Click-to-WhatsApp Ads DSGVO-konform 2026: Datenkette, AVV, Cookie-Banner

SendSeven Team, Editorial Team

Click-to-WhatsApp Ads sind nicht per se kritisch — aber die Datenkette zu Meta, der Pre-Click-Hinweis und das Opt-in nach dem 72-h-Free-Entry-Point müssen sauber dokumentiert sein. Konkrete Praxis-Checkliste für DACH.

Hinweis: Dieser Artikel ist eine fachliche Orientierung, keine Rechtsberatung. Im konkreten Einzelfall — insbesondere bei besonderen Datenkategorien oder hohem Bußgeldrisiko — konsultieren Sie Ihren Datenschutzbeauftragten oder einen Fachanwalt.

Dieser DSGVO-Spoke vertieft Abschnitt 8 (DSGVO) des DACH-Pillars zu Click-to-WhatsApp Ads & wa.me. Wer Pre-Click-Hinweise, AVV-Klauseln und Cookie-Banner-Logik für CTWA in der DACH-Region praktisch umsetzen will, ist hier richtig.

Warum CTWA DSGVO-relevant ist

Auf den ersten Blick wirkt eine Click-to-WhatsApp-Anzeige harmlos: Der Nutzer klickt freiwillig, schreibt selbst die erste Nachricht, alles wirkt wie ein normaler Anruf. Tatsächlich entsteht bei jedem Klick eine kurze, aber regulatorisch relevante Datenkette — und mehrere Komponenten dieser Kette laufen über Meta-Server in den USA.

Drei Punkte machen den Unterschied:

• Targeting durch Meta: Wer die Anzeige sieht, wird durch Meta-Profilierung ausgewählt. Das ist eine personenbezogene Datenverarbeitung im Sinne der DSGVO — bevor der Nutzer überhaupt klickt.
• Click-Übergabe: Beim Klick wird ein Identifier mit Anzeigen-Bezug an WhatsApp übermittelt. Auch das ist personenbezogen, weil es eine konkrete Person mit einer konkreten Anzeigeninteraktion verknüpft.
• Speicherung in der Inbox: Die Konversation landet bei Ihrer Plattform und in Ihrem CRM. Dort beginnt Ihre eigene Verantwortung als Verantwortlicher im Sinne von Art. 4 DSGVO.

Die gute Nachricht: Diese Datenflüsse sind nicht verboten. Sie müssen aber transparent gemacht und vertraglich abgesichert werden.

Die Datenkette — vier Stationen

Vom Anzeigen-Klick bis zur gespeicherten Konversation laufen Daten durch vier Stationen mit unterschiedlichen Rechtsrollen:

Die Rolle des Werbetreibenden (also Ihre) ist gemeinsam Verantwortlicher mit Meta für die Anzeigen-Auslieferung (Station 1) — bestätigt durch die EuGH-Rechtsprechung zu Facebook-Fanpages und Custom Audiences. Ab Station 3 sind Sie alleine verantwortlich, mit Plattform und Meta jeweils als Auftragsverarbeiter.

Auftragsverarbeitungsvertrag (AVV)

Vor der ersten CTWA-Anzeige müssen zwei AVV unterzeichnet sein:

1. AVV mit der WhatsApp-Plattform (z. B. SendSeven). Standardvertrag bei seriösen Anbietern, üblicherweise direkt im Account verfügbar oder via Vertrieb. SendSeven liefert den AVV als Standardpaket gemäß Art. 28 DSGVO mit EU-Hosting und Standardvertragsklauseln (SCCs) für Datentransfers.
2. AVV mit Meta (Meta Platforms Ireland Limited). Wird automatisch über die Meta Data Processing Terms geschlossen, sobald Sie Custom Audiences oder die Conversions API nutzen.

Worauf bei der AVV-Prüfung achten:

• EU-Hosting der primären Datenspeicher (Konversationen, Kontakte) durch die Plattform
• Standardvertragsklauseln (SCCs) für jeden Drittland-Transfer in die USA
• Klare Beschreibung der Subunternehmer mit Ländern und Zweck
• Recht auf Audit (mindestens via dokumentierte Compliance-Berichte wie ISO 27001 oder SOC 2)
• Lösch- und Rückgabeverfahren am Vertragsende

Datenschutzerklärung

Die Datenschutzerklärung Ihrer Website muss CTWA an drei Stellen reflektieren:

1. Eigener Abschnitt „WhatsApp-Kommunikation“ mit Hinweis auf Plattformanbieter, EU-Hosting, Aufbewahrungsdauer und Rechtsgrundlage (Art. 6 Abs. 1 lit. b oder f DSGVO, je nach Anwendungsfall).
2. Hinweis auf Meta als gemeinsam Verantwortlicher für Anzeigen-Auslieferung. Verlinken Sie das Meta Joint Controller Addendum.
3. Drittlandtransfer-Block mit ausdrücklicher Nennung der USA als Empfängerland, der SCCs als Transfer-Garantie und ggf. ergänzender Maßnahmen (Verschlüsselung, Pseudonymisierung).

