WhatsApp Business und DSGVO: Kunden richtig anschreiben

Hinweis: Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung. Jede rechtliche Aussage verlinkt auf das Gesetz oder die Entscheidung, aus der sie stammt. Für einen konkreten Fall frag eine Anwältin, einen Anwalt oder deinen Datenschutzbeauftragten. Die Beispiele stammen aus Spanien: Die spanische Datenschutzbehörde AEPD veröffentlicht ihre Entscheidungen, und die DSGVO, die sie anwendet, gilt in der ganzen EU. Die Regeln für Werbenachrichten setzt jedes Land mit einem eigenen Gesetz um.

In 30 Sekunden

• Wer dir schreibt, dem darfst du ohne eigene Erlaubnis antworten. Auch eine Terminerinnerung oder die Nachricht, dass die Bestellung bereitliegt, braucht keine: Das sind Service-Nachrichten.
• Werbung per WhatsApp braucht eine ausdrückliche Einwilligung, außer die Person ist schon Kundin und du bietest ihr etwas Ähnliches an wie das, was sie gekauft hat. So will es die EU-Datenschutzrichtlinie für elektronische Kommunikation (ePrivacy); Spanien setzt sie mit Artikel 21 seines Gesetzes LSSI um. Die AEPD behandelt WhatsApp wie E-Mail oder SMS.
• Jede Werbenachricht bietet eine einfache, kostenlose Abmeldung, und eine Abmeldung gilt immer.
• Auch Meta verlangt eine vorherige Erlaubnis (Opt-in) mit dem Namen deines Unternehmens und dass du jede Abmeldung respektierst. Das gilt auch für die kostenlose App.
• Die AEPD hat diese Fehler schon bestraft: Kunden in eine Gruppe aufnehmen (500 € und 3.000 €), nach einer Abmeldung weiter Werbung schicken (1.500 €) und Kundendaten an das private WhatsApp eines Mitarbeiters senden (2.500 €).
• Dein Unternehmen ist für die Daten verantwortlich. Die Plattform, die du nutzt, ist Auftragsverarbeiter und schließt mit dir einen Vertrag zur Auftragsverarbeitung.

Darf ich meinen Kunden auf WhatsApp schreiben?

Ja. Für die meisten Nachrichten reicht der Grund, aus dem du ihre Nummer hast. Rechtlich gibt es zwei Arten:

• Service-Nachrichten: Du antwortest jemandem, der dir geschrieben hat, bestätigst einen Termin oder meldest den Stand einer Bestellung. Die DSGVO erlaubt eine Verarbeitung, die für einen Vertrag nötig ist oder für Schritte, um die die Kundin vor einem Vertrag bittet (Artikel 6 Absatz 1 Buchstabe b).
• Werbenachrichten: Das spanische LSSI nennt kommerzielle Kommunikation alles, was direkt oder indirekt das Image, die Waren oder die Dienstleistungen eines Unternehmens fördern soll (Anhang, Buchstabe f). Dafür braucht es eine vorherige Einwilligung.

Die Faustregel: Wenn die Nachricht etwas verkauft, und sei es in einer Zeile, behandle sie als Werbung. Meta macht es genauso: Eine Vorlage, die eine Mitteilung mit einem Angebot mischt, ist Marketing.

Für alle Nachrichten gilt: Sag beim Erfassen der Nummer, wer du bist, wofür du sie nutzt und auf welcher Rechtsgrundlage (Artikel 13 DSGVO). Meta verlangt außerdem eine veröffentlichte Datenschutzerklärung. Und das 24-Stunden-Fenster ist eine Regel von Meta, nicht des Gesetzes: Sind 24 Stunden seit der letzten Nachricht der Kundin vergangen, lässt die API nur noch eine genehmigte, kostenpflichtige Vorlage zu (was jede kostet).

Welche Einwilligung brauche ich für Werbung per WhatsApp?

Die Person muss sie vor der ersten Nachricht angefordert oder ausdrücklich erlaubt haben. Die einzige Ausnahme sind deine eigenen Kunden, für Produkte, die dem ähneln, was sie schon bei dir gekauft haben.

Die EU-Grundlage ist die ePrivacy-Richtlinie (2002/58/EG). Ihr Artikel 13 erlaubt Direktwerbung per „elektronischer Post“ nur mit vorheriger Einwilligung. Als solche gilt „jede über ein öffentliches Kommunikationsnetz verschickte Text-, Sprach-, Ton- oder Bildnachricht“, die gespeichert wird, bis der Empfänger sie abruft (Artikel 2 Buchstabe h). Jedes Land setzt das mit einem eigenen Gesetz um.

