Viele Geschäfte schreiben ihrer Kundschaft längst über WhatsApp, oft vom Diensthandy aus und ohne zu wissen, ob das datenschutzrechtlich in Ordnung ist. Dieser Beitrag geht die Fragen der Reihe nach durch und endet mit einer Checkliste. Wie du WhatsApp im Alltag sinnvoll einsetzt, steht schon hier: pocketshop.at/blog/whatsapp-kundenkommunikation
Stand: November 2026. Dieser Beitrag ist keine Rechtsberatung. Er fasst zusammen, was Datenschutz-Ratgeber, die Wirtschaftskammer und die Rechtstexte dazu hergeben. Zu einzelnen Punkten, etwa der Rolle von Meta, gibt es unterschiedliche Einschätzungen. Lass deine Lösung bei Unsicherheit von einer Datenschutzberatung oder einer Anwältin bzw. einem Anwalt prüfen.
Business-App oder Business-API: Die erste Entscheidung
Lohnt sich eine App für deinen Betrieb?
Finde es kostenlos heraus – in 2 Minuten.
Es gibt zwei Varianten, die oft verwechselt werden. Die kostenlose WhatsApp Business App läuft auf dem Handy, die WhatsApp Business Platform (API) wird über einen Dienstleister angebunden. Datenschutzrechtlich unterscheiden sie sich deutlich.
| Business-App | Business-Plattform (API) | |
|---|---|---|
| Betrieb | Auf dem Diensthandy oder PC | Über einen Dienstleister, Anbindung an Systeme |
| Adressbuch | Kontaktabgleich mit dem Telefonbuch, laut Berichten nicht abschaltbar | Kein Telefonbuch-Upload, Kontakte kommen aus deinem System |
| Mehrere Mitarbeitende | Begrenzt | Möglich, auch mit Automatisierung |
| Typischer Einsatz | Kleine Betriebe mit wenigen Chats | Automatisierte Nachrichten, Treueprogramm, Auswertung |
| Datenschutz-Aufwand | Hoch, wegen des Adressbuchs | Vertrag mit dem Dienstleister, Einwilligungen, Löschkonzept |
Das Hauptproblem der Business-App ist laut mehreren Datenschutz-Ratgebern der Abgleich mit dem Adressbuch: Die App lädt Telefonnummern aller Kontakte hoch, auch von Personen, die nie eingewilligt haben. Wer die App nutzen will, behilft sich häufig mit einem eigenen Diensthandy mit bereinigtem Adressbuch. Die API gilt als der sauberere Weg, ist aber nicht automatisch rechtskonform. Die Unterschiede bei Automatisierung erklärt dieser Beitrag: pocketshop.at/blog/whatsapp-kanal-vs-automatisierung
Einwilligung: Was du für Nachrichten brauchst
Hier kommen zwei Regelwerke zusammen. Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Dazu kommt in Österreich § 174 TKG 2021: Werbung per elektronischer Post braucht grundsätzlich die vorherige Einwilligung der Empfängerin oder des Empfängers. Ratgeber und Medienberichte zählen WhatsApp-Nachrichten dazu. Es gibt Ausnahmen, ob sie in deinem Fall greifen, solltest du im Einzelfall prüfen lassen. In Deutschland gilt dafür § 7 UWG.
Wann es Werbung ist
- Antwortest du auf eine Frage, die jemand dir gestellt hat, ist das in der Regel Service und keine Werbung.
- Schickst du Aktionen, Gutscheine, Neuheiten oder Einladungen an Kundschaft, ist das Werbung und braucht vorab eine Einwilligung.
- Nach den Regeln von WhatsApp darfst du außerhalb eines Zeitfensters nach der letzten Nachricht der Kundin oder des Kunden nur genehmigte Vorlagen senden.
Was eine gültige Einwilligung ausmacht
- Aktiv erteilt: kein vorangekreuztes Kästchen und keine versteckte Klausel.
- Konkret: Die Person weiß, dass sie Nachrichten über WhatsApp bekommt und wozu.
- Nachweisbar: Du speicherst Zeitpunkt, Wortlaut und Weg der Einwilligung. Die Nachweispflicht liegt bei dir.
- Widerrufbar: Der Widerruf muss so einfach sein wie die Zustimmung, zum Beispiel mit einem Stopp-Wort oder einem Link.
Praktische Wege, Einwilligungen zu sammeln, findest du in diesem Beitrag: pocketshop.at/blog/whatsapp-kundenkommunikation. Wer WhatsApp als Newsletter-Kanal nutzt, braucht dieselbe Einwilligung wie bei einem E-Mail-Newsletter.
Meta als Dienstleister: Vertrag und Rollen
Bei der Business-Plattform verarbeitet Meta Daten für dich. Dafür stellt Meta eigene Bedingungen zur Auftragsverarbeitung bereit. Gleichzeitig weisen Fachleute darauf hin, dass sich Meta Rechte für eigene Zwecke vorbehält. Ob dann noch eine reine Auftragsverarbeitung vorliegt oder eine gemeinsame Verantwortung, wird unterschiedlich beurteilt und ist nicht pauschal geklärt.
Für dich heißt das: Lies die Bedingungen, die dein Dienstleister und Meta anbieten, und schließe mit dem Dienstleister einen Vertrag zur Auftragsverarbeitung ab. Frage nach, welche Unterauftragnehmer beteiligt sind und wo sie sitzen. Das gilt bei jedem Anbieter, auch bei uns.
