WhatsApp Business DSGVO-konform einrichten: So nutzen kleine Unternehmen den Kundenchat rechtssicher

Montagmorgen, 8:37 Uhr: Eine Kundin schreibt per WhatsApp, ob ein Ersatzteil verfügbar ist. Der Inhaber antwortet schnell über sein privates Smartphone, leitet die Anfrage an einen Kollegen weiter und speichert die Nummer nebenbei im Adressbuch. Praktisch ist das, rechtlich und organisatorisch aber riskant. Spätestens wenn mehrere Mitarbeitende Kundenchats bearbeiten, Angebote verschicken oder Nachrichten zu Werbezwecken senden, braucht WhatsApp Business klare Regeln.

WhatsApp ist für viele kleine Unternehmen ein relevanter Kundenkanal, weil Kundinnen und Kunden dort bereits erreichbar sind. DSGVO-konform wird der Einsatz jedoch nicht allein durch die Installation der WhatsApp-Business-App. Entscheidend sind der Zweck der Kommunikation, die Rechtsgrundlage, die Datenflüsse und die technische Umsetzung.

Privates und geschäftliches WhatsApp konsequent trennen

Die wichtigste Regel lautet: Nutzen Sie für geschäftliche Kommunikation keine private WhatsApp-Installation und keine private Mobilnummer. Ein separates Geschäftskonto mit eigener Nummer schafft eine nachvollziehbare Trennung zwischen Kundenanfragen und privaten Kontakten.

Für ein kleines Unternehmen mit wenigen Anfragen kann die WhatsApp-Business-App auf einem Diensthandy genügen. Dort lassen sich Unternehmensprofil, Öffnungszeiten, Schnellantworten, Labels und ein Produktkatalog verwalten. Die App ist vor allem dann passend, wenn ein oder zwei Personen Kundenanfragen persönlich beantworten.

Richten Sie mindestens diese Punkte ein:

• separate geschäftliche Telefonnummer und möglichst ein separates Dienstgerät
• vollständiges Unternehmensprofil mit Firmenname, Kontaktweg und Datenschutzhinweis
• Zugriffsschutz über Gerätesperre und Zwei-Faktor-Authentifizierung
• klar geregelte Vertretung bei Urlaub und Krankheit
• keine private Kontaktliste auf dem Dienstgerät
• festgelegte Löschfristen für abgeschlossene Chatverläufe

Ein geteilter Familiencomputer oder ein privates Smartphone eines Mitarbeitenden ist keine saubere Grundlage. Auch bei kleinen Teams sollte klar sein, wer auf welche Kundenkommunikation zugreifen darf. Passwörter und Zugangsdaten gehören nicht in Chatnotizen oder Excel-Listen. Hinweise zur passenden Organisation finden Sie im Beitrag Passwort-Manager für kleine Teams: sicher und DSGVO-konform.

Wann die Business-App genügt und wann die Platform sinnvoller ist

Die WhatsApp-Business-App und die WhatsApp Business Platform erfüllen unterschiedliche Aufgaben. Die Platform wird oft weiterhin als API bezeichnet. Sie ist für Unternehmen gedacht, die WhatsApp in ein CRM, einen zentralen Posteingang oder Automatisierungen einbinden möchten.

Anforderung	WhatsApp-Business-App	WhatsApp Business Platform
Einzelne Kundenanfragen bearbeiten	gut geeignet	möglich, meist unnötig aufwendig
Ein bis zwei Mitarbeitende	gut geeignet	nur bei vorhandener Systemintegration sinnvoll
Gemeinsamer Team-Posteingang	nur eingeschränkt	gut geeignet
Zuweisung von Chats an Mitarbeitende	nur begrenzt	sinnvoll
CRM-Anbindung	kaum möglich	typischer Einsatzzweck
Chatbot und automatisierte Abläufe	sehr begrenzt	möglich, mit zusätzlicher Planung
Hohe Zahl paralleler Anfragen	ungeeignet	besser skalierbar

Die Platform ist nicht automatisch datenschutzfreundlicher als die App. Sie schafft aber bessere Prozesse, wenn mehrere Personen arbeiten oder Kundendaten ohnehin im CRM geführt werden. Dann müssen Sie zusätzlich prüfen, welche Daten zwischen WhatsApp, Ihrem Plattformanbieter, dem CRM und weiteren Systemen fließen.

