WhatsApp Flows und DSGVO: Einwilligung und Datenschutz im Formular

SendSeven Team, Editorial Team

Welche Daten ein WhatsApp Flow sammelt, wer sie verarbeitet, wann Sie eine Einwilligung brauchen und was in Datenschutzhinweis und AVV gehört. Mit Checkliste für den ersten Flow.

Welche Daten sammelt ein WhatsApp Flow, und wer verarbeitet sie?

Ein WhatsApp Flow sammelt genau die Angaben, nach denen Sie fragen. Dazu kommen Telefonnummer und Profilname, die WhatsApp bei jedem Chat ohnehin mitliefert. Verarbeitet werden die Daten an bis zu drei Stellen: bei WhatsApp (Meta), das die Antworten überträgt, bei SendSeven, wo sie im Chat und am Kontakt gespeichert werden, und in Ihrem CRM, wenn Sie es anbinden.

• WhatsApp (Meta): Nachrichten laufen über WhatsApp (Meta). Dabei kann eine Übermittlung in die USA stattfinden, abgesichert über das EU-US Data Privacy Framework und Standardvertragsklauseln. Hochgeladene Fotos und Dokumente hält WhatsApp laut Meta bis zu 20 Tage verschlüsselt bereit (Dokumentation von Meta, auf Englisch).
• SendSeven: Die Plattform ist in der EU gehostet (Frankfurt) und als Meta Business Partner direkt an WhatsApp angebunden. Die Antworten erscheinen sofort im Chat im Posteingang. Antworten, die Sie einem Feld zugeordnet haben, stehen zusätzlich am Kontakt, Fotos und Dokumente als Anhang im Chat und am Kontakt.
• Ihr CRM: Über einen Webhook oder die REST API reichen Sie die Antworten weiter, wenn Sie das einrichten. Ohne Anbindung bleiben sie in SendSeven. Die Einrichtung zeigt die Anleitung zur Webhook-Einrichtung.

Für die Daten Ihrer Kunden sind in der Regel Sie verantwortlich, denn Sie entscheiden, was Sie wofür abfragen. SendSeven verarbeitet die Daten in Ihrem Auftrag. Die Grundlagen dazu fasst der Leitfaden zu Business Messaging und DSGVO zusammen. Was ein WhatsApp Flow technisch ist, erklärt der Beitrag WhatsApp Flows erklärt. Wann ein Flow statt Buttons passt, zeigt der Vergleich WhatsApp Flow, Buttons oder Chatbot.

Wann brauchen Sie eine Einwilligung, und wann nicht?

Für die Anfrage selbst brauchen Sie in der Regel keine gesonderte Einwilligung, für Werbung und Newsletter schon. Wer Ihnen schreibt und im Flow ein Angebot anfragt, möchte, dass Sie seine Angaben dafür nutzen. Rechtsgrundlage ist dann meist die Anbahnung eines Vertrags nach Art. 6 Abs. 1 lit. b DSGVO. Wollen Sie dieselbe Person später mit Aktionen, Rabatten oder einem Newsletter anschreiben, brauchen Sie dafür ihre Einwilligung. Unabhängig davon verlangt Meta ein Opt-in, bevor Sie jemandem von sich aus eine Vorlage schicken.

Ein Flow ist ein guter Ort, um diese Einwilligung einzuholen, weil der Kunde gerade aktiv ist und Sie den Text genau festlegen. Achten Sie dabei auf vier Dinge:

• Eigenes Feld: Fragen Sie die Einwilligung mit einem eigenen Opt-in-Feld ab, getrennt von der Anfrage. Ein vorausgewähltes Häkchen reicht nach der Rechtsprechung des EuGH nicht (Urteil vom 1. Oktober 2019, C-673/17).
• Freiwillig: Wer nur ein Angebot möchte, muss die Anfrage auch ohne Newsletter absenden können. Machen Sie das Opt-in deshalb nicht zur Pflicht.
• Klarer Text: Sagen Sie, worüber Sie schreiben, über welchen Kanal und wie man sich wieder abmeldet. Ein Link „Mehr lesen“ am Opt-in-Feld führt zu Ihrem Datenschutzhinweis.
• Wortlaut festhalten: SendSeven speichert den Einwilligungstext mit jedem Opt-in. Fragt später jemand nach, sehen Sie, welchem Text die Person zugestimmt hat.

