WhatsApp Business AV-Vertrag: Was gilt für App und API?

Zuletzt aktualisiert: 5. Oktober 2026.

Warum brauchen Sie für WhatsApp Business einen AV-Vertrag?

Artikel 28 DSGVO verlangt einen Vertrag, sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. WhatsApp oder Meta übernehmen dabei bestimmte Verarbeitungen für Sie. Ihr Unternehmen bleibt verantwortlich.

Artikel 28 Absatz 3 verlangt Angaben zu Gegenstand, Dauer, Art, Zweck, Datenarten, betroffenen Personengruppen sowie Ihren Rechten und Pflichten. Erforderliche Regelungen:

• Verarbeitung nach dokumentierten Weisungen
• Vertraulichkeit und technische sowie organisatorische Schutzmaßnahmen
• Einsatz weiterer Auftragsverarbeiter, sogenannter Unterauftragsverarbeiter
• Unterstützung bei Betroffenenrechten und Pflichten nach Artikeln 32 bis 36
• Löschung oder Rückgabe nach Auftragsende, vorbehaltlich gesetzlicher Speicherpflichten
• Nachweise und Kontrollen

Artikel 28 Absatz 9 verlangt einen schriftlichen Vertrag, auch in elektronischem Format.

Quelle: DSGVO, Artikel 28.

Was umfasst der AV-Vertrag der WhatsApp Business App?

Der App-AV-Vertrag umfasst personenbezogene Kundenkontaktinformationen, etwa Telefonnummern. Vertragspartner für Unternehmen in Deutschland ist WhatsApp Ireland Limited.

Die App-Bedingungen vom 23.09.2026 beziehen die WhatsApp Business-Datenverarbeitungsbedingungen vom 22.08.2025 ein. Für das Hochladen des Adressbuchs gilt dagegen die Datenschutzrichtlinie von WhatsApp für den EWR. Außerhalb des AV-Vertrags nutzt WhatsApp Konto-, Nutzungs- und Protokollinformationen für eigene Zwecke und darf sie mit anderen Meta-Unternehmen teilen.

WhatsApp darf Unterauftragsverarbeiter weltweit einsetzen, auch in den USA. WhatsApp Ireland überträgt europäische Daten an WhatsApp LLC und Meta Platforms Inc. in den USA. Grundlage ist laut Ergänzung für Datenübermittlungen vom 16.02.2024 das EU-US Data Privacy Framework; Standardvertragsklauseln bleiben eine Alternative. Bei begründeten Einwänden gegen neue Unterauftragsverarbeiter können Sie WhatsApp schriftlich informieren und die Nutzung beenden.

Quelle: LDI NRW, 30. Bericht, Datenschutz 2024, veröffentlicht 2025, Kapitel 12.3, Seiten 125 bis 127. Der Bericht unterscheidet nicht zwischen Business App und API.

Einschätzung von hellomateo: Die API über hellomateo läuft ohne Telefon-App und damit ohne Adressbuchabgleich. Neue Handykontakte werden nicht automatisch an Meta übertragen; das Risiko des Adressbuchabgleichs aus der Telefon-App entfällt. Im Kontaktbuch der API stehen nur Kunden, mit denen Sie Nachrichten oder Anrufe austauschen. Bei zusätzlicher Nutzung derselben Nummer in der WhatsApp Business App bleibt deren Adressbuch relevant. Meta verarbeitet auch bei der API Daten für eigene Zwecke, etwa Sicherheit und Integrität. Die übrigen Datenschutzpflichten bleiben bestehen.

Quelle zur Umsetzung: hellomateo-Datenschutzmappe, Seite 3.

Quellen: App-Bedingungen, Abschnitte 1, 2, 4 und 7; Datenverarbeitungsbedingungen; Ergänzung für Datenübermittlungen.

Welcher AV-Vertrag gilt für die WhatsApp Business API?

Bei der WhatsApp Business Cloud API ist Meta Platforms Ireland Limited Auftragsverarbeiter für Unternehmen in Deutschland. Das gilt für Verarbeitungen im Unternehmensauftrag. Die Cloud-API-Bedingungen vom 23.09.2026 enthalten in Anhang A eigene Datenverarbeitungsbedingungen. Sie gelten auch bei Nutzung über einen Anbieter.

Maßgeblich sind außerdem Metas globale Auftragsverarbeiterbedingungen (Meta Global Processor Terms), einschließlich des Europateils vom 20.03.2026. Metas aktuellen Prüfbericht erhalten Sie jährlich auf Anfrage, als vertrauliche Information. Nach Nutzungsende und Abschluss ausstehender Zustellungen löscht Meta verbleibende personenbezogene Daten des Unternehmens binnen 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten. Eine Rückgabe müssen Sie laut Metas globalen Auftragsverarbeiterbedingungen binnen 30 Tagen nach Vertragsende schriftlich verlangen.

Standardspeicher: Anhang B der Cloud-API-Bedingungen nennt mögliche Unterauftragsverarbeiter mit Rechenzentren in den USA, Irland, Dänemark und Schweden. Lokaler Speicher: Nachrichteninhalte liegen nach der Verarbeitung im Ruhezustand, also gespeichert, im gewählten Land, beispielsweise Deutschland. Dafür setzt Meta laut Anhang B Amazon Web Services ein.

Für Übermittlungen an Meta Platforms Ireland sind wegen des EU-Sitzes keine Standardvertragsklauseln erforderlich. Für Weitergaben etwa an Meta Platforms Inc. sieht Meta DSGVO-konforme Übermittlungsmechanismen vor.

