- Die private WhatsApp App ist im Unternehmenseinsatz grundsätzlich nicht DSGVO-konform — sie überträgt automatisch alle Kontakte an Meta-Server in den USA
- Die kostenlose WhatsApp Business App ist besser, aber ebenfalls nicht vollständig DSGVO-konform — der AV-Vertrag gilt als unzureichend
- Einzig die WhatsApp Business API über einen zertifizierten Business Solution Provider (BSP) wie Superchat ermöglicht rechtssicheren Einsatz
- 2026 kommen neue Anforderungen: DSA-Transparenzpflichten für WhatsApp Channels, EU AI Act Kennzeichnungspflicht für KI-Chatbots
- Bußgelder sind real: Die Landesbeauftragte NRW prüft aktuell ein Verfahren gegen ein Taxiunternehmen wegen WhatsApp-Nutzung in Gruppen (März 2026)
60 Millionen Menschen nutzen WhatsApp täglich in Deutschland. Für Unternehmen ist das eine enorme Reichweite — und gleichzeitig ein datenschutzrechtliches Minenfeld. Die Frage "Darf ich WhatsApp im Unternehmen einsetzen?" hat eine klare Antwort: Ja, aber nicht mit jeder Variante und nicht ohne die richtigen Maßnahmen.
Dieser Artikel erklärt den Stand 2026 — was erlaubt ist, was verboten ist und was Sie konkret tun müssen.
Warum WhatsApp und DSGVO ein komplexes Thema sind
WhatsApp gehört seit 2014 zum Meta-Konzern mit Hauptsitz in den USA. Das erzeugt aus europäischer Datenschutzperspektive sofort das erste Problem: Datentransfer in ein Drittland ohne ausreichenden Schutz.
Dazu kommen fünf konkrete Datenschutzprobleme der Standard-App:
1. Automatischer Kontaktabgleich: Bei der Installation will WhatsApp Zugriff auf das gesamte Adressbuch. Alle gespeicherten Kontakte werden auf Meta-Server hochgeladen — auch Personen, die WhatsApp gar nicht nutzen und deren Daten Sie nie weitergeben durften.
2. Metadatenverarbeitung: WhatsApp verarbeitet auch ohne Nachrichteninhalte umfangreiche Metadaten: wer mit wem kommuniziert, wann, wie oft, von welchem Gerät, aus welchem Netzwerk. Daraus entstehen detaillierte Nutzungsprofile.
3. Drittlandtransfer: Daten werden an Meta-Unternehmen in den USA übermittelt. Rechtsgrundlage ist seit 2023 das EU-US Data Privacy Framework — aber EU-Server-Hosting durch einen BSP schafft eine zusätzliche Schutzebene.
4. Fehlende Rechtsgrundlage: Ohne ausdrückliche Einwilligung der Kontaktpersonen für die Datenübertragung gibt es keine DSGVO-konforme Rechtsgrundlage für den Kontaktabgleich.
5. Kein vollständiger AV-Vertrag: Den nach Art. 28 DSGVO zwingend erforderlichen Auftragsverarbeitungsvertrag bietet WhatsApp für die Business App an — er gilt von Datenschutzexperten allerdings als unzureichend.
Die drei WhatsApp-Varianten im DSGVO-Check
| Private WhatsApp App | WhatsApp Business App | WhatsApp Business API (via BSP) | |
|---|---|---|---|
| DSGVO-Konformität | ❌ Nicht konform | ⚠️ Eingeschränkt konform | ✅ Konform möglich |
| AV-Vertrag möglich | ❌ Nein | ⚠️ Unzureichend | ✅ Ja, vollständig |
| Kontaktabgleich | ❌ Zwingend | ❌ Standardmäßig aktiv | ✅ Kein Zugriff auf Adressbuch |
| Opt-in erforderlich | ✅ Ja | ✅ Ja | ✅ Ja |
| EU-Server-Hosting | ❌ Nein | ❌ Nein | ✅ Möglich (via BSP) |
| Für Unternehmen empfohlen | ❌ Nein | ⚠️ Nur für Kleinstunternehmen | ✅ Ja |
Klartext: Die private App hat im professionellen Unternehmenseinsatz nichts verloren. Die Business App ist tolerierbar für sehr kleine Betriebe mit überschaubarem Nachrichtenvolumen — aber sie bleibt ein Risiko. Die einzige rechtssichere Lösung ist die API.
