Was Unternehmen bei WhatsApp Werbung und Datenschutz beachten müssen

WhatsApp ist seit Jahren der Kommunikationskanal, der den Alltag vieler Menschen prägt: Eine Nachricht ist schneller getippt als eine E-Mail geöffnet. Für Unternehmen klingt das verlockend, denn direkter Kontakt, hohe Öffnungsraten und persönliche Ansprache versprechen mehr Reichweite. Doch genau diese Nähe macht WhatsApp aus datenschutzrechtlicher Sicht zu einem sensiblen Terrain. Dieser Beitrag zeigt, welche Stolperfallen bei WhatsApp Werbung lauern und wie Unternehmen mit der Business-API eine rechtssichere Lösung umsetzen.

Der grundlegende Irrtum besteht darin zu glauben, WhatsApp sei automatisch datenschutzkonform, nur weil User auf dieser Plattform freiwillig schreiben und teilen. Die Realität ist viel komplexer. WhatsApp verarbeitet personenbezogene Daten, übermittelt Metadaten an Meta-Server und synchronisiert im Standardbetrieb das gesamte Adressbuch jedes einzelnen Users. Für private Nutzer ist das unproblematisch. Für Unternehmen, die via WhatsApp kommunizieren wollen, bedeutet das eine klare Verantwortlichkeit: Sie müssen kontrollieren, dokumentieren und rechtfertigen, was mit den Daten geschieht. Die DSGVO verlangt Transparenz, Zweckbindung und Nachweisbarkeit, und sie macht keine Ausnahme für Messenger, auch wenn sie im Alltag selbstverständlich wirken.

Besonders heikel wird es, wenn Unternehmen WhatsApp für Werbung einsetzen. Juristisch handelt es sich um digitale Direktwerbung, die eine eindeutige, ausdrückliche und zu dokumentierende Einwilligung des Adressaten voraussetzt. Ein Kunde, der beispielsweise einmal eine Frage an ein Unternehmen via WhatsApp übermittelt hat, ist damit nicht automatisch ein Newsletter-Abonnent. Die Einwilligung muss freiwillig, informiert und eindeutig sein. Sie muss widerrufbar bleiben, und der Widerruf muss so einfach funktionieren wie die Anmeldung. Ohne dieses Fundament ist jede Werbenachricht ein juristisches Risiko.

Viele Unternehmen nutzen WhatsApp noch immer über private Mitarbeiter-Apps. Das ist bequem, aber datenschutzrechtlich kaum haltbar. Die App greift auf das gesamte Adressbuch zu, trennt nicht zwischen privaten und geschäftlichen Kontakten und übermittelt Daten in ein Drittland. Die Kontrolle über die Daten geht verloren, und mit ihr die Möglichkeit, die eigenen Pflichten zu erfüllen.

Die Lösung: Eine WhatsApp-Business-API

Die einzige technisch und organisatorisch sinnvolle Lösung für Unternehmenskommunikation auf WhatsApp ist eine Business-API. Den Zugang zur API erhalten Unternehmen nicht über den App Store, sondern bei einem zertifizierten Anbieter, einem sogenannten Business Solution Provider. Diese Anbieter stellen die technische Infrastruktur bereit, über die WhatsApp-Nachrichten verarbeitet werden. Unternehmen wählen einen dieser Provider aus, legen dort ein Konto an und verbinden es mit ihrem Facebook Business Manager, denn WhatsApp gehört zu Meta und nutzt die Verifizierungsmechanismen von Meta. Erst wenn das Unternehmen verifiziert ist, wird eine Telefonnummer offiziell als WhatsApp-Business-Nummer freigeschaltet. Diese Nummer existiert nicht auf einem Handy, sondern ausschließlich auf dem Server des Anbieters.

Die API ist also sinngemäß kein Messenger, den man auf einem Smartphone öffnet. Sie ist eine technische Schnittstelle, über die Nachrichten zentral verarbeitet werden. Mitarbeiter greifen nicht über ihre privaten Geräte darauf zu, sondern über ein Web-Interface oder ein CRM-System, das der Anbieter bereitstellt. Die Kommunikation landet nicht in einer App, sondern in einem Dashboard, das eher an ein Ticketsystem erinnert.

Dort können Nachrichten zugewiesen, beantwortet, archiviert und dokumentiert werden. Die API trennt private und geschäftliche Kommunikation vollständig und verhindert, dass Telefonnummern aus dem Adressbuch ungefragt an WhatsApp übertragen werden. Im Alltag bedeutet das, dass Kunden an eine offizielle WhatsApp-Nummer des Unternehmens schreiben. Von dort aus werden die Nachrichten einem Mitarbeiter zugeordnet oder automatisch beantwortet. Unternehmen können Begrüßungsnachrichten einrichten, Service-Flows gestalten, Chatbots integrieren oder Kampagnen planen. Alles läuft kontrolliert, dokumentiert und nachvollziehbar ab. Die API ermöglicht es, Einwilligungen sauber zu erfassen, Double-Opt-In-Prozesse einzurichten und die gesamte Kommunikation DSGVO-konform zu gestalten.

Fazit

Die API ist kein Zusatz, sondern ein notwendiger Schritt, wenn WhatsApp im Unternehmen mehr sein soll als ein improvisiertes Werkzeug. Sie ist der einzige Weg, den Messenger so zu nutzen, dass er sowohl den Erwartungen der Kunden als auch den Anforderungen des Datenschutzes gerecht wird.