WhatsApp in Odoo und der Datenschutz

Was für WhatsApp aus Odoo rechtlich gilt

Wer über WhatsApp mit Kundinnen und Kunden kommuniziert, verarbeitet personenbezogene Daten: die Mobilfunknummer, den Namen, den Inhalt der Nachricht und die Metadaten des Chats. Dafür gilt die Datenschutz-Grundverordnung (DSGVO), anwendbar seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Ob die Nachricht aus Odoo oder von Hand entsteht, ändert daran nichts: Verantwortlich ist der Betrieb.

Die WhatsApp-App von Odoo gehört zur Enterprise-Edition und fehlt in der Community-Edition. Eine Datenbank lässt sich nur mit einem Konto der WhatsApp Business Platform verbinden; persönliche WhatsApp-Konten und die WhatsApp Business App unterstützt die Integration nicht (Odoo-Dokumentation 20.0, WhatsApp). Eingerichtet wird die Verbindung in Meta, die Nachrichten laufen in Odoo in einem Chatverlauf zusammen.

Die Rollen sind geteilt. Verantwortlicher für die Kommunikation mit Ihren Kunden bleiben Sie. Für die Kundendaten tritt WhatsApp als Auftragsverarbeiter auf, soweit die Business-Bedingungen das vorsehen (WhatsApp Business Datenverarbeitungsbedingungen, Stand 22. August 2025). Konto-, Nutzungs-, Protokoll- und Leistungsdaten erhebt, speichert und verwendet WhatsApp dagegen auch, um die Plattformdienste, eigene Dienste und die Dienste und Produkte der Meta-Unternehmen zu entwickeln, zu betreiben, bereitzustellen, zu verbessern, zu verstehen, zu personalisieren, zu unterstützen und zu vermarkten, und kann sie mit den anderen Meta-Unternehmen teilen (Abschnitt 6 der Nutzungsbedingungen von WhatsApp für die WhatsApp Business-Plattform, gültig ab 23. September 2026). Die Datenverarbeitungsbedingungen binden WhatsApp an Ihre Weisungen, an Geheimhaltungspflichten und an technische und organisatorische Maßnahmen; sie gelten, sofern die Business-Bedingungen vorsehen, dass WhatsApp die personenbezogenen Daten aus Ihren Kundendaten als Ihr Auftragsverarbeiter verarbeitet. Nach Abschnitt 2 der Nutzungsbedingungen von WhatsApp für die WhatsApp Business-Plattform gelten zusätzlich die Meta-Nutzungsbedingungen für die WhatsApp Business-Plattform. Diese Konto-, Nutzungs-, Protokoll- und Leistungsdaten verwenden WhatsApp und die anderen Meta-Unternehmen nach Abschnitt 6 auch für eigene Zwecke; insoweit ist WhatsApp nicht nur Ihr Auftragsverarbeiter.

Wer betroffen ist und wer nicht

Betroffen ist jedes Unternehmen, das die Odoo-WhatsApp-App nutzt und dafür ein Konto der WhatsApp Business Platform betreibt. Es ist Verantwortlicher und trägt die Pflichten aus der DSGVO; Ihre Kundinnen und Kunden sind die betroffenen Personen.

Zwei Beispiele grenzen das ein. Ein Möbelhaus beantwortet eine Kundenfrage zur Lieferung im laufenden Chat: Soweit die Auskunft für die Durchführung des Vertrags erforderlich ist, trägt die Vertragserfüllung (Art. 6 Abs. 1 Buchstabe b DSGVO). Ein zweiter Betrieb kauft eine Adressliste und schickt ein Marketing-Template an 2.000 Nummern; nehmen wir an, dass keine Einwilligung vorliegt und auch § 7 Abs. 3 UWG nicht greift: Dann fehlt eine Rechtsgrundlage, und die Nachrichten sind unzulässig.

Nicht betroffen sind Betriebe ohne die Odoo-WhatsApp-App; in der Community-Edition gibt es sie nicht. Wer ein persönliches WhatsApp-Konto oder die WhatsApp Business App nutzt, arbeitet nicht über diese Schnittstelle. Und wer WhatsApp gar nicht einsetzt, hat keine WhatsApp-spezifische Verarbeitung.

