Ist WhatsApp im CRM DSGVO-konform?

Das ist möglich. DSGVO-Konformität ist kein Etikett auf einem Produkt: Sie hängt davon ab, welchen WhatsApp-Weg Sie nutzen, ob mit jedem Auftragsverarbeiter ein Vertrag zur Auftragsverarbeitung besteht, wo und wie lange die Daten gespeichert werden und auf welcher Rechtsgrundlage Sie Menschen anschreiben. WASync wird von einem Unternehmen aus der EU betrieben, speichert Kundendaten auf Servern in der EU, löscht Nachrichteninhalte nach 90 Tagen und bringt einen AVV nach Art. 28 mit.

Diese Seite erklärt, wer wofür verantwortlich ist, wenn WhatsApp-Unterhaltungen in Bitrix24 oder Pipedrive landen, und was WASync auf seiner Seite tut. Sie ist keine Rechtsberatung; für Ihr Unternehmen entscheidet Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter.

Wer wofür verantwortlich ist

WhatsApp Business API oder per QR-Code gekoppelte Nummer: der Unterschied beim Datenschutz

Beide Wege bringen dieselben Unterhaltungen in Ihr CRM. Sie unterscheiden sich im Vertrag dahinter.

• WhatsApp Business API. Ihr Unternehmen hat ein eigenes WhatsApp-Business-Konto bei Meta und akzeptiert die Geschäftsbedingungen von Meta, die Regelungen zur Datenverarbeitung enthalten. Nachrichten laufen über die offizielle Plattform. Werbe- und Erinnerungsnachrichten außerhalb des 24-Stunden-Fensters gehen als von Meta freigegebene Vorlagen an Personen, die eingewilligt haben. Datenschutzbeauftragte bevorzugen meist diesen Weg, weil jede Partei eine dokumentierte Rolle hat.
• Per QR-Code gekoppelte Nummer. Sie koppeln die WhatsApp Business App auf Ihrem Telefon mit WASync, so wie Sie WhatsApp Web koppeln. Die Sitzung läuft auf den eigenen Servern von WASync, und kein Unterauftragsverarbeiter sieht auf diesem Weg Nachrichteninhalte. Das zugrunde liegende Konto bleibt ein App-Konto nach den eigenen Bedingungen von WhatsApp; diesen Teil bewerten Sie selbst.

Wenn die Wahl noch offen ist: QR und Business API im Vergleich.

Wo die Daten liegen und wie lange sie bleiben

• Speicherort. Kundendaten liegen auf Servern in der Europäischen Union, bei der Hetzner Online GmbH in Deutschland und Finnland. Medien aus Nachrichten liegen in einem Objektspeicher mit EU-Jurisdiktion.
• Aufbewahrung. Nachrichteninhalte und Medien, die älter als 90 Tage sind, werden fortlaufend aus dem Speicher von WASync gelöscht. Beim Verbinden einer Nummer werden nur Unterhaltungen importiert, die in den letzten 90 Tagen aktiv waren.
• Nach dem Ende. Nach Kündigung oder Deinstallation können Sie Ihre Unterhaltungen exportieren oder einen Export anfordern. Ohne Anfrage werden die Kundendaten innerhalb von 90 Tagen gelöscht; Sicherungskopien werden im selben Zeitraum überschrieben.
• Sicherheit. TLS 1.2 oder höher auf jeder Verbindung, Zugangsdaten und Tokens im Ruhezustand mit AES-256-GCM verschlüsselt, jedes Kundenportal logisch getrennt, rollenbasierter Zugriff für Mitarbeitende.
• Übermittlungen. Arbeitet ein Unterauftragsverarbeiter außerhalb der EU oder des EWR, ist die Übermittlung durch einen Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln abgesichert. Die vollständige Liste der Unterauftragsverarbeiter mit Zweck und Standort steht im AVV.

KI-Funktionen und Ihre Daten

KI-Funktionen sind freiwillig und arbeiten mit Ihrem eigenen API-Schlüssel. Wenn Sie eine KI-Automatisierung einschalten, wählen Sie den Anbieter (OpenAI, Anthropic, Google oder DeepSeek) und verbinden Ihr eigenes Konto. Dieser Anbieter ist dann Ihr Auftragsverarbeiter nach Ihrem Vertrag, und WASync sendet ihm nur den Prompt und die CRM-Felder, die Sie eingestellt haben. WASync hat keinen eigenen KI-Unterauftragsverarbeiter.

Was auf Ihrer Seite bleibt

1. Eine Rechtsgrundlage für jede Art von Nachricht. Antworten an Personen, die zuerst geschrieben haben, stützen sich auf eine andere Grundlage als Werbenachrichten, für die Sie eine Einwilligung brauchen.
2. Ein Widerspruch, der wirkt. Wer keine Nachrichten mehr möchte, darf keine mehr bekommen. In WASync wird ein Kunde, der mit einer Stopp-Bitte antwortet, als abgemeldet markiert, und Vorlagen an diesen Kontakt werden abgelehnt; antworten können Sie weiterhin, wenn er Ihnen schreibt.
3. Datenschutzhinweise, die WhatsApp als Kanal nennen und Ihre Auftragsverarbeiter aufführen.
4. Ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten für WhatsApp-Unterhaltungen, mit der 90-Tage-Aufbewahrung bei WASync und Ihrer eigenen Aufbewahrung im CRM.
5. Keine besonderen Kategorien personenbezogener Daten über den Kanal (zum Beispiel Gesundheitsdaten) ohne eigene Grundlage und Schutzmaßnahmen. Der Dienst ist dafür nicht ausgelegt.

Der Vertrag zur Auftragsverarbeitung

Der AVV ist Teil der WASync-Bedingungen und gilt, sobald Sie den Dienst nutzen; gesondert unterschreiben müssen Sie nichts. Er folgt Art. 28: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenanfragen und Meldungen von Datenschutzverletzungen, Löschung am Ende und Prüfrechte. Der Text steht in englischer Sprache unter wasync.app/dpa. Fragen gehen an [email protected].

Unternehmen, die den Dienst in einer bestimmten Region und getrennt von anderen Kunden brauchen, können eine dedizierte Umgebung anfragen.

Häufige Fragen

Ist die WhatsApp Business API DSGVO-konform?

Die API liefert die vertraglichen Bausteine: Ihr Unternehmen hat ein eigenes WhatsApp-Business-Konto und akzeptiert die Geschäftsbedingungen von Meta mit Regelungen zur Datenverarbeitung. Ob Ihre Nutzung konform ist, hängt weiterhin von Ihrer Rechtsgrundlage, Ihrer Einwilligung für Werbenachrichten und Ihren Verträgen mit den Werkzeugen ab, die die API mit Ihrem CRM verbinden.

Wo speichert WASync WhatsApp-Nachrichten?

Auf Servern in der Europäischen Union, bei Hetzner in Deutschland und Finnland. Medien aus Nachrichten liegen in einem Objektspeicher mit EU-Jurisdiktion.

Wie lange speichert WASync Nachrichten?

Nachrichteninhalte und Medien werden nach 90 Tagen fortlaufend gelöscht. Ihr CRM behält, was dort eingetragen wurde, nach Ihren eigenen Aufbewahrungsregeln.

Muss ich mit WASync einen AVV unterschreiben?

Eine gesonderte Unterschrift ist nicht nötig. Der AVV ist Teil der Bedingungen und gilt mit der Nutzung des Dienstes. Er ist unter wasync.app/dpa veröffentlicht.

Sendet WASync meine Unterhaltungen an einen KI-Anbieter?

Nur wenn Sie eine KI-Automatisierung einschalten und Ihren eigenen API-Schlüssel verbinden. Dann gehen nur der Prompt und die von Ihnen gewählten CRM-Felder an den von Ihnen gewählten Anbieter.

Ist eine per QR-Code gekoppelte WhatsApp-Nummer nach DSGVO erlaubt?

Die DSGVO nennt keine Produkte. Bei einer per QR-Code gekoppelten Nummer bleibt das Konto ein Konto der WhatsApp Business App nach den eigenen Bedingungen von WhatsApp, und WASync verarbeitet die Unterhaltungen als Ihr Auftragsverarbeiter. Ob das zu Ihrem Unternehmen passt, entscheidet Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter; viele wählen die Business API, weil die Rollen dokumentiert sind.