Ist whatsapp dsgvo konform

Nein, WhatsApp ist im Geschäftskontext nicht pauschal DSGVO-konform. Ob ein Betrieb den Messenger vertretbar nutzen kann, hängt von Einwilligung, Auftragsverarbeitung und konkreten technischen Maßnahmen ab.

Auf der Baustelle läuft es trotzdem längst so: Der Polier schickt ein Foto der fertigen Elektroinstallation, der Bauleiter spricht den Liefertermin auf, und der Azubi sendet die Adresse an den Kollegen. Alles landet im selben Chat, oft zwischen privaten Kontakten, privaten Fotos und automatischen Backups. Genau dort beginnt das Problem. WhatsApp ist im deutschen Alltag ein Massenmedium, 73 % der Internetnutzerinnen und -nutzer ab 16 Jahren verwenden den Dienst, 58 % täglich, wie eine Studie zur WhatsApp-Nutzung in Deutschland berichtet.

Für Handwerksbetriebe lautet die richtige Frage deshalb nicht mehr nur „Ist WhatsApp DSGVO-konform?“. Sie lautet: Welche Nutzung passt zu welchem Zweck, welche Daten fließen dabei, und wie lässt sich die Kommunikation später nachweisen?

Warum die WhatsApp-DSGVO-Frage jeden Handwerksbetrieb betrifft

Der Polier fotografiert einen Mangel, auf dem neben der fehlerhaften Fuge auch ein Namensschild sichtbar ist. Der Bauleiter schreibt die Adresse des Bauherrn in die Gruppe, und ein Subunternehmer erhält eine Sprachnachricht mit dem Zugangscode zur Baustelle. Solche Vorgänge wirken banal, enthalten aber personenbezogene Daten, Projektinformationen und Kommunikationsmetadaten.

WhatsApp verarbeitet nicht nur Nachrichteninhalte. Im betrieblichen Einsatz entstehen Daten über Telefonnummern, Kontakte, Geräte und Kommunikationsbeziehungen. Der BfDI beschreibt im WhatsApp-Verfahren, dass WhatsApp als Telekommunikationsdienst der deutschen Aufsicht unterliegt und Beschwerden an die für Meta zuständige irische Behörde weitergeleitet werden.

Die typischen Auslöser im Handwerk

Besonders kritisch wird WhatsApp, wenn mehrere Personen und Projekte miteinander vermischt werden:

Bauherren: Namen, Telefonnummern, Wohnadressen und Terminabsprachen stehen im Chat.
Mitarbeiter: Fotos, private Nummern und Standortinformationen landen auf privaten Geräten.
Subunternehmer: Externe erhalten Zugriff auf Gruppen, in denen auch Informationen anderer Auftraggeber stehen.
Mängel und Nachträge: Bilder und Sprachnachrichten sollen später als Nachweis für Leistung, Behinderung oder Abrechnung dienen.

Der hohe Nutzungsgrad macht die Sache praktisch relevant. WhatsApp ist für viele Kunden der Standardkanal, und gerade deshalb schlagen sie dem Betrieb den Kontakt oft selbst vor. Das allein löst die Datenschutzfrage aber nicht. Ein Kunde kann eine schnelle Kommunikation wünschen, trotzdem muss der Betrieb Zweck, Rechtsgrundlage, Empfänger und Löschung organisieren.

Auch das Praxiswissen zum Datenschutz im Handwerk zeigt, warum getrennte Firmenhandys, deaktivierte Cloud-Backups und kontrollierte Adressbücher keine Nebensachen sind. Wer WhatsApp nur „nebenbei“ nutzt, baut häufig einen zweiten, unsichtbaren Dokumentationskanal auf. Das verursacht Rückfragen, Suchzeiten und im Streitfall fehlende Belege.

Praktische Regel: Was auf der Baustelle für die Leistungserbringung wichtig ist, darf nicht ausschließlich in einem privaten Chat liegen.

Die rechtliche Entwicklung verschärft diese Einschätzung. Das Urteil des Landgerichts Berlin II vom 23. Februar 2026, Aktenzeichen 52 O 22/17, untersagte WhatsApp im Geschäftsverkehr mit Verbrauchern in Deutschland, personenbezogene Daten und Daten Dritter an Facebook weiterzugeben, wenn die Einwilligung in der angegriffenen Form verwendet wird. WhatsApp kann deshalb nicht pauschal als DSGVO-konform gelten.

WhatsApp, Business-App und Business-API im Vergleich

Im Handwerk werden drei unterschiedliche Produkte häufig in einen Topf geworfen. Das ist ein Fehler, denn Privat-App, Business App und Business API haben unterschiedliche Datenflüsse und Kontrollmöglichkeiten.

WhatsApp Privat

Die normale WhatsApp-App ist für private Kommunikation entwickelt. Sie läuft auf einem persönlichen Smartphone, greift typischerweise auf das Telefon-Adressbuch zu und vermischt private und geschäftliche Kontakte. Für einen gelegentlichen Termin mit einem Kunden mag sie bequem sein. Für laufende Kunden-, Team- oder Baustellenkommunikation fehlt dem Betrieb aber die notwendige organisatorische Kontrolle.

WhatsApp Business App

Die Business App ergänzt das Profil um Funktionen wie Katalog, Labels und Abwesenheitsnachrichten. Das hilft einem Solo-Handwerker bei überschaubaren Anfragen, ändert aber nicht automatisch die technische Grundlage. Die App läuft weiterhin auf einem Smartphone und bleibt eng mit dessen Kontakten, Backups und Geräteverwaltung verbunden.

WhatsApp Business API

Die Business API ist keine klassische App, sondern eine technische Schnittstelle. Nachrichten werden über einen Anbieter oder eine angebundene Software verarbeitet. Dadurch kann der Betrieb Empfängerlisten, Einwilligungen, Löschungen und Zugriffsrechte zentraler organisieren. Die API ist aber nicht automatisch DSGVO-konform. EU-Hosting, ein wirksamer Auftragsverarbeitungsvertrag, Datensparsamkeit und eine passende Rechtsgrundlage müssen tatsächlich umgesetzt sein.

Kriterium	WhatsApp Privat	WhatsApp Business App	WhatsApp Business API
Zweck	Private Kommunikation	Einzelne geschäftliche Kontakte	Strukturierte Unternehmenskommunikation
Adressbuch	Privates Telefonbuch	Telefonbuch des Geräts	Kein notwendiger Zugriff auf das Mitarbeiter-Adressbuch
Teamzugriff	Nicht vorgesehen	Eingeschränkt	Zentrale Verarbeitung möglich
Einwilligungen	Schwer nachweisbar	Manuell organisierbar	Systematisch dokumentierbar
Löschung und Auskunft	Umständlich	Begrenzt kontrollierbar	Über Anbieterprozesse besser steuerbar
Handwerkliche Eignung	Nicht für den Betrieb	Kleine, einfache Kontakte	Baustellen, Service und mehrere Beteiligte
Hauptrisiko	Datenmischung	Kontaktabgleich und Backups	Falscher Anbieter oder unvollständige Prozesse

Für die meisten Betriebe ist die Entscheidung klar: Die Privat-App gehört nicht auf die betriebliche Kommunikationsstrecke. Die Business App kann als Übergangslösung funktionieren, wenn nur wenige, unkritische Abstimmungen stattfinden und das Gerät sauber getrennt wird. Sobald mehrere Mitarbeiter, Projekte oder Nachweispflichten beteiligt sind, braucht der Betrieb eine kontrolliertere Architektur.

Datenflüsse und DSGVO-Anforderungen im Betrieb

Auf der Baustelle verschickt ein Mitarbeiter ein Foto vom Zählerschrank. Im Hintergrund verarbeitet WhatsApp mehr als den sichtbaren Nachrichtentext. Auf dem Smartphone liegen Foto, Telefonnummer und Chatverlauf. Beim Versand entstehen Angaben zu Zeitpunkt, Gerät und Kommunikationsbeziehung. Je nach Einstellung können auch Standortdaten oder Sicherungskopien einbezogen werden.

Der BfDI macht in seinen Informationen zum WhatsApp-Verfahren deutlich, dass auch personenbezogene Metadaten datenschutzrechtlich zählen. Für den Betrieb reicht deshalb der Hinweis auf Ende-zu-Ende-Verschlüsselung nicht aus. Entscheidend ist, welche Begleitdaten entstehen, wer sie erhält und wie lange sie verfügbar bleiben.

Die wichtigsten Prüfstellen

Art. 5 DSGVO fordert unter anderem Rechtmäßigkeit, Zweckbindung, Datenminimierung und Speicherbegrenzung. Ein Foto vom Zählerschrank kann zur technischen Dokumentation gehören. Das private Adressbuch eines Mitarbeiters gehört nicht dazu. Auch ein Chat muss nicht dauerhaft auf dem Gerät bleiben, wenn die Auftragsdokumentation bereits geordnet abgelegt ist.

Art. 6 DSGVO verlangt eine passende Rechtsgrundlage. Vertragserfüllung, berechtigtes Interesse oder Einwilligung können je nach Vorgang in Betracht kommen. Der Betrieb muss den Zweck festlegen. Eine Einwilligung für Terminabsprachen deckt weder Werbung noch die Weitergabe an weitere Beteiligte oder eine dauerhafte Archivierung automatisch ab.

Art. 28 DSGVO betrifft Dienstleister, die personenbezogene Daten im Auftrag verarbeiten. Zu prüfen sind Rollen, Weisungen, Sicherheitsmaßnahmen und Löschprozesse. Fehlt eine belastbare Vereinbarung mit beteiligten Dienstleistern, bleibt die geschäftliche Nutzung angreifbar.

Wo es auf Baustellen häufig schiefgeht

Cloud-Backups: Chat-Inhalte können zusätzlich in iCloud oder Google Drive gespeichert werden. Speicherort und Löschung sind dann schwer kontrollierbar.
Kontaktabgleich: Das Smartphone überträgt möglicherweise Kontakte ohne Bezug zum Auftrag.
Privatgeräte: Trennung, Zugriff, Rückgabe und Löschung lassen sich auf privaten Handys nur schwer steuern.
Fehlende Ablage: Fotos und Sprachnachrichten bleiben im Chat, statt einem Projekt, einer Leistung oder einem Mangel zugeordnet zu werden.
Unklare Fristen: Es ist nicht festgelegt, wann ein Verlauf gelöscht, exportiert oder archiviert wird.

Eine Einwilligung allein beseitigt diese Risiken nicht. Der Betrieb braucht eine dokumentierte Rechtsgrundlage sowie technische und organisatorische Maßnahmen. Das gilt auch bei vermeintlich interner Kommunikation, sobald Kunden, Beschäftigte oder Subunternehmer beteiligt sind. Der Leitfaden zur verschlüsselten Kommunikation im Handwerk unterstützt bei der Auswahl eines passenden Kommunikationsmodells. Entscheidend ist, WhatsApp-Chats ohne Medienbruch in eine geordnete, nachweissichere Projektdokumentation zu überführen.

Wann WhatsApp Business App oder API tragfähig sind

Die Business App ist für einen Solo-Handwerker mit wenigen Kundenkontakten pragmatisch, aber sie darf nicht als vollständige Compliance-Lösung verkauft werden. Ein Firmenhandy, ein getrenntes Konto, deaktivierte Backups und ein klarer Einwilligungsprozess reduzieren Risiken. Sie ersetzen jedoch nicht die Prüfung, ob Meta, der konkrete Dienst und der Datentransfer rechtlich sauber eingebunden sind.

Bei einem Team mit Bauleitern, Monteuren und Bürokräften wird die App schnell unübersichtlich. Wer hat Zugriff auf den Chat? Wer löscht ihn? Wie wird eine Auskunftsanfrage beantwortet? Und wie verhindert der Meister, dass ein Mitarbeiter eine Kundennummer aus dem privaten Adressbuch synchronisiert?

Entscheidung nach Betriebsalltag

Die API passt besser, wenn Gespräche zentral eingehen und mehreren Personen zugeordnet werden müssen. Für ein Serviceteam kann sie beispielsweise Anfragen, Termine, Fotos und Statusmeldungen in einer gemeinsamen Oberfläche bündeln. Bei einem grösseren Auftrag lässt sich der Zugriff eher nach Projekt und Rolle organisieren.

Kriterium	Business App	Business API
Rechtsgrundlage	Muss manuell dokumentiert werden	Kann in einen kontrollierten Einwilligungsprozess eingebunden werden
Hosting	Stark von WhatsApp- und Gerätestruktur abhängig	Über den Anbieter und seine Infrastruktur prüfbar
Empfängerlisten	Häufig mit Geräte-Adressbuch verbunden	Zentral verwaltbar
AVV	Vor Nutzung konkret prüfen	Mit Anbieter und beteiligten Diensten erforderlich
Auskunft und Löschung	Manuell und fehleranfällig	Technisch besser abbildbar
Geeignet für	Einzelne Termin- oder Servicekontakte	Bautagebücher, Serviceteams und Projekte mit mehreren Beteiligten
Empfehlung	Nur mit strengen Grenzen	Bevorzugt bei regelmässiger betrieblicher Nutzung

Die API wird erst tragfähig, wenn der Business-Solution-Partner einen Auftragsverarbeitungsvertrag bereitstellt, die Datenhaltung kontrollierbar ist und jeder Empfänger nachvollziehbar zugestimmt hat oder eine andere tragfähige Rechtsgrundlage besteht. Prüfen Sie deshalb nicht nur das WhatsApp-Logo im Angebot. Prüfen Sie Hosting, Unterauftragnehmer, Löschfunktionen, Export, Einwilligungsnachweis und Rollenmodell.

Für private Terminabsprachen kann die Business App eine begrenzte Übergangslösung sein. Für laufende Baudokumentation, Gruppen mit mehreren Gewerken und sensible Kundeninformationen rate ich klar zur API oder zu einem anderen, betrieblich kontrollierten Messenger.

Praxisbeispiel Elektrobetrieb So setzt du DSGVO-Schritte um

Ein Elektrobetrieb mit acht Beschäftigten möchte WhatsApp für Erstkontakte, Mängelfotos und Terminabstimmungen einsetzen. Der Meister entscheidet sich gegen spontane Nachrichten aus privaten Konten. Jeder Kontakt soll einen nachvollziehbaren Zweck haben, und wichtige Informationen müssen aus dem Chat in eine geordnete Projektablage gelangen.

Die Reihenfolge entscheidet

Erstens, Einwilligung: Vor dem Erstkontakt erhält der Kunde eine schriftliche Erklärung. Sie nennt den Zweck, die betroffenen Daten, die Speicherdauer und das Widerrufsrecht. Der Betrieb dokumentiert, wann und wofür die Zustimmung erteilt wurde. Eine bloss vorhandene Telefonnummer reicht nicht.

Zweitens, Vertrag: Der Betrieb prüft die beteiligten Anbieter und schliesst die erforderlichen Vereinbarungen zur Auftragsverarbeitung ab. Dabei geht es nicht um eine abgelegte PDF-Datei, sondern um die konkrete Verarbeitungskette, inklusive Hosting, Support und Löschung.

Drittens, DSFA: Weil personenbezogene Daten in Drittländer fliessen können und Beschäftigte an der Verarbeitung beteiligt sind, führt der Betrieb eine vereinfachte Datenschutzfolgenabschätzung durch. Sie beschreibt Datenarten, Risiken, Schutzmassnahmen und verbleibende offene Punkte.

Viertens, TOMs: Firmenhandys werden getrennt von privaten Geräten genutzt. Cloud-Backups werden deaktiviert, Zugriffe beschränkt und Fotos regelmässig in eine kontrollierte Projektablage überführt. Das Unternehmen legt fest, wann Chats gelöscht werden und welche Nachweise archiviert bleiben.

Fünftens, Schulung: In einer kurzen Teamsitzung wird geübt, was in WhatsApp gehört und was nicht. Ein Foto vom Installationsfortschritt kann sinnvoll sein. Ein Ausweisdokument, eine Personalakte oder unnötige Gesundheitsinformation gehört nicht in die Gruppe.

