Lieber zuhören? Klicken Sie auf Play für die KI-Sprachausgabe

Auf den Hilfeseiten von WhatsApp stand versteckter Text, der den KI-Support-Chatbot anwies, Nutzer nicht an Datenschutzbehörden zu verweisen und auf mindestens einer Seite die DSGVO nicht zu zitieren. Der Messenger-Dienst von Meta entfernte den Text am 18. Oktober 2026, einen Tag bevor die Forschenden, die ihn entdeckt hatten, ihre Ergebnisse veröffentlichten.

Keine Behörde hat gesagt, dass die Anweisungen gegen das Gesetz verstießen, und viele Fragen sind offen. Der Fall berührt aber genau den Teil der DSGVO, der Betroffenenrechte in der Praxis nutzbar macht, und jedes Unternehmen mit einem Support-Bot kann daraus lernen. Dieser Artikel dient nur der allgemeinen Information und ist keine Rechtsberatung.

102
Gefundene versteckte Anweisungsblöcke
80 / 545
Hilfeseiten mit solchen Blöcken
18. Okt.
Von den Live-Seiten entfernt
10 Tage
Online, nachdem die Forschenden sie gefunden hatten

Was versteckt war

Die Anweisungen standen im HTML der WhatsApp-Hilfeseiten und wurden nie auf dem Bildschirm angezeigt. Redact, ein Unternehmen für Software zur Datenlöschung, fand sie bei der Durchsicht von 545 Hilfeseiten. Es zählte 102 versteckte Blöcke auf 80 dieser Seiten.

Der Wortlaut hing von der Seite ab:

Zeitleiste

Nach der von uns ausgewerteten Berichterstattung wurde der Hinweis zwischen dem 12. Juli und dem 4. September 2026 hinzugefügt (archivierte Kopien der Löschseite unterscheiden sich an diesen Daten), und er blieb nach der Entdeckung durch Redact noch zehn Tage online.

Die Reaktion von WhatsApp

WhatsApp erklärte, die Anweisungen seien für den Chatbot gedacht gewesen und nicht direkt für Nutzer, und machte einen inzwischen behobenen Fehler für ihre Sichtbarkeit verantwortlich. Man wolle außerdem, dass der Chatbot keine Rechtsberatung gebe. Journalisten hatten Meta vor der Veröffentlichung kontaktiert, und WhatsApp entfernte den Text, bevor WIRED oder Redact veröffentlichten.

Mehrere Fragen bleiben offen. Es ist nicht bekannt, ob der Chatbot den versteckten Anweisungen tatsächlich gefolgt ist. WhatsApp nennt den Text einen Fehler, hat aber in der ausgewerteten Berichterstattung nicht gesagt, wie er auf 80 Seiten gelangte oder wer ihn geschrieben hat. Bisher wird weder von einem Aufsichtsverfahren noch von einer Stellungnahme einer Behörde berichtet.

Warum das nach der DSGVO wichtig ist

Dieser Abschnitt ist unsere Analyse, keine behördliche Feststellung.

Artikel 12 Absatz 2 verpflichtet Verantwortliche, die Ausübung der Betroffenenrechte, einschließlich der Löschung, zu erleichtern. Eine Löschseite, deren Chatbot angewiesen wird, weder manuelle Löschung noch Aufsichtsbehörden zu erwähnen, passt schlecht zu dieser Pflicht. Artikel 13 Absatz 2 Buchstabe d verlangt, dass Verantwortliche Menschen über ihr Recht informieren, bei einer Aufsichtsbehörde Beschwerde einzulegen. Der versteckte Text lenkte den Support-Bot genau von dieser Information weg.

Der Widerspruch ist in den eigenen Dokumenten von WhatsApp sichtbar: Die europäische Datenschutzerklärung sagt den Nutzern, dass sie sich bei der irischen Data Protection Commission oder einer anderen Aufsichtsbehörde beschweren können. Wer den Chatbot fragte, hörte womöglich nicht dasselbe.

Der Fall zeigt auch eine neue Art von Risiko. Das Problem war nicht, was das Modell sagte, sondern was ein versteckter Prompt ihm zu verschweigen auftrug. Ein Unternehmen kann in seinen Rechtstexten völlig transparent sein und Nutzer in seinen Support-Tools trotzdem von ihren Rechten wegsteuern.

Was Unternehmen mit KI-Support-Bots tun sollten

Jedes Unternehmen, das einen Chatbot vor seine Kunden stellt, kann denselben Fehler ohne böse Absicht machen. Einige Prüfungen würden ihn aufdecken:

  1. Prüfen Sie, was der Bot liest. Kontrollieren Sie System-Prompts, versteckten Seitentext und Notizen in der Wissensdatenbank, nicht nur das, was Kunden sehen.
  2. Halten Sie Antworten zu Rechten bereit. Der Bot sollte stets erklären können, wie man Auskunfts-, Lösch- und Widerspruchsrechte ausübt und wie man sich bei einer Aufsichtsbehörde beschwert.
  3. Trennen Sie Rechtsberatung von Fakten. Lassen Sie Schutzregeln gegen Rechtsberatung nicht sachliche Informationen zu Rechten blockieren. Der Hinweis auf eine Behörde ist Information, keine Rechtsberatung.
  4. Testen Sie mit Fragen zu Rechten. Fragen Sie vor jedem Release: „Wie lösche ich meine Daten?“ und „An welche Behörde kann ich mich beschweren?“
  5. Versionieren Sie die Inhalte. Bewahren Sie den Verlauf aller Inhalte auf, die der Bot einliest, damit Sie belegen können, wann und von wem etwas geändert wurde.

Verarbeitet Ihr Bot personenbezogene Daten, ist eine DSFA der natürliche Ort, um diese Prüfungen festzuhalten. Siehe unseren Leitfaden zur DSFA für KI-Chatbots.

Fazit

Ob der Chatbot seinen versteckten Anweisungen folgte oder nicht, die Lehre bleibt: Transparenz muss in jedem Kanal gelten, in dem Menschen Fragen stellen, auch in den KI-Kanälen. Buchen Sie eine kostenlose Beratung bei GDPRGard → und wir helfen Ihnen zu prüfen, was Ihr Support-Bot sagen darf.

Quellen

Die DSGVO-Analyse, einschließlich der Artikel 12 Absatz 2 und 13 Absatz 2 Buchstabe d, ist unsere Lesart der Verordnung und kein Zitat aus den Quellen.

Diesen Artikel teilen

Auch lesenswert:

⚠️ Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Wenden Sie sich bei komplexen Compliance-Fragen an eine qualifizierte Datenschutzfachkraft. Die Anforderungen der DSGVO und des EU-KI-Gesetzes unterliegen laufenden regulatorischen Leitlinien — prüfen Sie Ihre aktuellen Pflichten mit Ihrem Rechtsberater.