WhatsApp-Opt-in DSGVO-konform: Website, Button und Double Opt-in im Chat

Im letzten Beitrag haben wir beschrieben, warum bei Grovia Digital der erste Schritt über WhatsApp läuft und nicht über ein Kontaktformular. Die häufigste Rückfrage darauf war immer dieselbe: Ist das denn überhaupt datenschutzkonform?

Die kurze Antwort lautet ja, aber nicht automatisch. WhatsApp im Vertrieb ist rechtlich sauber machbar, es hängt allerdings vollständig daran, wie die Einwilligung eingeholt und dokumentiert wird. Genau darum geht es hier: welche Wege es gibt, ein Opt-in zu bekommen, wie ein Double Opt-in direkt im Chat funktioniert und was dazugehört, damit der Kanal einer Prüfung standhält.

Welche Gesetze gelten für WhatsApp im Vertrieb?

Viele Unternehmen denken bei WhatsApp nur an die DSGVO. Tatsächlich sind zwei Regelwerke relevant, und sie stellen unterschiedliche Fragen.

Die DSGVO regelt, ob Du personenbezogene Daten überhaupt verarbeiten darfst. Für werbliche Messenger-Kommunikation ist das in der Regel die Einwilligung nach Artikel 6 Absatz 1 lit. a. Artikel 7 verlangt zusätzlich, dass Du diese Einwilligung nachweisen kannst.

Das UWG regelt, ob Du jemanden auf diesem Weg ansprechen darfst. Messenger-Nachrichten gelten dabei als elektronische Post und fallen damit unter dieselben Anforderungen wie E-Mail-Werbung nach § 7 Absatz 2. Wichtig für den B2B-Vertrieb: eine generelle Ausnahme für Geschäftskunden gibt es in Deutschland nicht.

Praktisch heißt das: Ohne vorherige, ausdrückliche und nachweisbare Einwilligung darfst Du niemanden werblich per WhatsApp anschreiben. Punkt.

Warum die WhatsApp Business App nicht reicht

Bevor es um Opt-ins geht, muss die Basis stimmen. Die kostenlose WhatsApp Business App ist für den professionellen Einsatz kritisch, weil sie das Adressbuch des Geräts mit Meta abgleicht. Damit überträgst Du Kontaktdaten von Personen, die davon nichts wissen und dem nie zugestimmt haben.

Rechtlich vertretbar ist die WhatsApp Business Platform, also die offizielle API. Sie ermöglicht einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO und verzichtet auf den Kontaktabgleich. Der Zugang läuft entweder über einen von Meta autorisierten Business Solution Provider wie Chatarmin, 360dialog oder Superchat oder direkt über die Cloud API. Der direkte Weg spart eine Zwischenpartei und einen weiteren AV-Vertrag, verlangt dafür etwas mehr Eigenleistung bei Einrichtung und Betrieb. Wir gehen den direkten Weg. Entscheidest Du Dich für einen Provider, achte auf europäisches Hosting und einen sauberen AV-Vertrag mit ihm selbst.

Weg 1: Wie holst Du das Opt-in über die Website ein?

Der klassische Weg. Der Interessent hinterlässt seine Mobilnummer auf Deiner Website und stimmt der Kontaktaufnahme per WhatsApp aktiv zu.

Damit diese Einwilligung wirksam ist, muss sie mehrere Kriterien erfüllen. Sie muss aktiv erteilt werden, eine vorangekreuzte Checkbox reicht nicht. Sie muss freiwillig sein, der Nutzer darf also keinen Nachteil haben, wenn er ablehnt. Und sie muss konkret benennen, worauf sich die Zustimmung bezieht.

Ein Einwilligungstext sollte deshalb enthalten, wer der Verantwortliche ist, welche Art von Nachrichten der Nutzer erhält, dass die Verarbeitung über WhatsApp und damit über Meta läuft, dass die Einwilligung jederzeit widerrufbar ist, und einen Link zur Datenschutzerklärung. Eine mögliche Formulierung neben dem Nummernfeld:

Ja, ich möchte von der Muster GmbH per WhatsApp kontaktiert werden, um meine Analyse zu erhalten und offene Fragen zu klären. Meine Nummer wird dafür an unseren Dienstleister und an WhatsApp (Meta) übermittelt. Ich kann diese Einwilligung jederzeit widerrufen, zum Beispiel mit der Nachricht STOPP. Weitere Informationen in unserer Datenschutzerklärung.

Halte diesen Text getrennt von anderen Zustimmungen. Eine Sammelcheckbox für AGB, Newsletter und WhatsApp gleichzeitig ist unwirksam.

Weg 2: Was deckt der WhatsApp-Button ab, und was nicht?

Hier wird es interessanter, weil der Ablauf ein anderer ist. Beim Click-to-Chat-Button oder einem QR-Code schreibt der Nutzer Dich zuerst an. Er wählt den Kanal also selbst.

Dadurch entsteht das sogenannte Servicefenster. Wenn ein Nutzer Dir zuerst schreibt, darfst Du 24 Stunden lang frei antworten, ohne vorab genehmigte Nachrichtenvorlage und ohne separates Opt-in. Für ein Beratungsgespräch reicht das in vielen Fällen bereits aus.

Zwei Punkte werden dabei regelmäßig übersehen. Erstens ist die eingehende Nachricht keine Werbeeinwilligung. Sie deckt die laufende Konversation ab, aber nicht das Anschreiben zwei Wochen später mit einem Angebot. Dafür brauchst Du eine ausdrückliche Zustimmung.

Zweitens brauchst Du trotzdem eine Datenschutzinformation. Auch wenn der Nutzer den ersten Schritt macht, verarbeitest Du ab dieser Sekunde seine Daten und musst ihn nach Artikel 13 DSGVO darüber informieren. Das gehört in die erste automatische Antwort.

Wie funktioniert Double Opt-in direkt im Chat?

Genau an diesem Punkt setzt das Double Opt-in an, und in WhatsApp funktioniert es sogar eleganter als per E-Mail.

Beim E-Mail-Newsletter dient der Bestätigungslink vor allem dazu, zu beweisen, dass der Anmeldende auch tatsächlich Zugriff auf das Postfach hat. Bei WhatsApp ist dieser Nachweis bereits erbracht, weil die Nachricht nachweislich vom Gerät des Nummerninhabers kommt. Was fehlt, ist die dokumentierte Zustimmung zum Inhalt.

Schritt 1, die Eröffnungsnachricht. Der Bot nennt das Unternehmen, erklärt in einem Satz, was gleich passiert, weist darauf hin, dass die Konversation KI-gestützt ist, und verlinkt die Datenschutzerklärung.

Schritt 2, die Bestätigungsfrage. An der passenden Stelle im Ablauf kommt eine explizite Frage mit zwei Antwort-Buttons, zum Beispiel: „Dürfen wir uns später noch einmal bei Dir melden, wenn sich an den Befunden etwas ändert?" Dazu die Optionen „Ja, gerne" und „Nein, danke". Entscheidend ist, worauf sich die Frage bezieht: auf die spätere Ansprache, nicht auf die Leistung, die gerade läuft.

Schritt 3, die Bestätigung. Bei „Ja" wird der Zeitstempel gespeichert und der Kontakt darf später angesprochen werden. Bei „Nein" passiert genau nichts weiter, und es folgt keine Nachricht mehr.

Wo im Ablauf gehört die Einwilligungsfrage hin?

Das ist keine Kleinigkeit, sondern der Punkt, an dem die meisten Umsetzungen kippen. Steht die Frage als Tor vor der eigentlichen Leistung, hängt diese Leistung dem Anschein nach an der Zustimmung. Nach Artikel 7 Absatz 4 DSGVO, dem Kopplungsverbot, ist die Einwilligung dann nicht mehr zweifelsfrei freiwillig, und genau die Freiwilligkeit ist ihre Voraussetzung.

Deutlich sauberer ist es, erst zu liefern und danach zu fragen. Wer die Analyse schon in der Hand hat und dann „Nein" antwortet, verliert nichts. Ein Nebeneffekt: Die Zustimmung, die Du auf diesem Weg bekommst, ist auch inhaltlich mehr wert, weil sie von jemandem kommt, der Deine Arbeit bereits gesehen hat.

Wichtig ist außerdem, dass die Bestätigungsfrage selbst neutral bleibt und keine Werbung enthält. Diese Anforderung kennt man aus der BGH-Rechtsprechung zur Bestätigungsmail beim Double Opt-in, und sie lässt sich eins zu eins übertragen.

Der praktische Vorteil: Was per E-Mail ein Medienbruch mit spürbarem Abbruchrisiko ist, kostet in WhatsApp genau einen Tap.

Was musst Du dokumentieren?

Eine Einwilligung, die Du nicht belegen kannst, ist im Streitfall wertlos. Speichere deshalb zu jedem Opt-in mindestens:

• die Telefonnummer und, sofern vorhanden, den zugeordneten Kontakt
• Datum und Uhrzeit der Erteilung
• den Kanal, über den sie erteilt wurde, also Website-Formular, Button oder QR-Code
• den exakten Wortlaut des Einwilligungstextes zum Zeitpunkt der Erteilung
• die Versionsnummer des Flows oder des Formulars
• bei Website-Opt-ins zusätzlich die IP-Adresse
• Datum und Uhrzeit eines späteren Widerrufs

Der Punkt zur Versionierung wird am häufigsten vergessen. Wenn Du Deinen Flow-Text im November änderst, musst Du im Folgejahr noch nachweisen können, welchen Text ein Kontakt im März gesehen hat. Ein Screenshot oder Export je Version löst das.

Bewahre die Nachweise mindestens so lange auf, wie Du die Einwilligung nutzt. Nach einem Widerruf sind drei Jahre entsprechend der regelmäßigen Verjährungsfrist üblich.

