Ist WhatsApp Business DSGVO-konform nutzbar?

Zuletzt aktualisiert: 9. Oktober 2026.

Was müssen Unternehmen für eine DSGVO-konforme WhatsApp-Nutzung beachten?

Unternehmen müssen Zweck, Rechtsgrundlage und Schutzmaßnahmen ihrer WhatsApp-Nutzung festlegen und dokumentieren.

1. Rechtsgrundlage: Prüfen Sie jeden Zweck nach Artikel 6 DSGVO.
2. Werbung: Holen Sie erforderliche Einwilligungen ein. Opt-in bedeutet die vorherige Zustimmung zum Nachrichtenempfang.
3. Datenschutzhinweise: Informieren Sie nach Artikel 13 über Zwecke, Rechtsgrundlagen, Empfänger, Speicherfristen und Betroffenenrechte.
4. AV-Verträge: Prüfen Sie die Auftragsverarbeitung nach Artikel 28. Vertragsdetails erklärt der Artikel zum WhatsApp Business AV-Vertrag.
5. Verzeichnis: Dokumentieren Sie regelmäßige WhatsApp-Verarbeitungen im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30.
6. Drittlandübermittlung: Prüfen Sie Empfänger außerhalb des Europäischen Wirtschaftsraums und Übermittlungsgrundlagen nach Artikel 44 ff.
7. Löschung: Legen Sie Fristen fest. Beachten Sie Artikel 17 und gesetzliche Aufbewahrungspflichten.
8. Zugriffe und Geräte: Schützen Sie Konten und Geräte angemessen nach Artikel 32. Begrenzen Sie Berechtigungen.
9. Sensible Daten: Übermitteln Sie nur notwendige Informationen. Für Gesundheitsdaten gelten zusätzlich Artikel 9 und dessen Ausnahmen.
10. Folgenabschätzung: Prüfen Sie das Risiko. Bei voraussichtlich hohem Risiko verlangt Artikel 35 vorab eine Datenschutz-Folgenabschätzung.

Quellen: DSGVO, Artikel 5 bis 9, 13, 17, 28, 30, 32, 35 und 44 ff.; WhatsApp Business Messaging Policy; § 7 UWG.

Warum ist die WhatsApp Business App beim Datenschutz schwierig?

Die WhatsApp Business App ermöglicht Adressbuchabgleich und Datenverarbeitung für WhatsApps eigene Zwecke. Beim aktivierten Kontaktabgleich werden auch Telefonnummern von Kontakten ohne WhatsApp hochgeladen. WhatsApp speichert von diesen Nummern kryptografische Hashwerte.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) erklärt: Außerhalb privater Nutzung erforderten Adressbuchübermittlungen grundsätzlich Einwilligungen aller Kontakte. Das sei kaum machbar. Wegen des Adressbuchabgleichs und unklarer Verarbeitungen durch Meta und WhatsApp für eigene Zwecke könnten Verantwortliche ihre Rechenschaftspflicht aktuell kaum erfüllen. Im geschilderten Fall riet sie Stadtwerken aus mehreren Gründen von WhatsApp ab. Der Bericht unterscheidet nicht zwischen App und API.

Der App-AV-Vertrag umfasst Kundenkontaktinformationen. Für das Hochladen des Adressbuchs gilt dagegen die WhatsApp-Datenschutzrichtlinie. WhatsApp nutzt außerdem Konto-, Nutzungs- und Protokollinformationen für eigene Zwecke.

Sichern Sie Chats über iCloud oder Google, liegen dort auch die Nachrichten. WhatsApp bietet dafür verschlüsselte Datensicherungen an.

Unsere Empfehlungen zur WhatsApp Business App:

1. Verzichten Sie auf den optionalen Kontaktabgleich, solange die Voraussetzungen der Adressbuchübermittlung ungeklärt sind.
2. Prüfen Sie verbundene Sicherungsdienste und deren Bedingungen. Aktivieren Sie bei genutzten Datensicherungen die Verschlüsselung.
3. Sichern Sie Geräte und Kontozugänge. Erlauben Sie den Zugriff nur berechtigten Personen.

