Bevor wir über Datenschutz reden, müssen wir eine Sache klarstellen: Es gibt nicht „ein WhatsApp". Es gibt drei komplett unterschiedliche Produkte mit unterschiedlichen Datenschutz-Realitäten.
WhatsApp Private App
Die Private App ist für den Privatgebrauch. Punkt. Wenn dein Vertrieb darüber Kundengespräche führt, verstößt du gegen die DSGVO. Kein Opt-in, kein Auskunftsrecht, keine Löschmöglichkeit. Das ist kein Graubereich – das ist ein klares No-Go.
WhatsApp Business App
Die kostenlose WhatsApp Business App klingt verlockend. Gratis, schnell eingerichtet, und los geht's. Das Problem: Die App synchronisiert automatisch dein gesamtes Adressbuch mit Meta-Servern. Auch Kontakte, die kein WhatsApp haben und dir nie eine Einwilligung gegeben haben.
Dazu kommen Metadaten, Nutzungsprofile und Geräteinformationen, die Meta für Werbezwecke verarbeitet. Du reichst die Daten deiner Kunden quasi an Meta weiter – ohne deren Wissen. Das allein ist ein DSGVO-Verstoß.
WhatsApp Business API – die einzige sichere Option
Die WhatsApp Business API ist der einzige Weg, WhatsApp im Unternehmen DSGVO-konform einzusetzen. Über die API gibst du keinen Zugriff auf das Adressbuch eines Mitarbeiter-Smartphones. Die Kommunikation läuft über eine kontrollierte Infrastruktur.
Mit einem Anbieter wie Chatarmin werden Kundendaten auf EU-Servern gehostet. Du hast volle Kontrolle über Einwilligungen, Opt-outs und Datenlöschungen. Und du bekommst einen Auftragsverarbeitungsvertrag (AVV), der deine Pflichten sauber regelt.
Die DSGVO-Unterschiede im Überblick
| WhatsApp Privat | Business App | Business API |
|---|
| Nutzungszweck | Privat | Kleine Unternehmen | Professionelle Business-Kommunikation |
| Adressbuch-Sync mit Meta | ✅ Ja | ✅ Ja | ❌ Nein |
| Double-Opt-in (DOI) | ❌ | ❌ | ✅ |
| EU-Server-Hosting | ❌ | ❌ | ✅ |
| AVV mit Anbieter | ❌ | ❌ | ✅ |
| Einwilligung Art. 6 DSGVO | ❌ | ❌ | ✅ |
| Recht auf Auskunft Art. 15 | ❌ | ❌ | ✅ |
| Recht auf Löschung Art. 17 | ❌ | ❌ | ✅ |
| Widerspruchsrecht Art. 21 | ❌ | ❌ | ✅ |
| Datenübertragbarkeit Art. 20 | ❌ | ❌ | ✅ |
Kurz erklärt: Was die DSGVO von dir verlangt
Bevor wir tiefer einsteigen, hier die DSGVO-Grundlagen, die für WhatsApp relevant sind. Die Datenschutz-Grundverordnung gilt seit 2018 für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet – egal ob du in Wien, Zürich oder New York sitzt. Die Kernprinzipien, die du bei WhatsApp einhalten musst:
Rechtmäßigkeit und Einwilligung: Du brauchst eine gültige Rechtsgrundlage, bevor du jemandem auf WhatsApp schreibst. In den meisten Fällen ist das eine explizite Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein „Der Kunde hat mir ja seine Nummer gegeben" reicht nicht.
Zweckbindung: Du darfst Kundendaten nur für den Zweck nutzen, für den du die Einwilligung hast. Newsletter-Opt-in heißt nicht automatisch, dass du die Nummer auch für Retargeting verwenden darfst.
Datenminimierung: Nur die Daten erheben, die du wirklich brauchst. Telefonnummer und Name für WhatsApp-Kommunikation? Ja. Das gesamte Adressbuch automatisch an Meta übertragen? Nein. Genau hier scheitert die Business App.
Betroffenenrechte: Deine Kunden haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Datenübertragbarkeit (Art. 20). Du musst jederzeit in der Lage sein, diese Rechte zu erfüllen. Über die Business App ist das technisch nicht möglich. Über die API schon.
Rechenschaftspflicht: Du musst nachweisen können, dass du die DSGVO einhältst. Dokumentierte Einwilligungen, nachvollziehbare Prozesse, ein AVV mit deinem Dienstleister. Ohne API und professionellen Anbieter bleibt das Wunschdenken.
Warum die „kostenlose" Business App dich 2026 ruinieren kann
Die WhatsApp Business App ist für den Bäcker um die Ecke. Nicht für ein Unternehmen, das ernsthaft Kundendaten verarbeitet. Zwei Probleme zeigen, warum.
Jedes Mal, wenn dein Mitarbeiter die Business App öffnet, überträgt die App Metadaten an Meta: Wer schreibt wem, wann, wie oft, von welchem Gerät. Meta nutzt diese Daten für Werbeprofile – und verknüpft sie mit Facebook- und Instagram-Daten.
Das OLG München hat Ende 2025 klargestellt: Wenn Unternehmen Daten ohne ausreichende Rechtsgrundlage verknüpfen, stehen Betroffenen Schadensersatzansprüche zu. Gerichte sprechen mittlerweile immateriellen Schadensersatz von 250 € bis 750 € pro betroffenem Kontakt zu. Rechne das mal auf deinen Kundenstamm hoch.