Vorlage für den CTWA-spezifischen Absatz:

Mehr zum Gesamtthema im Hauptartikel: DSGVO-konformes Business Messaging — Der komplette Leitfaden sowie im Glossar-Eintrag DSGVO-konforme Messaging.

Pre-Click-Hinweis

Der Pre-Click-Hinweis ist die Komponente, die im DACH-Raum am häufigsten vergessen wird — und genau die, die Abmahnungen produziert. Er informiert den Nutzer vor dem Klick über den anstehenden Datenfluss zu Meta und Ihrer Plattform.

Drei Platzierungsoptionen, in der Reihenfolge der Robustheit:

1. Direkt im Anzeigentext (knapp, mit Link zur Datenschutzerklärung). Beste Variante — nutzt die Aufmerksamkeit der ersten Sekunde.
2. Auf der Page-Beschreibung der Facebook- oder Instagram-Page, von der die Anzeige stammt. Akzeptable Fallback-Variante.
3. In der vorausgefüllten ersten Nachricht als Verweis. Schwächste Variante — der Hinweis kommt erst nach dem Klick.

Beispiel für eine knappe Anzeigentext-Klausel:

Cookie-Banner und Consent

CTWA-Targeting nutzt Meta-Cookies (Pixel, Custom-Audience-Tags). Damit greift die Cookie-Banner-Logik schon vor dem CTWA-Klick — nämlich bei der Anzeigen-Auslieferung auf Drittseiten oder beim Pixel-Tracking auf Ihrer eigenen Website.

Praktisch bedeutet das:

• Wer Pixel oder Custom Audiences nutzt, braucht ein Consent-Banner mit ausdrücklicher Einwilligung für Marketing-Cookies. Implizites Opt-in oder „Weiternutzung gilt als Zustimmung“ reicht nach BGH-Cookie-Urteil und EuGH-Planet49-Urteil nicht aus.
• Wer rein über Anzeigenklicks ohne Pixel arbeitet (also „CTWA only“, keine Conversions API über die eigene Website), kann Cookie-Banner-Aufwand minimieren — in der Praxis aber selten sinnvoll, weil ohne Conversions API die Optimierung leidet.
• Server-seitige Conversions API (CAPI) braucht keinen separaten Cookie-Consent, wenn sie auf bereits eingewilligten Eingabedaten (z. B. E-Mail-Adresse beim Kauf) basiert. Browser-getriggerter CAPI-Versand hingegen sehr wohl.

Opt-in nach 72 h Free Entry Point

Innerhalb des 72-Stunden-Free-Entry-Points sind ausgehende Nachrichten kostenfrei und rechtlich unkritisch — der Nutzer hat die Konversation aktiv begonnen. Nach Ablauf dieser 72 Stunden gilt jede proaktive Nachricht (Marketing-Template) als Werbung im Sinne des UWG § 7 und braucht eine ausdrückliche Einwilligung.

Best Practice: Holen Sie das Opt-in innerhalb der ersten Konversation ein — klar abgegrenzt vom eigentlichen Anliegen, mit aktiver Bestätigung durch Quick-Reply oder Schreib-Antwort.

Beispiel-Formulierung im Bot:

Diese Einwilligung muss dokumentiert werden: Zeitstempel, gesendete Bot-Frage, eingegangene JA-Antwort, Telefonnummer-Hash. SendSeven speichert das automatisch im Kontaktprofil. Mehr Praxis im Glossar zu Double Opt-In.

Compliance-Checkliste

Vor dem Live-Schalten der ersten CTWA-Kampagne sollten alle 9 Punkte abgehakt sein:

• □ AVV mit WhatsApp-Plattform unterzeichnet (z. B. SendSeven)
• □ AVV mit Meta aktiv (Data Processing Terms)
• □ Datenschutzerklärung um WhatsApp-Abschnitt + Meta-Joint-Controller-Hinweis erweitert
• □ Drittlandtransfer-Klausel mit USA-Bezug und SCCs ergänzt
• □ Pre-Click-Hinweis in Anzeigentext oder Page-Beschreibung platziert
• □ Cookie-Banner mit Marketing-Consent-Option, Pixel deaktiviert bei Ablehnung
• □ Opt-in-Bot-Flow für Marketing-Templates nach Ablauf des Free Entry Points
• □ Opt-in-Dokumentation automatisiert (Zeitstempel, Bot-Frage, JA-Antwort)
• □ Lösch-Prozess für STOPP-Nachrichten und Widerrufe definiert

