WhatsApp und DSGVO: Was Makler bei der Kundenkommunikation beachten müssen

WhatsApp ist im Makleralltag allgegenwärtig. Termine vereinbaren, Exposé-Links schicken, Kaufpreissignale im Chat. Was im Berufsalltag praktisch ist, erzeugt DSGVO-Pflichten, die viele Maklerbüros übersehen. Denn sobald ein Name, eine Telefonnummer oder ein Gesprächsinhalt über WhatsApp läuft, verarbeitet nicht nur Ihr Unternehmen diese Daten. Meta auch.

Die Standard-App und die WhatsApp Business App bieten keinen Auftragsverarbeitungsvertrag mit Meta. Das ist ein zentrales DSGVO-Problem. Dieser Beitrag zeigt, welche personenbezogenen Daten WhatsApp verarbeitet, welche Rechtsgrundlage erforderlich ist und was konkret zu tun ist.

Was gilt als personenbezogene Daten bei WhatsApp?

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierbare Person beziehen. Im WhatsApp-Kontext betrifft das nicht nur den offensichtlichen Chatinhalt.

• Name und Telefonnummer des Kontakts
• Chatverläufe mit Kaufabsichten, Preisvorstellungen oder persönlichen Umständen
• Profilbild, Statustext und Onlinestatus
• Standortdaten, die im Chat geteilt werden
• Fotos und Dokumente, die Personen oder deren Identität erkennbar machen

Das zentrale Problem: Schon beim ersten Öffnen der App lädt WhatsApp alle gespeicherten Adressbuch-Kontakte auf die Server von Meta hoch. Das betrifft auch Personen, die WhatsApp nicht nutzen. Sie werden übertragen, ohne es zu wissen und ohne eingewilligt zu haben.

Schritt 01: Rechtsgrundlage nach DSGVO klären

Jede Datenverarbeitung benötigt nach Art. 6 DSGVO eine Rechtsgrundlage. Für die Nutzung von WhatsApp in der Kundenkommunikation kommen drei in Betracht.

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Gilt nur bei einem bestehenden Vertragsverhältnis, etwa wenn bereits ein Maklervertrag unterzeichnet wurde. Für die Erstansprache ist diese Grundlage nicht anwendbar.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Muss freiwillig, informiert und vor dem ersten WhatsApp-Kontakt erteilt werden. Im Chat selbst einzuholen ist unzulässig: Der Kontakt hat dann schon stattgefunden.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Schwierig zu begründen, weil die Interessenabwägung die Weitergabe von Kundendaten an Meta einbeziehen muss. Aufsichtsbehörden haben diesen Weg im WhatsApp-Kontext wiederholt abgelehnt.

Fazit: Für die meisten Maklerbüros ist die Einwilligung nach Art. 6 Abs. 1 lit. a der sicherste Weg. Voraussetzung ist, dass sie nachweisbar vor dem ersten WhatsApp-Kontakt eingeholt wird.

Schritt 02: AV-Vertrag mit Meta

Wer WhatsApp geschäftlich nutzt, gibt Kundendaten an Meta als Drittunternehmen weiter. Das macht Meta zum Auftragsverarbeiter nach Art. 28 DSGVO. Und das verpflichtet zur Schließung eines Auftragsverarbeitungsvertrags (AVV).

Das Problem: Meta bietet für die Standard-WhatsApp-App und die WhatsApp Business App keinen AVV an. Für diese beiden Varianten ist die Nutzung für geschäftliche Kundenkommunikation damit in den meisten Fällen rechtswidrig.

Einzige Ausnahme: die WhatsApp Business API. Über akkreditierte Business Solution Provider (BSP) kann ein AVV mit Meta abgeschlossen werden. Für die meisten kleinen und mittelgroßen Maklerbüros ist diese Lösung technisch aufwendig und wirtschaftlich unverhältnismäßig.

Schritt 03: Einwilligung der Kunden einholen

Wenn Einwilligung die Rechtsgrundlage sein soll, muss sie vor dem ersten WhatsApp-Kontakt vorliegen. Und sie muss bestimmte Anforderungen erfüllen.

• Freiwillig: Der Kunde muss die Wahl haben. Wer WhatsApp ablehnt, darf keinen Nachteil haben.
• Informiert: Der Kunde muss wissen, dass Daten an Meta übertragen werden und welche.
• Dokumentiert: Ein unterschriebenes Formular oder eine E-Mail-Bestätigung ist der sichere Nachweis.
• Widerrufbar: Der Kunde muss die Einwilligung jederzeit ohne Angabe von Gründen widerrufen können.

Praktisch bedeutet das: Die Einwilligung gehört in das Erstgespräch, den Maklervertrag oder eine separate Datenschutzvereinbarung. Nicht in einen WhatsApp-Chat, der schon begonnen hat.

Schritt 04: Verarbeitungsverzeichnis aktualisieren

Die Nutzung von WhatsApp als Kommunikationskanal ist eine eigene Verarbeitungstätigkeit und muss nach Art. 30 DSGVO ins Verarbeitungsverzeichnis. Diese Angaben gehören rein:

• Zweck: Kundenkommunikation, Terminvereinbarung, Objektanfragen
• Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a oder Vertragserfüllung nach lit. b
• Empfänger: Meta Platforms Ireland Ltd., Dublin
• Datenkategorien: Name, Telefonnummer, Chatinhalte, Metadaten
• Speicherdauer: Dauer der Geschäftsbeziehung, maximal 36 Monate nach deren Ende
• Drittlandübertragung: USA (Meta-Konzern). Schutzmaßnahmen nach Art. 46 DSGVO dokumentieren.

Schritt 05: Datenpannen über WhatsApp melden

Geht ein Gerät verloren oder wird gestohlen, auf dem WhatsApp mit Kundenchats installiert ist, liegt eine Datenpanne nach Art. 33 DSGVO vor. Die Meldung an die Datenschutzbehörde muss binnen 72 Stunden erfolgen.

Maßgeblich für das Risiko sind vier Fragen: Wie viele Personen sind betroffen? Welche Datenkategorien? Ist das Gerät verschlüsselt? Wurde Fernlöschung aktiviert? Ein verschlüsseltes Gerät mit aktiver Fernlöschung reduziert das Risiko erheblich. Ohne diese Maßnahmen ist eine Meldepflicht in fast allen Fällen gegeben.

Alternativen zu WhatsApp für Makler

Wer DSGVO-konform kommunizieren möchte, hat mehrere Alternativen. Entscheidend sind drei Kriterien: AVV möglich, Ende-zu-Ende-Verschlüsselung und kein automatischer Adressbuch-Upload.

• Threema Work: Schweizer Server, kein Adressbuch-Upload, AVV verfügbar. Für Unternehmen empfehlenswert.
• E-Mail mit Verschlüsselung: S/MIME oder PGP. Rechtssicher, nachvollziehbar, AVV beim E-Mail-Anbieter möglich. Für sensible Dokumente wie Ausweise oder Gehaltsnachweise erste Wahl.
• Sichere Kundenportale: Für die Übermittlung sensibler Objektunterlagen ideal. Viele Makler-CRM-Systeme bieten diese Funktion bereits an.
• Telefon und klassische E-Mail: Ohne Einwilligung und ohne AV-Problematik. Für Erstkontakte die rechtssicherste Variante.

WhatsApp im Makleralltag ist ein echtes Grauzonenthema. Die meisten Büros nutzen es, ohne sich über die DSGVO-Konsequenzen im Klaren zu sein. Das ist kein Vorwurf. Es ist ein Hinweis auf Nachholbedarf. Alexander Kroes, externer Datenschutzbeauftragter

Checkliste: Was jetzt zu tun ist

Fünf Fragen zeigen den Handlungsbedarf: Rechtsgrundlage dokumentiert? AVV vorhanden oder DSGVO-konforme Alternative eingesetzt? Einwilligung vor dem ersten Kontakt nachweisbar? Verarbeitungsverzeichnis aktuell? Datenpannen-Prozess definiert? Wer eine Frage mit Nein beantwortet, hat konkreten Nachholbedarf.

Im ersten Strategiegespräch prüfen wir gemeinsam, wie Ihre WhatsApp-Nutzung aufgestellt ist, welche DSGVO-Grundlagen fehlen und welche Schritte konkret erforderlich sind.