Kurzantwort: Nur die serverseitige WhatsApp Business Platform, angebunden über einen DSGVO-konformen Business Solution Provider, bietet in der Praxis verlässliche Rechtssicherheit für Unternehmen. Drei Voraussetzungen sind dabei nicht verhandelbar: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, eine dokumentierte Einwilligung oder eine tragfähige Rechtsgrundlage für die Kontaktaufnahme, und der konsequente Verzicht auf den automatischen Adressbuch-Upload.
Inhaltsverzeichnis
- WhatsApp Chatbot DSGVO: Die 5-Punkte-Checkliste für den Start
- Private App, Business App oder Business Platform: Was passt zu Ihrem Betrieb?
- Welche Rechtsgrundlage gilt für WhatsApp-Chatbots?
- Technische und organisatorische Maßnahmen für den Chatbot-Betrieb
- Wie läuft die Integration eines DSGVO-konformen Chatbots ab?
- Was gilt für KI-Chatbots auf WhatsApp seit dem EU-AI-Act?
- Assistent24 als Praxispartner für WhatsApp-Chatbots
- Wann lohnt sich ein WhatsApp-Chatbot wirklich?
- Wie Assistent24 Sie bei der Umsetzung unterstützt
- Quellen
- FAQ
WhatsApp Chatbot DSGVO: Die 5-Punkte-Checkliste für den Start
Bevor Sie einen WhatsApp-Chatbot live schalten, sollten fünf Punkte geklärt sein. Ordinationen, Werkstätten oder Hotelbetriebe, die hier sauber vorgehen, sparen sich später teure Nacharbeit.
- Plattform wählen: Setzen Sie auf die WhatsApp Business Platform über einen Business Solution Provider mit EU- beziehungsweise EWR-Hosting. Ein privates Smartphone mit der normalen WhatsApp-App hat im Kundenkontakt nichts verloren.
- AV-Vertrag abschließen: Der Vertrag nach Art. 28 DSGVO mit Ihrem Anbieter gehört ins Verzeichnis der Verarbeitungstätigkeiten, inklusive Nachweis, wann und mit wem er geschlossen wurde.
- Einwilligung dokumentieren: Für Marketingnachrichten braucht es ein Double-Opt-In. Für rein reaktive Anfragen, etwa eine Terminbestätigung nach Anruf, kann die Vertragserfüllung als Rechtsgrundlage ausreichen.
- Technik absichern: Deaktivieren Sie die Adressbuch-Synchronisation, definieren Sie ein Löschkonzept und regeln Sie, wer im Team Zugriff auf welche Chatverläufe hat.
- KI-Pflichten prüfen: Kennzeichnen Sie den Chatbot als KI-System, dokumentieren Sie die Trainingsbasis und legen Sie eine Risikoabschätzung an, sobald automatisierte Antworten im Einsatz sind.
Profi-Tipp: Führen Sie diese fünf Punkte als lebendes Dokument, nicht als einmaliges Protokoll. Ein Fitnessstudio, das im Frühjahr die Öffnungszeiten per WhatsApp-Bot kommuniziert und im Herbst plötzlich auch Rabattaktionen verschickt, braucht für Letzteres eine neue Rechtsgrundlage, nicht die alte.
Private App, Business App oder Business Platform: Was passt zu Ihrem Betrieb?
Die drei WhatsApp-Varianten unterscheiden sich technisch grundlegend, und genau das entscheidet über Ihr Datenschutzrisiko.
Die private WhatsApp-App ist für den geschäftlichen Einsatz denkbar ungeeignet. Sobald sie installiert wird, gleicht sie automatisch das komplette Adressbuch des Geräts mit den WhatsApp-Servern ab. Landet die private Nummer eines Kunden dabei im Telefon eines Mitarbeiters, der selbst nie eingewilligt hat, verarbeiten Sie personenbezogene Daten ohne Rechtsgrundlage. Es gibt zudem keine Steuerungsmöglichkeit über Löschfristen oder Zugriffsrechte.
Die WhatsApp Business App bringt immerhin ein Unternehmensprofil, automatische Begrüßungsnachrichten und Kategorisierung von Chats mit. Das Adressbuch-Problem bleibt aber bestehen, solange die App auf einem Smartphone läuft, das synchronisiert. Vertretbar wird sie höchstens auf einem dedizierten Gerät ohne private Kontakte und mit deaktivierter Synchronisation, etwa in einer kleinen Friseurpraxis mit einem einzigen Empfangstelefon.
