Wie Unternehmen WhatsApp nutzen und den Datenschutz gewährleisten können (ja, das ist möglich!)

13. Februar 2025

Können Sie WhatsApp in Ihrer Kundenkommunikation nutzen und dennoch den Datenschutz gewährleisten? Ja. Allerdings gibt es einige Dinge, die Sie dabei beachten müssen. Wir erklären die Anforderungen für die Nutzung von WhatsApp in Ihrer Geschäftskommunikation und zeigen Ihnen, welche WhatsApp Business-Lösung den besten Datenschutz bietet.

WhatsApp ist eine der beliebtesten Social-Media-Apps der Welt. Menschen nutzen sie nicht nur, um SMS, Videos oder Memes an den Freundeskreis zu senden, sondern auch zunehmend, um Unternehmen zu kontaktieren. Tatsächlich schreiben jeden Tag rund 175 Millionen Menschen einem Geschäftskonto auf WhatsApp.

Gleichzeitig stellt dies eine Herausforderung für Unternehmen dar, da sie sicherstellen müssen, dass die Daten der Nutzerinnen und Nutzer geschützt sind.

Je nach Standort Ihres Unternehmens variieren die Datenschutzgesetze. Allerdings von Europas DSGVO über Indiens „IT Act“ bis California Consumer Privacy Act, wird der Schutz personenbezogener Nutzerdaten weltweit zu einer gesetzlichen Anforderung für Unternehmen. Lässt sich die Nutzung von WhatsApp also überhaupt mit dem Schutz von Nutzerdaten vereinbaren?

Ja, das ist möglich. Ja, wenn Sie bestimmte Dinge beachten. So funktioniert es.

Das Hauptziel von Datenschutzgesetzen ist es, die personenbezogenen Daten der Konsumierenden zu schützen und ihnen die Entscheidung zu überlassen, wer ihre persönlichen Informationen auf welche Weise verarbeiten darf. Personenbezogene Daten beziehen sich auf Informationen wie Name, Adresse, Geburtsdatum, E-Mail-Adresse, IP-Adresse, Kfz-Kennzeichen, Standort, Bankdaten und so weiter. Auch wenn Datenschutz wie ein neuer Trend in der Gesetzgebung wirken mag, sind Vorschriften zum Schutz der Privatsphäre nichts Neues.

So erkennt beispielsweise die indische Verfassung ausdrücklich das Grundrecht auf Privatsphäre an. Neu ist jedoch, dass Datenschutzgesetze ausgeweitet wurden, um auch digital erfasste personenbezogene Daten einzuschließen. Dies können Informationen sein, die durch Tracking-Cookies auf einer E-Commerce-Website wie Amazon gesammelt werden, oder Nutzerdaten, die von Social-Media-Unternehmen wie Facebook oder WhatsApp gespeichert werden.

Einerseits können diese personenbezogenen Daten Unternehmen dabei helfen, bessere Produkte und Dienstleistungen anzubieten und das Kundenerlebnis zu verbessern. Andererseits besteht ein Missbrauchspotenzial, da dieser digitale Fußabdruck sensible Informationen über eine Person enthält. Hier greifen Datenschutzgesetze wie der IT Act in Indien oder die DSGVO in der Europäischen Union. Sie zielen darauf ab, das Recht der Nutzerinnen und Nutzer auf Privatsphäre zu schützen. Unternehmen, die gegen diese Gesetze verstoßen, müssen mit hohen Geldstrafen rechnen.

Gleichzeitig möchten Sie als Unternehmen die Informationen, die Ihnen Ihre Kundschaft anvertraut, nicht missbrauchen. Denn selbst wenn dies versehentlich oder aus Unwissenheit geschieht, kann es das Image Ihres Unternehmens schädigen. Unternehmen, die ihrer Kundschaft zeigen, dass sie sorgsam mit deren Daten umgehen, gewinnen an Vertrauen. Und das schließt Ihre Kundenkommunikation über WhatsApp ein.