Die betriebliche Checkliste

Zweck festlegen: Termin, Service, Baustellennachweis oder interne Koordination klar voneinander trennen.
Rechtsgrundlage dokumentieren: Einwilligung oder andere Grundlage für jeden Kommunikationszweck festhalten.
Geräte trennen: Keine privaten Smartphones für laufende Kundenkommunikation verwenden.
Backups prüfen: Sicherungen deaktivieren oder in die Datenschutzbewertung einbeziehen.
Zugriffe begrenzen: Nur Personen in Chats aufnehmen, die das Projekt tatsächlich bearbeiten.
Nachweise sichern: Fotos, Nachrichten und Vereinbarungen geordnet im Projekt speichern.
Löschung organisieren: Fristen, Verantwortliche und dokumentierte Löschvorgänge festlegen.
Prozess wiederholen: Neue Mitarbeiter, neue Anbieter und neue Kommunikationszwecke erneut prüfen.

So wird DSGVO-Konformität zu einem Arbeitsablauf statt zu einer einmaligen Aktion. Der Betrieb schützt nicht nur Kundendaten, sondern reduziert auch Suchzeiten, Missverständnisse und unbezahlte Nacharbeit.

Bautagebuch Dokumentation und WhatsApp-Brücken

Ein WhatsApp-Chat ist noch kein belastbares Bautagebuch. Ein Foto braucht einen Zeitbezug, eine Projektzuordnung und einen nachvollziehbaren Kontext. Eine Sprachnachricht sollte später erkennen lassen, wer sie gesendet hat, zu welchem Auftrag sie gehört und welche Entscheidung daraus entstanden ist.

Das ist besonders wichtig, wenn der Auftraggeber ein Bautagebuch verlangt. Bei VOB-Verträgen gilt es als vertragliche Pflicht, wenn der Auftraggeber die Führung verlangt. Bei BGB-Werkverträgen gibt es keine allgemeine gesetzliche Pflicht. Für bauüberwachende Architekten und Ingenieure ist die Dokumentation in Leistungsphase 8 nach HOAI ausdrücklich Teil der Objektüberwachung, wie der Überblick zum digitalen Bautagebuch einordnet.

Was eine WhatsApp-Brücke leisten muss

Eine Brücke übernimmt eingehende Inhalte aus dem Chat und überführt sie in ein strukturiertes System. Für ein Baustellenfoto sollten mindestens folgende Angaben erhalten bleiben:

Absender: Wer hat die Information geliefert?
Zeitpunkt: Wann wurde das Bild oder die Nachricht gesendet?
Inhalt: Was zeigt das Foto oder was sagt die Sprachnachricht aus?
Anhang: Welche Datei gehört zur Meldung?
Projekt-ID: Welchem Auftrag, Bauabschnitt oder Gewerk ist der Eintrag zugeordnet?

Vork ist eine in Deutschland entwickelte Lösung, die Fotos, Sprachnachrichten und Texte aus WhatsApp projektbezogen erfasst, Inhalte kategorisiert und für die Büroarbeit aufbereitet. Der Betrieb kann daraus Projektinformationen, Dokumentationen und exportierbare Nachweise organisieren, ohne das Team für jede Meldung in eine neue Baustellen-App zu zwingen.

Eine solche Brücke verbessert die Nachweisfähigkeit, ersetzt aber nicht die rechtliche Prüfung der WhatsApp-Verarbeitung. Die Anleitung zum digitalen Bautagebuch mit WhatsApp zeigt den praktischen Übergang von Chatnachrichten zu geordneten Einträgen.

Wirtschaftlich sinnvoll wird die Brücke

Für eine einzelne Terminabsprache ist eine solche Struktur meist überdimensioniert. Bei wechselnden Baustellen, mehreren Gewerken, regelmässigen Fotodokumentationen und wiederkehrenden Rückfragen rechnet sich die Ordnung dagegen schnell über weniger Sucharbeit und weniger Unterbrechungen im Büro.

Die Empfehlung ist eindeutig: Nutzen Sie WhatsApp nicht als Archiv. Nutzen Sie den vertrauten Chat höchstens als Eingangskanal und führen Sie relevante Inhalte in eine kontrollierte Projektablage mit Lösch- und Exportprozess über.

Häufige Fragen und Antworten

Darf ich WhatsApp nutzen, wenn der Privatkunde es selbst vorschlägt?