Die WhatsApp Business Platform, oft schlicht API genannt, läuft serverseitig. Nachrichten laufen über die Infrastruktur eines Business Solution Provider, nicht über ein einzelnes Gerät. Das eröffnet eine durchgängige Vertragskette vom Unternehmen über den Provider bis zur technischen Anbindung, jede Station lässt sich vertraglich fassen. Genau diese serverseitige Struktur macht es möglich, Adressbuch-Uploads zu vermeiden und eine belastbare Auftragsverarbeiterkette aufzubauen.
Für den laufenden Betrieb gelten zusätzliche Regeln:
- Innerhalb eines 24-Stunden-Fensters nach der letzten Kundennachricht dürfen Sie frei antworten.
- Außerhalb dieses Fensters sind nur vorab genehmigte Template-Nachrichten zulässig.
- Jede Vorlage muss von Meta freigegeben werden, bevor sie versendet werden darf.
Für Kfz-Werkstätten, die an Terminerinnerungen für die §57a-Überprüfung denken, oder Autohäuser, die eine Probefahrt bestätigen wollen, ist genau dieses Template-System der entscheidende Unterschied zur privaten App. Ein Hausverwaltungsbetrieb, der Mieteranfragen über einen Chatbot abwickelt, braucht dieselbe serverseitige Kontrolle, um Löschfristen und Zugriffsrechte sauber zu dokumentieren.
Welche Rechtsgrundlage gilt für WhatsApp-Chatbots?
Drei Rechtsgrundlagen kommen für die Kommunikation per WhatsApp-Chatbot infrage, und sie schließen sich gegenseitig aus. Eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO braucht es immer dann, wenn Sie werblich aktiv werden, also Angebote, Aktionen oder Newsletter-ähnliche Inhalte verschicken. Die Vertragserfüllung nach lit. b trägt, wenn der Kunde selbst den Kontakt initiiert hat, etwa mit einer Terminanfrage oder einer Frage zum laufenden Auftrag. Ein berechtigtes Interesse lässt sich für werbliche WhatsApp-Nachrichten in aller Regel nicht heranziehen, dafür ist der Eingriff in die Kommunikationsprivatsphäre zu stark.
In Österreich kommt eine zusätzliche Schicht hinzu: § 174 TKG verlangt für die elektronische Direktwerbung eine vorherige, ausdrückliche Zustimmung, unabhängig davon, was die DSGVO ohnehin schon fordert. Die Bestimmung gilt für WhatsApp-Nachrichten mit werblichem Charakter genauso wie für E-Mail-Werbung, und Verstöße können parallel nach TKG, DSGVO und UWG geahndet werden.
Der AV-Vertrag nach Art. 28 DSGVO ist das zweite Fundament. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegen, die Kategorien betroffener Personen benennen und Unterauftragsverarbeiter offenlegen. Wichtig für die Praxis: Diese Kette hört beim Business Solution Provider nicht auf. Wird zusätzlich ein CRM-System oder ein Helpdesk-Tool angebunden, braucht jede weitere Schnittstelle einen eigenen vertraglichen Rahmen.
Nicht jede Verarbeitung läuft über einen Auftragsverarbeiter. Sobald WhatsApp beziehungsweise Meta eigene Zwecke verfolgt, etwa zur Analyse von Metadaten für eigene Produktverbesserungen, tritt Meta für diese Verarbeitungsschritte als eigenständiger Verantwortlicher auf. Diese Konstellation gehört in Ihre Datenschutzerklärung, mit klarer Trennung zwischen dem, wofür Sie verantwortlich sind, und dem, was Meta in eigener Verantwortung verarbeitet.
Für die Dokumentation gilt: Halten Sie im Verzeichnis der Verarbeitungstätigkeiten fest, welche Rechtsgrundlage für welchen Nachrichtentyp gilt, wann Einwilligungen eingeholt wurden und wie sie widerrufen werden können. Bei einer Prüfung durch das Fernmeldebüro oder die Datenschutzbehörde ist genau diese Dokumentation der erste Nachweis, den man von Ihnen verlangt.
Technische und organisatorische Maßnahmen für den Chatbot-Betrieb
Die Rechtsgrundlage allein reicht nicht. Ein AV-Vertrag ist notwendig, aber er ersetzt kein durchdachtes Datenschutzkonzept, das Zweckbindung, Datensparsamkeit und Löschfristen tatsächlich lebt.
- Architektur festlegen: Business Solution Provider mit EU-Hosting, keine Kontaktsynchronisation auf beteiligten Geräten, saubere API-Konfiguration mit begrenzten Zugriffsrechten.
