WhatsApp Business API: Kosten & DSGVO 2026 - der Praxisguide

20. Juli 2026

Aktualisiert am 14. September 2026

Dieser Artikel wurde mit KI-Unterstützung erstellt

Text und Bilder dieses Beitrags wurden mithilfe von KI-Systemen erzeugt. Gekennzeichnet nach Art. 50 Abs. 4 der EU-KI-Verordnung (AI Act). Verantwortlich für die Veröffentlichung: ArkeonTech.

WhatsApp Business API DSGVO Kosten 2026 Conversational Commerce KMU

Große Sprechblase mit grün leuchtendem Rand, davor ein Schutzschild mit Häkchen, daneben ein Euro-Zeichen

WhatsApp ist der meistgenutzte Messenger in Deutschland und für viele Unternehmen ein direkter Draht zu ihren Kunden. Zwei Fragen entscheiden aber über den Einsatz: Was kostet die WhatsApp Business API wirklich, und ist der Einsatz DSGVO-konform? Dieser Leitfaden beantwortet beides für 2026 - mit den beiden Kostenblöcken, den üblichen Kostenfallen und einer klaren Compliance-Anleitung.

Das Wichtigste in Kürze: Die WhatsApp Business API besteht aus zwei Kostenblöcken: der Umsetzung durch einen Dienstleister und den nutzungsabhängigen Gebühren, die Meta seit Juli 2025 pro zugestellter Vorlagennachricht berechnet und die unabhängig vom Dienstleister anfallen. Datenschutzrechtlich tragfähig ist der Unternehmenseinsatz in der Regel nur über die offizielle Business API mit Auftragsverarbeitungsvertrag - die WhatsApp Business App auf dem Firmenhandy ist es meist nicht.

Was kostet die WhatsApp Business API 2026?

Die Gesamtkosten setzen sich aus zwei Teilen zusammen: den einmaligen und laufenden Kosten für Einrichtung und Betrieb sowie den nutzungsabhängigen Nachrichtengebühren von Meta. Der erste Teil wird üblicherweise als einmalige Einrichtung plus monatlicher Betrieb angeboten. Der zweite Teil kommt separat hinzu, richtet sich nach Ihrem Nachrichtenvolumen und ist der Posten, der in Angeboten am häufigsten fehlt.

Kostenblock	Wer berechnet	Abrechnung
Einrichtung (Konzept, Verifizierung, Integration)	Dienstleister	einmalig
Betrieb (Hosting, KI-Agent, Pflege)	Dienstleister	monatlich
Nachrichtengebühren	Meta	nutzungsabhängig, je nach Kategorie und Land

Der entscheidende Unterschied zwischen den beiden Blöcken: Der erste ist planbar, sobald er vertraglich festgeschrieben ist, der zweite wächst mit Ihrem Nachrichtenvolumen. Wer nur den ersten Block vergleicht, vergleicht die falsche Hälfte. Die übrigen Kostenarten eines KI-Agenten erklärt der Beitrag Was kostet ein KI-Chatbot für KMU?; nur die Meta-Gebühren sind WhatsApp-spezifisch.

Welche Kosten fallen bei Meta an - und wie funktioniert die Abrechnung?

Meta rechnet die Nutzung der WhatsApp Business Platform gesondert ab, unabhängig vom Dienstleister. Seit dem 1. Juli 2025 berechnet Meta jede zugestellte Vorlagennachricht einzeln statt wie früher pro 24-Stunden-Konversation; der Preis richtet sich nach Kategorie und Empfängerland.

Die drei kostenpflichtigen Nachrichtenkategorien:

Marketing: Angebote, Aktionen, Reaktivierung - die teuerste Kategorie.
Utility: transaktionale Nachrichten wie Bestellbestätigungen, Versandstatus, Terminerinnerungen.
Authentication: Einmalpasswörter und Verifizierungscodes.

Antworten auf eine Kundenanfrage sind kostenfrei, solange das 24-Stunden-Servicefenster offen ist, das jede Nachricht des Kunden öffnet. Auch Utility-Vorlagen, die innerhalb dieses Fensters zugestellt werden, berechnet Meta nicht. Die konkreten Sätze veröffentlicht Meta in seiner offiziellen Preisübersicht und passt sie regelmäßig an. Deshalb gehört in jedes Angebot eine Kalkulation für Ihr erwartetes Volumen statt einer Pauschale.

Ist WhatsApp im Unternehmen DSGVO-konform?

Ja, wenn die offizielle WhatsApp Business API mit dem richtigen Setup genutzt wird. Die entscheidende Unterscheidung: Die WhatsApp Business App (die kostenlose Handy-App) ist im Unternehmenseinsatz meist nicht DSGVO-konform, weil sie, sofern der Zugriff erlaubt ist, die Rufnummern aus dem Adressbuch des Geräts mit WhatsApp abgleicht, auch die von Kontakten, die dem nie zugestimmt haben, und weil für diese Nutzung kein Auftragsverarbeitungsvertrag existiert.

