HELLOboss
FUNKTIONEN PREISE KONTAKT DATENSCHUTZ AGB IMPRESSUM
RATGEBER FÜR HANDWERKSBETRIEBE

WhatsApp Datenschutz in der Firma: Was gilt zwischen Baustelle und Büro?

Zwischen Baustelle und Büro ist WhatsApp im Handwerk Alltag: 62 Prozent der Handwerksbetriebe nutzen Messenger wie WhatsApp oder Telegram (Bitkom Research, 2025). Datenschutzrechtlich ist das heikel. Das Bayerische Landesamt für Datenschutzaufsicht hält einen datenschutzkonformen Einsatz in der Firma „in der Regel nicht zu begründen“, vor allem wegen des Adressbuch-Abgleichs und der Metadaten in den USA. Eine Beratungsstelle beurteilt die WhatsApp Business Platform, die über einen Dienstleister angebunden wird, anders. Was das für private Handys, Gruppen, Fotos und Aufbewahrung bedeutet, steht unten.

Stand: 06.10.2026

Wie verbreitet ist WhatsApp im Handwerk?

Sehr verbreitet. In der Bitkom-Studie zur Digitalisierung des Handwerks (Bitkom Research, 2025) geben 62 Prozent der Betriebe an, Messenger-Dienste wie WhatsApp oder Telegram für interne oder externe Kommunikation einzusetzen. Befragt wurden 504 Handwerksunternehmen telefonisch. Der Wert fasst WhatsApp mit anderen Messengern zusammen.

Eine ältere Befragung von Bitkom und Zentralverband des Deutschen Handwerks (Pressemitteilung vom 1. Juli 2022, 503 Handwerksbetriebe) kam auf 91 Prozent (intern) und 63 Prozent (extern) für Messenger wie WhatsApp, Signal oder Telegram. Die Fragen der beiden Studien sind nicht identisch, der Trend ist eindeutig.

Ist WhatsApp im Unternehmen mit der DSGVO vereinbar?

Die Aufsichtsbehörden sind skeptisch. Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage (Art. 6 DSGVO). Ein Dienstleister, der in Ihrem Auftrag Daten verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO. Werden Daten in ein Land außerhalb der EU übermittelt, gilt Kapitel V (Art. 44 DSGVO ff.): Die Übermittlung ist nur zulässig, wenn dessen Bedingungen eingehalten werden. Für Verstöße gegen die Rechtsgrundlage (Art. 6) und die Übermittlungsregeln (Art. 44 bis 49) nennt Art. 83 Abs. 5 DSGVO einen Bußgeldrahmen von bis zu 20 000 000 EUR oder bei Unternehmen bis zu 4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Für Pflichten aus Art. 28 gilt Art. 83 Abs. 4 mit bis zu 10 000 000 EUR oder 2 %.

Das Bayerische Landesamt für Datenschutzaufsicht (FAQ, Seite ohne Datum, abgerufen am 6. Oktober 2026) meint zur Kommunikation innerhalb des Unternehmens: Weil Metadaten weiterhin in den USA verarbeitet würden und Adressdaten aus dem Telefonbuch ohne Einwilligung der Betroffenen erhoben würden, sei ein datenschutzkonformer Einsatz „in der Regel nicht zu begründen“. Ob die Seite nach späteren Änderungen bei WhatsApp überarbeitet wurde, ist ihr nicht zu entnehmen.

Was ist das Problem mit dem Kontaktabgleich im Adressbuch?

Beim Kontaktabgleich lädt WhatsApp auf Wunsch des Nutzers das Adressbuch hoch. Nach der WhatsApp-Datenschutzrichtlinie (EWR-Fassung, wirksam ab 2. Juli 2026) speichert WhatsApp von Kontakten, die WhatsApp nicht nutzen, kryptografische Hash-Werte der Telefonnummern. Im Adressbuch eines Betriebs stehen aber Bauherren, Kunden und Lieferanten, die davon nichts wissen.

Das Amtsgericht Bad Hersfeld hat dazu mit Beschluss vom 15. Mai 2017 (Az. F 120/17 EASO) in einer familienrechtlichen Sache entschieden (Legal Tribune Online). Leitsatz 5 in der Wiedergabe von dieDatenschützer Rhein Main, 26. Juni 2017: Wer WhatsApp nutze und die Weitergabe der Adressbuchdaten zulasse, ohne die Kontaktpersonen vorher um Erlaubnis zu bitten, begehe gegenüber diesen Personen eine „deliktische Handlung“ und könne kostenpflichtig abgemahnt werden. Beides sind Sekundärquellen, der Originaltext wurde hier nicht eingesehen. Grenzen: Amtsgericht, Einzelfall im Familienrecht, Stand 2017 und damit vor Geltung der DSGVO ab 25. Mai 2018; seitdem hat WhatsApp Technik und Richtlinien geändert.

