Jahrelang war die Wahl eines WhatsApp-Anbieters vor allem eine Frage des Messagings. 2026 ist daraus eine Frage des Datenschutzes geworden. Rechts-, Beschaffungs- und Sicherheitsteams in ganz Europa stellen härtere Fragen dazu, wo Kundenkommunikation verarbeitet und gespeichert wird und wer auf diese Daten zugreifen kann. Für Banken, Versicherer, Krankenhäuser, öffentliche Einrichtungen und Enterprise-SaaS-Plattformen, die personenbezogene Daten in großem Umfang verarbeiten, liegt die DSGVO-Konformität von WhatsApp heute auf demselben Schreibtisch wie Lieferantenrisiko und Audit-Bereitschaft.
Warum sich die DSGVO-Debatte zu WhatsApp 2026 verändert hat
Der Text der DSGVO ist derselbe wie vor fünf Jahren. Verändert hat sich die Durchsetzung. Behörden, die in den ersten Jahren vor allem Leitlinien geschrieben haben, treffen inzwischen Entscheidungen, und die größten davon betreffen genau das, worüber WhatsApp-Käufer früher hinweggesehen haben: wohin Daten fließen, sobald sie die App verlassen.
Im Mai 2023 verhängte die irische Datenschutzbehörde eine Geldbuße von 1,2 Milliarden Euro gegen Meta und untersagte dem Unternehmen, Daten europäischer Nutzer in die USA zu übermitteln. Hinter dieser Summe stand kein Leck und kein Datenschutzvorfall. Der Übermittlungsmechanismus selbst, also die Übertragung von EU-Daten auf US-Server, war für rechtswidrig erklärt worden.
Jedes Unternehmen, das Kundendaten über US-kontrollierte Infrastruktur leitet, hat damit einen konkreten Preis für einen Fehler vor Augen: DSGVO-Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes erreichen.
Eine Solution-Partner-Bewertung sieht heute entsprechend aus. Meta hat die Bezeichnung Business Solution Provider (BSP) abgelöst; diese Partner heißen jetzt offiziell Solution Partner. Sie geht weit über Cookie-Banner und Datenschutzerklärungen hinaus, und die Beschaffung will Konkretes wissen:
- Wo die Infrastruktur physisch betrieben wird
- Welche Unterauftragsverarbeiter mit den Daten in Berührung kommen
- Welche Rechtsordnung den Zugriff auf die Daten erzwingen kann
- Wie grenzüberschreitende Übermittlungen ausgestaltet sind
An diesen Antworten entscheidet sich die DSGVO-Konformität von WhatsApp tatsächlich.
Wo Ihr DSGVO-Risiko tatsächlich liegt
Keine ernstzunehmende Aufsichtsbehörde behandelt WhatsApp als per se nicht konform. Was Ihr Risiko bestimmt, ist die Architektur drumherum. Zwei Unternehmen können identische WhatsApp-Kampagnen fahren und trotzdem in völlig unterschiedlichen Risikopositionen landen, je nachdem, wo ihr Solution Partner die Daten hostet, wie er Nachrichten routet, welche Unterauftragsverarbeiter er einsetzt und wo er seine Protokolle speichert.
In regulierten Branchen ist genau diese Architekturfrage der Grund, warum die EU-gehostete WhatsApp Business API auf den Tisch kommt. Wenn Anwendungsdaten und Verarbeitung innerhalb des Europäischen Wirtschaftsraums bleiben, verkleinert das den Teil Ihres Setups, den eine Übermittlungsbewertung abdecken muss. Die DSGVO-Pflichten gelten so oder so, aber die schwierigste Frage der gesamten Prüfung, nämlich was mit diesen Daten geschieht, sobald sie die EU verlassen, stellt sich dann schlicht nicht mehr.
DSGVO-Konformität hängt am Datenfluss
Die meisten Teams unterschätzen, wie kleinteilig eine moderne DSGVO-Prüfung geworden ist. Spätestens seit Schrems II, dem Urteil von 2020, das den EU-US Privacy Shield gekippt hat, erwarten die europäischen Aufsichtsbehörden, dass Organisationen ihre Datenflüsse genau abbilden können:
- Wohin die Metadaten von Nachrichten wandern
- Wo die Anwendungsprotokolle geschrieben werden
- Welche Systeme Kundenkennungen verarbeiten
- Ob bei Weiterleitung oder Support etwas die EU verlässt
An dieser Stelle fallen viele Solution-Partner-Versprechen in sich zusammen. Ein Anbieter kann sich „europafreundlich“ nennen und trotzdem Logging, Support-Tools oder Fallback-Verarbeitung auf Systemen außerhalb der EU betreiben. Er kann eine oberflächliche Prüfung bestehen und in dem Moment durchfallen, in dem jemand eine Datenschutz-Folgenabschätzung ansetzt.
