WhatsApp Business und Datenschutz: Was 2026 für Unternehmen gilt

Viele Unternehmen nutzen die kostenlose WhatsApp-Business-App, ohne zu wissen, dass sie datenschutzrechtlich problematisch ist: Die App gleicht beim Einrichten das komplette Adressbuch des Telefons mit Meta ab — auch die Kontakte, die der Nutzung nie zugestimmt haben. Für eine wirklich DSGVO-konforme geschäftliche Nutzung führt kaum ein Weg an der WhatsApp Business Cloud API vorbei.

Der zentrale technische Unterschied: Bei der Cloud API kann die Datenverarbeitung auf eine europäische Region eingestellt werden, es gibt keinen automatischen Adressbuch-Abgleich, und die Anbindung erfolgt über eine kontrollierte Schnittstelle statt über eine App auf einem beliebigen Gerät. Wir haben unseren eigenen WhatsApp-Kanal genau darüber aufgebaut.

Rechtlich lohnt sich eine klare Unterscheidung zwischen zwei Situationen. Schreibt ein Interessent von sich aus über WhatsApp, darf man antworten — das ist keine unerwünschte Werbung, sondern eine Reaktion auf eine aktive Anfrage. Anders sieht es aus, sobald man selbst eine Kampagne oder Erinnerung startet: Dafür ist eine gesonderte, ausdrückliche Einwilligung nötig, unabhängig von einer allgemeinen Gesprächszustimmung — dieselbe Logik wie bei § 7 UWG im E-Mail-Marketing.

In der Praxis heißt das: eine einfache Ja/Nein-Bestätigung per Button, dokumentiert mit Zeitpunkt und Kontext, bevor irgendeine Marketingnachricht verschickt wird. Eine Antwort auf eine normale Kundenanfrage braucht diese Einwilligung nicht.

Zwei weitere Punkte sollten vor dem Start geklärt sein: die Meta-Geschäftsverifizierung, die einige Tage dauern kann, und ein Auftragsverarbeitungsvertrag mit Meta für die datenschutzrechtliche Verantwortung. Beides lässt sich parallel zur technischen Einrichtung erledigen und muss nicht den Start verzögern.