WhatsApp im Unternehmen: was die DSGVO verlangt

Stand: 14. Oktober 2026

Kurz gesagt

Nutzt ein Betrieb WhatsApp dienstlich, ist er für die dabei verarbeiteten personenbezogenen Daten verantwortlich und muss die Einhaltung der DSGVO nachweisen können. Schwierig sind vor allem der Abgleich des Adressbuchs, die Metadaten beim Anbieter und die fehlende Kontrolle über Daten auf privaten Geräten.

Warum die Frage den Betrieb betrifft und nicht nur die Mitarbeiter

In vielen Betrieben ist die WhatsApp-Gruppe einfach entstanden: Jemand hat sie angelegt, alle sind beigetreten, und seitdem laufen dort Schichtpläne, Fotos von Lieferscheinen und Krankmeldungen. Sobald diese Kommunikation dienstlich ist, verarbeitet der Betrieb personenbezogene Daten von Beschäftigten, Kunden und Dritten. Damit gelten die Pflichten der Datenschutz-Grundverordnung für ihn als Verantwortlichen.

Zwei Grundsätze sind dabei zentral. Nach Art. 5 Abs. 1 lit. f DSGVO müssen Daten so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist, einschließlich Schutz vor unbefugter Verarbeitung und vor unbeabsichtigtem Verlust. Und nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt dabei ausdrücklich die Verschlüsselung personenbezogener Daten.

Die Frage ist also nicht, ob einzelne Mitarbeiter WhatsApp privat nutzen dürfen. Die Frage ist, ob der Betrieb nachweisen kann, dass seine dienstliche Kommunikation diese Anforderungen erfüllt. Den Wortlaut der DSGVO stellt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in ihrer Broschüre INFO 1 bereit.

Das Adressbuch: Daten von Menschen, die nie zugestimmt haben

Der am häufigsten genannte Kritikpunkt betrifft den Kontaktabgleich. WhatsApp beschreibt in seiner Datenschutzrichtlinie für den Europäischen Wirtschaftsraum, dass Nutzer bei aktivierter Kontakt-Upload-Funktion regelmäßig die Kontaktdaten aus dem Adressbuch ihres Geräts bereitstellen. Das schließt nach dieser Richtlinie auch Kontakte ein, die WhatsApp gar nicht nutzen; für sie speichert WhatsApp nach eigenen Angaben Hashwerte der Telefonnummern.

Auf einem Diensthandy liegen im Adressbuch typischerweise Kunden, Lieferanten und Kollegen. Werden deren Nummern übermittelt, stellt sich für den Betrieb die Frage, auf welche Rechtsgrundlage er diese Übermittlung stützt und wie er die Betroffenen darüber informiert. Für Kontakte, die selbst nie mit WhatsApp in Berührung gekommen sind, ist diese Frage besonders schwer zu beantworten. Viele Betriebe lösen das, indem sie den Kontaktzugriff in den Geräteeinstellungen sperren. Das schränkt die Bedienung ein und muss auf jedem Gerät durchgesetzt und kontrolliert werden.

Metadaten, Nutzungsbedingungen und private Geräte

Neben dem Adressbuch fallen beim Anbieter Nutzungsdaten an. Die Datenschutzrichtlinie von WhatsApp nennt unter anderem Angaben dazu, wie Nutzer mit anderen interagieren, sowie Zeitpunkt, Häufigkeit und Dauer ihrer Aktivitäten, dazu geräte- und verbindungsbezogene Informationen. Unabhängig davon, wie Nachrichteninhalte geschützt sind, lässt sich aus solchen Daten ablesen, wer im Betrieb wann mit wem in Kontakt steht. Prüfen Sie, welche Daten an wen und gegebenenfalls in welche Drittländer übermittelt werden; für Übermittlungen in Drittländer gelten nach Art. 44 DSGVO die besonderen Bedingungen des Kapitels V.

Ein weiterer Punkt ist die Vertragsgrundlage. Die Nutzungsbedingungen von WhatsApp für den Europäischen Wirtschaftsraum erwähnen, dass WhatsApp Unternehmen und Organisationen eigene Funktionen und Dienste anbietet. Ob und in welcher Form ein Vertrag besteht, der die Verarbeitung im Auftrag nach Art. 28 DSGVO regelt, sollte der Betrieb vor der dienstlichen Nutzung klären.

Am schwersten wiegt oft der Alltag: Läuft die Kommunikation über private Telefone, liegen Fotos, Dokumente und Chatverläufe auf Geräten, die der Betrieb weder verwaltet noch zurückfordern kann. Verlässt ein Mitarbeiter das Unternehmen, nimmt er den Verlauf mit, und der Betrieb verliert gleichzeitig den Zugriff auf Informationen, die er vielleicht noch braucht.

Was die Datenschutzaufsichtsbehörden sagen

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat am 29. April 2021 eine Stellungnahme zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich beschlossen. Darin heißt es, der berufliche oder gewerbliche Einsatz von Messenger-Diensten unterliege gesetzlichen Datenschutzvorgaben, denen gängige Messenger-Dienste bislang nicht oder nur bedingt entsprechen. Insbesondere WhatsApp führe bei geschäftlicher Nutzung zu einer Reihe von Problemen, die einen Einsatz im Krankenhaus weitgehend ausschließen.

