KI & Automatisierung
WhatsApp und KI im Unternehmen: Was kleine Betriebe beim Datenschutz beachten sollten
WhatsApp, Chatbots und KI im Betrieb nutzen? Erfahren Sie, welche Datenschutzfragen kleine Unternehmen in Deutschland vor dem Start klären sollten.
von Nguyen VoVeröffentlicht am 6 Min. Lesezeit
Hinweis: Allgemeine Informationen, keine Rechtsberatung. Prüfen Sie Ihren konkreten Einsatz mit einer fachkundigen Person oder Ihrer Datenschutzbeauftragten.
Das Wichtigste in Kürze
- Sobald Namen, Telefonnummern oder Anliegen von Kunden in WhatsApp oder ein KI-Tool gelangen, werden personenbezogene Daten verarbeitet.
- Prüfen Sie Zweck, Rechtsgrundlage, Dienstleister, Verträge, Speicherdauer und Zugriffe, bevor Sie einen Dienst einführen.
- Kopieren Sie sensible Kundendaten nicht ungeprüft in KI-Systeme. Datenschutz gehört in den Ablauf, nicht ans Ende.
Inhalt
WhatsApp beantwortet Kundenfragen, KI formuliert Texte oder ein Chatbot unterstützt bei Anfragen. Für kleine Unternehmen kann das Zeit sparen. Doch sobald Kundendaten verarbeitet werden, sollte Datenschutz nicht erst nach dem Start geprüft werden.
Die entscheidende Frage lautet nicht nur: „Ist das Tool praktisch?“ Sondern: Welche Daten werden wofür, von wem und auf welcher Rechtsgrundlage verarbeitet?
Dieser Leitfaden hilft, vor dem Einsatz von WhatsApp Business, KI-Assistenten oder Chatbots die wichtigsten Punkte systematisch zu prüfen.
1. Erst den Zweck festlegen – dann das Tool auswählen
Schreiben Sie konkret auf, wofür das Tool eingesetzt werden soll. Zum Beispiel:
- Terminanfragen beantworten
- Öffnungszeiten und Preise mitteilen
- Nachrichtenentwürfe erstellen
- häufige Fragen auf der Website beantworten
Vermeiden Sie pauschale Zwecke wie „Kundenservice mit KI“. Ein klarer Zweck hilft, nur die erforderlichen Daten zu verarbeiten und passende Einstellungen auszuwählen.
2. Welche personenbezogenen Daten fließen?
Erstellen Sie eine einfache Datenübersicht:
| Daten | Beispiel | Prüffrage |
|---|---|---|
| Kontaktdaten | Name, Telefonnummer, E-Mail | Brauchen wir diese Daten wirklich? |
| Termindaten | gewünschte Leistung, Datum, Uhrzeit | Wer kann sie sehen und wie lange speichern wir sie? |
| Nachrichteninhalte | Frage, Beschwerde, Freitext | Können darin sensible Informationen stehen? |
| KI-Eingaben | kopierter Kundentext oder Dokument | Darf dieser Inhalt an den KI-Anbieter übermittelt werden? |
Besondere Vorsicht gilt, wenn Kundinnen oder Kunden Gesundheitsangaben, Fotos, Ausweisdaten oder andere sensible Inhalte senden. Kopieren Sie solche Informationen nicht automatisch in ein KI-System. Prüfen Sie, ob die Verarbeitung notwendig und rechtlich zulässig ist.
3. Rechtsgrundlage und Transparenz klären
Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine passende Rechtsgrundlage. Je nach Vorgang kann etwa die Erfüllung eines Vertrags, eine rechtliche Pflicht oder eine Einwilligung relevant sein. Eine Einwilligung ist nicht automatisch die richtige Lösung für jede Verarbeitung.
Informieren Sie Kunden verständlich darüber:
- welche Daten Sie verarbeiten,
- zu welchem Zweck,
- welche Dienstleister beteiligt sind,
- wie lange Daten gespeichert werden,
- wie Betroffene ihre Rechte ausüben können.
