WhatsApp Business AV Vertrag – alle Infos für Unternehmen

Warum ist der AV-Vertrag bei WhatsApp Business für Unternehmen so wichtig?

Datenschutz ist seit der DSGVO Pflicht. Sobald Unternehmen über WhatsApp mit Kunden kommunizieren, werden automatisch personenbezogene Daten verarbeitet – und das erfordert eine rechtliche Absicherung durch einen Auftragsverarbeitungsvertrag (AV-Vertrag).

WhatsApp ist in Deutschland allgegenwärtig. Über 60 Millionen Menschen nutzen den Messenger regelmäßig. Viele Kunden erwarten, dass Unternehmen auch dort erreichbar sind. Kein anderer Kanal erzielt vergleichbare Öffnungsraten – rund 98 % aller WhatsApp-Nachrichten werden gelesen.

Doch genau hier liegt das Risiko: Ohne AV-Vertrag verstoßen Unternehmen gegen die DSGVO, da WhatsApp (bzw. Meta Platforms) Kundendaten in deren Auftrag verarbeitet. Dabei werden unter anderem folgende Informationen erhoben:

• Smartphone-Modell
• Gerätename
• Telefonnummer
• Profilbild
• Profilname
• Profilbeschreibung
• Adressbuch
• Position
• Datum & Uhrzeit

Diese Daten gelten als personenbezogen und dürfen nur verarbeitet werden, wenn klare vertragliche Vereinbarungen bestehen. Der AV-Vertrag nach Art. 28 DSGVO legt fest, dass WhatsApp die Daten ausschließlich auf Weisung des Unternehmens nutzt und schützt damit beide Seiten – Unternehmen und Kunden.

Fehlt dieser Vertrag, drohen empfindliche Bußgelder von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes.

‍

‍

Was genau ist ein Auftragsverarbeitungsvertrag (AV-Vertrag)?

Ein Auftragsverarbeitungsvertrag ist eine zentrale Anforderung der DSGVO, genauer geregelt in Art. 28 der DSGVO. Er verpflichtet Unternehmen, externe Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, vertraglich zu binden.

‍

‍

Was bedeutet „Auftragsverarbeitung“?

Immer dann, wenn ein externer Dienstleister Daten nicht für eigene Zwecke, sondern im Auftrag eines Unternehmens verarbeitet, liegt eine Auftragsverarbeitung vor.
Beispiele:

• Lohnabrechnung durch ein externes Steuerbüro
• Cloud-Speicherung von Kundendaten
• Versand von E-Mail- oder WhatsApp-Nachrichten über Drittanbieter

Der AV-Vertrag stellt sicher, dass dieser Dienstleister nur nach Weisung des Unternehmens handelt und geeignete technische und organisatorische Maßnahmen zum Datenschutz trifft.

‍
‍

Verantwortlicher vs. Auftragsverarbeiter

Die Rollenverteilung ist entscheidend:

• Verantwortlicher: Das Unternehmen, das über Zwecke und Mittel der Datenverarbeitung entscheidet.
• Auftragsverarbeiter: Der Dienstleister, der die Daten im Auftrag des Unternehmens verarbeitet (z. B. WhatsApp / Meta).

Der Verantwortliche bleibt also in der Pflicht – auch dann, wenn ein Dienstleister eingebunden ist.

‍
‍

Wann ist ein AV-Vertrag Pflicht?

Immer, wenn ein Unternehmen personenbezogene Daten an einen externen Anbieter weitergibt. Dazu zählen:

• Kommunikationstools (z. B. WhatsApp Business)
• Cloud-Dienste und CRM-Systeme
• Newsletter- und Marketingplattformen

Ohne einen AV-Vertrag fehlt die rechtliche Grundlage der Datenverarbeitung. Das gilt auch für die Nutzung von WhatsApp Business oder der WhatsApp API – beides Lösungen, bei denen Meta Platforms Daten im Auftrag des Unternehmens verarbeitet.

‍

‍

Wie funktioniert der AV-Vertrag bei WhatsApp Business im Detail?

Nicht jede WhatsApp-Version eignet sich für den geschäftlichen Einsatz. Je nach Variante gelten unterschiedliche Datenschutzbedingungen – und nur eine davon bietet überhaupt einen AV-Vertrag nach Art. 28 DSGVO an.
‍

Die drei WhatsApp-Versionen im Überblick

• WhatsApp Messenger: für private Nutzung gedacht, keine geschäftliche Verwendung erlaubt.
  ‍
• WhatsApp Business App: kostenlose App für kleine Unternehmen; mit Basisfunktionen und integriertem AV-Vertrag.
  ‍
• WhatsApp Business Platform (API): professionelle Schnittstelle für größere Unternehmen, bietet höchste Datenschutzstandards.
  ‍

Nur die Business App und die Business API ermöglichen den Abschluss eines AV-Vertrags. Bei der normalen Messenger-App ist die geschäftliche Nutzung ausdrücklich verboten.