Die Datenresidenz von WhatsApp ist damit von einer juristischen Randnotiz zu etwas geworden, das Sie belegen können müssen: Wo liegen diese Daten, und wer kann darauf zugreifen? Die Frage wird schärfer, sobald WhatsApp vom Marketingkanal zu Onboarding und Support über die WhatsApp API wird und dabei den ganzen Tag personenbezogene Daten verarbeitet.
Nutzung der Anwendung gegenüber Kontrolle über die Infrastruktur
Die Lücke, die die meisten Käufer übersehen, liegt zwischen der Nutzung einer Anwendung und der Kontrolle über die Infrastruktur darunter. Eine Messaging-Plattform kann an der Oberfläche sauber aussehen und Sie darunter trotzdem exponieren. Nachrichten sind vielleicht Ende-zu-Ende verschlüsselt, während operative Metadaten über US-Systeme laufen, Protokolle in einer Nicht-EU-Region liegen oder ein Support-Mitarbeiter aus einem Drittland auf die Daten zugreift. In einer Produktdemo taucht davon nichts auf. Es kommt später heraus, wenn die Rechtsabteilung nachverfolgt, wohin die Daten tatsächlich gehen.
EU-Hosting gegenüber globalem Hosting in der Praxis
Ein klassisches globales Setup ist auf Skalierung und Bequemlichkeit ausgelegt. Meist bedeutet das:
- Workloads verteilt über mehrere Regionen
- Weltweit replizierte Protokolle
- Support zentralisiert an einem Standort
- Verarbeitung standardmäßig in den USA
Für viele Anwendungsfälle funktioniert das gut. Bei regulierten Daten beschert es Ihnen eine lange Liste von Übermittlungen, die Sie anschließend rechtfertigen müssen. Eine EU-gehostete WhatsApp Business API dreht das um: Die Verarbeitung bleibt in einer EU-Region, die Speicherung bleibt lokal, Übermittlungen werden auf ein Minimum reduziert, und die Kontrollen werden pro Region gesetzt. Sie unterschreiben weiterhin einen Auftragsverarbeitungsvertrag und führen weiterhin Ihre Bewertungen durch. Der Bereich, den Sie verteidigen müssen, ist aber kleiner, und die Prüfung geht schneller, weil es weniger zu erklären gibt.
Der CLOUD Act und der extraterritoriale Zugriff
Europäische Käufer kommen immer wieder auf eine Frage zurück: Wem gehört die Infrastruktur eigentlich? Nach dem US-amerikanischen CLOUD Act von 2018 kann ein US-Anbieter gezwungen werden, Daten herauszugeben, die er kontrolliert, selbst wenn diese Daten im Ausland gespeichert sind. Das Risiko ist hier jurisdiktioneller Natur. Auch ein Unternehmen, dem Sie voll vertrauen, kann eine US-Anordnung erhalten und muss ihr Folge leisten.
Für eine Bank oder ein Krankenhaus öffnet das eine Reihe von Fragen, die kein Vertriebsdeck ausräumt: ob die Daten überhaupt angefordert werden können, welche Metadaten unter diese Reichweite fallen und was tatsächlich zwischen einer US-Gerichtsanordnung und europäischen Kundendaten steht. Hosting-Standort und Eigentum an der Infrastruktur sind deshalb keine nachrangigen Details mehr, und das CLOUD-Act-Risiko bei WhatsApp taucht in ernsthaften Anbieterprüfungen inzwischen als fester Posten auf.
