DSGVO-Checkliste Business Messaging 2026 – Alle Kanäle, alle DACH-Länder

Sind Ihre Messaging-Kanäle DSGVO-konform? Diese Checkliste prüft alle 7 Kanäle, alle 3 DACH-Länder und 6 Compliance-Dimensionen – mit Ja/Nein-Checkboxen statt Prosa. Audit-Begleiter zum DSGVO-Leitfaden.

TL;DR

Dieser Artikel ist das Schnell-Audit-Tool zum DSGVO-Leitfaden für Business Messaging. Dort finden Sie die Theorie. Hier finden Sie die Praxis: 6 Checklisten mit 41 Prüfpunkten, eine Kanal-Compliance-Matrix für 7 Kanäle und DACH-Sonderregeln für Deutschland, Österreich und die Schweiz. Jedes ☐ ist ein Prüfpunkt. Ein Nein = Handlungsbedarf. In 10 Minuten wissen Sie, wo Sie stehen.

So nutzen Sie diese Checkliste

Dieser Artikel ist kein Lehrtext. Er ist ein Audit-Werkzeug.

Drei Fragen vorab: Welche Kanäle betreiben Sie aktiv? In welchen DACH-Ländern haben Sie Kunden? Wann war Ihre letzte Datenschutz-Prüfung? Wenn Sie diese drei Fragen nicht sofort beantworten können, fangen Sie genau hier an.

Wie Sie vorgehen: Gehen Sie jeden Prüfpunkt durch. ☐ bedeutet: noch nicht geprüft oder nicht erfüllt. Wenn Sie bei einem Punkt „Nein“ ankreuzen müssen, finden Sie den Link zur Lösung direkt im selben Punkt. Die ausführliche Erklärung jedes Konzepts finden Sie im DSGVO-Leitfaden für Business Messaging.

Was dieser Artikel nicht ist: Rechtsberatung. Für verbindliche Einschätzungen zu Ihrem konkreten Fall konsultieren Sie Ihren Datenschutzbeauftragten oder einen spezialisierten Anwalt. Die Checkliste basiert auf dem Stand der DSGVO, des TDDDG, des österreichischen TKG 2021 und des Schweizer nDSG (Stand Februar 2026).

Kanal-Compliance-Matrix: 7 Kanäle im Vergleich

Bevor Sie die Einzelchecklisten durcharbeiten, verschaffen Sie sich einen Überblick. Diese Matrix zeigt auf einen Blick, welche Compliance-Anforderungen für welchen Kanal gelten.

Kanal	Opt-in Pflicht (Marketing)	Soft Opt-in möglich	AVV nötig	Plattform-Sonderpflicht	TDDDG §25
WhatsApp Business API	✅ Ja – ausdrücklich	❌ Nein	✅ Ja – mit API-Anbieter	✅ Meta-Richtlinien + Opt-in-Nachweis	⚠️ Prüfen (Endgerätezugriff)
SMS	✅ Ja – ausdrücklich	❌ Nein (UWG §7)	✅ Ja – mit SMS-Gateway	❌ Keine eigene Plattformregel	✅ Relevant (Netzwerk-ID)
E-Mail	✅ Ja – grundsätzlich	✅ Ja – §7 Abs. 3 UWG	✅ Ja – mit E-Mail-Anbieter	❌ Keine eigene Plattformregel	⚠️ Cookies/Tracking beachten
Telegram	✅ Ja – ausdrücklich	❌ Nein	⚠️ Eingeschränkt – Telegram bietet keinen AVV	⚠️ Kein EU-Vertreter nach Art. 27	⚠️ Prüfen
Facebook Messenger	✅ Ja – ausdrücklich	❌ Nein	✅ Ja – mit API-Anbieter	✅ Meta-Messaging-Policy	⚠️ Prüfen
Instagram DM	✅ Ja – ausdrücklich	❌ Nein	✅ Ja – mit API-Anbieter	✅ Meta-Messaging-Policy	⚠️ Prüfen
Live Chat (Website)	⚠️ Abhängig vom Zweck	✅ Für Service-Chats	✅ Ja – mit Chat-Anbieter	⚠️ TDDDG §25 für Chat-Widget	✅ Direkt relevant (Widget)

