WhatsApp und Datenschutz im Unternehmen: DSGVO-Risiken und sichere Alternativen
- WhatsApp kann im Unternehmenskontext ein Datenschutzrisiko darstellen.
- Nur die WhatsApp Business Platform (API) kann unter strengen Bedingungen DSGVO-konform genutzt werden.
- Für viele Unternehmen sind spezialisierte, datenschutzfreundliche Messenger-Alternativen der pragmatischere Weg.
- Wer trotzdem WhatsApp nutzen möchte, sollte klare Regeln festlegen und die Ausgestaltung der Nutzung mit einem Experten für Datenschutz abklären.
Wie hängen WhatsApp und der Datenschutz zusammen?
WhatsApp ist ein kostenloser Instant-Messaging-Dienst, der rund drei Milliarden Menschen weltweit verbindet. Seit 2014 gehört WhatsApp zum Meta-Konzern. Was dabei im Hintergrund passiert, ist für Unternehmen vor allem mit Blick auf den Datenschutz relevant.
Bei der WhatsApp-Nutzung fallen davon große Mengen an. Für die Nutzung ist die Angabe der Telefonnummer notwendig und in Gesprächen und in Chats werden Fotos, Adressen und andere sensible Daten ausgetauscht. Wird WhatsApp im beruflichen Kontext genutzt, müssen Unternehmen eine DSGVO-konforme Verarbeitung personenbezogener Daten sicherstellen.
WhatsApp im Unternehmen: Was sagt die DSGVO dazu?
Unternehmen sind nach Art. 4 DSGVO für alle personenbezogenen Daten verantwortlich, die in Ihrem Betrieb verarbeitet werden.
Das betrifft Daten in firmeninternen, abgesicherten IT-Strukturen genauso wie in Messengern, die Mitarbeiter geschäftlich nutzen. In Bezug zu WhatsApp stoßen Unternehmen dabei allerdings auf mehrere Probleme.
Automatischer Kontaktabgleich
Beim Start synchronisiert WhatsApp automatisch das gesamte Adressbuch und lädt alle gespeicherten Kontakte auf Meta-Server hoch.
⚠️ Warum ist das gefährlich?
Dieser Prozess umfasst auch Daten von Personen, die WhatsApp nicht nutzen und der Weitergabe ihrer Daten nicht zugestimmt haben. Die betroffenen Personen haben keine Möglichkeit, dieser Datenerhebung zu widersprechen.
Metadaten und Profiling
WhatsApp erfasst neben Nachrichteninhalten sogenannte Metadaten:
- Telefonnummer
- Art und Häufigkeit der Nutzung
- Datum der Registrierung und der letzten WhatsApp-Nutzung
- Geräteinformationen
- Ländercode und Netzwerkcode
- Rechnungsdaten bei lange registrierten Usern
- Profilbilder
- Häufig genutzte Funktionen
Durch die WhatsApp-Ortung fällt außerdem der WhatsApp-Standort eines Users an.
⚠️ Warum ist das gefährlich?
Während die Inhalte von Nachrichten und Telefonaten durch eine Ende-zu-Ende-Verschlüsselung geschützt sind, trifft das auf Metadaten nicht zu. Aus diesen Metadaten entstehen detaillierte Nutzungsprofile, die theoretisch konzernweit bei Meta verarbeitet werden können.
WhatsApp begründet das mit dem Schutz vor Spam, Fake-Accounts und Falschinformationen und beruft sich dabei auf ein sogenanntes berechtigtes Interesse nach DSGVO. Datenschutzbehörden sehen das kritisch: Die irische Datenschutzbehörde verhängte 2021 ein Bußgeld von 225 Millionen Euro gegen WhatsApp, weil Nutzer nicht ausreichend über diese Datenweitergabe informiert wurden.
Drittlandtransfer in die USA
Nicht zugestellte Nachrichten werden auf US-amerikanischen Servern zwischengespeichert und erst nach 30 Tagen gelöscht. Auch Metadaten fließen standardmäßig in die USA.
