Auf vielen Geschäftshandys läuft die WhatsApp Business App seit Jahren. Im Adressbuch steht die Kundschaft, daneben der Steuerberater, zwei Lieferanten und die private Nummer der Schwester. Genau dort entscheidet sich die DSGVO-Frage, nicht bei den Nachrichten selbst.
Dieser Beitrag gehört zum Leitfaden WhatsApp-Terminbuchung. Wie du Kunden an Termine erinnerst und was dabei in die Einwilligung gehört, steht im Beitrag zur WhatsApp-Terminerinnerung und DSGVO.
Ist WhatsApp Business DSGVO-konform?
Es lässt sich DSGVO-konform nutzen, und zwar in beiden Varianten: in der kostenlosen Business App und über die WhatsApp Business Platform, die Anbieter per Schnittstelle anbinden. Die DSGVO verbietet keinen Messenger. Sie verlangt für jede Verarbeitung eine Rechtsgrundlage, einen Vertrag mit jedem Dienstleister, der Daten in deinem Auftrag verarbeitet, und eine abgesicherte Übermittlung, sobald Daten die EU verlassen.
Den Vertrag liefert Meta selbst mit. In den Nutzungsbedingungen der Business App (Stand 23.09.2026) steht, dass dein Betrieb der Verantwortliche ist und WhatsApp die Kontaktdaten deiner Kundschaft „as your Processor" verarbeitet, also als Auftragsverarbeiter nach Art. 28 DSGVO. Die WhatsApp Business Data Processing Terms sind Teil dieser Bedingungen, du musst nichts gesondert unterschreiben. Vertragspartner für Betriebe in der EU ist WhatsApp Ireland Limited.
Für das private WhatsApp gibt es diese Regelung nicht. Wer Kunden vom privaten Account aus schreibt, hat für diese Verarbeitung keinen Vertrag mit Meta.
Warum ist das Adressbuch das eigentliche Problem?
Weil WhatsApp nicht nur die Nummern deiner Kundschaft bekommt, sondern alle. Die App gleicht das Adressbuch des Handys regelmäßig mit den Servern ab. Laut Metas Datenschutzrichtlinie für Europa gehören dazu auch die Nummern von Menschen, die WhatsApp gar nicht nutzen. Die speichert Meta nach eigener Aussage nur als kryptografischen Hashwert.
Die Auftragsverarbeitung aus den Bedingungen hilft dir dabei nur zum Teil. Sie setzt voraus, dass du für jede Nummer eine Rechtsgrundlage hast, und die Bedingungen sagen ausdrücklich, dass du selbst alle Einwilligungen einholen musst, um die Daten deiner Kundschaft mit WhatsApp zu teilen. Für den Lieferanten, die Nachbarin oder den Handwerker im selben Adressbuch hast du keine.
Die Datenschutzaufsicht in Rheinland-Pfalz nennt diesen Abgleich den „größten Kritikpunkt" an WhatsApp. Dass sich jemand vorher mit allen Kontakten abstimmt, dürfe man in der Praxis nicht unterstellen. Die Daten gingen deshalb ohne Kenntnis und Zustimmung der Betroffenen an WhatsApp.
Wie nutzt du die Business App datenschutzkonform?
Nur mit Vorkehrungen am Handy, denn dort liegt das Adressbuch.
- Ein Handy, das dem Betrieb gehört: kein privates Gerät, auf dem Familie und Freunde im Adressbuch stehen. Dienstliche Geräte empfiehlt auch die Aufsicht in Rheinland-Pfalz.
- Im Adressbuch nur Kundschaft, die zugestimmt hat: Oder du verweigerst WhatsApp in den Einstellungen des Handys den Zugriff auf die Kontakte. Die App läuft weiter, nur ohne die Namen aus deinem Adressbuch.
- Einwilligung vor der ersten Nachricht: Metas Richtlinie für Unternehmen erlaubt Nachrichten nur an Menschen, die dir ihre Nummer gegeben und zugestimmt haben, weitere Nachrichten von dir zu bekommen.