Rechtlich tragfähig wird der Einsatz, wenn zwei Voraussetzungen erfüllt sind:

Offizielle Business API mit Auftragsverarbeitungsvertrag (AVV) mit dem Dienstleister, der die Anbindung betreibt, samt Liste seiner Unterauftragsverarbeiter.
Dokumentierte Einwilligung (Opt-in), bevor Sie Kunden von sich aus anschreiben, mit klarer Information, wofür. Meta verlangt sie in seiner Business Policy, für Werbung zusätzlich § 7 Absatz 2 UWG.

Empfehlenswert, aber keine gesetzliche Pflicht ist außerdem, die eigene Verarbeitung des Dienstleisters, also KI-Agent, Protokolle und Anbindung, in der EU zu betreiben und personenbezogene Daten vor der Weitergabe an KI-Modelle zu filtern oder zu pseudonymisieren.

Wer tiefer in die rechtlichen Pflichten einsteigen will, findet die Grundlagen im Leitfaden zum EU AI Act.

Was muss im Auftragsverarbeitungsvertrag stehen?

Artikel 28 Absatz 3 DSGVO gibt den Mindestinhalt vor, und er ist nicht verhandelbar. Prüfen Sie jeden Vertrag gegen diese Liste, bevor Sie unterschreiben:

Pflichtangabe	Worauf zu achten ist
Gegenstand und Dauer	Muss den konkreten Einsatz benennen, nicht nur "Messaging-Dienste"
Art und Zweck der Verarbeitung	Terminvereinbarung, Statusauskunft, Kundenkommunikation
Art der Daten und Betroffenenkategorien	Rufnummer, Name, Gesprächsinhalt; Kunden und Interessenten
Weisungsbindung	Verarbeitung nur auf dokumentierte Weisung
Vertraulichkeit	Verpflichtung aller eingesetzten Personen
Technische Maßnahmen nach Artikel 32	Verschlüsselung, Zugriffskontrolle, Protokollierung
Unterauftragsverarbeiter	Liste plus Verfahren für Änderungen nach Artikel 28 Absatz 2
Unterstützungspflichten	Bei Betroffenenanfragen und Folgenabschätzungen
Löschung oder Rückgabe	Nach Vertragsende, mit Nachweis
Nachweis- und Prüfrechte	Audit oder anerkanntes Zertifikat

Der praktisch wichtigste Punkt ist die Liste der Unterauftragsverarbeiter. Ein Anbieter, der sie nicht herausgibt, kann Ihnen die Kette nicht offenlegen, und Sie können Ihre eigene Rechenschaftspflicht nach Artikel 5 Absatz 2 nicht erfüllen.

Wie weit reicht die EU-Datenresidenz wirklich?

Hier wird in Angeboten am häufigsten zu viel versprochen, deshalb die ehrliche Einordnung.

Ihr Dienstleister kann seine eigene Infrastruktur in der EU betreiben: den Agenten, die Protokolle, die Anbindung an Ihr System. Das ist sinnvoll und sollte vertraglich zugesichert sein.

Die Nachricht selbst läuft aber in jedem Fall über Metas Infrastruktur, und die ist nicht auf die EU begrenzt. Vertragspartner für europäische Unternehmen ist regelmäßig eine irische Meta-Gesellschaft, die Verarbeitung findet jedoch auch in den Vereinigten Staaten statt. Diese Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework beziehungsweise ergänzend auf Standardvertragsklauseln.

Für Sie heißt das zweierlei. Erstens: "EU-Hosting" eines Anbieters bezieht sich auf dessen eigene Systeme, nicht auf den Nachrichtenweg bei Meta. Wer etwas anderes behauptet, beschreibt die Architektur falsch. Zweitens: In Ihrem Verzeichnis von Verarbeitungstätigkeiten gehört die Drittlandsübermittlung dokumentiert, samt der Rechtsgrundlage, auf die sie sich stützt.

Wo besondere Kategorien personenbezogener Daten nach Artikel 9 im Spiel sind, etwa im Gesundheitswesen, ist der Kanal deshalb nur für rein organisatorische Kommunikation geeignet. Welche Anforderungen bei Berufsgeheimnisträgern zusätzlich gelten, behandelt der Beitrag zum LLM-Hosting nach § 203 StGB.

WhatsApp Business App vs. Business API: Was ist der Unterschied?

Die kostenlose App richtet sich an sehr kleine Betriebe mit manueller Bearbeitung, die API an Unternehmen, die mit mehreren Personen oder automatisiert arbeiten und den Datenschutz vertraglich absichern müssen.

Kriterium	Business App (kostenlos)	Business API
Bedienung	manuell in der App	über eine Plattform, auch automatisiert
Nutzung	ein Konto auf dem Handy, dazu wenige verknüpfte Geräte	mehrere Mitarbeitende und Automatisierung
DSGVO im Unternehmen	problematisch	tragfähig mit AVV und Opt-in
Abgleich des Geräte-Adressbuchs	ja, sofern der Zugriff erlaubt ist	nein
Kosten	kostenlos	Einrichtung, Betrieb und Meta-Gebühren
Geeignet für	sehr kleine Betriebe mit wenigen Chats	Unternehmen mit Team, Automatisierung oder höherem Volumen

Wie richte ich die WhatsApp Business API DSGVO-konform ein?

