← Alle Artikel

WhatsApp Business und DSGVO: So setzen Sie WhatsApp im Unternehmen datenschutzkonform ein

· 12 Min. Lesezeit · WhatsApp Business

Kurze Antwort: Pauschal „DSGVO-konform“ oder „verboten“ ist WhatsApp Business nicht. Entscheidend ist, wie Sie es einsetzen. Die WhatsApp-Business-App auf dem Firmenhandy hat ein klassisches Problem: Wenn Sie den Kontaktabgleich einschalten, werden die Telefonnummern aus dem Adressbuch an WhatsApp übertragen, auch die von Menschen, die nie eingewilligt haben. Die WhatsApp Business Platform (API) arbeitet ohne Handy-Adressbuch, über eine Software, und lässt sich sauberer dokumentieren. In beiden Fällen bleiben Sie als Unternehmen der Verantwortliche: Sie brauchen eine Rechtsgrundlage, eine Datenschutzerklärung, die WhatsApp erwähnt, und Einwilligungen, bevor Sie Kunden anschreiben. Wer mit mehreren Personen antwortet, fährt mit einem gemeinsamen Posteingang, der über die WhatsApp Business API arbeitet, meist besser als mit einem herumgereichten Handy.

Hinweis: Dieser Artikel ist eine praktische Einordnung, keine Rechtsberatung. Für Ihren Einzelfall sprechen Sie mit Ihrem Datenschutzbeauftragten.

Wer ist wofür verantwortlich?

Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zweck und Mittel der Verarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten nur nach dessen Weisung verarbeitet. Für WhatsApp Business heißt das:

  • Ihr Unternehmen ist der Verantwortliche für die Kundendaten, die Sie über WhatsApp verarbeiten. Die WhatsApp Business Data Processing Terms (Stand 22. August 2025) beschreiben genau diese Rollenverteilung: Sie sind Controller, WhatsApp verarbeitet die personenbezogenen Daten in Ihren „Customer Data“ als Ihr Processor.
  • Der Auftragsverarbeitungsvertrag (AV-Vertrag) ist nach Art. 28 DSGVO Pflicht, wenn ein Dienstleister Daten in Ihrem Auftrag verarbeitet. Der Bundesbeauftragte für den Datenschutz (BfDI) fasst zusammen: Die Anforderungen müssen vertraglich festgehalten werden, und der Auftragsverarbeiter darf nur auf Weisung arbeiten. Bei WhatsApp sind die Data Processing Terms dieser Vertrag; Sie stimmen ihnen über die Geschäftsbedingungen zu.
  • WhatsApp verarbeitet daneben eigene Daten, etwa Konto-, Nutzungs- und Diagnosedaten, für eigene Zwecke und kann sie mit anderen Meta-Unternehmen teilen. Das steht so in den Business-App-Bedingungen und gehört in Ihre Datenschutzerklärung.
  • Unterauftragsverarbeiter und Drittland: Laut den Data Processing Terms setzt WhatsApp andere Meta-Unternehmen und Dritte als Unterauftragsverarbeiter ein. Die Verarbeitung kann auch außerhalb der EU stattfinden, ausdrücklich genannt werden die USA. Für Verträge mit WhatsApp Ireland Limited gilt ein eigener Business Data Transfer Addendum.

Wichtig: Nutzen Sie die API über eine Software, ist dieser Anbieter ebenfalls Auftragsverarbeiter. Fragen Sie also jeden Softwareanbieter, über den Ihre WhatsApp-Nachrichten laufen, nach einem AV-Vertrag.

Das Adressbuch-Problem der WhatsApp-Business-App

Der häufigste Grund, warum Datenschützer bei WhatsApp skeptisch sind, ist der Kontaktabgleich. WhatsApp beschreibt ihn in seinen Informationen für Nicht-Nutzer (gültig ab 22. Oktober 2026) offen:

  • Wer den Kontakt-Upload einschaltet, lädt die Telefonnummern aus dem Adressbuch des Geräts regelmäßig auf die Server von WhatsApp, typischerweise täglich.
  • Das betrifft auch Nummern von Menschen, die WhatsApp gar nicht nutzen.
  • Bei Nicht-Nutzern speichert WhatsApp nach eigener Aussage nicht die Nummer selbst, sondern einen kryptografischen Hashwert; die Rohnummer wird nur wenige Sekunden verarbeitet.
  • Diese Hashwerte können auch außerhalb des EWR gespeichert werden, unter anderem in den USA.

Für ein Unternehmen ist das heikel: Auf dem Firmenhandy stehen oft Lieferanten, Bewerber, Privatkontakte von Mitarbeitenden und Kunden, die nur telefonisch erreichbar sein wollten. Deren Nummern ohne Rechtsgrundlage weiterzugeben, lässt sich schwer begründen.

