Kurze Antwort: Die kostenlose WhatsApp Business App ist für die geschäftliche Kundenkommunikation in Deutschland kaum rechtssicher einsetzbar, weil sie standardmäßig auf das gesamte Adressbuch des Geräts zugreift und damit Kontaktdaten Dritter an Meta überträgt. Über die offizielle WhatsApp Business API in Verbindung mit einem seriösen Anbieter und einem Auftragsverarbeitungsvertrag ist ein DSGVO-konformer Einsatz dagegen möglich.
Dieser Unterschied wird in der Praxis ständig übersehen — und er entscheidet darüber, ob Ihre WhatsApp-Kommunikation ein Abmahnrisiko ist oder nicht.
Das eigentliche Problem: der Adressbuch-Zugriff
Die WhatsApp Business App gleicht die Telefonnummern in Ihrem Adressbuch mit den Servern von Meta ab. Darunter sind Nummern von Menschen, die dieser Übertragung nie zugestimmt haben: Lieferanten, ehemalige Kunden, Privatkontakte. Genau daran scheitert die rechtliche Bewertung — nicht an der Nutzung von WhatsApp an sich.
Über die WhatsApp Business API findet dieser Adressbuch-Abgleich nicht statt. Die Kommunikation läuft über ein System, das nur die Nummern verarbeitet, die tatsächlich mit Ihnen schreiben.
Was Sie für den rechtskonformen Einsatz brauchen
Auftragsverarbeitungsvertrag. Mit dem Anbieter, über den Sie die API nutzen. Ohne diesen Vertrag fehlt Ihnen die Grundlage nach Artikel 28 DSGVO.
Saubere Einwilligung. Der Kunde muss aktiv zustimmen, dass Sie ihm über WhatsApp schreiben — und wissen, worauf er sich einlässt. Ein vorausgefülltes Häkchen reicht nicht.
Transparente Datenschutzerklärung. Der Einsatz von WhatsApp, der eingesetzte Anbieter und die Übermittlung in Drittländer gehören ausdrücklich hinein.
Getrenntes Gerät oder getrennte Nummer. Keine Vermischung von privatem Adressbuch und geschäftlicher Kommunikation.
Löschkonzept. Chatverläufe enthalten personenbezogene Daten. Es braucht eine Regel, wann sie gelöscht werden.
Was bedeutet das für einen WhatsApp-Chatbot?
Ein automatisierter WhatsApp-Bot ändert an dieser Rechtslage nichts — er läuft ohnehin über die offizielle API und ist damit auf der besseren Seite. Wichtig sind drei Dinge:
Der Bot muss sich als automatisiertes System zu erkennen geben. Nutzer haben ein Recht darauf, zu wissen, ob sie mit einem Menschen schreiben.
Es braucht einen jederzeit erreichbaren Weg zu einem Menschen. Ein Bot, aus dem man nicht herauskommt, ist ein Servicefehler, kein Datenschutzproblem — aber er kostet Kunden.
Die Verarbeitung der Inhalte sollte auf europäischen Servern stattfinden. Wir hosten die Bot-Logik und die Wissensbasis in Deutschland beziehungsweise der EU; über WhatsApp läuft nur der reine Nachrichtentransport.
Häufige Fehleinschätzungen
"Wir nutzen WhatsApp nur zum Antworten, das ist unkritisch." Auch eingehende Nachrichten enthalten personenbezogene Daten, die Sie verarbeiten.
"Der Kunde hat uns geschrieben, also hat er zugestimmt." Für die laufende Konversation ist das vertretbar. Für Werbenachrichten oder Newsletter über WhatsApp reicht es nicht.
"Ende-zu-Ende-Verschlüsselung löst das Datenschutzproblem." Sie schützt den Inhalt gegen Dritte, nicht gegen die Metadatenverarbeitung durch Meta.
Die praktische Empfehlung
Wenn WhatsApp bei Ihnen mehr ist als gelegentliche Kommunikation mit Stammkunden, wechseln Sie auf die offizielle API. Der Aufwand ist überschaubar, die rechtliche Situation wird deutlich klarer — und Sie bekommen als Nebeneffekt Automatisierung, Weiterleitung an Mitarbeiter und Anbindung an Ihr CRM.
Ein WhatsApp-Bot startet bei uns bei 1.900 € Setup und ab 149 € monatlich, hinzu kommen die Konversationsgebühren von WhatsApp selbst.
Dieser Artikel ist eine praxisnahe Einordnung, keine Rechtsberatung. Für eine verbindliche Bewertung Ihres konkreten Falls sprechen Sie mit einer Datenschutzbeauftragten oder einem Fachanwalt.