DSGVO-konformes Business Messaging – Der komplette Leitfaden 2026

WhatsApp, SMS, Telegram im Unternehmen: Was die DSGVO verlangt, wo die Fallen liegen und wie Sie DACH-konform kommunizieren – mit Checklisten und Textvorlagen.

Ist WhatsApp DSGVO-konform? (Status quo 2026)

Die kurze Antwort: Es kommt darauf an, wie Sie WhatsApp einsetzen.

Die private WhatsApp-App oder die kostenlose WhatsApp Business App sind für den geschäftlichen Einsatz in der EU problematisch. Der Grund: Beide Varianten laden das Adressbuch des Geräts auf Meta-Server hoch – einschließlich Kontakten, die nie zugestimmt haben. Das verstößt gegen Art. 6 DSGVO.

Die WhatsApp Business API (auch Cloud API genannt) funktioniert anders. Hier gibt es keinen Adressbuch-Upload. Nachrichten laufen über einen zertifizierten WhatsApp-API-Anbieter, der als Auftragsverarbeiter fungiert. Genau diesen Weg nutzen Unternehmen, die DSGVO-konform über WhatsApp kommunizieren möchten.

Zur Einordnung: Die irische Datenschutzbehörde (DPC) verhängte 2021 gegen WhatsApp Ireland ein Bußgeld von 225 Millionen Euro – wegen mangelnder Transparenz bei der Datenverarbeitung. Das Verfahren betraf die Consumer-App, nicht die Business API. Dennoch zeigt es, wie ernst europäische Behörden Verstöße nehmen.

Fazit für 2026: Die WhatsApp Business API ist der einzige Weg, WhatsApp DSGVO-konform im Unternehmen zu nutzen – vorausgesetzt, Sie arbeiten mit einem Messaging-Plattform, der in der EU hostet und eine AVV anbietet.

WhatsApp Business App vs. API: Der Datenschutz-Unterschied

Viele Unternehmen starten mit der kostenlosen WhatsApp Business App. Das funktioniert für den Handwerksbetrieb mit 20 Kunden. Für jedes Unternehmen mit Datenschutzanforderungen wird es schnell problematisch.

Der entscheidende Punkt: Bei der Business App ist Meta selbst Verantwortlicher für einen Teil der Datenverarbeitung. Sie haben keinen Einfluss darauf, was mit den Metadaten passiert. Bei der API ist Ihr Messaging-Plattform der Auftragsverarbeiter – und Sie bestimmen die Regeln.

Wenn Sie WhatsApp geschäftlich nutzen wollen, führt kein Weg an der API vorbei. Eine Schritt-für-Schritt-Anleitung zur Einrichtung finden Sie in unserem WhatsApp-Setup-Guide.

Die 5 größten Datenschutz-Risiken im Business Messaging

Bevor wir in die Rechtsgrundlagen eintauchen, ein Blick auf die häufigsten Fehler. Diese fünf Risiken sehen wir in der Praxis immer wieder:

1. Adressbuch-Upload ohne Einwilligung

Das klassische Problem der WhatsApp Business App. Jeder Kontakt im Adressbuch wird an Meta übermittelt – auch Geschäftskontakte, die nie zugestimmt haben. Das ist eine Datenübermittlung an Dritte ohne Rechtsgrundlage.

2. Fehlende oder ungültige Einwilligung

Marketing-Nachrichten per WhatsApp oder SMS ohne vorherige ausdrückliche Einwilligung versenden? Das verstößt gleichzeitig gegen DSGVO und das Gesetz gegen den unlauteren Wettbewerb (UWG). Stillschweigen ist keine Einwilligung. Vorausgefüllte Checkboxen auch nicht.

3. Keine Auftragsverarbeitungsvereinbarung

Wer einen Messaging-Dienst nutzt, der personenbezogene Daten verarbeitet, braucht eine AVV nach Art. 28 DSGVO. Ohne AVV liegt ein Datenschutzverstoß vor – unabhängig davon, ob tatsächlich etwas schiefgeht.

4. Informationspflichten ignoriert

Art. 13 DSGVO verlangt, dass Sie Betroffene bei der Erhebung der Daten informieren. Im Messaging-Kontext heißt das: Spätestens bei der ersten Nachricht müssen Sie auf Ihre Datenschutzerklärung verweisen.

