WhatsApp im Unternehmen: Welche Variante datenschutzrechtlich trägt

Der Kunde schreibt per WhatsApp, weil es schneller geht als eine E-Mail. Der Außendienst schickt Fotos in eine Gruppe. Die Terminabsage kommt als Sprachnachricht. In vielen Betrieben läuft ein erheblicher Teil der Kundenkommunikation über einen Kanal, den niemand freigegeben hat.

Ob dieser Kanal datenschutzrechtlich trägt, lässt sich nicht pauschal beantworten. Es kommt darauf an, welche WhatsApp-Variante eingesetzt wird – und die Unterschiede zwischen ihnen sind größer, als der gemeinsame Name vermuten lässt.

Die Varianten im Überblick

Meta bietet unter der Marke WhatsApp mehrere Produkte an, die technisch und rechtlich verschieden funktionieren:

• den WhatsApp Messenger, die gewöhnliche App für private Nutzung,
• die WhatsApp Business App, eine kostenlose Variante für Einzelunternehmer und sehr kleine Teams,
• die WhatsApp Business Platform, den programmierbaren Zugang über eine Schnittstelle, den Unternehmen über zugelassene Anbieter beziehen,
• sowie die frühere On-Premises API, die Meta am 23. Oktober 2025 abgeschaltet hat.

Wer über „WhatsApp im Unternehmen” spricht, meint je nach Gesprächspartner etwas anderes. Die folgende Einordnung geht die Varianten deshalb einzeln durch.

WhatsApp Messenger auf dem privaten Gerät

Dies ist die verbreitetste und zugleich problematischste Konstellation: Beschäftigte nutzen ihre private App, um mit Kunden, Lieferanten oder Kollegen dienstlich zu kommunizieren.

Datenschutzrechtlich entstehen dabei mehrere Schwierigkeiten gleichzeitig. Das Unternehmen hat keinen Zugriff auf die Kommunikation und kann weder Auskunftsansprüche erfüllen noch Löschungen durchsetzen. Es besteht kein Vertrag mit dem Anbieter. Und der Kanal taucht in keinem Verzeichnis auf, obwohl über ihn personenbezogene Daten verarbeitet werden.

Hinzu kommt der Umstand, der alle App-Varianten betrifft und weiter unten eigens behandelt wird: der Abgleich des Adressbuchs.

Kommt es zu einem Streit über die Kommunikation – etwa über eine Terminzusage oder eine Reklamation –, liegt die Beweislage auf einem privaten Gerät, auf das das Unternehmen keinen Zugriff hat. Spätestens beim Ausscheiden der beschäftigten Person ist der Vorgang nicht mehr rekonstruierbar.

WhatsApp Business App

Die Business App richtet sich an Einzelunternehmer und kleine Teams. Sie bietet ein Unternehmensprofil, einen Produktkatalog, automatische Abwesenheitsnachrichten und Kurzbefehle. Betrieben wird sie wie die gewöhnliche App auf einem Endgerät.

Genau darin liegt die Einschränkung: Am Adressbuchabgleich ändert die Business App nichts. Auch sie gleicht die auf dem Gerät gespeicherten Kontakte mit den Servern des Anbieters ab. Wer sie auf einem Gerät nutzt, auf dem sich gewachsene Kontaktbestände befinden, überträgt diese Bestände mit.

Praktisch bedeutet das: Die Business App lässt sich nur dann vertretbar einsetzen, wenn sie auf einem dienstlichen Gerät läuft, dessen Adressbuch ausschließlich Kontakte enthält, die in eine solche Übermittlung eingewilligt haben oder bei denen eine andere Rechtsgrundlage trägt. In der Praxis ist das ein sehr enger Anwendungsbereich.

Ein zweiter Punkt betrifft die Vertragsebene. Für die Business App stellt Meta keine Auftragsverarbeitung im Sinne des Art. 28 DSGVO zur Verfügung, wie sie bei der Business Platform vorgesehen ist. Das Unternehmen steht damit ohne die vertragliche Grundlage da, die es für die Einbindung eines Dienstleisters bräuchte.