Bevor Sie eine Plattform anbinden, sollte geklärt sein, ob Ihr Betrieb tatsächlich ein CRM braucht oder ob ein strukturierter Kontaktprozess vorerst ausreicht. Dazu passt unser Beitrag Brauche ich ein CRM oder reicht Excel?. Bei wachsenden Teams hilft auch der CRM für kleine Unternehmen im Vergleich.

Einwilligung: Kundenservice ist nicht automatisch Werbung

Datenschutzrechtlich ist entscheidend, warum Sie einer Person schreiben. Wenn ein Kunde selbst eine Frage zu einer Bestellung stellt, kann die Antwort in vielen Fällen zur Vertragsabwicklung oder zur Bearbeitung der Anfrage erforderlich sein. Antworten Sie dabei konkret auf das Anliegen und erweitern Sie den Chat nicht ungefragt um Angebote.

Anders ist es bei werblichen Nachrichten: Rabattaktionen, Produktneuheiten, Erinnerungen an Termine mit Verkaufsabsicht oder regelmäßige Angebotsnachrichten benötigen in der Regel eine vorherige, freiwillige und nachweisbare Einwilligung. Eine E-Mail-Einwilligung ist nicht automatisch eine Einwilligung für WhatsApp.

Eine belastbare Einwilligung benennt mindestens:

• Ihr Unternehmen als Absender
• den Kommunikationskanal WhatsApp
• den konkreten Zweck, etwa Angebote oder Terminerinnerungen
• den Hinweis auf den jederzeit möglichen Widerruf
• den Zeitpunkt und Weg der Zustimmung

Praktisch ist ein Opt-in über ein Website-Formular, einen QR-Code im Geschäft oder eine aktive Nachricht des Kunden wie „START“. Dokumentieren Sie dabei Quelle, Datum, Wortlaut der Einwilligung und gegebenenfalls die bestätigende Nachricht. Voreingestellte Häkchen oder versteckte Hinweise in allgemeinen Geschäftsbedingungen reichen nicht aus.

Für die Kommunikation per Newsletter gelten ähnliche Grundsätze, aber keine identischen technischen Abläufe. Wie Sie Einwilligungen und Dienstleister dort strukturieren, lesen Sie in Newsletter-Tool wählen: DSGVO-konform und günstig.

Kontaktimport: Nicht das ganze Adressbuch synchronisieren

Der automatische Abgleich des gesamten Smartphone-Adressbuchs ist einer der häufigsten Fehler. Darin stehen oft private Kontakte, Lieferanten, Bewerber oder Kundinnen und Kunden, die nie einer Übermittlung ihrer Telefonnummer an WhatsApp zugestimmt haben.

Übernehmen Sie nur Kontakte, die Sie für den klar festgelegten Zweck benötigen. Am besten arbeiten Sie mit einem separaten Geschäftstelefon ohne private Adressdaten. Prüfen Sie außerdem die Berechtigungen der App und deaktivieren Sie Funktionen, die nicht erforderlich sind.

Für den Alltag bedeutet das:

• Speichern Sie Kundennummern nicht vorsorglich für spätere Werbung.
• Importieren Sie keine Excel-Listen oder Telefonbücher ohne geprüfte Rechtsgrundlage.
• Nutzen Sie für Marketing nur Kontakte mit dokumentierter WhatsApp-Einwilligung.
• Löschen Sie Kontakte und Chats, wenn der Zweck entfällt und keine Aufbewahrungspflicht besteht.
• Regeln Sie, wie Mitarbeitende mit Screenshots, weitergeleiteten Chats und Sprachnachrichten umgehen.

