DSGVO-konformes Business Messaging – Der komplette Leitfaden 2026

SendSeven Team, Editorial Team

WhatsApp, SMS und Telegram im Unternehmen: Was die DSGVO verlangt, wo die Fallen liegen und wie Sie DACH-konform kommunizieren, mit Checklisten und Textvorlagen.

Ist WhatsApp DSGVO-konform? (Status quo 2026)

Die kurze Antwort: Es kommt darauf an, wie Sie WhatsApp einsetzen.

Die private WhatsApp-App oder die kostenlose WhatsApp Business App sind für den geschäftlichen Einsatz in der EU problematisch. Der Grund: Beide Varianten laden das Adressbuch des Geräts auf Meta-Server hoch, einschließlich Kontakten, die nie zugestimmt haben. Das verstößt gegen Art. 6 DSGVO.

Die WhatsApp Business API (auch Cloud API genannt) funktioniert anders. Hier gibt es keinen Adressbuch-Upload. Nachrichten laufen über eine Plattform mit Zugang zur WhatsApp Business API, die als Auftragsverarbeiter fungiert. Genau diesen Weg nutzen Unternehmen, die DSGVO-konform über WhatsApp kommunizieren möchten.

Zur Einordnung: Die irische Datenschutzbehörde (DPC) verhängte 2021 gegen WhatsApp Ireland ein Bußgeld von 225 Millionen Euro, weil die Datenverarbeitung nicht transparent genug offengelegt war. Das Verfahren betraf die Consumer-App, nicht die Business API. Dennoch zeigt es, wie ernst europäische Behörden Verstöße nehmen.

Fazit für 2026: Mit der WhatsApp Business API und einer Plattform, die in der EU hostet und eine AVV anbietet, lässt sich der geschäftliche Einsatz sauber aufsetzen. Was damit nicht verschwindet: Meta verarbeitet die Nachrichten auch außerhalb der EU, und das lässt sich bei WhatsApp nicht abwählen. Was Ihre Plattform verarbeitet, liegt in der EU.

Vier Regelwerke greifen gleichzeitig. Ein Setup deckt alle vier ab: die API statt der App, ein Auftragsverarbeiter mit Servern in der EU und eine dokumentierte Einwilligung pro Kontakt.

WhatsApp Business App vs. API: Der Datenschutz-Unterschied

Viele Unternehmen starten mit der kostenlosen WhatsApp Business App. Das funktioniert für den Handwerksbetrieb mit 20 Kunden. Für jedes Unternehmen mit Datenschutzanforderungen wird es schnell problematisch.

Der entscheidende Punkt: Bei der Business App ist Meta selbst Verantwortlicher für einen Teil der Datenverarbeitung. Sie haben keinen Einfluss darauf, was mit den Metadaten passiert. Bei der API ist Ihre Plattform der Auftragsverarbeiter, und Sie bestimmen die Regeln.

Wenn Sie WhatsApp geschäftlich nutzen wollen, führt kein Weg an der API vorbei. Eine Schritt-für-Schritt-Anleitung zur Einrichtung finden Sie in unserem WhatsApp-Setup-Guide.

Die 5 größten Datenschutz-Risiken im Business Messaging

Bevor wir in die Rechtsgrundlagen eintauchen, ein Blick auf die häufigsten Fehler. Diese fünf Risiken sehen wir in der Praxis immer wieder:

1. Adressbuch-Upload ohne Einwilligung

Das klassische Problem der WhatsApp Business App. Jeder Kontakt im Adressbuch wird an Meta übermittelt, auch Geschäftskontakte, die nie zugestimmt haben. Das ist eine Datenübermittlung an Dritte ohne Rechtsgrundlage.

2. Fehlende oder ungültige Einwilligung

Marketing-Nachrichten per WhatsApp oder SMS ohne vorherige ausdrückliche Einwilligung versenden? Das verstößt gleichzeitig gegen DSGVO und das Gesetz gegen den unlauteren Wettbewerb (UWG). Stillschweigen ist keine Einwilligung. Vorausgefüllte Checkboxen auch nicht.

3. Keine Auftragsverarbeitungsvereinbarung

Wer einen Messaging-Dienst nutzt, der personenbezogene Daten verarbeitet, braucht eine AVV nach Art. 28 DSGVO. Ohne AVV liegt ein Datenschutzverstoß vor, unabhängig davon, ob tatsächlich etwas schiefgeht.

4. Informationspflichten ignoriert

Art. 13 DSGVO verlangt, dass Sie Betroffene bei der Erhebung der Daten informieren. Im Messaging-Kontext heißt das: Spätestens bei der ersten Nachricht müssen Sie auf Ihre Datenschutzerklärung verweisen.

5. Kein Opt-out-Mechanismus

Jede Marketing-Nachricht muss einen einfachen Weg bieten, sich abzumelden. Bei SMS reicht ein „STOPP“-Keyword. Bei WhatsApp funktioniert das über interaktive Buttons oder ein Schlüsselwort. Fehlt dieser Mechanismus, ist die Einwilligung anfechtbar.

DSGVO-Anforderungen im Detail

Drei Artikel der DSGVO bilden das Rückgrat jeder konformen Messaging-Strategie. Hier die Details:

Art. 6 DSGVO: Rechtsgrundlagen

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für Business Messaging kommen drei in Frage:

Wichtig: Art. 6(1)(f) ist im Messaging-Bereich riskant. Anders als bei E-Mail gibt es für WhatsApp und SMS keine „Soft-Opt-in“-Regelung im UWG (§ 7 Abs. 3). Setzen Sie im Zweifel auf die Einwilligung. Sie ist die sicherste Rechtsgrundlage.

Art. 13 DSGVO: Informationspflichten

Bei der ersten Kontaktaufnahme müssen Sie folgende Informationen bereitstellen:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zweck und Rechtsgrundlage der Verarbeitung
• Empfänger oder Kategorien von Empfängern
• Dauer der Datenspeicherung
• Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerruf)
• Hinweis auf Beschwerderecht bei der Aufsichtsbehörde

In der Praxis lösen Sie das per Link auf Ihre Datenschutzerklärung in der ersten Nachricht oder in der automatischen Willkommensnachricht Ihres Chatbots.

Art. 28 DSGVO: Auftragsverarbeitung

Ihr Messaging-Anbieter ist ein Auftragsverarbeiter. Das bedeutet: Sie brauchen eine schriftliche Auftragsverarbeitungsvereinbarung (AVV). Diese muss unter anderem regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien betroffener Personen und Daten
• Technische und organisatorische Maßnahmen (TOMs)
• Regelungen zu Unterauftragsverarbeitern
• Löschpflichten nach Vertragsende

Bei SendSeven schließen Sie die AVV direkt mit uns als Ihrem Anbieter, nicht mit Meta. Unsere Server stehen in der EU (Google Cloud), und die KI-Verarbeitung läuft in EU-Regionen. Ihre Inhalte werden dabei nicht zum Training von KI-Modellen verwendet. Was sich nicht wegverhandeln lässt: Meta verarbeitet die WhatsApp-Nachrichten selbst auch außerhalb der EU. Das gilt für jeden Anbieter, der die WhatsApp Business API nutzt.

TDDDG § 25: Die vergessene Compliance-Ebene

Viele Unternehmen kennen die DSGVO. Wenige kennen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), früher bekannt als TTDSG. Das Gesetz wurde 2024 umbenannt, die inhaltlichen Regelungen blieben aber weitgehend gleich.

§ 25 TDDDG regelt den Zugriff auf Endeinrichtungen, also das Speichern und Auslesen von Informationen auf dem Gerät des Nutzers. Das betrifft nicht nur Cookies auf Websites. Es betrifft auch Messaging-Apps.

Warum ist das für Messaging relevant?

OTT-Dienste (Over-The-Top) wie WhatsApp, Telegram oder der Facebook Messenger gelten seit dem Europäischen Kodex für elektronische Kommunikation (EECC) als interpersonelle Telekommunikationsdienste. Das TDDDG setzt diese EU-Richtlinie in deutsches Recht um.

Konkret bedeutet das: Wenn Ihr Messaging-System Informationen auf dem Endgerät des Nutzers speichert oder ausliest (z. B. Push-Token, Geräteinformationen), greift § 25 TDDDG. Sie brauchen entweder:

• Eine Einwilligung des Nutzers, oder
• Der Zugriff ist technisch unbedingt erforderlich für den gewünschten Dienst

Die Parallele zur Cookie-Einwilligung ist kein Zufall. Das TDDDG schützt die Integrität des Endgeräts, unabhängig davon, ob personenbezogene Daten betroffen sind.

Praxistipp: Wenn Sie ausschließlich über die WhatsApp Business API arbeiten (also keine App auf dem Kundentelefon installieren, sondern Nachrichten serverseitig senden), ist das Risiko gering. Der Zugriff auf das Endgerät erfolgt durch WhatsApp selbst, nicht durch Ihren Dienst. Dokumentieren Sie diese Abgrenzung in Ihrem Verarbeitungsverzeichnis.