Lesehilfe: ✅ = Anforderung gilt eindeutig. ❌ = Anforderung gilt nicht oder ist nicht möglich. ⚠️ = Graubereich – prüfen Sie Ihren konkreten Fall. Alle Angaben beziehen sich auf den Einsatz für Marketing-Nachrichten. Für transaktionale Nachrichten (Bestellbestätigung, Statusmeldung) gelten reduzierte Anforderungen – dort reicht Art. 6(1)(b) DSGVO als Rechtsgrundlage.

Mehr zu den Unterschieden zwischen den Kanälen aus Datenschutzperspektive: DSGVO-Leitfaden: WhatsApp App vs. API.

DSGVO-konform auf allen Kanälen

SendSeven – EU-Hosting · KI in Frankfurt. AVV inklusive. 7 Kanäle, eine Plattform.

Kostenlos starten Funktionen ansehen

Checkliste 1: Rechtsgrundlagen (Art. 6 DSGVO)

Ohne dokumentierte Rechtsgrundlage ist jede Datenverarbeitung rechtswidrig – unabhängig davon, wie sorgfältig alles andere umgesetzt wurde. Das ist der Ausgangspunkt jedes Audits.

Prüfpunkte Rechtsgrundlagen

☐ Jeder aktive Messaging-Kanal hat eine dokumentierte Rechtsgrundlage nach Art. 6 DSGVO. Nicht „wahrscheinlich Art. 6(1)(b)“ – sondern schriftlich festgehalten, z. B. im Verarbeitungsverzeichnis. Details zu Art. 6 →
☐ Transaktionale Nachrichten (Bestellbestätigung, Versandstatus, OTP) sind klar von Marketing-Nachrichten getrennt – und für jede Kategorie gilt eine separate Rechtsgrundlage. Unterschied Transaktional vs. Marketing →
☐ Berechtigtes Interesse (Art. 6(1)(f)) wird nur nach dokumentierter Interessenabwägung eingesetzt – nicht als Auffangbecken für Fälle, in denen keine Einwilligung eingeholt wurde. Für SMS und WhatsApp-Marketing ist Art. 6(1)(f) faktisch nicht nutzbar (kein Soft-Opt-in im UWG). Glossar: DSGVO-konforme Messaging →
☐ Für alle Neukontakte gilt Einwilligung (Art. 6(1)(a)) als Rechtsgrundlage für Marketing – nicht „berechtigtes Interesse“ oder „Vertragsverhältnis“. Einwilligung richtig einholen →
☐ Die Rechtsgrundlage für jeden Kanal wird mindestens einmal jährlich überprüft – z. B. im Rahmen einer Datenschutz-Jahresrevision. Änderungen in der Nutzungsweise eines Kanals erfordern eine Neubewertung.
☐ Für die Schweiz (nDSG): Die Rechtsgrundlage ist auch nach Schweizer Recht dokumentiert – das nDSG kennt eigenständige Regelungen, die von der DSGVO abweichen können. Besonders schützenswerte Personendaten (Gesundheit, Religion, Politik) erfordern ausdrückliche Einwilligung. Schweiz nDSG im Detail →

Checkliste 2: Einwilligung & Opt-in

Eine gültige Einwilligung ist nach Art. 4 Nr. 11 DSGVO freiwillig, informiert, für den bestimmten Fall erteilt und unmissverständlich. Vier Adjektive – vier potenzielle Lücken.