In vier Schritten: (1) Registrierung einer dedizierten Rufnummer und Verifizierung Ihres Unternehmens bei Meta, (2) Anbindung über einen Dienstleister mit Auftragsverarbeitungsvertrag, (3) Aufbau des Opt-in-Prozesses und der Datenschutz-Dokumentation, (4) Integration des KI-Agenten und Test mit echten Szenarien. Wie lange das dauert, hängt vor allem von der Verifizierung bei Meta und vom Umfang der Integration ab.

Lohnt sich WhatsApp-KI trotz der Meta-Gebühren?

Das hängt vom Mix Ihrer Nachrichten ab. Antworten auf Kundenanfragen innerhalb des 24-Stunden-Servicefensters sind kostenfrei; Gebühren fallen vor allem für Vorlagen an, die Sie außerhalb dieses Fensters senden, am höchsten für Marketing-Nachrichten. Rechnen Sie deshalb mit Ihrem erwarteten Anteil an Service-, Utility- und Marketing-Nachrichten und stellen Sie die Gebühren dem Wert einer beantworteten Anfrage gegenüber.

Wie sich die Kanalgebühren in die Gesamtkosten einer Automatisierung einordnen, mit Einrichtung, Betrieb und Nebenkosten, steht im Beitrag Was kostet KI-Automatisierung 2026?.

Häufige Fragen zu Kosten und DSGVO der WhatsApp Business API

Was kostet die WhatsApp Business API pro Monat? Das hängt von zwei getrennten Blöcken ab. Der Dienstleister berechnet Einrichtung und Betrieb, üblicherweise als einmaligen Betrag plus monatliche Gebühr. Hinzu kommen Metas nutzungsabhängige Nachrichtengebühren, die bei jedem Dienstleister anfallen, weil Meta sie direkt erhebt. Ein vergleichbares Angebot kalkuliert sie für Ihr erwartetes Volumen.

Ist die kostenlose WhatsApp Business App DSGVO-konform? Im Unternehmenseinsatz in der Regel nicht: Sie gleicht, sofern der Zugriff erlaubt ist, die Rufnummern aus dem Adressbuch des Geräts mit WhatsApp ab, auch die von Kontakten, die dem nie zugestimmt haben, und für diese Nutzung gibt es keinen Auftragsverarbeitungsvertrag. Tragfähig ist in der Regel nur die offizielle Business API mit Auftragsverarbeitungsvertrag.

Wie rechnet Meta die WhatsApp Business API ab? Seit dem 1. Juli 2025 pro zugestellter Vorlagennachricht statt pro Konversation, gestaffelt nach Kategorie (Marketing, Utility, Authentication) und Empfängerland. Antworten auf eine Kundennachricht innerhalb des 24-Stunden-Servicefensters sind kostenfrei, ebenso Utility-Vorlagen, die in diesem Fenster zugestellt werden.

Brauche ich für die WhatsApp Business API eine eigene Nummer? Ja, es wird eine dedizierte Rufnummer registriert und Ihr Unternehmen bei Meta verifiziert. Beides erledigt in der Regel der Dienstleister, der die API anbindet; achten Sie darauf, dass das WhatsApp-Business-Konto Ihrem Unternehmen gehört.

Darf ich über WhatsApp Werbung verschicken? Ja, mit dokumentierter Einwilligung. Werbung per Messenger setzt nach § 7 Absatz 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung voraus, und Meta verlangt in seiner Business Policy ein Opt-in, bevor ein Unternehmen jemanden anschreibt. Werbliche Nachrichten fallen in die Marketing-Kategorie, die Meta in der Regel am höchsten berechnet.

Was muss im Auftragsverarbeitungsvertrag für die WhatsApp Business API stehen? Den Mindestinhalt gibt Artikel 28 Absatz 3 DSGVO vor: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und Betroffenenkategorien, Weisungsbindung, Vertraulichkeit, technische Maßnahmen nach Artikel 32, Unterauftragsverarbeiter samt Änderungsverfahren, Unterstützung bei Betroffenenanfragen, Löschung nach Vertragsende sowie Nachweis- und Prüfrechte. Der praktisch wichtigste Punkt ist die Liste der Unterauftragsverarbeiter: Wer sie nicht herausgibt, macht Ihnen die eigene Rechenschaftspflicht nach Artikel 5 Absatz 2 unmöglich.

Bleiben die Daten mit einem europäischen Anbieter wirklich in der EU? Nur teilweise, und das wird oft falsch dargestellt. Die eigene Infrastruktur des Dienstleisters kann vollständig in der EU laufen. Die Nachricht selbst läuft jedoch immer über Metas Infrastruktur, die nicht auf die EU begrenzt ist: Vertragspartner ist regelmäßig eine irische Meta-Gesellschaft, verarbeitet wird auch in den Vereinigten Staaten. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework beziehungsweise ergänzend auf Standardvertragsklauseln. Diese Drittlandsübermittlung gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten.