WhatsApp Business: offizielle Cloud API vs. WAHA-Self-Hosting + DSGVO

Wer WhatsApp in einen n8n-Workflow einbinden will, steht vor einer Grundsatzentscheidung, die sich nicht einfach durch Ausprobieren klären lässt. Der eine Weg führt über die offizielle WhatsApp Business Cloud API von Meta mit einem nativen n8n-Node, der andere über WAHA, ein selbst gehostetes Open-Source-Projekt, das eine echte WhatsApp-Web-Sitzung im Hintergrund steuert. Beide Wege lösen die gleiche Aufgabe auf sehr unterschiedliche Art, und beide bringen eigene Datenschutzfragen mit, die vor dem ersten Workflow beantwortet sein sollten.

Dieser Beitrag stellt beide Ansätze gegenüber, zeigt die technischen Unterschiede in n8n und ordnet die DSGVO-Aspekte für Cloud API und Self-Hosting getrennt ein. Am Ende steht eine Entscheidungshilfe, die sich an der tatsächlichen Nutzung orientiert und nicht nur am Preis.

Die offizielle WhatsApp Business Cloud API

Die Cloud API ist Metas eigenes Produkt für geschäftliche WhatsApp-Kommunikation und läuft vollständig über Metas Server. n8n bringt dafür einen fertigen Node namens WhatsApp Business Cloud mit, der laut der offiziellen n8n-Dokumentation zum WhatsApp-Business-Cloud-Node mehrere Ressourcen abdeckt.

• Nachrichten senden, inklusive der Variante „Senden und auf Antwort warten“, bei der ein Workflow pausiert, bis jemand über eine Freigabe, ein Freitextfeld oder ein eigenes Formular reagiert.
• Vorlagen versenden (Template-Nachrichten), die für den Erstkontakt außerhalb eines 24-Stunden-Fensters nötig sind.
• Medien verwalten: Hochladen, Herunterladen und Löschen von Bildern, Dokumenten oder Audiodateien.

Für die Anmeldung nutzt der Node laut der Dokumentation zu den WhatsApp-Business-Cloud-Credentials entweder einen API-Key mit Access Token und Business Account ID, die Sie im Meta-for-Developers-Dashboard unter „WhatsApp“ und „API-Setup“ generieren, oder OAuth2 mit App-ID und App-Secret aus den App-Einstellungen. Vorausgesetzt wird in jedem Fall ein Meta-Entwicklerkonto, ein Business-Portfolio und eine als WhatsApp-App eingerichtete Meta-App. Bis eine Nummer vollständig verifiziert und für den produktiven Versand freigegeben ist, braucht es laut Meta noch weitere Konfigurationsschritte, etwa die Prüfung der Absendernummer und die Freigabe von Nachrichtenvorlagen.

WAHA: der inoffizielle, selbst gehostete Weg

WAHA (WhatsApp HTTP API) verfolgt einen komplett anderen Ansatz. Statt sich mit Metas offizieller Schnittstelle zu verbinden, startet WAHA im eigenen Docker-Container einen Headless-Browser, der sich wie eine ganz normale WhatsApp-Web-Sitzung bei einem echten WhatsApp-Konto anmeldet und darüber Nachrichten sendet, empfängt und Gruppen verwaltet. Für n8n gibt es dafür den Community-Node @devlikeapro/n8n-nodes-waha mit Action- und Trigger-Nodes, sodass eingehende WhatsApp-Ereignisse direkt einen Workflow auslösen können.

Der Reiz liegt auf der Hand: keine Freigabe durch Meta nötig, kein Business-Verifizierungsprozess, volle Kontrolle über die Infrastruktur, und laut Projekt-Doku ist WAHA selbst quelloffen und ohne Nachrichtenlimit nutzbar. Der Haken steht ebenso deutlich in der WAHA-Dokumentation: WhatsApp erlaubt Bots oder inoffizielle Clients auf der eigenen Plattform grundsätzlich nicht, weshalb dieser Weg nicht als vollständig sicher gelten kann. Bei hohem Nachrichtenaufkommen über eine einzelne Nummer drohe eine Sperre, weshalb das Projekt selbst zu einer dedizierten Nummer und moderatem Versandtempo rät.

Entscheidungshilfe: welcher Weg passt zu welchem Vorhaben?

Die Wahl hängt weniger von persönlichen Vorlieben ab als vom konkreten Einsatzzweck.

• Für Massenversand, Marketing-Broadcasts oder geschäftskritische Transaktionsnachrichten ist die Cloud API praktisch alternativlos, weil nur sie Template-Nachrichten außerhalb des 24-Stunden-Fensters erlaubt und keinem Sperrrisiko durch WhatsApp selbst unterliegt.
• Für reaktive Support-Bots, interne Prototypen oder Testszenarien mit überschaubarem Volumen, bei denen der Aufwand einer Meta-Business-Verifizierung nicht im Verhältnis zum Nutzen steht, ist WAHA oft der schnellere Einstieg.
• Wenn Budget und Vorlaufzeit knapp sind, punktet WAHA mit kostenloser Selbsthostung, während die Cloud API zwar in geringem Volumen ebenfalls kostenlos ist, mit steigendem Versandvolumen aber Konversationsgebühren nach Metas Preismodell anfallen.
• Wenn Verlässlichkeit und Vertragssicherheit im Vordergrund stehen, spricht die formale API-Anbindung mit dokumentierten Grenzen klar für die Cloud API, da WAHA technisch auf einer inoffiziellen Automatisierung von WhatsApp Web basiert, die sich mit jedem WhatsApp-Update ändern kann.

