WhatsApp und DSGVO: Was Shops dürfen

Die DSGVO regelt Verarbeitung, nicht Produkte. Keine Aufsichtsbehörde vergibt ein Siegel, das eine Messaging-App zulässig macht — und keine erklärt eine für unzulässig. Die Frage in ihrer üblichen Form hat deshalb keine Antwort, weshalb jeder Text, der sie mit einem glatten Ja oder Nein beantwortet, etwas verkaufen will.

Die Frage darunter ist beantwortbar. Wer sie stellt, will drei Dinge wissen: Darf ich meine Kund:innen über diesen Kanal anschreiben, was müsste ich im Zweifel vorlegen können, und wo genau liegt das Risiko. Alle drei hängen an Entscheidungen, die du triffst, nicht an Eigenschaften der App — und die erste Entscheidung ist, welches WhatsApp du eigentlich betreibst.

Die beiden teilen sich einen Namen und sonst wenig. Genau darin steckt die ganze Datenschutzgeschichte.

• Die WhatsApp Business App läuft auf einem Telefon und arbeitet aus dessen Adressbuch. Alle auf dem Gerät gespeicherten Personen sind betroffen — auch solche, die deinen Shop nie kontaktiert haben. Die App ist auf eine Person an einem Gerät ausgelegt.
• Die WhatsApp Business Platform sendet über eine API. Deine Kontakte liegen in deinem eigenen System, du entscheidest, was wie lange gespeichert wird, und es gibt keinen Adressbuch-Abgleich, den du erklären müsstest.

Ab einigen hundert Bestellungen im Monat wechseln die meisten Shops ohnehin aus betrieblichen Gründen auf die Platform: mehrere Personen an einer Nummer, Nachrichten, die auf Shopify-Events auslösen, ein Protokoll darüber, was rausging. Das Datenschutzargument zeigt in dieselbe Richtung — das kommt selten vor und sollte man mitnehmen. Unsere Übersicht über die Flows und Growth Tools für Shopify-Shops zeigt, wie die Platform-Seite in der Praxis aussieht.

Auf der Platform bleibt gewöhnlicher Datenschutz, angewandt auf einen neueren Kanal. Die Grundsätze sind die bekannten:

1. Eine Rechtsgrundlage vor der ersten Nachricht. Bei werblichen Nachrichten ist das in der Regel die Einwilligung.
2. Ein Zweck, der beim Fragen genannt wird — nicht einer, der nachträglich konstruiert wird.
3. Nur die Daten, die du wirklich brauchst — Telefonnummer und Bestellhistorie, kein Profil.
4. Eine Speicherdauer, die du aussprechen kannst, ohne vorher nachzusehen.
5. Ein Widerruf, der nicht schwerer ist als die Anmeldung.

Diese Grundsätze stehen in der Datenschutz-Grundverordnung selbst (Verordnung (EU) 2016/679, EUR-Lex, 2016). Speziell zur Einwilligung sind die Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDSA, 2020) die Referenz, an der sich die meisten Aufsichtsbehörden orientieren (beide abgerufen am 14.10.2026). Das sind Grundsätze. Wie sie auf deinen Shop anzuwenden sind, gehört zu deiner Rechtsberatung, nicht in einen Blogartikel.

Meta führt ein zweites Regelwerk neben dem Gesetz. Wer die eine Prüfung besteht, besteht die andere damit nicht.

Metas eigene Dokumentation hält fest: Unternehmen müssen vor dem ersten Anschreiben ein Opt-in einholen, müssen deutlich machen, dass die Person in den Empfang von Nachrichten des Unternehmens einwilligt, müssen das Unternehmen benennen und müssen geltendes Recht einhalten (Meta, WhatsApp-Business-Platform-Dokumentation, abgerufen am 14.10.2026). Die Methode lässt Meta bewusst offen — Website-Formular, SMS, Telefonstrecke oder ein unterschriebenes Blatt Papier gelten richtlinienseitig alle.

Der letzte Punkt wird am häufigsten überlesen. Metas Richtlinie verweist auf das lokale Recht, statt es zu ersetzen. Ein Opt-in, das Meta genügt, kann einer deutschen Aufsichtsbehörde deutlich zu dünn sein. Umgekehrt gilt genauso: Ein Einwilligungstext, mit dem deine Rechtsberatung zufrieden ist, muss trotzdem dein Unternehmen benennen, damit Meta zufrieden ist. Unsere Referenzseite zu Metas Plattformregeln mit Datum und Quelle hält die Richtlinienseite mit Abrufdaten fest, weil Meta sie ohne Ankündigung ändert.

Wenn morgen jemand fragt, klären fünf Angaben pro Kontakt die Sache:

1. Woher die Nummer stammt — Checkout, Pop-up, QR-Code, Import.
2. Wann die Einwilligung erteilt wurde, auf die Minute genau.
3. Der genaue Wortlaut, der in diesem Moment gezeigt wurde — nicht der von heute.
4. Was sie abdeckte: nur Bestellupdates oder auch Kampagnen.
5. Ob sie inzwischen widerrufen wurde, und wann.

In Keaz ist dieser Nachweis das Opt-in-Level am Kontakt. Im Startpunkt eines Flows lässt sich ein Mindest-Level verlangen, sodass niemand darunter überhaupt hineinläuft — siehe wie Opt-in-Level An- und Abmeldung steuern. Das Widget nach dem Checkout hat einen Safe Mode für Shops, die die strengere Auslegung schon vor der Erfassung anwenden wollen — beschrieben unter Telefonnummern nach Checkout sammeln.

Für die Erhebungsseite — wie ein wirksames Opt-in aussehen muss und welche Quellen eines liefern — geht unser Leitfaden zum DSGVO-konformen Einsammeln von WhatsApp-Opt-ins die Mechanik Schritt für Schritt durch.

• Die Telefonnummer aus einer Shopify-Bestellung als Werbeeinwilligung behandeln. Sie wurde angegeben, damit ein Paket ankommt.
• Eine alte Liste importieren, weil die Leute mal gekauft haben. Ein zurückliegender Kauf ist kein Opt-in für Werbung.
• Ein Pauschal-Opt-in für alles. Ein Bestellupdate und eine Freitagskampagne sind nicht dieselbe Frage; wer sie bündelt, macht die schwächere Einwilligung zur maßgeblichen.
• Die Business App vom privaten Handy aus betreiben und das Adressbuch für das Problem anderer halten.
• Den Widerruf schwerer machen als die Anmeldung. Formular zum Anmelden, ein einzelnes Wort als Antwort zum Abmelden — so herum, nicht umgekehrt.
• Sich auf die Compliance-Zusage eines Anbieters verlassen statt auf den eigenen Nachweis. Vorlegen musst du ihn, egal wer die Software gebaut hat.

Die meisten dieser Fehler zeigen sich auf einen Schlag, sobald ein Shop zum ersten Mal einen Newsletter statt einer Benachrichtigung verschickt. Einen WhatsApp-Newsletter erstellen behandelt die Versandseite, einschließlich der Frage, was das eingeholte Opt-in inhaltlich zulässt.