eEmployed Logo – WhatsApp-KI für Hausverwaltungen
Kostenloses Erstgespräch

Leitfaden

WhatsApp und DSGVO in der Hausverwaltung: So setzen Sie den Kanal datenschutzkonform ein

Kurzantwort

Ja, Hausverwaltungen, WEG-Verwalter und Property Manager können WhatsApp datenschutzkonform für die Mieterkommunikation einsetzen, wenn vier Bedingungen erfüllt sind: die offizielle WhatsApp Business API statt der privaten App, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine dokumentierte Einwilligung der Mieter und funktionierende Prozesse für Auskunft und Löschung. Die private WhatsApp-App auf dem Diensthandy erfüllt diese Bedingungen nicht.

Warum die private WhatsApp-App nicht genügt

Das Kernproblem der privaten WhatsApp-App ist der Adressbuch-Abgleich: Die App übermittelt fortlaufend die Kontaktdaten aller im Telefon gespeicherten Personen an Meta, auch von Menschen, die dazu nie eingewilligt haben. Für eine Verwaltung, die Mieterdaten verantwortet, ist das der zentrale Kritikpunkt der Datenschutz-Aufsichtsbehörden. Dazu kommen strukturelle Lücken, die sich im Verwaltungsalltag nicht heilen lassen:

  • Es gibt keinen Auftragsverarbeitungsvertrag mit Meta für die private App.
  • Private Geräte und Konten entziehen die Kommunikation Ihrer Kontrolle: Auskunft, Löschung und Zugriffsschutz lassen sich nicht verlässlich umsetzen.
  • Dienstliche und private Chats vermischen sich auf demselben Gerät.
  • Verlässt ein Mitarbeiter das Team, nimmt er die Chatverläufe einfach mit.

Was die WhatsApp Business API anders macht

Die offizielle WhatsApp Business API ist die Unternehmens-Schnittstelle von WhatsApp. Sie funktioniert grundlegend anders als die App auf dem Handy: Es gibt keinen Adressbuch-Abgleich, die Kommunikation läuft über einen Anbieter mit Vertragskette, und sie lässt sich in Ihre Systeme und Berechtigungen einbinden.

  • Kein Zugriff auf ein Telefon-Adressbuch, verarbeitet werden nur die Kontakte, die Sie aktiv anlegen.
  • Der Anbieter stellt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und legt seine Subdienstleister offen.
  • Rollenrechte und Protokollierung sind möglich, statt Vollzugriff über ein privates Gerät.
  • Gespräche bleiben im Unternehmen, auch wenn Mitarbeitende wechseln.

Ehrlichkeit gehört dazu: Auch mit der Business API bleibt WhatsApp ein Dienst von Meta, dort fallen weiterhin Verbindungs- und Metadaten an. Aussagen wie "keine Daten in den USA" sind bei WhatsApp nicht seriös. Entscheidend sind Transparenz gegenüber Mietern, die Verarbeitung der Inhalte auf EU-Servern und eine saubere Vertragskette.

Die vier Bausteine im Detail

Datenschutzkonforme Mieterkommunikation über WhatsApp steht auf vier Bausteinen. Fehlt einer, kippt das Gesamtbild.

Einwilligung der Mieter

Art. 6 Abs. 1 lit. a DSGVO

Für die Kommunikation über WhatsApp ist regelmäßig eine Einwilligung erforderlich. Sie trägt nur, wenn sie freiwillig, informiert und nachweisbar ist.

  • Dokumentieren, wann und wie eingewilligt wurde
  • Widerruf jederzeit und formlos ermöglichen
  • Gleichwertige Alternative anbieten, zum Beispiel E-Mail
  • Kein Nachteil für Mieter, die WhatsApp nicht nutzen wollen

Auftragsverarbeitungsvertrag

Art. 28 DSGVO

Sobald ein Anbieter Mieterdaten in Ihrem Auftrag verarbeitet, braucht es einen AVV. Er macht aus einem Versprechen eine überprüfbare Pflicht.

  • Regelt Weisungen, Schutzmaßnahmen und Löschung
  • Listet alle Subdienstleister transparent auf
  • Ohne AVV fehlt die Grundlage für die Auslagerung
  • Beim Anbieter aktiv einfordern, nicht nur ablegen

Transparenz und Information

Art. 13 DSGVO

Mieter müssen verstehen können, wer ihre Nachrichten zu welchem Zweck verarbeitet, welche Empfänger es gibt und wie lange gespeichert wird.

  • Datenschutzinformation um den Kanal WhatsApp ergänzen
  • Zwecke, Empfänger und Speicherdauer klar benennen
  • Vor der ersten Kommunikation bereitstellen
  • Verständlich formulieren statt juristisch verschachteln

Betroffenenrechte und Löschkonzept

Art. 15, 17 und 32 DSGVO

Auskunft, Löschung und Zugriffsschutz müssen im Alltag funktionieren, nicht nur auf dem Papier. Das verlangt definierte Abläufe und Technik.

  • Fester Ablauf für Auskunfts- und Löschanfragen
  • Aufbewahrungs- und Löschfristen definieren
  • Rollenrechte statt Vollzugriff für alle
  • Zugriffe nachvollziehbar protokollieren

Häufige Fehler in der Praxis

Diese Muster sehen wir in Gesprächen mit Verwaltungen immer wieder. Jeder einzelne Punkt reicht aus, um eine ansonsten saubere Umsetzung zu entwerten:

  • Mitarbeitende kommunizieren über private Handynummern und private WhatsApp-Konten
  • Broadcast-Listen laufen über die private App und damit über den Adressbuch-Abgleich
  • Die Einwilligung wird nur mündlich eingeholt oder gar nicht dokumentiert
  • Fotos mit Standortdaten in den Metadaten werden ungeprüft gespeichert
  • Es gibt keinen definierten Ablauf für Widerruf, Auskunft und Löschung
  • WhatsApp wird als einziger Kanal erzwungen, ohne Alternative wie E-Mail

Checkliste: in sieben Schritten zur datenschutzkonformen Mieterkommunikation

  1. 1

    Business API statt privater App

    Stellen Sie auf die offizielle WhatsApp Business API um, über einen Anbieter, der einen AVV bereitstellt. Damit entfällt der Adressbuch-Abgleich der privaten App.

