DSGVO und WhatsApp Business: Was wirklich gilt

Ein WhatsApp-Gespräch wirkt informell. Rechtlich ist es das nicht. Sobald die Nummer einer Kundin in Ihrem Postfach liegt, verarbeiten Sie personenbezogene Daten, und jede weitere Nachricht kommt hinzu. Die Regeln sind weniger dramatisch als die Schlagzeilen, aber sie sind konkret — und sie gelten für ein einzelnes gemeinsames Postfach genauso wie für fünfzig Agents. Unser ausführlicher Leitfaden zu Datenschutz und Compliance auf WhatsApp zeichnet das Gesamtbild; dieser Artikel behandelt, was die DSGVO im täglichen Betrieb tatsächlich verlangt.

Nummer plus Chatverlauf sind personenbezogene Daten

Die DSGVO gilt für Informationen über eine identifizierbare Person, und eine Telefonnummer erfüllt das bereits allein. Kommen Name, Bestellung, Lieferadresse, ein Foto beschädigter Ware und eine Sprachnachricht dazu, warum die Lieferung unbedingt vor Donnerstag ankommen muss, liegt ein detailliertes Profil in einem Chat-Thread. Der Verlauf ist der Teil, den Unternehmen vergessen. Er ist kein Telefonat, das mit dem Auflegen verschwindet, sondern gespeicherte Daten, die Sie kontrollieren, durchsuchen, exportieren und oft in Automatisierungen einspeisen. Behandeln Sie den Thread wie einen CRM-Datensatz, denn genau das ist er.

Verantwortlicher und Auftragsverarbeiter: Wer wofür geradesteht

Sie entscheiden, warum Sie Kunden anschreiben und was mit deren Antworten geschieht — damit ist Ihr Unternehmen der Verantwortliche. Die eingesetzten Werkzeuge, also Ihr Anbieter der WhatsApp Business Platform, Ihr CRM, Ihr Ticketsystem, verarbeiten diese Daten nach Ihren Weisungen und sind damit Auftragsverarbeiter. Diese Trennung zählt, weil die Verantwortung nicht mit den Daten weiterwandert. Beschwert sich jemand über den Umgang mit seinen Informationen, landet die Frage auf Ihrem Schreibtisch, nicht beim Softwareanbieter.

Praktisch heißt das: Sie sollten wissen, welche Unternehmen Ihre Chatdaten berühren, zu welchen Bedingungen und wo die Daten liegen. Das ist eine schriftliche Vereinbarung, kein Handschlag — und sie gehört vor einem Toolwechsel geprüft, nicht danach.

Eine Rechtsgrundlage für jede Nachricht

Jede Nachricht braucht einen Grund, den das Gesetz anerkennt. Zwei decken fast alles ab, was ein WhatsApp-CRM tut:

• Werbliche Nachrichten laufen über die Einwilligung — freiwillig, konkret und dokumentiert. Wer ein Sofa gekauft hat, hat damit nicht dem Sommerschlussverkauf zugestimmt.
• Servicenachrichten zu einer Bestellung oder Anfrage stützen sich meist auf die Vertragserfüllung oder ein berechtigtes Interesse, das Sie laut aussprechen können: eine Versandmeldung, eine Terminerinnerung, die Antwort auf eine gestellte Frage.

Die Grenze ist nicht immer offensichtlich, und sie zu verwischen ist der häufigste Fehler, den wir sehen. Eine Versandmeldung mit angehängtem Rabattcode ist eine Werbenachricht in Dienstkleidung. Halten Sie beide Ströme in Vorlagen und Auswertungen getrennt, dann bleibt die Grundlage für jede Nachricht leicht zu begründen.

“

Wenn Sie nicht in einem Satz sagen können, warum Sie eine Nachricht senden dürfen, dürfen Sie sie nicht senden.

— be digital ai Team

Transparenz ist der größte Teil der Arbeit

Menschen haben ein Recht darauf, vorher zu wissen, was mit ihren Daten passiert: wer Sie sind, warum Sie schreiben, wie lange das Gespräch ungefähr gespeichert bleibt und wer sonst noch hineinsieht. Auf WhatsApp bedeutet das selten, eine Datenschutzerklärung in den Chat zu kopieren. Es bedeutet eine klare Zeile beim Opt-in mit Link auf die vollständige Information und ein Unternehmensprofil, das die Firma hinter der Nummer nennt. Welcher Wortlaut gezeigt wurde, müssen Sie später auch belegen können — deshalb lohnt es sich, Einwilligungsnachweise zu führen, die einer Prüfung standhalten, statt sie unter Druck zu rekonstruieren.

Anfragen, die im Chat eintreffen

Auskunfts-, Berichtigungs- und Löschanfragen kommen nicht per Briefkopf. Sie kommen als "Löschen Sie meine Daten" um 22:40 Uhr am Samstag, im selben Thread wie eine Versandfrage. Ihr Team muss so eine Anfrage erkennen, und Ihr Prozess muss gleich funktionieren, egal ob sie per Chat, E-Mail oder Telefon eingeht.

Zwei Dinge machen das beherrschbar: ein einziger Ort, an dem die Daten eines Kontakts tatsächlich liegen, und eine dokumentierte Routine, die innerhalb der erwarteten Frist antwortet. Löschen wird erst real, wenn es Exporte, Backups und alles erfasst, was Sie an ein anderes Tool übergeben haben — genau dort trägt eine klare Haltung zu Aufbewahrung und Löschung von Chats die Hauptlast.

Die Gewohnheiten, die Ärger ersparen

• Jeder Agent bekommt einen eigenen Zugang. Bei Sammelkonten lässt sich nicht sagen, wer was gelesen hat.
• Erheben Sie nur, was das Gespräch braucht, und bitten Sie Kunden, keine Dokumente oder Kartendaten in den Chat zu schicken.
• Prüfen Sie Zugriffsrechte in der Woche, in der jemand die Rolle wechselt oder geht — nicht beim Jahresaudit.
• Halten Sie schriftlich fest, wohin Chatdaten fließen: welche Tools, welche Länder, welche Aufbewahrungsfrist.
• Protokollieren Sie jede Anfrage und was Sie damit gemacht haben.

Nichts davon braucht eine Rechtsabteilung, und nichts davon ersetzt eine — klären Sie die Details für Ihr Unternehmen, Ihre Branche und Ihre Märkte mit Ihrer eigenen Rechtsberatung. Was gute Betriebsgewohnheiten bringen, ist die Fähigkeit, Fragen schnell und ehrlich zu beantworten. Und genau darum geht es einer Aufsichtsbehörde oder einem vorsichtigen Großkunden meistens.