Besonders kritisch sind Chatverläufe mit sensiblen Informationen, etwa Gesundheitsdaten, Personalthemen oder Zahlungsdaten. Solche Inhalte gehören möglichst nicht in WhatsApp. Bitten Sie Kunden bei Bedarf um einen sicheren alternativen Kanal, etwa ein Kundenportal, Telefonat oder eine verschlüsselte E-Mail-Lösung.

Auftragsverarbeitung und Datenflüsse prüfen

Sobald Sie einen externen Anbieter für einen Team-Posteingang, ein CRM, Chatbot-Software oder eine WhatsApp-Platform-Anbindung einsetzen, verarbeiten meist mehrere Unternehmen Kundendaten. Dann reicht es nicht, nur die Datenschutzerklärung auf der eigenen Website zu ergänzen.

Erstellen Sie vor dem Start eine kurze Übersicht:

• Welche Daten werden verarbeitet, etwa Telefonnummer, Name, Chatinhalt und Bestelldaten?
• Zu welchem Zweck werden sie verarbeitet?
• Welche Systeme und Dienstleister erhalten Zugriff?
• Wo werden die Daten gespeichert oder verarbeitet?
• Besteht mit dem jeweiligen Dienstleister ein Vertrag zur Auftragsverarbeitung?
• Welche Löschfristen und Zugriffsrechte gelten?

Nicht jeder Anbieter ist rechtlich automatisch Ihr Auftragsverarbeiter. Bei großen Plattformen können für einzelne Verarbeitungsvorgänge eigene Verantwortlichkeiten und zusätzliche Vertragsbedingungen gelten. Prüfen Sie deshalb die jeweils aktuellen Vertragsunterlagen, Datenschutzinformationen und Einstellungen des eingesetzten Dienstes. Wenn Daten außerhalb der EU verarbeitet werden können, gehört auch dieser Datenfluss in Ihre Dokumentation.

Wer das Thema technische und organisatorische Grundlagen systematisch lernen will, findet passende Seminare bei cmt.de.

Datenschutzinformation und interne Regeln ergänzen

Ihre Datenschutzerklärung sollte WhatsApp nicht nur pauschal erwähnen. Beschreiben Sie verständlich, für welche Zwecke Sie den Kanal einsetzen, welche Daten betroffen sind, auf welcher Rechtsgrundlage die Verarbeitung beruht und wie Betroffene ihre Rechte ausüben können.

Intern benötigen Sie zusätzlich eine kurze Arbeitsanweisung. Sie sollte festlegen, wer antworten darf, welche Inhalte tabu sind, wann ein Chat in das CRM übernommen wird und wann Mitarbeitende auf E-Mail oder Telefon wechseln sollen. Für automatisierte Antworten und Chatbots ist diese Regelung besonders wichtig. Der Beitrag KI im Kundenservice: Chatbots richtig nutzen zeigt, welche Erwartungen Sie bei Automatisierung und menschlicher Übergabe berücksichtigen sollten.

Checkliste vor dem Start

• Geschäftliche Nummer und Konto sind von privaten Konten getrennt.
• Das Dienstgerät enthält keine unnötigen privaten Kontakte.
• Kundenservice und Werbung sind in den Prozessen klar unterschieden.
• Werbliche WhatsApp-Nachrichten gehen nur an Kontakte mit nachweisbarer Einwilligung.
• Kontaktimport und App-Berechtigungen sind geprüft.
• Zugriffe, Vertretungen und Löschfristen sind intern geregelt.
• Eingesetzte CRM-, Inbox- oder Platform-Anbieter sind dokumentiert und vertraglich geprüft.
• Datenschutzerklärung und Verzeichnis der Verarbeitungstätigkeiten sind ergänzt.

WhatsApp Business ist kein rechtsfreier Schnellkanal, aber auch nicht grundsätzlich ausgeschlossen. Für einfache, individuelle Kundenanfragen reicht die Business-App oft aus, sofern Sie sauber trennen und keine unkontrollierte Kontaktliste synchronisieren. Sobald mehrere Mitarbeitende, Marketingkampagnen oder CRM-Prozesse hinzukommen, ist eine strukturierte Platform-Lösung mit dokumentierten Datenflüssen meist die bessere Wahl.