WhatsApp Business und DSGVO: Praxisleitfaden für Schweizer und europäische Unternehmen

WhatsApp zählt weltweit mehr als 3 Milliarden Nutzer, mit einer Durchdringung von 75 bis 85 % in den meisten europäischen Ländern. Für Unternehmen ist es ein unverzichtbarer Kanal. Gleichzeitig unterliegt er strengen gesetzlichen Datenschutzpflichten (DSGVO, revDSG, DSA).

Das sollten Sie wissen, bevor Sie eine WhatsApp-Business-Strategie in Europa ausrollen.

Rollen und Verantwortlichkeiten verstehen

Wenn Sie WhatsApp Business über Sandra nutzen, sind die Rollen klar verteilt:

• Ihr Unternehmen (Verantwortlicher): Sie legen die Zwecke fest (warum, wann und an wen Nachrichten verschickt werden). Die Kundenbeziehung bleibt in Ihrer Hand.
• Sandra (Auftragsbearbeiter): Wir handeln in Ihrem Auftrag und sorgen für technische Compliance, Datensicherheit und den Schutz der Privatsphäre der Nutzer.
• Meta / WhatsApp (Unterauftragsbearbeiter): stellt die technische Messaging-Infrastruktur bereit.

Kurz gesagt: Sie sind für die Rechtsgrundlage verantwortlich, das «Warum». Wir sorgen für Sicherheit, Vertraulichkeit und technische Compliance, das «Wie».

Ihre wichtigsten Pflichten

Einwilligung einholen

Ohne Erlaubnis dürfen Sie keine Nachrichten verschicken. Nach DSGVO und revDSG erfordern Marketingnachrichten eine ausdrückliche Einwilligung:

• Nicht vorab angekreuztes Kästchen
• Verständliche Sprache
• Einfache Abmeldung
• Gespeicherter Nachweis der Einwilligung

Service- oder Support-Nachrichten sind zulässig, wenn der Kunde den Kontakt aufnimmt oder wenn sie für die Abwicklung einer Bestellung notwendig sind.

Transparent sein

Informieren Sie Ihre Kunden über die erhobenen Daten (Nummer, Inhalt, Metadaten), den Zweck der Bearbeitung, die Aufbewahrungsdauer und ihre Rechte (Auskunft, Löschung, Widerspruch). Ein klarer Datenschutzhinweis in Ihrer ersten Nachricht oder auf Ihrer Website genügt.

Nur das Nötige erheben

Fragen Sie nur nach Informationen, die für den Zweck des Kontakts nützlich sind. Löschen Sie Daten, sobald sie nicht mehr benötigt werden.

Daten schützen

WhatsApp verschlüsselt die Kommunikation, doch das reicht nicht. Sie müssen die Zugänge Ihres Teams absichern, Ihre Mitarbeitenden schulen, Zugriffsrechte beschränken, ein Vorgehen für Vorfälle festlegen und jede Datenpanne innert 72 Stunden melden, wenn ein Risiko für die Kunden besteht.

Die Rechte der Nutzer respektieren

Kundinnen und Kunden in Europa und der Schweiz können Auskunft über ihre Daten oder deren Löschung verlangen, Fehler berichtigen lassen, die Herausgabe ihrer Chats verlangen oder bestimmten Bearbeitungen widersprechen. Solche Anfragen müssen innert 30 Tagen bearbeitet werden.

Was Sandra für Sie umsetzt

• Verschlüsselung auf Unternehmensniveau und sicheres Hosting in der Schweiz
• Infrastruktur konform mit DSGVO und revDSG
• Integrierte Datenschutzkontrollen
• Klarer und transparenter Auftragsbearbeitungsvertrag
• Laufende Überwachung und Anpassung an rechtliche Entwicklungen

Wir bearbeiten nur die notwendigen Daten und niemals für eigene Zwecke.

Und der Digital Services Act?

Seit Februar 2024 regelt der DSA die grossen Plattformen in der Europäischen Union. WhatsApp, seit 2025 als «sehr grosse Online-Plattform» eingestuft, unterliegt verschärften Regeln für Transparenz und Moderation.

Für Ihr Unternehmen ändert sich dadurch direkt nichts: Der DSA gilt für Meta, nicht für Sie. Für den Umgang mit Kundendaten bleiben DSGVO und revDSG Ihr Rahmen.

Checkliste vor dem Start

Vor dem Start

• Einen klaren Datenschutzhinweis verfassen
• Die Einholung der Einwilligung einrichten
• Den Auftragsbearbeitungsvertrag unterzeichnen
• Ihre Aufbewahrungsfristen festlegen
• Interne Zugriffe beschränken

Laufend

• Die Rechtsgrundlage jeder Nachrichtenart dokumentieren
• Ihre Teams schulen
• Anfragen zu Kundenrechten innert 30 Tagen beantworten
• Ihre Praxis regelmässig aktualisieren

Bei jeder Interaktion

• Einen Link zu Ihrer Datenschutzerklärung einfügen
• Eine einfache Abmeldung anbieten
• Chats nur so lange wie nötig aufbewahren

Das Wichtigste

WhatsApp-Business-Compliance beruht auf vier einfachen Grundsätzen: vor der Kontaktaufnahme die Erlaubnis einholen, transparent über die Datennutzung informieren, die erhobenen Daten schützen und die Rechte der Nutzer respektieren.

Dieser Artikel enthält allgemeine Informationen und ersetzt keine Rechtsberatung. Wenden Sie sich bei konkreten Fällen an eine Fachperson für Datenschutz.