Ab Professional erledigt eine Automation im Flow Builder die Anmeldung zur Liste: Der Auslöser „WhatsApp Flow abgeschickt“ startet sie, eine Bedingung prüft das Opt-in-Feld, und der Schritt „+ Liste abonnieren“ trägt den Kontakt ein. Wie ein Double-Opt-in über WhatsApp abläuft, zeigt der Anwendungsfall Double-Opt-in, wie Sie Abonnenten auf faire Weise gewinnen, der Beitrag WhatsApp Opt-in: 7 Strategien.

Wie setzen Sie Datenminimierung im Flow um?

Datenminimierung im Flow heißt: nur fragen, was Sie für den Zweck brauchen, und jede Antwort nur dort speichern, wo Ihr Team mit ihr arbeitet. Ein Flow macht das leichter als ein offener Chat, weil Sie die Fragen vorher festlegen und Auswahlfelder statt Freitext nutzen können.

• Jede Frage begründen: Schreiben Sie zu jeder Frage einen Satz, wofür Sie die Antwort brauchen. Fällt Ihnen keiner ein, streichen Sie die Frage. Welche Angaben für ein Angebot typischerweise reichen, zeigt der Beitrag Anfragen per WhatsApp Flow qualifizieren.
• Auswahl statt Freitext: In ein Freitextfeld schreiben Menschen oft mehr, als Sie wissen wollen, bis hin zu Gesundheits- oder Finanzangaben. Eine Auswahl begrenzt die Antwort auf das, was Sie brauchen. Soll es trotzdem ein Freitextfeld geben, etwa für Hinweise, schreiben Sie dazu, was hineingehört und was nicht, zum Beispiel „Bitte keine Angaben zur Gesundheit“.
• Pflichtfelder sparsam: Was nicht zwingend nötig ist, bleibt optional.
• Speichern mit Ziel: Für jede Eingabe legen Sie fest, ob die Antwort als Kontaktfeld, benutzerdefiniertes Feld oder Tag am Kontakt landet. Was Sie nur für diese eine Anfrage brauchen, bleibt in den Antworten des Flows, statt dauerhaft am Kontakt zu stehen.
• Sensible Felder markieren: Felder, die Sie als sensibel markieren, erscheinen in der Auswertung und an Schnittstellen nur maskiert. Im Chat sieht Ihr Team die Antwort weiterhin, damit es die Anfrage bearbeiten kann.
• Fotos nur, wo sie helfen: Ein Foto zeigt oft mehr als gewollt, etwa Personen oder Kennzeichen. Bitten Sie nur darum, wenn es für die Anfrage wirklich nötig ist, und sagen Sie dazu, was darauf zu sehen sein soll.

Legen Sie außerdem fest, wie lange Sie Anfragen aufbewahren, und halten Sie das in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest. Wollen Sie besonders geschützte Daten abfragen, etwa zur Gesundheit, klären Sie das vorab mit Ihrer Datenschutzberatung. Bei größerem Umfang kann zusätzlich eine Datenschutz-Folgenabschätzung nötig sein.

Was gehört in Datenschutzhinweis und AVV?

