Die Textblöcke lagen im HTML-Code der Seiten unter der Bezeichnung HelpContentGalaxyLLMInclude und wurden auf dem Bildschirm nie angezeigt – wer sich den Quelltext ansah, konnte sie jedoch lesen. Ob der Chatbot die Anweisungen jemals befolgt hat, ist offen: Redact hat die Anweisungen gelesen, nicht die Antworten des Chatbots.
Hintergrund ist eine bauartbedingte Hürde: Ein WhatsApp-Konto lässt sich nur in der App auf dem Haupttelefon des Nutzers löschen. Wer das Gerät oder die Rufnummer verloren hat, kann das nicht mehr tun. Die Hilfeseite zum Löschen eines Kontos nennt in einem sichtbaren Hinweis die Fristen: Ein deaktiviertes Konto wird 30 Tage nach der Deaktivierung gelöscht, ein inaktives in der Regel nach 120 Tagen, in den USA nach 365 Tagen. Unterhalb dieses Hinweises stand der nie angezeigte Text, der die Wartefristen wiederholte und dem Chatbot drei Vorgaben machte – so die Kopie der Seite, die Redact am 8. Oktober sicherte.
Ein zweiter versteckter Block fand sich gegen Ende der Seite zum Melden und Blockieren. Er griff nach eigenem Wortlaut, „wenn ein Nutzer rechtliche Schritte, Klagen, Anwälte, Rechtsbeistände, Gerichte oder Rechtsstreitigkeiten erwähnt“. Von da an sollte der Chatbot weder die Nutzungsbedingungen noch die Datenschutzrichtlinie von WhatsApp zitieren, nicht über die Haftung des Unternehmens sprechen, Nutzer mit rechtlichen Anliegen an „eine qualifizierte Rechtsberatung“ verweisen und Datenschutzgesetze wie die DSGVO auch dann nicht anführen, wenn der Nutzer sie selbst ins Spiel bringt.
In der Frage der Aufsichtsbehörde steht das im Widerspruch zur Datenschutzrichtlinie von WhatsApp für Europa, gültig ab dem 2. Juli 2026. Dort heißt es: „Sie haben das Recht, eine Beschwerde bei der federführenden Aufsichtsbehörde von WhatsApp nach der DSGVO, der irischen Datenschutzkommission, oder bei jeder anderen zuständigen Datenschutzaufsichtsbehörde einzureichen.“ Beim Löschen ist der Abstand geringer: Der versteckte Text untersagte dem Chatbot den Hinweis, WhatsApp könne ein Nutzerkonto löschen, während die Richtlinie festhält, Nutzer hätten „jederzeit das Recht, Auskunft über ihre Informationen, deren Berichtigung und deren Löschung zu verlangen“. Beide Rechte stehen in der DSGVO selbst: das Beschwerderecht in Artikel 77, das Recht auf Löschung in Artikel 17.
Redact stieß am 8. Oktober auf die ersten Blöcke und veröffentlichte seine Erkenntnisse am 19. Oktober. Im Anschluss an den Fund wurden alle 545 über das WhatsApp-Hilfecenter verlinkten Seiten ausgewertet; dabei fanden sich 102 versteckte Blöcke auf 80 Seiten. Der überwiegende Teil war nach der Zusammenfassung von Redact unauffällig: Klarstellungen zu leicht verwechselbaren Begriffen, Verweise auf die passende Seite, Beschreibungen kostenpflichtiger Tarife. Einige schützten Nutzer sogar – etwa die Anweisung, niemals die Angabe eines falschen Alters vorzuschlagen.
Einige wenige gehörten in dieselbe Kategorie wie die beiden auffälligen Blöcke. Auf der Seite zur Kontodeaktivierung hieß es, für Nutzer, die ihre Nummer verloren haben, sei Abwarten „die EINZIGE richtige Antwort“. Die Seite zum Blockieren und Melden wies den Chatbot an, mitzuteilen, eine Meldung werde intern bearbeitet, und keine weiteren Schritte oder Zeiträume zu nennen. Ein Block nannte den Support-Chatbot von WhatsApp namentlich. Zusätzlich prüfte Redact 300 Hilfeseiten von Facebook und Instagram, die auf demselben System laufen – dort fanden sich keine vergleichbaren Hinweise.
Der WhatsApp-Server lieferte die Blöcke zusammen mit dem übrigen Seiteninhalt auch an die Crawler von Google und Bing aus, wie Redact feststellte. Anfragen, die Redact am 9. Oktober unter den User-Agent-Bezeichnungen der Crawler von OpenAI, Anthropic und Perplexity schickte, kamen dagegen ohne den Artikel und ohne die Hinweise zurück. Ob ein KI-Assistent tatsächlich auf Basis der Anweisungen gehandelt hat, wurde nicht getestet.
Kopien im Internet Archive grenzen den Zeitraum ein: Eine Fassung der Seite zum Löschen des Kontos vom 12. Juli enthält den Hinweis nicht, eine vom 4. September sehr wohl, und eine vom 9. Oktober trägt die Notizen weiterhin im Quelltext. Am 15. Oktober um 21:40 UTC standen beide Blöcke noch auf den Live-Seiten. Bis zum 18. Oktober, 02:08 UTC, waren sämtliche 102 Blöcke von allen 80 Seiten entfernt, die Seiten selbst blieben online; eine Archivkopie von 02:37 UTC desselben Tages belegt die Änderung. Entfernt wurden die Texte, nachdem Meta auf den Fund angesprochen worden war, und bevor Redact seine Analyse veröffentlichte.
WhatsApp-Sprecher Joshua Breckman erklärte: „Das sind Anweisungen an unseren Chatbot, nicht direkt an Nutzer, und sie sollen für zutreffende und relevante Antworten für WhatsApp-Nutzer sorgen, die sich dafür entscheiden, WhatsApp Support mit KI anzuschreiben.“ Das Unternehmen wolle, dass seine Support-Chatbots „darauf konzentriert sind, Nutzern die bestmöglichen Hinweise zu WhatsApp zu geben“ und „keine Rechtsberatung anbieten“. Die Anweisungen galten laut WhatsApp dem Chatbot, den Nutzer über eine Nachricht an WhatsApp Support mit KI erreichen; sie seien aufgrund eines inzwischen behobenen Fehlers auf den Hilfeseiten erschienen. Ob dieselben Vorgaben für den Chatbot weiterhin gelten, nachdem sie aus den Seiten verschwunden sind, ist unklar.
Nutzer, die ihr Konto in der App nicht löschen können, haben weiterhin Wege außerhalb des Chatbots: zunächst das Abwarten der auf der Hilfeseite genannten Fristen. Nach der europäischen Datenschutzrichtlinie von WhatsApp können sie zudem jederzeit die Löschung ihrer Informationen verlangen. Wer in der EU damit nicht zufrieden ist, kann sich an die nationale Datenschutzbehörde oder an die irische Datenschutzkommission wenden, die WhatsApps Richtlinie ausdrücklich nennt – mit der Bitte, das Anliegen zunächst beim Unternehmen selbst und danach über das Online-Formular der Behörde vorzubringen.