AVV mit Meta: Was Sie prüfen müssen

Ein häufiges Missverständnis: „Wir nutzen WhatsApp, also brauchen wir eine AVV mit Meta.“ Das stimmt so nicht.

Wenn Sie die WhatsApp Business API über eine Plattform nutzen, schließen Sie die AVV mit dieser Plattform. Die Plattform wiederum hat eigene vertragliche Vereinbarungen mit Meta. Sie als Unternehmen stehen nicht in einem direkten Auftragsverarbeitungsverhältnis mit Meta.

Checkliste: AVV mit Ihrem Messaging-Anbieter

Prüfen Sie folgende Punkte in der AVV Ihres Anbieters:

• Serverstandort: EU-Hosting (idealerweise Deutschland)? Werden Daten in Drittländer übertragen?
• Unterauftragsverarbeiter: Welche Subunternehmer werden eingesetzt? Sind sie gelistet?
• TOMs: Verschlüsselung in Transit und at Rest? Zugriffskontrollen? Logging?
• Löschung: Werden Daten nach Vertragsende gelöscht oder zurückgegeben?
• Audit-Rechte: Können Sie oder Ihre Aufsichtsbehörde den Anbieter prüfen?
• Meldepflichten: Wie schnell werden Sie bei einem Datenschutzvorfall informiert?
• Weisungsbindung: Verarbeitet der Anbieter Daten nur nach Ihrer Weisung?

Bei SendSeven erhalten Sie eine vollständige AVV, die alle diese Punkte abdeckt. Unsere Infrastruktur steht in der EU (Google Cloud), die KI-Verarbeitung läuft in EU-Regionen. Google Vertex AI ist als Unterauftragsverarbeiter über Standardvertragsklauseln und das EU-US Data Privacy Framework eingebunden. Als offizieller Meta Business Partner erfüllen wir die technischen Voraussetzungen für die WhatsApp Business API.

Einwilligung richtig einholen: Textvorlagen

Die Einwilligung nach Art. 6(1)(a) DSGVO muss freiwillig, informiert, eindeutig und für den bestimmten Fall erteilt werden. Hier sind drei Textvorlagen für typische Anwendungsfälle:

Vorlage 1: WhatsApp-Newsletter (Double Opt-In)

Vorlage 2: SMS-Benachrichtigungen (Transaktional)

Hinweis: Für rein transaktionale Nachrichten (Bestellbestätigung, Versandstatus) brauchen Sie keine Einwilligung, denn die Rechtsgrundlage ist Vertragserfüllung. Eine Checkbox zur Benachrichtigungsart ist trotzdem Best Practice.

Vorlage 3: Multichannel-Einwilligung

Wichtig: Die Einwilligung für jeden Kanal muss getrennt einholbar sein. Ein einziges Häkchen für alle Kanäle reicht nicht. Nutzen Sie ein Kontaktmanagement-System, das kanalspezifische Opt-Ins dokumentiert.

Österreich: Besonderheiten nach dem DSG

Die DSGVO gilt EU-weit. Österreich ergänzt sie durch das Datenschutzgesetz (DSG). Der alte Name „DSG 2000“ ist seit dem 25. Mai 2018 überholt: Das Datenschutz-Anpassungsgesetz 2018 hat das Gesetz umbenannt und an die DSGVO angepasst. Für Business Messaging in Österreich gibt es einige Besonderheiten:

• Datenschutzbehörde (DSB): Die österreichische Aufsichtsbehörde ist für Beschwerden und Durchsetzung zuständig. Erreichbar unter dsb.gv.at.
• Kein nationaler Schwellenwert für den Datenschutzbeauftragten: In Deutschland verlangt § 38 BDSG einen betrieblichen Datenschutzbeauftragten, sobald mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Österreich hat keine solche Zusatzregel: Es gilt allein Art. 37 DSGVO.
• § 174 TKG 2021: Werbung per SMS, E-Mail oder Anruf braucht in Österreich die vorherige Zustimmung des Empfängers. Die Vorschrift löste § 107 TKG 2003 ab. Für Bestandskunden gibt es in Abs. 4 eine eng begrenzte Ausnahme, und Verstöße kosten bis zu 50.000 Euro.
• Bußgelder: Die DSB kann die gleichen Bußgelder wie jede andere DSGVO-Behörde verhängen: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.

In der Praxis bedeutet das: Wer in Deutschland DSGVO-konform aufgestellt ist, braucht für Österreich wenig Anpassung. Achten Sie auf die korrekte Nennung der österreichischen DSB in Ihrer Datenschutzerklärung, falls Sie österreichische Kunden ansprechen.