Der Datenschutzhinweis sagt Ihren Kunden, was mit ihren Angaben passiert, der Auftragsverarbeitungsvertrag (AVV) regelt, wie SendSeven die Daten in Ihrem Auftrag verarbeitet. Beides sollte stehen, bevor der erste Flow live geht. In Ihren Datenschutzhinweis gehören für WhatsApp Flows in der Regel:

• der Zweck der Abfrage und die Rechtsgrundlage, getrennt für Anfrage und Werbung,
• WhatsApp (Meta) als Übertragungsweg, mit dem Hinweis auf eine mögliche Übermittlung in die USA,
• SendSeven als Dienstleister, der die Daten in Ihrem Auftrag verarbeitet,
• ein angebundenes CRM und andere Empfänger,
• wie lange Sie die Angaben speichern,
• die Rechte Ihrer Kunden und wie sie eine Einwilligung widerrufen.

Verlinken Sie den Hinweis dort, wo Sie die Daten erheben: über „Mehr lesen“ am Opt-in-Feld oder in der Nachricht, mit der Sie den Flow schicken.

Einen Auftragsverarbeitungsvertrag (AVV) stellen wir auf Anfrage bereit. Wie SendSeven selbst mit Daten umgeht und wie Sie uns dazu erreichen, steht in unserer Datenschutzerklärung. Für WhatsApp gelten zusätzlich die Bedingungen von Meta. Wie die Datenkette aussieht, wenn Interessenten über eine Anzeige kommen, zeigt der Beitrag Click-to-WhatsApp Ads und DSGVO.

Worauf achten Sie bei Vorlagen und KI-Builder?

Vorlagen und KI-Builder sparen Arbeit beim Aufbau, die Verantwortung für Fragen und Texte bleibt bei Ihnen. Prüfen Sie jeden Flow vor dem Veröffentlichen so, wie Sie ein neues Formular auf Ihrer Webseite prüfen würden.

• Vorlagen: SendSeven bringt fertige Vorlagen mit, unter anderem für Lead-Erfassung, Angebotsanfrage und Rückruf-Anfrage. Die Einwilligungstexte der Vorlagen sind Beispiele und nicht juristisch geprüft. Passen Sie sie an Ihren Datenschutzhinweis an und lassen Sie sie prüfen.
• KI-Builder: Ab Professional erzeugt der KI-Builder aus Ihrer Beschreibung einen statischen Flow. Er verbraucht KI-Credits, nur für erfolgreiche Läufe. Die KI-Verarbeitung findet in der EU statt. Der Builder braucht nur Ihren Fall, schreiben Sie deshalb keine echten Kundendaten in die Beschreibung.
• Vor dem Veröffentlichen: Stimmen Fragen, Pflichtfelder und Speicherziele? Ist das Opt-in freiwillig und der Text angepasst? Ändert sich später Ihr Datenschutzhinweis, bearbeiten Sie den Flow und veröffentlichen ihn neu. Verschicken Sie ihn über eine Vorlage mit Flow-Button, reichen Sie die Vorlage danach neu bei Meta ein, sonst öffnet sie weiter die alte Fassung.

Der Punkt in einem Satz: Ein WhatsApp Flow ist ein Formular wie jedes andere, also nur fragen, was Sie brauchen, für Werbung eine eigene Einwilligung einholen, den Datenschutzhinweis verlinken und den AVV abschließen.

Alle Funktionen zeigt die Seite WhatsApp Flows. Wie Teams Einwilligungen über Listen und Kanäle hinweg verwalten, zeigt der Anwendungsfall Einwilligungen verwalten, die Grundbegriffe erklären die Glossareinträge Messaging nach DSGVO und WhatsApp Flows.

Weiterführende Beiträge:

• WhatsApp Flows erklärt: Formulare direkt im Chat für KMU
• Anfragen per WhatsApp Flow qualifizieren: alle Angaben auf einmal
• Kundenumfrage per WhatsApp Flow: Feedback im Chat sammeln
• Wiederkehrende Meldungen mit Foto per WhatsApp Flow erfassen
• Business Messaging und DSGVO: der Leitfaden
• WhatsApp Opt-in: 7 Strategien, mit denen Sie Abonnenten gewinnen

Häufig gestellte Fragen