Ein WhatsApp-Opt-in ist nur so viel wert, wie Sie darüber beweisen können. Unter der DSGVO liegt die Last bei Ihnen: nicht zu behaupten, der Kunde habe vermutlich zugestimmt, sondern zu zeigen, wann er zugestimmt hat, wozu, mit welchen Worten, und wie er hätte ablehnen können. Die meisten in freier Wildbahn gesammelten Opt-ins scheitern an diesem Test nicht, weil der Kunde widersprochen hätte, sondern weil niemand den Nachweis gespeichert hat — und eine Einwilligung, die Sie nicht belegen können, ist praktisch eine Einwilligung, die Sie nicht haben.
Dieser Leitfaden behandelt die zwei Regelwerke, die gleichzeitig gelten, was eine WhatsApp-Einwilligung wirksam macht, wie Sie Checkbox und Bestätigungsschritt gestalten, was Ihr Einwilligungsnachweis enthalten muss, und warum berechtigtes Interesse in Europa kein Ausweg ist. Dies sind allgemeine Informationen, keine Rechtsberatung — lassen Sie Ihren eigenen Ablauf anwaltlich prüfen.
Zwei Regelwerke gelten gleichzeitig
Metas Richtlinie verlangt, vor unternehmensinitiierten Nachrichten ein Opt-in einzuholen, klarzumachen, dass die Nachrichten über WhatsApp eintreffen, und anzugeben, welche Art von Nachrichten zu erwarten ist. Die Einwilligung darf über jeden Kanal erhoben werden — Webformular, Kasse, QR-Code im Laden, Telefonat — solange der Nutzer aktiv zustimmt. Meta schreibt kein Speicherformat vor; sie macht Sie dafür verantwortlich, sie eingeholt zu haben.
Das Datenschutzrecht ist strenger und davon unabhängig. In der EU definiert Art. 4 Nr. 11 DSGVO Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben, in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Art. 7 Abs. 1 verlangt, dass der Verantwortliche sie nachweisen kann. Art. 7 Abs. 2 verlangt, dass das Ersuchen von anderen Sachverhalten klar unterscheidbar und in verständlicher Sprache abgefasst ist. Art. 7 Abs. 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung.
Das eine Regelwerk zu bestehen bestätigt das andere nicht. Meta wird Ihr Einwilligungsprotokoll vielleicht nie prüfen; eine Aufsichtsbehörde, die einer einzigen Beschwerde nachgeht, verlangt genau diesen Nachweis.
Was eine WhatsApp-Einwilligung wirksam macht
Sie benennt den Kanal. „Für Neuigkeiten anmelden" autorisiert kein WhatsApp. Das Ersuchen muss sagen, dass die Nachrichten über WhatsApp kommen, denn die Einwilligung muss sich auf die Verarbeitung beziehen, die sie erlaubt.
Sie ist von anderen Kanälen getrennt. Eine einzige Checkbox für E-Mail, SMS und WhatsApp bündelt drei verschiedene Zwecke in einer Handlung. Trennen Sie sie, und lassen Sie den Nutzer einen wählen, ohne die anderen.
Sie ist vom Vertrag getrennt. Die Werbeeinwilligung darf keine Bedingung für Kauf, Registrierung oder Download sein. In die AGB eingeschmolzen ist sie nicht freiwillig.
Sie ist bestätigend. Vorangekreuzte Kästchen, Opt-out durch Schweigen und „mit dem Fortfahren stimmen Sie zu" sind keine eindeutigen bestätigenden Handlungen. Ebenso wenig eine Checkbox, deren Beschriftung nur auf eine Datenschutzerklärung verweist, die der Nutzer lesen muss, um zu erfahren, wozu er zugestimmt hat.
Sie ist granular, wo sich die Nachrichtenarten unterscheiden. Bestellupdates und Werbekampagnen sind nicht derselbe Zweck. Eine Einwilligung je Kategorie kostet eine zusätzliche Checkbox und macht den Unterschied zwischen einem gesperrten Kanal und den übrigen, die überleben.
Double Opt-in — und warum es um Beweise geht
Double Opt-in heißt, dass die anfängliche Zustimmung über einen zweiten, unabhängigen Schritt bestätigt wird — typischerweise eine Nachricht, die der Nutzer beantworten muss, um das Abonnement zu aktivieren. Die DSGVO schreibt es nicht vor. Es zählt, weil es einen Nachweis erzeugt, der Ihnen sonst fehlte: den Beleg, dass die Nummer der Person gehört, die eingewilligt hat, und eine zeitgestempelte Bestätigung vom Gerät selbst.
Der Fehlerfall, den es verhindert, ist banal. Jemand vertippt sich um eine Ziffer, oder ein Wettbewerber trägt Ihre Nummer in ein Formular ein. Ohne Bestätigung halten Sie einen Einwilligungsdatensatz, der auf eine Person zeigt, die sie nie gegeben hat — und eine Beschwerde, die Sie mit Ihrem Datensatz nicht entkräften können.
Wurde das Opt-in auf WhatsApp selbst erhoben — der Nutzer hat Ihnen zuerst geschrieben und um Neuigkeiten gebeten —, ist die Bestätigung bereits enthalten, und ein zweiter Umlauf erzeugt nur Reibung.
Was der Nachweis enthalten muss
Gehen Sie davon aus, dass Sie eines Tages eine einzige Zeile vorlegen müssen, die die Einwilligung einer Person belegt. Diese Zeile sollte tragen: die Kennung, für die eingewilligt wurde (die Telefonnummer), den Zeitstempel, den Erhebungspunkt (welches Formular, welche Seite, welche Filiale), den exakten Wortlaut, der damals angezeigt wurde, die Version der geltenden Datenschutzhinweise, und das Ergebnis eines etwaigen Bestätigungsschritts.
Der Wortlaut ist der Teil, den Teams vergessen, und der Teil, der den Fall entscheidet. Eine Einwilligung, die unter einem seit damals geänderten Text erhoben wurde, lässt sich nur verteidigen, wenn Sie den Text im damaligen Stand abrufen können. Versionieren Sie Ihre Einwilligungstexte und speichern Sie die Versionskennung zu jedem Datensatz, statt eines Links auf die aktuelle Live-Seite.
Der Widerruf gehört in denselben Datensatz. Protokollieren Sie das Opt-out, den Zeitstempel und den Kanal, über den es kam, und behandeln Sie eine STOP-Antwort oder eine gleichwertige Anweisung so unmittelbar wie ein Formular — das Gebot der einfachen Widerrufbarkeit aus Art. 7 Abs. 3 betrifft den Aufwand des Nutzers, nicht Ihren.
Berechtigtes Interesse ist nicht die Abkürzung
Die wiederkehrende Versuchung besteht darin, die Einwilligung zu überspringen und sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f zu stützen, mit der These, Bestandskunden erwarteten ohnehin, von Ihnen zu hören. In Europa ist dieses Argument für elektronische Direktwerbung schwach, weil das ePrivacy-Regime oberhalb der DSGVO eine eigene Einwilligungspflicht setzt — und sie ist eng.
Art. 13 der Richtlinie 2002/58/EG erlaubt ein begrenztes „Soft Opt-in": Ein Unternehmen, das Kontaktdaten im Zusammenhang mit einem Verkauf erhalten hat, darf eigene ähnliche Produkte bewerben, sofern der Kunde bei der Erhebung und in jeder Folgenachricht einfach widersprechen kann. Die Mitgliedstaaten setzen das unterschiedlich um, und die Ausnahme ist meist um E-Mail herum formuliert. Sie auf einen so aufdringlichen Kanal wie WhatsApp auszudehnen, wäre ein Argument, das Sie zum ersten Mal vortragen — vor einer Aufsichtsbehörde, zu einer Nachricht, über die sich der Empfänger bereits beschwert hat.
Die italienische Praxis zeigt, wie wenig Spielraum bleibt. In einer Entscheidung vom 23. Oktober 2025 wies der Garante den Versuch eines Unternehmens zurück, Werbe-E-Mails mit berechtigtem Interesse zu rechtfertigen, stellte erneut fest, dass Werbekommunikation nicht ohne vorherige Einwilligung versandt werden darf, bestätigte, dass die Soft-Spam-Ausnahme nur für Bestandskunden und ähnliche Produkte gilt, und ergänzte, dass öffentliche Register keine zulässige Quelle für den Aufbau von Werbelisten sind. Das Unternehmen entging einem Bußgeld nur, weil der Sachverhalt alt war, zwei E-Mails betraf und von einem Kleinstunternehmen stammte — die Feststellung der Rechtswidrigkeit blieb bestehen.
Wann ein WhatsApp-Opt-in der falsche Schritt ist
Ist Ihre einzige geplante Nutzung transaktional — Bestellbestätigungen, Lieferupdates, Terminerinnerungen an Personen, die gebucht haben —, ist ein breites Marketing-Opt-in Übererhebung. Fragen Sie nach dem, was die Nachrichten tatsächlich sind, und beschaffen Sie sich keine Werbeeinwilligung, für die Sie keine Kampagne haben. Ungenutzte Einwilligungen altern trotzdem, müssen trotzdem dokumentiert und auf Verlangen trotzdem gelöscht werden.
Falsch ist es auch, wenn das Opt-in gekauft statt verdient wurde. Gekaufte Listen, abgegriffene Nummern und Einwilligungen, die ein Partner „in Ihrem Namen" ohne prüfbaren Nachweis eingeholt hat, sind der häufigste Weg in ein Verfahren. Wenn Sie den Wortlaut nicht sehen können, dem die Person zugestimmt hat, haben Sie keine Einwilligung — Sie haben eine Telefonnummer.
Und wenn Ihr Volumen eine Consent-Management-Schicht wirklich nicht rechtfertigt, widerstehen Sie der Versuchung, eine in einer Tabelle zusammenzuschustern: Betreiben Sie Utility-Nachrichten an Personen, die bei Ihnen gekauft haben, und holen Sie die Werbeeinwilligung ein, wenn es eine Kampagne gibt, die sie rechtfertigt.
Ein Ablauf, der einer Prüfung standhält
Setzen Sie eine eigene, nicht vorangekreuzte Checkbox ins Formular, formuliert in der ersten Person und mit ausdrücklicher Nennung von WhatsApp. Speichern Sie Nummer, Zeitstempel, Quelle und die Versionskennung des exakten Wortlauts. Senden Sie eine Bestätigungsnachricht, die sagt, was die Person erhalten wird und wie sie stoppt. Protokollieren Sie die Antwort. Bieten Sie STOP in jeder Kampagne an, verarbeiten Sie es automatisch und spiegeln Sie es in demselben Datensatz. Prüfen Sie den Wortlaut einmal jährlich und erhöhen Sie die Version, statt an Ort und Stelle zu ändern.
Nichts davon ist teuer im Aufbau. Teuer ist das Nachrüsten, denn nicht geführte Nachweise lassen sich später nicht rekonstruieren — genau deshalb gestaltet man den Erhebungspunkt vor der ersten Kampagne und nicht nach der ersten Beschwerde. Der Leitfaden zum Marketing über die WhatsApp Business API behandelt, was möglich ist, sobald die Einwilligungsseite sitzt.
TikJoy betreibt seinen Concierge auf der offiziellen WhatsApp Business API — also auf der Ebene, auf der jede der obigen Regeln gilt: Opt-in, Nachweis und Widerruf gehören der Marke, nicht der Plattform. So funktioniert der WhatsApp AI Concierge.