WhatsApp und DSGVO: Das musst du zum Thema Datenschutz beachten

DSGVO. Wir alle wissen, dass sie für E-Mail und Internet wichtig ist. Aber sie gilt auch für Unternehmen, die mit Kunden über WhatsApp kommunizieren. Hier erfährst du, was sie ist und was sie für deinen WhatsApp-Kanal bedeutet.

"Ist WhatsApp DSGVO-konform?

... ein häufiger Google-Suchbegriff im Jahr 2024, und das aus gutem Grund.

Eins können wir sicher sagen: Dein WhatsApp-Kanal wird DSGVO-konform sein, wenn du es richtig angehst. Um dir dabei zu helfen, werden wir bald weitere Informationen veröffentlichen. Aber im Wesentlichen müssen Unternehmen die richtigen Opt-Ins einholen, für einfache Opt-Outs sorgen und die Daten der Nutzer auf die richtige Weise verarbeiten und speichern. 

Beginnen wir zuerst mit den Grundlagen der DSGVO und WhatsApp. Dieser Artikel erklärt:

• Was die DSGVO ist
• Welche Pflichten du als Unternehmen im Rahmen der DSGVO und des Datenschutzes hast
• Wie die DSGVO für Unternehmen relevant ist, die einen WhatsApp-Kanal betreiben
• Welche Unterschiede es zwischen der kostenlosen WhatsApp Business App und der WhatsApp Business Platform (API) gibt
• Wie Unternehmen in einem WhatsApp-Kanal DSGVO-konform sein können

Was ist die DSGVO? 

Die Datenschutzgrundverordnung (DSGVO) ist ein Gesetz für den Schutz von Verbraucherdaten in der EU. Sie wurde 2018 eingeführt und soll sicherstellen, dass "EU-Bürgerinnen und -Bürger das Recht auf Schutz ihrer personenbezogenen Daten haben", wie es in der EU-Grundrechtecharta heißt.

Offielles Wording der Europäischen Kommission: "Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, die neue Datenschutz-Grundverordnung der Europäischen Union (EU), regelt die Verarbeitung von personenbezogenen Daten natürlicher Personen durch natürliche Personen, Unternehmen oder Organisationen in der EU."

Für wen gilt die DSGVO?

Laut der Europäischen Kommission gilt die DSGVO für dich, wenn:

• dein Unternehmen persönliche Daten verarbeitet und dein Hauptsitz sich in der EU befindet, ungeachtet des Ortes der Datenverarbeitung
• dein Unternehmen sich zwar außerhalb der EU befindet, aber persönliche Kundendaten von Menschen in der EU verarbeitet oder deren Verhaltensweisen aufzeichnet.

Unternehmen, die sich außerhalb der EU befinden, aber dennoch die Daten von EU-Bürgern verarbeiten, müssen einen Stellvertreter innerhalb der EU benennen.

Was bestimmt die DSGVO? Was müssen Unternehmen beachten?

Die DSGVO bestimmt im allgemeinen, dass Unternehmen diese Grundsätze bei ihren Datenschutzrichtlinien beachten sollten:

• Rechtmäßig, fair und transparent sein -  Daten rechtmäßig verwenden und transparent mit den Menschen und den Unternehmen umgehen, mit denen sie zusammenarbeiten.
• Einen klaren Zweck angeben - deutlich machen, wie und warum das Unternehmen personenbezogene Daten sammelt
• Daten minimieren - Nur Daten sammeln, die für einen bestimmten Zweck verwendet werden sollen
• Genauigkeit - sicher stellen, dass die Daten, die das Unternehmen verarbeitet, genau sind und angemessen gespeichert werden
• Speicherung begrenzen - Daten nicht ewig aufbewahren, sondern einen Zeitraum festlegen, in dem sie gelöscht werden.
• Integrität und Vertraulichkeit - Daten sicher aufbewahren, um "versehentlichen Verlust, Zerstörung oder Beschädigung" zu verhindern
• Verantwortlich sein - Datenschutzrichtlinien festlegen, aufzeichnen und kommunizieren

Es gibt auch einige konkrete Anforderungen, wie z. B. die Notwendigkeit, einen "Datenschutzbeauftragten" einzustellen, während es bei anderen eher um die korrekte Formulierung und Gestaltung Ihrer Kommunikation, Datenverarbeitung und Nachrichtenflüsse geht.

Alle Pflichten für Unternehmen kannst du dieser Seite der Europäischen Kommission entnehmen.