Wie einfach muss der Widerruf sein?

Genauso einfach wie die Zustimmung. In der Praxis heißt das ein Schlüsselwort wie STOPP, das automatisch erkannt wird und den Kontakt sofort auf inaktiv setzt. Es wirkt in beide Richtungen: Es beendet die laufende Konversation und widerruft, sofern erteilt, die Einwilligung für spätere Nachrichten. Weise im Flow aktiv darauf hin, statt es zu verstecken.

Ergänzend brauchst Du eine Sperrliste. Wer widersprochen hat, darf auch bei einem späteren Datenimport nicht versehentlich wieder angeschrieben werden.

Was ändert der EU AI Act seit August 2026?

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Act. Wer ein KI-gestütztes System im Kundenkontakt einsetzt, muss den Nutzer zu Beginn der Interaktion erkennbar darauf hinweisen, dass er nicht mit einem Menschen schreibt. Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes.

Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, sieht das AI-Omnibus-Paket vom Mai 2026 eine Übergangsfrist bis zum 2. Dezember 2026 vor. Diese Frist betrifft allerdings vor allem die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte. Sich bei einem Chatbot darauf zu stützen, ist eine Wette, die Du nicht eingehen musst: Die Umsetzung kostet einen Satz in der Eröffnungsnachricht, etwa „Ich bin ein KI-Assistent von Grovia Digital. Auf Wunsch übernimmt jederzeit ein Kollege."

Aus unserer Erfahrung kostet dieser Hinweis keine Conversion. Er bewirkt eher das Gegenteil, weil klar ist, woran man ist.

Die restliche Checkliste

Über das Opt-in hinaus gehören zu einem sauberen Setup:

• AV-Vertrag mit Meta über die Business Platform und, sofern ein BSP eingesetzt wird, zusätzlich mit diesem
• ein Abschnitt zu WhatsApp in der Datenschutzerklärung, der Zweck, Rechtsgrundlage, Empfänger und Speicherdauer benennt
• der Eintrag im Verzeichnis von Verarbeitungstätigkeiten
• ein Löschkonzept mit definierten Fristen für Chatverläufe
• eine Prüfung des Drittlandtransfers in die USA, da Meta unter das EU-US Data Privacy Framework fällt
• eine interne Regelung, welche Mitarbeiter Zugriff auf die Chats haben

Wie wir das umsetzen

Beide Grovia-Workflows, die KI-Kurzanalyse und die Prüfung der Sichtbarkeit in KI-Modellen, starten identisch: Eröffnungsnachricht mit Absender, Hinweis auf den KI-Assistenten und Link zur Datenschutzerklärung, danach die Qualifizierungsfragen. Für diesen Teil brauchen wir keine Einwilligung, weil der Interessent uns von sich aus anschreibt und eine Analyse anfordert. Das ist eine vorvertragliche Maßnahme auf seine Anfrage.

Zwei Dinge muss man dabei auseinanderhalten. Die Verarbeitung für die Analyse selbst stützen wir auf Artikel 6 Absatz 1 lit. b und f. Eine Einwilligung nach lit. a brauchen wir erst für den zweiten Fall, nämlich wenn wir uns später ohne neuen Anlass melden wollen. Für diesen Fall holen wir sie ausdrücklich ein. Die Bestandskunden-Ausnahme aus § 7 Absatz 3 UWG hilft hier übrigens nicht: Sie setzt einen tatsächlichen Verkauf voraus, und ein Lead hat nichts gekauft.

Die Einwilligung kommt deshalb danach. Sobald die Analyse zugestellt ist, fragen wir in einer eigenen Nachricht mit zwei Buttons, ob wir uns später noch einmal melden dürfen, etwa wenn sich an den gemessenen Befunden etwas ändert. Ein „Nein" kostet an dieser Stelle nichts, weil die Analyse längst geliefert ist. Genau deshalb steht die Frage dort und nicht am Anfang.

Protokolliert wird jede Antwort mit Zeitstempel, Kanal und der Version des Textes, den der Interessent gesehen hat. Wenn der Vertrieb den Lead übernimmt, sieht er nicht nur die Antworten, sondern auch, ob er ihn später ansprechen darf. Das ist kein Nebenprodukt, sondern die Voraussetzung dafür, dass der Kanal überhaupt skalierbar ist.

Der zusätzliche Aufwand liegt bei einer Nachricht am Ende des Flows. Gemessen an dem, was ein fehlender Nachweis im Ernstfall kostet, ist das eine gute Investition.

Fazit

WhatsApp im Vertrieb scheitert selten an der DSGVO, sondern fast immer an fehlender Dokumentation. Wer die Einwilligung sauber einholt, sie im Chat bestätigen lässt und beides revisionssicher protokolliert, hat einen Kanal, der rechtlich belastbar ist und gleichzeitig deutlich besser konvertiert als jedes Formular.