Schweiz: nDSG seit September 2023

Die Schweiz ist kein EU-Mitglied, hat aber am 1. September 2023 das neue Datenschutzgesetz (nDSG) in Kraft gesetzt. Dieses wurde an die DSGVO angeglichen, mit einigen wichtigen Unterschieden:

Der größte Unterschied: Persönliche Haftung. Während die DSGVO Unternehmen bestraft, richtet sich das nDSG-Bußgeld gegen die verantwortliche natürliche Person. Bis zu CHF 250.000 – aus eigener Tasche.

Für Business Messaging in der Schweiz bedeutet das: Die Geschäftsführung trägt direkte Verantwortung. Stellen Sie sicher, dass Ihr Messaging-System DSGVO-Niveau erreicht und die Daten in einem Land verarbeitet werden, das die Schweiz als „angemessen“ anerkennt. EU-Hosting ist hier ein klarer Vorteil.

Bußgeldrisiken: Fälle und Trends

Datenschutzverstöße im Messaging-Bereich werden zunehmend verfolgt. Einige Orientierungspunkte:

• 225 Mio. Euro gegen WhatsApp Ireland, verhängt von der irischen Datenschutzbehörde DPC im September 2021 wegen Verstößen gegen die Transparenzpflichten. Das ist bis heute das größte DSGVO-Bußgeld im Messaging-Bereich.
• Diverse Fälle: Deutsche Aufsichtsbehörden haben wiederholt Unternehmen abgemahnt, die WhatsApp über die normale Business App für die Kundenkommunikation nutzten. Grund war jeweils der Adressbuch-Upload.
• Trend 2026: Aufsichtsbehörden achten verstärkt auf fehlende AVVs und ungültige Einwilligungen bei Marketing-Nachrichten per Messenger und SMS.

Das Risiko ist nicht nur finanziell. Ein öffentlich bekannter Datenschutzverstoß beschädigt das Vertrauen Ihrer Kunden, und das ist schwerer zu reparieren als ein Bußgeld zu zahlen.

Betriebsrat und interne Kommunikation

In Deutschland und Österreich hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung technischer Systeme, die das Verhalten oder die Leistung von Beschäftigten überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG in Deutschland, § 96 ArbVG in Österreich).

Messaging-Plattformen fallen oft unter diese Regelung. Ein gemeinsamer Posteingang zeigt Antwortzeiten, Nachrichtenvolumen und Verfügbarkeit von Mitarbeitern. Das kann als Leistungsüberwachung interpretiert werden.

Empfehlung:

• Informieren Sie den Betriebsrat frühzeitig, also vor der Einführung.
• Schließen Sie eine Betriebsvereinbarung, die den Umgang mit Messaging-Daten regelt.
• Legen Sie fest, welche Auswertungen erlaubt sind und welche nicht.
• Schulen Sie Mitarbeiter im Umgang mit Kundennachrichten und Datenschutz.

Dieser Punkt wird häufig übersehen. Ein fehlendes Mitbestimmungsverfahren kann die gesamte Implementierung rechtlich angreifbar machen, unabhängig von der DSGVO-Konformität.

Praktische Umsetzung in 7 Schritten

Genug Theorie. So setzen Sie DSGVO-konformes Business Messaging konkret um. Unsere DSGVO-Checkliste für Business Messaging bietet dazu 41 Prüfpunkte als Schnell-Audit-Werkzeug.

Schritt 1: Bestandsaufnahme

Dokumentieren Sie alle Kanäle, über die Ihr Unternehmen aktuell mit Kunden kommuniziert. WhatsApp, SMS, E-Mail, Telegram, Instagram? Wer hat Zugriff? Wo werden Nachrichten gespeichert?

Schritt 2: Rechtsgrundlagen definieren

Ordnen Sie jedem Kanal und jedem Kommunikationszweck die passende Rechtsgrundlage zu. Transaktional = Vertragserfüllung. Marketing = Einwilligung. Dokumentieren Sie das im Verarbeitungsverzeichnis.

Schritt 3: Plattform mit EU-Hosting wählen

Wechseln Sie von der WhatsApp Business App zur WhatsApp Business API über eine Plattform mit EU-Hosting. Prüfen Sie die AVV. Klären Sie, welche Unterauftragsverarbeiter eingesetzt werden und wie Drittlandtransfers abgesichert sind. SendSeven-Preise vergleichen.

Schritt 4: Einwilligungsprozess implementieren

Richten Sie Double-Opt-In-Prozesse für Marketing-Nachrichten ein. Nutzen Sie ein Newsletter-Widget für die Website. Dokumentieren Sie Zeitpunkt, Kanal und Text jeder Einwilligung.