Was Sie bei der App tun können:

  • Den Kontaktzugriff in den Einstellungen des Betriebssystems verweigern und Kunden nur über Chats führen, die der Kunde selbst begonnen hat.
  • Ein eigenes Firmengerät nutzen, auf dem nur geschäftliche Kontakte gespeichert sind, deren Weitergabe Sie begründen können.
  • Mitarbeitende schriftlich anweisen, keine privaten Nummern auf dem Gerät zu speichern.

Das senkt das Risiko, löst aber nicht alles: Die App bleibt ein Handy, das mehrere Personen teilen, ohne Protokoll, wer welchem Kunden was geschrieben hat.

Warum die API datenschutzrechtlich einfacher ist

Die WhatsApp Business Platform ist keine App, sondern eine Schnittstelle, die Sie über eine Software nutzen. Für die DSGVO hat das mehrere Vorteile:

  • Kein Handy-Adressbuch. Es gibt keinen Kontaktabgleich vom Mitarbeiterhandy. Kontakte entstehen, wenn Kunden Ihnen schreiben oder wenn Sie Nummern mit Einwilligung anlegen.
  • Personengebundene Zugänge. Jede Person meldet sich mit einem eigenen Konto an. Damit können Sie Zugriffe regeln und nachvollziehen, wer ein Gespräch bearbeitet hat; das hilft bei der Zugriffskontrolle und bei Auskunftsanfragen.
  • Speicherort wählbar. Meta bietet für die Cloud API „Local Storage“ an: Pro Telefonnummer kann eine Region gewählt werden, in der Nachrichteninhalte im Ruhezustand gespeichert werden. Laut Meta können Inhalte während der Verarbeitung bis zu 60 Minuten international liegen, und Nummern aus geteilten Kontaktkarten liegen unabhängig davon in Metas Rechenzentren. Welche Regionen aktuell verfügbar sind, nennt die Seite nicht direkt; prüfen Sie das vor der Einrichtung.
  • Eigene Regeln für Opt-in und Opt-out. Die Plattform zwingt zur Disziplin: Nach der WhatsApp Business Messaging Policy (Stand 23. September 2026) dürfen Sie Menschen nur anschreiben, wenn sie Ihnen ihre Nummer gegeben und eingewilligt haben, und Sie müssen jede Bitte respektieren, keine Nachrichten mehr zu erhalten.

Die API ist kein Freifahrtschein. Sie macht es nur leichter, die Pflichten zu erfüllen, die Sie ohnehin haben.

App und API im Datenschutz-Vergleich

  • Adressbuch — WhatsApp-Business-App: Kontakt-Upload vom Gerät, wenn eingeschaltet; WhatsApp Business Platform (API): Kein Handy-Adressbuch
  • Zugänge — WhatsApp-Business-App: Ein Gerät, oft von mehreren geteilt; WhatsApp Business Platform (API): Eigene Logins pro Person in der Software
  • AV-Vertrag — WhatsApp-Business-App: WhatsApp Business Data Processing Terms; WhatsApp Business Platform (API): Data Processing Terms plus AV-Vertrag mit dem Softwareanbieter
  • Speicherort — WhatsApp-Business-App: Keine Wahl; WhatsApp Business Platform (API): Local Storage pro Nummer wählbar (Regionen prüfen)
  • Nachvollziehbarkeit — WhatsApp-Business-App: Kaum: wer hat was geschrieben?; WhatsApp Business Platform (API): Zuweisung und Verlauf je Gespräch, je nach Software
  • Kosten — WhatsApp-Business-App: Kostenlos; WhatsApp Business Platform (API): Gebühr pro gesendeter Nachricht durch Meta, plus Software

Für einen Einzelunternehmer mit wenigen Kunden kann die App mit abgeschaltetem Kontaktzugriff genügen. Sobald mehrere Mitarbeitende antworten, spricht aus Datenschutzsicht vieles für die API.

