DSGVO und Marketing-Nachrichten: Was Sie im Jahr 2026 wissen müssen

Warum die DSGVO für alle wichtig ist, die WhatsApp und SMS im Unternehmen nutzen

Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen, das personenbezogene Daten von Personen mit Wohnsitz in der Europäischen Union verarbeitet — unabhängig von der Größe des Unternehmens oder dem Land, in dem es seinen Sitz hat.

Das Senden einer WhatsApp- oder SMS-Nachricht an einen Kunden stellt eine Verarbeitung personenbezogener Daten dar. Die Mobiltelefonnummer ist ein personenbezogenes Datum. Der Inhalt der Nachricht kann weitere personenbezogene Daten enthalten. Der Gesprächsverlauf ist eine Sammlung personenbezogener Daten.

In den letzten Jahren haben die Datenschutzbehörden die Anzahl der Verfahren gegen kleine und mittlere Unternehmen erheblich gesteigert. Die Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen — je nachdem, welcher Betrag höher ist.

Die drei wichtigsten Prinzipien für Marketing-Nachrichten

1. Rechtsgrundlage für die Verarbeitung

Um Marketing-Nachrichten zu versenden, benötigt Ihr Unternehmen eine Rechtsgrundlage. Die beiden am häufigsten genutzten für die direkte Kommunikation sind:

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Der Kunde hat seine ausdrückliche Erlaubnis zum Erhalt von Marketing-Mitteilungen erteilt. Diese Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden (ein vom Nutzer selbst angekreuztes Kontrollkästchen, kein vorab angekreuztes).

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Dies kann für die Kommunikation mit Bestandskunden über Produkte oder Dienstleistungen herangezogen werden, die denen ähneln, die sie bereits erworben haben, sofern eine einfache Abmeldemöglichkeit (Opt-out) besteht. Diese Grundlage ist enger gefasst und muss im Einzelfall geprüft werden.

2. Recht auf Widerspruch (Opt-out)

Jede Person, die Marketing-Mitteilungen erhält, hat das Recht, dem jederzeit zu widersprechen. Ihre Nachrichten müssen einen klaren und funktionierenden Abmeldemechanismus enthalten.

Für WhatsApp: Fügen Sie hinzu: "Antworten Sie mit STOPP, um keine weiteren Nachrichten zu erhalten" und setzen Sie diese Bitte unverzüglich um.

Für SMS: Dasselbe. Registrieren Sie alle Opt-out-Anfragen — die Datenschutzbehörden können diese Liste anfordern.

3. Zweckbindung und Datenminimierung

Erheben Sie keine Daten, die Sie nicht benötigen. Wenn Sie die Mobiltelefonnummer erheben, um Bestellbestätigungen zu senden, dürfen Sie diese Nummer ohne eine erneute Einwilligung für diesen spezifischen Zweck nicht für Marketingkampagnen verwenden.

Was zu dokumentieren und aufzubewahren ist

Datenschutzbehörden können Nachweise über die Einhaltung der Vorschriften verlangen. Führen Sie Aufzeichnungen über:

• Wann und wie die Einwilligung eingeholt wurde (Datum, Quelle, verwendetes Formular oder Kontrollkästchen).
• Was genau der Nutzer autorisiert hat.
• Erhaltene Abmeldungen und das Datum der Bearbeitung.
• Datenaufbewahrung: Wie lange Sie Nummern und Gespräche speichern.

Auftragsverarbeitungsverträge (AVV)

Wenn Sie eine Messaging-Plattform wie WhatSMS nutzen, übergeben Sie personenbezogene Daten Ihrer Kunden an einen Auftragsverarbeiter. Die DSGVO verlangt, dass zwischen Ihrem Unternehmen und dem Anbieter ein Auftragsverarbeitungsvertrag (AVV bzw. DPA) abgeschlossen wird.

WhatSMS stellt allen Kunden einen DPA zur Verfügung, der bestätigt, dass die Daten ausschließlich innerhalb der Europäischen Union verarbeitet werden (Hetzner-Server in Deutschland und Österreich).

Transaktionale Nachrichten vs. Marketing-Nachrichten

Diese Unterscheidung ist von entscheidender Bedeutung. Die DSGVO-Regeln für das Marketing sind weitaus strenger als für transaktionale Mitteilungen.

Transaktionale Nachrichten (erfordern keine Marketing-Einwilligung): Bestellbestätigungen, Lieferbenachrichtigungen, Terminerinnerungen, Kontobenachrichtigungen, Antworten auf vom Kunden initiierte Anfragen.

Marketing-Nachrichten (erfordern eine spezifische Rechtsgrundlage): Werbeaktionen und Rabatte, Einführung neuer Produkte, Newsletter über WhatsApp oder SMS, proaktives Upselling/Cross-Selling.

Wenn Sie eine Bestellbestätigung senden und am Ende einen Rabattgutschein einfügen, wird die Nachricht teilweise zu einer Marketing-Nachricht. Seien Sie an dieser Grenze vorsichtig.

Praktische Checkliste

Prüfen Sie vor dem Start Ihrer nächsten Kampagne:

• Haben Sie für jedes Empfängersegment eine dokumentierte Rechtsgrundlage?
• Enthalten die Nachrichten ein klares und funktionierendes Opt-out?
• Haben Sie dokumentiert, wann und wie die Einwilligung eingeholt wurde?
• Liegt ein unterzeichneter DPA mit dem Anbieter der Messaging-Plattform vor?
• Werden Kundendaten nur so lange wie nötig aufbewahrt?
• Kennt das Team das Verfahren zur Beantwortung von Anfragen auf Auskunft, Berichtigung oder Löschung von Daten?

Die Einhaltung der DSGVO ist kein einmaliges Projekt — es ist eine kontinuierliche Praxis. Aber mit den richtigen Prozessen im Hintergrund ist der Pflegeaufwand minimal.