- WhatsApp in der Datenschutzerklärung: Die Bedingungen verpflichten dich, eine Datenschutzerklärung zu führen. Dort steht, dass du WhatsApp nutzt, wofür, und dass Meta Daten auch außerhalb der EU verarbeitet (Art. 13 DSGVO).
- Verschlüsselte Backups: Chat-Backups liegen sonst ohne Ende-zu-Ende-Verschlüsselung bei Google oder Apple. Die Verschlüsselung schaltest du in den Chat-Einstellungen unter Backup ein.
- Keine Kundengruppen: In einer Gruppe sehen sich alle Mitglieder gegenseitig, damit gibst du Kontaktdaten an Dritte weiter. Für eine Nachricht an viele gibt es den Broadcast, bei dem jede Person sie einzeln bekommt.
Was die App auch mit diesen Regeln nicht kann: Anfragen selbst beantworten oder Erinnerungen automatisch verschicken. Dafür braucht es die Business Platform.
Was ändert die WhatsApp Business Platform?
Sie kommt ohne Adressbuch aus. Die Platform ist die Schnittstelle, über die Software Nachrichten verschickt und empfängt, ein Handy mit Kontaktliste gibt es dabei nicht. Damit fällt das Hauptproblem der App weg: Verarbeitet werden nur die Nummern der Menschen, die dir schreiben oder eingewilligt haben.
Die Nachrichten laufen über Metas Cloud API. Laut Metas Entwicklerdokumentation handelt Meta dabei als Auftragsverarbeiter, nutzt die Nachrichten nur im Auftrag des Betriebs und speichert sie höchstens 30 Tage, etwa für erneute Zustellversuche. Verarbeitet werden sie in Metas Rechenzentren, und die stehen nicht nur in der EU.
Nutzt du die Platform über einen Anbieter, etwa eine Terminsoftware, schließt du den Vertrag zur Auftragsverarbeitung mit diesem Anbieter. Der muss dir sagen, welche Unterauftragsverarbeiter er einsetzt, Meta eingeschlossen. Wie der Zugang zur Platform funktioniert und was sie kostet, steht im Beitrag zur WhatsApp Business API.
Dürfen die Daten in die USA?
Ja, solange die Übermittlung abgesichert ist, und das ist sie derzeit über das EU-US Data Privacy Framework. WhatsApp LLC ist dort zertifiziert, ausdrücklich auch für die Business-Dienste, also für App und Schnittstellen. Für Übermittlungen aus der EU verweisen Metas Data Processing Terms zusätzlich auf einen eigenen Übermittlungszusatz.
Das Framework hat im September 2025 die erste gerichtliche Prüfung überstanden: Das Gericht der Europäischen Union hat die Klage des französischen Abgeordneten Philippe Latombe abgewiesen (Rechtssache T-553/23). Endgültig ist das nicht. Latombe hat Rechtsmittel beim EuGH eingelegt, das Verfahren läuft als C-703/25 P. Die beiden Vorgänger, Safe Harbor und Privacy Shield, hat der EuGH gekippt, zuletzt 2020.
Für deinen Betrieb heißt das: Heute ist die Übermittlung abgedeckt. Kippt das Framework, müssen Meta und dein Anbieter sie anders absichern, so wie nach dem Ende des Privacy Shield über Standardvertragsklauseln. In deiner Datenschutzerklärung sollte stehen, auf welcher Grundlage Daten in die USA gehen.
Was brauchst du, bevor du Kunden anschreibst?
Eine Einwilligung, die den Zweck nennt. Wer bei dir einen Termin bucht und zustimmt, per WhatsApp Bestätigungen und Erinnerungen zu bekommen, hat genau dafür eingewilligt. Metas Richtlinie empfiehlt, dass die Einwilligung alle Arten von Nachrichten abdeckt, die du verschickst, und die Bedingungen der Platform verpflichten dich, jede Abmeldung umzusetzen. Wie du die Einwilligung formulierst und dokumentierst, zeigt der Beitrag zur WhatsApp-Terminerinnerung und DSGVO.
