Werbung mit WhatsApp: Diese Datenschutzregeln gelten

Aus der individuellen Kommunikation ist WhatsApp kaum noch wegzudenken: Menschen schreiben schneller eine Nachricht, als sie eine E-Mail öffnen würden. Auch Unternehmen erkennen die Chance, denn der Messenger bietet direkten Kontakt, hohe Öffnungsraten und persönliche Ansprache. Genau diese Eigenschaften sorgen jedoch dafür, dass für die geschäftliche Nutzung strenge Datenschutzgrenzen gelten.

Auch wenn WhatsApp allgegenwärtig scheint, ist es ein Irrtum, zu glauben, der Dienst sei datenschutzkonform, weil die Nutzer freiwillig schreiben und Fotos teilen. Die Realität ist viel komplexer. WhatsApp verarbeitet personenbezogene Daten, übermittelt Metadaten an Meta-Server und synchronisiert im Standardbetrieb das gesamte Adressbuch jedes einzelnen Users. Für private Nutzer ist das unproblematisch. Für Unternehmen, die via WhatsApp kommunizieren wollen, bedeutet das eine klare Verantwortlichkeit: Sie müssen kontrollieren, dokumentieren und rechtfertigen, was mit den Daten geschieht. Denn die geschäftliche Nutzung von Messengerdiensten unterliegt in besonderer Weise den strengen Anforderungen der DSGVO an Nachweisbarkeit, Transparenz und Zweckbindung. Dies gilt ohne Einschränkung auch für den weltweit erfolgreichen Meta-Dienst WhatsApp.

Vor allem die Nutzung von WhatsApp als Werbekanal stellt Unternehmen vor große Herausforderungen. Juristisch handelt es sich um digitale Direktwerbung, die eine eindeutige, ausdrückliche und zu dokumentierende Einwilligung des Adressaten voraussetzt. Ein Kunde, der beispielsweise einmal eine Frage an ein Unternehmen via WhatsApp übermittelt hat, ist damit nicht automatisch ein Newsletter-Abonnent. Die Einwilligung muss freiwillig, informiert und eindeutig sein. Sie darf nur gelten, solange sie jederzeit zurückgenommen werden kann, und dieser Widerruf muss genauso unkompliziert funktionieren wie die Zustimmung selbst. Fehlt diese Grundlage, wird jede Werbeansprache schnell zum rechtlichen Risiko.

Die gängige Praxis, Endgeräte von Mitarbeitern für Unternehmenszwecke zu nutzen, ist aus datenschutzrechtlicher Sicht absolut nicht empfehlenswert. Die App greift auf das gesamte Adressbuch zu, trennt nicht zwischen privaten und geschäftlichen Kontakten und übermittelt Daten in ein Drittland. Die Kontrolle über die Daten geht verloren, und mit ihr die Möglichkeit, die eigenen Pflichten zu erfüllen. Nutzer können gegen diese Botschaften jederzeit Beschwerde einlegen und sich an die zuständige Datenschutzbehörde wenden.

WhatsApp-Business-API als Option

Entscheidet sich ein Unternehmen dafür, WhatsApp professionell für die Kundenkommunikation zu nutzen, ist eine Business-API die sicherste Methode. Den Zugang zur API erhalten Unternehmen nicht über den App Store, sondern bei einem zertifizierten Anbieter, einem sogenannten Business Solution Provider. Diese Anbieter stellen die technische Infrastruktur bereit, über die WhatsApp-Nachrichten verarbeitet werden. Unternehmen wählen einen dieser Provider aus, legen dort ein Konto an und verbinden es mit ihrem Facebook Business Manager, denn WhatsApp gehört zu Meta und nutzt die Verifizierungsmechanismen von Meta. Erst wenn das Unternehmen verifiziert ist, wird eine Telefonnummer offiziell als WhatsApp-Business-Nummer freigeschaltet. Dabei handelt es sich um eine Nummer, die auf dem Server des Providers hinterlegt ist. Die API ist also sinngemäß kein Messenger, den man auf einem Smartphone öffnet. Sie ist eine technische Schnittstelle, über die Nachrichten zentral verarbeitet werden. Der Zugriff erfolgt nicht über private Smartphones oder Laptops der Beschäftigten, sondern über ein Webportal oder ein vom Anbieter bereitgestelltes CRM. Die Nachrichten landen somit nicht in einer App, sondern in einer zentralen Oberfläche, die eher wie ein Ticketsystem funktioniert.

Die Tickets können so datenschutzkonform verarbeitet, beantwortet und dokumentiert werden. Die API trennt private und geschäftliche Kommunikation vollständig und verhindert, dass Telefonnummern aus dem Adressbuch ungefragt an WhatsApp übertragen werden. Im Alltag bedeutet das, dass Kunden an eine offizielle WhatsApp-Nummer des Unternehmens schreiben. Von dort aus werden die Nachrichten einem Mitarbeiter zugeordnet oder automatisch beantwortet. Unternehmen können Begrüßungsnachrichten einrichten, Service-Flows gestalten, Chatbots integrieren oder Kampagnen planen. Alles läuft kontrolliert, dokumentiert und nachvollziehbar ab, inklusive Einwilligungsmanagement und Double-Opt-in-Prozess.

Fazit: Die API ist kein optionales Extra, sondern der notwendige Schritt, wenn WhatsApp im Unternehmen mehr sein soll als eine provisorische Lösung. Nur über diese Schnittstelle lässt sich der Messenger so einsetzen, dass er sowohl den Erwartungen der Kundschaft als auch den datenschutzrechtlichen Vorgaben entspricht.