Hinzu kommt: Cloud-Backups von WhatsApp-Inhalten über Google Drive oder iCloud sind häufig unverschlüsselt – die Ende-zu-Ende-Verschlüsselung der Nachrichten selbst greift dort nicht.
⚠️ Warum ist das gefährlich?
Die DSGVO erlaubt solche Transfers nur, wenn im Empfängerland ein angemessenes Datenschutzniveau gewährleistet ist. Das EU-US Data Privacy Framework von 2023 schafft zwar eine Möglichkeit, wird von Datenschutzbehörden und Gerichten jedoch weiterhin kritisch beobachtet.
Meta-KI in WhatsApp
Seit Ende 2023 integriert Meta KI-Assistenten in seine Plattformen.
⚠️ Warum ist das gefährlich?
Zwar versichert WhatsApp, dass die KI keinen Zugriff auf persönliche Nachrichteninhalte hat. Datenschützer kritisieren jedoch die mangelnde Transparenz darüber, welche Daten im Rahmen der KI-Nutzung möglicherweise gespeichert oder verarbeitet werden.
Statt sich den Kopf über den sicheren Einsatz von Messenger-Diensten zu zerbrechen, fragen Sie einen Experten, was die DSGVO erlaubt und was nicht. Ein externer Datenschutzbeauftragter (DSB) ist für Sie da, wenn Sie ihn brauchen.
Warum sind Messenger-Dienste im Unternehmenskontext so heikel?
Dienste wie WhatsApp gehören in Unternehmen häufig zur Schatten-IT. Diese IT-Systeme und -Anwendungen werden außerhalb der offiziellen Unternehmens-IT und oft ohne Wissen der IT-Administration genutzt. Das IT-Management kann allerdings nur die Apps berücksichtigen, über deren Nutzung es informiert.
Fallen Messenger durch das Raster, weil sie auf privaten Geräten für die Arbeit genutzt werden (BYOD), können von der IT unbemerkt Sicherheitslücken und Datenschutz-Defizite entstehen. Das ist für Unternehmen problematisch, weil sie die datenschutzrechtliche Verantwortung tragen – auch wenn nur einzelne Mitarbeiter oder Teams WhatsApp für die Kundenkommunikation nutzen.
Datenabflüsse als Warnsignale
2025 haben Forscher aus Wien es geschafft, ungehindert Daten von 3,5 Milliarden WhatsApp-Konten abzurufen. Für Unternehmen, die WhatsApp einsetzen, ist das ein deutliches Signal, die eigene Risikoabwägung ernst zu nehmen und über Alternativen zu WhatsApp nachzudenken.
Wie kann man WhatsApp und Datenschutz sicher kombinieren?
Es gibt verschiedene Versionen von WhatsApp, die aus DSGVO-Sicht unterschiedlich zu betrachten sind.
Private WhatsApp-App: Nicht für den geschäftlichen Einsatz geeignet
Da sich über die private App kein Auftragsverarbeitungsvertrag (AVV) abschließen lässt, den die DSGVO für den Einsatz externer Dienstleister vorschreibt, fehlt die rechtliche Grundlage für jede geschäftliche Nutzung.
WhatsApp Business App: Besser, aber nicht ausreichend
Die WhatsApp Business App bietet Unternehmensfunktionen wie ein Profil, automatische Antworten und Kataloge. Die grundlegenden Datenschutzprobleme wie Kontaktabgleich, Metadatenverarbeitung und Drittlandtransfer löst sie jedoch nicht.
WhatsApp Business Platform (API): Die einzige akzeptable Variante
Die WhatsApp Business Platform ist technisch und rechtlich anspruchsvoll – und die einzige Variante, die einen DSGVO-konformen Einsatz ermöglichen kann.
Entscheidend dabei:
- Die Plattform darf nicht direkt über Meta betrieben werden, sondern über zertifizierte Business Solution Provider (BSP). Wer auf europäische BSP mit EU-Servern setzt, reduziert das Drittlandtransfer-Risiko erheblich.
- Mit dem BSP ist ein AVV abzuschließen.