Diese Folgen der DSGVO sehen wir heute

🍪 Kennst du die Cookie-Popups, wenn du eine Webseite betrittst? Die DSGVO – gemeinsam mit der EU-Datenschutzrichtlinie für elektronische Kommunikation und den entsprechenden Gesetzen der Mitgliedsstaaten – ist der Grund und gibt dir die Möglichkeit, deine Daten vor der Verwendung zu Marketingzwecken zu schützen.

🟩 Und diesen Haken bei Anmeldungsformularen, neben "Möchtest du Marketing-E-Mails erhalten"? Auch den gibt es wegen der DSGVO, um Spam zu bekämpfen (und der Haken darf nicht automatisch gesetzt sein ☝️)

✋ Die DSGVO ist außerdem der Grund, warum es einen Unsubscribe Button unter E-Mail-Newslettern gibt.

Auch in Bezug auf die Datentransparenz sind Unternehmen durch die DSGVO in der Bringschuld. Wenn sie von Kunden kontaktiert werden, die ihre Daten einsehen wollen oder die Löschung oder Aktualisierung fordern, sind die verpflichtet, dem Wunsch nachzukommen.

Das mag ein Pain-Point sein, aber die DSGVO stellt sicher, dass die Daten der EU-Bürger nicht missbraucht werden, die Unternehmen an Richtlinien gebunden sind und die Posteingänge spamfrei bleiben.

Obwohl die DSGVO ein EU-weites Gesetz ist, wird es von europäischen Firmen auch bei der Kundenkommunikation außerhalb der EU genutzt und von nicht europäischen Firmen als "Best Practice" befolgt.

Die Datenschutz-Grundverordnung gilt als der globale Gold-Standard des Datenschutzes. 

Auch deshalb fordern immer mehr Nicht-EU-Bürger, dass ihre Daten mit dem selben Respekt behandelt werden, wie durch die DSGVO verordnet.

DSGVO bedeutet nicht automatisch Spamverbot

Die Datenschutz-Grundverordnung ist Teil der Spam-Prävention, aber sie verhindert Spam nicht vollständig.

Sie ist dazu da, deine persönlichen Daten zu schützen und zu kontrollieren, wie Unternehmen dich kontaktieren. Sie besagt, dass Unternehmen zuerst klar um Erlaubnis bitten müssen, dass Menschen sich leicht abmelden können und dass sie Kundendaten sicher, verantwortungsvoll und transparent verwalten müssen.

Es ist unwahrscheinlich, dass du das tun würdest 😅 Aber dieser Teil der Spamvermeidung liegt bei dir als Unternehmen. 

Hier kannst du mehr über WhatsApp Spam nachlesen (auf Englisch).

Warum ist die DSGVO für Unternehmen, die WhatsApp nutzen, relevant?

Wenn Unternehmen einen WhatsApp-Marketingkanal eröffnen, beginnen sie, Informationen über Kunden zu sammeln: Telefonnummern, Namen, vielleicht auch Informationen wie Adresse, Standort, Kaufhistorie, Namen von Haustieren, Kleidergröße und mehr.

Daher gelten natürlich auch hier die Datenschutzbestimmungen der DSGVO, genau wie bei anderen Kommunikationskanälen wie E-Mail und SMS.

Gleiche Regeln, neuer Kanal.

WhatsApp Business-App vs Plattform (API): Was ändert sich hinsichtlich der DSGVO? 

Zunächst eine kurze Definition: Die WhatsApp Business App ist eine kostenlose App für kleine Unternehmen oder Einzelpersonen, die Nachrichten an eine kleine Anzahl von Personen senden. Die WhatsApp Business Plattform (ehemals WhatsApp Business API) ist eine reichlich ausgestattete technische Plattform für größere Unternehmen, die Nachrichten an hunderttausende Personen senden. Weitere Einzelheiten zu beiden Plattformen findest du hier. Die Softwarelösung von charles basiert auf der API und ist eine benutzerfreundliche, browserbasierte Benutzeroberfläche (UI), mit der du die Funktionen der API sowie Analyse- und Zusatzfunktionen nutzen kannst.

Was ändert sich hinsichtlich der DSGVO, wenn man die App oder die API nutzt?