5. Kein Opt-out-Mechanismus

Jede Marketing-Nachricht muss einen einfachen Weg bieten, sich abzumelden. Bei SMS reicht ein „STOPP“-Keyword. Bei WhatsApp funktioniert das über interaktive Buttons oder ein Schlüsselwort. Fehlt dieser Mechanismus, ist die Einwilligung anfechtbar.

DSGVO-Anforderungen im Detail

Drei Artikel der DSGVO bilden das Rückgrat jeder konformen Messaging-Strategie. Hier die Details:

Art. 6 DSGVO – Rechtsgrundlagen

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für Business Messaging kommen drei in Frage:

Wichtig: Art. 6(1)(f) ist im Messaging-Bereich riskant. Anders als bei E-Mail gibt es für WhatsApp und SMS keine „Soft-Opt-in“-Regelung im UWG (§7 Abs. 3). Setzen Sie im Zweifel auf die Einwilligung – sie ist die sicherste Rechtsgrundlage.

Art. 13 DSGVO – Informationspflichten

Bei der ersten Kontaktaufnahme müssen Sie folgende Informationen bereitstellen:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zweck und Rechtsgrundlage der Verarbeitung
• Empfänger oder Kategorien von Empfängern
• Dauer der Datenspeicherung
• Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerruf)
• Hinweis auf Beschwerderecht bei der Aufsichtsbehörde

In der Praxis lösen Sie das per Link auf Ihre Datenschutzerklärung in der ersten Nachricht oder in der automatischen Willkommensnachricht Ihres Chatbots.

Art. 28 DSGVO – Auftragsverarbeitung

Ihr Messaging-Anbieter ist ein Auftragsverarbeiter. Das bedeutet: Sie brauchen eine schriftliche Auftragsverarbeitungsvereinbarung (AVV). Diese muss unter anderem regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien betroffener Personen und Daten
• Technische und organisatorische Maßnahmen (TOMs)
• Regelungen zu Unterauftragsverarbeitern
• Löschpflichten nach Vertragsende

Bei SendSeven schließen Sie die AVV direkt mit uns als Ihrem Anbieter – nicht mit Meta. Unsere Server stehen in der EU (Google Cloud). Die KI-Verarbeitung läuft in Frankfurt (Vertex AI). Ihre Daten verlassen die EU nicht.

TDDDG §25: Die vergessene Compliance-Ebene

Viele Unternehmen kennen die DSGVO. Wenige kennen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) – früher bekannt als TTDSG. Das Gesetz wurde 2024 umbenannt, die inhaltlichen Regelungen blieben aber weitgehend gleich.

§25 TDDDG regelt den Zugriff auf Endeinrichtungen – also das Speichern und Auslesen von Informationen auf dem Gerät des Nutzers. Das betrifft nicht nur Cookies auf Websites. Es betrifft auch Messaging-Apps.

Warum ist das für Messaging relevant?

OTT-Dienste (Over-The-Top) wie WhatsApp, Telegram oder der Facebook Messenger gelten seit dem Europäischen Kodex für elektronische Kommunikation (EECC) als interpersonelle Telekommunikationsdienste. Das TDDDG setzt diese EU-Richtlinie in deutsches Recht um.

Konkret bedeutet das: Wenn Ihr Messaging-System Informationen auf dem Endgerät des Nutzers speichert oder ausliest (z. B. Push-Token, Geräteinformationen), greift §25 TDDDG. Sie brauchen entweder:

• Eine Einwilligung des Nutzers, oder
• Der Zugriff ist technisch unbedingt erforderlich für den gewünschten Dienst

Die Parallele zur Cookie-Einwilligung ist kein Zufall. Das TDDDG schützt die Integrität des Endgeräts – unabhängig davon, ob personenbezogene Daten betroffen sind.

Praxistipp: Wenn Sie ausschließlich über die WhatsApp Business API arbeiten (also keine App auf dem Kundentelefon installieren, sondern Nachrichten serverseitig senden), ist das Risiko gering. Der Zugriff auf das Endgerät erfolgt durch WhatsApp selbst, nicht durch Ihren Dienst. Dokumentieren Sie diese Abgrenzung in Ihrem Verarbeitungsverzeichnis.

AVV mit Meta: Was Sie prüfen müssen

Ein häufiges Missverständnis: „Wir nutzen WhatsApp, also brauchen wir eine AVV mit Meta.“ Das stimmt so nicht.