Das Risiko ist real: Aktuelle Fälle 2026
- NRW-Bußgeldverfahren (März 2026): Die Landesbeauftragte für Datenschutz Nordrhein-Westfalen hat ein Taxiunternehmen untersagt, WhatsApp-Gruppen für die Fahrtorganisation zu nutzen, und prüft ein Bußgeld. In den Gruppen wurden Fotos von Personalausweisen, Schwerbehindertenausweisen, ärztlichen Rezepten, Klinikname, Termine sowie Namen und Adressen von Patienten geteilt — für alle Fahrer sichtbar. Kritisch: Gesundheitsdaten nach Art. 9 DSGVO, keine Einwilligung, keine Transparenzinformationen.
- EuGH-Entscheidung (Februar 2026): WhatsApp hat vor dem EuGH einen Prozesskieg gegen das 225-Millionen-Euro-Bußgeld der irischen Datenschutzkommission errungen — nicht inhaltlich, sondern formal. Das EuG muss den Fall jetzt inhaltlich prüfen. Das zeigt: Die Aufsichtsbehörden agieren aktiv, und die Rechtslagen sind komplex aber ernst.
- Hamburger Aufsichtsbehörde: Prüft regelmäßig, wie Unternehmen WhatsApp im Arbeitsalltag einsetzen. Bei Beschwerden wird nachgehakt, ob ein AV-Vertrag vorliegt und ob Mitarbeitende geschult sind.
WhatsApp im Unternehmen DSGVO-konform nutzen: Die 5-Punkte-Checkliste
1. WhatsApp Business API über einen zertifizierten BSP nutzen
Die einzige technisch saubere Lösung: Die API greift nicht auf das Adressbuch zu. Sie verarbeitet ausschließlich Daten von Kontakten, die explizit Opt-in gegeben haben. Superchat ist von Meta zertifizierter BSP, hostet Daten auf deutschen Servern und stellt einen vollständigen AV-Vertrag bereit.
2. AV-Vertrag abschließen (Art. 28 DSGVO)
Vor dem ersten Kundencontact muss ein Auftragsverarbeitungsvertrag mit dem BSP bestehen. Dieser regelt: welche Daten verarbeitet werden, auf welcher Rechtsgrundlage, mit welcher Speicherdauer und wie gelöscht wird. Bei Superchat ist dieser Vertrag Bestandteil des Onboardings.
3. Opt-in dokumentieren (Art. 6 Abs. 1 lit. a DSGVO)
Sie dürfen einen Kunden nur dann über WhatsApp kontaktieren, wenn dieser vorab ausdrücklich eingewilligt hat. Empfohlen wird ein Double-Opt-in:
- Kunde trägt seine Nummer in ein Formular ein
- Bestätigung durch eine eingehende WhatsApp-Nachricht des Kunden
So liegt ein "eindeutig bestätigendes Handeln" vor. Opt-ins müssen dokumentiert und abrufbar sein. Achtung: Eine bereits vorliegende Telefonnummer aus dem CRM oder einer Visitenkarte berechtigt nicht zur WhatsApp-Kontaktaufnahme ohne separate Einwilligung.
4. Datenschutzerklärung anpassen
Auf Ihrer Website muss die WhatsApp-Nutzung in der Datenschutzerklärung benannt sein. Pflichtangaben:
- Zweck der Verarbeitung
- Rechtsgrundlage (i.d.R. Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO)
- Empfänger (Meta Ireland Ltd., ggf. BSP)
- Drittlandtransfer in die USA und dessen Rechtsgrundlage (EU-US Data Privacy Framework)
- Speicherdauer und Löschfristen
- Hinweis auf Widerrufsrecht
5. Löschkonzept und Mitarbeiterschulung
Löschkonzept: Definieren Sie, wann Chatverläufe und Kontaktdaten gelöscht werden. Ohne Löschkonzept verstoßen Sie gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).