Das Papier richtet sich an Krankenhäuser, seine Anforderungen sind aber auch für andere Betriebe ein brauchbarer Maßstab. Dazu gehören unter anderem:

eine eigene Authentifizierung für die App, getrennt von der Gerätesperre,
ein vom allgemeinen Adressbuch getrennter Kontaktspeicher,
verschlüsselte Ablage von Nachrichten und Anhängen in einem eigenen Speicherbereich,
Ende-zu-Ende-Verschlüsselung der Kommunikation,
gezieltes und fristgesteuertes Löschen von Nachrichten und Dateien,
Verarbeitung von Verbindungsdaten nur, soweit sie für die Übermittlung erforderlich ist, und keine Nutzung für Werbezwecke,
nur zugelassene Nutzer, etwa über ein zentral verwaltetes Identitätsmanagement.

So kommen Sie zu einer belastbaren Entscheidung

Ob Sie WhatsApp weiter dulden, mit Regeln einschränken oder ablösen, ist eine Entscheidung, die Sie dokumentieren sollten. Diese Schritte helfen:

Bestandsaufnahme: Welche Gruppen gibt es, wer ist Mitglied, welche Arten von Daten werden geteilt?
Risiko bewerten: Werden Gesundheitsdaten, etwa Krankmeldungen mit Diagnose, oder vertrauliche Kundendaten ausgetauscht? Für solche Daten gelten strengere Maßstäbe, für Gesundheitsdaten Art. 9 DSGVO.
Regeln festlegen: eine schriftliche Richtlinie, welcher Kanal wofür genutzt wird, und was ausdrücklich nicht in den Messenger gehört.
Verzeichnis ergänzen: Die Kommunikation per Messenger ist eine Verarbeitungstätigkeit und gehört in das Verzeichnis nach Art. 30 DSGVO.
Dienstleister prüfen: Bei einem Business-Messenger einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abschließen und die technischen Maßnahmen dokumentieren lassen.
Austritt regeln: Wie wird der Zugang entzogen, und wo bleiben die Daten, wenn jemand den Betrieb verlässt?

Wenn Sie umstellen, planen Sie den Übergang. Legen Sie einen Stichtag fest, ab dem dienstliche Themen nur noch im neuen Kanal besprochen werden, und schließen Sie die alten Gruppen danach, statt sie parallel weiterlaufen zu lassen. Sichern Sie vorher, was noch gebraucht wird, etwa Fotos von Lieferscheinen oder Absprachen zu laufenden Aufträgen, und legen Sie es dort ab, wo es hingehört. Erklären Sie dem Team in wenigen Sätzen, warum umgestellt wird; eine Umstellung, die nur angeordnet wird, endet häufig damit, dass die alte Gruppe heimlich weiterlebt. Und benennen Sie eine Person, die neue Kolleginnen und Kollegen hinzufügt und ausgeschiedene sofort entfernt.

Ziehen Sie bei der Entscheidung Ihren Datenschutzbeauftragten hinzu, sofern Sie einen haben. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.

Eine Alternative für die interne Kommunikation

notefox ist ein Messenger für die interne Kommunikation von Betrieben, der auf Servern in Deutschland betrieben wird. Er arbeitet ohne Zugriff auf das Adressbuch: Kontakte sind die Mitglieder der eigenen Firma, die per Einladungslink, QR-Code oder Beitritts-Code hinzukommen, ohne E-Mail-Adresse. Nachrichteninhalte und Anhänge werden auf dem Gerät verschlüsselt, der Server sieht nur die Metadaten, die für die Zustellung nötig sind. Der Firmen-Admin legt Nutzer an und sperrt sie wieder, kann aber keine Chats lesen. Nachrichten können sich nach einer eingestellten Zeit selbst löschen.

Häufige Fragen

Ist WhatsApp im Unternehmen verboten?

Ein ausdrückliches gesetzliches Verbot gibt es nicht. Der Betrieb muss aber als Verantwortlicher nachweisen können, dass die dienstliche Nutzung die Anforderungen der DSGVO erfüllt. Die Datenschutzaufsichtsbehörden sehen bei geschäftlicher Nutzung von WhatsApp eine Reihe von Problemen.

Welche Daten übermittelt WhatsApp aus dem Adressbuch?

Nach der Datenschutzrichtlinie von WhatsApp für den Europäischen Wirtschaftsraum stellen Nutzer mit aktivierter Kontakt-Upload-Funktion regelmäßig Kontaktdaten aus dem Adressbuch bereit, auch zu Personen, die WhatsApp nicht nutzen. Für diese speichert WhatsApp nach eigenen Angaben Hashwerte der Telefonnummern.

Reicht WhatsApp Business?

Das lässt sich nicht pauschal sagen. Prüfen Sie für das konkrete Produkt, ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO angeboten wird, wie mit Adressbuch und Metadaten umgegangen wird und welche Daten in Drittländer übermittelt werden.

Quellen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.