Für Werbung reicht diese Einwilligung nicht. § 7 Abs. 2 Nr. 2 UWG verlangt für Werbung per elektronischer Post eine vorherige ausdrückliche Einwilligung, und als elektronische Post gelten auch Nachrichten per Messenger. Ein Angebot an alle, die schon einmal einen Termin hatten, braucht deshalb eine eigene Zustimmung.
Dazu die Datenschutzerklärung, die WhatsApp nennt. Sie muss erreichbar sein, bevor dir jemand schreibt, am einfachsten als Link auf deiner Website, die im Unternehmensprofil steht.
Alle Angaben entsprechen dem Stand vom September 2026 und ersetzen keine Rechtsberatung für deinen Betrieb. Bei Berufsgeheimnissen, etwa in Arztpraxen, gehört dein Datenschutzbeauftragter mit an den Tisch.
Wie setzt APPOYNT das um?
APPOYNT läuft als Lösung eines offiziellen Meta Tech Providers über die WhatsApp Business Platform, ohne Handy und ohne Adressbuch. Der KI-Assistent beantwortet Anfragen und bucht Termine direkt in deinen Kalender. Die Einwilligung für Erinnerungen holt er im Chat ein, die Kundenkartei zeigt den Opt-in-Status je Kunde, und wer sich abmeldet, bekommt keine Erinnerungen mehr.
Den Vertrag zur Auftragsverarbeitung kannst du vorab lesen. Die Datenbank liegt in Frankfurt am Main. Welche Dienstleister darüber hinaus beteiligt sind und wo sie verarbeiten, steht in der Liste der Unterauftragsverarbeiter, auch die außerhalb der EU. Wie das im Betrieb aussieht, zeigt der WhatsApp-Terminplaner.
Häufige Fragen zu WhatsApp Business und DSGVO
Brauche ich einen AVV mit Meta für WhatsApp Business?
Nicht als eigenes Dokument. Die Auftragsverarbeitung ist Teil von Metas Nutzungsbedingungen, für die Business App wie für die Platform. Nutzt du die Platform über einen Anbieter, schließt du zusätzlich einen Vertrag zur Auftragsverarbeitung mit diesem Anbieter.
Darf ich WhatsApp Business auf meinem privaten Handy nutzen?
Davon rät die Datenschutzaufsicht in Rheinland-Pfalz ab. Auf einem privaten Handy stehen private Kontakte im Adressbuch, und auch deren Nummern gleicht WhatsApp ab. Sauber ist ein eigenes Geschäftshandy, auf dem nur Kundschaft gespeichert ist, die zugestimmt hat.
Muss WhatsApp in meine Datenschutzerklärung?
Ja. Wer Kunden über WhatsApp kontaktiert, muss darüber informieren, auch darüber, dass Meta Daten außerhalb der EU verarbeitet. Die Bedingungen der Business App verlangen ausdrücklich, dass du eine Datenschutzerklärung führst.
Liest Meta meine Kundenchats mit?
In der Business App sind die Chats Ende-zu-Ende-verschlüsselt. Über die Platform verarbeitet Meta die Nachrichten in der Cloud API als Auftragsverarbeiter, laut eigener Dokumentation nur im Auftrag des Betriebs, und löscht sie spätestens nach 30 Tagen.
Ist WhatsApp Business für Arztpraxen erlaubt?
Ja, mit höherer Hürde. Gesundheitsdaten sind besonders geschützt: Die Einwilligung muss ausdrücklich sein, und die Nachricht darf keine Rückschlüsse auf die Behandlung zulassen. Was das für Terminerinnerungen konkret heißt, steht im Beitrag zur WhatsApp-Terminerinnerung und DSGVO.
Was passiert, wenn das Data Privacy Framework kippt?
Dann entfällt eine Grundlage für die Übermittlung in die USA, und Meta und dein Anbieter müssen sie anders absichern, zum Beispiel über Standardvertragsklauseln. Das Verfahren dazu liegt seit Oktober 2025 beim EuGH.