In Spanien ist es Artikel 21 des LSSI (Gesetz 34/2002). Es verbietet Werbung per E-Mail oder über ein gleichwertiges elektronisches Kommunikationsmittel, die vorher nicht angefordert oder ausdrücklich erlaubt wurde. Die AEPD nennt SMS- und WhatsApp-Nachrichten ausdrücklich als gleichwertiges Mittel.

Die Ausnahme für Bestandskunden (Artikel 21 Absatz 2) verlangt alle vier Punkte zugleich:

1. Eine vorherige Vertragsbeziehung: Die Person hat bei dir gekauft oder etwas gebucht.
2. Du hast ihre Kontaktdaten rechtmäßig erhalten.
3. Du bietest Produkte oder Dienstleistungen deines eigenen Unternehmens an, ähnlich wie die gekauften.
4. Du hast ihr beim Erfassen der Daten und in jeder Nachricht einen einfachen, kostenlosen Widerspruch angeboten.

Wie eine gültige Einwilligung aussieht. „Freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich“, durch eine Erklärung oder eine eindeutige bestätigende Handlung (Artikel 4 Nummer 11 DSGVO). In der Praxis:

• Nichts Stillschweigendes. Laut AEPD lässt Artikel 21 keine stillschweigende Einwilligung zu (Gutachten 0164/2018). „Wenn du nicht antwortest, gehen wir von einem Ja aus“ zählt nicht.
• Du musst sie nachweisen können (Artikel 7 Absatz 1). Bewahre Datum, Herkunft und den Wortlaut auf, dem die Person zugestimmt hat.
• „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein“ (Artikel 7 Absatz 3).

Die spanische Robinsonliste. Wer Direktwerbung macht, muss in Spanien vorher die Werbesperrlisten prüfen, außer die Person hat eingewilligt (Artikel 23 Absatz 4 des spanischen Datenschutzgesetzes LOPDGDD).

Jedes Land, sein Gesetz. Die DSGVO ist in der ganzen EU gleich; die Regel für elektronische Werbung unterscheidet sich:

Was verlangt Meta, um Kunden auf WhatsApp Business anzuschreiben?

Meta verlangt eine vorherige Erlaubnis für jede Nachricht, mit der du ein Gespräch beginnst, nicht nur für Werbung. Die WhatsApp Business Messaging Policy gilt für die kostenlose App und für die API:

• Du darfst nur Personen kontaktieren, die dir ihre Nummer und ihre Erlaubnis gegeben haben, deine Nachrichten zu erhalten.
• Die Erlaubnis sagt klar, dass die Person zustimmt, Nachrichten zu erhalten, und von welchem Unternehmen. Sie kann allgemein sein, nicht nur für WhatsApp, solange du das Gesetz einhältst. Sie kann über eine Website, per SMS, telefonisch, persönlich oder auf Papier eingeholt werden.
• Respektiere jede Bitte, zu blockieren oder abzumelden, ob sie über WhatsApp kommt oder anders, und entferne die Person aus deiner Kontaktliste.

Deine Kunden haben eigene Werkzeuge. Über eine WhatsApp-Einstellung können sie dein Marketing abbestellen: Schickst du ihnen danach eine Marketing-Vorlage, stellt Meta sie nicht zu (Fehler 131050). Sie können dich blockieren oder melden, und bei viel negativem Feedback kann Meta deine Sendungen begrenzen oder dir den Zugang entziehen.

Wie gehe ich mit Abmeldungen bei WhatsApp um?

Eine Abmeldung gilt ab dem Moment, in dem die Person sie verlangt, für das ganze Team, und sie muss dafür kein bestimmtes Wort benutzen.

• Es reicht, dass sie es sagt. Das spanische LSSI erlaubt den Widerruf durch eine einfache Mitteilung an den Absender (Artikel 22 Absatz 1). Und nach der DSGVO werden die Daten nach einem Widerspruch „nicht mehr für diese Zwecke verarbeitet“ (Artikel 21 Absatz 3).
• Biete sie in jeder Werbenachricht an (Artikel 21 Absatz 2 LSSI). Bei WhatsApp geht das am einfachsten mit einem Quick-Reply-Button in der Vorlage, etwa „Keine Werbung mehr“; Meta nennt ihn als typischen Einsatz.
• Unterscheide „keine Werbung mehr“ von „schreibt mir nicht mehr“. Wer die Angebote abbestellt, kann weiter seine Terminerinnerung bekommen.
• Mach sie für das ganze Team sichtbar. Eine Abmeldung auf dem Handy einer Person erreicht nie die Kampagne, die jemand anderes vorbereitet.

Ein Team-Posteingang wie BlueMarlin speichert im Kundendatensatz, ob die Person eingewilligt hat, wann und über welchen Weg. Eine Abmeldung nimmt sie für das ganze Team aus den Kampagnen, ob sie über den Button der Vorlage kommt, über eine Nachricht, die darum bittet, oder über die Mitteilung von Meta.

Welche WhatsApp-Fehler hat die AEPD schon bestraft?

Diese vier spanischen Entscheidungen betreffen Alltagspraktiken jedes Unternehmens:

Gruppen, die die Nummern deiner Kunden zeigen

In einer Gruppe sieht jeder die Nummer aller: „Wenn du beispielsweise einer Gruppe hinzugefügt wirst, können alle Mitglieder dieser Gruppe deine Telefonnummer sehen“, erklärt der WhatsApp-Hilfebereich. Die AEPD verpflichtete die Werkstatt zu Maßnahmen gegen Gruppen ohne Einwilligung, die die personenbezogenen Daten der Mitglieder offenlegen. Dass der Beschwerdeführer vorher wegen Felgen mit der Werkstatt zu tun hatte, reichte nicht.

Mit einer Broadcast-Liste in der App bekommt jeder Kunde die Nachricht in seinem eigenen Chat, und seine Antwort erreicht nur dich. Sie kommt allerdings nur bei denen an, die deine Nummer gespeichert haben, und bleibt Werbung: Sie braucht dieselbe Einwilligung.

Kundendaten auf dem privaten Handy eines Mitarbeiters

Auf dem eigenen Handy eines Mitarbeiters kann das Unternehmen die Vertraulichkeit nicht garantieren: Menschen außerhalb der Organisation können darauf zugreifen, und das Unternehmen weiß nicht, wie es gesichert ist. So begründete es die AEPD, und sie wies auch das Argument der Gewohnheit zurück: Sparsamkeit, Gewohnheit oder Schnelligkeit rechtfertigen keinen Verstoß. Die Lösung ist eine Unternehmensnummer, die das ganze Team nutzt.

Nachrichten an jemanden, der sich abgemeldet hat

Der Kunde bat per WhatsApp um die Abmeldung, das Unternehmen sagte ihm, es habe seine Daten gelöscht, und die Werbung kam weiter: Er wies darauf hin, dass es das vierte Mal war. Die AEPD stellte außerdem fest, dass die Nachrichten nicht durch eine vorherige Vertragsbeziehung gedeckt waren, weil die Person nur nach einem Preis gefragt hatte.

Wer ist für die Daten meiner Kunden bei WhatsApp verantwortlich?

Dein Unternehmen. Die DSGVO nennt Verantwortlichen, wer über Zwecke und Mittel der Verarbeitung entscheidet, und Auftragsverarbeiter, wer die Daten im Auftrag verarbeitet (Artikel 4 Nummern 7 und 8). Die Plattform, die du für WhatsApp nutzt, ist Auftragsverarbeiter.

• Du brauchst einen Vertrag zur Auftragsverarbeitung (AVV, englisch DPA). Er legt Gegenstand, Dauer, Zweck und Art der Daten fest und verpflichtet den Auftragsverarbeiter, deinen Weisungen zu folgen (Artikel 28 Absatz 3).
• Meta hat einen eigenen: die WhatsApp Data Processing Terms, zuletzt aktualisiert am 22. August 2025. Sie gelten, wenn WhatsApp die Daten deiner Kunden als dein Auftragsverarbeiter verarbeitet.
• BlueMarlin veröffentlicht seinen unter /dpa: BlueMarlin ist Auftragsverarbeiter, Meta ist als Unterauftragsverarbeiter für die Übermittlung der Nachrichten aufgeführt, und der Vertrag wird beim Anlegen des Kontos akzeptiert.
• Was du nicht abgeben kannst: Rechtsgrundlage, Information deiner Kunden, Einwilligung und Abmeldungen bleiben bei dir. Kein Werkzeug holt die Einwilligung für dich ein.

Häufige Fragen

Darf ich meine Kunden in eine WhatsApp-Gruppe aufnehmen?

Nicht ohne ihre Einwilligung. In einer Gruppe sieht jeder die Nummer aller, und die spanische AEPD hat eine Werkstatt mit 3.000 € und einen Caterer mit 500 € bestraft, weil sie Kunden in Gruppen aufgenommen hatten. Um viele zu erreichen, nutze eine Broadcast-Liste oder eine Kampagne: Sie erreichen jede Person einzeln, und nur die, die zugestimmt haben.

Brauche ich eine Erlaubnis für Terminerinnerungen per WhatsApp?

Eine eigene Einwilligung ist nicht nötig: Die Erinnerung bewirbt nichts und beruht auf dem Termin, den die Kundin gebucht hat. Sag beim Erfassen der Nummer, dass du WhatsApp nutzt. Fügst du der Erinnerung ein Angebot hinzu, wird sie zur Werbung, für das Gesetz und für Meta.

Zählt jemand, der ein Angebot angefragt hat, als Kunde?