• Die Grundsätze sind die gleichen: Du musst dir immer erst ein Einverständnis in Form eines Opt-ins einholen und die Nutzerdaten sicher und verantwortungsbewusst verwalten.
• Mit der API kannst du den Datenschutz besser automatisieren: Wer die WhatsApp Business-App nutzt, wird sehr viel Handarbeit anlegen müssen. Das gilt beispielsweise für das Einpflegen der Kundendaten in eine Datenbank und das Verwalten von Opt-ins, wenn diese z. B. entzogen werden. Mit der API kannst du dafür automatisierte Flows nutzen, die helfen, deine Unterhaltungen auf WhatsApp abzusichern (z. B. durch Abfragen des Opt-in-Status). Auch die Abrufbarkeit von Kundendaten geht mit der API deutlich einfacher (wenn man ein Feature wie charles' Journeys nutzt).
• Die Datenspeicherung ist sicherer über die API: Kundendaten sollten idealerweise auf EU-Servern gespeichert werden, um sicherzustellen, dass die Daten in einem Land gespeichert werden, das gemäß der DSGVO als "sicher" gilt. Mit der API/WhatsApp Business Platform, die über einen Lösungsanbieter bereitgestellt wird, der Daten in der EU speichert, ist dies der Fall (es sei denn, du verwendest die "On-Premises"-API und speicherst deine Daten selbst, außerhalb der EU). Bei charles speichern wir alle Kundendaten in der EU, in Frankfurt am Main, so dass unsere Kunden die Gewissheit haben, dass die Daten in einem "sicheren Land" gemäß der DSGVO gespeichert werden.
  

Hier, bei charles, baut unsere Softwarelösung für WhatsApp-Marketing auf der WhatsApp Business Plattform (API) auf und wir arbeiten mit mittleren bis großen Unternehmen zusammen. 

Wenn ihr mehr über den Datenschutz der WhatsApp Business-App erfahren möchtet, lest am Besten in diesem Artikel von WhatsApp weiter.

WhatsApp in großen Unternehmen DSGVO-konform nutzen. Geht das?

Ja, Unternehmen können in WhatsApp DSGVO-konform arbeiten. Global agierende Unternehmen haben oft dieselben DSGVO-Verpflichtungen, wie kleine und mittlere Unternehmen (KMUs), wenn es um den Umgang mit EU-Bürgern geht.

Aber es kann zusätzliche Komplexitätsebenen geben, z. B. mit Teams in verschiedenen Ländern, mit verschiedenen Personen, die verschiedene Bereiche eines Kanals verwalten (Marketing, Kundendienst, Vertrieb, Marke ...) und mit Hauptsitzen außerhalb der EU.

Große Unternehmen haben unterschiedliche und einzigartige Bedürfnisse. Wir können die besten Praktiken für die Bedürfnisse von Unternehmen in einem Telefonat mit unserem Vertriebsteam besprechen. Hier kannst du dich melden.

WhatsApp und DSGVO zusammengefasst

Unternehmen in der EU müssen sich der DSGVO beugen. Andernfalls riskieren sie schwere Strafen. Aber auch immer mehr außerhalb der EU greifen die Standards der Datenschutz-Grundverordnung (auf englisch GDPR) auf, um Vertrauen bei ihren Kunden aufzubauen.

WhatsApp ist DSGVO-konform für Unternehmen. Egal ob KMUs oder große Unternehmen, wenn sie den Vorschriften der Europäischen Kommission folgen (z. B. in der Art und Weise, wie sie Zustimmungen einholen und Daten verarbeiten und speichern). 

charles ist ein Softwareprovider für WhatsApp-Marketing mit Hauptsitz in der EU und großem Fokus auf die DSGVO. Die Vorkehrungen für die DSGVO-konforme Datenverwaltung sind in die Software bereits eingebaut.

Unternehmen fällt es einfacher die DSGVO zu befolgen mit der WhatsApp Business Plattform (API). Vorausgesetzt der WhatsApp Business Solution Provider (BSP) hat seine Server in der EU und kennt sich mit Datenschutz aus.

Eine letzte Sache

Wir hoffen, dass dieser Artikel hilft dir, den Zusammenhang zwischen WhatsApp und der DSGVO zu verstehen. Du willst mehr darüber erfahren, wie du die DSGVO einhalten kannst, dann buche deine unverbindliche Demo. 

Haftungsausschluss: Die Informationen in diesem Artikel beruhen auf unseren Erfahrungen und stellen keine Rechts- oder Datenschutzberatung dar. Umfassende Informationen über Ihre rechtlichen Verpflichtungen im Rahmen der DSGVO finden Sie auf der offiziellen Website der Europäischen Kommission zur DSGVO.