Was sagen die Aufsichtsbehörden noch zu WhatsApp im Betrieb?

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden schreibt in einer Stellungnahme vom 29. April 2021 (DSK, Messenger-Dienste im Krankenhausbereich), der berufliche oder gewerbliche Einsatz von Messenger-Diensten unterliege Datenschutz-Vorgaben, denen gängige Dienste „bislang nicht oder nur bedingt“ entsprächen. Das Papier gilt dem Krankenhaus, setzt dienstliche Endgeräte voraus und behandelt private Geräte nicht.

Für Kundenkontakt verlangt das Bayerische Landesamt in seiner FAQ (BayLDA) auch dann, wenn ein Unternehmen den datenschutzgerechten Einsatz gewährleisten kann, dass Kunden jederzeit eine gleichwertige andere Kontaktmöglichkeit bleibt. Es rät, Alternativen wie Threema, Signal oder Hoccer zu prüfen.

In Österreich ist die DSGVO unmittelbar anwendbar; ergänzend gilt das österreichische Datenschutzgesetz (DSG) (Bundeskanzleramt Österreich, Rundschreiben 2017). In der Schweiz gilt das Bundesgesetz über den Datenschutz (DSG), in seiner totalrevidierten Fassung seit dem 1. September 2023 (KMU-Portal des Bundes). Der Schweizer EDÖB nahm am 15. August 2024 den Swiss-U.S. Data Privacy Framework zur Kenntnis, der ab dem 15. September 2024 bei zertifizierten US-Unternehmen angemessenen Datenschutz gewährleiste.

Was ändert das Data Privacy Framework an der Übermittlung in die USA?

Es erleichtert die Übermittlung an zertifizierte US-Unternehmen. Die Kommission erließ am 10. Juli 2023 einen Angemessenheitsbeschluss für die USA; nach Art. 45 DSGVO bedarf eine Übermittlung auf dieser Grundlage keiner besonderen Genehmigung. Das Gericht der EU hat die Klage auf Nichtigerklärung dieses Beschlusses am 3. September 2025 abgewiesen (Rechtssache T-553/23, Pressemitteilung des Gerichtshofs der EU Nr. 106/25). Laut Digital Policy Alert (Sekundärquelle) hat der Kläger dagegen am 31. Oktober 2025 ein auf Rechtsfragen beschränktes Rechtsmittel zum Gerichtshof eingelegt (Rechtssache C-703/25 P). Laut ihrer Richtlinie sind WhatsApp LLC und Meta Platforms, Inc. dort zertifiziert. Den Adressbuch-Abgleich löst das nicht.

Was ist der Unterschied zwischen WhatsApp Business App und Business Platform?

Die Business App ist eine App auf dem Smartphone, die Business Platform (früher Business API) ist eine Schnittstelle, die über einen Dienstleister in eine Software eingebunden wird. Die Beratungsstelle Wirtschaft.Digital.Sicher.NRW, ein Kompetenzzentrum und keine Aufsichtsbehörde, hält eine datenschutzkonforme Nutzung der Business App für nicht möglich. Bei der Business Platform könne dagegen DSGVO-konform gearbeitet werden, weil keine App auf dem Handy installiert werde und Kontaktdaten nicht mit WhatsApp geteilt würden. Es komme auf Dienstleister und Umsetzung im Betrieb an.

Was folgt daraus für private Handys, Gruppen, Fotos und Aufbewahrung?

Der Betrieb sollte bewusst entscheiden und dokumentieren, statt WhatsApp einfach laufen zu lassen. In der Regel ist der Betrieb Verantwortlicher, weil er nach Art. 4 Nr. 7 DSGVO über Zwecke und Mittel der Verarbeitung entscheidet, nicht der einzelne Monteur.

