Verstößt ein WhatsApp-Bestellkanal gegen die KVKK?

⏱️ Lesezeit: 13 Min. · 📁 Kategorie: KVKK und digitale Compliance

Verstößt ein WhatsApp-Bestellkanal gegen die KVKK? (Personenbezogene Daten, Einwilligung, Protokollierung und Praxis 2026)

„Ist die Annahme von Bestellungen über WhatsApp rechtmäßig?“, „Sind wir nach der KVKK verantwortlich, wenn ein Kunde uns über WhatsApp schreibt?“,
„Müssen wir WhatsApp-Nachrichten speichern?“ Diese Fragen gehören
zu den häufigsten KVKK-Risikothemen für Unternehmen mit WhatsApp-Bestellkanälen.
Dieser Leitfaden untersucht mögliche KVKK-Verstöße durch WhatsApp-Bestellkanäle Szenario für Szenario und
mit Blick auf die Nachweisbarkeit bei Prüfungen.

1️⃣ Kurze und klare Antwort 🔑 Grundantwort: Nein. Ein WhatsApp-Bestellkanal verstößt an sich nicht gegen die KVKK.
🔴 Allerdings: Werden personenbezogene Daten über WhatsApp verarbeitet, gespeichert oder anderweitig genutzt,
gilt die KVKK in vollem Umfang.
Zusammenfassung: Entscheidend ist nicht allein die WhatsApp-Nutzung, sondern was Sie darüber tun. 2️⃣ Welche Daten verarbeitet ein WhatsApp-Bestellkanal?

Bei Bestellungen über WhatsApp werden meist folgende Daten verarbeitet:

• Telefonnummer
• Vor- und Nachname
• Liefer- oder Rechnungsanschrift
• Bestellinhalt: Produkt- oder Dienstleistungspräferenzen
• Zahlungsinformationen (indirekt)
• Nachrichtenverlauf (Kommunikationsinhalte und Zeitinformationen)

All dies sind personenbezogene Daten.
Eine Telefonnummer identifiziert die Person direkt und ist daher ein direkt personenbezogenes Datum.

3️⃣ Wer ist der Datenverantwortliche auf WhatsApp? KVKK-Rollenverteilung (Praxis):

• Unternehmen, das die Bestellung annimmt → Verantwortlicher
• WhatsApp-Infrastruktur → Technischer Dienstleister; hier in den meisten Szenarien als auftragsverarbeiterähnlich beschrieben

❗ Wichtig: „WhatsApp gehört uns nicht“ beseitigt die Verantwortung nicht.
Als Verantwortlicher entscheidet das Unternehmen über Zweck und Nutzung.

4️⃣ SZENARIO 1 — „Der Kunde schrieb uns selbst über WhatsApp“

Beispiel: Der Kunde klickt auf die WhatsApp-Schaltfläche Ihrer Website und schreibt:
„Hallo, ich möchte bestellen.“

Dieses Szenario ist vergleichsweise sicherer, weil die betroffene Person die Daten freiwillig übermittelt hat und die Bestellabwicklung
in den meisten Fällen unter Vertragsschluss oder Vertragserfüllung fällt.

🟢 Fazit: Die Annahme der Bestellung verstößt an sich nicht gegen die KVKK.
⚠️ Grenze: Die Daten dürfen nur für die Bestellung verwendet werden. Marketing ist dadurch nicht automatisch erlaubt. 5️⃣ SZENARIO 2 — „Wir nahmen eine Bestellung an und sandten danach Werbung“

Beispiel: Ein Kunde bestellt über WhatsApp; eine Woche später sendet das Unternehmen eine Rabatt- oder Werbenachricht.

🔴 Der Beitrag bezeichnet dies als häufigstes Szenario für Sanktionen:
Der Bestellvorgang wird durch "Vertrag" abgedeckt; die Kampagnennachricht ist "Marketing/kommerzielle Botschaft".
Folge: Ohne gesonderte ausdrückliche Einwilligung ist das Verstoßrisiko sehr hoch.

❌ „Die Person hat uns doch ihre Nummer gegeben“
❌ „Wir haben schon Nachrichten ausgetauscht“
Solche Argumente bieten in der Regel keine tragfähige Grundlage für Marketingkommunikation.

6️⃣ SZENARIO 3 — „Wir speichern oder archivieren WhatsApp-Nachrichten“

Beispiele: Gespräche in ein CRM oder nach Excel übertragen oder unbegrenzt archivieren.

Speicherung ist technisch möglich. Archivierung ohne Regelung von
Zweck, Aufbewahrungsfrist und Löschung oder Vernichtung schafft nach der KVKK
ein hohes Risiko mangelnder Konformität.

📌 Kritisches Prinzip: „Wir könnten es später brauchen“ ist keine gültige Begründung.
Zweck und Aufbewahrungsfrist festlegen; nach Fristablauf müssen die Daten gelöscht oder anonymisiert werden. 7️⃣ SZENARIO 4 — „Wir nutzen die WhatsApp Business API“

Die WhatsApp Business API kann Nachrichtenvorlagen, automatische Abläufe, CRM-Integrationen und umfassendere Protokollierung bereitstellen.
Dies macht den Betrieb professionell; erhöht aber auch die Compliance-Last, da es das Volumen der Datenverarbeitung erhöht.

🟡 Folge: Eine professionellere Struktur bedeutet mehr Verantwortung.
Datenschutzinformation, gesonderte Marketingeinwilligung, Aufbewahrungs- und Löschrichtlinien sowie Protokollierung werden wichtiger. 8️⃣ Wann ist ausdrückliche Einwilligung erforderlich? ✅ Typische Fälle, in denen eine ausdrückliche Einwilligung NICHT erforderlich ist:

• Bestellung annehmen und abwickeln
• Liefer- oder Versandinformationen teilen
• Über den Bestellstatus informieren

🔴 In Fällen, in denen eine ausdrückliche Einwilligung erforderlich ist (hohes Risiko):

• Kampagne / Rabatt / Werbebotschaften
• Neue Produkte oder Dienstleistungen vorstellen
• Marketing für zusätzliche Verkäufe: Cross-Selling oder Upselling
• Hinzufügen der WhatsApp-Nummer zu CRM für Marketingzwecke

Praktische Unterscheidung: Bestellkommunikation und Marketingkommunikation sind getrennte Zwecke.
Beide können denselben Kanal nutzen, doch Rechtsgrundlagen und Nachweise müssen getrennt werden. 9️⃣ Protokollierung und Nachweispflicht: zentrale Prüfungsunterlagen

Bei einer Prüfung lautet die Frage meist: „Auf welcher Grundlage sandten Sie Werbung an diese Nummer?“
Ein WhatsApp-Bestellkanal sollte daher eine Mindestprotokollierung vorsehen, wie hier empfohlen.

Protokollfeld	Wofür erforderlich?	Beispiel
Beginn der Bestellung	Nachweis des Verarbeitungsbeginns	05.02.2026 14:12
Verarbeitungszweck	Zweckbindung	Bestellung und Lieferung
Art der Kommunikation	Bestellung oder Marketing?	Information zum Bestellstatus
Marketingeinwilligung	Basis für Kampagnenmeldungen	Ja / Nein + Datum
Die Aufbewahrungsfrist-Regel	Vernichtungsmanagement	30 Tage / 6 Monate etc.
Löschungs- / Vernichtungsnachweis	Konformitätsnachweis	Vernichtungsprotokollnummer / Datum

🔟 Risiko der Datenübermittlung ins Ausland

Die WhatsApp-Infrastruktur kann Server im Ausland und multinationale Datenverarbeitungsarchitekturen nutzen.
Verarbeitung über WhatsApp kann daher Auslandsübermittlungsrisiken schaffen.

Der erwartete Ansatz bei der Prüfung:

• Verständnis des Datenflusses und Dokumentation von Risiken
• WhatsApp-Nutzung und zugehörige Risiken transparent in der Datenschutzinformation angeben
• Ausdrückliche Marketingeinwilligung bei Bedarf getrennt organisieren

1️⃣1️⃣ Erforderliche Dokumentation für den WhatsApp-Bestellkanal

• ✅ Kanalspezifische Datenschutzinformation
• ✅ Gesonderter Einwilligungstext und Nachweise für Marketing
• ✅ Aufbewahrungs- und Vernichtungsregeln für WhatsApp-Nachrichten und Auftragsaufzeichnungen
• ✅ Protokollierung mit Trennung von Bestellung und Marketing sowie Einwilligungs- und Widerspruchsnachweisen

1️⃣2️⃣ Häufigste KVKK-Fehler

• ❌ Werbung nach einer Bestellung ohne gesonderte Einwilligung senden
• ❌ WhatsApp-Gespräche unbegrenzt speichern
• ❌ Datenschutzinformation unterlassen oder WhatsApp-Kanal verschweigen
• ❌ Annehmen, eine Kundennachricht erlaube jede Nutzung
• ❌ Nummer automatisch in Marketinglisten aufnehmen

✅ Sicheres WhatsApp-Bestellmodell: betriebliche Übersicht

• Wenn ein Kunde schreibt, die Bestellung für Vertrags- und Lieferzwecke annehmen.
• Die Daten nur für die Bestellung verwenden.
• Für Marketing gesonderte Einwilligung einholen und protokollieren.
• Nachrichten nicht unbegrenzt speichern; Frist festlegen und anschließend löschen oder vernichten.
• Transparent sein: WhatsApp-Kanal und Nutzungszweck in der Datenschutzinformation nennen.

🧠 Klare Experteneinschätzung

WhatsApp-Bestellkanäle sind nicht verboten.
Unkontrollierte Nutzung, insbesondere Marketing mit Bestelldaten und unbegrenzte Speicherung,
wird hier als Praxis beschrieben, die schnell zu KVKK-Verstößen führt.

KVKK-konforme Einrichtung Ihres WhatsApp-Bestellkanals anfordern