Gegen zusätzliche oder ersetzende, noch nicht genehmigte Unterauftragsverarbeiter können Sie binnen 30 Tagen ab Information schriftlich Einspruch erheben. Ohne Einspruch gilt Ihre Zustimmung; bei Einspruch kann Meta kündigen. Verbundene Unternehmen wie Meta Platforms Inc. darf Meta ohne Einspruchsmöglichkeit einsetzen. Für Sicherheit und Integrität darf Meta Unternehmensdaten auch als Verantwortlicher verwenden.

Quellen: Meta-Plattformbedingungen; Cloud-API-Bedingungen, Abschnitt 2 und Anhänge A/B; Meta-Auftragsverarbeiterbedingungen, allgemein; Meta-Auftragsverarbeiterbedingungen, Europa.

Wo speichert die WhatsApp Business Cloud API Nachrichten?

Die WhatsApp Business Cloud API speichert Nachrichten standardmäßig in Meta-Rechenzentren, höchstens 30 Tage. Bei aktiviertem lokalem Speicher gilt im Ruhezustand das gewählte Land. Nachrichten reisen verschlüsselt zwischen Nutzern und Cloud API. Die Cloud API entschlüsselt Nachrichten und leitet sie ans Unternehmen weiter. Meta verwaltet die Schlüssel im Unternehmensauftrag.

Bei aktiviertem lokalem Speicher können Nachrichteninhalte während der Verarbeitung in Meta-Rechenzentren weltweit liegen. Diese Verarbeitung dauert bei der Cloud API bis zu 60 Minuten, bei Metas Marketing-Nachrichten-API bis zu 90 Minuten.

Das Kontaktbuch der Cloud API fällt nicht unter den lokalen Speicher und liegt in Meta-Rechenzentren. Ist es eingeschaltet, speichert Meta darin Telefonnummer und Nutzerkennung jedes Kunden, mit dem Sie Nachrichten oder Anrufe austauschen. Sie können das Kontaktbuch in der Meta Business Suite abschalten; die gespeicherten Einträge werden dann gelöscht.

Lokalen Speicher aktivieren Sie bei unregistrierten Telefonnummern. Registrierte Nummern müssen Sie dafür abmelden und mit lokalem Speicher neu registrieren.

Quellen: Meta-Dokumentation zu Datenschutz und Sicherheit sowie lokalem Speicher und zum Kontaktbuch (englische Originalfassung).

Wie prüfen Sie API-Anbieter auf AV-Vertrag und EU-Hosting?

Wie schließen Sie den WhatsApp Business AV-Vertrag ab?

1. App: Lesen Sie App- und Datenverarbeitungsbedingungen. Mit Herunterladen oder Nutzung stimmen Sie zu.
2. Cloud API: Prüfen Sie Plattform-, Cloud-API- und Auftragsverarbeiterbedingungen. Registrierung oder Nutzung bedeutet Zustimmung.
3. Anbieter: Schließen Sie zusätzlich dessen AV-Vertrag vor Beginn der Auftragsverarbeitung ab.
4. Dokumentation: Ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 um die WhatsApp-Nutzung.
5. Kundeninformation: Prüfen Sie Ihre Datenschutzhinweise und erforderlichen Einwilligungen.

Wie regelt hellomateo den WhatsApp Business AV-Vertrag?

hellomateo schließt bei Vertragsschluss einen AV-Vertrag nach Artikel 28 DSGVO mit Ihnen ab. Auf der Datenschutzseite von hellomateo finden Sie die öffentliche Datenschutzmappe. Sie enthält Vertrag, technische und organisatorische Maßnahmen sowie Unterauftragsverarbeiter zur Prüfung vor dem Start.

Gegen neue oder ersetzende Unterauftragsverarbeiter können Sie aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Dafür gelten zwei Wochen ab Erhalt der Information. Ohne Einspruch gilt die Änderung als genehmigt. Scheitert eine Einigung, hat hellomateo ein Sonderkündigungsrecht zum auf den Einspruch folgenden Monatsende. Der Vertrag regelt Rückgabe oder Löschung nach Vertragsende.

Die hellomateo-Plattform speichert Daten auf Servern von Amazon Web Services in Frankfurt am Main. Externer Datenschutzbeauftragter ist heyData. hellomateo nutzt Ihre Daten nicht für KI-Modelltraining. Meta Platforms Ireland Limited ist als Unterauftragsverarbeiter aufgeführt.

hellomateo nutzt für die Cloud API lokalen Speicher in Deutschland. Dort liegen die Nachrichteninhalte im Ruhezustand. Während der Verarbeitung können sie kurzzeitig in Meta-Rechenzentren weltweit liegen, bei der Cloud API bis zu 60 Minuten.

heyData bestätigte als Datenschutzbeauftragter am 27.01.2026 das Audit der technischen und organisatorischen Maßnahmen 2025 ohne Beanstandungen.

Quellen: hellomateo-Datenschutzmappe: AV-Vertrag § 8 (S. 15 und 16) und § 11 (S. 17), Anlage 4 (S. 26), Verarbeitungsverzeichnis (S. 34); Auditbestätigung von heyData vom 27.01.2026; Datenschutzseite von hellomateo (Serverstandort, kein KI-Training); Meta-Dokumentation zur Registrierung, Speicherregion „EU (Germany): DE“ (englisch).