Können Unternehmen WhatsApp Business DSGVO-konform nutzen? Anleitung [August 2025]

WhatsApp ist in Deutschland mit Abstand der beliebteste Messenger – insbesondere im privaten Bereich (Quelle: Statista 2022). Doch auch Unternehmen nutzen die Plattform aus vielerlei Gründen zunehmend zur Kundenkommunikation. Mit WhatsApp Business und der WhatsApp Business API bietet Meta (ehemals Facebook) dafür seit einigen Jahren passende Lösungen an. Viele Unternehmen berichten nicht nur im Kundenservice, sondern auch im Marketing von positiven Erfahrungen: Die Öffnungsrate von WhatsApp-Nachrichten liegt bei etwa 98 %, während E-Mails im Schnitt nur auf rund 20 % kommen (Quelle: AiSensy.com).

Im heutigen Wettbewerbsumfeld ist es entscheidend, dort präsent zu sein, wo sich die Zielgruppe ohnehin aufhält. WhatsApp erfüllt genau das – allerdings ist die geschäftliche Nutzung aus rechtlicher Sicht nicht trivial. Denn mit der Datenschutz-Grundverordnung (DSGVO) gelten in Deutschland und der EU klare Regeln im Umgang mit personenbezogenen Daten.

Dieser Artikel zeigt, welche Anforderungen Unternehmen bei der WhatsApp-Nutzung erfüllen müssen und wie sie rechtliche Risiken vermeiden können.

‍

‍

Zu Beginn: Kurze Antworten auf die wichtigsten Fragen

‍

Welche Unternehmen müssen die DSGVO einhalten?

Die DSGVO (Datenschutz-Grundverordnung) muss von allen Unternehmen eingehalten werden, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, ob das Unternehmen in der EU ansässig ist oder nicht. Das schließt sowohl große Konzerne als auch kleine und mittlere Unternehmen sowie Einzelunternehmer ein, sofern sie Daten von Personen in der EU verarbeiten.
‍

‍

Warum sollten Unternehmen die normale WhatsApp Business App nicht nutzen?

Ohne besondere Einstellungen und deutlichen Einschränkungen in der Funktionsweise werden von WhatsApp Metadaten der Nutzer und deren Kontakte erhoben. Dafür braucht es einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Besonders kritisch: WhatsApp greift üblicherweise auf das Adressbuch des Nutzers zu und speichert Nutzerdaten und Chats auf US-Amerikanischen Servern.
‍

‍

Wie können Unternehmen DSGVO-konform über WhatsApp kommunizieren?

Es gibt zwei Möglichkeiten:

1.: Die Nutzung der herkömmlichen WhatsApp Business App mit diversen Einschränkungen und limitierter Funktionsweise (Kontakte aus Adressbuch löschen, die kein WhatsApp installiert haben; Cloud-Backups deaktivieren; Einwilligung der Kunden einholen; Impressum auf WhatsApp verlinken etc...)

2.: Die professionelle WhatsApp Business API Schnittstelle nutzen und von zusätzlichen Funktionen wie z.B. WhatsApp Newsletter, Integrationen, Mitarbeiterzuweisungen, unbegrenzter Geräte- und Nutzeranzahl, automatischen Antworten, etc. profitieren.
‍

‍

Was ist die WhatsApp Business API Schnittstelle?

Die kostenpflichtige WhatsApp Business API ist eine Programmierschnittstelle, mit der Unternehmen direkt auf WhatsApp zugreifen können, ohne die WhatsApp Benutzeroberfläche zu nutzen. Die Software wird i.d.R. von Drittanbietern bereitgestellt und enthält, zumindest bei hellomateo, deutlich mehr Funktionen als die herkömmliche WhatsApp Business Version. Mit der WhatsApp Business API können Kundenservice, Marketing und Unternehmenskommunikation professionell gestaltet und automatisiert werden.

