WhatsApp: Versteckte Vorgaben für Support-Chatbot entdeckt

Die Hilfeseiten von WhatsApp enthielten versteckte Anweisungen für den KI-Chatbot des Kundensupports. Darin wurde der Chatbot unter anderem angewiesen, Nutzern, die ihr Konto nicht mehr löschen können, nicht zu empfehlen, sich an eine Datenschutzbehörde oder eine andere Aufsichtsbehörde zu wenden. Entdeckt hat die Texte das Unternehmen Redact, das Software zum Löschen eigener Daten bei Online-Diensten anbietet. Der Text stand im HTML-Code der Seiten unter der Bezeichnung HelpContentGalaxyLLMInclude und wurde auf dem Bildschirm nicht angezeigt. Ob der Chatbot die Anweisungen tatsächlich befolgt hat, ist nicht bekannt. Redact hat nur die Texte ausgewertet, nicht die Antworten des Chatbots.

Keine Hinweise auf DSGVO

Ein Konto lässt sich bei WhatsApp nur in der App auf dem Hauptgerät löschen. Wer sein Smartphone oder seine Nummer verloren hat, kann das nicht. Unter dem sichtbaren Hinweis dazu stand die Anweisung, keine Datenschutz- oder Aufsichtsbehörde zu empfehlen, nicht anzudeuten, dass WhatsApp Konten selbst löschen kann, und nicht zu raten, ein anderes Telefon mit aktiver Nummer zu verwenden.

Ein zweiter Textblock auf der Seite zum Melden und Blockieren galt für Fälle, in denen Nutzer rechtliche Schritte, Anwälte oder Gerichte erwähnen. Der Chatbot sollte dann weder die Nutzungsbedingungen noch die Datenschutzrichtlinie zitieren und Datenschutzregeln wie die DSGVO auch dann nicht erwähnen oder auslegen, wenn Nutzer sie selbst ansprechen.

Die Datenschutzrichtlinie von WhatsApp für Europa nennt dagegen ausdrücklich das Recht, sich bei der irischen Datenschutzkommission oder einer anderen zuständigen Aufsichtsbehörde zu beschweren. Beide Rechte, das Beschwerderecht und das Recht auf Löschung, sind in den Artikeln 77 und 17 der DSGVO festgeschrieben.

102 versteckte Blöcke auf 80 Seiten

Redact stieß am 8. Oktober auf die ersten Hinweise und durchsuchte anschließend alle 545 Seiten des Hilfecenters. Auf 80 davon fand das Unternehmen 102 versteckte Blöcke. Die meisten waren laut Redact unauffällig, etwa Erklärungen zu leicht verwechselbaren Begriffen. Einige gingen in dieselbe Richtung wie die beiden beschriebenen. Auf 300 geprüften Hilfeseiten von Facebook und Instagram, die auf demselben System laufen, fand Redact keine vergleichbaren Anweisungen.

Laut Kopien im Internet Archive standen die Texte mindestens seit Anfang September auf den Seiten. Bis zum 18. Oktober wurden alle Blöcke entfernt, nachdem das Magazin Wired Meta dazu kontaktiert hatte.

„Dies sind Anweisungen an unseren Chatbot, nicht direkt an Nutzer, und sie sollen genaue und relevante Antworten für WhatsApp-Nutzer sicherstellen, die sich an den WhatsApp-Support mit KI wenden.”
Joshua Breckman, WhatsApp-Sprecher

Dass die Texte auf den Seiten sichtbar waren, sei auf einen inzwischen behobenen Fehler zurückzuführen. Der Chatbot solle sich auf Ratschläge zu WhatsApp konzentrieren und keine Rechtsberatung geben. Ob die Anweisungen für den Chatbot weiterhin gelten, ist offen.

Nutzer, die ihr Konto nicht in der App löschen können, haben nach der Datenschutzrichtlinie für Europa weiterhin das Recht, WhatsApp um Löschung ihrer Daten zu bitten. Sie können sich zudem an ihre nationale Datenschutzbehörde oder an die irische Datenschutzkommission wenden.

(red)