Prüfpunkte Einwilligung & Opt-in

☐ Opt-in-Checkboxen sind standardmäßig deaktiviert. Vorausgefüllte Häkchen sind nach DSGVO ungültig. Schweigen ist keine Einwilligung. Glossar: Opt-in →
☐ Die Einwilligung ist kanalspezifisch und granular. Ein einzelnes Häkchen für „WhatsApp, SMS und E-Mail“ reicht nicht. Jeder Kanal braucht eine separate, abwählbare Option. Opt-in-Sammlung einrichten →
☐ Für WhatsApp und SMS wird Double Opt-in eingesetzt. Nach Eingabe der Nummer sendet das System eine Bestätigungsnachricht – erst nach aktiver Bestätigung gilt die Einwilligung als erteilt. Double Opt-in ist kein gesetzliches Muss, aber der stärkste Nachweis im Streitfall. Textvorlagen für Double Opt-in →
☐ Zeitstempel, Kanal und exakter Wortlaut jeder Einwilligung werden gespeichert. Im Streit- oder Bußgeldfall müssen Sie beweisen können: wer hat wann, mit welchem Text, für welchen Kanal eingewilligt. Kontaktmanagement mit Opt-in-Dokumentation →
☐ Der Opt-in-Text ist klar, verständlich und nennt den genauen Zweck. „Ich akzeptiere die Datenschutzbestimmungen“ ist kein gültiger Opt-in-Text für Marketing-Nachrichten. Der Zweck muss konkret benannt sein.
☐ Der Widerruf ist genauso einfach wie die Einwilligung (Art. 7(3) DSGVO). Wenn der Opt-in per Klick erfolgt, muss der Opt-out ebenfalls per Klick oder per Keyword (z. B. STOPP) möglich sein – nicht nur per E-Mail-Anfrage. Opt-out-Automatisierung via Webhook →
☐ Opt-out-Anfragen werden innerhalb von 24 Stunden technisch umgesetzt. Der Widerruf muss unverzüglich wirksam sein. Systeme, die Opt-outs nur wöchentlich verarbeiten, verstoßen gegen Art. 7(3) DSGVO. Automatisieren Sie das via Webhook.

Checkliste 3: Auftragsverarbeitungsvertrag (AVV)

Art. 28 DSGVO ist eindeutig: Wer personenbezogene Daten durch einen Dritten verarbeiten lässt, braucht einen schriftlichen AVV – bevor die Datenverarbeitung beginnt. Nachträglich geschlossene AVVs können Bußgelder nicht verhindern, nur reduzieren.

Prüfpunkte AVV

☐ Mit jedem aktiven Messaging-Anbieter besteht ein unterzeichneter AVV – vor dem Go-live. Das gilt für WhatsApp-API-Anbieter, SMS-Gateways, E-Mail-Dienstleister und Live-Chat-Anbieter. Glossar: AVV →
☐ EU-Hosting ist schriftlich bestätigt. Der AVV oder eine Anlage belegt, dass Daten auf EU-Servern verarbeitet werden. Mündliche Zusagen gelten nicht. Für SendSeven: EU-Hosting (Google Cloud), KI in Frankfurt, keine Drittlandstransfers. AVV-Prüfpunkte im Detail →
☐ Alle Unterauftragsverarbeiter (Subprozessoren) sind im AVV oder in einer Anlage namentlich gelistet. Sie müssen wissen und dokumentieren, welche weiteren Dienstleister Ihr Messaging-Anbieter einsetzt.
☐ Technische und organisatorische Maßnahmen (TOMs) sind im AVV spezifiziert – nicht nur als generelle Aussage „angemessene Sicherheit“, sondern konkret: Verschlüsselungsstandard, Zugriffskonzept, Backup-Verfahren. TOMs in der Praxis →
☐ Löschpflichten nach Vertragsende sind definiert. Der AVV regelt, was mit Ihren Daten passiert, wenn Sie den Anbieter wechseln: Löschung innerhalb welcher Frist? Rückgabe in welchem Format?
☐ Audit-Rechte sind vertraglich vereinbart. Sie oder Ihre Aufsichtsbehörde müssen das Recht haben, den Anbieter auf Einhaltung der Datenschutzpflichten zu prüfen – direkt oder über Zertifizierungen (ISO 27001, SOC 2).
☐ Der Anbieter verpflichtet sich zur Meldung von Datenschutzvorfällen innerhalb von 72 Stunden. Diese Frist entspricht Ihrer eigenen Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO. Der Anbieter muss Sie rechtzeitig informieren, damit Sie die Frist einhalten können. Art. 28 im Detail →

Checkliste 4: Informationspflichten Art. 13 DSGVO

Art. 13 DSGVO verlangt, dass Sie betroffene Personen bei der Erhebung ihrer Daten informieren – nicht irgendwann, sondern zum Zeitpunkt der Erhebung. Im Messaging-Kontext bedeutet das: spätestens bei der ersten Nachricht oder beim Opt-in-Vorgang.