Dokumentation zählt mehr als Marketing
„GDPR-ready“, „privacy-focused“, „enterprise secure“ – jeder Anbieter bietet eine Variante davon. Beschaffungsteams haben gelernt, an den Schlagworten vorbeizusehen und nach den Unterlagen zu fragen:
- Eine echte Liste der Unterauftragsverarbeiter
- Dokumentation, wo das Deployment tatsächlich stattfindet
- Vertragliche Verarbeitungsbedingungen, an denen sich der Anbieter festhalten lässt
Das Dokument mit dem größten Gewicht ist der Auftragsverarbeitungsvertrag, das WhatsApp DPA. Früher war das eine Anlage, die niemand geöffnet hat. Heute wird es wie ein Vertrag durchgearbeitet, denn er regelt, wer wofür verantwortlich ist, wie Übermittlungen gehandhabt werden, wann Sie über eine Datenschutzverletzung informiert werden und was der Auftragsverarbeiter mit den Daten tun darf. Teams lesen es 2026 deutlich genauer als noch vor drei Jahren, und ihnen fällt auf, wenn es vage bleibt.
Warum regulierte Branchen zuerst handeln
Der Druck ist dort am größten, wo das Gespräch selbst sensibel ist: eine Bank beim Onboarding eines Kunden, eine Klinik bei der Terminbestätigung, ein Versicherer bei der Schadensbearbeitung, eine Behörde im Bürgerkontakt. In solchen Fällen wird WhatsApp Teil des Governance-Stacks, und eine schwache Hosting-Story sorgt für echte Reibung.
Die Beschaffung stockt, die Rechtsabteilung eskaliert, eine Datenschutz-Folgenabschätzung wird neu aufgerollt, die Sicherheit legt Einspruch ein. Deshalb führen ausgerechnet die Käufer mit dem größten Risiko regionsspezifische Infrastruktur am schnellsten ein. Ein sauberes, EU-basiertes Reporting über Ihre WhatsApp-Analytics- und Governance-Tools hilft zusätzlich, sobald Prüfer Nachweise statt Zusicherungen verlangen.
Compliance wird zur Marketplace-Entscheidung
Eine der deutlicheren Verschiebungen in diesem Jahr betrifft die Frage, wer bei einer Solution-Partner-Entscheidung mit am Tisch sitzt. Früher war das die Sicherheit. Heute reden Beschaffung, Recht, Betrieb und mitunter die Geschäftsführung mit, weil Kommunikationsinfrastruktur direkt in das unternehmensweite Risiko einfließt.
Das hat verändert, wie der WhatsApp Marketplace konkurriert. Verfügbarkeit und Onboarding-Geschwindigkeit zählen weiterhin, gewinnen aber allein keinen Abschluss mehr. Käufer vergleichen Anbieter heute anhand der Transparenz der Infrastruktur, der Hosting-Jurisdiktion und der Frage, ob sich das gesamte Setup vor einer Aufsichtsbehörde verteidigen lässt.
Von „konform“ zu „belastbar“
Es gibt einen echten Unterschied zwischen dem Abhaken eines Compliance-Häkchens und der Fähigkeit, das eigene Setup zu verteidigen, wenn jemand nachbohrt. Belastbar heißt, dass Sie auf Nachfrage belegen können:
- wo Ihre Daten tatsächlich liegen
- dass Sie das Übermittlungsrisiko bewertet haben
- dass Ihr Anbieter schriftlich in der Verantwortung steht
- dass Ihre Verarbeitungslogik dokumentiert und nicht bloß angenommen ist
Das ist eine höhere Messlatte, und sie hält nur, wenn Recht, Infrastruktur, Beschaffung, Sicherheit und die Leute, die das Messaging-Programm tatsächlich betreiben, miteinander reden. Die Unternehmen, denen das gelingt, behandeln die WhatsApp-Infrastruktur als Teil ihrer Governance, so wie jedes andere System, das Kundendaten verarbeitet.
Wo 360Dialog in diesen Wandel passt
360Dialog hat seine Infrastrukturstrategie genau auf dieses Umfeld ausgerichtet, und zwar über zwei Ebenen. Die eigene Plattforminfrastruktur (Dashboard, Webhook-Verarbeitung und Support-Tools) läuft auf Google Cloud in der EU-Region. Die Nachrichtendaten selbst liegen auf Metas Cloud API, die standardmäßig eine US-Region nutzt, sofern Sie nicht eine EU-Datenspeicherregion wie Deutschland konfigurieren. Mit ausgewählter EU-Region wird daraus ein EU-gehostetes WhatsApp-Business-Platform-Setup, das Rechts- und Beschaffungsteams ohne eine lange Liste an Vorbehalten freigeben können.