Diese Maßnahmen lösen nicht alle Datenschutzfragen der WhatsApp Business App.

Quellen: LDI NRW, 30. Bericht von 2025, Kapitel 12.3, Seiten 125 bis 127; App-Bedingungen vom 23.09.2026, Abschnitte 4 und 7; WhatsApp-Datenschutzrichtlinie.

Welche Rolle spielt die WhatsApp Business API beim Datenschutz?

Die WhatsApp Business API ermöglicht Kundenkommunikation ohne Adressbuchabgleich aus einer Telefon-App. Nutzen Sie dieselbe Nummer zusätzlich in der WhatsApp Business App, bleibt deren Adressbuch relevant.

Meta Platforms Ireland Limited verarbeitet Cloud-API-Daten für deutsche Unternehmen im Auftrag. Die Cloud-API-Bedingungen vom 23.09.2026 enthalten Datenverarbeitungsbedingungen. Für Sicherheit und Integrität darf Meta Daten auch als Verantwortlicher nutzen.

Nachrichten reisen verschlüsselt zwischen Kunden und Cloud API. Die Cloud API entschlüsselt Nachrichten und leitet sie ans Unternehmen weiter. Nachrichten speichert Meta höchstens 30 Tage.

Lokaler Speicher ermöglicht die Speicherung von Nachrichteninhalten in Deutschland nach Abschluss der Verarbeitung. Während der Verarbeitung können Inhalte bis zu 60 Minuten in Meta-Rechenzentren weltweit liegen.

Das eingeschaltete API-Kontaktbuch speichert Telefonnummer und Nutzerkennung der Gesprächspartner. Es fällt nicht unter den lokalen Speicher. Das Kontaktbuch lässt sich abschalten; vorhandene Einträge werden dann gelöscht.

Quellen: Cloud-API-Bedingungen, Abschnitt 2 und Anhang A; Meta: Datenschutz und Sicherheit; Meta: lokaler Speicher; Meta: Kontaktbuch.

Quellen: App-Bedingungen; WhatsApp-Datenschutzrichtlinie; Cloud-API-Bedingungen; WhatsApp Business Messaging Policy; Meta: Datenschutz und Sicherheit; Meta: lokaler Speicher.

Mehr erklärt der Vergleich von WhatsApp Business App und API.

Brauchen Unternehmen für WhatsApp-Nachrichten ein Opt-in?

WhatsApp verlangt für die Kontaktaufnahme ein Opt-in, auch außerhalb von Werbung. Empfänger müssen ihre Mobilnummer oder ihren Nutzernamen mitgeteilt und weiteren Nachrichten zugestimmt haben.

Kundenanfragen: Innerhalb des 24-Stunden-Kundenservicefensters erlaubt die Business-Plattform Antworten ohne Nachrichtenvorlage. Jede Kundennachricht öffnet dieses Fenster erneut. Für Gesprächsbeginn durch Unternehmen und Nachrichten außerhalb des Fensters sind freigegebene Vorlagen erforderlich.

Service: Für die Vertragserfüllung oder für vorvertragliche Maßnahmen auf Anfrage des Kunden kann Artikel 6 Absatz 1 Buchstabe b die Rechtsgrundlage bilden. Eine Werbeeinwilligung ist dafür nicht automatisch erforderlich.

Werbung und Newsletter: WhatsApp-Marketing ist nicht generell verboten. In Deutschland verlangt § 7 Absatz 2 Nummer 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG) grundsätzlich vorherige ausdrückliche Einwilligung. Nach unserer Einordnung gelten WhatsApp-Nachrichten als elektronische Post nach Artikel 2 Buchstabe h der ePrivacy-Richtlinie.