Prüfpunkte Informationspflichten

☐ Bei der ersten Nachricht (oder im Opt-in-Formular) wird auf die Datenschutzerklärung verlinkt. Ein kurzer Satz mit Link reicht: „Informationen zur Datenverarbeitung finden Sie in unserer Datenschutzerklärung: [Link].“ Informationspflichten im Detail →
☐ Der Verantwortliche (Ihr Unternehmen) ist in der Datenschutzerklärung klar benannt – mit vollständigem Namen, Adresse und E-Mail-Adresse.
☐ Wenn ein Datenschutzbeauftragter (DSB) bestellt ist, sind seine Kontaktdaten angegeben. In Deutschland ist ein DSB ab 20 Personen Pflicht, die regelmäßig personenbezogene Daten verarbeiten. In Österreich und der Schweiz gelten andere Schwellenwerte. Österreich-Besonderheiten →
☐ Zweck und Rechtsgrundlage der Verarbeitung sind für jeden Messaging-Kanal in der Datenschutzerklärung benannt. Allgemeine Formulierungen wie „zur Verbesserung unserer Dienste“ reichen nicht aus.
☐ Speicherdauer oder Kriterien für die Speicherdauer sind angegeben – pro Kanal und Verarbeitungszweck. Beispiel: „Konversationsdaten werden 12 Monate nach dem letzten Kontakt gelöscht.“
☐ Auf das Beschwerderecht bei der zuständigen Aufsichtsbehörde wird hingewiesen. Für Deutschland: Landesbehörde des Unternehmenssitzes. Für Österreich: Datenschutzbehörde (dsb.gv.at). Für die Schweiz: EDÖB (edoeb.admin.ch). Schweiz nDSG: EDÖB →

Checkliste 5: Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO fordert „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten. Was „geeignet“ bedeutet, hängt vom Risiko ab. Für Messaging-Daten gilt: Sie verarbeiten Kommunikationsinhalte – das ist kein Niedrig-Risiko-Bereich.

Prüfpunkte Technische Maßnahmen

☐ Übertragung aller Messaging-Daten ist verschlüsselt (TLS 1.2 oder höher). Unverschlüsselte API-Verbindungen sind inakzeptabel. Prüfen Sie auch eingehende Webhooks. Glossar: Verschlüsselung →
☐ Ruhende Daten (at rest) sind verschlüsselt. Nachrichteninhalte, Kontaktdaten und Opt-in-Protokolle in der Datenbank sind verschlüsselt gespeichert – nicht nur „passwortgeschützt“.
☐ Zugriffskontrolle ist rollenbasiert. Nicht jeder Mitarbeiter hat Zugriff auf alle Kundengespräche. Marketing sieht Opt-in-Daten, Support sieht Konversationen, Admins sehen alles. Minimalprinzip. Rechteverwaltung in SendSeven →
☐ Zugriffsprotokollierung (Audit Trail) ist aktiv. Wer hat wann auf welche Kundendaten zugegriffen oder sie verändert? Ohne Logging ist forensische Aufklärung im Vorfallsfall unmöglich.
☐ Löschfristen sind technisch umgesetzt, nicht nur dokumentiert. Ein Verarbeitungsverzeichnis, das „12 Monate“ vorsieht, aber keine automatische Löschung auslöst, erfüllt Art. 5(1)(e) DSGVO nicht. Automatisieren Sie das.
☐ Ein Incident-Response-Plan für Datenpannen existiert und wurde getestet. Was passiert, wenn Kundennachrichten geleakt werden? Wer wird informiert? In welcher Reihenfolge? Die 72-Stunden-Meldepflicht nach Art. 33 DSGVO duldet keine improvisierte Reaktion. 7-Schritte-Umsetzungsplan →

Checkliste 6: Verarbeitungsverzeichnis (VVT)

Das Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO ist die Grundlage jedes Datenschutz-Audits. Es dokumentiert systematisch, was Sie mit personenbezogenen Daten machen. Ohne VVT können Sie bei einer Prüfung nicht nachweisen, dass Sie überhaupt wissen, was Sie verarbeiten.