WhatsApp Business Platform (Cloud API)

Die Business Platform ist der Weg, der sich rechtlich abbilden lässt – und seit dem 23. Oktober 2025 der einzige API-Zugang, den Meta anbietet.

Technisch funktioniert sie grundlegend anders. Die Kommunikation läuft nicht über eine App auf einem Endgerät, sondern über eine Programmierschnittstelle. Ein Adressbuch wird nicht hochgeladen. Verarbeitet werden nur die Rufnummern, mit denen tatsächlich kommuniziert wird.

Der Zugang erfolgt in aller Regel über einen zugelassenen Anbieter, im Sprachgebrauch Business Solution Provider oder BSP. Dieser stellt die Schnittstelle bereit und liefert die Ebene, die den Betrieb praktisch macht: einen gemeinsamen Posteingang für mehrere Bearbeiter, Weiterleitungsregeln, Vorlagen, Auswertungen und Anbindungen an vorhandene Systeme.

Datenschutzrechtlich entstehen dadurch zwei Vertragsbeziehungen, die beide geprüft gehören: die zum Anbieter und die zu Meta. Mit dem Anbieter schließen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Zu prüfen sind dabei dieselben Punkte wie bei jedem Dienstleister – die hinreichenden Garantien nach Art. 28 Abs. 1, die Regelungen zu Unterauftragsverarbeitern und der Umgang mit Übermittlungen in Drittländer.

Die frühere On-Premises API

Bis Oktober 2025 gab es eine Variante, bei der Unternehmen die Schnittstelle auf eigener Infrastruktur betrieben. Sie galt bei manchen Beratern als datenschutzfreundlichere Lösung, weil weniger Daten bei Meta lagen.

Diese Option besteht nicht mehr. Meta hat die On-Premises API am 23. Oktober 2025 abgeschaltet; seither ist die Cloud API der einzige Weg. Wer noch auf Konzepte oder Angebote stößt, die auf die On-Premises-Variante abstellen, arbeitet mit veralteten Unterlagen.

Der Adressbuchabgleich als Kernproblem

Der Punkt, an dem die App-Varianten scheitern, verdient eine genauere Betrachtung, weil er häufig missverstanden wird.

Die App gleicht das Adressbuch des Geräts mit den Servern des Anbieters ab – bei der Einrichtung und danach fortlaufend. Übermittelt werden die Rufnummern aller gespeicherten Kontakte. Das schließt Personen ein, die den Dienst selbst nicht nutzen und von der Übermittlung nichts wissen.

Für diese Übermittlung braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. Eine Einwilligung der betroffenen Dritten liegt regelmäßig nicht vor. Ein überwiegendes berechtigtes Interesse lässt sich schwer begründen, weil die Übermittlung nicht ihren Interessen dient, sondern der Bequemlichkeit des Nutzers. Aufsichtsbehörden und Fachliteratur bewerten den automatischen Abgleich deshalb überwiegend als kaum vertretbar.

Das Unternehmen trägt die Verantwortung für sämtliche übermittelten Kontakte – auch für die, mit denen es über WhatsApp nie kommuniziert hat.

Wer ist datenschutzrechtlich wofür verantwortlich?

Diese Frage lässt sich nicht mit einem Satz beantworten, und wer sie mit einem Satz beantwortet, vereinfacht unzulässig.

Je nach Variante und Verarbeitungsvorgang kommen verschiedene Konstellationen in Betracht: eigene Verantwortlichkeit des Unternehmens, Auftragsverarbeitung durch den Anbieter, gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder getrennte Verantwortlichkeiten für einzelne Vorgänge. Die Einordnung ist in der Fachliteratur umstritten und hängt davon ab, wer über Zwecke und Mittel der jeweiligen Verarbeitung tatsächlich entscheidet.

Für die Praxis folgt daraus weniger eine dogmatische als eine organisatorische Antwort: Prüfen Sie die Verarbeitungsvorgänge einzeln, dokumentieren Sie Ihre Einordnung mit Begründung, und schließen Sie die Verträge, die zu dieser Einordnung passen. Eine dokumentierte, nachvollziehbar begründete Bewertung ist im Prüfungsfall mehr wert als eine pauschale Aussage.