Die Bestandskundenausnahme in § 7 Absatz 3 UWG verlangt vier Voraussetzungen gleichzeitig:

• Nummer im Zusammenhang mit einem Verkauf erhalten
• Eigene ähnliche Angebote
• Kein Widerspruch
• Klare Widerspruchshinweise

Hinweise müssen beim Erfassen der Nummer und in jeder Nachricht erfolgen. Der Widerspruch darf höchstens Übermittlungskosten nach Basistarifen verursachen. WhatsApps Opt-in-Vorgabe bleibt davon unberührt.

Dokumentieren Sie Einwilligungen nach Artikel 7 DSGVO. Der Widerruf muss jederzeit und ebenso einfach wie die Erteilung möglich sein. Respektieren Sie laut WhatsApp Abmeldungen innerhalb und außerhalb des Dienstes, einschließlich Entfernung aus der Kontaktliste. Trennen Sie Servicezustimmung und Newsletter-Anmeldung. Mehr erklärt der Ratgeber für WhatsApp-Newsletter.

Quellen: WhatsApp Business Messaging Policy, Abschnitte 1 und 2; § 7 UWG; ePrivacy-Richtlinie, Artikel 2; DSGVO, Artikel 6 und 7.

Wie nutzen Autohaus, Hörakustik, Augenoptik und Versicherung WhatsApp DSGVO-konform?

Autohäuser, Hörakustiker, Augenoptiker und Versicherungsmakler müssen WhatsApp-Nachrichten nach Zweck und Dateninhalt prüfen.

Die Meta-Plattformbedingungen für die API untersagen in Abschnitt 4.2 die Bereitstellung gesetzlich besonders geschützter oder verbreitungsbeschränkter Daten. App- und Plattformbedingungen geben außerdem keine Zusicherung für erhöhte Verschwiegenheitspflichten. Die WhatsApp Business Messaging Policy untersagt, Gesundheitsinformationen zu senden oder zu erfragen, wenn Vorschriften ihre Weitergabe an Systeme ohne erhöhte Schutzanforderungen verbieten. Zahlungskartennummern in voller Länge, Kontonummern, Ausweisnummern und andere sensible Kennungen dürfen Unternehmen laut Policy weder teilen noch erfragen. Für Gesundheitsdaten gelten zusätzlich die Anforderungen des Artikels 9 DSGVO.

Daraus leiten wir folgende Empfehlungen ab:

• Autohaus: Trennen Sie auftragsbezogene Servicekommunikation von Werbung. Beschränken Sie Nachrichten auf erforderliche Kundendaten.
• Hörakustik und Augenoptik: Versenden Sie keine Befunde, Hörtest- oder Sehtestergebnisse per WhatsApp. Beschränken Sie sich auf organisatorische Nachrichten ohne Gesundheitsangaben, etwa Terminerinnerungen, Abholnachrichten oder Rückrufbitten. Die übrigen Datenschutzpflichten bleiben bestehen.
• Versicherung: Übermitteln Sie keine Gesundheitsangaben aus Anträgen oder Leistungsfällen und keine Kontonummern im Chat.

Für Leistungserbringer im Gesundheitswesen hält die Gesundheits-FAQ des Landesbeauftragten für den Datenschutz Niedersachsen (LfD Niedersachsen) vom Januar 2024 berufliche WhatsApp-Kommunikation für unzulässig. Sie nennt unter anderem Adressbuchübermittlung ohne Einverständnis und fehlende Löschbarkeit nach Widerruf als Gründe. Unmittelbar gilt die FAQ nach eigener Angabe für Heilberufe. Hörakustiker und Augenoptiker nennt sie nicht ausdrücklich; App und API unterscheidet sie nicht.

Die DSGVO gilt in Österreich genauso. Die erläuterte UWG-Regel betrifft Deutschland.

Branchenlösungen: Autohaus, Hörakustik, Augenoptik und Versicherung.

Quellen: DSGVO, Artikel 3, 5, 6, 9 und 99; App-Bedingungen, Abschnitt 4; Meta-Plattformbedingungen, Abschnitt 4.2; WhatsApp Business Messaging Policy, Abschnitt 3; LfD Niedersachsen, Gesundheits-FAQ, Seiten 1 und 24.

