WhatsApp Business & DSGVO: Das Wichtigste auf einen Blick
- Die private WhatsApp App ist im Unternehmenseinsatz grundsätzlich nicht DSGVO-konform: Sie überträgt automatisch alle Kontakte an Meta-Server in den USA
- Die kostenlose WhatsApp Business App ist besser, aber ebenfalls nicht vollständig DSGVO-konform, der AV-Vertrag gilt als unzureichend
- Einzig die WhatsApp Business API über einen zertifizierten Business Solution Provider (BSP) wie Superchat ermöglicht rechtssicheren Einsatz
- 2026 kommen neue Anforderungen: DSA-Transparenzpflichten für WhatsApp Channels, EU AI Act Kennzeichnungspflicht für KI-Chatbots
- Bußgelder sind real: Die Landesbeauftragte NRW prüft aktuell ein Verfahren gegen ein Taxiunternehmen wegen WhatsApp-Nutzung in Gruppen (März 2026)
60 Millionen Menschen nutzen WhatsApp täglich in Deutschland (laut WhatsApp, Stand 2024). Für Unternehmen ist das eine enorme Reichweite und gleichzeitig ein datenschutzrechtliches Minenfeld. Die Frage "Darf ich WhatsApp im Unternehmen einsetzen?" hat eine klare Antwort: Ja, aber nicht mit jeder Variante und nicht ohne die richtigen Maßnahmen.
Dieser Artikel erklärt den Stand 2026: was erlaubt ist, was verboten ist und was du konkret tun musst.
Warum WhatsApp und DSGVO ein komplexes Thema sind
WhatsApp gehört seit 2014 zum Meta-Konzern mit Hauptsitz in den USA. Das erzeugt aus europäischer Datenschutzperspektive sofort das erste Problem: Datentransfer in ein Drittland ohne ausreichenden Schutz.
Dazu kommen fünf konkrete Datenschutzprobleme der Standard-App:
1. Automatischer Kontaktabgleich: Bei der Installation will WhatsApp Zugriff auf das gesamte Adressbuch. Alle gespeicherten Kontakte werden auf Meta-Server hochgeladen, auch Personen, die WhatsApp gar nicht nutzen und deren Daten du nie weitergeben durftest.
2. Metadatenverarbeitung: WhatsApp verarbeitet auch ohne Nachrichteninhalte umfangreiche Metadaten: wer mit wem kommuniziert, wann, wie oft, von welchem Gerät, aus welchem Netzwerk. Daraus entstehen detaillierte Nutzungsprofile.
3. Drittlandtransfer: Daten werden an Meta-Unternehmen in den USA übermittelt. Rechtsgrundlage ist seit dem 10. Juli 2023 der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. EU-Server-Hosting durch einen BSP wie Superchat schafft eine zusätzliche Schutzebene, die über die rechtliche Minimalanforderung hinausgeht.
4. Fehlende Rechtsgrundlage: Ohne ausdrückliche Einwilligung der Kontaktpersonen für die Datenübertragung gibt es keine DSGVO-konforme Rechtsgrundlage für den Kontaktabgleich.
5. Kein vollständiger AV-Vertrag: Den nach Art. 28 DSGVO zwingend erforderlichen Auftragsverarbeitungsvertrag bietet WhatsApp für die Business App an, er gilt von Datenschutzexperten allerdings als unzureichend.
Die drei WhatsApp-Varianten im DSGVO-Check
| Private WhatsApp App | WhatsApp Business App | WhatsApp Business API (via BSP) | |
|---|---|---|---|
| DSGVO-Konformität | ❌ Nicht konform | ⚠️ Eingeschränkt konform | ✅ Konform möglich |
| AV-Vertrag möglich | ❌ Nein | ⚠️ Unzureichend | ✅ Ja, vollständig |
| Kontaktabgleich | ❌ Zwingend | ❌ Standardmäßig aktiv | ✅ Kein Zugriff auf Adressbuch |
| Opt-in erforderlich | ✅ Ja | ✅ Ja | ✅ Ja |
| EU-Server-Hosting | ❌ Nein | ❌ Nein | ✅ Möglich (via BSP) |
| Auskunftsrecht (Art. 15) | ❌ Nicht umsetzbar | ❌ Nicht umsetzbar | ✅ Vollständig umsetzbar |
| Recht auf Löschung (Art. 17) | ❌ Nicht umsetzbar | ❌ Nicht umsetzbar | ✅ Vollständig umsetzbar |
| Widerspruchsrecht (Art. 21) | ❌ Nicht umsetzbar | ❌ Nicht umsetzbar | ✅ Automatisierbar |
| Datenübertragbarkeit (Art. 20) | ❌ Nicht umsetzbar | ❌ Nicht umsetzbar | ✅ Per Export möglich |
| Für Unternehmen empfohlen | ❌ Nein | ⚠️ Nur für Kleinstunternehmen | ✅ Ja |
Klartext: Die private App hat im professionellen Unternehmenseinsatz nichts verloren. Die Business App ist tolerierbar für sehr kleine Betriebe mit überschaubarem Nachrichtenvolumen, aber sie bleibt ein Risiko. Die einzige rechtssichere Lösung ist die API.
