WhatsApp für den Betrieb: was rechtlich gilt und wie es DSGVO-konform läuft

Ihre Kunden schreiben Ihnen ohnehin schon per WhatsApp. Die Frage ist nur, ob Sie das offiziell und sauber machen oder weiter über das private Handy eines Mitarbeiters, das niemand mehr im Blick hat. Genau das ist der Punkt, an dem die meisten Betriebe hängen: Sie ahnen, dass irgendetwas datenschutzrechtlich heikel sein könnte, und lassen es lieber. Schade, denn der Kanal funktioniert, und rechtssicher machen lässt er sich auch.

Warum das private Handy das eigentliche Problem ist

Der häufigste Zustand in kleinen Betrieben ist nicht “wir nutzen WhatsApp nicht”, sondern “ein Mitarbeiter nutzt es privat für die Firma”. Das ist die schlechteste Variante. Die Kundendaten liegen auf einem Privatgerät, das Adressbuch wird ungefragt zu Meta übertragen, und wenn der Mitarbeiter geht, geht der halbe Kundenkontakt mit. Kontrolle: null.

Ein pauschales Verbot löst das nicht, es treibt die Sache nur weiter in den Untergrund. Besser ist ein offizieller, kontrollierter Weg.

Was rechtlich wirklich gilt

Drei Punkte entscheiden, ob der Einsatz sauber ist:

• Die richtige Lösung. Die normale WhatsApp-App ist für den geschäftlichen Einsatz nicht gemacht. Was Sie brauchen, ist ein Zugang über die offizielle WhatsApp Business Platform (die API), eingebunden über einen seriösen Anbieter. Dann wird kein privates Adressbuch ausgelesen, und die Kommunikation läuft über ein kontrolliertes System.
• Ein Auftragsverarbeitungsvertrag (AVV). Mit dem Anbieter, über den Sie WhatsApp einbinden, schließen Sie einen AVV ab. Das ist Pflicht, aber in der Praxis ein Häkchen oder eine PDF, kein Großprojekt.
• Transparenz und Einwilligung. In der Datenschutzerklärung muss der Kanal benannt sein, und der Kunde muss wissen, worauf er sich einlässt, wenn er Ihnen schreibt. Wer aktiv anschreiben will (Werbung), braucht eine vorherige Einwilligung. Auf eine Nachricht des Kunden zu antworten, ist dagegen unkritisch.

Das ist die Kurzfassung. Die genaue Ausgestaltung hängt von Ihrer Branche und Ihren Datenarten ab, aber das Gerüst ist immer dasselbe.

Ein Posteingang statt fünf Kanäle

Wenn der Kanal einmal sauber steht, kommt der eigentliche Gewinn: Bündelung. Kunden schreiben heute über WhatsApp, E-Mail, das Kontaktformular, Instagram, manchmal per SMS. Wenn jeder Kanal woanders aufläuft, geht zwangsläufig etwas unter.

Wir arbeiten dafür mit Superchat, einer Lösung aus Deutschland, die genau diese Kanäle in einem gemeinsamen Posteingang zusammenführt. Das Team sieht alle Nachrichten an einem Ort, kann sie zuordnen, und nichts versandet mehr im privaten Chat eines Einzelnen. Datenschutzrechtlich ist das ein klarer Schritt nach vorn, weil die Kommunikation wieder im Betrieb liegt und nicht auf Privatgeräten.

Was sich damit erreichen lässt

• Schnellere Antworten, weil alle Anfragen an einem Ort auflaufen
• Vertretung im Urlaub oder bei Krankheit, ohne dass ein Handy weitergereicht wird
• Vorlagen für wiederkehrende Fragen, ohne dass es unpersönlich wirkt
• Eine saubere Trennung von privat und geschäftlich, die auch arbeitsrechtlich entlastet

Wo Vorsicht angebracht ist

Auch hier gilt: kein Allheilmittel. Sensible Daten (Gesundheit, Finanzen, Vertragsdetails) gehören nur dann in einen Messenger, wenn der Kunde das ausdrücklich so will und der Vorgang es hergibt. Und ein Kanal, den niemand betreut, ist schlimmer als kein Kanal, weil er ein Versprechen von Erreichbarkeit gibt, das dann nicht eingelöst wird. Wer WhatsApp anbietet, muss auch zeitnah antworten.

Wie wir das einrichten

Wir richten den Kanal rechtssicher ein, kümmern uns um AVV und Datenschutzerklärung, bündeln die Kanäle in einem Posteingang und verbinden das Ganze auf Wunsch mit Ihren übrigen Abläufen, etwa damit eine Anfrage automatisch im CRM landet. So wird aus einem heiklen Graubereich ein sauberer, kontrollierter Kundenkanal.

Wenn Sie unsicher sind, ob Ihr aktueller Umgang mit WhatsApp sauber ist: Ich schaue mir das gerne an und sage Ihnen ehrlich, wo Sie stehen.

Quellen

• Artikel 28 DSGVO: Auftragsverarbeiter
• Artikel 9 DSGVO: besondere Kategorien personenbezogener Daten
• Paragraf 7 UWG: unzumutbare Belästigung, Einwilligung bei Werbung
• WhatsApp Business Platform: offizielle Dokumentation

Wer den Überblick über alle Verarbeitungen braucht, nicht nur über den Messenger: Das ist die Datenschutz-Bestandsaufnahme mit Verzeichnis, Auftragsverarbeiterliste und Löschkonzept.

Tobias Wissen

Inhaber, WISSEN BERATUNG

→ Kostenfreies Erstgespräch vereinbaren