WhatsApp Business und DSGVO: Was erlaubt ist und was nicht

Drei Wege, WhatsApp geschäftlich zu nutzen - und nur einer ist unproblematisch

Wenn über WhatsApp und Datenschutz gestritten wird, reden zwei Leute meistens über zwei verschiedene Dinge. Denn "WhatsApp geschäftlich nutzen" kann dreierlei heißen, und die drei Wege unterscheiden sich rechtlich deutlich.

Die kostenlose Business-App sieht aus wie die normale App und kann Kataloge und Abwesenheitsnachrichten. Entscheidend ist aber nicht, was sie kann, sondern worauf sie läuft: auf einem Telefon mit einem Adressbuch. Diese Unterscheidung ist keine Spitzfindigkeit - sie entscheidet darüber, ob du Daten von Menschen verarbeitest, die dir nie etwas erlaubt haben.

Das Adressbuch - und was daran wirklich passiert

Die verbreitete Erzählung lautet: Sobald du WhatsApp installierst, wandern alle Nummern aus deinem Telefonbuch im Klartext zu Meta, auch die von Leuten, die WhatsApp gar nicht nutzen. Das stimmt so nicht ganz, und weil dieser Punkt fast überall ungenau wiedergegeben wird, hier die genaue Fassung.

In WhatsApps Datenschutzrichtlinie für den Europäischen Wirtschaftsraum steht, dass Kontaktdaten aus dem Adressbuch hochgeladen werden ("contact upload"). Für Kontakte, die den Dienst nicht nutzen, heißt es dort, man speichere "cryptographic hash values of the phone numbers of your contacts who are not WhatsApp users" und verwalte diese Informationen so, dass diese Kontakte nicht identifiziert werden können.

Für dich als Betrieb ändert das die Lage weniger, als es klingt. Der Abgleich findet statt, und er umfasst dein gesamtes Adressbuch - also auch Lieferanten, Mitarbeiter und Kunden, die nie gefragt wurden, ob ihre Nummer bei einem Dienstleister deines Vertrauens landen darf. Für diese Verarbeitung brauchst du nach Art. 6 DSGVO eine Rechtsgrundlage, und eine Einwilligung dieser Dritten hast du nicht. Deutsche Aufsichtsbehörden bewerten die Nutzung von WhatsApp durch Unternehmen deshalb seit Jahren kritisch.

Und genau hier liegt der Haken: Das Problem ist nicht WhatsApp als Kanal, sondern das Telefon mit dem Adressbuch dahinter. Wer über die offizielle Business Platform sendet, hat dieses Telefon nicht - es wird kein Adressbuch hochgeladen, weil es keines gibt. Genau so bindet click.tools WhatsApp ein: Du übergibst die Kontakte, die in deinem System liegen, und sonst nichts. Der Kanal bleibt derselbe, dein Kunde merkt keinen Unterschied - nur der Weg dahin ändert sich.

Werbenachrichten brauchen eine Einwilligung - und zwar vorher

Der zweite Block ist unabhängig vom Adressbuch und wird noch häufiger übersehen. Sobald eine Nachricht Werbung ist, greift nicht nur die DSGVO, sondern auch das Wettbewerbs- beziehungsweise Telekommunikationsrecht.

In Deutschland ist Werbung mittels elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten nach § 7 Abs. 2 Nr. 2 UWG eine unzumutbare Belästigung und damit unzulässig. In Österreich verlangt § 174 Abs. 1 TKG 2021 dieselbe vorherige, jederzeit widerrufliche Einwilligung für Anrufe, Faxe und elektronische Post zu Zwecken der Direktwerbung. Chatnachrichten werden dabei als elektronische Post behandelt.

Dazu kommt eine dritte Ebene, die nichts mit Gesetzen zu tun hat: Meta verlangt es selbst. In der WhatsApp Business Messaging Policy heißt es, du dürfest Menschen auf WhatsApp nur kontaktieren, wenn sie dir ihre Mobilnummer gegeben haben und du "opt-in permission from the recipient" erhalten hast. Verstöße kann Meta mit Sperren ahnden - unabhängig davon, wie eine Behörde den Fall sähe.

Drei Ebenen, eine praktische Konsequenz: ohne dokumentierte Einwilligung keine Werbenachricht. Bleibt die Frage, wie so eine Einwilligung aussehen muss, damit sie im Zweifel trägt.

Was in eine tragfähige Einwilligung gehört

Eine Einwilligung ist kein Häkchen, sondern ein Nachweis. Nach Art. 7 DSGVO musst du belegen können, dass sie erteilt wurde - also braucht sie einen Zeitstempel und einen nachvollziehbaren Wortlaut. Fünf Punkte, an denen es in der Praxis scheitert:

• Aktiv statt vorangekreuzt. Ein bereits gesetzter Haken ist keine Einwilligung. Der Kunde muss selbst tätig werden.

• Getrennt vom Rest. Die Einwilligung in WhatsApp-Nachrichten darf nicht in der Zustimmung zu AGB oder Datenschutzerklärung mitschwimmen. Ein eigenes Feld, ein eigener Satz.

• Konkret im Kanal. "Ich möchte Informationen erhalten" reicht nicht. Es muss dastehen, dass die Nachrichten per WhatsApp kommen - und von wem.

• Mit Abmeldeweg. Der Widerruf muss so einfach sein wie die Erteilung. Ein Satz in jeder Nachricht, wie man aussteigt, gehört dazu.