Prüfpunkte Verarbeitungsverzeichnis

☐ Für jeden aktiv genutzten Messaging-Kanal gibt es einen eigenen VVT-Eintrag. WhatsApp, SMS, E-Mail, Telegram, Messenger – jeder Kanal ist eine separate Verarbeitungstätigkeit mit eigenem Eintrag. Art. 30 im Detail →
☐ Rechtsgrundlage, Zweck, Datenkategorien und betroffene Personengruppen sind pro Kanal dokumentiert. Ein generischer Eintrag „Kundenkommunikation“ für alle Kanäle reicht nicht aus.
☐ Die vollständige Prozessorkette ist dokumentiert: Welche Anbieter (Auftragsverarbeiter) sind in die Verarbeitung eingebunden? Inklusive Subprozessoren. Inklusive Serverstandort.
☐ Löschfristen sind pro Kanal und Datenkategorie eingetragen. Konversationsdaten haben oft andere Fristen als Opt-in-Protokolle oder Rechnungsdaten.
☐ Das VVT wurde in den letzten 12 Monaten überprüft und aktualisiert. Ein VVT, das seit drei Jahren nicht angefasst wurde, spiegelt nicht die aktuelle Realität wider. Neue Kanäle, neue Anbieter, neue Zwecke – alles muss eingetragen werden. Kontaktmanagement und Datendokumentation →

Opt-in und Opt-out automatisch dokumentiert

SendSeven speichert Einwilligungen mit Zeitstempel, Kanal und Wortlaut – direkt im Kontaktprofil.

Preise vergleichen Opt-in-Widget einrichten

DACH-Sonderregeln: Deutschland, Österreich, Schweiz

Die DSGVO gilt in allen drei Ländern – aber nicht allein. Jedes Land hat nationale Vorschriften, die zusätzliche Anforderungen stellen. Hier die wichtigsten Prüfpunkte pro Land.

Deutschland – Betriebsrat und TDDDG

In Deutschland kommen zwei nationale Regelwerke hinzu: das TDDDG §25 (Endgerätezugriff) und das Betriebsverfassungsgesetz (BetrVG §87 Abs. 1 Nr. 6) für Unternehmen mit Betriebsrat.

Prüfpunkte Deutschland

☐ TDDDG §25 ist geprüft: Wenn Ihr Messaging-System Informationen auf Endgeräten von Nutzern speichert oder ausliest (z. B. Push-Token, Tracking-Pixel in E-Mails), liegt ein Endgerätezugriff vor. Dafür brauchen Sie entweder eine Einwilligung oder der Zugriff ist technisch unbedingt erforderlich. TDDDG §25 im Detail →
☐ Der Betriebsrat wurde vor der Einführung des Messaging-Systems informiert (sofern vorhanden). §87 Abs. 1 Nr. 6 BetrVG: Systeme, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können, erfordern Mitbestimmung. Unified-Inbox-Systeme mit Antwortzeiten-Tracking fallen potenziell darunter. Betriebsrat und Messaging →
☐ Eine Betriebsvereinbarung (BV) regelt den Einsatz des Messaging-Systems (sofern Betriebsrat vorhanden). Ohne BV oder Einigungsstellenverfahren kann die Einführung rechtlich angefochten werden.
☐ Mitarbeiter wurden in Datenschutz und sicherem Umgang mit Kundennachrichten geschult. §26 BDSG verlangt Vertraulichkeit beim Umgang mit personenbezogenen Daten. Schulungsnachweise dokumentieren.