Verlinken Sie die Datenschutzhinweise dort, wo Kunden den Dienst nutzen oder Daten übermitteln. Eine Datenschutzerklärung allein macht eine unzulässige Verarbeitung nicht zulässig.
4. Dienstleister und Auftragsverarbeitung prüfen
Wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, kann ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) nach Art. 28 DSGVO erforderlich sein. Prüfen Sie nicht nur, ob ein Vertrag angeboten wird, sondern auch:
- welche Leistungen und Daten er abdeckt,
- welche Unterauftragnehmer eingesetzt werden,
- wo Daten verarbeitet oder gespeichert werden,
- wie Löschung, Sicherheit und Vorfälle geregelt sind.
Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums müssen zusätzlich die einschlägigen DSGVO-Anforderungen für Drittlandtransfers geprüft werden. Ein Anbietername oder das Versprechen „DSGVO-konform“ ersetzt diese Prüfung nicht.
5. WhatsApp: Geschäftliche Kommunikation bewusst organisieren
WhatsApp Business kann für Kundenkommunikation nützlich sein, aber die Nutzung sollte in einen klaren Prozess eingebettet sein.
- Verwenden Sie ein geschäftliches Konto und regeln Sie, wer Zugriff hat.
- Klären Sie, ob und wie Kunden dem Kontakt über WhatsApp zugestimmt haben beziehungsweise ob eine andere passende Rechtsgrundlage besteht.
- Legen Sie fest, welche Arten von Anliegen über WhatsApp bearbeitet werden dürfen.
- Vermeiden Sie, unnötige sensible Daten anzufordern oder weiterzuleiten.
- Prüfen Sie die aktuellen WhatsApp-Business-Bedingungen, Datenschutzinformationen und gegebenenfalls Anbietervereinbarungen.
Für automatisierte Nachrichten, Integrationen oder die WhatsApp Business Platform können andere technische und vertragliche Bedingungen gelten als bei der einfachen Business-App. Verlassen Sie sich nicht auf pauschale Aussagen zu Kosten, Nachrichtenlimits oder Funktionen: Diese können sich ändern und hängen vom konkreten Setup ab.
6. KI: Kundendaten nicht ungeprüft in Prompts einfügen
Ein KI-Assistent kann Texte entwerfen oder Anfragen sortieren. Das bedeutet nicht, dass jede Kundeninformation in ein beliebiges KI-Tool kopiert werden darf.
Gute Schutzmaßnahmen sind:
- Daten minimieren: Namen, Telefonnummern und identifizierende Details entfernen, wenn sie für die Aufgabe nicht gebraucht werden.
- Anbieterbedingungen prüfen: Klären, ob Eingaben gespeichert, zur Verbesserung von Modellen verwendet oder an weitere Dienstleister weitergegeben werden.
- Zugriff begrenzen: Nur berechtigte Mitarbeitende sollen das Tool und die relevanten Kundendaten nutzen können.
- Ausgaben kontrollieren: KI-Antworten vor dem Versand prüfen, besonders bei Beschwerden, Preisen, Gesundheits- oder Rechtsfragen.
- Kunden informieren: Wenn ein Chatbot mit Kunden interagiert, prüfen Sie die geltenden Transparenzpflichten und machen Sie den automatisierten Charakter deutlich, wo erforderlich.
Für personenbezogene Daten gelten weiterhin die Datenschutzgrundsätze. „Die KI hat es verarbeitet“ ist keine eigene Rechtsgrundlage.
7. Löschung, Aufbewahrung und Zugriffsrechte festlegen
Legen Sie fest, welche Daten Sie wie lange benötigen. Speichern Sie nicht vorsorglich jede Nachricht oder jeden Chat auf unbestimmte Zeit.
