Kernpunkt: Die entscheidende Frage ist nicht, ob WhatsApp erlaubt ist, sondern welche Variante du einsetzt. Die kostenlose Business-App und die WhatsApp Business Platform (die API) sind zwei rechtlich sehr unterschiedliche Wege.
Der KI-Agent verschiebt die Bilanz kaum: Die Datenschutzfragen hängen am Konto, nicht am Assistenten. Der Meta Business Agent bringt vor allem eine neue Pflicht mit, nämlich die Kennzeichnung nach dem EU AI Act ab dem 2. August 2026.
Kurze Antwort: es hängt von der Variante ab
WhatsApp Business lässt sich datenschutzkonform einsetzen, aber nicht in jeder Ausführung. Die kostenlose Business-App ist wegen des Adressbuch-Abgleichs heikel, die WhatsApp Business Platform über einen geprüften Anbieter ist der sauberere Weg. Die entscheidende Frage ist also nicht ob WhatsApp, sondern welche Variante und mit welchem Vertrag.
Viele lesen eine einzige Schlagzeile, entweder „WhatsApp ist im Unternehmen verboten" oder „mit WhatsApp Business passt schon alles", und richten ihre Entscheidung danach aus. Beides ist zu grob. Meta bietet für Unternehmen zwei völlig verschiedene Produkte an, und der Unterschied entscheidet über die halbe Rechtslage.
| Kriterium | Kostenlose Business-App | Business Platform (API) |
|---|---|---|
| Adressbuch-Zugriff | Ja, gleicht alle Kontakte ab | Nein, kein Handy-Adressbuch nötig |
| Auftragsverarbeitungsvertrag | Nur Nutzungsbedingungen | Ja, über den Anbieter |
| Hosting | Meta-Server, auch USA | EU-Anbindung über einen EU-Anbieter möglich |
| Aufwand und Kosten | Null, sofort einsatzbereit | Setup plus laufende Anbieter-Kosten |
| Für laufende Kundenmandate | Nur unter engen Auflagen | Regelmäßig die geeignete Wahl |
Wer diese eine Unterscheidung sauber zieht, hat die wichtigste Weiche schon gestellt. Wenn du unsicher bist, welche Variante zu deinem Betrieb passt, ist das genau ein Thema für die Beratung und Strategie: erst das Setup klären, dann die Tools auswählen.
Das eigentliche Problem der Gratis-App ist das Adressbuch
Das zentrale Datenschutzproblem der kostenlosen App ist der Adressbuch-Abgleich. Bei der Einrichtung und danach überträgt die App die Telefonnummern aller gespeicherten Kontakte an Meta-Server, auch von Personen, die selbst kein WhatsApp nutzen und der Übermittlung nie zugestimmt haben. Genau darin sehen die Aufsichtsbehörden den Kern des Verstoßes.
Die deutsche Datenschutzkonferenz, der Zusammenschluss der Aufsichtsbehörden, stuft die dienstliche Nutzung der Verbraucher-Version deshalb in der Regel als unzulässig ein. Die Begründung: für die Übermittlung der Nummern unbeteiligter Dritter fehlt eine Rechtsgrundlage nach Artikel 6 DSGVO, und der Vorgang widerspricht den Grundsätzen aus Artikel 5. In Österreich gibt es keine wortgleiche Stellungnahme, aber die Verordnung ist dieselbe und die Linie der Datenschutzbehörde ist inhaltlich deckungsgleich.
Achtung: Dieses Problem entsteht durch die App selbst, nicht durch den KI-Agenten. Wer den Assistenten abschaltet, hat es also nicht gelöst. Die reine Kundenkommunikation über die kostenlose App ist die eigentliche Baustelle, der Agent ist nur eine dünne Zusatzschicht darüber.
Für Betriebe mit besonders schützenswerten Kontakten wiegt das doppelt. Eine gemeinnützige Organisation, die mit Betroffenen, Klientinnen oder Spendern arbeitet, verarbeitet oft Daten, bei denen schon die bloße Zugehörigkeit sensibel ist. Hier ist der unkontrollierte Adressbuch-Abgleich kein Formfehler, sondern ein echtes Risiko.
Wann die Gratis-App trotzdem vertretbar ist
Automatisch verboten ist die kostenlose App nicht. Die Aufsichtsbehörde Rheinland-Pfalz hält einen rechtskonformen Einsatz für möglich, wenn kein unberechtigter Adressbuch-Transfer stattfindet. In der Praxis heißt das: ein eigenes, ausschließlich geschäftlich genutztes Gerät und ein Telefonbuch, das die fremden Kontakte gar nicht erst enthält.