‍

‍

Im Hinblick auf die DSGVO kritisch: WhatsApp erhebt diverse Metadaten

WhatsApp-Chats sind in der Regel Ende-zu-Ende-verschlüsselt. Das bedeutet, dass WhatsApp und der Mutterkonzern Meta Platforms keinen direkten Zugriff auf die Inhalte von Gesprächen wie Texte, Medien und sonstige Daten haben. Unter bestimmten Bedingungen können allerdings Chats auf den Servern von WhatsApp zwischengespeichert werden. Beispielsweise, wenn Nachrichten aufgrund einer fehlenden Internetverbindung des empfangenden Nutzers diesem vorübergehend nicht zugestellt werden können. Auch Backups von in die Cloud hochgeladenen Chatverläufen werden auf WhatsApp Servern gespeichert. Aus datenschutzrechtlicher Sicht sind insbesondere die sogenannten Metadaten relevant, die ebenfalls erfasst und gespeichert werden. Dazu gehören folgende Informationen:

• Smartphone Modell
• Gerätename
• Telefonnummer
• Profilbild
• Profilname
• Profilbeschreibung
• Adressbuch
• Position
• Datum & Uhrzeit

Auch wenn diese Daten auf den ersten Blick keine eindeutigen Informationen über den Inhalt des Gesprächs preisgeben, lassen sich mit Hilfe solcher Informationen relativ aussagekräftige Nutzerprofile erstellen.

‍

‍

Datenschutzrechtliche Probleme bei der Verwendung von WhatsApp Business

‍

1.: Verarbeitung personenbezogener Metadaten

Ein großes Problem ist die bereits erwähnte Nutzung und Verarbeitung von Metadaten durch WhatsApp. Für die Datenverarbeitung personenbezogener Daten bedarf es einer Rechtfertigung auf gesetzlicher Grundlage. Da Dienste wie WhatsApp nicht dem Fernmeldegeheimnis unterliegen, schließt das Gesetz die Nutzung dieser Informationen zumindest vorerst nicht ausdrücklich aus. Dieses Problem wird in der Regel durch den Abschluss eines Vertrages zur Auftragsverarbeitung im Sinne des Art. 28 DSGVO gelöst. Vereinfacht gesagt verbietet der Vertrag die eigenständige Nutzung von Kundendaten durch den Auftragnehmer.

Durch einen Vertrag zur Auftragsverarbeitung ist die Übermittlung solcher Metadaten an den Dienstleister (WhatsApp) datenschutzrechtlich gerechtfertigt. Die Verarbeitung personenbezogener Daten erfolgt mit AV-Vertrag datenschutzkonform und bedarf keiner gesonderten Einwilligung des Kunden. Die Standard-Version von WhatsApp bietet keine Möglichkeit, einen Auftragsverarbeitungsvertrag abzuschließen. Bei WhatsApp Business wird ein AV-Vertrag mit dem Herunterladen der App und dem Akzeptieren der Nutzungsbedingungen automatisch abgeschlossen.

‍
‍

2.: Zugriff auf Kontaktdaten

Das vielleicht bekannteste Datenschutzproblem ist der Upload von Adressbuchdaten des Nutzers zu WhatsApp. Kontaktdaten werden auf WhatsApp-Servern in den USA gespeichert und mit den Daten anderer Nutzer abgeglichen. Im Gegensatz zu einigen anderen Messengern werden Kontaktdaten bei WhatsApp unverschlüsselt gespeichert. Unternehmen müssen die Rechtsgrundlage für die Datenübermittlung einzelner Kontakte nachweisen können. Eine Übermittlung der Kontaktdaten an WhatsApp ist auf Grundlage einer Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f) DSGVO zulässig, sofern der übermittelte Kontakt WhatsApp benutzt.