Checkliste: WhatsApp Business DSGVO-konform nutzen

  1. Variante wählen. App nur ohne Kontaktzugriff oder mit einem reinen Geschäftsadressbuch; bei mehreren Mitarbeitenden besser die API.
  2. AV-Vertrag dokumentieren. WhatsApp Business Data Processing Terms ablegen, dazu den AV-Vertrag Ihres Softwareanbieters.
  3. Datenschutzerklärung ergänzen. Nennen Sie WhatsApp als Kanal, den Zweck (Kundenservice, Bestellinformationen), die Rechtsgrundlage, die Empfänger (WhatsApp/Meta und Ihr Softwareanbieter), den möglichen Drittlandtransfer und die Speicherdauer. Die WhatsApp-Bedingungen verlangen ausdrücklich, dass Sie die nötigen Datenschutzhinweise bereitstellen und Marketingnachrichten kennzeichnen.
  4. Einwilligung einholen, bevor Sie zuerst schreiben. Eine Checkbox im Bestellprozess oder im Kontaktformular, getrennt nach Zweck: Versandinfos sind etwas anderes als Werbung. WhatsApp empfiehlt selbst getrennte Opt-ins je Nachrichtenkategorie.
  5. Abmeldung einfach machen. In Marketingnachrichten klar sagen, wie man sich abmeldet, und Abmeldungen sofort umsetzen.
  6. Zugriffe regeln. Wer darf welche Gespräche sehen? Persönliche Logins statt eines gemeinsamen Geräts.
  7. Speicherdauer festlegen. Wann werden alte Chats gelöscht oder archiviert? Halten Sie es im Verzeichnis der Verarbeitungstätigkeiten fest.
  8. Keine sensiblen Daten anfordern. Ausweisfotos, Gesundheitsdaten oder Bankdaten gehören nicht in einen Chat, wenn es einen sichereren Weg gibt.

Typische Fehler im Alltag

  • Das Chefhandy als Firmen-WhatsApp. Privates und Geschäftliches mischen sich, das Adressbuch wird komplett geteilt, und wenn der Chef im Urlaub ist, antwortet niemand.
  • Massennachrichten ohne Einwilligung. Nur weil eine Nummer in der Kundendatei steht, dürfen Sie dort keine Werbung hinschicken.
  • Kein Ansprechpartner sichtbar. Kunden wissen nicht, an wen sie sich mit einer Auskunfts- oder Löschanfrage wenden sollen.
  • Chats für immer. Ohne Löschkonzept liegen Gespräche jahrelang auf Geräten, die längst andere Mitarbeitende nutzen.

Datenschutz ist nur eine Seite; wie Sie Ihre Kundenkommunikation verbessern, damit Antworten schneller und einheitlicher werden, lesen Sie in einem eigenen Beitrag.

Wie Bombenda dabei hilft

Bombenda verbindet Ihre Nummer mit der WhatsApp Business API, durch die Freigabeschritte bei Meta begleiten wir Sie. Damit entfällt das geteilte Firmenhandy mit seinem Adressbuch: Ihr Team arbeitet mit eigenen Zugängen in einem gemeinsamen Posteingang, in dem auch Instagram, Facebook, E-Mail und Website-Chat ankommen. Gespräche werden Personen oder Teams zugewiesen, so ist klar, wer welchen Kunden betreut. Die KI entwirft Antworten nur aus Ihren eigenen Informationen, und jede Antwort sieht ein Mitarbeiter, bevor sie rausgeht. Die WhatsApp-Gebühren pro Nachricht geben wir zu den Tarifen von Meta ohne Aufschlag weiter. Starter kostet 59 USD im Monat (zzgl. MwSt.).

Die rechtlichen Pflichten aus der Checkliste bleiben bei Ihnen als Verantwortlichem; Bombenda ersetzt keine Datenschutzberatung.

Bombenda ansehen →

Häufige Fragen

Ist WhatsApp Business DSGVO-konform?
Nicht automatisch. Ob Ihr Einsatz DSGVO-konform ist, hängt von Ihnen ab: Rechtsgrundlage, AV-Vertrag, Datenschutzerklärung, Einwilligungen und der Umgang mit dem Adressbuch. Mit der API lassen sich diese Punkte meist leichter umsetzen als mit der App.

Brauche ich für WhatsApp Business einen AV-Vertrag?
Ja, wenn WhatsApp oder ein Softwareanbieter Kundendaten in Ihrem Auftrag verarbeitet. WhatsApp stellt dafür die Business Data Processing Terms bereit; mit Ihrem Softwareanbieter brauchen Sie einen eigenen AV-Vertrag.

Darf ich Kunden auf WhatsApp anschreiben, deren Nummer ich habe?
Nur mit Einwilligung. Die WhatsApp Business Messaging Policy verlangt, dass der Empfänger Ihnen seine Nummer gegeben und zugestimmt hat, von Ihnen auf WhatsApp kontaktiert zu werden. Abmeldungen müssen Sie respektieren.

Quellen: WhatsApp Business Data Processing Terms; WhatsApp Terms for WhatsApp Business App und Business Platform; WhatsApp Business Messaging Policy; WhatsApp, Information for people who don't use WhatsApp; Meta for Developers, Cloud API Local Storage; BfDI zu Auftragsverarbeitern. Stand: 24. Oktober 2026. Keine Rechtsberatung; WhatsApp und Meta können ihre Bedingungen ändern.