Mitarbeiterschulung: Mitarbeitende müssen wissen, was über WhatsApp kommuniziert werden darf:
- Keine Gesundheitsdaten, Finanzdaten, Personalakteninhalte
- Keine Fotos von Ausweisen oder sensiblen Dokumenten
- Keine privaten Handynummern für Kundenkommunikation nutzen
Neue Anforderungen 2026
DSA: WhatsApp Channels als Very Large Online Platform
Seit Januar 2026 stuft die EU WhatsApp Channels unter dem Digital Services Act (DSA) als "Very Large Online Platform" ein. Für Unternehmen, die Channels für Business-Marketing nutzen, gelten verschärfte Transparenz- und Meldepflichten. Wer bisher Channels genutzt hat ohne die neuen Anforderungen zu kennen, sollte seine Nutzung prüfen.
EU AI Act: Kennzeichnungspflicht für KI-Chatbots
Seit August 2024 gilt der EU AI Act, mit Übergangszeiträumen bis 2026. Für WhatsApp-Chatbots gilt ab 2026 verbindlich: Nutzer müssen erkennen können, dass sie mit einer KI kommunizieren (Art. 50 EU AI Act).
Hier ein Beispiel für die praktische Umsetzung:
"Hallo, ich bin [Name], der KI-Assistent von [Unternehmen].
Ich beantworte Ihre Fragen automatisch. Bei komplexen
Anfragen verbinde ich Sie gerne mit einem Mitarbeitenden."
Was bei Verstößen droht
DSGVO-Verstöße im Zusammenhang mit WhatsApp können zu folgenden Konsequenzen führen:
- Bußgelder: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Für KMUs realistischer: fünf- bis sechsstellige Beträge bei nachgewiesenen Verstößen.
- Abmahnungen: Wettbewerber und Verbraucherschutzverbände können wegen fehlender DSGVO-konformer Einwilligung abmahnen.
- Schadensersatz: Betroffene haben nach Art. 82 DSGVO das Recht auf Schadensersatz bei nachgewiesenem Schaden durch Datenschutzverstöße.
- Untersagungsverfügungen: Aufsichtsbehörden können die WhatsApp-Nutzung untersagen — wie im NRW-Taxifall geschehen.
WhatsApp im Unternehmen: Diese Fehler passieren am häufigsten
Fehler 1: Private Handy des Mitarbeiters für Kundenkommunikation
Private WhatsApp-Accounts von Mitarbeitenden dürfen nicht für geschäftliche Kundenkommunikation genutzt werden. Kein Opt-in möglich, kein AV-Vertrag, keine Löschkontrolle.
Fehler 2: Kundennummern aus dem CRM direkt anschreiben
Nur weil eine Telefonnummer im CRM steht, darf diese nicht ohne separate WhatsApp-Einwilligung für Nachrichten genutzt werden.
Fehler 3: Sensible Daten in Gruppen teilen
Gruppen sind grundsätzlich ungeeignet für sensible Kundendaten — alle Mitglieder sehen alle Nachrichten, eine selektive Löschung ist nicht möglich.
Fehler 4: Kein Opt-out-Hinweis
Jeder Kunde, der sich in WhatsApp-Kommunikation eingewilligt hat, muss jederzeit und einfach widersprechen können. Dieser Hinweis muss in jeder Marketing-Nachricht enthalten sein.
Fehler 5: WhatsApp Business App auf dem Firmenhandy ohne MDM
Wenn die Business App auf einem Dienstgerät läuft, auf dem auch Mitarbeiterkontakte gespeichert sind, entsteht ein Datenmischungsproblem. Ohne Mobile Device Management (MDM) und strikte Trennung ist der Einsatz riskant.
Warum Superchat der richtige BSP für deutsche Unternehmen ist
Für DSGVO-konforme WhatsApp-Nutzung im Unternehmen brauchen Sie einen von Meta zertifizierten Business Solution Provider, der:
- Daten auf EU-Servern (idealerweise Deutschland) verarbeitet
- Einen vollständigen AV-Vertrag nach Art. 28 DSGVO bereitstellt
- Kein Adressbuch-Zugriff auf Smartphones hat
- Opt-in-Prozesse technisch unterstützt und dokumentiert
- Löschkonzepte und Exportfunktionen für Auskunftspflichten bereithält
Superchat erfüllt alle diese Anforderungen, ist von OMR Reviews als bestes WhatsApp-Marketing-Tool 2025 ausgezeichnet worden und betreut über 10.000 Kunden im DACH-Raum.
Häufige Fragen zu WhatsApp im Unternehmen und DSGVO