Das Risiko ist real: Aktuelle Fälle 2026
NRW-Bußgeldverfahren (März 2026): Die Landesbeauftragte für Datenschutz Nordrhein-Westfalen hat ein Taxiunternehmen untersagt, WhatsApp-Gruppen für die Fahrtorganisation zu nutzen, und prüft ein Bußgeld. In den Gruppen wurden Fotos von Personalausweisen, Schwerbehindertenausweisen, ärztlichen Rezepten, Klinikname, Termine sowie Namen und Adressen von Patienten geteilt, für alle Fahrer sichtbar. Kritisch: Gesundheitsdaten nach Art. 9 DSGVO, keine Einwilligung, keine Transparenzinformationen.
EuGH-Entscheidung (Februar 2026): WhatsApp hat vor dem EuGH einen Prozesserfolg gegen das 225-Millionen-Euro-Bußgeld der irischen Datenschutzkommission errungen, nicht inhaltlich, sondern formal. Das EuG muss den Fall jetzt inhaltlich prüfen. Das zeigt: Die Aufsichtsbehörden agieren aktiv, und die Rechtslage ist komplex, aber ernst.
Hamburger Aufsichtsbehörde: Prüft regelmäßig, wie Unternehmen WhatsApp im Arbeitsalltag einsetzen. Bei Beschwerden wird nachgehakt, ob ein AV-Vertrag vorliegt und ob Mitarbeitende geschult sind.
WhatsApp im Unternehmen DSGVO-konform nutzen: Die 5-Punkte-Checkliste
1. WhatsApp Business API über einen zertifizierten BSP nutzen
Die einzige technisch saubere Lösung: Die API greift nicht auf das Adressbuch zu. Sie verarbeitet ausschließlich Daten von Kontakten, die explizit Opt-in gegeben haben. Superchat ist von Meta zertifizierter BSP, hostet Daten auf deutschen Servern und stellt einen vollständigen AV-Vertrag bereit.
2. AV-Vertrag abschließen (Art. 28 DSGVO)
Vor dem ersten Kundenkontakt muss ein Auftragsverarbeitungsvertrag mit dem BSP bestehen. Dieser regelt: welche Daten verarbeitet werden, auf welcher Rechtsgrundlage, mit welcher Speicherdauer und wie gelöscht wird. Bei Superchat ist dieser Vertrag Bestandteil des Onboardings.
3. Opt-in dokumentieren (Art. 6 Abs. 1 lit. a DSGVO)
Du darfst einen Kunden nur dann über WhatsApp kontaktieren, wenn dieser vorab ausdrücklich eingewilligt hat. Empfohlen wird ein Double-Opt-in:
- Kunde trägt seine Nummer in ein Formular ein
- Bestätigung durch eine eingehende WhatsApp-Nachricht des Kunden
So liegt ein "eindeutig bestätigendes Handeln" vor. Opt-ins müssen dokumentiert und abrufbar sein. Achtung: Eine bereits vorliegende Telefonnummer aus dem CRM oder einer Visitenkarte berechtigt nicht zur WhatsApp-Kontaktaufnahme ohne separate Einwilligung.
4. Datenschutzerklärung anpassen
Auf deiner Website muss die WhatsApp-Nutzung in der Datenschutzerklärung benannt sein. Pflichtangaben:
- Zweck der Verarbeitung
- Rechtsgrundlage (i.d.R. Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO)
- Empfänger (Meta Ireland Ltd., ggf. BSP)
- Drittlandtransfer in die USA und dessen Rechtsgrundlage (EU-US Data Privacy Framework)
- Speicherdauer und Löschfristen
- Hinweis auf Widerrufsrecht
5. Löschkonzept und Mitarbeiterschulung
Löschkonzept: Definiere, wann Chatverläufe und Kontaktdaten gelöscht werden. Ohne Löschkonzept verstößt du gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).
