WhatsApp-Chatbot DSGVO-konform für Kunden bauen

Ein Kunde – sagen wir eine Physiotherapie-Praxis – ruft an: „Alle meine Patienten sind auf WhatsApp. Können wir da nicht einen Chatbot machen, der Termine annimmt und Fragen beantwortet?" Klingt naheliegend. Doch zwei Dinge stehen im Raum: Erst kürzlich gingen Schlagzeilen um, Meta „verbiete Chatbots auf WhatsApp". Und über allem schwebt die Frage, ob ein Messenger von Meta überhaupt DSGVO-konform für Patientendaten taugt. Bevor du zusagst oder ablehnst, lohnt der genaue Blick – denn die Wahrheit ist differenzierter als beide Aufreger.

Dieser Beitrag klärt, was Meta wirklich untersagt hat, welche DSGVO-Anforderungen ein WhatsApp-Chatbot erfüllen muss und wie du für Kunden eine saubere Lösung aufsetzt. Wie immer bei rechtlichen Themen gilt: Das ist eine Einordnung, keine Rechtsberatung – bei sensiblen Branchen wie Gesundheit gehört die konkrete Umsetzung mit fachkundiger Prüfung abgesichert.

WhatsApp-Chatbot für Kunden: erlaubt Meta das überhaupt noch?

Die Schlagzeile vom „Chatbot-Verbot" beruht auf einer echten Änderung – aber sie trifft nicht den Fall, um den es hier geht. Meta hat im Oktober 2025 seine Nutzungsbedingungen angepasst und, wie TechCrunch berichtete, universelle KI-Assistenten von der WhatsApp-Plattform ausgeschlossen. Für Neukunden der Business-Schnittstelle gelten die Regeln seit dem 15. Oktober 2025, für alle bestehenden Nutzer ab dem 15. Januar 2026.

Entscheidend ist, wen das trifft. Gemeint sind Anbieter von Allzweck-Chatbots – ChatGPT-artige Dienste, die WhatsApp nur als Vertriebskanal für ihr „Frag mich alles"-Produkt nutzen. Aufgabenspezifische Bots für den eigenen Geschäftsbetrieb bleiben ausdrücklich erlaubt. Der Dienstleister respond.io stellt in seiner Einordnung der Richtlinie klar: Automatisierungen für Kundenservice und FAQ, Terminbuchung, Bestell- und Versandinfos, Lead-Qualifizierung oder Authentifizierung sind weiterhin zulässig. Der Terminbot der Physio-Praxis fällt genau in diese erlaubte Kategorie – er ist ja kein Allzweck-Assistent, sondern löst eine konkrete Aufgabe. Die Sorge des Kunden ist also unbegründet, solange der Bot beim Thema bleibt.

Die DSGVO-Grundlage: die kostenlose App reicht nicht

Der eigentliche Knackpunkt ist der Datenschutz – und hier scheitern viele, bevor sie überhaupt anfangen. Die zentrale Unterscheidung lautet: kostenlose WhatsApp Business App auf dem Firmenhandy versus offizielle WhatsApp Business Platform (die API) über einen Anbieter.

Die kostenlose App ist für den professionellen Einsatz mit Kundendaten in aller Regel nicht datenschutzkonform. Der Grund: Sie gleicht, wie der Datenschutz-Dienstleister aus Dresden erläutert, das gesamte Adressbuch des Smartphones mit den WhatsApp-Servern ab – regelmäßig und ohne Einwilligung all der Kontakte, die dort gespeichert sind. Wer die App auf einem Gerät nutzt, in dem auch nur eine fremde Nummer steht, übermittelt personenbezogene Daten Dritter an Meta, ohne dafür eine Rechtsgrundlage zu haben. Für eine Praxis, in deren Adressbuch Patientennummern liegen, ist das ein handfestes Problem.

Kommt Automatisierung ins Spiel, führt ohnehin kein Weg an der offiziellen Business Platform vorbei. Sie wird über einen sogenannten Business Solution Provider angebunden – am besten einen mit Sitz und Datenverarbeitung in der EU. Ein Chatbot lässt sich technisch nur über diese Schnittstelle betreiben, nicht über die Handy-App. Der Vorteil aus Datenschutzsicht: Der automatische Adressbuch-Abgleich entfällt, und du bekommst nachvollziehbare Verträge und Kontrolle über die Verarbeitung.

Der AVV mit Meta – Pflicht, aber kein Freifahrtschein

Sobald ein Unternehmen personenbezogene Daten über WhatsApp verarbeitet, ist nach Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) mit Meta erforderlich. Meta stellt entsprechende Bedingungen bereit. Wichtig ist aber die Einschränkung, die auch Datenschutzbehörden betonen: Meta behält sich in seinen Bedingungen weitreichende eigene Datenverarbeitung vor, die über die reine Auftragsverarbeitung hinausgeht. Ein AVV allein macht die Nutzung also nicht automatisch wasserdicht – er ist notwendige Bedingung, nicht hinreichende. Diese Restunsicherheit muss man dem Kunden gegenüber ehrlich benennen, statt sie wegzureden.

Metadaten: das unterschätzte Problem

Ein Punkt geht in der Diskussion oft unter: Die Ende-zu-Ende-Verschlüsselung von WhatsApp schützt zwar die Nachrichteninhalte, nicht aber die Begleitdaten. Meta erfasst nach Einschätzung von Datenschützern auch bei verschlüsselten Chats umfangreiche Metadaten – wer mit wem wann und wie oft kommuniziert, über welches Gerät, aus welcher Region. Aus diesen Kommunikationsmustern lassen sich Rückschlüsse ziehen, die für sich genommen sensibel sein können. Bei einer Physio-Praxis etwa verrät schon die bloße Tatsache regelmäßiger Kontakte zwischen einer Nummer und einer Gesundheitseinrichtung mehr, als vielen bewusst ist. Für die Bewertung, ob ein WhatsApp-Chatbot für eine bestimmte Branche vertretbar ist, gehört dieser Metadaten-Aspekt deshalb ehrlich auf den Tisch – er lässt sich technisch nicht wegkonfigurieren.

US-Datentransfer und Einwilligung

Meta sitzt in den USA, und damit landet man beim Dauerthema Drittlandtransfer. Auch wenn das EU-US Data Privacy Framework aktuell eine Grundlage bietet, bleibt ein Restrisiko durch mögliche Zugriffe US-amerikanischer Behörden – ein Thema, das durch die anhaltende juristische Unsicherheit rund um transatlantische Datenflüsse befeuert wird und das wir im Beitrag zum DSGVO-Risiko der US-Cloud ausführlicher beleuchtet haben.

Praktisch heißt das: Du brauchst eine tragfähige Rechtsgrundlage, und in aller Regel ist das die Einwilligung. Bevor ein Kunde des Kunden über WhatsApp kontaktiert wird oder mit dem Bot schreibt, muss ein dokumentiertes, freiwilliges und informiertes Opt-in vorliegen. „Informiert" heißt konkret: Die Person weiß, dass sie über WhatsApp/Meta kommuniziert, dass Daten in die USA fließen können und welche Metadaten dabei anfallen. Dieses Opt-in gehört sauber protokolliert, dazu eine angepasste Datenschutzerklärung. Und weil bei einer Physio-Praxis Gesundheitsdaten im Spiel sind, steigt die Messlatte zusätzlich – hier ist besondere Vorsicht geboten, unter Umständen sogar eine Datenschutz-Folgenabschätzung, bevor der Bot live geht.

Was WhatsApp kostet – und wie du es kalkulierst

Auch die Preisfrage hat sich verändert. Meta hat sein Abrechnungsmodell zum 1. Juli 2025 umgestellt: Statt pro Konversation wird nun pro gesendeter Vorlagen-Nachricht abgerechnet, gestaffelt nach Kategorie, Empfängerland und Volumen. Es gibt im Wesentlichen drei kostenpflichtige Kategorien: Marketing-Nachrichten sind am teuersten, Utility-Nachrichten (Bestätigungen, Termininfos, Rechnungen) günstiger, Authentifizierungs-Nachrichten am günstigsten. Vom Kunden selbst gestartete Service-Chats sind in einem gewissen Zeitfenster oft vergünstigt oder frei. Die aktuellen Beträge veröffentlicht Meta auf seiner offiziellen Preisseite.

Für dich als Agentur bedeutet das zweierlei. Erstens: Zu den Meta-Gebühren kommen die Kosten des EU-Providers und dein eigener Aufwand für Einrichtung und Betrieb. Zweitens – und das ist die Chance: Genau diese laufenden Bestandteile machen einen WhatsApp-Chatbot zu einem Modell mit wiederkehrenden Umsätzen, ähnlich wie bei Wartung oder Website-Betreuung. Wie du solche Projekte grundsätzlich kalkulierst, ohne dich zu verrechnen, haben wir im Beitrag Was kostet ein Chatbot? durchgerechnet.

So baust du einen sauberen WhatsApp-Chatbot

Fasst man die Bausteine zusammen, ergibt sich ein klarer Weg. Setze den Bot über die offizielle Business Platform auf, angebunden über einen EU-Provider mit AVV – nicht über die Handy-App. Kläre die Rechtsgrundlage vorab: dokumentiertes Opt-in, angepasste Datenschutzerklärung, transparente Aufklärung über den US-Transfer. Halte den Bot aufgabenspezifisch, damit er nicht unter Metas Verbot universeller Assistenten fällt. Filtere sensible Daten heraus, wo es geht, und lass den Bot nur das beantworten, was er aus geprüften Inhalten des Kunden auch belegen kann – ein KI-Chatbot, der nur belegbare Antworten gibt, statt frei zu formulieren, reduziert das Risiko falscher Auskünfte spürbar. Und rechne die laufenden Kosten von Anfang an in ein Betreuungspaket ein.

Manchmal ist die ehrlichste Empfehlung auch, den Kanal zu wechseln. Wenn die Datenschutz-Anforderungen bei besonders sensiblen Inhalten den Aufwand über Gebühr treiben, kann ein Chatbot direkt auf der Website des Kunden – auf EU-Servern, ohne den Umweg über Meta – die sauberere Lösung sein. Der Kunde erreicht dieselben Menschen, behält aber die volle Kontrolle über die Daten. WhatsApp punktet mit Reichweite und Bequemlichkeit; die eigene Seite punktet mit Datenhoheit. Diese Abwägung offen mit dem Kunden zu treffen, statt reflexhaft „WhatsApp geht immer" zu sagen, ist Teil einer seriösen Beratung.

Für die Physio-Praxis vom Anfang lautet die ehrliche Antwort damit nicht „geht nicht", aber auch nicht „kein Problem". Sie lautet: Ein aufgabenspezifischer Terminbot über die richtige Schnittstelle, mit sauberem Opt-in und ehrlicher Aufklärung über Metas Rolle, ist machbar – aber er ist ein Projekt mit Sorgfaltspflichten, kein Fünf-Minuten-Feature. Genau diese Sorgfalt ist es, die eine Agentur von einem schnell zusammengeklickten Bot unterscheidet – und die den Unterschied macht zwischen einem zufriedenen Kunden und einer Abmahnung.