Der Vorschlag des Kunden ist ein wichtiges Signal, aber keine automatische Erlaubnis für jede Verarbeitung. Klären Sie Zweck und Umfang, informieren Sie über die Datenverarbeitung und dokumentieren Sie die Zustimmung, besonders bei Fotos, Gruppen und wiederkehrenden Nachrichten. Für einfache Terminabsprachen sollte der Betrieb den Vorgang begrenzen und die Vereinbarung im Auftragssystem festhalten.

Gilt das auch für Mitarbeiter untereinander?

Ja. Interne Kommunikation bleibt personenbezogene Datenverarbeitung, sobald Namen, Telefonnummern, Standorte, Fotos oder Leistungsinformationen betroffen sind. Verwenden Sie Firmenkonten, klare Gruppenregeln und keine privaten Geräte als dauerhafte Betriebsinfrastruktur. Legen Sie vor dem Start fest, wie Zugänge bei Rollenwechseln und Austritt entzogen werden.

Was passiert bei einer Prüfung durch die Datenschutzbehörde?

Die Behörde kann nach Rechtsgrundlage, Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitung, Löschkonzept, Geräteverwaltung und Mitarbeiterschulung fragen. Ein Betrieb sollte zeigen können, welche Daten fliessen, wer Zugriff hat und wie Betroffenenrechte erfüllt werden. Sichern Sie diese Unterlagen, statt erst nach einer Anfrage aus Chatverläufen zu rekonstruieren, was passiert ist.

Brauche ich für jeden Kunden eine schriftliche Einwilligung?

Nicht jeder Vorgang beruht zwingend auf Einwilligung. Der Betrieb muss die passende Rechtsgrundlage für den konkreten Zweck prüfen und dokumentieren. Eine eingehende Nachricht beweist nicht automatisch, dass der Kunde auch Werbung, Gruppenaufnahme oder dauerhafte Archivierung erlaubt. Formulieren Sie einen kurzen, verständlichen Einwilligungstext und bieten Sie einen einfachen Widerruf an.

Wie lange darf ich Chatverläufe behalten?

So lange, wie der konkrete Zweck und gesetzliche oder vertragliche Nachweispflichten es rechtfertigen. Für ein Bautagebuch können Fotos und Absprachen als Leistungs- oder Streitnachweis relevant sein, während ein erledigter Termin-Chat nicht dauerhaft auf dem Handy bleiben muss. Definieren Sie getrennte Fristen für Arbeitsgerät, Projektablage und Archiv.

Muss ich den Datentransfer in die USA aktiv unterbinden?

Sie dürfen diese Frage nicht ausblenden. Prüfen Sie Empfänger, Transfermechanismus, Schutzmassnahmen und die konkrete Verarbeitung. Das Berliner Urteil zeigt, dass die Rechtmässigkeit der Datenweitergabe präzise bewertet werden muss. Wenn Sie die Datenflüsse nicht nachvollziehen und absichern können, sollten Sie den betreffenden WhatsApp-Prozess nicht geschäftlich nutzen.

Ist die Business API automatisch sicher?

Nein. Die API verbessert die technische Kontrolle, beseitigt aber keine falsche Rechtsgrundlage, keine übermässige Datensammlung und keinen ungeprüften Anbieter. Prüfen Sie AVV, Hosting, Unterauftragnehmer, Einwilligungsnachweis, Löschung und Export vor dem produktiven Einsatz.

Kann ich WhatsApp weiter nutzen, wenn ich keinen AVV abschliessen kann?

Für regelmässige betriebliche Verarbeitung ist das ein klares Warnsignal. Stoppen Sie den betreffenden Prozess, klären Sie die Rollen mit Datenschutzverantwortlichen und wechseln Sie bei Bedarf zu einem kontrollierbaren Dienst. Bis dahin sollten Mitarbeiter keine Kundendaten, Baustellenfotos oder Projektabsprachen über private Konten versenden.

Vork ordnet WhatsApp-Fotos, Sprachnachrichten und Texte automatisch dem passenden Projekt zu und bereitet daraus übersichtliche Bautagebücher, Projektinfos und Nachweise für das Büro auf. Prüfen Sie auf Vork, wie Sie Ihre bestehende Baustellenkommunikation strukturieren können, ohne das Team auf eine neue App umzustellen.