  2. 2

    AVV prüfen und abschließen

    Fordern Sie den Auftragsverarbeitungsvertrag aktiv ein und lassen Sie sich die Liste der Subdienstleister geben.

  3. 3

    Datenschutzinformation aktualisieren

    Ergänzen Sie Ihre Information nach Art. 13 DSGVO um den Kanal WhatsApp: Zwecke, Empfänger, Speicherdauer und Betroffenenrechte.

  4. 4

    Einwilligung einholen und dokumentieren

    Holen Sie die Einwilligung nachweisbar ein und bieten Sie eine gleichwertige Alternative an, zum Beispiel E-Mail.

  5. 5

    Rollen und Zugriffsrechte festlegen

    Definieren Sie, wer im Team auf die Mieterkommunikation zugreifen darf, und protokollieren Sie Zugriffe.

  6. 6

    Aufbewahrungs- und Löschfristen definieren

    Legen Sie fest, wie lange Nachrichten aufbewahrt werden und wann sie gelöscht werden. Speicherbegrenzung ist ein Grundsatz der DSGVO.

  7. 7

    Abläufe für Betroffenenrechte testen

    Spielen Sie Auskunft, Widerruf und Löschung einmal komplett durch, bevor der erste Ernstfall eintritt.

Wo steht Ihre Verwaltung heute?

Unser interaktiver DSGVO-Check führt Sie in zehn Fragen durch die wichtigsten Punkte. Ohne Anmeldung, Ihre Antworten bleiben im Browser.

Zum DSGVO-Check

Wie eEmployed diese Anforderungen umsetzt

eEmployed ist ein WhatsApp-basierter KI-Kommunikationsdienst für die Immobilienverwaltung und wurde von Anfang an um die oben beschriebenen Bausteine herum gebaut:

  • Offizielle WhatsApp Business API, kein Adressbuch-Abgleich
  • EU-Hosting und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
  • Rollenrechte und Audit-Log statt Vollzugriff für alle
  • Standort- und EXIF-Daten werden aus Fotos entfernt, bevor die KI sie analysiert
  • Rundnachrichten wahlweise per WhatsApp oder E-Mail, damit eine Alternative bereitsteht
Kostenloses ErstgesprächAlle Funktionen ansehen

Hinweis: Dieser Leitfaden ist eine sorgfältig erstellte Orientierungshilfe, aber keine Rechtsberatung. Verbindliche Aussagen für Ihren Einzelfall treffen Ihr Datenschutzbeauftragter oder eine spezialisierte Kanzlei. Stand: Juli 2026.

Häufige Fragen

Fehlt etwas? Schreiben Sie uns. Wir antworten persönlich, ohne Marketingfloskeln.

Ist WhatsApp für Hausverwaltungen DSGVO-konform?

Ja, unter vier Bedingungen: Nutzung der offiziellen WhatsApp Business API statt der privaten App, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, eine dokumentierte Einwilligung der Mieter und gelebte Prozesse für Auskunft und Löschung. Die private WhatsApp-App auf dem Diensthandy erfüllt diese Bedingungen nicht.

Warum ist die private WhatsApp-App auf dem Diensthandy problematisch?

Die private App gleicht das gesamte Adressbuch mit Meta ab und übermittelt damit Daten von Personen, die nie eingewilligt haben. Zusätzlich fehlen Auftragsverarbeitungsvertrag, Zugriffskontrolle und ein verlässlicher Ablauf für Auskunft und Löschung. Genau diese Punkte kritisieren die Datenschutz-Aufsichtsbehörden.

Brauche ich eine Einwilligung der Mieter für WhatsApp?

Regelmäßig ja. Die Einwilligung muss freiwillig, informiert und dokumentiert sein und lässt sich jederzeit widerrufen. Bieten Sie eine gleichwertige Alternative wie E-Mail an, damit niemand zur Nutzung von WhatsApp gedrängt wird.

Was ist ein Auftragsverarbeitungsvertrag (AVV) und warum brauche ich ihn?

Ein AVV nach Art. 28 DSGVO regelt verbindlich, was ein Dienstleister mit den Daten Ihrer Mieter tun darf, wie er sie schützt und wann er sie löscht. Ohne AVV fehlt die rechtliche Grundlage dafür, die Verarbeitung an einen Anbieter auszulagern.

Landen Mieterdaten trotz Business API bei Meta?

WhatsApp bleibt auch mit der Business API ein Dienst von Meta, dort fallen weiterhin Verbindungs- und Metadaten an. Seriöse Anbieter versprechen deshalb nicht, dass keine Daten in die USA gelangen, sondern schaffen Transparenz, verarbeiten Inhalte auf EU-Servern und sichern die Kette vertraglich ab.

Darf ich Mieter einfach anschreiben, wenn ich ihre Handynummer habe?

Nein. Die gespeicherte Nummer allein ist keine Rechtsgrundlage für einen neuen Kanal. Holen Sie zuerst eine Einwilligung ein, zum Beispiel indem der Mieter die Konversation selbst startet oder der Nutzung dokumentiert zustimmt.