Ein einfacher betrieblicher Ablauf kann so aussehen:
- Verantwortliche Person für das Tool benennen
- Zugriffsrechte regelmäßig überprüfen
- nicht mehr benötigte Daten nach einem festgelegten Verfahren löschen
- bei Ausscheiden von Mitarbeitenden Zugänge entziehen
- Datenschutzvorfälle intern melden und bearbeiten
Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen. Prüfen Sie deshalb für die jeweilige Datenart, welche Fristen tatsächlich gelten.
8. Praktische Checkliste vor dem Start
- Zweck und Prozess schriftlich festgelegt
- Datenarten und Empfänger identifiziert
- Rechtsgrundlage für die Verarbeitung geprüft
- Datenschutzhinweise aktualisiert und leicht auffindbar
- Anbieter, Unterauftragnehmer und Datenstandorte geprüft
- AV-Vertrag und Drittlandtransfer, soweit erforderlich, geprüft
- Rollen, Zugriffe, Speicherfristen und Löschung geregelt
- Mitarbeitende zum sicheren Umgang geschult
- KI-Ausgaben und automatisierte Kundenkommunikation kontrolliert
Checkliste vor dem Start
Gehen Sie diese Punkte durch, bevor Kunden mit einem neuen Dienst in Berührung kommen:
- Ich habe aufgeschrieben, welche Daten der Dienst verarbeitet und wofür.
- Ich kenne die Anbieter und weiß, wo und wie sie Daten verarbeiten.
- Ein Vertrag zur Auftragsverarbeitung liegt vor, wo er erforderlich ist.
- Meine Datenschutzinformationen nennen den Dienst und den Zweck.
- Speicherdauer und Löschung sind festgelegt.
- Nur berechtigte Personen haben Zugriff.
- Es gibt eine Alternative für Kunden, die den Dienst nicht nutzen möchten.
- Mitarbeitende wissen, welche Inhalte nicht in KI-Tools gehören.
Fazit: Datenschutz gehört zum Prozess, nicht ans Ende
WhatsApp und KI können kleine Unternehmen entlasten. Sicherer wird der Einsatz, wenn Sie den konkreten Zweck, die Datenflüsse, die Rechtsgrundlage, die Anbieterbedingungen und die Löschung vorab klären. Beginnen Sie mit einem begrenzten Anwendungsfall und überprüfen Sie ihn regelmäßig.
Sie möchten WhatsApp oder KI in Ihre Website und Geschäftsabläufe integrieren? Starten Sie mit einer klaren Prozessbeschreibung und lassen Sie Datenschutzfragen für Ihr konkretes Setup prüfen.
Weiterführende interne Beiträge
- KI-Chatbot für kleine Unternehmen
- WhatsApp-Terminerinnerungen automatisieren
- Kundenverwaltung und Mini-CRM
- Geschäftsprozesse digitalisieren
Quellen und offizielle Orientierung
Häufige Fragen
Ist WhatsApp Business automatisch DSGVO-konform?
Nein. Die Bewertung hängt unter anderem davon ab, welche Daten verarbeitet werden, wie Kunden kontaktiert werden, welche Einstellungen gelten und welche Dienstleister beteiligt sind.
Darf ich Kundennachrichten in ein KI-Tool kopieren?
Nicht pauschal. Prüfen Sie Zweck, Rechtsgrundlage, Erforderlichkeit, Anbieterbedingungen und mögliche sensible Daten. Entfernen Sie nicht benötigte Identifikatoren.
Braucht jedes KI-Tool einen AV-Vertrag?
Nicht automatisch in jedem denkbaren Einsatz. Wenn ein Anbieter personenbezogene Daten als Auftragsverarbeiter für Sie verarbeitet, ist Art. 28 DSGVO relevant. Die Rollen und Vertragsbedingungen müssen im konkreten Fall geprüft werden.
Muss ich Kunden sagen, dass sie mit einem Chatbot sprechen?
Je nach Funktion und geltenden Transparenzpflichten kann eine Offenlegung erforderlich sein. Prüfen Sie die für Ihren konkreten Chatbot geltenden Regeln und gestalten Sie die Kommunikation klar und verständlich.