Mitarbeiterschulung: Mitarbeitende müssen wissen, was über WhatsApp kommuniziert werden darf:
- Keine Gesundheitsdaten, Finanzdaten, Personalakteninhalte
- Keine Fotos von Ausweisen oder sensiblen Dokumenten
- Keine privaten Handynummern für Kundenkommunikation nutzen
Neue Anforderungen 2026
DSA: WhatsApp Channels als Very Large Online Platform
Seit Januar 2026 stuft die EU WhatsApp Channels unter dem Digital Services Act (DSA) als "Very Large Online Platform" ein. Für Unternehmen, die Channels für Business-Marketing nutzen, gelten verschärfte Transparenz- und Meldepflichten. Wer bisher Channels genutzt hat, ohne die neuen Anforderungen zu kennen, sollte seine Nutzung prüfen.
EU AI Act: Kennzeichnungspflicht für KI-Chatbots
Seit August 2024 gilt der EU AI Act, mit Übergangszeiträumen bis 2026. Für WhatsApp-Chatbots gilt ab 2026 verbindlich: Nutzer müssen erkennen können, dass sie mit einer KI kommunizieren (Art. 50 EU AI Act).
Hier ein Beispiel für die praktische Umsetzung:
"Hallo, ich bin [Name], der KI-Assistent von [Unternehmen].
Ich beantworte Ihre Fragen automatisch. Bei komplexen
Anfragen verbinde ich Sie gerne mit einem Mitarbeitenden."
Seit dem 15. Januar 2026 verbietet Meta den Einsatz generischer KI-Chatbots auf der WhatsApp Business API. Betroffen sind Chatbots, deren Hauptzweck auf künstlicher Intelligenz oder maschinellem Lernen basiert, etwa ChatGPT, Perplexity oder Claude als eigenständige WhatsApp-Assistenten.
Erlaubt bleiben aufgabenbezogene Automatisierungen: Chatbots, die einen klar definierten Geschäftszweck verfolgen. Dazu gehören Bestellstatus-Abfragen, Terminbuchungen, FAQ-Beantwortung oder Support-Anfragen.
Der KI-Telefonassistent und die KI-Agenten von Superchat sind aufgabenbezogene Automatisierungen. Sie beantworten konkrete Kundenanfragen zu deinem Unternehmen und verarbeiten nur die Daten, die dafür nötig sind. Damit erfüllen sie Metas neue Richtlinie.
DMA: Interoperabilität mit Dritt-Messengern
Durch den Digital Markets Act (DMA) muss WhatsApp seit Herbst 2025 für Drittanbieter-Messenger interoperabel sein. Die ersten Dienste (BirdyChat und Haiket) sind bereits angebunden. Kunden können dir potenziell auch über andere Messenger-Apps schreiben.
Für den Datenschutz bedeutet das: Die Ende-zu-Ende-Verschlüsselung (das Signal-Protokoll bleibt Pflicht) muss bei der Übergabe an Dritt-Apps technisch sauber umgesetzt werden. Nutzer müssen aktiv per Opt-in zustimmen, bevor Nachrichten über Dritt-Apps laufen.
Für Unternehmen, die über die WhatsApp Business API kommunizieren, ändert sich zunächst wenig. Die API-Infrastruktur bleibt getrennt von der Interoperabilitäts-Funktion für Endverbraucher. Trotzdem ist es sinnvoll, die Entwicklung im Blick zu behalten.
Was bei Verstößen droht
DSGVO-Verstöße im Zusammenhang mit WhatsApp können zu folgenden Konsequenzen führen:
Bußgelder: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Für KMUs realistischer: fünf- bis sechsstellige Beträge bei nachgewiesenen Verstößen.
Abmahnungen: Wettbewerber und Verbraucherschutzverbände können wegen fehlender DSGVO-konformer Einwilligung abmahnen.
Schadensersatz: Betroffene haben nach Art. 82 DSGVO das Recht auf Schadensersatz bei nachgewiesenem Schaden durch Datenschutzverstöße. Deutsche Gerichte sprechen zunehmend immateriellen Schadensersatz zu. Laut aktueller Rechtsprechung (OLG München, Dezember 2025, Az. 14 U 881/25) können bei rechtswidrigem Tracking 250 bis 750 Euro pro betroffenem Kontakt fällig werden. Für ein KMU mit 500 Kundenkontakten ergibt das ein Risiko von 125.000 bis 375.000 Euro.
Untersagungsverfügungen: Aufsichtsbehörden können die WhatsApp-Nutzung untersagen, wie im NRW-Taxifall geschehen.
WhatsApp im Unternehmen: Diese Fehler passieren am häufigsten
Fehler 1: Privates Handy des Mitarbeiters für Kundenkommunikation
Private WhatsApp-Accounts von Mitarbeitenden dürfen nicht für geschäftliche Kundenkommunikation genutzt werden. Kein Opt-in möglich, kein AV-Vertrag, keine Löschkontrolle.
