Max Korn
Du willst, dass Kunden dich direkt per WhatsApp anschreiben können, mit einem Klick auf deiner Website. Brauchst du dafür ein Plugin, und was ist mit dem Datenschutz?
Ein Plugin brauchst du nicht. Erstell dir einen WhatsApp-Link, einen sogenannten Click-to-Chat-Link, und setz ihn als ganz normalen Button auf deine Firmenwebsite. So ein Link lädt beim Seitenaufruf nichts von WhatsApp. Ein Widget, das beim Laden der Seite ein fremdes Skript nachlädt, braucht dagegen meist eine Einwilligung.
Für einen kleinen Betrieb ist ein selbst gestalteter Button mit wa.me-Link deshalb meist die richtige Wahl. Mehr Sorgfalt braucht etwas anderes, nämlich wie du WhatsApp im Betrieb nutzt und was davon in die Datenschutzerklärung gehört.
Link oder Widget: Der Unterschied passiert beim Seitenaufruf
Ein Click-to-Chat-Link ist ein gewöhnlicher Hyperlink auf eine Adresse, die mit wa.me beginnt. Ein Widget ist dagegen ein schwebendes Chatfenster oder ein Button aus einem Plugin oder Baukasten. Aussehen und Funktion holt es sich von einem fremden Server. Ob ein bestimmtes Widget dafür schon beim Seitenaufruf Skripte, Bilder oder Schriften nachlädt, hängt von Produkt und Version ab.
Laut dem Landesbeauftragten für den Datenschutz Niedersachsen fällt die Einbindung von Drittdiensten auf Websites unter § 25 TDDDG. Die Ausnahme für „unbedingt erforderliche“ Dienste ist dort eng zu verstehen, nur wenige Dienste kommen ohne Einwilligung aus. Für die beiden Varianten heißt das:
| wa.me-Link | Widget mit externem Skript | |
|---|---|---|
| Beim Seitenaufruf | lädt nichts von WhatsApp oder Dritten | kann Dateien von fremden Servern laden |
| Beim Klick | öffnet WhatsApp, WhatsApp erfährt die Herkunftsseite (Referrer) | ebenso |
| Einwilligung | für den Button nicht nötig, er funktioniert immer | in der Regel nötig, sobald es vorab lädt, und darf erst nach Zustimmung im Banner laden |
| Gestaltung | du gestaltest den Button selbst | Aussehen und Verhalten gibt das Plugin vor |
Nimm den Link. Ein Widget lohnt sich nur, wenn es eine Funktion bietet, die du wirklich brauchst. Was eine Einwilligung für dein Banner bedeutet, erklärt der Artikel dazu, wann deine Website ein Cookie-Banner braucht. Dasselbe Muster aus Vorab-Laden und Link findest du auch bei Google Fonts, YouTube und Maps.
So erstellst du den WhatsApp-Link und prüfst dein Plugin
Der Link besteht aus https://wa.me/ und deiner Mobilnummer im internationalen Format: ohne Pluszeichen, ohne führende Null, ohne Leerzeichen. Mit ?text= am Ende füllst du optional eine Nachricht vor. Mit einer Platzhalternummer sieht das so aus: Aus 0151 00000000 wird https://wa.me/4915100000000?text=Hallo.
Diesen Link trägst du im Baukasten oder CMS als ganz normalen Button-Link ein und gestaltest den Button passend zu deiner Seite. Einen Link-Generator oder ein Plugin brauchst du dafür nicht. Halt den vorausgefüllten Text neutral, ohne Namen oder andere personenbezogene Daten. Neben den Button gehört ein kurzer Hinweis wie „öffnet WhatsApp“, damit niemand überrascht wird.
Wenn du schon ein WhatsApp-Plugin oder -Widget im Einsatz hast, prüfst du in ein paar Minuten selbst, ob es vorab lädt:
- Öffne deine Website in einem privaten Browserfenster.
- Öffne die Entwicklertools, in Chrome, Edge und Firefox unter Windows mit
F12. - Wechsle in den Tab
Netzwerkund lade die Seite neu. Klick nichts an, auch nicht im Cookie-Banner. - Such in der Liste nach Adressen von WhatsApp, Facebook oder dem Plugin-Anbieter. Das Filterfeld über der Liste hilft, etwa mit dem Suchbegriff
whatsapp.
Taucht dort eine solche Adresse auf, lädt das Plugin vorab. Dann braucht es eine Einwilligung, oder du ersetzt es durch den Link. Das gilt auch für Plugins, die als „DSGVO-konform“ beworben werden. Dieses Etikett sagt nichts darüber, was die installierte Version auf deiner Seite tatsächlich lädt.
Wo die eigentliche Datenschutzfrage liegt
Der Button öffnet nur die Tür. Die Daten verarbeitest du dort, wo du die Nachrichten beantwortest: in der WhatsApp Business App auf deinem Gerät oder über die Business Platform.
Viele Warnungen im Netz gehen auf eine ältere Einschätzung der Datenschutzaufsicht Niedersachsen aus dem Jahr 2018 zurück. Sie hielt die geschäftliche Nutzung von WhatsApp für rechtswidrig, vor allem wegen des Adressbuch-Uploads und der Übermittlung in die USA. Diese Einschätzung stammt aus der Zeit vor dem EU-US Data Privacy Framework und vor den heutigen Bedingungen für die Business App.
Seit dem 23. September 2026 gelten neue Bedingungen für die WhatsApp Business App. Danach ist dein Betrieb Verantwortlicher, und WhatsApp verarbeitet die Kontaktdaten deiner Kunden, etwa Telefonnummern, als Auftragsverarbeiter. Die nötigen Rechte und Einwilligungen musst du laut diesen Bedingungen selbst sicherstellen.
Einbezogen sind die WhatsApp Business Data Processing Terms, zuletzt aktualisiert am 22. August 2025. Für andere Verarbeitungen sehen erste Einordnungen, bisher vor allem von Anbietern, WhatsApp weiterhin als eigenen Verantwortlichen.
Auch bei der US-Übermittlung hat sich die Lage geändert. WhatsApp LLC ist nach eigener Offenlegung unter dem EU-US Data Privacy Framework zertifiziert, einschließlich der Business-Dienste von WhatsApp Ireland. Die Offenlegung datiert vom 3. Dezember 2025.
Das Data Privacy Framework ist die Grundlage für Übermittlungen an zertifizierte US-Unternehmen. Der Status kann sich ändern. Prüf ihn deshalb vor dem Eintrag in die Datenschutzerklärung noch einmal auf dataprivacyframework.gov.
Einiges liegt unabhängig davon in deiner Hand. Nutz ein eigenes Geschäftsgerät mit eigener Nummer und gleich keine privaten Adressbücher ab. Fordere über WhatsApp keine sensiblen Daten an, etwa Gesundheitsangaben oder Ausweiskopien.
Business App oder Business Platform?
Wenn ein bis wenige Personen die Nachrichten von Hand beantworten, reicht die Business App. Die Business Platform wird sinnvoll, wenn du WhatsApp an ein CRM anbinden, Antworten automatisieren oder mehrere Mitarbeitende in einem gemeinsamen Postfach arbeiten lassen willst. Laut Meta richtet sich die Plattform an Entwickler, der Zugang läuft über eine Programmierschnittstelle (Cloud API) und Webhooks. Ohne eigene Entwicklung brauchst du dafür einen Dienstleister.
Beim Betrieb der Cloud API handelt Meta als Auftragsverarbeiter. Manche API-Anbieter schreiben deshalb, eine DSGVO-konforme Nutzung sei nur über die Plattform möglich. Das ist eine Vertriebsaussage. Auch die neuen App-Bedingungen sehen eine Auftragsverarbeitung vor, bezogen auf die Kontaktdaten.
Was in deine Datenschutzerklärung gehört
Für die WhatsApp-Kontaktmöglichkeit sollte deine Datenschutzerklärung diese Punkte abdecken:
- den Zweck, also Kontaktaufnahme und Beantwortung von Anfragen per WhatsApp
- den Hinweis, dass der Button zu WhatsApp weiterleitet und WhatsApp dabei die Herkunftsseite erfährt
- WhatsApp Ireland als Empfänger und die Auftragsverarbeitung nach den Business Data Processing Terms
- die Übermittlung in die USA mit Verweis auf die Zertifizierung unter dem Data Privacy Framework
- die Rechtsgrundlage
- wie lange du Chats speicherst und wann du sie löschst
- die Möglichkeit zum Widerruf, falls du dich auf eine Einwilligung stützt
- bei einem Widget zusätzlich die Einwilligung für das Laden des fremden Skripts
Bei der Rechtsgrundlage sind die Quellen uneinheitlich. eRecht24 geht von einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO aus, andere nennen die Anbahnung eines Vertrags oder ein berechtigtes Interesse (lit. b oder f). Leg dich deshalb auf eine Grundlage fest, gib sie überall gleich an und halte WhatsApp freiwillig, indem du Alternativen anbietest. Welche Grundlage für deinen Betrieb trägt, klärst du im Zweifel mit deinem Datenschutzbeauftragten.
WhatsApp als zusätzlicher Kontaktweg, nicht als einziger
Nicht alle deine Kunden nutzen WhatsApp, und nicht alle wollen eine Anfrage darüber stellen. Biete deshalb daneben einen Telefon-Link an, der auf dem Smartphone direkt die Nummer wählt, außerdem eine E-Mail-Adresse und ein Kontaktformular.
Öffne deine Website im privaten Fenster und prüf im Netzwerk-Tab, ob dein WhatsApp-Widget vorab lädt. Wenn ja, ersetz es durch einen selbst gestalteten Button mit wa.me-Link und ergänz die Datenschutzerklärung anhand der Liste oben. Kannst du das Widget nicht selbst austauschen, übernehme ich das gern.