Österreich – DSG und TKG 2021

Österreich hat die DSGVO durch das Datenschutzgesetz (DSG) in nationales Recht umgesetzt. Für Messaging relevant ist zusätzlich §165 des Telekommunikationsgesetzes 2021 (TKG 2021), das unerwünschte elektronische Nachrichten regelt.

Prüfpunkte Österreich

☐ §165 TKG 2021 (Österreich) ist beachtet: Marketing-Nachrichten an österreichische Empfänger ohne deren ausdrückliche Einwilligung oder ohne aktive Kundenbeziehung mit Opt-out-Möglichkeit sind verboten. Die Anforderungen entsprechen weitgehend dem deutschen UWG. Österreich-Besonderheiten →
☐ Für österreichische Kunden ist die zuständige Aufsichtsbehörde (DSB) in der Datenschutzerklärung benannt. Österreichische Kunden haben das Recht, Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at) einzulegen.
☐ Prüfung, ob ein betrieblicher DSB nach §5 DSG erforderlich ist. Das österreichische DSG kennt eigene Bestellpflichten, die von den Schwellenwerten der DSGVO abweichen können. Im Zweifel: Rechtsberatung einholen.

Schweiz – nDSG: Persönliche Haftung bis CHF 250.000

Das neue Schweizer Datenschutzgesetz (nDSG) ist seit dem 1. September 2023 in Kraft. Der wichtigste Unterschied zur DSGVO: Bußgelder richten sich nicht gegen das Unternehmen, sondern gegen natürliche Personen – mit bis zu CHF 250.000 persönlicher Haftung.

Prüfpunkte Schweiz (nDSG)

☐ Die Geschäftsführung hat die persönliche Haftung nach nDSG zur Kenntnis genommen. Bis CHF 250.000 Buße richtet sich an die verantwortliche natürliche Person – nicht an die GmbH oder AG. Dokumentieren Sie diesen Hinweis intern. nDSG im Detail →
☐ Datenpannen werden „so rasch wie möglich“ dem EDÖB gemeldet. Das nDSG kennt keine starre 72-Stunden-Frist wie die DSGVO – aber „so rasch wie möglich“ bedeutet in der Praxis ebenfalls sehr kurzfristig. Ihr Incident-Response-Plan gilt auch für Schweizer Sachverhalte.
☐ Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist als zuständige Schweizer Aufsichtsbehörde in der Datenschutzerklärung genannt. Webseite: edoeb.admin.ch.
☐ Die Datenschutzerklärung wurde nach Inkrafttreten des nDSG (1. September 2023) für Schweizer Sachverhalte aktualisiert. Ältere Datenschutzerklärungen, die nur auf DSGVO verweisen, decken nDSG-Anforderungen nicht vollständig ab. Besonders: Angabe des Auskunftsrechts nach nDSG Art. 25 und Meldepflichten. nDSG vs. DSGVO →

Ihr Ergebnis: Was tun?

Sie haben alle Prüfpunkte durchgegangen. Zählen Sie die offenen ☐ – also die Punkte, bei denen Sie aktuell „Nein“ antworten müssten.

Anzahl offener Punkte	Bewertung	Empfehlung
0–5	Gut aufgestellt	Dokumentation aktualisieren, Jahresrevision terminieren.
6–10	Handlungsbedarf	Priorisieren Sie AVV und Opt-in – das sind die häufigsten Bußgeld-Auslöser. Setzen Sie einen internen Projektplan auf. Zeitrahmen: 4–6 Wochen.
11–20	Erheblicher Handlungsbedarf	Stoppen Sie aktive Marketing-Kampagnen, bis die kritischsten Lücken (AVV, Opt-in, Rechtsgrundlage) geschlossen sind. Beauftragen Sie einen externen DSB oder Datenschutzanwalt.
21+	Dringende Maßnahmen	Sofortiger Handlungsbedarf. Inaktivieren Sie nicht DSGVO-konforme Kanäle, bis grundlegende Voraussetzungen erfüllt sind. Holen Sie rechtliche Beratung ein.