- Löschkonzept definieren: Legen Sie konkrete Fristen fest, etwa die Löschung abgeschlossener Chatverläufe nach einer festgelegten Zeitspanne, und automatisieren Sie diesen Prozess, wo es technisch möglich ist.
- Zugriffsrechte staffeln: Nicht jeder Mitarbeiter im Kundenservice braucht Einsicht in alle Chatverläufe. Rollenbasierte Berechtigungen und ein Protokoll, wer wann auf welche Daten zugegriffen hat, machen den Betrieb auditfähig.
- Team schulen: Eine interne WhatsApp-Richtlinie legt fest, was Mitarbeiter versenden dürfen, wie mit Löschanfragen umgegangen wird und wer im Zweifel eskaliert.
- Vorfälle vorbereiten: Ein Incident-Response-Plan für den Fall, dass Kundendaten fehlgeleitet oder ein Chat versehentlich einem falschen Kontakt zugeordnet wird, gehört in jede Betriebsanleitung.
Profi-Tipp: Dokumentieren Sie die Kontaktsynchronisation aktiv als deaktiviert, nicht nur als Annahme. Ein Screenshot der Geräteeinstellung, archiviert zusammen mit dem AV-Vertrag, ist im Streitfall mehr wert als jede mündliche Zusicherung.
Praxisleitfäden empfehlen zusätzlich, private und geschäftliche Kommunikation über dedizierte Geräte oder eine vollständig serverseitige Integration zu trennen. Für eine Zahnarztpraxis, die Terminbestätigungen automatisiert verschickt, bedeutet das: kein Empfangstablet mit privater WhatsApp-Installation, sondern eine saubere Anbindung über die Business Platform. Wer tiefer in die technischen Grundlagen einsteigen möchte, findet einen ausführlichen Leitfaden zur datenschutzkonformen WhatsApp-Chatbot-Nutzung mit weiteren Details zur Umsetzung im österreichischen Kontext.
Wie läuft die Integration eines DSGVO-konformen Chatbots ab?
Ein WhatsApp-Chatbot-Projekt lässt sich in klar abgrenzbare Phasen gliedern. Wer diese Reihenfolge überspringt und direkt mit der technischen Implementierung beginnt, produziert erfahrungsgemäß Nacharbeit an genau den Stellen, die eigentlich zuerst geklärt gehören.
- Scoping: Welche Anfragen soll der Chatbot beantworten? Terminbuchung, Öffnungszeiten, Statusabfragen oder auch Werbeinhalte? Diese Entscheidung bestimmt die Rechtsgrundlage.
- Datenschutz-Folgenabschätzung: Bei automatisierter Verarbeitung mit potenziell hohem Risiko, etwa wenn Gesundheitsdaten in einer Ordination betroffen sind, ist eine DSFA nach Art. 35 DSGVO Pflicht, nicht Kür.
- Auswahl des Business Solution Provider: Prüfen Sie EU-Hosting, Zertifizierungen und die Bereitschaft, einen vollständigen AV-Vertrag abzuschließen.
- AV-Verträge unterzeichnen: Die Geschäftsführung oder der Datenschutzbeauftragte zeichnet verantwortlich, nicht die IT-Abteilung im Alleingang.
- Implementierung und Opt-In-Flow: Der Double-Opt-In-Prozess, die Template-Nachrichten und die Eskalationspfade zu einem menschlichen Mitarbeiter werden aufgesetzt und getestet.
- Rollout und Monitoring: Nach dem Livegang folgen regelmäßige Reviews, in der Regel halbjährlich, mit Reporting zu Löschvorgängen und Zugriffsprotokollen.
Wer sich am konkreten Ablauf orientieren möchte, findet einen strukturierten Überblick zur WhatsApp-Chatbot-Integration mit den einzelnen Checkpoints im Detail. Rechnen Sie für ein mittelständisches Unternehmen mit mehreren Wochen bis zum produktiven Betrieb, abhängig davon, wie viele Systeme wie CRM oder Kalender angebunden werden müssen.
Was gilt für KI-Chatbots auf WhatsApp seit dem EU-AI-Act?
Seit 2026 gilt für bestimmte KI-Systeme eine ausdrückliche Kennzeichnungspflicht. Wer mit einem KI-gestützten Chatbot kommuniziert, muss das erkennen können, ohne danach fragen zu müssen. Für WhatsApp-Chatbots bedeutet das konkret: Bereits die erste Nachricht sollte offenlegen, dass ein KI-System antwortet, nicht ein Mitarbeiter.
Darüber hinaus verlangt der Rechtsrahmen:
- Dokumentation der Datenbasis, mit der der Chatbot trainiert oder konfiguriert wurde.
