Einwilligungsnachweise führen, die einer Prüfung standhalten

Fragen Sie ein Team, ob für die WhatsApp-Liste Einwilligungen vorliegen, lautet die Antwort fast immer ja. Bitten Sie um den Nachweis für einen einzelnen Kontakt — die Person, die sich heute Morgen beschwert hat — dauert es Tage oder kommt gar nichts. Eine Einwilligung, die Sie nicht belegen können, wirkt am Ende wie gar keine, denn eine Prüferin, eine Behörde oder ein verärgerter Kunde sieht immer nur das, was Sie zeigen können. Unser ausführlicher Leitfaden zu Datenschutz und Compliance auf WhatsApp zeichnet das Gesamtbild; hier geht es um die Dokumentation, die alles andere trägt.

Warum die Behauptung allein nichts wert ist

Im Streitfall liegt die Nachweislast bei Ihnen. Niemand muss beweisen, nie zugestimmt zu haben — Sie müssen zeigen, dass jemand zugestimmt hat. Das ist eher ein praktisches als ein juristisches Problem, denn der normale Betrieb zerstört die Belege ganz nebenbei. Das Anmeldeformular wird überarbeitet, der Checkbox-Text geändert, eine Tabelle neu importiert, die Kollegin, die die Nummer im Laden aufgenommen hat, ist längst weg. Ein halbes Jahr später steht im Feld "Einwilligung: ja" und sonst nichts. Das ist eine Behauptung, kein Beweis.

Was ein belastbarer Nachweis enthält

Fünf Angaben erledigen den größten Teil. Speichern Sie sie pro Kontakt und pro Erlaubnis:

1. Wer — der Kontakt, identifiziert wie überall sonst, in der Regel die Rufnummer im vollständigen internationalen Format.
2. Wann — ein Zeitstempel vom System, kein später aus dem Gedächtnis eingetragenes Datum.
3. Was gezeigt wurde — der genaue Wortlaut im Moment der Zustimmung oder ein Versionsverweis darauf.
4. Wo — Kanal und Quelle: Checkbox im Checkout, QR-Code im Laden, Click-to-Chat-Link, eine Antwort im Chat.
5. Wozu — der Umfang. Werbung auf WhatsApp ist nicht dieselbe Erlaubnis wie Servicemeldungen, und eine folgt nie aus der anderen.

Den Wortlaut lassen Teams am ehesten weg und bereuen es später. Einwilligungstexte ändern sich ständig, und "sie hat im März ein Häkchen gesetzt" sagt nichts, wenn unklar bleibt, welches. Eine versionierte Kopie jedes Textes samt Gültigkeitszeitraum macht aus einer vagen Behauptung etwas, das sich in Sekunden prüfen lässt. Sie beantwortet zugleich die Frage nach der Rechtsgrundlage aus DSGVO und WhatsApp Business: Der Nachweis zeigt, worauf Sie sich bei diesem Kontakt gestützt haben und warum.

Automatisch erfassen, nie nachträglich rekonstruieren

Was ein Mensch daran denken muss zu protokollieren, wird irgendwann nicht protokolliert. Den Nachweis sollte dasselbe System schreiben, das das Opt-in entgegennimmt: Formular abgeschickt, Kontakt angelegt, Einwilligungsereignis mit Zeitstempel und Textversion im selben Schritt gespeichert. Stimmt jemand per Antwort im Chat zu, ist diese Nachricht selbst der Beleg — bewahren Sie sie auf, statt sie zu einem Häkchen zusammenzufassen.

Nachträglich zu rekonstruieren ist schlechter als nutzlos. Ein Nachweis, der drei Monate später aus einem Export und guter Erinnerung zusammengesetzt wurde, sieht genau nach dem aus, wovor Prüfer gewarnt werden — und meistens ist er es auch.

“

Ein von Hand geschriebener Einwilligungsnachweis ist eine Erinnerung. Einer, den das System im Moment des Opt-ins schreibt, ist ein Beleg.

— be digital ai Team

Widerruf genauso sorgfältig protokollieren

Am Widerruf zerbrechen die meisten Nachweise. Jemand antwortet STOP, ein Agent nimmt den Kontakt still aus der Zielgruppe, und niemand hält etwas fest. Später lässt sich nicht zeigen, wann der Widerruf kam, und es fehlt jede Verteidigung, falls doch eine Vorlage rausgeht. Erfassen Sie dieselben Angaben: wer, wann, über welchen Kanal und was genau widerrufen wurde. Wer keine Werbung mehr will, möchte Versandmeldungen vielleicht weiterhin — geht diese Unterscheidung verloren, sperren Sie zu viel oder zu wenig.

Wo der Nachweis liegt und wer ihn sonst noch hält

Einwilligungsbelege verteilen sich meist auf ein Formularsystem, ein CRM und das Tool, das die Nachrichten sendet. Das funktioniert, aber nur wenn klar ist, welches System die maßgebliche Quelle ist und ob Sie ohne Entwicklerin daraus abrufen können. Zudem halten fremde Unternehmen Belege, auf die Sie angewiesen sind — also zählen Verträge und Ausstiegsbedingungen: was Sie exportieren können, in welchem Format und was beim Wechsel damit geschieht. Genau darum geht es bei Auftragsverarbeitungsverträgen und Unterauftragsverarbeitern.

Wenn ein Kunde die Nummer wechselt

Rufnummern werden neu vergeben, und gerade am Golf wechseln Kunden sie häufiger, als ein europäisches CRM erwartet. Die Einwilligung gehört zur Person, adressiert wird auf WhatsApp aber eine Nummer. Nennt Ihnen jemand eine neue, übernehmen Sie die alte Erlaubnis nicht stillschweigend: Verknüpfen Sie die Datensätze, halten Sie den Wechsel und dessen Bestätigung fest, und fragen Sie erneut, wenn es um Werbung statt Service geht. Ist eine Nummer neu vergeben, wird aus einem geerbten Opt-in eine ungefragte Nachricht an eine fremde Person.

Der Ein-Minuten-Test

Greifen Sie einen Kontakt heraus und beantworten Sie laut: Wann hat diese Person zugestimmt, wozu, in welchem Wortlaut, über welchen Kanal, und hat sie seitdem etwas widerrufen? Dauert das länger als eine Minute, ist das noch kein Nachweis. Machen Sie den Test einmal im Quartal und nach jeder Änderung an einem Anmeldeformular. Was Sie genau aufbewahren müssen, hängt von Märkten und Branche ab — klären Sie die Details mit Ihrer eigenen Rechtsberatung. Nur kann keine Kanzlei Belege beschaffen, die nie erfasst wurden.