Welche Pflichten Sie treffen

Aus der DSGVO folgen sechs Pflichten für den Einsatz von WhatsApp aus Odoo:

1. Rechtsgrundlage je Nachricht. Jede Verarbeitung braucht eine der Bedingungen des Art. 6 Abs. 1 DSGVO: Vertragserfüllung (Buchstabe b), berechtigtes Interesse (Buchstabe f) oder Einwilligung (Buchstabe a). Die Vertragserfüllung trägt nur, soweit die Nachricht für den Vertrag erforderlich ist; das berechtigte Interesse setzt eine Interessenabwägung voraus. Für werbliche Inhalte stützen Sie die Nachricht auf die Einwilligung (Buchstabe a); in Deutschland prüfen Sie zusätzlich § 7 UWG, und für eine vom Betrieb begonnene Unterhaltung verlangt die WhatsApp Business-Messaging-Richtlinie ein Opt-in des Empfängers und eine genehmigte Nachrichtenvorlage.
2. Einwilligung nur in der Form des Art. 7 DSGVO. Sie muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden (Art. 4 Nr. 11 DSGVO). Den Nachweis der Erteilung muss der Verantwortliche führen können (Art. 7 Abs. 1), und der Widerruf muss jederzeit und so einfach wie die Erteilung möglich sein (Art. 7 Abs. 3).
3. Information der betroffenen Person. Erheben Sie die Daten bei der betroffenen Person selbst, sind die Angaben des Art. 13 DSGVO mitzuteilen; nach Art. 13 Abs. 4 entfällt die Pflicht, soweit die betroffene Person über die Informationen bereits verfügt. Stammen sie aus einer fremden Quelle wie einer eingekauften Liste, gilt Art. 14 DSGVO; dessen Absatz 5 sieht Ausnahmen vor, etwa wenn die Erteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde. Beide nennen unter anderem Verantwortlicher, Zwecke und Rechtsgrundlage, Empfänger, eine Übermittlung in ein Drittland mit dem Übermittlungsmechanismus sowie Speicherdauer und Betroffenenrechte. Die Umsetzung in Odoo beschreibt DSGVO in Odoo umsetzen.
4. Auftragsverarbeitung. Verarbeiten WhatsApp und die von ihr beauftragten Unterauftragsverarbeiter Daten in Ihrem Auftrag, braucht das eine Grundlage nach Art. 28 Abs. 3 DSGVO mit Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, betroffenen Personen und den Pflichten des Auftragsverarbeiters. Die Bedingungen stehen in den WhatsApp Business Datenverarbeitungsbedingungen (Stand 22. August 2025); die Vertragskette beschreibt Auftragsverarbeitung bei Odoo.
5. Sicherheit der Verarbeitung. Verantwortlicher und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau (Art. 32 Abs. 1 DSGVO). Für Odoo heißt das: den Zugriff auf den WhatsApp-Kanal auf die zuständigen Rollen begrenzen und das Zugangstoken schützen. Die Mindestmaßnahmen von WhatsApp stehen in den WhatsApp Business Datensicherheitsbedingungen (Stand 29. Oktober 2020).
6. Übermittlung in Drittländer. Gehen die Daten in die USA, gilt Kapitel V der DSGVO (Art. 44 ff.). Zulässig ist die Übermittlung bei einem Angemessenheitsbeschluss (Art. 45) oder bei geeigneten Garantien wie den Standarddatenschutzklauseln (Art. 46); die Rollen und Verträge ordnet Odoo-Hosting und DSGVO ein.

Wo die Risiken liegen

Die Tabelle ordnet sechs Verarbeitungen, ihre datenschutzrechtliche Schwachstelle und die passende Maßnahme (Stand: 15. Oktober 2026).