Welche Bußgelder drohen bei WhatsApp-Verstößen gegen die DSGVO?

DSGVO-Bußgelder richten sich nach dem Verstoß und den Umständen des Einzelfalls.

Artikel 83 Absatz 4 nennt bis zu 10 Millionen Euro oder 2 % Jahresumsatz. Absatz 5 nennt bis zu 20 Millionen Euro oder 4 %. Gemeint ist bei Unternehmen der weltweite Jahresumsatz des vorangegangenen Geschäftsjahrs. Jeweils gilt der höhere Höchstbetrag. Verstöße gegen Artikel 28 fallen unter Absatz 4, Verstöße gegen Verarbeitungsgrundsätze unter Absatz 5.

Quellen: DSGVO, Artikel 83, Absätze 2, 4 und 5.

Wie prüfen Sie WhatsApp-Anbieter auf Datenverarbeitung in der EU?

Prüfen Sie, wo Anbieterplattform, Meta und alle Unterauftragsverarbeiter Daten verarbeiten. Ein Serverstandort in Deutschland zeigt das nicht für jeden beteiligten Dienst. Fragen Sie vor Vertragsabschluss:

• Wo speichert die Anbieterplattform welche Daten?
• Welche Speicherregion gilt bei Meta, einschließlich Ausnahmen während der Verarbeitung und beim Kontaktbuch?
• Welche Unterauftragsverarbeiter erhalten Daten, wofür und an welchen Serverstandorten?
• Welche Übermittlungsgrundlagen gelten außerhalb des Europäischen Wirtschaftsraums?

Die ausführliche Prüfliste für WhatsApp-Anbieter ergänzt Verträge, Schutzmaßnahmen und Löschung.

Quellen: Meta: lokaler Speicher.

Ist hellomateo DSGVO-konform?

Ja, wenn Ihr Unternehmen seine eigenen Pflichten erfüllt. hellomateo arbeitet als Auftragsverarbeiter mit AV-Vertrag nach Artikel 28 DSGVO, Plattformservern in Frankfurt und auditierten Schutzmaßnahmen. Rechtsgrundlagen und Einwilligungen verantwortet Ihr Unternehmen.

• hellomateo nutzt die offizielle WhatsApp Business API.
• Bei Vertragsschluss erhalten Sie einen AV-Vertrag nach Artikel 28 DSGVO.
• Die öffentliche Datenschutzmappe dokumentiert Vertrag, Schutzmaßnahmen und Unterauftragsverarbeiter.
• Plattformdaten liegen bei Amazon Web Services in Frankfurt am Main.
• Bei hellomateo liegen Nachrichteninhalte der Cloud API durch lokalen Speicher im Ruhezustand in Deutschland. Während der Verarbeitung können sie kurzzeitig in Meta-Rechenzentren weltweit liegen, bis zu 60 Minuten.
• heyData ist externer Datenschutzbeauftragter. heyData bestätigte am 27.01.2026 das Audit der technischen und organisatorischen Maßnahmen 2025 ohne Beanstandungen.
• hellomateo verwendet Ihre Daten nicht für KI-Modelltraining.
• Die Datenschutzseite verlinkt die Datenschutz-Folgenabschätzung für den KI-Assistenten.

Anlage 4 der Datenschutzmappe nennt für die meisten Dienste Serverstandorte in der EU, darunter Meta für WhatsApp. Einzelne Dienste haben ihren Serverstandort in den USA, etwa Zahlungsabwicklung (mit EU-US Data Privacy Framework) und Rückmeldungen von Nutzern.

Quellen: hellomateo-Datenschutzmappe, Anlage 4 und Verarbeitungsverzeichnis; Auditbestätigung vom 27.01.2026; hellomateo-Datenschutzseite; Meta: lokaler Speicher; Meta: Registrierung, Speicherregion „EU (Germany): DE“.