  • Private Handys: Dort liegt das private Adressbuch neben Kundennummern, und der Betrieb kann Einstellungen kaum durchsetzen. Ein Firmengerät ist sauberer, kostet aber Geld.
  • Gruppen: In einer Baustellengruppe sehen alle Mitglieder Namen, Nummern und Inhalte.
  • Fotos: Fotos von Kunden-Baustellen zeigen oft Personen, Wohnräume oder Adressen, in der Regel personenbezogene Daten nach Art. 4 Nr. 1 DSGVO.
  • Aufbewahrung: Der Chatverlauf liegt auf den Handys der Beteiligten, nicht in der Akte. § 257 HGB verlangt von Kaufleuten, Handelsbriefe geordnet aufzubewahren, sechs Jahre für „sonstige“ Unterlagen. § 147 AO nennt für Geschäftsbriefe ebenfalls sechs Jahre; Buchungsbelege sind nach beiden Vorschriften acht Jahre aufzubewahren. Ob eine Nachricht dazuzählt, ist Einzelfallfrage. In Österreich und der Schweiz gelten eigene Vorschriften.
  • Weg ins Büro: Mehr dazu: Bautagebuch per WhatsApp und Krankmeldung per WhatsApp.

Wie geht HelloBoss mit WhatsApp-Daten um?

HelloBoss ist eine Software, die Baustellen-Meldungen über WhatsApp entgegennimmt und in Aufträge und Baustellenakten überführt (siehe Was ist HelloBoss?). Nach der Seite WhatsApp-Datenverarbeitung läuft der Transport über die WhatsApp Business Platform von Meta Platforms Ireland Ltd., der Betrieb ist Verantwortlicher für die Daten seiner Mitarbeiter, die ordosphere LLC Auftragsverarbeiter nach Art. 28 DSGVO, und Meta verarbeitet Verbindungs- und Metadaten als eigene Verantwortliche; die Mitarbeiter schreiben weiter über die normale WhatsApp-App auf ihrem Smartphone. Die Datenschutzerklärung nennt als Hosting ein EU-Rechenzentrum. Spracherkennung (OpenAI) und KI-Analyse (Anthropic, teils über OpenRouter) laufen bei Anbietern in den USA; als Grundlage nennt HelloBoss Standardvertragsklauseln oder, soweit vorhanden, eine Zertifizierung nach dem Data Privacy Framework.

Grenzen: Das sind Angaben des Anbieters, keine Bestätigung einer Aufsichtsbehörde. Sie betreffen die Plattformseite; der Adressbuch-Zugriff auf dem Handy der Mitarbeiter bleibt Sache des Betriebs. Den Auftragsverarbeitungsvertrag sollte jeder Betrieb vor Abschluss selbst prüfen.

Ersetzt dieser Text eine Rechtsberatung?

Nein. Dieser Text ist eine allgemeine Information und ersetzt keine Rechtsberatung.

Häufige Fragen

Darf ich eine WhatsApp-Gruppe für die Baustelle nutzen?

Die DSGVO nennt WhatsApp nicht ausdrücklich, aber das Bayerische Landesamt für Datenschutzaufsicht hält den datenschutzkonformen Einsatz für die Kommunikation im Unternehmen in der Regel nicht für begründbar. Mitglieder bewusst auswählen und Kunden eine Alternative lassen.

Sind Fotos von Kunden-Baustellen in WhatsApp ein Datenschutzproblem?

Sobald Personen, Wohnräume oder Adressen erkennbar sind, sind es in der Regel personenbezogene Daten nach Art. 4 Nr. 1 DSGVO. Dann gelten Rechtsgrundlage und Zweckbindung, und ein Foto im Chat liegt auf mehreren privaten Handys.

Wie lange muss ich WhatsApp-Nachrichten aufbewahren?

Eine eigene Frist für WhatsApp gibt es nicht. In Deutschland sind empfangene und abgesandte Handels- oder Geschäftsbriefe nach § 257 HGB (für Kaufleute) und § 147 AO sechs Jahre aufzubewahren, Buchungsbelege acht Jahre. Ob eine Nachricht dazuzählt, hängt vom Inhalt ab. Österreich und die Schweiz haben eigene Vorschriften.

Quellen

Weitere Ratgeber

Sie möchten unsere Ratgeber in Google öfter sehen?

Bei Google als bevorzugte Quelle hinzufügen
HELLOBOSS ANSEHEN ⟶
HELLOboss
Ein Produkt der Ordosphere LLC
© 2026 Ordosphere LLC
PRODUKT
Funktionen So funktioniert's Preise Ratgeber
UNTERNEHMEN
Kontakt Für wen
RECHTLICHES
Datenschutz AGB Impressum
▶