Häufige DSGVO-Fehler bei CTWA

1. Pre-Click-Hinweis komplett vergessen. Der häufigste Abmahn-Auslöser im DACH-Raum.
2. Cookie-Banner ohne echte Pixel-Steuerung. Wer auf „Ablehnen“ klickt, sollte tatsächlich kein Pixel-Event mehr triggern. Sonst Anzeige in der Datenschutzerklärung wirkungslos.
3. Opt-in im Free-Entry-Point-Fenster „mit eingebaut“. Wer das Opt-in als Vorbedingung für die Beratung verlangt, verstößt gegen das Kopplungsverbot in Art. 7 Abs. 4 DSGVO.
4. Marketing-Template proaktiv ohne dokumentiertes Opt-in. Auch wenn nur freundlich gemeint — nach UWG § 7 Abmahnrisiko.
5. Listen-Migration zu Newsletter ohne erneutes Opt-in. Eine Einwilligung in CTWA-Konversation ist nicht automatisch eine Einwilligung in Broadcast-Newsletter.
6. STOPP-Workflow fehlt. Wer nicht innerhalb weniger Stunden auf einen Widerruf reagiert, riskiert Wiederholungs-Abmahnungen mit jeder neuen Nachricht.
7. Subunternehmer der Plattform nicht geprüft. Wer bei der AVV-Prüfung die Subunternehmer-Liste übergeht, verliert den Überblick über Drittland-Transfers.

FAQ

Brauche ich für CTWA eine Einwilligung des Nutzers vor der Anzeigen-Auslieferung?

Nicht direkt. Die Anzeigen-Auslieferung selbst basiert auf dem berechtigten Interesse von Meta und Ihnen als gemeinsam Verantwortliche, ergänzt durch die Cookie-Einwilligung beim Pixel-Einsatz. Der entscheidende Konsens-Moment ist der Klick — und der erfolgt freiwillig durch den Nutzer.

Reicht der allgemeine Cookie-Banner aus oder brauche ich ein eigenes CTWA-Banner?

Der Standard-Cookie-Banner mit Marketing-Consent-Option reicht in der Regel aus, sofern er das Meta-Pixel und Custom-Audience-Cookies sauber abdeckt. Ein zusätzliches CTWA-spezifisches Banner ist nicht erforderlich. Was immer ergänzt werden muss: der Pre-Click-Hinweis in der Anzeige selbst.

Was, wenn ein Nutzer nach der Konversation seine Daten löschen lassen möchte?

Die Löschung muss innerhalb der gesetzlichen Fristen (i. d. R. 30 Tage) erfolgen — in Ihrer Plattform und idealerweise auch bei Meta. SendSeven bietet einen Ein-Klick-Löschvorgang im Kontaktprofil; bei Meta erfolgt der Widerruf über das Meta-Account-Center des Nutzers.

Sind WhatsApp-Konversationen Ende-zu-Ende-verschlüsselt — und reicht das DSGVO-rechtlich?

Konversationen zwischen Endnutzer und Ihrer WhatsApp-Business-Nummer sind verschlüsselt während der Übertragung. Die Speicherung in der Plattform-Inbox und in Ihrem CRM ist es nicht automatisch — das müssen Sie selbst sicherstellen. EU-gehostete Plattformen mit Verschlüsselung at rest erfüllen den Stand der Technik.

Ich nutze die Conversions API auf meiner Website — brauche ich da auch ein Cookie-Banner?

Wenn der CAPI-Versand durch eine Browser-Aktion ausgelöst wird (z. B. Klick auf „Kaufen“), gilt die Cookie-Consent-Pflicht. Wenn der Versand rein server-seitig auf eingegebenen Daten basiert (z. B. nach Bestellabschluss), ist kein zusätzliches Banner nötig — aber der Hinweis in der Datenschutzerklärung muss vorhanden sein.

Kann ich Kinder oder Jugendliche per CTWA ansprechen?

Meta-Werberichtlinien verbieten gezieltes Targeting von Personen unter 18 Jahren mit kommerzieller Absicht in vielen Ländern, in DACH ohnehin streng reguliert. Plus: Einwilligung von Minderjährigen ist nach Art. 8 DSGVO nur eingeschränkt wirksam (in Deutschland: ab 16 Jahren ohne Eltern-Zustimmung). Faustregel: Targeting auf 18+ einschränken.

Wer haftet, wenn die Plattform DSGVO-Verstöße begeht?

Sie als Verantwortlicher haften nach außen, regress-fähig sind aber Verstöße der Plattform als Auftragsverarbeiter (Art. 82 DSGVO). Achten Sie auf eine sorgfältige Plattform-Auswahl mit dokumentierten Compliance-Zertifizierungen (ISO 27001, SOC 2) — das senkt Ihr Restrisiko deutlich.

Reicht es, den Pre-Click-Hinweis nur einmal zu setzen, oder muss er bei jeder Anzeige neu rein?

Bei jeder Anzeige neu — oder zumindest in der Anzeige eindeutig auffindbar. Ein einmaliger Hinweis irgendwo auf der Page-Beschreibung wird im Streitfall häufig als unzureichend bewertet. Deutsche Datenschutzaufsichten verlangen den Hinweis im Kontext der konkreten Verarbeitungssituation.

Weiterlesen:

• Pillar: Click-to-WhatsApp Ads & wa.me 2026 — Der DACH-Leitfaden
• DSGVO-konformes Business Messaging — Der komplette Leitfaden
• Glossar: DSGVO-konforme Messaging
• Glossar: Click-to-WhatsApp
• Glossar: Double Opt-In
• Glossar: Meta Conversions API