Datenkategorie und Vorgang	Risiko	Maßnahme
Mobilfunknummer und Name des Kunden, Aufnahme des Chats	Ohne Rechtsgrundlage ist schon die Kontaktaufnahme unzulässig	Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO festlegen und dokumentieren; für Werbung die Einwilligung samt Nachweis nach Art. 7 DSGVO sowie Opt-in und Vorlage nach der WhatsApp Business-Messaging-Richtlinie
Nachrichteninhalt (Bestellung, Beschwerde, Beratung)	Nachrichten können mehr Daten enthalten als für den Zweck nötig, bis hin zu besonderen Kategorien nach Art. 9 Abs. 1 DSGVO, deren Verarbeitung untersagt ist, soweit kein Ausnahmefall greift	Inhalt auf das Erforderliche begrenzen; besondere Kategorien nur nach einem Ausnahmefall des Art. 9 Abs. 2 DSGVO verarbeiten; die WhatsApp Business-Messaging-Richtlinie (Stand 23. September 2026) verbietet Telemedizin und das Senden oder Anfordern von Gesundheitsangaben, soweit anwendbare Vorschriften ihre Verbreitung an Systeme verbieten, die keine erhöhten Anforderungen an den Umgang mit Gesundheitsangaben erfüllen
Werbliche Vorlage an eine alte oder eingekaufte Kundenliste	In Deutschland verlangt § 7 Abs. 2 Nr. 2 UWG für Werbung mit elektronischer Post eine vorherige ausdrückliche Einwilligung; § 7 Abs. 3 nimmt Bestandskunden aus, wenn die Adresse aus einem Verkauf eigener ähnlicher Waren oder Dienstleistungen stammt, kein Widerspruch vorliegt und bei Erhebung und jeder Verwendung darauf hingewiesen wurde	Einwilligung einholen und nachweisen oder die Ausnahme prüfen; zusätzlich das Opt-in der WhatsApp Business-Messaging-Richtlinie und eine Abmeldung vorhalten
Konto-, Nutzungs-, Protokoll- und Leistungsdaten des WhatsApp-Kontos	WhatsApp erhebt, speichert und verwendet diese Daten auch, um die Dienste von WhatsApp und der Meta-Unternehmen zu betreiben, zu verbessern, zu personalisieren und zu vermarkten, und kann sie mit den anderen Meta-Unternehmen teilen (Abschnitt 6 der Nutzungsbedingungen von WhatsApp für die WhatsApp Business-Plattform, gültig ab 23. September 2026)	In die Datenschutzerklärung und die Information nach Art. 13 oder 14 DSGVO aufnehmen (soweit die betroffene Person die Angaben nicht bereits hat); eigene Zwecke nicht auf fremde Verantwortlichkeit stützen
Übermittlung an WhatsApp LLC und Meta Platforms, Inc. in die USA	Drittlandübermittlung nach Art. 44 ff. DSGVO	WhatsApp stützt die Übermittlung auf den Datenschutzrahmen EU-USA; Zertifizierung des Empfängers und mögliche Alternativen prüfen
Chatverlauf und Zugangsschlüssel in Odoo	Bei Odoo Online und Odoo.sh liegen die Kundendatenbanken in der Odoo-Cloud, und Odoo S.A. verarbeitet die Daten der Datenbank als Auftragsverarbeiter (Odoo-Enterprise-Abonnementvertrag, Abschnitt 6.5); Zugangsdaten können abfließen	Vertrag nach Art. 28 DSGVO mit Odoo prüfen, Rollen begrenzen, Token schützen, Löschfristen nach Art. 5 Abs. 1 Buchstabe e DSGVO festlegen; die Löschung entfällt nach Art. 17 Abs. 3 Buchstaben b und e DSGVO, soweit eine gesetzliche Aufbewahrungspflicht oder die Verteidigung von Rechtsansprüchen sie erfordert

Die Zeile zur Werbung gilt nur für werbliche Inhalte, nicht für die Antwort auf eine Kundenanfrage. Wo WhatsApp nicht als Auftragsverarbeiter, sondern als unabhängiger Verantwortlicher verarbeitet, entfällt die Auftragsverarbeiterpflicht; die Verarbeitung gehört aber in die Datenschutzerklärung.

Mustertext für die Einwilligung

Für werbliche WhatsApp-Nachrichten muss die Einwilligung freiwillig, für den bestimmten Fall und in informierter Weise abgegeben werden und den Widerruf erklären (Art. 4 Nr. 11 und Art. 7 DSGVO). Der folgende Mustertext ist eine Vorlage, die Sie an Ihren Fall anpassen:

Ich willige ein, dass die [Firma, Anschrift] mich unter der von mir angegebenen Mobilfunknummer [Nummer] über WhatsApp kontaktiert, und zwar zu folgenden Zwecken: [Zweck].

Mir ist bekannt, dass WhatsApp die Nachrichten über die WhatsApp Ireland Limited in Irland verarbeitet und die Daten dabei auch an die WhatsApp LLC und die Meta Platforms, Inc. in die USA übermittelt. Für die Kundendaten ist WhatsApp Auftragsverarbeiter der [Firma], soweit die Business-Bedingungen das vorsehen; Konto-, Nutzungs- und Leistungsdaten erhebt und verwendet WhatsApp auch, um die Dienste von WhatsApp und der Meta-Unternehmen zu betreiben, zu verbessern, zu personalisieren und zu vermarkten, und kann sie mit den anderen Meta-Unternehmen teilen.

Ich kann diese Einwilligung jederzeit ohne Angabe von Gründen widerrufen, zum Beispiel per WhatsApp-Nachricht mit dem Wort STOP an [Nummer] oder per E-Mail an [E-Mail-Adresse]. Weitere Angaben stehen in der Datenschutzerklärung unter [URL].

Wer die Erteilung protokolliert, kann sie nach Art. 7 Abs. 1 DSGVO nachweisen; wer auf die Einwilligung verzichtet, muss je Nachricht eine andere Grundlage benennen können.

