WhatsApp im Betrieb: Was die DSGVO sagt und welche Alternativen es gibt

Kurz gesagt

• Sobald WhatsApp für die Arbeit genutzt wird, gilt die DSGVO – auch in der kleinen Firmengruppe.
• Verantwortlich ist in der Regel der Betrieb, nicht die einzelnen Mitarbeitenden.
• Ein ausdrückliches gesetzliches Verbot gibt es nicht. Die bayerische Datenschutzaufsicht hält einen datenschutzkonformen Einsatz für die interne Kommunikation aber in der Regel nicht für begründbar.
• Hauptkritik ist nicht der Nachrichteninhalt, sondern der Abgleich des Adressbuchs und die Metadaten.
• WhatsApp Business ist laut Metas eigenen Bedingungen nicht für die Kommunikation innerhalb der Firma gedacht.
• Geschäftliche Chats mit Kunden können aufbewahrungspflichtig sein – auf Privathandys ist das kaum zu schaffen.

Gilt die DSGVO für die Firmengruppe?

Ja. Die DSGVO nimmt nur Tätigkeiten aus, die ausschließlich persönlich oder familiär sind (Art. 2 Abs. 2 lit. c DSGVO). Die Familiengruppe fällt darunter, die Gruppe „Baustelle Müller“ oder „Team Montag“ nicht mehr. Sobald es um die Arbeit geht, muss der Betrieb die DSGVO einhalten.

Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Ordnest du an, dass im Betrieb über WhatsApp kommuniziert wird, oder duldest du es, bist in der Regel du als Arbeitgeber für diese Verarbeitung verantwortlich. Das gilt auch, wenn ein Mitarbeiter Kundendaten über WhatsApp verschickt.

Als Verantwortlicher musst du vor allem drei Dinge sicherstellen:

• eine Rechtsgrundlage für die Verarbeitung (Art. 6 Abs. 1 DSGVO) – bei betrieblicher Kommunikation meist die Erfüllung eines Vertrags oder berechtigte Interessen, die gegen die Interessen der Betroffenen abgewogen werden,
• eine dem Risiko angemessene Sicherheit der Daten (Art. 32 DSGVO),
• dass du die Einhaltung nachweisen kannst (Rechenschaftspflicht, Art. 5 Abs. 2 und Art. 24 DSGVO).

Setzt du einen Dienstleister ein, der in deinem Auftrag Daten verarbeitet, brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Für die normale WhatsApp-App ist im EWR WhatsApp Ireland Limited der Vertragspartner. Die Nutzungsbedingungen enthalten keinen solchen Vertrag für deinen Betrieb.

Das Hauptproblem: das Adressbuch

Viele denken bei WhatsApp zuerst an die Nachrichten. Die sind Ende-zu-Ende-verschlüsselt. Die Kritik der Behörden richtet sich aber vor allem gegen etwas anderes: den Abgleich des Adressbuchs.

Laut den WhatsApp-Bedingungen übermitteln Nutzer mit der Kontakt-Upload-Funktion, soweit gesetzlich zulässig, regelmäßig die Telefonnummern aus ihrem Adressbuch an WhatsApp. Laut Datenschutzrichtlinie geschieht das, wenn man die Synchronisierung wählt. Betroffen sind auch Kontakte, die WhatsApp gar nicht nutzen: Von ihnen speichert WhatsApp Hashwerte der Telefonnummern.

Anonym ist das nicht. Der Europäische Datenschutzausschuss hat 2021 verbindlich entschieden, dass diese Liste gehashter Nummern von Nicht-Nutzern personenbezogene Daten enthält. Im selben Verfahren hat die irische Datenschutzbehörde gegen WhatsApp Ireland eine Geldbuße von 225 Millionen Euro verhängt, unter anderem wegen mangelnder Transparenz gegenüber Nutzern und Nicht-Nutzern. Die Buße traf WhatsApp selbst, nicht Betriebe, die WhatsApp verwenden.