Datenübermittlung in die USA
Meta ist ein US-Unternehmen, und Unterauftragnehmer können in den USA sitzen. Seit Juli 2023 gibt es einen Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Auf ihn können sich zertifizierte Unternehmen stützen. Die Datenschutzbehörden und Fachleute beobachten die Lage weiter, auch wegen der US-Überwachungsgesetze.
- Prüfe in den Vertragsunterlagen, auf welche Grundlage sich der Anbieter für Übermittlungen in die USA stützt.
- Nenne die Übermittlung in deiner Datenschutzerklärung.
- Wähle bei der Wahl des Dienstleisters bevorzugt einen, der Daten in Europa hostet. Das ersetzt die Prüfung nicht, vereinfacht sie aber.
Speicherung und Löschung von Chats
Chats mit Kundschaft sind personenbezogene Daten. Du musst festlegen, wie lange du sie aufbewahrst, und danach löschen. Dabei zählt, was in den Nachrichten steht: Reine Plaudereien brauchst du nicht lange, Geschäftsunterlagen und Belege unterliegen gesetzlichen Aufbewahrungsfristen, in Österreich in der Regel sieben Jahre nach der Bundesabgabenordnung. Kläre das im Zweifel mit deiner Steuerberatung.
- Lege eine Aufbewahrungsdauer pro Art von Nachricht fest.
- Prüfe, wo Chats gespeichert sind: im Dienstleister-System, auf dem Handy, in Sicherungen.
- Sorge dafür, dass eine Löschung auch Sicherungen und Exporte berücksichtigt.
Auskunft und Löschwunsch
Wer wissen will, welche Daten du über sie oder ihn gespeichert hast, hat ein Recht auf Auskunft. Du musst in der Regel innerhalb eines Monats antworten. Dazu brauchst du einen Weg, alle Daten zu einer Person zu finden: Chats, Einwilligungen, Treuepunkte. Liegen sie in verschiedenen Systemen oder auf privaten Handys, wird das schwierig. Ein zentrales System macht diesen Teil leichter.
Datenschutzerklärung und Hinweise im Chat
- Nenne WhatsApp in der Datenschutzerklärung, mit Zweck, Dienstleister und Übermittlung in Drittländer.
- Weise beim Einholen der Einwilligung auf Inhalt und Häufigkeit der Nachrichten hin.
- Antwortet ein KI-System im Chat, sollten Kundinnen und Kunden das erfahren. Mehr dazu: pocketshop.at/blog/ki-kennzeichnungspflicht-ai-act
Fehler, die in der Praxis oft vorkommen
- Aktionsnachrichten an alle Kontakte aus dem Telefonbuch, ohne dass diese eingewilligt haben.
- Gruppen, in denen sich Kundschaft gegenseitig sieht, ohne Hinweis und ohne Zustimmung.
- Einwilligungen, die nicht dokumentiert sind und sich im Streitfall nicht belegen lassen.
- Kein Abmeldeweg, oder einer, der mühsamer ist als die Anmeldung.
- Private Handys von Mitarbeitenden für Kundenchats, ohne Regeln für Löschung und Ausscheiden.
- Chats ohne Aufbewahrungs- und Löschkonzept.
Die Checkliste
- Ich weiß, ob ich die Business-App oder die Business-Plattform nutze und warum.
- Bei der App: Das Adressbuch auf dem Gerät ist bereinigt, oder ich nutze die App nicht für Kundenkontakte.
- Ich hole vor Werbenachrichten eine aktive, konkrete Einwilligung ein und speichere Zeitpunkt und Wortlaut.
- Kundschaft kann sich jederzeit einfach abmelden.
- Ich habe einen Vertrag zur Auftragsverarbeitung mit meinem Dienstleister und kenne dessen Unterauftragnehmer.
- Ich weiß, auf welcher Grundlage Daten in die USA übermittelt werden, und habe es in der Datenschutzerklärung genannt.
- Ich habe Aufbewahrungsfristen festgelegt und weiß, wie gelöscht wird.
- Ich kann eine Auskunftsanfrage innerhalb eines Monats beantworten.
- Mitarbeitende kennen die Regeln, und Kundenchats laufen nicht auf privaten Handys.
- Bei Unsicherheit habe ich die Lösung von einer Fachperson prüfen lassen.
Wie sich das bei Pocketshop einordnet
Pocketshop verbindet WhatsApp mit App, Treueprogramm und Auswertung. Die Kundendaten liegen in einem System auf Servern in Europa, was Auskunft und Löschung einfacher macht als verstreute Chats auf Handys. Die rechtlichen Punkte oben bleiben trotzdem deine Aufgabe als Verantwortliche bzw. Verantwortlicher, vor allem die Einwilligung und die Datenschutzerklärung. Frag bei uns wie bei jedem Anbieter nach dem Vertrag zur Auftragsverarbeitung und den Unterauftragnehmern. Einen allgemeinen Überblick findest du hier: pocketshop.at/blog/dsgvo-kundendaten-kmu
Nicht jede Funktion ist in jedem Setup als Standardfunktion enthalten. Welche WhatsApp-Möglichkeiten für dein Geschäft bestehen, klären wir im Erstgespräch.
Fazit
WhatsApp lässt sich in einem Geschäft datenschutzkonform einsetzen, wenn du die Variante bewusst wählst, Einwilligungen sauber einholst und dokumentierst, den Vertrag mit dem Dienstleister regelst und Aufbewahrung sowie Auskunft im Griff hast. Am meisten Ärger entsteht durch Nachrichten ohne Einwilligung und durch Chats, die auf privaten Handys liegen.
Du willst wissen, wie WhatsApp, App und Treueprogramm in einem System zusammenspielen? Mach den kostenlosen App-Check auf pocketshop.at oder buche eine unverbindliche Demo.