- Eine Prüfung auf Verzerrungen in den Antworten, insbesondere wenn der Bot Empfehlungen oder Priorisierungen vornimmt.
- Klare Grenzen für automatisierte Entscheidungen, etwa wenn ein Bot über die Ablehnung einer Reklamation entscheidet.
- Einen definierten Eskalationspfad zu einem menschlichen Ansprechpartner, sobald die Anfrage komplex wird oder der Kunde ausdrücklich danach verlangt.
Diese Pflichten verzahnen sich direkt mit der DSGVO: Jede automatisierte Antwort muss protokolliert werden, die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt einen Nachweis, dass der Chatbot nicht willkürlich mit personenbezogenen Daten arbeitet. Bei komplexeren Anwendungsfällen, etwa einer automatisierten Priorisierung von Kundenanfragen, ist zusätzlich eine Datenschutz-Folgenabschätzung sinnvoll, selbst wenn sie nicht zwingend vorgeschrieben ist.
Assistent24 als Praxispartner für WhatsApp-Chatbots
Assistent24 entwickelt und integriert WhatsApp-Chatbots für österreichische Betriebe, von der Zahnarztpraxis bis zum Autohaus, und bindet dabei bestehende Systeme wie HubSpot, Pipedrive oder Google Kalender direkt an. Der Autor dieses Beitrags, Christian, begleitet bei Assistent24 Projekte, in denen genau diese Compliance-Bausteine, AV-Vertrag, Löschkonzept, Kennzeichnungspflicht, von Anfang an mitgeplant werden, statt sie nachträglich zu reparieren.
Typische Integrationen umfassen die Anbindung an Terminbuchungssysteme, branchenspezifische Software wie Magicline für Fitnessstudios oder Smoobu für Vermieter, sowie DSGVO-Checks vor dem Livegang. Referenzen und konkrete Fallbeispiele aus einzelnen Branchen lassen sich bei einer Erstberatung im Detail besprechen.
Wann lohnt sich ein WhatsApp-Chatbot wirklich?
Der größte Nutzen liegt dort, wo Kunden ohnehin reagieren müssen: Terminbuchung, Statusupdates zur Reparatur, einfache Supportfragen. Genau hier trägt die Vertragserfüllung als Rechtsgrundlage, und das Risiko bleibt überschaubar. Bei Marketingszenarien, etwa Rabattaktionen oder Newslettern per WhatsApp, steigt der Aufwand für Einwilligung und Dokumentation deutlich, ohne dass der Nutzen automatisch mitwächst.
Sinnvoll ist ein Omnichannel-Ansatz: WhatsApp als eine Option neben Telefon und E-Mail, nie als einziger Kanal. Und weil sich die Rechtslage rund um KI-Chatbots und Drittlandtransfers weiterentwickelt, gehört eine jährliche Compliance-Prüfung in jeden Betrieb, der WhatsApp produktiv einsetzt.
Wie Assistent24 Sie bei der Umsetzung unterstützt
Ein DSGVO-konformer WhatsApp-Chatbot ist kein Produkt von der Stange, er ist ein Zusammenspiel aus Rechtsgrundlage, Technik und sauberer Dokumentation. Genau hier setzt Assistent24 an: statt einer isolierten Chatbot-Lösung bekommen Sie eine Umsetzung, bei der Beratung, Datenschutz-Check, API-Integration und Schulung Ihres Teams aus einer Hand kommen, abgestimmt auf die österreichische Rechtslage.
Assistent24 betreut Betriebe in Wien, Salzburg, Graz, Linz und Innsbruck und ganz Österreich bei der Automatisierung von Kundenservice und Terminmanagement, mit direkter Anbindung an bestehende Kalender- und CRM-Systeme. Für den Einstieg reicht ein technischer Kurz-Check: Sie schildern Ihren Anwendungsfall, etwa Terminerinnerungen für die §57a-Überprüfung in einer Werkstatt oder Reservierungsbestätigungen in der Gastronomie, und erhalten eine Einschätzung, welche Variante der WhatsApp-Anbindung zu Ihrem Betrieb passt. Wer sich vorab über Budget und Umfang informieren möchte, findet einen Überblick zu den Kosten einer WhatsApp-Chatbot-Lösung. Vereinbaren Sie ein kostenloses Erstgespräch mit Assistent24 und klären Sie in einem ersten Gespräch, wie viel Entlastung im Büro realistisch möglich ist.
Quellen
Häufige Fragen
14 Tage kostenlos testen
KI-Telefonassistent oder KI-Chatbot 14 Tage unverbindlich ausprobieren — DSG- und DSGVO-konform mit EU-Hosting.