Konkret sind das die Bedingungen, unter denen ein Einsatz überhaupt in Frage kommt:
- ein ausschließlich dienstlich genutztes Gerät, getrennt vom privaten Telefon
- der Adressbuch-Zugriff der App im Betriebssystem hart deaktiviert, oder ein leeres Telefonbuch
- im Telefonbuch ausschließlich Kontakte, die WhatsApp selbst nutzen und deren Nummer du speichern darfst
- Backups, Zugriffsrechte und Löschung geregelt
- WhatsApp in der Datenschutzerklärung angeführt
- keine sensiblen Inhalte über den Kanal
Ausnahme, kein Freifahrtschein: Dass ein Kunde von sich aus zuerst schreibt, löst das Problem nicht automatisch. Die Kommunikation mit diesem einen Kunden kann zulässig sein, weil er WhatsApp selbst gewählt hat. Der Abgleich aller übrigen Kontakte muss trotzdem verhindert werden.
Ehrlicherweise bleibt selbst mit diesen Auflagen ein Rest: einen echten Auftragsverarbeitungsvertrag gibt es für die Gratis-App nicht, und die Datenübermittlung in die USA bleibt bestehen. Für ein reines Solo-Szenario ohne fremde Kontaktdaten ist das vertretbar. Als dauerhafte Lösung für ein Kundenmandat würde ich es nicht empfehlen.
Die WhatsApp Business Platform: sauberer, aber nicht automatisch grün
Für den professionellen Dauereinsatz ist die WhatsApp Business Platform, oft schlicht API genannt, die bessere Wahl. Sie wird über einen Business Solution Provider in ein Kundenservice- oder CRM-System eingebunden und braucht keinen Adressbuch-Abgleich auf einem Mitarbeiter-Handy. Automatisch datenschutzkonform ist aber auch sie nicht.
Ein europäischer Anbieter oder EU-Hosting reduziert das Risiko, beseitigt aber nicht jede Datenübermittlung an Meta oder in Drittländer. WhatsApps eigene Bedingungen zur Auftragsverarbeitung sehen ausdrücklich Unterauftragsverarbeiter im EWR und in den USA vor. Vor einer Freigabe gehören deshalb ein paar Punkte auf den Tisch:
- ein Auftragsverarbeitungsvertrag mit allen beteiligten Anbietern
- eine Prüfung des Business Solution Providers und seiner Struktur
- ein nachvollziehbares Hosting- und Löschkonzept
- die Prüfung der Unterauftragsverarbeiter
- eine Bewertung möglicher Übermittlungen in die USA
- eine angepasste Datenschutzerklärung und ein Rollen- und Berechtigungskonzept
Tipp: Der Moment, in dem du eine externe Software im Kundenauftrag einbindest, macht dich zum Verantwortlichen für deren Datenverarbeitung. Wie die Auftragsverarbeiter-Rolle und die nötigen AV-Verträge im Alltag funktionieren, habe ich im Beitrag Wie Agenturen KI DSGVO-sauber einsetzen ausführlicher aufgeschrieben.
Der Meta Business Agent: was die KI zusätzlich ändert
Der Meta Business Agent ist Metas eigener KI-Assistent, seit Juni 2026 weltweit verfügbar. Er beantwortet Standardfragen, empfiehlt Produkte, bucht Termine, qualifiziert Anfragen vor und übergibt bei Bedarf an einen Menschen. Aus reiner Datenschutzsicht ändert die KI wenig, denn die Daten laufen über dieselbe Infrastruktur wie ohne Agent. Zwei Dinge kommen aber dazu.
Das erste ist die Frage nach den Trainingsdaten. Meta trainiert seine Modelle mit öffentlichen Daten aus der EU über ein Opt-out-Verfahren, was Datenschützer scharf kritisieren, weil es eben keine aktive Zustimmung verlangt. Private Nachrichten schließt Meta laut eigener Aussage aus. Ob Geschäftskonversationen aus der kostenlosen App in die Modelle einfließen, ist nicht transparent belegt. Genau diese Unklarheit ist bei sensiblen Zielgruppen das Ausschlusskriterium.
Das zweite ist die Grenze dessen, was ein Bot entscheiden darf. Ein KI-Assistent eignet sich für Öffnungszeiten, allgemeine Leistungen, häufige Fragen und einfache Terminanfragen. Was er nicht übernehmen sollte:
- verbindliche Preis- oder Vertragsentscheidungen
- Beschwerden, Reklamationen und rechtliche Streitfälle
- alles rund um Gesundheits-, Bank-, Ausweis- oder Personaldaten
- Entscheidungen mit erheblichen Auswirkungen auf einzelne Personen
Achtung: Bevor du den Agenten aktivierst, prüfe im konkreten Konto, welche Gesprächsdaten er verwendet, wie lange sie gespeichert werden und ob sie zur Verbesserung von Meta-Systemen genutzt werden. Und stelle sicher, dass eine Übergabe an einen Menschen jederzeit möglich ist. Das verlangt auch die Messaging-Policy von WhatsApp.