Für deinen Betrieb heißt das: Auf dem Diensthandy eines Mitarbeiters stehen Kunden, Lieferanten und Kollegen. Mit WhatsApp gehen deren Nummern an einen Dritten – meist ohne dass diese Personen davon wissen oder zugestimmt haben.

Was die Datenschutzbehörden sagen

Es gibt klare Einschätzungen der Aufsichtsbehörden. Das ist keine Rechtsprechung, zeigt aber, wie sie im Ernstfall prüfen.

• Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hält einen datenschutzkonformen Einsatz von WhatsApp für die Kommunikation innerhalb des Unternehmens in der Regel nicht für begründbar. Gründe: Metadaten werden in den USA verarbeitet, und Adressdaten aus dem Adressbuch werden ohne Einwilligung der Betroffenen erhoben – oft auch von Dritten außerhalb des Betriebs. Das BayLDA rät zu anderen Messengern.
• Bietest du Kunden WhatsApp als Kontaktweg an, musst du laut BayLDA den datenschutzgerechten Einsatz vor allem beim Adressbuch gewährleisten können, und den Kunden muss jederzeit eine gleichwertige andere Kontaktmöglichkeit zur Verfügung stehen. Wegen der Rechtsunsicherheit rät das BayLDA auch hier, Alternativen zu prüfen.
• Der Landesdatenschutzbeauftragte Rheinland-Pfalz nennt die regelmäßige Übertragung der Adressbuchnummern den größten Kritikpunkt; WhatsApp schiebe die Verantwortung den Nutzenden zu. Für die berufliche Nutzung empfiehlt er Diensthandys, deren Adressbuch nur WhatsApp-Kontakte enthält oder deren Adressbuchzugriff gesperrt ist. Private Geräte hält er für problematisch und nur ausnahmsweise mit Container-Lösungen für vertretbar.

Löst WhatsApp Business das Problem?

Für die Kommunikation im Team: nein. Meta unterscheidet drei Angebote mit eigenen Bedingungen:

Auch bei der Business App gilt die Auftragsverarbeitung nur für die Kundendaten. Konto-, Registrierungs-, Nutzungs- und Logdaten verwenden WhatsApp und andere Meta-Unternehmen laut Bedingungen für eigene Zwecke, etwa um ihre Dienste zu entwickeln, zu verbessern und zu vermarkten. Einwilligungen deiner Kunden, etwa für Nachrichten, musst du selbst einholen, und Abmeldewünsche musst du beachten.

Und die Daten in den USA?

Daten dürfen in ein Land außerhalb der EU wie die USA nur unter den Bedingungen von Kapitel V der DSGVO gehen, zum Beispiel auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 44, 45 DSGVO). WhatsApp stützt die Übermittlung an WhatsApp LLC und Meta Platforms in den USA laut Datenschutzrichtlinie auf den EU-US-Datenschutzrahmen (Data Privacy Framework) und zusätzlich auf Standardvertragsklauseln.

Der Angemessenheitsbeschluss dazu (2023/1795) gilt. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen (T-553/23). Der Kläger hat Rechtsmittel zum Europäischen Gerichtshof eingelegt (C-703/25 P). Ein Urteil dazu haben wir bis zum Stand dieses Ratgebers nicht gefunden. Der Rahmen ist also in Kraft, aber rechtlich umstritten. Wer davon unabhängig sein will, wählt einen Anbieter, der die Daten in der EU speichert und nicht in die USA übermittelt.

Privathandy, Weisung und Betriebsrat

Als Arbeitgeber kannst du per Weisungsrecht auch die Ordnung und das Verhalten im Betrieb regeln (§ 106 GewO) – also auch festlegen, über welches Werkzeug dienstlich kommuniziert wird. Du musst dabei nach billigem Ermessen handeln, und Arbeitsvertrag, Betriebsvereinbarung, Tarifvertrag und Gesetz setzen Grenzen.

Für die Praxis heißt das: Wenn ihr dienstlich chattet, lege ein Werkzeug fest und schreib es auf. Sollen Leute dafür ein Handy nutzen, ist ein Diensthandy die sauberere Lösung als das Privatgerät – darauf liegen sonst private und dienstliche Kontakte vermischt, wovon der LfDI Rheinland-Pfalz ausdrücklich abrät.

Gibt es einen Betriebsrat, hat er bei der Einführung technischer Einrichtungen mitzubestimmen, die Verhalten oder Leistung überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG), außerdem bei Fragen der Ordnung des Betriebs (Nr. 1). Nach dem Bundesarbeitsgericht genügt es, dass eine Einrichtung objektiv geeignet ist, solche Daten zu erheben; eine Überwachungsabsicht ist nicht nötig. Bei einem Messenger mit Lesebestätigung und Online-Status liegt das nahe. In Betrieben ohne Betriebsrat entfällt dieser Schritt.

Chats mit Kunden aufbewahren

Für die Aufbewahrung zählt der Inhalt, nicht der Kanal. Eine WhatsApp-Nachricht, in der ein Kunde einen Auftrag erteilt, ein Angebot annimmt oder etwas reklamiert, kann ein Handels- oder Geschäftsbrief sein.

Steuerlich läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 AO). Eingehende elektronische Geschäftsbriefe müssen nach den GoBD grundsätzlich in dem Format aufbewahrt werden, in dem sie empfangen wurden. Ein Chatverlauf, der nur auf dem Handy eines Mitarbeiters liegt, erfüllt das praktisch kaum – spätestens wenn das Handy kaputtgeht oder jemand den Betrieb verlässt.

Wie das bei Rechnungen konkret aussieht, steht im Ratgeber zur E-Rechnungspflicht.

Was im schlimmsten Fall droht

• Schadenersatz: Wer durch einen Verstoß gegen die DSGVO einen Schaden erleidet, kann vom Verantwortlichen Ersatz verlangen, auch für immaterielle Schäden (Art. 82 DSGVO).
• Geldbußen: Sie werden im Einzelfall bemessen und müssen wirksam, verhältnismäßig und abschreckend sein (Art. 83 DSGVO). Die oft genannten 20 Millionen Euro oder 4 % des Jahresumsatzes sind der Höchstrahmen, kein Regelsatz.
• Verlorene Unterlagen: Liegt die Absprache mit einem Kunden nur auf einem Privathandy, fehlt sie dir bei Streit, Reklamation oder Betriebsprüfung.

So stellst du um: Checkliste

1. Bestand aufnehmen: Welche WhatsApp-Gruppen gibt es im Betrieb, wer ist drin, und laufen dort auch Kunden oder Externe mit?
2. Werkzeug wählen: Achte auf einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), auf Speicherung in der EU und darauf, dass das Werkzeug ohne Zugriff aufs Adressbuch auskommt. Das BayLDA nennt als Beispiele Threema, Signal oder Hoccer; eine Alternative ist ein Team-Chat in der Software, mit der ihr ohnehin arbeitet.
3. Regel aufschreiben: Welches Werkzeug ist dienstlich erlaubt, was gehört nicht in den Chat, und auf welchen Geräten wird gechattet?
4. Betriebsrat beteiligen, falls es einen gibt.
5. Diensthandys prüfen: Bleibt WhatsApp übergangsweise, dann nur ohne Adressbuchzugriff oder mit einem Adressbuch, das ausschließlich WhatsApp-Kontakte enthält.
6. Kundenkontakt regeln: Bietest du WhatsApp für Kunden an, nenne immer einen gleichwertigen anderen Weg, etwa Telefon oder E-Mail.
7. Geschäftliches sichern: Aufträge, Angebote und Reklamationen aus Chats in die Ablage übernehmen, bevor du alte Gruppen schließt.
8. Datenschutzinformation anpassen: Beschäftigte und Kunden darüber informieren, welches Werkzeug ihr nutzt und wofür.
9. Austritte bedenken: Wer den Betrieb verlässt, muss aus allen dienstlichen Chats heraus – bei Privathandys ist das kaum kontrollierbar.