Fehler 2: Kundennummern aus dem CRM direkt anschreiben
Nur weil eine Telefonnummer im CRM steht, darf diese nicht ohne separate WhatsApp-Einwilligung für Nachrichten genutzt werden.
Fehler 3: Sensible Daten in Gruppen teilen
Gruppen sind grundsätzlich ungeeignet für sensible Kundendaten, alle Mitglieder sehen alle Nachrichten, eine selektive Löschung ist nicht möglich.
Fehler 4: Kein Opt-out-Hinweis
Jeder Kunde, der in WhatsApp-Kommunikation eingewilligt hat, muss jederzeit und einfach widersprechen können. Dieser Hinweis muss in jeder Marketing-Nachricht enthalten sein.
Fehler 5: WhatsApp Business App auf dem Firmenhandy ohne MDM
Wenn die Business App auf einem Dienstgerät läuft, auf dem auch Mitarbeiterkontakte gespeichert sind, entsteht ein Datenmischungsproblem. Ohne Mobile Device Management (MDM) und strikte Trennung ist der Einsatz riskant.
Branchenspezifische Anforderungen
Gesundheitswesen: Ärzte, Apotheker und Pflegekräfte unterliegen der Schweigepflicht nach Paragraph 203 StGB. Die Nutzung der normalen WhatsApp App für Patientenkommunikation ist kein reines DSGVO-Problem, sondern ein potenzieller Straftatbestand. Die App erstellt Metadaten-Profile und synchronisiert Kontaktdaten mit Meta-Servern. Beides ist mit ärztlicher Schweigepflicht unvereinbar.
Die WhatsApp Business API über einen BSP wie Superchat löst dieses Problem: kein Adressbuch-Zugriff, keine Metadaten-Profile, volle Kontrolle über die Datenverarbeitung. Für Arztpraxen und Kliniken ist das die einzige rechtskonforme Option, wenn WhatsApp als Kommunikationskanal genutzt werden soll.
Bildungseinrichtungen: Die Datenschutzkonferenz (DSK) empfiehlt, die WhatsApp App im Schulbetrieb nicht einzusetzen. Lehrkräfte, die über ihre private App Eltern kontaktieren, übertragen dabei auch Kontaktdaten unbeteiligter Dritter an Meta. Auch Fahrschulen, Nachhilfeinstitute und Sprachschulen unterliegen denselben DSGVO-Anforderungen.
Für Bildungsanbieter gilt: Wer WhatsApp für Terminabsprachen oder Kursinfos nutzen will, braucht die API-Lösung mit eigenem AV-Vertrag und dokumentiertem Opt-in.
Alternativen zu WhatsApp
Nicht für jedes Unternehmen ist WhatsApp der richtige Kanal. Diese Alternativen sind grundsätzlich DSGVO-konform:
- Threema Work: Schweizer Messenger, Open Source, kein Adressbuch-Zugriff, Server in der Schweiz. Gut für interne Kommunikation und Branchen mit hohen Sicherheitsanforderungen.
- Signal: Ende-zu-Ende-verschlüsselt, keine Metadatenverarbeitung, Open Source. Einschränkung: keine Business-API, keine Automatisierungen, keine zentrale Inbox.
- Wire: Schweizer Anbieter mit EU-Hosting, bietet eine Business-Variante mit Team-Funktionen.
Der Nachteil aller Alternativen: Die Reichweite fehlt. 60 Millionen Menschen in Deutschland nutzen WhatsApp täglich. Signal, Threema und Wire zusammen kommen auf einen Bruchteil davon. Wer Kunden dort erreichen will, wo sie bereits kommunizieren, kommt an WhatsApp nicht vorbei, braucht aber die API-Lösung eines zertifizierten BSP.
Warum Superchat der richtige BSP für deutsche Unternehmen ist
Für DSGVO-konforme WhatsApp-Nutzung im Unternehmen brauchst du einen von Meta zertifizierten Business Solution Provider (BSP), der:
- Daten auf EU-Servern (idealerweise Deutschland) verarbeitet
- Einen vollständigen AV-Vertrag nach Art. 28 DSGVO bereitstellt
- Kein Adressbuch-Zugriff auf Smartphones hat
- Opt-in-Prozesse technisch unterstützt und dokumentiert
- Löschkonzepte und Exportfunktionen für Auskunftspflichten bereithält
Superchat erfüllt alle diese Anforderungen, ist von OMR Reviews als bestes WhatsApp-Marketing-Tool 2025 ausgezeichnet worden und betreut über 10.000 Kunden im DACH-Raum.
