Kurz: Schreibst du mit Kundschaft über WhatsApp, gehört WhatsApp in deine Datenschutzerklärung. Das gilt für den grünen Knopf auf der Website genauso wie für Terminerinnerungen aus der Business-App.
Drei Wege, wie WhatsApp ins Spiel kommt
1. Ein Knopf oder Link auf der Website. Ein einfacher Link (etwa wa.me mit deiner Nummer) überträgt nichts, bis jemand darauf klickt. Erst dann öffnet sich WhatsApp, und ab da läuft das Gespräch über Meta. Ein eingebautes Chat-Fenster aus einem Plugin kann dagegen schon beim Laden der Seite Daten an einen Drittanbieter schicken. Schau nach, welches von beiden du hast.
2. Kundinnen schreiben dir von sich aus. Auch ohne Knopf: Steht deine Handynummer auf der Seite und jemand schreibt dir per WhatsApp, bearbeitest du die Nachricht über WhatsApp. Gehört erwähnt, sobald du WhatsApp geschäftlich nutzt.
3. Du schreibst Kundschaft an, etwa für Terminerinnerungen. Dafür speicherst du ihre Nummern und gibst sie an WhatsApp weiter. Das ist ein eigener Zweck und gehört so benannt.
Was WhatsApp bekommt
Die Inhalte der Nachrichten sind Ende-zu-Ende verschlüsselt. Die Verbindungsdaten fallen beim Anbieter trotzdem an: Telefonnummer, Zeitpunkt und Häufigkeit der Nachrichten, Profilangaben. Gibst du der App Zugriff auf dein Adressbuch, gleicht sie die Nummern darin ab, auch die von Leuten, die dir nie geschrieben haben.
Die Angaben, geprüft
Für Nutzerinnen und Nutzer in der Schweiz und im EWR ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland Vertragspartnerin. Im Rahmen der konzernweiten Infrastruktur gehen Daten an die WhatsApp LLC und die Meta Platforms, Inc. in den USA. Meta war bei meiner letzten Prüfung im Swiss-U.S. Data Privacy Framework eingetragen, mit der WhatsApp LLC als erfasster Gesellschaft. Die Angaben liegen bei mir mit Quelle und Prüfdatum vor.
Was das revDSG dazu verlangt
Die Informationspflicht nach Art. 19 revDSG verlangt, dass du nachvollziehbar sagst, welche Personendaten du bearbeitest, wozu und wer sie sonst noch bekommt. Gehen sie ins Ausland, kommt Art. 19 Abs. 4 revDSG dazu: das Zielland gehört genannt und die Grundlage der Übermittlung.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework als Land mit angemessenem Datenschutz, aber nur für Unternehmen, die dort eingetragen sind. Für eingetragene Unternehmen braucht es keine zusätzlichen Garantien, für die übrigen weiterhin Standardvertragsklauseln. Zu informieren ist in beiden Fällen.
So kann der Abschnitt aussehen
Kontakt über WhatsApp
Du kannst uns über WhatsApp schreiben. Anbieterin ist die WhatsApp Ireland Limited, Dublin, Irland. Die Inhalte sind Ende-zu-Ende verschlüsselt; deine Telefonnummer, dein Profil sowie Zeitpunkt und Häufigkeit der Nachrichten werden aber bei WhatsApp bearbeitet, auch in den USA. Die Übermittlung stützt sich auf das Swiss-U.S. Data Privacy Framework. Wenn du das nicht möchtest, erreichst du uns auch per E-Mail oder Telefon.
Der letzte Satz ist nicht Pflicht, aber fair: wer WhatsApp nicht nutzen will, sieht sofort den anderen Weg.
Im Salon, in der Praxis, im Laden
Terminerinnerungen per WhatsApp sind der häufigste Fall in kleinen Betrieben. Wie das in einem Coiffeursalon in die Erklärung kommt, steht in Datenschutz für Coiffeursalons. In Praxen und Therapien sind die Nachrichten oft Gesundheitsdaten, dort ist mehr Sorgfalt nötig: Praxis und Therapie.