Wenn Sie die WhatsApp Business API über einen Messaging-Plattform nutzen, schließen Sie die AVV mit dem Messaging-Plattform. Der Messaging-Plattform wiederum hat eigene vertragliche Vereinbarungen mit Meta. Sie als Unternehmen stehen nicht in einem direkten Auftragsverarbeitungsverhältnis mit Meta.

Checkliste: AVV mit Ihrem Messaging-Anbieter

Prüfen Sie folgende Punkte in der AVV Ihres Anbieters:

• Serverstandort: EU-Hosting (idealerweise Deutschland)? Werden Daten in Drittländer übertragen?
• Unterauftragsverarbeiter: Welche Subunternehmer werden eingesetzt? Sind sie gelistet?
• TOMs: Verschlüsselung in Transit und at Rest? Zugriffskontrollen? Logging?
• Löschung: Werden Daten nach Vertragsende gelöscht oder zurückgegeben?
• Audit-Rechte: Können Sie oder Ihre Aufsichtsbehörde den Anbieter prüfen?
• Meldepflichten: Wie schnell werden Sie bei einem Datenschutzvorfall informiert?
• Weisungsbindung: Verarbeitet der Anbieter Daten nur nach Ihrer Weisung?

Bei SendSeven erhalten Sie eine vollständige AVV, die alle diese Punkte abdeckt. Unsere Infrastruktur steht in der EU (Google Cloud), KI-Verarbeitung in Frankfurt – kein Datentransfer in Drittländer. Als offizieller Meta Business Partner erfüllen wir die technischen Voraussetzungen für die WhatsApp Business API.

Einwilligung richtig einholen: Textvorlagen

Die Einwilligung nach Art. 6(1)(a) DSGVO muss freiwillig, informiert, eindeutig und für den bestimmten Fall erteilt werden. Hier sind drei Textvorlagen für typische Anwendungsfälle:

Vorlage 1: WhatsApp-Newsletter (Double Opt-In)

Vorlage 2: SMS-Benachrichtigungen (Transaktional)

Hinweis: Für rein transaktionale Nachrichten (Bestellbestätigung, Versandstatus) brauchen Sie keine Einwilligung – die Rechtsgrundlage ist Vertragserfüllung. Eine Checkbox zur Benachrichtigungsart ist trotzdem Best Practice.

Vorlage 3: Multichannel-Einwilligung

Wichtig: Die Einwilligung für jeden Kanal muss getrennt einholbar sein. Ein einziges Häkchen für alle Kanäle reicht nicht. Nutzen Sie ein Kontaktmanagement-System, das kanalspezifische Opt-Ins dokumentiert.

Oesterreich: DSG 2000 – Besonderheiten

Die DSGVO gilt EU-weit. Österreich hat sie durch das Datenschutzgesetz (DSG 2000) in nationales Recht überführt. Für Business Messaging in Österreich gibt es einige Besonderheiten:

• Datenschutzbehörde (DSB): Die österreichische Aufsichtsbehörde ist für Beschwerden und Durchsetzung zuständig. Erreichbar unter dsb.gv.at.
• Kein Bundesdatenschutzbeauftragter: Anders als in Deutschland gibt es in Österreich keine gesetzliche Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten – außer die DSGVO-Schwellenwerte werden erreicht (Art. 37 DSGVO).
• Telekommunikationsgesetz (TKG 2021): Das österreichische TKG 2021 enthält Regelungen zu elektronischer Kommunikation, die dem deutschen TDDDG vergleichbar sind. §165 TKG regelt unerwünschte Nachrichten.
• Bußgelder: Die DSB kann die gleichen Bußgelder wie jede andere DSGVO-Behörde verhängen – bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.

In der Praxis bedeutet das: Wer in Deutschland DSGVO-konform aufgestellt ist, braucht für Österreich wenig Anpassung. Achten Sie auf die korrekte Nennung der österreichischen DSB in Ihrer Datenschutzerklärung, falls Sie österreichische Kunden ansprechen.

Schweiz: nDSG seit September 2023

Die Schweiz ist kein EU-Mitglied, hat aber am 1. September 2023 das neue Datenschutzgesetz (nDSG) in Kraft gesetzt. Dieses wurde an die DSGVO angeglichen – mit einigen wichtigen Unterschieden:

Der größte Unterschied: Persönliche Haftung. Während die DSGVO Unternehmen bestraft, richtet sich das nDSG-Bußgeld gegen die verantwortliche natürliche Person. Bis zu CHF 250.000 – aus eigener Tasche.