Meta hat im Januar 2026 zwar ein Modell für „weniger personalisierte Werbung" eingeführt – aber das ist nur die Notlösung, nachdem das vorherige „Pay-or-Consent"-Modell (entweder zahlen oder Tracking akzeptieren) in der EU faktisch gescheitert ist. Die EU-Kommission hat das Modell als unzureichend bewertet. Meta steht unter Dauerbeobachtung. Das heißt für dich: Verlass dich nicht auf Metas AGB, sondern sichere deine eigene Datenhoheit. Über die API behältst du die Kontrolle – über die App gibst du sie an Meta ab.
Über die API entfällt dieses Risiko. Du kommunizierst direkt über die API-Infrastruktur. Keine Metadaten, die Meta für Werbeprofile nutzt. Keine Vermischung von Geschäfts- und Privatkontakten.
Das BYOD-Problem (Bring Your Own Device)
Dein Vertriebler nutzt sein privates Handy mit installierter Business App. Das heißt: Kundendaten liegen auf einem Privatgerät, vermischt mit privaten Kontakten und WhatsApp-Gruppen. Bei einem Datenschutz-Audit ist das ein Desaster.
Mit einer professionellen API-Lösung für WhatsApp-Marketing arbeitet dein Team über eine zentrale Inbox. Kein privates Handy, kein Datenmix, kein Risiko. D2C-Brands wie bedrop haben ihr Setup in wenigen Tagen umgestellt – sauber, dokumentiert, prüfungssicher.
Was sich 2026 geändert hat: DSA, DMA und neue KI-Regeln
2026 hat die EU gleich mehrere Regulierungen verschärft, die sich direkt auf die WhatsApp-Nutzung im Unternehmen auswirken. Das sind die drei Änderungen, die du kennen musst.
Im Januar 2026 hat die EU-Kommission WhatsApps Channels-Funktion als Very Large Online Platform (VLOP) eingestuft – über 45 Millionen Nutzer in der EU machen das nötig. Das Ergebnis: Für Channels gelten jetzt strengere Transparenz- und Compliance-Pflichten nach dem Digital Services Act (DSA). Meta hat bis Mitte Mai 2026 Zeit, die Risikomanagement-Vorgaben vollständig umzusetzen. Für Compliance-Abteilungen heißt das: Die Uhr tickt.
Private Chats und die Business API sind davon nicht betroffen. Aber wenn du Channels für dein Unternehmensmarketing nutzt, gelten neue Spielregeln für Content-Moderation und Risikobewertung. Die meisten DSGVO-Artikel behandeln Channels noch als harmloses Feature. Das ist seit Januar 2026 nicht mehr korrekt.
Interoperabilität: WhatsApp öffnet sich für Dritt-Messenger
Durch den Digital Markets Act (DMA) ist WhatsApp jetzt interoperabel. Kunden können dir potenziell auch über Dritt-Messenger wie BirdyChat oder Haiket schreiben. Die Ende-zu-Ende-Verschlüsselung bleibt dabei grundsätzlich erhalten – das Signal-Protokoll ist Pflicht. Allerdings: Die E2EE-Übergabe an Dritt-Apps ist technisch komplex. Wenn der Drittanbieter schlampig implementiert, entsteht ein Sicherheitsrisiko. Nutzer müssen aktiv einwilligen (Opt-in), bevor Nachrichten über Dritt-Apps laufen – das ist das Sicherheitsnetz.
Kein Grund zur Panik, aber ein Grund, technisch sauber aufgestellt zu sein. Die WhatsApp Cloud API bildet die aktuelle technische Basis für diese Szenarien und ist der Standard für Unternehmen, die 2026 auf der sicheren Seite stehen wollen.
Den Punkt unterschätzen fast alle: Meta hat zum 15. Januar 2026 die Nutzung von generischen KI-Bots auf der WhatsApp Business API untersagt. Einen frei plaudernden ChatGPT-Clone auf der API laufen zu lassen – das geht nicht mehr.
Erlaubt sind nur aufgabenbezogene Automatisierungen: WhatsApp-Chatbots, die einen klar definierten Business-Zweck verfolgen. Bestellstatus abfragen, Support-Anfragen beantworten, Termine buchen. Wer bisher „wilde" KI-Experimente auf der API gefahren hat, muss das jetzt sauber aufsetzen – oder riskiert eine Sperrung seines API-Zugangs.
Bei Chatarmin bauen wir WhatsApp-Automatisierungen so, dass sie Metas Richtlinien von Tag 1 einhalten. Kein Risiko, kein Nachbessern.
Sonderfall: Gesundheit und Bildung
Für bestimmte Branchen ist die Lage noch drastischer. Ärzte, Apotheker und Pflegekräfte unterliegen der Schweigepflicht nach § 203 StGB. Die Nutzung der normalen WhatsApp App für Patientenkommunikation ist hier kein DSGVO-Ärgernis – es ist ein potenzieller Straftatbestand. Die App erstellt Metadaten-Profile und synchronisiert Kontaktdaten. Beides ist mit ärztlicher Schweigepflicht unvereinbar.
Ähnlich bei Schulen und Bildungseinrichtungen: Die Datenschutzkonferenz (DSK) empfiehlt, die WhatsApp App im Schulbetrieb nicht einzusetzen. Lehrer, die über ihre private App Eltern kontaktieren, übertragen dabei auch Kontaktdaten unbeteiligter Dritter an Meta.
In beiden Fällen ist die API der Ausweg: Keine Adressbuch-Synchronisation, keine Metadaten-Profile, volle Kontrolle über die Datenverarbeitung.