Je nach Standort Ihres Unternehmens und Ihrer Kundschaft können unterschiedliche Datenschutzgesetze zum Tragen kommen.

In Indien gibt es mehrere Gesetze, die den Datenschutz regeln, wie den Consumer Protection Act, Vorschriften der Telecom Regulatory Authority of India oder der Reserve Bank sowie die Health Data Management Policies. Aktuell arbeitet die Regierung zudem an einem neuen Entwurf des Telekommunikationsgesetzes , das eine spezielle „Light Touch“-Vorschrift für OTT-basierte Messaging-Dienste wie WhatsApp, Signal oder Telegram enthalten könnte.

Derzeit sind Unternehmen in Indien hauptsächlich vom IT Act und seinen SPDI-Vorschriften.

Der IT Act besagt allgemein, dass Unternehmen, die durch Nachlässigkeit bei der Umsetzung und Einhaltung von Sicherheitsvorschriften für den Umgang mit personenbezogenen Daten einen Schaden verursachen, schadensersatzpflichtig sind. In einigen Fällen drohen sogar Freiheitsstrafen von bis zu drei Jahren. Die grundlegende Richtlinie lautet, dass für die Erfassung, Verarbeitung und Speicherung personenbezogener Daten eine ausdrückliche Einwilligung erforderlich ist.

Die SPDI-Vorschriften definieren wiederum spezifischere Anforderungen und Standards für den Umgang von Unternehmen mit personenbezogenen Daten. Dazu gehören die folgenden Persönlichkeitsrechte (Rechte der betroffenen Person).

• Recht auf Information: Unternehmen, die personenbezogene Daten erfassen, speichern, verarbeiten oder damit umgehen, müssen der Nutzerschaft in einer Datenschutzerklärung offenlegen, welche Art von Daten sie für welchen Zweck erheben und welche Sicherheitspraktiken sie anwenden. Auskunftsrecht: Alle, die das Tool nutzen, haben das Recht, die über sie erfassten Informationen einzusehen.
• Recht auf Berichtigung: Personen haben das Recht, falsche Informationen, die ein Unternehmen über sie gespeichert hat, zu ergänzen oder zu ändern.
• Recht auf Löschung: Derzeit haben Personen kein Recht auf die Löschung von Informationen, können jedoch ihre Einwilligung zur Verarbeitung ihrer Daten widerrufen (Widerspruchsrecht oder Opt-out).

Seit 2018 gibt es die DSGVO, welche regelt , wie personenbezogene Daten in der Europäischen Union genutzt werden dürfen. Unternehmen, die personenbezogene Daten verarbeiten, müssen folgende Prinzipien einhalten.

• Datenminimierung: Verarbeiten Sie nie mehr Daten als nötig.
• Zweckbindung: Unternehmen benötigen einen definierten, klaren und legitimen Grund für die Verarbeitung personenbezogener Daten.
• Richtigkeit:  Es dürfen nur korrekte Daten verarbeitet werden.
• Rechenschaftspflicht: Unternehmen sind dafür verantwortlich, dass der Umgang mit Nutzerdaten DSGVO-konform ist.
• Speicherbegrenzung: Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Das Vereinigte Königreich prüft und ratifiziert derzeit den Data Protection and Digital Information Bill 2022-23.

Laut der aktuellen Fassung der UK-DSGVO „dürfen personenbezogene Daten nur verarbeitet werden, wenn dafür eine rechtmäßige Grundlage besteht.“ Es gibt sechs solcher Grundlagen.