Welche Rolle spielt die Datenübermittlung in die USA?

Meta Platforms hat seinen Sitz in den Vereinigten Staaten. Übermittlungen dorthin sind an Kapitel V der DSGVO zu messen. Seit Juli 2023 besteht ein Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, auf den sich Übermittlungen an zertifizierte Unternehmen stützen lassen.

Dieser Beschluss steht unter Beobachtung: Eine Klage gegen ihn wurde im September 2025 vom Gericht der Europäischen Union abgewiesen, das Rechtsmittelverfahren ist anhängig. Wer WhatsApp einsetzt, sollte deshalb wissen, worauf sich die Übermittlung stützt – und ob im Vertrag mit dem Anbieter Standardvertragsklauseln als Auffangebene vorgesehen sind.

Was muss beim WhatsApp-Einsatz geregelt werden?

Verschaffen Sie sich zuerst einen Überblick. Wird WhatsApp bei Ihnen eingesetzt, und wenn ja: von wem, auf welchen Geräten, in welcher Variante? Die Antwort fällt in Vertrieb und Außendienst erfahrungsgemäß anders aus als in der Geschäftsführung.

Treffen Sie dann eine bewusste Entscheidung. Entweder Sie schließen die dienstliche Nutzung der App-Varianten aus und stellen einen geeigneten Kanal bereit, oder Sie führen die Business Platform über einen Anbieter ein, mit dem ein Auftragsverarbeitungsvertrag besteht.

Ein Verbot ohne Alternative funktioniert nicht. Wenn Kunden über WhatsApp erreichbar sein wollen und kein anderer Weg bereitsteht, wird weiter über private Geräte kommuniziert – nur unsichtbar für das Unternehmen. Die Regelung muss deshalb einen Kanal benennen, der die Erwartung der Kunden erfüllt.

Dokumentieren Sie den eingesetzten Kanal. Er gehört ins Verzeichnis von Verarbeitungstätigkeiten, mit Zwecken, Empfängern, Drittlandbezug und Löschfristen. Ebenso gehört er in die Informationen nach Art. 13 DSGVO – Kunden müssen erfahren, was mit ihren Daten geschieht, wenn sie diesen Weg nutzen.

Klären Sie die Löschung. Nachrichtenverläufe wachsen unbegrenzt, wenn niemand eine Frist festlegt. Wer eine Aufbewahrungsdauer bestimmt und sie umsetzt, beantwortet damit zugleich die Frage, was beim Ausscheiden von Beschäftigten mit den Verläufen geschieht.

Wenn WhatsApp nicht die Lösung sein soll

Für die interne Kommunikation gibt es Messenger, die auf europäischen Servern betrieben werden und eine Auftragsverarbeitung ohne Drittlandbezug ermöglichen. Für die Kundenkommunikation lässt sich häufig ein Rückkanal über die eigene Website oder ein Ticketsystem einrichten, der dieselbe Schnelligkeit bietet.

Die Entscheidung sollte nicht allein am Datenschutz hängen, sondern auch daran, wo Ihre Kunden tatsächlich erreichbar sind. Ein rechtlich einwandfreier Kanal, den niemand nutzt, löst kein Problem.

Dieselbe Prüfung gilt für jeden Kanal

Der Fall ist auf keinen Anbieter beschränkt. Jeder Messenger, jedes Kollaborationswerkzeug und jedes Ticketsystem, über das personenbezogene Daten laufen, wirft dieselben vier Fragen auf: Wer ist der Anbieter, welche Daten fließen dorthin, besteht ein Vertrag, und in welchem Land wird verarbeitet.

Sie sind unsicher, welche Kanäle bei Ihnen im Einsatz sind und wie sie einzuordnen sind? Unser externer Datenschutzbeauftragter prüft die eingesetzten Werkzeuge, ordnet die Verantwortlichkeiten ein und dokumentiert das Ergebnis nachvollziehbar. Eine erste Einschätzung erhalten Sie in unter einer Minute über den Datenschutz-Check.