Nicht unbedingt. Im Fall PS/00323/2020 hatte die Person nur nach einem Preis gefragt, und die AEPD stellte fest, dass die folgende Werbung nicht durch eine vorherige Vertragsbeziehung gedeckt war. Die Ausnahme setzt voraus, dass bei dir gekauft oder gebucht wurde.

Muss ich vor einer WhatsApp-Kampagne die Robinsonliste prüfen?

In Spanien nicht, wenn die Person eingewilligt hat. Sonst ja: Das spanische LOPDGDD verpflichtet jeden, der Direktwerbung macht, die Werbesperrlisten vorher zu prüfen (Artikel 23 Absatz 4). Die AEPD weist darauf hin, dass ein Eintrag keine Werbung von einem Unternehmen verhindert, dessen Kunde man ist. Andere Länder regeln das mit eigenen Gesetzen.

Darf mein Team Kunden über sein privates WhatsApp betreuen?

Das ist riskant. Die AEPD bestrafte ein Unternehmen mit 2.500 €, weil es Kundendaten an das private WhatsApp eines Mitarbeiters schickte: Auf diesem Handy konnte es die Vertraulichkeit nicht garantieren. Sicher ist eine gemeinsame Unternehmensnummer, damit der Kunde beim Unternehmen bleibt, wenn jemand geht.

Welches Bußgeld droht für WhatsApp-Werbung ohne Erlaubnis?

In Spanien nach dem LSSI, das hier die AEPD durchsetzt, bis zu 30.000 € bei einem leichten Verstoß und 30.001 bis 150.000 €, wenn massenhaft oder hartnäckig verschickt wird (Artikel 38, 39 und 43). Nach der DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Artikel 83 Absatz 5). In den vier Fällen dieses Leitfadens lagen die Bußgelder zwischen 500 € und 5.000 €.

Quellen

Alles oben wurde am 30. September 2026 anhand der Gesetze und offiziellen Quellen geprüft:

• Datenschutz-Grundverordnung (EU) 2016/679, EUR-Lex: Begriffe (Artikel 4), Rechtsgrundlagen (6), Einwilligung (7), Information (13), Widerspruch gegen Direktwerbung (21), Auftragsverarbeitung (28) und Geldbußen (83).
• Richtlinie 2002/58/EG (ePrivacy), konsolidierte Fassung, EUR-Lex: Begriff der elektronischen Post (Artikel 2 Buchstabe h) und unerbetene Nachrichten (13).
• Gesetz 34/2002 (LSSI), spanisches Amtsblatt BOE, auf Spanisch: Einwilligung und Ausnahme für Bestandskunden (Artikel 21), Widerruf (22), Verstöße und Bußgelder (38 und 39), Zuständigkeit der AEPD (43) und Begriff der kommerziellen Kommunikation (Anhang, Buchstabe f).
• Organgesetz 3/2018 (LOPDGDD), BOE, auf Spanisch: Werbesperrlisten (Artikel 23).
• AEPD: Unerwünschte Werbung, auf Spanisch: WhatsApp als gleichwertiges Mittel, keine stillschweigende Einwilligung, Werbesperrlisten.
• AEPD: Gutachten 0164/2018, auf Spanisch: Artikel 21 LSSI lässt keine stillschweigende Einwilligung zu.
• Entscheidungen der AEPD PS/00323/2020, PS/00298/2023, PS/00261/2024 und PS/00505/2023, auf Spanisch: die vier Fälle der Tabelle.
• WhatsApp Business Messaging Policy: vorherige Erlaubnis, Abmeldungen, Vorlagen, 24-Stunden-Fenster, Datenschutzerklärung und Durchsetzung durch Meta.
• Get opt-in for WhatsApp: Anforderungen und Wege des Opt-ins.
• Marketing templates: user preferences: die Einstellung zum Abbestellen von Marketing und Fehler 131050.
• Template categorization: Eine Vorlage mit Mitteilung und Angebot ist Marketing.
• Template components: der Quick-Reply-Button zum Abmelden.
• WhatsApp: Datenschutz auf einen Blick: In einer Gruppe sehen alle deine Nummer.
• WhatsApp: Broadcast-Listen verwenden: Jeder Empfänger bekommt sie als Einzelnachricht, und nur, wenn er deine Nummer gespeichert hat.
• WhatsApp Data Processing Terms: Meta als Auftragsverarbeiter.
• Ländertabelle: § 7 UWG (Deutschland); CNIL, la prospection commerciale par courrier électronique (Frankreich); Codice privacy, Artikel 130 und Leitlinien des Garante vom 4. Juli 2013 (Italien).
• Vertrag zur Auftragsverarbeitung von BlueMarlin: die Rollen von BlueMarlin und Meta.

Änderungsverlauf

• 30. September 2026: erste Fassung.