‍

‍

Wie entsteht der AV-Vertrag bei WhatsApp Business?

Der Vertrag wird automatisch abgeschlossen, sobald ein Unternehmen die WhatsApp Business App installiert und die Nutzungsbedingungen akzeptiert. Eine separate Unterzeichnung gibt es nicht.
Inhaltlich regelt der Vertrag, dass Meta Platforms Ireland Ltd. die personenbezogenen Daten im Auftrag des Unternehmens verarbeitet – also als Auftragsverarbeiter.

‍

Problematisch: Inhaltliche Lücken im Vertrag

Datenschutzexperten kritisieren, dass der von Meta bereitgestellte Vertrag nicht vollständig den Anforderungen von Art. 28 DSGVO entspricht. Wichtige Punkte fehlen oder sind unklar formuliert, etwa:

• keine präzise Beschreibung von Zweck und Art der Datenverarbeitung
• keine klare Regelung zur Weisungsgebundenheit
• unklare Lösch- und Rückgaberegelungen
• Datenübermittlung an US-Server bleibt möglich
• generelle Erlaubnis für Meta, Unterauftragsverarbeiter einzusetzen

Dadurch bleibt der Vertrag rechtlich angreifbar – insbesondere bei streng ausgelegten Datenschutzprüfungen.
‍

‍

Rolle von Meta als Auftragsverarbeiter

Für EU-Unternehmen agiert Meta Platforms Ireland Ltd. als Vertragspartner. Das Unternehmen gilt damit formell als Auftragsverarbeiter und ist für die technische Datenverarbeitung zuständig. Trotzdem trägt das nutzende Unternehmen weiterhin die Verantwortung für den Datenschutz gegenüber seinen Kunden.

‍

Wie können Unternehmen den WhatsApp Business AV-Vertrag abschließen?

Der AV-Vertrag mit WhatsApp wird nicht manuell unterschrieben, sondern automatisch geschlossen, sobald ein Unternehmen die WhatsApp Business App oder die WhatsApp Business API aktiviert und die Nutzungsbedingungen akzeptiert. Eine separate Vertragsdatei gibt es nicht – der Vertrag ist Teil der allgemeinen Bedingungen von Meta Platforms Ireland Ltd.
‍
‍

Schritt-für-Schritt Anleitung

• WhatsApp Business App oder API einrichten
• Nutzungsbedingungen lesen und bestätigen
• Damit wird der AV-Vertrag automatisch wirksam
• Für interne Zwecke sollte der Abschluss dokumentiert werden (z. B. im Datenschutzverzeichnis)

‍

Wie lässt sich WhatsApp Business DSGVO-konform einsetzen?

Die Nutzung der Standard-Version von WhatsApp ist laut AGB ausschließlich privat erlaubt. Eine geschäftliche Verwendung ist untersagt, da kein AV-Vertrag abgeschlossen werden kann.
Für Unternehmen gibt es daher nur zwei datenschutzrechtlich vertretbare Optionen:

‍

Option 1: WhatsApp Business App

Die WhatsApp Business App ermöglicht grundsätzlich den automatischen Abschluss eines AV-Vertrags mit Meta Platforms Ireland Ltd., sobald die App installiert und die Nutzungsbedingungen akzeptiert werden.
Allerdings gilt dieser Vertrag als unzureichend, da wesentliche Angaben nach Art. 28 DSGVO fehlen:

• keine klare Beschreibung der Verarbeitungszwecke
• unvollständige Regelungen zu Weisungsgebundenheit und Löschung
• Datenübertragung in Drittländer (USA) weiterhin möglich

Mit einigen Vorsichtsmaßnahmen kann die App trotzdem eingeschränkt DSGVO-konform genutzt werden:

• Nur auf getrennten Geräten einsetzen
• Cloud-Backups deaktivieren
• Nur Kontakte speichern, die WhatsApp nutzen
• Impressum im Profil hinterlegen
• Kunden ggf. Einwilligung zur Datenverarbeitung einholen

Trotzdem: Eine vollständige Rechtssicherheit bietet diese Variante nicht.

‍

Option 2: WhatsApp Business API Schnittstelle nutzen

Die WhatsApp Business API ist die professionelle Lösung für eine rechtssichere Nutzung. Hier erfolgt der Abschluss des AV-Vertrags nicht mit Meta direkt, sondern über einen offiziellen Business Solution Provider (BSP) – etwa hellomateo.

Der BSP schließt selbst einen umfassenden AV-Vertrag mit Meta ab und bietet Unternehmen anschließend einen eigenen AV-Vertrag an, der die DSGVO-Anforderungen vollständig erfüllt.
Dadurch wird die Verarbeitung personenbezogener Daten klar geregelt und dokumentiert.

Vorteile der API-Lösung:

• Rechtskonformer AV-Vertrag über den Business Solution Provider
• Kein Zugriff auf das Adressbuch des Endgeräts
• Serverstandort Deutschland (bei hellomateo)
• Kein Cloud-Backup
• Technisch abgesicherte Kommunikation über geprüfte Infrastruktur

Die API ist somit die einzige dauerhaft DSGVO-konforme und rechtssichere Lösung.

‍

‍

WhatsApp DSGVO-konform nutzen mit der WhatsApp API Schnittstelle von hellomateo – inklusive detailliertem AV-Vertrag

Die WhatsApp Business API ist die einzige Möglichkeit, WhatsApp wirklich DSGVO-konform im Unternehmen einzusetzen. Über zertifizierte Drittanbieter wie hellomateo läuft die gesamte Kommunikation über eine gesicherte Serverinfrastruktur – ohne Zugriff auf das Smartphone-Adressbuch und ohne unverschlüsselte Cloud-Backups. Alle Daten werden ausschließlich auf Servern in Deutschland verarbeitet.

Mit hellomateo schließen Unternehmen einen vollständigen AV-Vertrag nach Art. 28 DSGVO ab, der alle gesetzlichen Anforderungen erfüllt. Darin geregelt sind unter anderem die Zwecke der Datenverarbeitung, die Weisungsgebundenheit, technische und organisatorische Maßnahmen sowie die Löschung oder Rückgabe von Daten. Damit ist der Vertrag deutlich transparenter und rechtskonformer als der standardisierte AV-Vertrag der WhatsApp Business App.

Neben der rechtlichen Absicherung profitieren Unternehmen von zahlreichen Funktionen wie automatisierten Nachrichten, WhatsApp Newsletter Marketing, KI-Chatbots und Integrationen in bestehende Systeme. So ermöglicht hellomateo eine sichere, skalierbare und gleichzeitig effiziente Kundenkommunikation über WhatsApp – vollständig DSGVO-konform und rechtlich abgesichert.

‍

‍

• ‍Zentrale Benutzeroberfläche: hellomateo vereint WhatsApp Business Platform, E-Mail, Instagram, SMS und Facebook Messenger in einem zentralen Posteingang. Die intuitive Benutzeroberfläche beinhaltet diverse Tools für effiziente Kundenkommunikation und spart Ihnen wertvolle Arbeitszeit.
  ‍
• Integrationen: Mit hellomateo können Sie WhatsApp in über 6.000 Softwareprogramme integrieren und vollautomatisierte Nachrichten wie z.B. Einladungen, Bestellbestätigungen, Versandinformationen, Rechnungen oder Erinnerungen versenden.
  ‍
• Newsletter Marketing: Versenden Sie DSGVO-konforme Newsletter über WhatsApp oder SMS und profitieren Sie von Öffnungsraten über 95 %.‍
  ‍
• Bewertungsmanagement: hellomateo kann automatisiert Online-Bewertungen von Ihren Kunden anfordern, was Ihr Google-Ranking und das Vertrauen in Ihr Unternehmen stärkt.
  ‍
• ‍Datenschutz: hellomateo erfüllt alle deutschen und europäischen Datenschutzanforderungen und bietet Ende-zu-Ende Verschlüsselung für sichere Kundenkommunikation.
  ‍
• Skalierbarkeit: Unsere Software eignet sich für Unternehmen jeder Größe und lässt sich je nach Paket unbegrenzt erweitern.‍
  ‍
• ‍Diverse KI-Funktionen: Unser KI-Agent kann Kundenanfragen im Chat automatisiert beantworten, Anrufe entgegennehmen, bei der Formulierug von Nachrichten unterstützen und vieles mehr.

‍

Vereinbaren Sie ein unverbindliches und kostenloses Beratungsgespräch und wir zeigen Ihnen, wie hellomateo Ihre Kommunikationsbedürfnisse abdeckt! Buchen Sie dazu einfach hier einen Termin oder schreiben Sie uns über unser Web-Widget.

‍