- Wer die Lösung für die Kundenkommunikation nutzen möchte, braucht die ausdrückliche Einwilligung (Opt-in) von Kontaktierten.
- Betroffene müssen in der Datenschutzerklärung transparent über die Datenverarbeitung informiert werden.
- Die Mitarbeiter müssen geschult, ein Löschkonzept etabliert und interne Richtlinie zum WhatsApp-Einsatz dokumentiert werden.
DSGVO-konforme Alternativen für die Unternehmenskommunikation
Für viele Unternehmen ist der Aufwand für einen rechtssicheren WhatsApp-Betrieb unverhältnismäßig hoch. Datenschutzkonforme Messenger-Alternativen bieten eine praktikablere Lösung.
Sie sollten eine Ende-zu-Ende-Verschlüsselung anbieten und Server in Europa nutzen. Abhörsichere Telefonate sollten genauso möglich sein wie das sichere Versenden von Mediendateien. Im Idealfall steht hinter dem Unternehmen kein datenhungriger Großkonzern wie Meta.
Die folgenden drei Alternativen haben sich im Unternehmensbereich etabliert:
- Threema ist eine WhatsApp-Alternative aus der Schweiz. Der Nachrichtenaustausch erfolgt anonym. Speziell für Unternehmen gibt es Threema Work.
- Signal ist ein datensparsamer Messenger, der mit dem „Zero-Knowledge-Prinzip“ sicherstellt, dass die Betreiber keinen Zugriff auf Nutzerdaten haben.
- Teamwire ist eine deutsche WhatsApp-Alternative, die speziell auf die Sicherheits- und Datenschutzbedürfnisse von Behörden, Institutionen und Organisationen ausgelegt ist.
Fazit: WhatsApp und Datenschutz mit Profis abstimmen
WhatsApp ist für den privaten Gebrauch konzipiert, nicht für den Unternehmenseinsatz. Die private App scheidet aus datenschutzrechtlichen Gründen aus. Auch die Business App löst nicht alle Kernprobleme, und um die Business Platform rechtssicher einsetzen zu können, müssen Unternehmen erheblichen organisatorischen Aufwand betreiben.
Für die meisten Unternehmen ist der pragmatische Weg der richtige: auf einen datenschutzkonformen Messenger umsteigen, der von Grund auf für den professionellen Einsatz entwickelt wurde. Oder gemeinsam mit einem Experten für den Datenschutz eine individuell passende und DSGVO-konforme Kommunikationslösung zu finden.
Sie haben noch Fragen? Wir haben die Antworten
WhatsApp erfasst Kontaktdaten, Metadaten (Kommunikationspartner, Zeitpunkte, Häufigkeit), Standort- und Gerätedaten sowie das gesamte Adressbuch. Dazu gehören auch Daten von Personen, die WhatsApp selbst nicht nutzen. Die Daten sind auf Servern in den USA gespeichert.
Ja. WhatsApp teilt Nutzerdaten konzernweit mit Meta. Aus Metadaten entstehen detaillierte Nutzungsprofile, die der Konzern zum Beispiel für Werbezwecke nutzen kann.
Die WhatsApp Business App ist nur teilweise DSGVO-konform. Für den Einsatz von WhatsApp im Unternehmen ist nur die WhatsApp Business Platform (API) geeignet. Dafür müssen jedoch bestimmte Bedingungen erfüllt sein. So muss die Plattform über einen europäischen Business Solution Provider (BSP) betrieben werden.
Die private App ist für geschäftliche Kommunikation grundsätzlich nicht zulässig. Die Business Plattform kann unter strengen Auflagen eingesetzt werden. Für die meisten KMU sind datenschutzkonforme Alternativen die einfachere und sicherere Wahl.
Signal, Threema Work, Wire for Business und Element (Matrix) erfüllen die wesentlichen Datenschutzanforderungen. Für Unternehmen im Microsoft-Ökosystem ist Teams eine naheliegende Option.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
.avif)
Zu unseren mehr als 2.500 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
