie einen Chat-Assistenten einsetzen wollen, der Fragen außerhalb der Geschäftszeiten beantwortet.

Der Umstieg von der App auf die Business Platform ist mit derselben Telefonnummer möglich, erfordert aber eine Registrierung über Meta und einen Anbieter für die Schnittstelle. Planen Sie dafür etwas Vorlauf ein. Beachten Sie außerdem, dass eine Nummer, die über die Business Platform läuft, nicht gleichzeitig in der WhatsApp-App auf dem Smartphone genutzt werden kann – das Team arbeitet dann ausschließlich über das angebundene Postfach oder CRM.