Die drei kritischsten Prüfpunkte (häufigste Bußgeld-Auslöser in DACH):

Kein AVV mit dem Messaging-Anbieter – das ist ein eigenständiger Verstoß nach Art. 28 DSGVO, unabhängig davon, ob tatsächlich Datenpannen passiert sind.
Ungültige oder fehlende Einwilligung für Marketing-Nachrichten – das Bußgeld gilt pro Verstoß, nicht nur einmalig für die gesamte Kampagne.
Kein oder veraltetes VVT – ohne Verarbeitungsverzeichnis können Sie gegenüber Aufsichtsbehörden nicht nachweisen, dass Sie Ihre Datenverarbeitung im Griff haben.

Den vollständigen Leitfaden mit allen Hintergrundinformationen, Textvorlagen und einem 7-Schritte-Umsetzungsplan finden Sie im DSGVO-Leitfaden für Business Messaging.

Häufig gestellte Fragen (FAQ)

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet – unabhängig von Größe oder Umsatz. Das Verarbeitungsverzeichnis ist allerdings erst ab 250 Mitarbeitern Pflicht (Art. 30(5) DSGVO), es sei denn, Sie verarbeiten Daten regelmäßig oder von besonders sensiblen Kategorien. In der Praxis empfiehlt sich ein VVT ab dem ersten Mitarbeiter.

Was kostet ein DSGVO-Verstoß im Messaging-Bereich?

Die DSGVO sieht zwei Bußgeld-Stufen vor: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für formale Verstöße (z. B. kein AVV), bis zu 20 Mio. Euro oder 4 % für materielle Verstöße (z. B. unzulässige Datenverarbeitung). Zur Einordnung: Die irische DPC verhängte 2021 gegen WhatsApp Ireland ein Bußgeld von 225 Millionen Euro. In der Schweiz drohen bis zu CHF 250.000 persönlicher Haftung nach nDSG.

Brauche ich für jeden Messaging-Kanal eine separate Einwilligung?

Ja. Die Einwilligung muss für den bestimmten Fall erteilt sein (Art. 4 Nr. 11 DSGVO). Eine Einwilligung für „Marketingnachrichten“ deckt nicht automatisch WhatsApp, SMS und E-Mail ab. Wenn Sie mehrere Kanäle nutzen möchten, brauchen Sie eine kanalspezifische Einwilligung – entweder als separate Checkboxen oder als explizite Auflistung im Opt-in-Text. Mehr zu Opt-in-Anforderungen →

Ist Telegram für Business Messaging DSGVO-konform?

Eingeschränkt. Telegram bietet keinen AVV nach Art. 28 DSGVO, hat seinen Sitz in Dubai und wurde vom Bundesdatenschutzbeauftragten wegen DSGVO-Verstößen (kein EU-Vertreter nach Art. 27) gerügt. Für Marketing-Broadcasts ohne sensible Kundendaten ist das Risiko geringer. Für die Verarbeitung personenbezogener Kundendaten oder sensibler Informationen ist Telegram nicht empfehlenswert. Details: Telegram DSGVO-Analyse →

Wie lange muss ich Einwilligungsnachweise aufbewahren?

Mindestens so lange, wie Sie die Einwilligung als Rechtsgrundlage nutzen – also für die gesamte Dauer der Marketingkommunikation mit dieser Person. Nach Widerruf oder Ende des Kundenverhältnisses empfehlen Datenschutzbehörden, den Nachweis noch für die reguläre Verjährungsfrist (3 Jahre) aufzubewahren, da die einwilligende Person Ansprüche geltend machen könnte. Der Nachweis selbst ist kein Verstoß gegen die Speicherbegrenzung – Sie brauchen ihn zur Verteidigung.

Was ist der Unterschied zwischen TDDDG und DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten. Das TDDDG (früher TTDSG) regelt zusätzlich den Zugriff auf Endgeräte – also das Speichern und Auslesen von Informationen auf dem Gerät eines Nutzers. Beide Regelwerke können gleichzeitig anwendbar sein. Im Messaging-Kontext ist das TDDDG vor allem für Live-Chat-Widgets auf Websites und Push-Notification-Systeme relevant. TDDDG §25 im Detail →

Quellen und weiterführende Links: