Datenschutzhinweise für den WhatsApp-Kundenservice und die ChatGPT-/MCP-Anwendung
Stand: 23. Oktober 2026
1. Verantwortlicher und Kontakt
Verantwortlich ist WasserTherm SHK Zentrum, Konstantinos Fengomytis. Die vollständigen Anbieterangaben stehen im Impressum. Datenschutzanfragen können an info@wassertherm.de gerichtet werden.
2. Zweck der Verarbeitung
Die Anwendung empfängt WhatsApp-Nachrichten, ordnet sie einer Kundenanfrage zu und stellt sie autorisierten WasserTherm-Nutzern über einen geschützten MCP-Dienst in ChatGPT zum Lesen, Suchen, Zusammenfassen und Formulieren eines Antwortentwurfs bereit. Die Anwendung versendet keine automatischen Antworten. Bei aktivierter Versandfunktion und gesonderter Berechtigung können Mitarbeiter den Versand eines konkreten Antwortentwurfs beauftragen.
3. Verarbeitete Daten
- WhatsApp-ID, Telefonnummer und angezeigter Profilname
- Nachrichteninhalt, Nachrichtentyp, Zeitstempel und Antwortbezug
- technische WhatsApp-Konto- und Telefonnummern-IDs zur sicheren Trennung von Test- und Live-Daten
- bei Medien nur technische Referenzen und MIME-Typen, soweit sie vom Webhook übermittelt werden
- technische OAuth-, Sicherheits- und Zugriffsprotokolle ohne Klartext-Zugangstoken
Bitte übermitteln Sie über WhatsApp nur Informationen, die für Ihr Anliegen erforderlich sind.
4. Rechtsgrundlagen
Die Verarbeitung erfolgt zur Bearbeitung vorvertraglicher oder vertraglicher Anfragen sowie zur sicheren und effizienten Kundenkommunikation. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO und, soweit anwendbar, Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der strukturierten, nachvollziehbaren Bearbeitung von Kundenanfragen und der IT-Sicherheit.
5. Empfänger und technische Dienstleister
WhatsApp-Nachrichten werden zunächst durch Meta/WhatsApp verarbeitet. Der signierte Webhook wird auf bestehendem Webhosting bei ALL-INKL.COM gespeichert. Daten werden nur nach erfolgreicher Anmeldung über den WasserTherm-MCP-Dienst an das vom Verantwortlichen verwendete ChatGPT-Konto übermittelt. Für diese Verarbeitung gelten zusätzlich die jeweiligen Datenschutz- und Vertragsbedingungen der eingesetzten Anbieter. Die Anwendung selbst ruft keine kostenpflichtige OpenAI-Modell-API auf und enthält keinen OPENAI_API_KEY.
6. Speicherdauer und Löschung
Nachrichten und Kontaktdaten werden nur so lange gespeichert, wie dies für die Bearbeitung, gesetzliche Nachweis- oder Aufbewahrungspflichten und die IT-Sicherheit erforderlich ist. Danach werden sie gelöscht oder anonymisiert. Eine vorzeitige Löschung kann über die oben genannte Kontaktadresse verlangt werden, sofern keine gesetzlichen Pflichten oder vorrangigen berechtigten Gründe entgegenstehen.
7. Sicherheit und Zugriff
Der Webhook akzeptiert nur korrekt signierte Meta-Ereignisse. Der MCP-Zugriff ist durch OAuth 2.1 mit PKCE geschützt. Test- und Live-WABA-Daten werden technisch getrennt gekennzeichnet. Zugangsdaten werden nicht im öffentlichen Webroot, in Chat-Antworten oder in Anwendungsprotokollen ausgegeben.
8. Betroffenenrechte
Betroffene Personen haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.
9. Automatisierte Entscheidungen
Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung statt. ChatGPT kann autorisierten Mitarbeitern Formulierungsvorschläge erstellen; eine automatische Kundenbeantwortung ist nicht aktiviert.