EU AI Act: die Transparenzpflicht ab August 2026
Ein Kundenservice-Chatbot ist normalerweise kein Hochrisiko-System, fällt aber unter die Transparenzpflicht nach Artikel 50 des EU AI Acts. Deine Kundinnen und Kunden müssen beim ersten Kontakt klar erkennen, dass sie mit einer KI schreiben und nicht mit einem Menschen. Diese Pflicht gilt ab dem 2. August 2026.
Wichtig ist, wer die Pflicht trägt: nicht Meta als Anbieter, sondern du als Betreiber, der die KI unter eigenem Namen einsetzt. In der Praxis genügt ein klarer Hinweis zu Beginn des Chats, etwa: „Du schreibst zunächst mit unserem KI-Assistenten. Du kannst jederzeit die Weiterleitung an eine Person verlangen." Zusätzlich sollten die Mitarbeitenden im Umgang mit dem System geschult sein und die Antworten stichprobenartig geprüft werden.
Wie der EU AI Act insgesamt auf kleine Betriebe und gemeinnützige Organisationen wirkt, welche Fristen sonst noch gelten und was ausdrücklich nicht gekennzeichnet werden muss, steht im eigenen Beitrag EU AI Act für KMU und gemeinnützige Organisationen.
Was du jetzt tun kannst
Die Entscheidung lässt sich auf zwei Fragen eindampfen: Läuft die Kommunikation über ein sauberes Setup ohne unkontrollierten Adressbuch-Abgleich, und ist der KI-Einsatz für die Kundschaft erkennbar? Wer beides mit Ja beantwortet, steht auf sicherem Boden. Die folgende Übersicht ordnet die häufigsten Fälle ein.
| Anwendung | Einschätzung |
|---|---|
| Gratis-App mit Zugriff auf ein gemischtes Adressbuch | nicht zu empfehlen |
| Gratis-App ohne Adressbuch-Zugriff, isolierter Kontaktbestand | eingeschränkt vertretbar |
| Business Platform mit AV-Verträgen und geprüftem Anbieter | grundsätzlich gut vertretbar |
| Werbenachrichten ohne vorherige Einwilligung | nicht zulässig |
| Austausch sensibler oder vertraulicher Daten | vermeiden |
| KI-Agent für allgemeine Standardfragen auf sauberem Kanal | als kontrollierter Pilot |
| KI für verbindliche oder personenbezogene Entscheidungen | nicht zu empfehlen |
Deine Checkliste vor dem Start mit WhatsApp Business
- Variante wählen: Gratis-App nur für unkritische Solo-Fälle, sonst die Business Platform über einen geprüften Anbieter.
- Adressbuch-Abgleich technisch ausschließen oder den Kontaktbestand vollständig isolieren.
- AV-Vertrag, Unterauftragsverarbeiter und mögliche USA-Übermittlungen prüfen.
- Datenschutzerklärung ergänzen, Löschfristen und Zugriffsrechte festlegen.
- KI-Agent kennzeichnen und die Übergabe an einen Menschen sicherstellen, spätestens zum 2. August 2026.
Schluss: WhatsApp ist als Kanal weder pauschal verboten noch pauschal harmlos. Die kostenlose App ist mit einem echten Adressbuch schwer zu verteidigen, die Business Platform mit sauberem Vertrag ist der belastbare Weg, und der KI-Agent braucht vor allem eine ehrliche Kennzeichnung. Wer diese drei Punkte klärt, kann WhatsApp ohne Bauchweh einsetzen.
Quellen und offizielle Stellen
Stand dieses Beitrags: Juli 2026. Rechtslage und Meta-Bedingungen ändern sich laufend. Für verbindliche Auskünfte lohnt der Blick auf die offiziellen Stellen:
- EU-Kommission, Regulatory Framework on Artificial Intelligence: Verordnungstext, Artikel 50, Fristen
- Österreichische Datenschutzbehörde: zuständige Aufsichtsbehörde für Österreich
- Meta, Ankündigung Meta Business Agent: Funktionsumfang des KI-Assistenten
- Datenschutzkonferenz (DSK): Positionen der deutschen Aufsichtsbehörden zur Messenger-Nutzung im Betrieb
Transparenzhinweis: Dieser Beitrag wurde KI-unterstützt erstellt und vor Veröffentlichung inhaltlich geprüft, überarbeitet und redaktionell verantwortet von Lukas Tröls, Digitalisierungswerkstatt.at.
Rechtlicher Hinweis: Recherchiert nach bestem Wissen (Stand Juli 2026), stellt jedoch keine Rechtsberatung dar. Die Aufsichtspraxis und die Leitlinien zu Artikel 50 entwickeln sich weiter, Details können sich ändern. Für verbindliche Auskünfte zu deinem Fall wende dich an eine Rechtsanwältin oder die WKO-Rechtsberatung.