DSGVO-Bewertung der offiziellen Cloud API

Bei der Cloud API laufen alle Nachrichteninhalte, Telefonnummern und Metadaten über Metas Infrastruktur, die auch außerhalb der EU verarbeitet werden kann. Das macht Meta faktisch zum Auftragsverarbeiter für die über die API verschickten Nachrichten, und Sie brauchen dafür eine wirksame Vereinbarung zur Auftragsverarbeitung sowie eine Rechtsgrundlage für internationale Datentransfers, etwa über Standardvertragsklauseln. Praktisch bedeutet das: Sie müssen in Ihrem Verarbeitungsverzeichnis dokumentieren, welche Kundendaten über WhatsApp laufen, welche Einwilligung für die Kontaktaufnahme vorliegt und wie lange Chatverläufe innerhalb Ihres n8n-Workflows oder eines angebundenen CRMs gespeichert werden. Positiv ist, dass Meta als etablierter Anbieter transparente Vertragsunterlagen für Geschäftskunden bereitstellt, was die Nachweispflicht gegenüber Aufsichtsbehörden erleichtert.

DSGVO-Bewertung von WAHA im Self-Hosting

Beim Self-Hosting mit WAHA bleiben Nachrichteninhalte und Sitzungsdaten grundsätzlich auf dem Server, den Sie selbst betreiben oder anmieten, was Datenverarbeitung innerhalb der EU ohne Umweg über Metas US-Infrastruktur ermöglicht. Das reduziert die Frage internationaler Datentransfers erheblich, entbindet Sie aber nicht von der Verantwortung: Personenbezogene Daten wie Telefonnummern und Chatinhalte werden weiterhin verarbeitet, Sie brauchen also weiterhin eine Rechtsgrundlage, ein Löschkonzept und technisch-organisatorische Maßnahmen für den Server, auf dem WAHA läuft, inklusive Auftragsverarbeitungsvertrag mit Ihrem Hosting-Anbieter. Hinzu kommt ein Aspekt, der über reines Datenschutzrecht hinausgeht: Weil WAHA WhatsApp Web ohne Metas Zustimmung automatisiert, bewegen Sie sich außerhalb der Nutzungsbedingungen von WhatsApp selbst. Das ist zwar kein DSGVO-Verstoß, sollte aber in der eigenen Risikoabwägung genauso ernst genommen werden wie die Datenschutzfrage, gerade wenn Sie personenbezogene Kundendaten über diesen Kanal verarbeiten.

Fazit: pragmatisch entscheiden statt dogmatisch

Es gibt keinen pauschal „datenschutzfreundlicheren“ Weg, sondern zwei unterschiedliche Risikoprofile. Die Cloud API bringt internationale Datentransfers mit, dafür Rechtssicherheit gegenüber WhatsApp. WAHA hält Daten lokal, überträgt Ihnen dafür das volle Betriebsrisiko und die Unsicherheit einer inoffiziellen Anbindung. In der Praxis empfiehlt es sich, beide Optionen anhand von Volumen, Budget und Risikobereitschaft durchzurechnen, bevor der erste Workflow gebaut wird. Wenn Sie diese Abwägung nicht allein treffen wollen, unterstützt Sie NordFlux bei der n8n-Automatisierung dabei, den passenden Weg zu finden, digitale Mitarbeiter aufzusetzen und dabei die volle Kontrolle über Ihre Daten zu behalten.

Häufige Fragen

Kann ich Cloud API und WAHA gleichzeitig in einem Workflow nutzen?

Technisch ja, denn beide sind in n8n eigenständige Nodes, die sich beliebig kombinieren lassen, etwa Template-Versand über die Cloud API und reaktive Antworten über WAHA. Sinnvoll ist das aber nur selten, weil zwei parallele WhatsApp-Anbindungen den Verwaltungsaufwand verdoppeln und die Datenschutzbewertung für beide Wege getrennt durchgeführt werden muss.

Brauche ich für die Cloud API zwingend ein verifiziertes Unternehmen?

Für den produktiven Versand an eine größere Zielgruppe und für Template-Nachrichten ja, da Meta eine Business-Verifizierung sowie eine geprüfte Absendernummer voraussetzt. Für Tests im eingeschränkten Rahmen reicht zunächst ein Entwicklerkonto mit Testnummer, wie es die n8n-Dokumentation zu den Credentials beschreibt.

Ist WAHA für den produktiven Kundenservice geeignet?

Für kleinere Volumina und reaktive Szenarien wird WAHA in der Praxis produktiv eingesetzt, das Projekt selbst warnt aber ausdrücklich vor hohem Versandaufkommen über eine einzelne Nummer wegen Sperrrisiko. Für geschäftskritische Kommunikation mit vielen Kontakten ist die offizielle Cloud API die robustere Wahl.

Was passiert bei einer Sperre der WAHA-Nummer für laufende n8n-Workflows?

Ein gesperrtes WhatsApp-Konto beendet die aktive Sitzung, wodurch der WAHA-Container keine Nachrichten mehr senden oder empfangen kann, bis eine neue Nummer angemeldet wird. Workflows in n8n, die auf diesen Trigger oder Node aufbauen, laufen dann ins Leere, weshalb produktive Setups meist ein Monitoring für den Sitzungsstatus einplanen sollten.

Kostet die WhatsApp Business Cloud API grundsätzlich Geld?

Für einen Teil der Konversationen, etwa nutzerinitiierte Chats innerhalb bestimmter Kategorien, fallen aktuell keine Gebühren an, während unternehmensinitiierte Konversationen und viele Marketing-Nachrichten nach Metas Preismodell abgerechnet werden. Die genauen Kosten hängen vom Land und der Nachrichtenkategorie ab und sollten vor dem produktiven Rollout in Metas Preisübersicht geprüft werden.