Für Business Messaging in der Schweiz bedeutet das: Die Geschäftsführung trägt direkte Verantwortung. Stellen Sie sicher, dass Ihr Messaging-System DSGVO-Niveau erreicht und die Daten in einem Land verarbeitet werden, das die Schweiz als „angemessen“ anerkennt. EU-Hosting ist hier ein klarer Vorteil.

Bußgeldrisiken: Fälle und Trends

Datenschutzverstöße im Messaging-Bereich werden zunehmend verfolgt. Einige Orientierungspunkte:

• 225 Mio. EUR – WhatsApp Ireland (2021). Verstoß gegen Transparenzpflichten. Größtes DSGVO-Bußgeld im Messaging-Bereich.
• Diverse Fälle – Deutsche Aufsichtsbehörden haben wiederholt Unternehmen abgemahnt, die WhatsApp über die normale Business App für Kundenkommunikation nutzten – wegen des Adressbuch-Uploads.
• Trend 2025/2026: Aufsichtsbehörden fokussieren verstärkt auf fehlende AVVs und ungültige Einwilligungen bei Marketing-Nachrichten per Messenger und SMS.

Das Risiko ist nicht nur finanziell. Ein öffentlich bekannter Datenschutzverstoß beschädigt das Vertrauen Ihrer Kunden – und das ist schwerer zu reparieren als ein Bußgeld zu zahlen.

Betriebsrat und interne Kommunikation

In Deutschland und Österreich hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung technischer Systeme, die das Verhalten oder die Leistung von Beschäftigten überwachen können (§87 Abs. 1 Nr. 6 BetrVG in Deutschland, §96 ArbVG in Österreich).

Messaging-Plattformen fallen oft unter diese Regelung. Ein Unified Inbox zeigt Antwortzeiten, Nachrichtenvolumen und Verfügbarkeit von Mitarbeitern. Das kann als Leistungsüberwachung interpretiert werden.

Empfehlung:

• Informieren Sie den Betriebsrat frühzeitig – vor der Einführung.
• Schließen Sie eine Betriebsvereinbarung, die den Umgang mit Messaging-Daten regelt.
• Legen Sie fest, welche Auswertungen erlaubt sind und welche nicht.
• Schulen Sie Mitarbeiter im Umgang mit Kundennachrichten und Datenschutz.

Dieser Punkt wird häufig übersehen. Ein fehlendes Mitbestimmungsverfahren kann die gesamte Implementierung rechtlich angreifbar machen – unabhängig von der DSGVO-Konformität.

Praktische Umsetzung in 7 Schritten

Genug Theorie. So setzen Sie DSGVO-konformes Business Messaging konkret um. Unsere DSGVO-Checkliste für Business Messaging bietet dazu 41 Prüfpunkte als Schnell-Audit-Werkzeug.

Schritt 1: Bestandsaufnahme

Dokumentieren Sie alle Kanäle, über die Ihr Unternehmen aktuell mit Kunden kommuniziert. WhatsApp, SMS, E-Mail, Telegram, Instagram? Wer hat Zugriff? Wo werden Nachrichten gespeichert?

Schritt 2: Rechtsgrundlagen definieren

Ordnen Sie jedem Kanal und jedem Kommunikationszweck die passende Rechtsgrundlage zu. Transaktional = Vertragserfüllung. Marketing = Einwilligung. Dokumentieren Sie das im Verarbeitungsverzeichnis.

Schritt 3: Plattform mit EU-Hosting wählen

Wechseln Sie von der WhatsApp Business App zur WhatsApp Business API über einen Messaging-Plattform mit EU-Hosting. Prüfen Sie die AVV. Stellen Sie sicher, dass kein Datentransfer in Drittländer stattfindet. SendSeven-Preise vergleichen.

Schritt 4: Einwilligungsprozess implementieren

Richten Sie Double-Opt-In-Prozesse für Marketing-Nachrichten ein. Nutzen Sie ein Newsletter-Widget für die Website. Dokumentieren Sie Zeitpunkt, Kanal und Text jeder Einwilligung.

Schritt 5: Datenschutzerklärung aktualisieren

Ergänzen Sie Ihre Datenschutzerklärung um alle Messaging-Kanäle. Nennen Sie den Messaging-Plattform, den Serverstandort und die Rechtsgrundlage. Verlinken Sie die Erklärung in jeder Willkommensnachricht.