1. Einwilligung: Eine Person hat ihre eindeutige Einwilligung gegeben, dass ihre personenbezogenen Daten für einen bestimmten Zweck verarbeitet werden dürfen.
2. Vertrag: Personenbezogene Daten können verarbeitet werden, wenn dies für die Erfüllung eines Vertrags erforderlich ist, dem die Person zugestimmt hat.
3. Rechtliche Verpflichtung: Die Verarbeitung ist erforderlich, um einer rechtlichen Verpflichtung nachzukommen, der die datenverarbeitende Stelle unterliegt.
4. Lebenswichtiges Interesse: Die Verarbeitung ist erforderlich, um das Leben einer Person zu schützen.
5. Öffentliche Aufgabe: Die Verarbeitung ist erforderlich, um eine Aufgabe im öffentlichen Interesse auszuführen.
6. Berechtigtes Interesse: Die datenverarbeitende Stelle hat ein berechtigtes Interesse an der Verarbeitung der Informationen.

Wenn Unternehmen im Vereinigten Königreich personenbezogene Daten verarbeiten, müssen sie sieben wichtige Prinzipien befolgen:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit (Sicherheit)
• Rechenschaftspflicht

Bei Verstößen gegen diese Richtlinien droht eine Strafe von bis zu 500.000 britischen Pfund.

Die California Consumer Privacy Act aus dem Jahr 2020 zielt darauf ab, die Datenschutzrechte der Einwohnerschaft Kaliforniens zu schützen. Jedes Unternehmen, das im Bundesstaat Kalifornien geschäftlich tätig ist und eines der folgenden Kriterien erfüllt, muss den CCPA einhalten.

• Ein jährlicher Bruttoumsatz von mehr als 25 Millionen US-Dollar
• Verarbeitung personenbezogener Daten von 50.000 oder mehr Personen
• Mindestens 50 % des Jahresumsatzes stammen aus dem Verkauf personenbezogener Daten

Obwohl der CCPA formal auf Kalifornien beschränkt ist, kann er auch ausländische Unternehmen betreffen, die in diesem Bundesstaat Geschäfte machen. Erwähnenswert ist zudem, dass andere US-Bundesstaaten wie Colorado damit begonnen haben, ähnliche Datenschutzgesetze einzuführen.

Der CCPA umfasst die folgenden Datenschutzrechte:

• Das Recht auf Auskunft darüber, welche personenbezogenen Daten ein Unternehmen über sie erfasst und wie diese genutzt und weitergegeben werden.
• Das Recht auf Löschung der über sie erfassten personenbezogenen Daten (mit einigen Ausnahmen).
• Das Opt-out-Recht, um dem Verkauf ihrer personenbezogenen Daten zu widersprechen.
• Das Recht auf Nichtdiskriminierung bei der Ausübung ihrer CCPA-Rechte.

Auch wenn sich Datenschutzgesetze je nach Land oder Region unterscheiden, schränken sie alle ein, wie Unternehmen WhatsApp für ihre Kundenkommunikation nutzen dürfen.

Wenn Sie über WhatsApp mit Ihrer Kundschaft kommunizieren, haben Sie unweigerlich mit personenbezogenen Daten zu tun, wie zum Beispiel dem Namen, der Telefonnummer, der Lieferadresse oder der Kundennummer. Wenn die Kundschaft zuerst Kontakt zu Ihrem Unternehmen aufnimmt, sind diese personenbezogenen Daten im Hinblick auf den Datenschutz unproblematisch. In diesem Fall haben Sie als Unternehmen einen legitimen Grund (Zweck), Kundendaten zu verarbeiten.

Sobald Sie jedoch selbst eine Konversation mit der Kundschaft beginnen, beispielsweise durch den Versand einer WhatsApp-Marketing-Benachrichtigung oder einer Marketing-Nachricht, wird es heikel. In diesen Fällen werden die Kundendaten, die bei WhatsApp landen, im Auftrag Ihres Unternehmens verarbeitet und nicht im Auftrag der Kundschaft.

Dadurch wird Ihr Unternehmen zur verantwortlichen Stelle, die die Einhaltung der Datenschutzgesetze sicherstellen muss.

Je nach Standort Ihrer Kundschaft und Ihres Unternehmens variieren die genauen Anforderungen für den Umgang mit personenbezogenen Nutzerdaten. Zwischen der Europäischen Union und den USA regelte beispielsweise früher das EU-US Privacy Shield diesen Prozess. Im Juli 2020 hat die EU jedoch beschlossen , dass das Privacy Shield den von der DSGVO geforderten Datenschutz nicht ausreichend abdeckt.

Nach einer Phase der Unsicherheit veröffentlichte die EU im Juni 2021 die Standardvertragsklauseln für internationale Datentransfers , die neue, klare Richtlinien vorgeben. Gleichzeitig überarbeitete WhatsApp seine Datenrichtlinien für die Europäische Union, um sicherzustellen, dass sie den neuen Standards entsprechen.

Doch auch diese neuen Vereinbarungen garantieren nicht, dass Ihr Unternehmen bei der Nutzung von WhatsApp in der Kundenkommunikation 100 % Datenschutz gewährleisten kann.

Sicher: Ende-zu-Ende-Verschlüsselung

Es ist wichtig, zwischen dem Sicherheitsprotokoll innerhalb der WhatsApp-Messenger-App und dem Datenschutz zu unterscheiden.

Wie die meisten Messaging-Apps nutzt WhatsApp eine Ende-zu-Ende-Verschlüsselung für seine Chats. Das bedeutet: Niemand von außen, sondern nur die absendende und empfangende Person können den Inhalt Ihrer Nachrichten lesen. (Ausnahme: Sie speichern Ihre Chats in der Backup-Cloud und jemand hackt diese Cloud.)

Was viele vielleicht nicht wissen: WhatsApp nutzt die Ende-zu-Ende-Verschlüsselung als Standardeinstellung. In anderen Messenger-Apps wie Telegram, müssen Nutzerinnen und Nutzer die Ende-zu-Ende-Verschlüsselung selbst aktivieren.

Mit anderen Worten: Der Inhalt der WhatsApp-Chats ist sicher. Das Sicherheitsprotokoll von WhatsApp wirft keine Datenschutzbedenken auf. Diese entstehen vielmehr bei der Erstellung von Metadaten und durch die Synchronisierungsfunktion der App.

Nicht sicher: Zugriff auf Nutzerdaten auf dem Smartphone

Wie bei allen Messenger-Apps läuft die WhatsApp-Kommunikation über eine Cloud. Dabei entstehen Daten, die nicht verschlüsselt sind, wie etwa die Telefonnummer, der Standort oder die IP-Adresse.

Gemäß den Datenschutzgesetzen in Indien, Europa und Teilen der USA fallen diese Informationen unter die Definition von „personenbezogenen Daten“, die besonderen Schutz erfordern. Da diese Daten jedoch auf den Servern von Meta in den USA gespeichert werden, entsprechen sie nicht den Anforderungen einiger der strengeren Datenschutzvorschriften.

Das Problem dabei: Sie als Unternehmen werden haftbar gemacht.

Nicht sicher: Kontaktsynchronisierung zwischen Smartphones

Abgesehen davon, dass personenbezogene Daten in den USA gespeichert und nicht nach strengeren Datenschutzvorschriften verarbeitet werden, gibt es auch ein technisches Problem bei der Nutzung von WhatsApp für Ihre Kundenkommunikation. Wenn Sie WhatsApp auf Ihrem Smartphone nutzen (wie es bei der WhatsApp Business-App üblich ist), erlauben Sie der App automatisch, Ihre Kontakte zu scannen.

Diese Kontaktsynchronisierung ist eine integrierte WhatsApp-Funktion, die Ihre Kontakte durchsucht, um festzustellen, wer von ihnen WhatsApp bereits installiert hat. Es gibt eine Möglichkeit, um sicherzustellen, dass dieser Prozess datenschutzkonform abläuft, aber das ist nicht einfach.

Insgesamt macht dies die Nutzung von WhatsApp bei gleichzeitigem Datenschutz für Unternehmen schwierig, wenn auch nicht unmöglich. Alles beginnt mit der Nutzung der richtigen Plattform.

Als Unternehmen haben Sie zwei Möglichkeiten, WhatsApp in Ihrer Kundenkommunikation zu nutzen: die WhatsApp Business-App und die WhatsApp Business Platform (früher: API). Die private App ist für die kommerzielle Nutzung tabu.

WhatsApp Business-App: kostenlos, aber ohne Datenschutz

WhatsApp Business ist die kommerzielle Lösung von WhatsApp für kleine Unternehmen mit bis zu fünf Mitarbeitenden. Ähnlich wie bei der privaten App laden Sie auch die Business-Version auf Ihr Smartphone herunter, verknüpfen sie mit einer Telefonnummer und erstellen ein Unternehmensprofil.

Die App ist kostenlos und daher für viele Unternehmen die erste Wahl. Allerdings gewährleistet sie keinen Datenschutz. Wo liegt das Problem?

1. Die App läuft über ein Smartphone

Genau wie die private App ist die WhatsApp Business-App eine mobile Anwendung. Auch wenn Sie sie auf dem Desktop nutzenkönnen, werden alle Prozesse mit dem Smartphone Ihres Unternehmens synchronisiert. Das schließt die Synchronisierung Ihrer Telefonkontakte ein, womit Sie bereits gegen den Datenschutz verstoßen, sofern Sie nicht vor der Installation von WhatsApp die ausdrückliche Erlaubnis aller Ihrer Kontakte dafür eingeholt haben. Sie müssten auch vorab eine Erlaubnis für jeden neuen Kontakt einholen, den Sie zu Ihrem Telefon hinzufügen.

Selbst wenn Sie ein separates Geschäftstelefon nutzen, kann dies ziemlich aufwendig sein.

Alternativ könnten Sie WhatsApp daran hindern, Ihre Kontakte zu scannen. In diesem Fall würden Sie in Ihren WhatsApp-Kontakten jedoch nur Telefonnummern sehen und wüssten nicht, zu welcher Person aus der Kundschaft sie gehören.

Zudem müssen Sie bei der Nutzung von WhatsApp Business immer alle Updates sofort ausführen, das Cloud-Backup deaktivieren und keine Anhänge senden oder speichern, wie etwa Bilder oder PDF-Dateien.

Das macht die Nutzung von WhatsApp für Ihre Kundenkommunikation natürlich völlig unpraktikabel.

2. Sie nutzen die Cloud und die Server von Meta in den USA

Selbst wenn es Ihnen irgendwie gelänge, Ihre WhatsApp Business-App auf Ihrem Smartphone rechtskonform zu betreiben, würden dennoch alle Kundeninformationen über die Cloud von Meta laufen und auf deren Servern in den USA gespeichert werden. Dies gewährleistet keinen Datenschutz.

Wenn Sie WhatsApp nutzen und 100 % Datenschutz gewährleisten möchten, müssen Sie die WhatsApp Business Platform verwenden. 

Die WhatsApp Business Platform (API): der einzige Weg zu 100 % Datenschutz

Die WhatsApp Business Platform (API) ist die offizielle WhatsApp-Schnittstelle für Unternehmen. Sie greifen darauf nicht über eine mobile App zu, sondern über einen Business Solution Provider. Ein Business Solution Provider ist ein offizielles Meta-Partnerunternehmen, das die Infrastruktur einrichtet, über die Sie Zugriff auf die API erhalten. Diese Infrastruktur ist normalerweise bereits so eingerichtet, dass Sie WhatsApp direkt in Ihrer Kundenkommunikation nutzen können und der Datenschutz gewährleistet ist.

Das Partnerverzeichnis von Meta zeigt Ihnen, ob ein Unternehmen ein offizieller Business Solution Provider ist.

Diese Option ist nicht kostenlos, garantiert jedoch 100 % Datenschutz, sofern Sie sicherstellen, dass Ihr Business Solution Provider seine Server in einer Region betreibt, in der der Datenschutz gewährleistet ist. Mit Sinch Engage nutzen Sie WhatsApp beispielsweise über Server, die sich in der Europäischen Union befinden. Dies löst bereits das Problem, dass sich die Server von Meta in den USA befinden.

Darüber hinaus Sinch Engageist die Softwarelösung von Sinch Engage für Ihre WhatsApp-Kommunikation nur in einer Desktop-Version verfügbar. Das bedeutet: Es findet keine Synchronisierung mit Ihren Smartphone-Kontakten statt. Zudem wird der gesamte Datentransfer von Sinch Engage abgewickelt und nicht von Meta.

Wenn Sie Sinch Engage nutzen, schließen Sie mit uns auch einen Auftragsverarbeitungsvertrag ab. Das bedeutet, dass alle personenbezogenen Kundeninformationen sicher bei Sinch Engage gespeichert werden. Und wir stellen sicher, dass alle Daten in Übereinstimmung mit den strengsten Datenschutzgesetzen verarbeitet werden.

🔐 Starten Sie mit Sinch Engage, Ihrer Messaging-Lösung, die 100 % Datenschutz garantiert.

Gratis testen

Der erste und wichtigste Schritt, um WhatsApp zu nutzen und die Daten Ihrer Kundschaft zu schützen, ist die Nutzung der WhatsApp Business Platform über einen Business Solution Provider.

Zudem müssen Sie vorab das ausdrückliche Opt-in der Nutzerinnen und Nutzer einholen (Legitimation) und im Detail erklären, was mit ihren Daten geschieht.

1. Nutzereinwilligung einholen

Es gibt zwei einfache Möglichkeiten, die Einwilligung Ihrer Nutzerschaft zur Verarbeitung ihrer Daten auf WhatsApp einzuholen:

• Opt-in-Widget: Wenn Sie ein Widget auf Ihrer Website einrichten, können Nutzerinnen und Nutzer darauf klicken und landen direkt in einem WhatsApp-Chat mit Ihrem Unternehmen – jedoch nicht, ohne vorher den Datenrichtlinien zuzustimmen und Ihnen eine erste Nachricht zu senden. (Hinweis: die Widgets , die von Sinch Engage bereitgestellt werden, erfüllen bereits die Datenschutzanforderungen.)

• Chatbot: Eine Person folgt einem WhatsApp-Link oder QR-Code auf Ihrer Website oder einem Ihrer Flyer und landet per Click-to-Chat in Ihrem WhatsApp-Chat. Hier übernimmt ein Chatbot, um nicht nur die Einwilligung der Person zu Ihren Datenrichtlinien einzuholen, sondern auch, um einige Informationen von ihr zu erhalten, bevor sie an eine reale Kontaktperson übergeben wird.

2. Legitimation der Datenverarbeitung erklären

Neben der Zustimmung der Personen zu Ihren Datenrichtlinien müssen Sie sie auch darüber informieren, welche Daten Sie auf welche Weise verarbeiten werden. Wenn Sie Gesundheitsdaten verarbeiten, können zusätzliche Anforderungen gelten. Konsultieren Sie daher vorher unbedingt juristische Fachleute.

Aus meiner Sicht ist es möglich, die informierte Einwilligung für jeden Prozess zu legitimieren.

Dr. Carsten Ulbricht, Rechtsanwalt für Datenschutz

Zusammenfassend lässt sich sagen: Ja, es ist möglich, den Datenschutz zu gewährleisten und WhatsApp in Ihrer Kundenkommunikation zu nutzen, wenn Sie die richtige Lösung verwenden.

🔐 Mit Sinch Engage stellen Sie 100 % Datenschutz in Ihrer WhatsApp-Kommunikation sicher UND holen das Beste aus dem Messenger-Kanal für Ihr Unternehmen heraus.

Gratis testen