Wenn der Kontakt nicht über ein eigenes WhatsApp-Konto verfügt, ist diese Rechtsgrundlage nicht anwendbar, da die Interessen des Betroffenen aufgrund der Übermittlung der Daten in ein Drittland überwiegen. Zusammengefasst ist der Zugriff auf Kontaktdaten also nur in dem Ausnahmefall, dass sämtliche übermittelte Kontakte bereits ein WhatsApp Konto besitzen, datenschutzrechtlich unbedenklich. Daher ist das Hochladen von Adressdaten auch der Hauptkritikpunkt von Behörden in Deutschland und Europa.

‍
‍

3.: Unverschlüsselte Backups

Ein weiteres Problem betrifft Backups von Nachrichtenverläufen, die in der Cloud gespeichert werden. Auch wenn alle WhatsApp Nachrichten, Sprachnotizen, Fotos, Videos, Dokumente und sonstige Daten grundsätzlich durch die Ende-zu-Ende Verschlüsselung geschützt sind, unterliegen Backups in der Regel nicht diesem zusätzlichen Schutz. Die Verwendung von Backups mag im Hinblick auf die Wiederherstellung im Falle eines Verlustes sinnvoll erscheinen, ist aber nicht mit der DSGVO vereinbar. Diese Funktion sollte von Unternehmen ständig deaktiviert sein, um personenbezogene Daten von Kunden zu schützen und sich in diesem Aspekt datenschutzkonform zu verhalten.

‍

‍

Wie genau können Unternehmen WhatsApp DSGVO-konform einzusetzen?

Die Verwendung der Standard-Version von WhatsApp ist laut den geltenden AGB für Unternehmen nicht gestattet. Durch die fehlende Option, einen Vertrag zur Auftragsverarbeitung zu unterzeichnen, ist diese WhatsApp Version auch aus datenschutzrechtlicher Sicht höchst problematisch. Für Unternehmen gibt es trotz der strengen Vorschriften zwei Möglichkeiten, WhatsApp zur Kundenkommunikation zu verwenden.

‍‍

‍

‍

Option 1: WhatsApp Business DSGVO-konform nutzen

WhatsApp Business ist eine kostenlose, für Android und Apple Smartphones verfügbare App, die speziell für Selbstständige und kleinere Unternehmen  entwickelt wurde. WhatsApp Business vereinfacht die Interaktion mit Kunden, indem es Tools zum Automatisieren, Sortieren und zum schnellen Beantworten von Nachrichten bereitstellt. Die Benutzeroberfläche und viele Funktionen ähneln denen der WhatsApp Messenger App für Privatpersonen, sodass die Verwendung der WhatsApp Business App den meisten Unternehmen sehr leicht fällt.

Mit einigen Einschränkungen kann WhatsApp Business DSGVO-konform verwendet werden. Die beschriebenen Hauptprobleme der Verarbeitung personenbezogener Metadaten, des Zugriffs auf Kontaktdaten und der unverschlüsselten Backups können mit folgenden Tricks vermieden werden:

• Die WhatsApp Business App sollte nur auf dedizierten Mobilgeräten verwendet werden
• Das Adressbuch darf nur Kontakte enthalten, deren Telefonnummern bereits mit einem WhatsApp Konto verknüpft sind
• Es sollte stets die aktuelle Version der App installiert sein
• Cloud-Backups (über Google Drive/Apple iCloud) müssen deaktiviert sein
• Das automatische Speichern von Fotos und Anhängen im internen oder externen Speicher muss deaktiviert sein
• Verlinkung eines Impressums im Unternehmensprofil in der WhatsApp Business App (§ 5 DDG) muss vorhanden sein
• Holen Sie im Zweifelsfall eine Einwilligung Ihrer Kunden zur Datenverarbeitung personenbezogener Daten ein

Dabei ist zu beachten, dass mit den empfohlenen Einstellungen einige WhatsApp Business Funktionen nicht nutzbar sind und die Bearbeitung von Kundenanfragen womöglich weniger effizient abläuft. Gegebenenfalls scheuen sogar manche Kunden die Kontaktaufnahme, wenn Sie eine durchgehende Verschlüsselung der Kundendaten nicht gewährleisten können. Und trotz aller Vorsichtsmaßnahmen können DSGVO-Konflikte bei der Kommunikation über WhatsApp Business nie ausgeschlossen werden.