• Dokumentiert am Kontakt. Wann, über welches Formular, mit welchem Text. Ohne diesen Nachweis nützt dir die beste Einwilligung nichts, wenn jemand nachfragt.

Der letzte Punkt ist der, an dem Betriebe scheitern, die sonst alles richtig machen: Die Einwilligung wurde eingeholt, aber sie liegt in einem Formularanbieter, während die Nummer in einem anderen Werkzeug steht. Im Zweifel lässt sich dann nicht zeigen, wer wann wozu Ja gesagt hat. Wie ein Formular aussieht, das solche Angaben sauber mitnimmt, steht im Artikel zum Kontaktformular auf der Website.

Die Bestandskundenausnahme - und warum sie bei WhatsApp wackelt

Für E-Mail gibt es eine bekannte Ausnahme: Wer die Adresse beim Verkauf erhalten hat, darf unter Bedingungen ähnliche Produkte bewerben, ohne vorher zu fragen. In Deutschland steht das in § 7 Abs. 3 UWG, in Österreich in § 174 Abs. 4 TKG 2021.

Die Bedingungen sind eng. In Österreich müssen fünf Punkte gleichzeitig erfüllt sein: Die Kontaktdaten stammen aus einem Verkauf oder einer Dienstleistung, es geht um ähnliche Produkte, der Empfänger konnte schon bei der Erhebung widersprechen, er kann es bei jeder Nachricht kostenlos und problemlos tun, und er steht nicht auf der ECG-Liste. Fällt einer der Punkte weg, gilt wieder die Grundregel.

Ob diese Ausnahme auch WhatsApp-Nachrichten abdeckt, ist nicht abschließend geklärt - die Regelungen sind für E-Mail geschrieben worden. Unser Rat ist deshalb unromantisch: Verlass dich bei WhatsApp nicht darauf. Hol die Einwilligung ausdrücklich ein. Das kostet dich ein Kontrollkästchen im Formular und erspart dir eine Auseinandersetzung, in der du erklären müsstest, warum eine E-Mail-Regel für einen Messenger gelten sollte. In Österreich sind unerbetene elektronische Nachrichten mit Verwaltungsstrafen bis zu 50.000 € bedroht, unerbetene Anrufe und Faxe mit bis zu 100.000 €.

Das klingt nach viel Aufwand. Im Alltag sind es drei Einstellungen.

Wie du es praktisch sauber aufsetzt

Du musst dafür nicht dein System wechseln und auch nicht deine Nummer aufgeben. Es geht darum, den Weg zu ändern, auf dem die Nachricht rausgeht.

1. Weg vom Telefon-Adressbuch. Versende geschäftliche Nachrichten über die offizielle Business Platform statt aus einer App auf einem Gerät, das dein Adressbuch abgleicht.

2. Einwilligung dort einholen, wo der Kontakt entsteht. Ein eigenes Feld im Formular, im Terminbuchungsschritt oder beim Chat-Einstieg - mit dem Kanal im Text und einem Hinweis auf die Abmeldung.

3. Einwilligung am Kontakt speichern. Zeitstempel, Wortlaut, Herkunft. Und der Abmeldewunsch muss den Versand tatsächlich stoppen, nicht nur eine Notiz erzeugen.

In click.tools hängen diese drei Dinge zusammen: Das Formular holt die Einwilligung ein, sie landet mit Zeitstempel beim Kontakt, und der WhatsApp-Versand läuft über die offizielle Business Platform. Meldet sich jemand ab, ist er aus dem Versand raus - ohne dass jemand daran denken muss. Der Kanal steckt im Tarif Professional ab 97 € pro Monat (Stand 07.08.2026); was der Nachrichtenversand selbst kostet, haben wir im Artikel zu den WhatsApp-Business-Kosten aufgeschlüsselt. Wenn du sehen willst, wie so ein Aufbau aussieht, bevor du etwas umstellst: im kostenlosen Workshop gehen wir eine solche Kette einmal von vorne bis hinten durch.

Für einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gilt dasselbe wie bei jedem Dienstleister, den du einsetzt: Er gehört zum Setup dazu, bei uns wie bei jedem anderen Anbieter.

Wo click.tools nicht die richtige Antwort ist

Die ehrliche Abgrenzung, weil sie zu diesem Thema besonders wichtig ist: Wir sind kein Rechtsdienstleister. Wir liefern die Technik, mit der sich Einwilligungen einholen, dokumentieren und Abmeldungen durchsetzen lassen. Ob dein Einwilligungstext im Einzelfall trägt, ob deine Datenschutzerklärung vollständig ist und ob deine Verarbeitung insgesamt zulässig ist, prüft dir niemand von uns. Dafür brauchst du jemanden, der dafür haftet.

Und wenn du WhatsApp ausschließlich für einzelne Gespräche mit Kunden nutzt, keine Werbenachrichten verschickst und ohnehin nur eine Handvoll Kontakte hast, dann ist eine ganze Plattform für diesen einen Kanal zu viel. Dann ist das getrennte Diensthandy mit sauber aufgeräumtem Adressbuch die kleinere Lösung.

Sinnvoll werden wir dort, wo WhatsApp einer von mehreren Kanälen ist und die Einwilligung nachweisbar am selben Kontakt hängen soll wie Termin, Anfrage und Verlauf. Wenn du das ausprobieren willst, kannst du 14 Tage kostenlos testen und den Ablauf einmal für einen einzigen Kontakt durchspielen.