Seit wann das gilt

Die DSGVO ist seit dem 25. Mai 2018 anzuwenden (Art. 99 Abs. 2 DSGVO); die Pflichten sind nicht neu. Neu sind die Bedingungen von WhatsApp: Die Nutzungsbedingungen von WhatsApp für die WhatsApp Business-Plattform gelten ab dem 23. September 2026, die WhatsApp Business-Messaging-Richtlinie trägt den Stand vom 23. September 2026, die WhatsApp Business Datenverarbeitungsbedingungen den Stand vom 22. August 2025 und die Ergänzung für WhatsApp Business Datenübermittlungen den Stand vom 16. Februar 2024.

Für die USA stützt WhatsApp die Übermittlung auf den Datenschutzrahmen EU-USA. Grundlage ist der Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795): Danach gewährleisten die USA ein angemessenes Schutzniveau für Daten, die an in der Data Privacy Framework List geführte Organisationen übermittelt werden, und es bedarf keiner besonderen Genehmigung. Die Kommission kann den Beschluss nach Art. 45 Abs. 5 DSGVO aussetzen, ändern oder widerrufen.

Die Odoo-Version ändert an diesen Pflichten nichts; aktuell ist Odoo 20 (erschienen September 2026).

Was bei einem Verstoß droht

Verstöße gegen die Grundsätze und die Rechtmäßigkeit der Verarbeitung einschließlich der Einwilligungsbedingungen (Art. 5, 6, 7 und 9 DSGVO) sowie gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO) sind nach Art. 83 Abs. 5 Buchstaben a und b DSGVO mit einem Bußgeld bis zu 20 Mio. EUR oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs belegt; es gilt der höhere Betrag. Für Pflichten unter anderem nach Art. 25 bis 39 DSGVO, zu denen die Auftragsverarbeitung (Art. 28) und die Sicherheit der Verarbeitung (Art. 32) gehören, reicht der Rahmen nach Art. 83 Abs. 4 Buchstabe a DSGVO bis 10 Mio. EUR oder 2 Prozent. Daneben kann die betroffene Person nach Art. 82 Abs. 1 DSGVO Ersatz eines materiellen oder immateriellen Schadens verlangen und sich nach Art. 77 Abs. 1 DSGVO bei einer Aufsichtsbehörde beschweren.

Checkliste für Ihren Betrieb

• Prüfen Sie für jede Nachricht die Rechtsgrundlage; für werbliche Inhalte verlangt die WhatsApp Business-Messaging-Richtlinie ein Opt-in, und in Deutschland ist § 7 UWG zu prüfen.
• Halten Sie für jede Einwilligung fest, wann und in welcher Form sie erteilt wurde (Art. 7 Abs. 1 DSGVO).
• Nennen Sie in der Datenschutzerklärung WhatsApp und Meta als Empfänger und die Übermittlung in die USA (Art. 13 oder 14 DSGVO; die Pflicht entfällt nach Art. 13 Abs. 4 und Art. 14 Abs. 5 Buchstabe a, soweit die betroffene Person die Angaben bereits hat).
• Prüfen Sie die Auftragsverarbeitungsbedingungen von WhatsApp (WhatsApp Business Datenverarbeitungsbedingungen) sowie die nach Abschnitt 2 der Nutzungsbedingungen von WhatsApp für die WhatsApp Business-Plattform zusätzlich geltenden Meta-Nutzungsbedingungen für die WhatsApp Business-Plattform und heften Sie die Fassung ab, die beim Start galt.
• Begrenzen Sie die Zugriffsrechte auf den WhatsApp-Kanal in Odoo und schützen Sie das Zugangstoken (Art. 32 DSGVO).
• Legen Sie eine Löschfrist für Chatverläufe in Odoo fest: Daten dürfen nur so lange gespeichert werden, wie der Zweck es erfordert (Art. 5 Abs. 1 Buchstabe e DSGVO); die Löschung entfällt, soweit eine gesetzliche Aufbewahrungspflicht oder die Verteidigung von Rechtsansprüchen sie erfordert (Art. 17 Abs. 3 Buchstaben b und e DSGVO).
• Verarbeiten Sie besondere Kategorien nach Art. 9 Abs. 1 DSGVO nur bei einem Ausnahmefall des Art. 9 Abs. 2 DSGVO; die WhatsApp Business-Messaging-Richtlinie verbietet Telemedizin und das Senden oder Anfordern von Gesundheitsangaben, soweit anwendbare Vorschriften ihre Verbreitung an Systeme verbieten, die keine erhöhten Anforderungen an den Umgang mit Gesundheitsangaben erfüllen.