‍Daher empfiehlt hellomateo einen WhatsApp Unternehmensaccount, der via API funktioniert. Die Nutzung der WhatsApp API ist nämlich zu 100% datenschutzkonform und zugleich die einzige Möglichkeit, den WhatsApp Messenger datenschutzkonform einzusetzen. Dadurch sparen Sie sich die Kosten von externen Datenschutz-Beratern und Rechtsanwälten und Prozesskosten im Falle einer Abmahnung. Und Sie müssen keinerlei Einwilligungen Ihrer Kunden zur Verarbeitung der Daten einholen. Doch das ist erst der Anfang: Die WhatsApp API hat für Unternehmen etliche weitere Vorteile zu bieten, wie Sie in dem folgenden Abschnitt erfahren werden.

‍

‍

Option 2: WhatsApp Business API  DSGVO-konform nutzen

Um professionellen Unternehmen eine sichere, skalierbare und DSGVO-konforme Lösung zu bieten, die auf ihre Bedürfnisse zugeschnitten ist, hat Facebook im August 2018 die WhatsApp Business API eingeführt. Diese Anwendungsprogrammierschnittstelle (API) ermöglicht es Unternehmen, unbegrenzt WhatsApp-Nachrichten von ihren Kunden zu empfangen und zu beantworten.

Im Gegensatz zur WhatsApp Business App kommt die API selbst ohne eine Benutzeroberfläche aus. Die API verbindet WhatsApp mit einem professionellen Messaging-Tool, wie es zum Beispiel hellomateo anbietet. Unternehmen integrieren den Endpunkt der WhatsApp API in die Software eines offiziellen WhatsApp Business Solution Anbieters.  Hellomateo ist ein solcher Provider und offeriert Unternehmenskunden mit der hauseigenen Software die entsprechende Integration in eine übersichtliche Benutzeroberfläche.

Dadurch, dass die Benutzeroberfläche mitsamt aller technischen Eigenheiten nicht von WhatsApp, sondern von einem Business Solution Anbieter bereitgestellt wird, kann sich die DSGVO-Konformität je nach Anbieter unterscheiden.

Die Verwendung von hellomateos Messaging Software ist 100% DSGVO-konform. WhatsApp und dritte Unternehmen können nicht auf das im Endgerät gespeicherte Adressbuch zugreifen. Auch das aus datenschutzrechtlicher Sicht problematische Cloud-Backup ist deaktiviert. Die Übermittlung von Metadaten an WhatsApp kann aus technischen Gründen durch alle Business Solution Anbieter, also auch durch hellomateo, nicht vermieden werden. Durch den Vertrag zur Auftragsverarbeitung mit WhatsApp ist das Messaging-Tool von hellomateo auch in diesem Aspekt datenschutzkonform. Die Stationierung von hellomateos Servern in Deutschland und die Möglichkeit zur Löschung einzelner oder sämtlicher Kommunikations- und Kundendaten bieten zusätzliche Sicherheit beim Datenschutz.

‍

Opt-In Regelung beachten für DSGVO-konformes WhatsApp Marketing

Genauso wie beim E-Mail Newsletter gilt auch bei über WhatsApp Business versendeten Newslettern, dass vorab ein Opt-In der Empfänger eingeholt werden muss. Das Zusenden von Werbung oder das Speichern von personenbezogenen Daten ohne Zustimmung der Abonnenten oder durch ein Opt-out ist in der EU schon länger nicht mehr erlaubt. Im Gegensatz zum Opt-out, bei dem die betroffene Person der Speicherung von Daten oder dem Empfang von Werbung aktiv widersprechen muss, muss beim Opt-in der Empfänger aktiv zustimmen. Die Bedingungen für Einwilligung sind in Art. 7 DSGVO geregelt.