Schritt 5: Datenschutzerklärung aktualisieren

Ergänzen Sie Ihre Datenschutzerklärung um alle Messaging-Kanäle. Nennen Sie die Plattform, den Serverstandort und die Rechtsgrundlage. Verlinken Sie die Erklärung in jeder Willkommensnachricht.

Schritt 6: Betriebsrat einbeziehen

Wenn ein Betriebsrat existiert: Informieren Sie ihn, bevor das System live geht. Verhandeln Sie eine Betriebsvereinbarung. Definieren Sie klare Regeln für Auswertungen und Monitoring.

Schritt 7: Regelmäßig prüfen

Datenschutz ist kein Einmal-Projekt. Prüfen Sie vierteljährlich: Sind alle Einwilligungen aktuell? Werden Opt-outs zeitnah umgesetzt? Gibt es neue Unterauftragsverarbeiter in der Kette? Richten Sie Webhooks ein, um Opt-out-Events automatisch zu verarbeiten.

Häufig gestellte Fragen (FAQ)

Ist WhatsApp für Unternehmen DSGVO-konform?

Die WhatsApp Business App ist für den Unternehmenseinsatz in der EU problematisch, weil sie das Adressbuch an Meta überträgt. Die WhatsApp Business API, genutzt über eine Plattform mit EU-Hosting und gültiger AVV, kann DSGVO-konform betrieben werden.

Brauche ich eine AVV für WhatsApp Business?

Ja. Wenn Sie die API nutzen, schließen Sie die AVV mit Ihrer Plattform ab, nicht direkt mit Meta. Die Plattform ist Ihr Auftragsverarbeiter nach Art. 28 DSGVO.

Was ist der Unterschied zwischen TTDSG und TDDDG?

Es ist dasselbe Gesetz. Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde 2024 in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Die inhaltlichen Regelungen, insbesondere § 25 zum Endgerätezugriff, blieben unverändert.

Darf ich Kunden ohne Einwilligung per SMS kontaktieren?

Für transaktionale Nachrichten (Bestellbestätigung, Versandstatus) können Sie Art. 6(1)(b) DSGVO als Rechtsgrundlage nutzen. Für Marketing-SMS brauchen Sie eine ausdrückliche Einwilligung. Das UWG kennt für SMS keine Soft-Opt-in-Regelung wie für E-Mail.

Gilt die DSGVO auch für Telegram-Nachrichten?

Ja. Sobald Sie personenbezogene Daten verarbeiten (Telefonnummer, Name, Nachrichteninhalt), gilt die DSGVO, unabhängig vom Kanal. Für Telegram gelten die gleichen Anforderungen wie für WhatsApp oder SMS. Details zur Telegram-DSGVO-Bewertung in unserem Telegram-Leitfaden für Unternehmen.

Was passiert bei einem Datenschutzverstoß im Messaging?

Die DSGVO sieht Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes vor. In der Schweiz haften unter dem nDSG zusätzlich natürliche Personen mit bis zu CHF 250.000. Dazu kommen Reputationsschäden und Vertrauensverlust bei Kunden.

Muss der Betriebsrat zustimmen?

Wenn das Messaging-System Leistungs- oder Verhaltenskontrolle ermöglicht (§ 87 Abs. 1 Nr. 6 BetrVG), hat der Betriebsrat ein Mitbestimmungsrecht. Die Einführung ohne Betriebsratsbeteiligung kann rechtlich angefochten werden. Klären Sie das vor dem Rollout.

Wie dokumentiere ich die Einwilligung richtig?

Speichern Sie für jede Einwilligung: Zeitpunkt, Kanal, exakten Wortlaut des Opt-in-Textes, IP-Adresse (bei Web-Formularen) und die Double-Opt-In-Bestätigung. Ein gutes Kontaktmanagement automatisiert das.

Welche Vorteile hat EU-Hosting?

EU-Hosting hält die Daten, die Ihre Plattform verarbeitet, in der EU und reduziert damit Drittlandstransfers und die damit verbundenen Risiken (Schrems-II-Problematik). Die Verarbeitung bei Meta selbst bleibt davon unberührt. Deutsche Aufsichtsbehörden sehen EU-Hosting deutlich positiver. Für Schweizer Unternehmen ist EU-Hosting als „angemessenes Schutzniveau“ anerkannt.

Wie lange darf ich Messaging-Daten speichern?

So kurz wie möglich. Die DSGVO verlangt Speicherbegrenzung (Art. 5(1)(e)). Definieren Sie Löschfristen: z. B. Unterhaltungen nach 12 Monaten automatisch löschen, Einwilligungsdaten für die Dauer der Geschäftsbeziehung plus Verjährungsfrist aufbewahren.