Der Text der DSGVO ist derselbe wie vor f\u00fcnf Jahren. Ver\u00e4ndert hat sich die Durchsetzung. Beh\u00f6rden, die in den ersten Jahren vor allem Leitlinien geschrieben haben, treffen inzwischen Entscheidungen, und die gr\u00f6\u00dften davon betreffen genau das, wor\u00fcber WhatsApp-K\u00e4ufer fr\u00fcher hinweggesehen haben: wohin Daten flie\u00dfen, sobald sie die App verlassen.<\/p>\n\n\n
Im Mai 2023 verh\u00e4ngte die irische Datenschutzbeh\u00f6rde eine Geldbu\u00dfe von 1,2 Milliarden Euro gegen Meta und untersagte dem Unternehmen, Daten europ\u00e4ischer Nutzer in die USA zu \u00fcbermitteln. Hinter dieser Summe stand kein Leck und kein Datenschutzvorfall. Der \u00dcbermittlungsmechanismus selbst, also die \u00dcbertragung von EU-Daten auf US-Server, war f\u00fcr rechtswidrig erkl\u00e4rt worden.<\/p>\n\n\n
Jedes Unternehmen, das Kundendaten \u00fcber US-kontrollierte Infrastruktur leitet, hat damit einen konkreten Preis f\u00fcr einen Fehler vor Augen: DSGVO-Bu\u00dfgelder k\u00f6nnen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes erreichen.<\/p>\n\n\n
Eine Solution-Partner-Bewertung sieht heute entsprechend aus. Meta hat die Bezeichnung Business Solution Provider (BSP) abgel\u00f6st; diese Partner hei\u00dfen jetzt offiziell Solution Partner. Sie geht weit \u00fcber Cookie-Banner und Datenschutzerkl\u00e4rungen hinaus, und die Beschaffung will Konkretes wissen:<\/p>\n\n\n
- \n
- Wo die Infrastruktur physisch betrieben wird<\/li>\n\n\n
- Welche Unterauftragsverarbeiter mit den Daten in Ber\u00fchrung kommen<\/li>\n\n\n
- Welche Rechtsordnung den Zugriff auf die Daten erzwingen kann<\/li>\n\n\n
- Wie grenz\u00fcberschreitende \u00dcbermittlungen ausgestaltet sind<\/li>\n<\/ul>\n\n\n
An diesen Antworten entscheidet sich die DSGVO-Konformit\u00e4t von WhatsApp tats\u00e4chlich.<\/p>\n\n\n
Wo Ihr DSGVO-Risiko tats\u00e4chlich liegt<\/strong><\/h3>\n\n\n
Keine ernstzunehmende Aufsichtsbeh\u00f6rde behandelt WhatsApp als per se nicht konform. Was Ihr Risiko bestimmt, ist die Architektur drumherum. Zwei Unternehmen k\u00f6nnen identische WhatsApp-Kampagnen fahren und trotzdem in v\u00f6llig unterschiedlichen Risikopositionen landen, je nachdem, wo ihr Solution Partner die Daten hostet, wie er Nachrichten routet, welche Unterauftragsverarbeiter er einsetzt und wo er seine Protokolle speichert.<\/p>\n\n\n
In regulierten Branchen ist genau diese Architekturfrage der Grund, warum die EU-gehostete WhatsApp Business API<\/a> auf den Tisch kommt. Wenn Anwendungsdaten und Verarbeitung innerhalb des Europ\u00e4ischen Wirtschaftsraums bleiben, verkleinert das den Teil Ihres Setups, den eine \u00dcbermittlungsbewertung abdecken muss. Die DSGVO-Pflichten gelten so oder so, aber die schwierigste Frage der gesamten Pr\u00fcfung, n\u00e4mlich was mit diesen Daten geschieht, sobald sie die EU verlassen, stellt sich dann schlicht nicht mehr.<\/p>\n\n\n
DSGVO-Konformit\u00e4t h\u00e4ngt am Datenfluss<\/strong><\/h2>\n\n\n
Die meisten Teams untersch\u00e4tzen, wie kleinteilig eine moderne DSGVO-Pr\u00fcfung geworden ist. Sp\u00e4testens seit Schrems II, dem Urteil von 2020, das den EU-US Privacy Shield gekippt hat, erwarten die europ\u00e4ischen Aufsichtsbeh\u00f6rden, dass Organisationen ihre Datenfl\u00fcsse genau abbilden k\u00f6nnen:<\/p>\n\n\n
- \n
- Wohin die Metadaten von Nachrichten wandern<\/li>\n\n\n
- Wo die Anwendungsprotokolle geschrieben werden<\/li>\n\n\n
- Welche Systeme Kundenkennungen verarbeiten<\/li>\n\n\n
- Ob bei Weiterleitung oder Support etwas die EU verl\u00e4sst<\/li>\n<\/ul>\n\n\n
An dieser Stelle fallen viele Solution-Partner-Versprechen in sich zusammen. Ein Anbieter kann sich \u201eeuropafreundlich\u201c nennen und trotzdem Logging, Support-Tools oder Fallback-Verarbeitung auf Systemen au\u00dferhalb der EU betreiben. Er kann eine oberfl\u00e4chliche Pr\u00fcfung bestehen und in dem Moment durchfallen, in dem jemand eine Datenschutz-Folgenabsch\u00e4tzung ansetzt.
Die Datenresidenz von WhatsApp ist damit von einer juristischen Randnotiz zu etwas geworden, das Sie belegen k\u00f6nnen m\u00fcssen: Wo liegen diese Daten, und wer kann darauf zugreifen? Die Frage wird sch\u00e4rfer, sobald WhatsApp vom Marketingkanal zu Onboarding und Support \u00fcber die WhatsApp API wird und dabei den ganzen Tag personenbezogene Daten verarbeitet.<\/p>\n\n\nNutzung der Anwendung gegen\u00fcber Kontrolle \u00fcber die Infrastruktur<\/strong><\/h3>\n\n\n
Die L\u00fccke, die die meisten K\u00e4ufer \u00fcbersehen, liegt zwischen der Nutzung einer Anwendung und der Kontrolle \u00fcber die Infrastruktur darunter. Eine Messaging-Plattform kann an der Oberfl\u00e4che sauber aussehen und Sie darunter trotzdem exponieren. Nachrichten sind vielleicht Ende-zu-Ende verschl\u00fcsselt, w\u00e4hrend operative Metadaten \u00fcber US-Systeme laufen, Protokolle in einer Nicht-EU-Region liegen oder ein Support-Mitarbeiter aus einem Drittland auf die Daten zugreift. In einer Produktdemo taucht davon nichts auf. Es kommt sp\u00e4ter heraus, wenn die Rechtsabteilung nachverfolgt, wohin die Daten tats\u00e4chlich gehen.<\/p>\n\n\n
EU-Hosting gegen\u00fcber globalem Hosting in der Praxis<\/strong><\/h2>\n\n\n
Ein klassisches globales Setup ist auf Skalierung und Bequemlichkeit ausgelegt. Meist bedeutet das:<\/p>\n\n\n
- \n
- Workloads verteilt \u00fcber mehrere Regionen<\/li>\n\n\n
- Weltweit replizierte Protokolle<\/li>\n\n\n
- Support zentralisiert an einem Standort<\/li>\n\n\n
- Verarbeitung standardm\u00e4\u00dfig in den USA<\/li>\n<\/ul>\n\n\n
F\u00fcr viele Anwendungsf\u00e4lle funktioniert das gut. Bei regulierten Daten beschert es Ihnen eine lange Liste von \u00dcbermittlungen, die Sie anschlie\u00dfend rechtfertigen m\u00fcssen. Eine EU-gehostete WhatsApp Business API dreht das um: Die Verarbeitung bleibt in einer EU-Region, die Speicherung bleibt lokal, \u00dcbermittlungen werden auf ein Minimum reduziert, und die Kontrollen werden pro Region gesetzt. Sie unterschreiben weiterhin einen Auftragsverarbeitungsvertrag und f\u00fchren weiterhin Ihre Bewertungen durch. Der Bereich, den Sie verteidigen m\u00fcssen, ist aber kleiner, und die Pr\u00fcfung geht schneller, weil es weniger zu erkl\u00e4ren gibt.<\/p>\n\n\n
Der CLOUD Act und der extraterritoriale Zugriff<\/strong><\/h3>\n\n\n
Europ\u00e4ische K\u00e4ufer kommen immer wieder auf eine Frage zur\u00fcck: Wem geh\u00f6rt die Infrastruktur eigentlich? Nach dem US-amerikanischen CLOUD Act von 2018 kann ein US-Anbieter gezwungen werden, Daten herauszugeben, die er kontrolliert, selbst wenn diese Daten im Ausland gespeichert sind. Das Risiko ist hier jurisdiktioneller Natur. Auch ein Unternehmen, dem Sie voll vertrauen, kann eine US-Anordnung erhalten und muss ihr Folge leisten.
F\u00fcr eine Bank oder ein Krankenhaus \u00f6ffnet das eine Reihe von Fragen, die kein Vertriebsdeck ausr\u00e4umt: ob die Daten \u00fcberhaupt angefordert werden k\u00f6nnen, welche Metadaten unter diese Reichweite fallen und was tats\u00e4chlich zwischen einer US-Gerichtsanordnung und europ\u00e4ischen Kundendaten steht. Hosting-Standort und Eigentum an der Infrastruktur sind deshalb keine nachrangigen Details mehr, und das CLOUD-Act-Risiko bei WhatsApp taucht in ernsthaften Anbieterpr\u00fcfungen inzwischen als fester Posten auf.<\/p>\n\n\nDokumentation z\u00e4hlt mehr als Marketing<\/strong><\/h2>\n\n\n
\u201eGDPR-ready\u201c, \u201eprivacy-focused\u201c, \u201eenterprise secure\u201c – jeder Anbieter bietet eine Variante davon. Beschaffungsteams haben gelernt, an den Schlagworten vorbeizusehen und nach den Unterlagen zu fragen:<\/p>\n\n\n
- \n
- Eine echte Liste der Unterauftragsverarbeiter<\/li>\n\n\n
- Dokumentation, wo das Deployment tats\u00e4chlich stattfindet<\/li>\n\n\n
- Vertragliche Verarbeitungsbedingungen, an denen sich der Anbieter festhalten l\u00e4sst<\/li>\n<\/ul>\n\n\n
Das Dokument mit dem gr\u00f6\u00dften Gewicht ist der Auftragsverarbeitungsvertrag, das WhatsApp DPA. Fr\u00fcher war das eine Anlage, die niemand ge\u00f6ffnet hat. Heute wird es wie ein Vertrag durchgearbeitet, denn er regelt, wer wof\u00fcr verantwortlich ist, wie \u00dcbermittlungen gehandhabt werden, wann Sie \u00fcber eine Datenschutzverletzung informiert werden und was der Auftragsverarbeiter mit den Daten tun darf. Teams lesen es 2026 deutlich genauer als noch vor drei Jahren, und ihnen f\u00e4llt auf, wenn es vage bleibt.<\/p>\n\n\n
![\"DSGVO-Checkliste](\"https:\/\/360dialogblog.com\/wp-content\/uploads\/2026\/07\/dsgvo-checkliste-whatsapp-business-platform-1024x614.png\")
<\/figure>\n\n\nWarum regulierte Branchen zuerst handeln<\/strong><\/h3>\n\n\n
Der Druck ist dort am gr\u00f6\u00dften, wo das Gespr\u00e4ch selbst sensibel ist: eine Bank beim Onboarding eines Kunden, eine Klinik bei der Terminbest\u00e4tigung, ein Versicherer bei der Schadensbearbeitung, eine Beh\u00f6rde im B\u00fcrgerkontakt. In solchen F\u00e4llen wird WhatsApp Teil des Governance-Stacks, und eine schwache Hosting-Story sorgt f\u00fcr echte Reibung.
Die Beschaffung stockt, die Rechtsabteilung eskaliert, eine Datenschutz-Folgenabsch\u00e4tzung wird neu aufgerollt, die Sicherheit legt Einspruch ein. Deshalb f\u00fchren ausgerechnet die K\u00e4ufer mit dem gr\u00f6\u00dften Risiko regionsspezifische Infrastruktur am schnellsten ein. Ein sauberes, EU-basiertes Reporting \u00fcber Ihre WhatsApp-Analytics- und Governance-Tools<\/a> hilft zus\u00e4tzlich, sobald Pr\u00fcfer Nachweise statt Zusicherungen verlangen.<\/p>\n\n\nCompliance wird zur Marketplace-Entscheidung<\/strong><\/h2>\n\n\n
Eine der deutlicheren Verschiebungen in diesem Jahr betrifft die Frage, wer bei einer Solution-Partner-Entscheidung mit am Tisch sitzt. Fr\u00fcher war das die Sicherheit. Heute reden Beschaffung, Recht, Betrieb und mitunter die Gesch\u00e4ftsf\u00fchrung mit, weil Kommunikationsinfrastruktur direkt in das unternehmensweite Risiko einflie\u00dft.
Das hat ver\u00e4ndert, wie der WhatsApp Marketplace<\/a> konkurriert. Verf\u00fcgbarkeit und Onboarding-Geschwindigkeit z\u00e4hlen weiterhin, gewinnen aber allein keinen Abschluss mehr. K\u00e4ufer vergleichen Anbieter heute anhand der Transparenz der Infrastruktur, der Hosting-Jurisdiktion und der Frage, ob sich das gesamte Setup vor einer Aufsichtsbeh\u00f6rde verteidigen l\u00e4sst.<\/p>\n\n\nVon \u201ekonform\u201c zu \u201ebelastbar\u201c<\/strong><\/h3>\n\n\n
Es gibt einen echten Unterschied zwischen dem Abhaken eines Compliance-H\u00e4kchens und der F\u00e4higkeit, das eigene Setup zu verteidigen, wenn jemand nachbohrt. Belastbar hei\u00dft, dass Sie auf Nachfrage belegen k\u00f6nnen:<\/p>\n\n\n