Der Versand von WhatsApp Newslettern ohne Einverständniserklärung der Empfänger verstößt sowohl gegen geltendes Recht als auch gegen die Nutzungsbedingungen von WhatsApp Business und kann somit nicht nur zu einer Sperrung des WhatsApp Accounts führen, sondern auch rechtliche Konsequenzen nach sich ziehen.

Um die WhatsApp Nutzungsbedingungen und die DSGVO gleichzeitig einzuhalten, sollte zudem darauf geachtet werden, dass der Name des jeweiligen Unternehmens eindeutig zu erkennen ist und der betroffenen Person deutlich gemacht wird, dass sie durch die Zustimmung Werbenachrichten erhalten wird. Es ist ebenfalls empfehlenswert, mitzuteilen, wie oft die Person den Newsletter erhält. Eine klare Kommunikation schafft die nötige Vertrauensbasis zum Kunden. Und dieses Vertrauen sollte nicht ausgenutzt werden, denn den Empfängern muss die Möglichkeit gegeben werden, den WhatsApp Newsletter jederzeit mit wenigen Klicks abzubestellen.

Beim WhatsApp Messenger ist standardmäßig die Funktion integriert, dass Empfänger lediglich eine Nachricht mit “Stop” an das Unternehmen senden müssen, um den Newsletter abzubestellen. Wenn ein Unternehmen also im Abstand von nur wenigen Tagen Newsletter versendet oder den Kunden keinen Mehrwert bietet, sinkt die Abonnentenzahl rasch gegen Null. In unserem Artikel über WhatsApp Marketing haben wir dazu viele hilfreiche Tipps aufgeführt.

‍

‍

‍

Weitere Vorteile der WhatsApp Business API mit hellomateo

Wir von hellomateo sind Ihre Messaging-Experten, wenn es um die Kundenkommunikation geht. Hunderte Unternehmen nutzen bereits hellomateo und zeigen sich begeistert. Unsere Kunden wissen folgende Vorteile besonders zu schätzen:
‍

‍

• ‍Zentrale Benutzeroberfläche: hellomateo vereint WhatsApp Business Platform, E-Mail, Instagram, SMS und Facebook Messenger in einem zentralen Posteingang. Die intuitive Benutzeroberfläche beinhaltet diverse Tools für effiziente Kundenkommunikation und spart Ihnen wertvolle Arbeitszeit.
  ‍
• Integrationen: Mit hellomateo können Sie WhatsApp in über 6.000 Softwareprogramme integrieren und vollautomatisierte Nachrichten wie z.B. Einladungen, Bestellbestätigungen, Versandinformationen, Rechnungen oder Erinnerungen versenden.
  ‍
• Newsletter Marketing: Versenden Sie DSGVO-konforme Newsletter über WhatsApp oder SMS und profitieren Sie von Öffnungsraten über 95 %.‍
  ‍
• Bewertungsmanagement: hellomateo kann automatisiert Online-Bewertungen von Ihren Kunden anfordern, was Ihr Google-Ranking und das Vertrauen in Ihr Unternehmen stärkt.
  ‍
• ‍Datenschutz: hellomateo erfüllt alle deutschen und europäischen Datenschutzanforderungen und bietet Ende-zu-Ende Verschlüsselung für sichere Kundenkommunikation.
  ‍
• Skalierbarkeit: Unsere Software eignet sich für Unternehmen jeder Größe und lässt sich je nach Paket unbegrenzt erweitern.‍
  ‍
• Diverse KI-Funktionen: Unser KI-Agent kann Kundenanfragen im Chat automatisiert beantworten, Anrufe entgegennehmen, bei der Formulierug von Nachrichten unterstützen und vieles mehr.

‍

‍

‍

Hinweis: Sämtliche Angaben in diesem Beitrag sind ohne Gewähr und stellen keine rechtliche Beratung dar. Bitte kontaktieren Sie im Zweifelsfall einen Datenschutz-Experten oder Ihren Anwalt.