Schritt 6: Betriebsrat einbeziehen

Wenn ein Betriebsrat existiert: Informieren Sie ihn, bevor das System live geht. Verhandeln Sie eine Betriebsvereinbarung. Definieren Sie klare Regeln für Auswertungen und Monitoring.

Schritt 7: Regelmäßig prüfen

Datenschutz ist kein Einmal-Projekt. Prüfen Sie vierteljährlich: Sind alle Einwilligungen aktuell? Werden Opt-outs zeitnah umgesetzt? Gibt es neue Unterauftragsverarbeiter in der Kette? Richten Sie Webhooks ein, um Opt-out-Events automatisch zu verarbeiten.

Häufig gestellte Fragen (FAQ)

Ist WhatsApp für Unternehmen DSGVO-konform?

Die WhatsApp Business App ist für den Unternehmenseinsatz in der EU problematisch, weil sie das Adressbuch an Meta überträgt. Die WhatsApp Business API, genutzt über einen Messaging-Plattform mit EU-Hosting und gültiger AVV, kann DSGVO-konform betrieben werden.

Brauche ich eine AVV für WhatsApp Business?

Ja. Wenn Sie die API nutzen, schließen Sie die AVV mit Ihrem Messaging-Plattform ab – nicht direkt mit Meta. Der Messaging-Plattform ist Ihr Auftragsverarbeiter nach Art. 28 DSGVO.

Was ist der Unterschied zwischen TTDSG und TDDDG?

Es ist dasselbe Gesetz. Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde 2024 in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Die inhaltlichen Regelungen, insbesondere §25 zum Endgerätezugriff, blieben unverändert.

Darf ich Kunden ohne Einwilligung per SMS kontaktieren?

Für transaktionale Nachrichten (Bestellbestätigung, Versandstatus) können Sie Art. 6(1)(b) DSGVO als Rechtsgrundlage nutzen. Für Marketing-SMS brauchen Sie eine ausdrückliche Einwilligung. Das UWG kennt für SMS keine Soft-Opt-in-Regelung wie für E-Mail.

Gilt die DSGVO auch für Telegram-Nachrichten?

Ja. Sobald Sie personenbezogene Daten verarbeiten (Telefonnummer, Name, Nachrichteninhalt), gilt die DSGVO – unabhängig vom Kanal. Für Telegram gelten die gleichen Anforderungen wie für WhatsApp oder SMS. Details zur Telegram-DSGVO-Bewertung in unserem Telegram-Leitfaden für Unternehmen.

Was passiert bei einem Datenschutzverstoß im Messaging?

Die DSGVO sieht Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes vor. In der Schweiz haften unter dem nDSG zusätzlich natürliche Personen mit bis zu CHF 250.000. Dazu kommen Reputationsschäden und Vertrauensverlust bei Kunden.

Muss der Betriebsrat zustimmen?

Wenn das Messaging-System Leistungs- oder Verhaltenskontrolle ermöglicht (§87 Abs. 1 Nr. 6 BetrVG), hat der Betriebsrat ein Mitbestimmungsrecht. Die Einführung ohne Betriebsratsbeteiligung kann rechtlich angefochten werden. Klären Sie das vor dem Rollout.

Wie dokumentiere ich die Einwilligung richtig?

Speichern Sie für jede Einwilligung: Zeitpunkt, Kanal, exakten Wortlaut des Opt-in-Textes, IP-Adresse (bei Web-Formularen) und die Double-Opt-In-Bestätigung. Ein gutes Kontaktmanagement automatisiert das.

Welche Vorteile hat EU-Hosting?

EU-Hosting vermeidet Drittlandstransfers und die damit verbundenen Risiken (Schrems-II-Problematik). Deutsche Aufsichtsbehörden sehen EU-Hosting deutlich positiver. Für Schweizer Unternehmen ist EU-Hosting als „angemessenes Schutzniveau“ anerkannt.

Wie lange darf ich Messaging-Daten speichern?

So kurz wie möglich. Die DSGVO verlangt Speicherbegrenzung (Art. 5(1)(e)). Definieren Sie Löschfristen: z. B. Konversationen nach 12 Monaten automatisch löschen, Einwilligungsdaten für die Dauer der Geschäftsbeziehung plus Verjährungsfrist aufbewahren.